White Paper: Security-Konzepte auf Basis der EAGLE-Familie Das EAGLE System der beste Schutz vor unberechtigten oder versehentlichen Zugriffen.

Transkript

1 White aper: Security-Konzepte auf Basis der -Familie Das System der beste Schutz vor unberechtiten oder versehentlichen Zuriffen. Der eiene Mitarbeiter - ein Sicherheitsrisio? Im Jahr 004 fand ein 7jährier Schüler eine Sicherheitslüce im Betriebssystem Windows X und enwicelte den Wurm Sasser, der sich über den versehentlich von Microsoft nicht esicherten ort 445 Zuan zu Enderäten verschaffte und diese abschaltete. Der Aufwand für die rorammierun des Wurms la vermutlich bei einer Nacht, der daraus resultierende Schaden in in die Millionen. Die technischen Unzulänlicheiten sind mittlerweile beseitit, indem Microsoft einen so. atchcode nacheschoben hat, und Würmer von aussen werden in der eel über die zentrale Firewall eines jeden Unternehmens abefanen. Der eschilderte Fall des Wurmes Sasser betraf den rodutivbereich vieler Unternehmen in leichem Umfan wie den administrativen Bereich, da viele Industriesteuerunen heute auf Basis von Microsoft- Betriebssystemen arbeiten. Das Sicherheitsmodell der zentralen Firewall versate, da die Schadsoftware auch versehentlich von Mitarbeitern in Unternehmen eineschleppt wurden, deren Laptops ausserhalb des Unternehmens durch den Wurm infiziert wurden und den Wurm durch einen loalen Anschluß des Gerätes innerhalb des Unternehmens in das Netzwer einspeisten. Der eiene Mitarbeiter ein Sicherheitsrisio ohne böse Absicht. Das Szenario ann beliebi erweitert werden: vom eienen Mitarbeiter auf Dienstleister, die sich im Unternehmen befinden, oder auf Besucher, die den Zuan zum Unternehmensnetzwer über einen Anschluß im Besprechunszimmer finden. Die Gefahrenquelle muß dabei nicht unbedint im Zusammenhan mit einer Schadsoftware esucht werden; oftmals reichen Zuäne über Standard- Webbrowser aus, um den Tatbestand des unerlaubten Zuriffs zu erfüllen. Einen wirsamen Schutz einzelner rodutionszellen oder ritischer Fertiunseinheiten, die einen Stillstand erlauben, ann daher nur ein Sicherheitsmechanismus vor Ort bieten.

2 Welches Kundenproblem wird elöst? Im Auslieferunszustand bietet mit dem Transparent-Modus als Sicherheit Stateful-acet- Inspection an. Damit önnen nur die Daten ins abesicherte Netz, die aus dem Inneren auch anefordert Welches Kundenproblem wird elöst? wurden. Zusätzlich önnen mit ort-filtern eeln festelet werden, die beannte Lücen schließen. Im Beispiel mit dem Wurm Sasser, hätte sich dieser bei einem esperrten ort 445 nicht über hinwe ausbreiten önnen. Den Zuan zu einem Netz ann auf bestimmte I-Adressen und Dienste beschränen. Nur autorisierte Anwender haben noch von außen Zuriff auf das eschützte Netz. Mit Hilfe der -Familie und den Dienstleistunen rund um das Thema Security wird eine offene, industriespezifische und definierte Kommuniation von der Manaement Ebene bis zur Feldebene unterstützt. Sowohl für jede laufende und als auch für neu zu planende Appliationen stellt die -Familie aufrund der Sementierunmölicheiten die entsprechende Lösun dar. Identifizierun des otentials Für das Eindesinen von Security in Industrienetzwere werden Features benötit, die oft über vorhandene Security (Office) Lösunen hinausehen. Das otential erstrect sich somit über alle von Hirschmann definierten Focusbranchen rocess, Factory und Traffic Automation. Desweiteren werden im Zue der vertialen Interation mehr und mehr Industrie Appliationen mit Ethernet aufebaut werden. Die dezentrale Sicherheitsarchitetur basierend auf der Familie ist insbesondere dann von Interesse, wenn Datensicherheit in Industrienetzweren und Schutz auch een z.t. unewollte und unbewußte Anriffe aus dem Inneren des Netzweres verlant wird: Sicherer emote Zuriff auf Maschinen (Werzeuund Drucmaschinen) Standortüberreifende Vernetzun von Fabrien (auch über das unsichere Internet) Vernetzun von Windpars (auch Off Shore) Sichere Zellenabtrennun in Automobilbau- oder Maschinenbau Netzweren Typische Officeanwendunen sind nicht der Zielmart, da dort einerseits die Industrietaulicheit nicht benötit wird und andererseits leistunsstärere Systeme für eine zentrale Absicherun des Unternehmensnetzweres einesetzt werden.

3 Der Sicherheitsfator in Ihrem Unternehmensnetz: Das System. Salierbareit der Security- Funtionalität: - eine Firewall - Firewall mit VN Funtionalität Einfachste Interation in bestehende Netze ohne Änderun von I-Adressen: - Sinle Client Transparent Modus - Multi Client Transparent Modus Trennun von Subnetzen: - outermodus Support von Hirschmann edundanzszenarien: - edundante inopplun - Dual Homin Industrietauliches Desin: - edundate 4V Spannunsversorun - Hutschienenmontierbar - I0, lüfterlos Umfanreiche Dianosemölicheiten: - Web-based Manaement - Status LEDs - Meldeontat - Loin auf SysLo-Server - Interation in HiVision Miration in bestehende Netzwere: Twisted air und LWL Verbindunen für - Gesicherten ort - Unesicherten ort Einfachste Inbetriebnahme: - HiDiscovery Support - Support des Autoonfiurationsadapters emote Zuan in das Netzwer: - Dial In Zuan über Made for Security Die Geräte der Serie sind als Einzeleräte für Security Zwece onzipiert, entsprechend ist das Betriebssystem, das Manaement, etc. auselet. Vorteil: Die Security Mechanismen önnen dezentral in das Netzwer desined werden, somit besteht eine bessere Übersicht bezülich dieser Mechanismen. Es ann ein Bezu zu der jeweilien zu schützenden Zelle oder des zu schützenden Enderätes herestellt werden. Ausserdem müssen eine ompleen Access Listen oder Firewall eeln im Bacbone epflet werden. Durch die Mölicheit des Loins (intern und remote) wird die Analyse und damit auch die Optimierun des Datenverehrs mölich. Das System unterstützt mit redundanter inopplun und Dual Homin die Hirschmann edundanzverfahren.

4 Typische Anwendunsszenarien. Die am häufisten in der Industrie anzutreffenden Anwendunen erfordern den Betrieb des in einem der folenden Modi: Transparentmodus auf Layer (Multi Client, Sinle Client) Typische Anwendunsszenarien: Gesicherter Service-ort Sichere Zellenabtrennun Sichere Verbindun von Netzen Fernzuriff über einen VN-Tunnel outermodus auf Layer 3 Gesicherter Service-ort Mit dem interiertem DHC Server lassen sich Service-orts für eterne Mitarbeiter im Serviceeinsatz oder bei der Inbetriebnahme leicht und sicher realisieren. Konfiuration: Netzwer-Modus des : SCT, MCT oder outer-modus. Im outer-modus muss beim am sicheren ort aneschlossenen Client-echner der als Standardateway festelet sein. Konfiuration des als DHC-Server: am unesicherten ort die MAC-I-Zuordnun eintraen. Definition von Firewallreeln für die im DHC- Server einetraenen I-Adresse. Aufleber MAC-Adresse +4V () Abb. : Beispiel für sicheren Service-ort

5 Sichere Zellenabtrennun Konfiuration : Netzwer-Modus des : Multi Client Transparentmodus Einsatz in bestehenden Netzen ohne Änderun bestehender I-Konfiurationen. Konfiuration : Netzwer-Modus des : outer-modus Im outer-modus muss beim am sicheren ort aneschlossenen Client-echner der als Standardateway festelet sein. Firewallreeln erstellen für den ereelten Zuriff zwischen Bacbone und Zellen oder auch zwischen den Zellen. Zelle/ Subnetz 3 Zelle/Subnetz Aufleber MAC-Adresse +4V () Aufleber MAC-Adresse +4V () Industrial Bacbone / Subnetz MACH 300 Abb. : Beispiel für sichere Zellenabtrennun

6 MACH 300 MACH 300 Sichere Verbindun von Netzen Konfiuration: Netzwer-Modus des : outer Im outer-modus muss beim am sicheren ort aneschlossenen Client-echner der als Standardateway festelet sein. Bei Verwendun eines DSL-Modems oe- Einstellunen vornehmen. Industrial Bacbone Industrial Bacbone Aufleber MAC-Adresse +4V () unsecure networ Aufleber MAC-Adresse +4V () Abb. 3: Beispiel für sichere Verbindun von Netzen Fernzuriff über einen VN-Tunnel Auf dem Einzelrechner muss eine etra VN- Client Software auseführt werden. Windows 000/X enthält die VN-Client-Software. Konfiuration: Netzwer-Modus des : Sinle Client Transparent oder outer Im Sinle Client Transparentmodus ist beim loal aneschlossenen echner eine Veränderun der bestehenden TC/I- Konfiuration erforderlich. Im outer-modus muss beim loal aneschlossenen Client-echner der als Standardateway festelet sein. MACH 300 unsecure networ VN Aufleber MAC-Adresse +4V () Industrial Bacbone MACH 300 Abb. 4: Beispiel für Fernzuriff über einen VN-Tunnel