Industrial Security. So sind Sie besser gegen Angriffe geschützt. Industrial Security. Einleitung. Die Siemens-Lösung. Anwendungsbeispiele

Transkript

1 So sind Sie besser gegen Angriffe geschützt Einleitung Die Siemens-Lösung Anwendungsbeispiele Vorteile der Zusammenarbeit mit Siemens Siemens AG Alle Rechte vorbehalten

2 Trends im Security-Bereich Ständige Zunahme der weltweiten Vernetzung Trends mit Auswirkungen auf die Security Cloud Computing-Ansätze Zunehmender Einsatz von Mobilgeräten Drahtlostechnologie Weltumspannender Fernzugriff auf Anlagen, Maschinen und mobile Anwendungen Smart Grid Das Internet der Dinge Die physische Welt wird zu einem Informationssystem. Seite Die Sicherheitskette eines Unternehmens ist nur so stark wie ihr schwächstes Glied Mögliche Sicherheitslücken Mitarbeiter Smartphones Laptops PC-Workstations Netzwerkinfrastruktur Mobile Speichereinheiten Tablet-PCs Rechenzentren Richtlinien und Vorschriften Drucker Produktionsanlagen Seite

3 Schlagzeilen über aufgedeckte Schwachstellen mittlerweile auf den Titelseiten In Sachen Sicherheit Druck auf SCADA-Entwickler notwendig Kraftwerks- und Produktionsanlagen-Software in USA offenbart riskante Sicherheitslücken USA durch Hacker-Angriffe gefährdet Stromnetz im Visier von Hackern Industrielle Leitsysteme kommen in die Jahre vermehrte Anfälligkeit für Cyberattacken 7. März 2012: Diese Systeme sind älter und deshalb schwerer zu kontrollieren. Aber weil es praktisch ist und Kosten spart, hat man sie trotzdem mit dem Internet verbunden, um sie per Fernzugriff steuern zu können. Da unsere Nation aber hochgradig auf diese Systeme angewiesen ist, hat man so eine fast perfekte Bedrohungssituation geschaffen. - Donald Purdy, Chief Cybersecurity Strategist bei CSC, ehemaliger Internetbeauftragter im US-Heimatschutzministerium Seite Cyber-Bedrohungen können Ihre Anlage an vielen Stellen treffen Cyber-Security-Bedrohungen schaffen Handlungsbedarf Verlust von geistigem Eigentum, Rezepturen, Sabotage an der Produktionsanlage Anlagenstillstand z. B. durch Viren oder Malware Manipulation von Daten oder Anwendungssoftware Unbefugter Einsatz von Systemfunktionen Vorschriften und Normen bezüglich Industrial Security müssen eingehalten werden Vorschriften: FDA, NERC CIP, CFATS, CPNI, KRITIS Standards: ISA 99, IEC Seite

4 Einleitung Die Siemens-Lösung Anwendungsbeispiele Vorteile der Zusammenarbeit mit Siemens Siemens AG Alle Rechte vorbehalten Das Defense-in-Depth-Konzept Anlagensicherheit Zutrittssperre für unbefugte Personen Verhinderung des physischen Zugangs zu kritischen Anlagenkomponenten levels according to current standards and regulations Netzwerksicherheit Kontrollierte Schnittstellen zwischen Office- und Anlagennetzwerk, z. B. über Firewalls Weitere Segmentierung des Anlagennetzwerks Systemintegrität Antivirus- und Whitelisting-Software Wartungs- und Updatevorgänge: Benutzerauthentifizierung für Anlagen- oder Maschinenbediener In Automatisierungskomponenten integrierte Zugriffsschutzmechanismen Security-Lösungen im Industriekontext müssen alle Schutzebenen berücksichtigen Seite

5 Die Services von Siemens Services Professionelle Beratung Security Management Prozesse und Richtlinien Abgesicherte PCs, Steuerungen und Netzwerke Integral security in PCs and controllers Security products for networking and communication Die Siemens-Lösung trägt mit einem durchdachten Sicherheitskonzept zur Risikominimierung bei. Seite Die Services von Siemens Portfolio Element Details

6 Die Siemens-Lösung für die Anlagensicherheit Implementierung des Security- Managements Anlagensicherheit

7 Die Siemens-Lösung für die Netzwerksicherheit Implementierung des Security- Managements Die Schnittstellen unterliegen Vorschriften und werden entsprechend überwacht. PC-basierte Systeme müssen geschützt werden. Netzwerksicherheit Die Steuerungsebene muss geschützt werden. Die Kommunikation muss überwacht und kann segmentiert werden. Seite Technische Lösungen zur Netzwerksicherheit Anforderung Netzwerkschutz- und Segmentierung Spionage Datenmanipulation Zufälligen Zugriff Lösung Abschalten nicht benötigter Ports Zugriff auf Netzwerk verhindern/erschweren Firewall SCALANCE S 612 Softnet Security Festlegen zulässiger MD741-1 Ports und Dienste Erlaubte Teilnehmer für Datenverkehr definieren VPN Verschlüsselte Kommunikation Authentifizierung z.b. über Zertifikate Seite

8 Security Integrated: SCALANCE S Security-Module Kundenanforderung Netzwerkschutz- und Segmentierung Spionage Datenmanipulation Zufälligen Zugriff Sicherer Fernzugriff für: Fernwirken Fernwartung Unsere Lösung SCALANCE X Security Features der Switche: SCALANCE S 612 Deaktivieren nicht benötigter Ports Link-Monitoring MAC-Filter (ab X300) VLAN (ab X300) Softnet Security MD741-1 SCALANCE X 200/300/400/500 Seite Security Integrated: SCALANCE S Security-Module Kundenanforderung Netzwerkschutz- und Segmentierung Spionage Datenmanipulation Zufälligen Zugriff Sicherer Fernzugriff für: Fernwirken Fernwartung Unsere Lösung SCALANCE S Security-Module bieten mehrere Security Features: Firewall SCALANCE S 612 VPN (Datenverschlüsselung) Softnet Security NAT (Adressumsetzung) MD741-1 Routerfunktionalität (PPPoE, DynDNS) für Breitband-Internetzugang (DSL, Kabel) S623 mit zusätzlichem VPN-Port (DMZ) SCALANCE S 602/612/623 Seite

9 Security Integrated: CP Advanced/ CP Advanced Kundenanforderung Netzwerkschutz und -segmentierung ohne separate Security- Appliance Spionage Datenmanipulation Zufälligen Zugriff Unsere Lösung CP 343-1/ CP Advanced mit Security Integrated bietet mehrere Security Features: Firewall SCALANCE S 612 VPN bis zu 32 VPN-Tunnel gleichzeitig HTTPs FTPs NTP V3 SNMP V3 NAT/NAPT Softnet Security MD741-1 SIMATIC CPx43-1 Advanced Seite Security Integrated: SOFTNET Security Kundenanforderung Gesicherter Zugriff mit Engineering- und Service-PCs Spionage/ Abhören Datenmanipulation Zufälligen Zugriff Bedienerfehler Unsere Lösung SOFTNET Security bietet gesicherten Zugriff: SCALANCE S 612 VPN (Datenverschlüsselung) Kommunikation kann Softnet nur Security zwischen authentifizierten und autorisierten MD741-1 Geräten stattfinden SOFTNET Security Seite

10 Die Siemens-Lösung für die Zugriffskontrolle Implementierung des Security- Managements Die Schnittstellen unterliegen Vorschriften und werden entsprechend überwacht. PC-basierte Systeme müssen geschützt werden. Die Steuerungsebene muss geschützt werden. Systemintegrität Die Kommunikation muss überwacht und kann segmentiert werden. Seite Technische Lösungen zur Netzwerksicherheit Anforderung Härten der Netzwerkteilnehmer Viren/Trojaner Spionage Unerlaubten Zugriff Lösung Virenscanner / Whitelisting Schutz vor Schadprogrammen Know-How-Schutz SCALANCE S 612 Softnet Security Bausteinverschlüsselung Schreib- / Leseschutz Zugriffsschutz Kopierschutz MD741-1 Benutzerverwaltung Zugangsberechtigungen festlegen und verwalten Seite

11 AntiVirus und Whitelisting Kundenanforderung Erkennen und Verhindern von Viren, Würmern und Trojanern Bösartige oder unerwünschte Software Manipulation Unsere Lösung Die Lösungen AntiVirus und Whitelisting bieten unterschiedliche Sicherheitsfunktionen: Schutz gegen Viren, SCALANCE Würmer S 612 und Trojaner Blockade unbefugter Anwendungen und von Schadsoftware Softnet Security MD741-1 Seite STEP 7 V5 Kundenanforderung Know-how- und Programmschutz Spionage Unbefugten Zugriff Datenmanipulation Systemfehler Unsere Lösung STEP 7 ab V5 bietet mehrere Security Features: Know-how-Schutz Passwortschutz für Programmcode SCALANCE S 612 Baustein-Leseschutz und SCALANCE Schutz S gegen 613 unbemerkte Veränderung Softnet des Security Bausteininhalts Nur authentifizierte Benutzer erhalten MD741-1 Bausteinzugriff Kopierschutz Maschinen oder Programme sind nicht kopierbar. Geschützte Bausteine können an die Seriennummer einer Speicherkarte oder CPU gebunden werden. Seite

12 WinCC V7 Kundenanforderung Gesicherte SCADA- Umgebung Spionage Datenmanipulation Systemfehler Unsere Lösung WinCC V7 bietet ein breites Spektrum an sicherheitsunterstützenden Funktionen: WinCC User Administrator Nur authentifizierte Benutzer SCALANCE erhalten Zugriff S 612 auf das System WinCC Runtime Kein oder beschränkter Zugriff Softnet auf Security Betriebssystem (Desktop) WinCC Web Browser Zugriff nur auf Bedienerbildschirme/kein MD741-1 Zugriff auf Internetseiten, damit unbeabsichtigtes Herunterladen von Malware usw. verhindert wird WinCC Change Control/Audit Protokollierung von Bedienhandlungen, z. B. bei Lösungen im FDA-Umfeld WinCC Runtime Redundancy Höhere Verfügbarkeit von Servern/Prozessanschlüssen im Fehlerfall Systemtests und Ergebnisdokumentation mit aktuellen Virenscannern und -mustern Seite SIMATIC Logon Kundenanforderung Unsere Lösung Zentrale, systemweite Benutzerverwaltung Erfüllt die Anforderun- gen der Food and Drug Administration (FDA) Projektierung zur Laufzeit (Hinzufügen/ Sperren/Löschen von Benutzerkonten) Hohe Sicherheit durch MS Windows als Basis Unterstützt Domänenkonzept und Windows- Arbeitsgruppen Seite Gesicherte Zugriffskontrolle mit SIMATIC Logon SCALANCE S 612 Benutzerverwaltung von WinCC auf Basis von SIMATIC Logon mit Softnet Security nach Inaktivitätszeit oder MD741-1 mehreren falschen Passworteingaben, Zentraler Verwaltung (inkl. Passwortalterung, automatischer Abmeldung Bildschirmsperre) Projektierung zur Laufzeit (Benutzerkonten hinzufügen/löschen/sperren) Alle WinCC-Konfigurationen inkl. Web-Konfiguration werden unterstützt Unterstützt Domänenkonzept und Windows-Arbeitsgruppen Benutzerverwaltung u. -authentifizierung für die Sicherheit Ihrer Anlage

13 Das Defense-in-Depth-Konzept Security-Lösungen im Industriekontext müssen alle Schutzebenen berücksichtigen Seite Einleitung Die Siemens-Lösung Anwendungsbeispiele Vorteile der Zusammenarbeit mit Siemens Siemens AG Alle Rechte vorbehalten

14 Überblick: Applikationsbeispiele mit Security Integrated-Produkten Zellenschutz SCALANCE S und PLC/PC- Kommunikationsprozessoren mit integrierten Sicherheitsmechanismen sind für das Zellenschutzkonzept eines Automatisierungsnetzwerks einzusetzen Fernzugriff SCALANCE S ist für den gesicherten Fernzugriff einzusetzen, insbesondere das S623 mit zusätzlichem DMZ- Port. Es kann als Endgerät für den Siemens Remote Service (SRS) dienen. Vorgestellte IA SC CI Produkte mit Firewall-Funktionen Seite Schutz und Segmentierung durch Firewalls mit SCALANCE S Aufgabenstellung Teile des Systems, die eine logische Einheit darstellen und manchmal sogar von verschiedenen Herstellern stammen, sollten nur so viele Verbindungen untereinander haben wie unbedingt notwendig. Lösung SCALANCE S wird vor einer Automatisierungszelle platziert. Hierdurch wird das Netzwerk segmentiert und die Kommunikation wird mithilfe von Firewallregeln auf die erlaubten Verbindungen eingeschränkt. Seite

15 VPN für die gesicherte Fernwartung mit SCALANCE S623 Aufgabenstellung Systemzugriff über das Internet mittels verschlüsseltem VPN- Tunnel Lösung Ausgangspunkt (z. B. Systemhaus): z. B. SCALANCE S oder SSC als VPN- Endpunkt (z. B. System des Endkunden): SCALANCE S623 als VPN-Server Roter Port: Verbindung mit Anlagennetzwerk Gelber Port: Anschluss von Modem/Router Grüner Port: Anschluss gesicherter Zellen Seite Einleitung Die Siemens-Lösung Anwendungsbeispiele Vorteile der Zusammenarbeit mit Siemens Siemens AG Alle Rechte vorbehalten

16 Kundennutzen... Security ist Kernbestandteil von TIA Erhöhter Schutz Erhöhte Anlagenverfügbarkeit Vermindertes Risiko Schutz von geistigem Eigentum Security-Support über den gesamten Lebenszyklus Seite Vielen Dank für Ihre Aufmerksamkeit! Daniel Roß Promotion SIMATIC Net Rödelheimer Landstraße Frankfurt am Main, Germany Phone: Industrial_Security_Sales_de.ppt