IT-Sicherheit in der Produktion Herausforderungen und Notwendigkeiten

Transkript

1 IT-Sicherheit in der Produktion Herausforderungen und Notwendigkeiten Frank Merkel Sales Manager DACH -1-

2 Industrial Network Security Made in Germany Berlin Innominate Security Technologies AG Führender Hersteller von Network Security Lösungen für industrielle Applikationen Bedienterminals Urheber der mguard Technologie Gegründet 2001, >30 Mitarbeiter Ein PHOENIX CONTACT Unternehmen seit 2008 Indirekter Vertrieb über OEMs und Channel Partner -2-

3 Kunden & Partner, die mguard vertrauen Maschinenbauer Automobilindustrie Prozessindustrie -3-

4 IT (Security) in der Produktion Eine andere Welt9. 9.mit anderen Anforderungen und Prioritäten -4-

5 Netzwerke in der Produktion IT Landschaft: Heterogen Vernetzung: zunehmend Flexibilität Konfiguration: teilweise gering Patch Management: selten / nie Fernwartung: zunehmend Netzwerktopologie: teilweise Daisy Chain Zugang zum Netzwerk: offen Security Awareness: gering Lebensdauer Systeme: Jahre -5-

6 Bedrohungen in der Produktion Überlastung von einzelnen Systemen (z.b. Steuerungen) Netzwerksegmenten Beabsichtigte / unbeabsichtigte Manipulation Produktionsdaten auf Servern Projekten/Daten auf Steuerungen / HMI / PCs Unberechtigter Zugriff vor Ort / via Fernwartung auf Netzwerke einzelne Systeme Infektion von HMI / IPC mit Malware via Netzwerk, Datenträger Unberechtigte Nutzung von Software auf HMI / IPC -6-

7 Beispiel Automobil Zulieferer Beschäftigte, 4 Werke Internet Firewall Mitarbeiter Office Produktion Servicetechniker Segment = Insel Steuerungen IPC, HMI Arbeitsplätze Server Maschine Roboter ohne Default Gateway Fernwartung -7-

8 Herausforderung und Notwendigkeiten Notwendigkeit 1. Vernetzung der Produktion 2. Absicherung der Produktion gegen existierende Bedrohungen Die Herausforderung Nachrüstungvon Security / Netzwerk-Komponenten bei laufender Produktion Ziel Sicherung der höchstmöglichen Verfügbarkeit der Produktion unter den gegebenen IT Rahmenbedingungen Reduktion des Risikos von Produktionsausfällen -8-

9 Servicetechniker im Produktionsnetz Segmentierung mittels Firewall Internet mguard Benutzer-Firewall erlaubt temporären Zugriff auf vordefinierte IP Adressen / Ports Firewall Office Produktion Eingeschränkter Zugriff Steuerungen IPC, HMI Arbeitsplätze Server FIREWALL Maschine Roboter ohne Default Gateway -9-

10 Nicht-Patchbare Systeme in der Produktion Zur Erinnerung: Lebenszeit produktiver Anlagen = Jahre Einführung Ende ext Support -10-

11 Nicht-Patchbare Systeme Individuelle Absicherung mittels Firewall Sicheres Systemmit neustem Betriebsssystem- Patch und VirenScanner FIREWALL LAN Erlaubte Verbindung X Gesperrte Verbindungen X X Schutz gegen Befall mit Schadsoftware (Viren, Würmer, etc) Einschränkung auf Kommunikation mit sicherem System -11-

12 Virenschutz - CIFS Integrity Monitoring9 Geschützter IPC mit CIFS basierenden Windows FileShares (1) CIFS Integrity Checking Erkennt unerwartete Veränderung in statischen Dateisystemen externen Virenscanner (2) CIFS AV Scan Connector (a) Prüfung von Dynamischen Fileshares durch externen Virenscanner (Read Only) (b) Datenaustausch mit dem umgebenden Netzwerk (Read Only) -12-

13 Don t Touch a Running Network Stealth Modus (Autodetect) Schützt einzelne Geräte ohne Änderung der IP Konfiguration des Gerätes oder des Netzes / LANs Eine separate Management IPfür die mguard Konfiguration wird nicht benötigt Management IP (intern) Management IP (extern) (falls extern erlaubt) Network /24 IPC Konfiguration Statisch oder DHCP, z.b. IP: MAC Adr. 00:0c:be:01:07:e0 Sicht vom Netzwerk auf den mguard / IPC IP: MAC Adr. 00:0c:be:01:07:e0-13-

14 Sichere Fernwartung mit Zusatznutzen Betreiber-Netz Produktion Maschine VPN Gateway Betreiber FIREWALL Internet x x x Servicetechniker Anbieter / Lieferant Maschinenbauer FIREWALL Rückgriff der Servicetechniker auf Produktionsnetz wird verhindert - Fernwartung unter Quarantäne Kein unberechtigte Nutzung, -14-

15 Besser - Fernwartungskontrolle Fernwartungskontrolle wird sowohl den Anforderungen von IT Abteilungen nach Security als auch den Anforderungen der Verantwortlichen in der Produktion nach Flexibilität gerecht. Fernwartungskontrolle bietet zusätzlichzu den vorher beschriebenen Security-Merkmalen: 1. Einrichtung einmalig durch die IT Abteilung 2. Aktivierung / Deaktivierung Fernwartung durch die Produktion direkt an einer Maschine mittels Schlüsselschalter für mehrere Maschinen mittels Software-Konsole von einem PC aus Fallbezogene Rücksprache mit der IT Abteilung nicht erforderlich 3. Filterung / Scanning / Logging des unverschlüsseten Fernwartungs-Datenverkehrs durch die IT möglich -15-

16 Fernwartungskontrolle Lokal an der Maschine oder Zentral Lieferant / Internet Fernwartungs- Vermittlung LAN / Produktionsnetz Betreiber Maschinen Gateway Der Servicetechniker kann seine VPN Verbindung jederzeit aufbauen SERVICENETZ (b) (a) Lieferant nutzt IPsec VPN z.b. mguard delta oder VPN Software Client Lieferanten Gateway mguard oder existierendes VPN Gateway Servicenetz= Scanning, Logging Monitoring von Verbindungen Aktivierung/Deaktivierung Fernwartung (a)lokal an der Maschine = Schlüsselschalter oder (b)zentral für alle Maschinen = Konsole / Operator -16-

17 mguard Produkt Portfolio Template-based Configuration Device-oriented Structure Core mguard device manager (mdm) Integrated Certificate Authority (CA) Efficient, automated Roll-out Security Config Push & Pull Status Control Event Management Device Management Hardened Linux Routing, Firewall Remote Logging Web Interface VPN CIFS Integrity Monitoring Firewall/VPN Redundanz SNMP SMS (3G) Firmware mguard pci2, pcie2 mguard industrial RS mguard rs2000/4000 mguard rs4000 3G mguard delta2 mguard blade mguard centerport mguard smart2 mguard core2 Hardware Appliances Industrietaugliche Feldgeräte -17- Backbone VPN Gateway Mobil OEM

18 Hutschienenmontierbar, 24V Spannungsversorung Erweiterter Temperaturbereich (-20 bis +60 C) Kompaktes, lüfterloses Hutschienengehäuse aus Metall Security Router mit intelligenter Firewall und optionalem IPsec VPN ( Tunnel) Funktionalität erweiterbar (Redundanz, CIFS Integrity Monitoring) Wechselbarer Konfigurationsspeicher (SD-Card) -18-

19 Mobilfunk: UMTS & CDMA Erweiterter Temperaturbereich von -40 C bis +60 C DMZ Port, LAN: intergrierter 4-Port Switch Zeitbasis(GPS, Glonass) Alarm- und Event-Managament via SMS Funktionalität erweiterbar (Redundanz, CIFS Integrity Monitoring) Wechselbarer Konfigurationsspeicher (SD-Card) -19-

20 mguard pcie 2 / pci 2 PCI / PCI Express -Karte zur Integration Industrie PCs oder Server Stromversorgung über PCI bzw. PCI Express (X1, X2, X4, X16) Bus Treiberlose Installation Konfiguration via Web-Interface oder SD Karte Kostengünstige mguard Hardware -20-

21 mguard device manager (mdm) Zentrales Konfigurationsmanagement Configuration Status Feedback 9.. mguard devices mdm Client mdm Client Push (SSH) mdm Server Configuration Export Syslog Pull Request (HTTPS) Database Server Web Server Device list and templates -21-

22 Danke für Ihre Aufmerksamkeit! Innominate Security Technologies AG Frank Merkel Rudower Chaussee Berlin Tel.: +49(0) Fax: +49(0)