IT-Security für Automatisierungssysteme Strategien & Technik. H. Manske / Juli 2012

Transkript

1 Strategien & Technik H. Manske / Juli 2012

2 Ist das nötig? 2

3 Bedrohungslage Quelle Heise Security News 3

4 Bedrohungslage Quelle Heise Security News 4

5 Bedrohungslage 5

6 Bedrohungslage Quelle Heise Security News 6

7 Bedrohungslage Quelle Heise Security News 7

8 Bedrohungslage 8

9 Bedrohungslage 9

10 Bedrohungslage Quelle Heise Security News 10

11 Bedrohungslage Quelle Heise Security News 11

12 Bedrohungslage Quelle Heise Security News 12

13 Bedrohungslage 13

14 Beispiel DigiNotar 14

15 Einfache Lösung? 15

16 Einfache Lösung? 16

17 Wie geht es richtig? 17

18 Definition / Bedrohungen 18

19 Definition / Bedrohungen 19

20 Definition / Bedrohungen 20

21 Definition / Bedrohungen 21

22 Integrated Safety 22

23 Rahmenbedingungen Company IT-Security Guidelines Insurance companies and rating agencies Normative Guidelines EN / IEC VDE BSI / Home- Land Security Critical Infrastructures QM / GMP Guidelines 23

24 Technische Umsetzung Was müssen wir berücksichtigen? Schnittstellen (USB, LAN, Profibus, WLAN, Bluetooth,..) Services, Treiber, Protokolle (RPC, HTTP(S),..) Authentisierung, Verschlüsselung (Anmeldung erzwingen, PW verschlüsseln) Physicher Zugang (Verschlosse Räume, Schränke) Fremdsysteme, Fremdmitarbeiter Hilfestellung bieten Normen (ISA 99, VDE 2182) oder IT-Security Kataloge (z.b. BSI Grundschutz 24

25 Technische Umsetzung Grundsatz : Weniger ist mehr! Alles nicht benötigten Schnittstellen deaktivieren oder verschließen! Alle nicht benötigten Funktionen, SW-Pakete, Services deaktiveren bzw. entfernen! Benötigte Funktionen & Schnittstellen auf minimale Funktion bzw. Rechte einschränken! Einschränkungen (Rechte, Protokolle, usw.) immer von Null beginnen! Und: Automatisierungsysteme sind (noch) anders! Erprobte Lösungen für die Standard IT passen nicht immer! 25

26 Technische Umsetzung (PLS) Produktionsnetzwerk Firmennetzwerk Engineering Hist. Daten... PLS-Web-Server HTTP, FTP, OPC Windows Share Firmen-Netzwerk PLS-Netzwerk B&B-Netzwerk Modem / KVM over IP Hersteller- Support Produktiv-Netzwerk (Systembus) SPS/PNK-Netzwerk Client mit Zugriff auf PLS-Web- Server Server mit Zugriff auf PLS-Web- Server 26

27 Technische Umsetzung (PLS) Produktionsnetzwerk Firmennetzwerk Engineering Hist. Daten... PLS-Web-Server HTTP, FTP, OPC Windows Share Firewall / Security Appliance Firmen-Netzwerk PLS-Netzwerk B&B-Netzwerk Hersteller- Support Produktiv-Netzwerk (Systembus) SPS/PNK-Netzwerk Client mit Zugriff auf PLS-Web- Server Server mit Zugriff auf PLS-Web- Server 27

28 Technische Umsetzung (PLS) Produktionsnetzwerk Firmennetzwerk Engineering Hist. Daten... Verantwortlich PLS-Admin Verantwortlich IT-Admin Firmen-Netzwerk PLS-Netzwerk B&B-Netzwerk PLS-DMZ PLS-Web-Server Datenübertragungsprotokoll Verantwortlich IT/PLS-Admin Produktiv-Netzwerk (Systembus) SPS/PNK-Netzwerk Client mit Zugriff auf PLS-Web- Server Server mit Zugriff auf PLS-Web- Server Firewall / Security Appliance HTTP, FTP, OPC Windows Share Firewall / Security Appliance 28

29 Technische Umsetzung (PLS) Produktionsnetzwerk Engineering Hist. Daten... Keybd, Maus VGA Login KVM Over IP Login Login Firmennetzwerk Verantwortlich IT-Admin Firmen-Netzwerk Verantwortlich PLS-Admin Hersteller- Support PLS-Netzwerk B&B-Netzwerk PLS-DMZ PLS-Web-Server Gerichtet Firewall Datenübertragungsprotokoll Verantwortlich IT/PLS-Admin Produktiv-Netzwerk (Systembus) SPS/PNK-Netzwerk Client mit Zugriff auf PLS-Web- Server Server mit Zugriff auf PLS-Web- Server Firewall / Security Appliance HTTP, FTP, OPC Windows Share Firewall / Security Appliance 29

30 Technische Umsetzung 30 Quelle Siemens ARC_WhitePaper_Siemens_SIMATIC_PCS7_Security_de.pdf

31 Technische Umsetzung Quelle Emerson WP_DeltaVSystemSecurity.pdf 31

32 Technische Umsetzung (Package Unit) IT-Firewall Verantwortlich IT-Admin Logging, Trending Bridge-Server Firmen-Netzwerk PU 1 PU 2 PU 3 Verantwortlich IT/PLS-Admin Produktionsnetzwerk : VLAN Servicezugriff Client mit Zugriff auf Bridge Server in VLAN Server mit Zugriff auf Bridge Server in VLAN Firmennetzwerk 32

33 Technische Umsetzung Beispiel USB-Schnittstelle Variante I (deaktivieren) Alle nicht benötigten Schnittstellen im BIOS deaktivieren oder USB-Ports blockieren (USB-Stecker mit Schloss, Heißkleber) Nur ein(ige) PC(s) bleiben offen, um Zugriff zu ermöglichen, diese können dann mit Virenscanner ausgerüstet werden. Variante II (einschränken) Auf den Rechnern des Firmennetzwerks wird eine Zusatzsoftware installiert, die USB-Drives scannen und zertifizieren kann. Auf den Automatisierungssystemen wird ein Treiber installier, der nur zertifizierte USB-Drives zulässt. Alle PC(s) bleiben offen, es können nur vorher geprüfte und freigebene USB-Drives verwendet werden. 33

34 Technische Umsetzung Beispiel Protokolle Variante I (deaktivieren) Alle nicht benötigten Protokolle deaktivieren, alle gefährlichen Protokolle ersetzen z.b. OPC lässt sich nicht über eine Firewall absichern. Ersatz durch alternativen Verbindungstyp oder eine Tunnelung mit einem anderen Protokoll. Variante II (einschränken) Richtung des Verbindungsaufbaus, der möglichen Teilnehmer, der Anzahl der Verbindungen usw. 34

35 Technische Umsetzung Beispiel Benutzer für Server(prozesse) Hier wird of nach der Methode vorgegangen: Server stehen in einem geschlossenen Raum / Schrank, also wird alles mit dem Benutzer Administrator gestartet, dann gibt es keiner Probleme mit Zugriffsbeschränkungen. Problem: Kommt jemand in den abgeschlossenen Bereich, hat er vollen Zugriff auf den Server, Schadsoftware hat Admin-Rechte Variante II (einschränken) Für alle Funktionen / Dienste wird festgelegt mit welchem Benutzerlevel diese arbeiten können, so wird das System anschließend konfiguriert. Hauptschwierigkeit: Diese Information kann oft nicht einmal der Hersteller liefern. 35

36 Weitere Themen Wie werden Rechner / Festplatten nach der Nutzung entsorgt? Darf ein Servicetechniker eine Festplatte beim Garantietausch mitnehmen? Habe ich beim Totalausfall eines Systems alle nötigen Installationsdatenträger, alle Lizenzfiles, alle bisherigen Trenddaten? Der Admin ist nach dem letzten regulären Passwortwechsel in Urlaub gegangen, ist das neue Passwort allen berechtigten Perosnen bekannt? 36

37 Bewusstsein für die Notwendigkeit von Maßnahmen schaffen. Auf Anwendungsfall zugeschnittene Lösungen implementieren. Technische Systeme so konzipieren, dass Anforderungen berücksichtigt sind. 37

38 Web-Links cuments/whitepapers/wp_deltavsystemsecurity.pdf WhitePaper_Siemens_SIMATIC_PCS7_Security_de.pdf 38