Best Practice Optimale IPC Konfiguration. Industrie Workshop PC-based Automation Nov. 2015

Transkript

1 Best Practice Optimale IPC Konfiguration siemens.de/ipc

2 Der Auslieferungszustand von SIMATIC IPCs ist für allgemeine Anwendungen gedacht. Für spezifische Applikationen gibt eine Menge Optimierungspotential. Seite2

3 BIOS Einstellungen Seite4

4 Power-Saving Options Power-Saving Optionen deaktivieren um die Absenkung von Spannung und Frequenz der Prozessoren zu verhindern Seite5

5 Hyperthreading WinAC RTX / WinAC RTX F Für ausgewogene Leistung von SPS und Windows à Hyperthreading aktivieren Für beste Deterministik der SPS (WinAC RTX) à Hyperthreading deaktivieren S Software Controller Hypervisor reserviert einen physischen Kern für SPS à Hyperthreading kann aktiviert bleiben! Seite6

6 Windows Konfigurationen Seite8

7 Empfohlene Windows-Konfigurationen Unterscheidung zwischen Administrator- und Benutzerkonto Einschränken von Windows-Funktionalität (Keine System Änderungen z.b. Task- Manager, Systemsteuerung zu entfernen, Autoplay- Funktion verbieten) Enhanced Write Filter (EWF) / File Based Write Filter (FBWF) aktivieren Windows-Firewall konfigurieren Remoteeinstellungen konfigurieren (z.b. VPN IPSec, Remotedesktop) Seite9

8 Empfehlung für Benutzerkonto Unterscheidung zwischen Administrator- und Benutzerkonto Zusätzliches Benutzerkonto mit eingeschränkten Rechten neben Administratorkonto erstellen Administrator Account Standardbenutzerkonto ( Standard User, Restricted User ) Zielgruppe PC-Experten Mitarbeiter ohne detaillierte PC- Kenntnisse Ziel Zugriff auf alle Anwendungen, Systemkonfiguration und Eigenschaften möglich Nur ausgewählte Anwendungen. Keine SW-Installation oder Systemänderungen Seite 10

9 Group Policy Object (GPO) Beispiel (1) Ausgewählte Systemfunktionen deaktivieren Berechtigung, Prozesse zu beenden und Systemeigenschaften zu ändern Pfad Administrative Templates» Start Menu and Taskbar Policy Remove and prevent access to the Shut Down, Restart, Sleep and Hibernate commands» Enabled Remove Run menu from Start Menu Remove programs on Properties menu Administrative Templates» System» Ctrl+Alt+Del Options Administrative Templates» Control Panel Remove Task Manager Prohibit access to the Control Panel Seite 12

10 Group Policy Object (GPO) Beispiel (2) Wechseldatenträger Einschränken Verwendung von USB-Sticks unterbinden, z.b. Verhindern des unbeabsichtigten Ausführens von Malware Pfad Administrative Templates» System» Removable Storage Access Policy Removable Disks: Deny read access Removable Disks: Deny write access All Removable Storage classes Deny all access Administrative Templates» Windows Components» AutoPlay Administrative Templates» Windows Components» Windows Installer Turn off Autoplay Prevent removable media source for any install Seite 13

11 GPO Einstellungen Was sonst? Seite 14 See FAQ Beitrags-ID:

12 Live Demo Zugriff auf Wechseldatenträger verhindern Seite 15

13 Automatisches Einrichten der Gruppenrichtlinien Empfohlenes Vorgehen von Microsoft Automatisches Einstellen von Benutzer- und Computerkonfiguration über zentralen Domänen Server ABER: Meist im Industrieumfeld nicht verfügbar Option (1) - Manuell Alle erforderlichen Einstellungen manuell vornehmen Option (2) - Images Einrichten eines Master PC und klonen des PC auf andere Option (3) - Ausführen eines Skriptes auf dem lokalen PC (Power Shell Skript auf Basis Group Policy Management Console GPMC nicht möglich, da auf Nicht Server BS nichtverfügbar) Seite 17

14 Microsoft Security Compliance Manager (SCM) Typische Baselines werden von Microsoft zur Verfügung gestellt Baselines können kopiert und für eigene Anforderungen angepasst werden Erzeugen einer Konfiguration für jedes notwendige Profile (Admin, User, etc.) Seite 18

15 Optimal IPC Settings Workflow der Verteilung Erzeugen der Konfiguration basierend auf Microsoft Baselines für die notwendigen User Profile Export der Konfiguration in GPO Packs für jedes User Profil Import der GPO Packs auf dem Zielrechner mit dem Local Policy Tool für die User ACHTUNG! Bitte die aktuellste Version des Microsoft Security Compliance Manager (SCM) verwenden! Seite 19

16 Reduzieren CPU-Last durch Grafikeffekte Windows visuelle Effekte können deaktiviert/reduziert werden, um die CPU-Last zu reduzieren Wechsel vom SIMATIC Thema zum Windows 7 Basic Thema (Simatic-Hintergrund kann danach manuell wieder gewählt werden) Seite 20

17 Anlaufzeit Für schnelleres Hochfahren des Windows Betriebssystems kann Wartezeit verkleinert werden msconfig.exe Seite 23

18 Andere Punkte Windows Updates WES7 Image von Siemens IPCs enthält den Windows Update Service Installation von Windows-Updates könnte Stabilität beeinflussen à Der Kunde ist verantwortlich! Windows-Komponenten deaktivieren WES7 Image von Siemens IPCs enthält typische Komponenten und Dienste à Deinstallation von Komponenten oder Deaktivieren von Diensten in Verantwortung des Kunden! Zusätzliche Sicherheits-Tools Einige Anwendungen können zusätzliche Sicherheits-Tools erfordern Virus Scanner à Siemens-Empfehlung: TREND MICRO OfficeScan ARP AntiSpoofer, CCleaner Portable, etc. à Der Kunde ist verantwortlich! Seite 24

19 Nützliche Windows Tools Seite 25

20 Windows Firewall Risiko ohne aktive Firewall! Port-Scanner-Software könnte erster Schritt eines gezielten Angriffs sein Windows Firewall aktivieren! à Standard Einstellung der Windows-Firewall ist gute Konfiguration à SIMATIC Software passt die benötigte Einstellungen während Installation an (z.b. SIMATIC NET oder DiagBase) Optionale Einstellungen: Echo-Request (ping) erlauben. (siehe nächste Seite) Seite 26

21 Windows Firewall ping erlauben Group Policy Pfad Computer Konfigurationen» Administrative Templates» Network» Network Connections» Windows-Firewall» Domain Profile Policy Windows-Firewall: Allow ICMP exceptions Firewall Einstellungen Seite 27

22 S Software Controller Port für Webserver öffnen Webserver über Windows Ethernet erreichbar über Port 81! Seite 28

23 Windows Embedded Enhanced Write Filter / File Based Write Filter Enhanced Write Filter (EWF) / File Based Write Filter (FBWF) WES7 WES2009 (XP Emb) Integrität von Windows auch bei hartem Abschalten (ohne USV) Schützt das Dateisystem vor bleibenden Änderungen Reduziert Schreibzugriffe auf CF Card / CFast Card EWF leitet alle Schreibzugriffe auf den RAM um Keine sichtbaren Einschränkungen für den Benutzer Vorteil: Ist das System z.b. durch Malware kompromitiert, reicht ein Neustart für ein sauberes System ACHTUNG: Kein Schutz von Malware durch EWF bei 365x24 Betrieb Seite 29

24 Enhanced Write Filter für Embedded Systeme EWF enabled RAM Application 1 Application 1 Application 2 EWFMGR Application 2 User Mode Kernel Mode r/w r/w EWF 1 Read X from disk read NTFS/Volume-System driver 2 Write Y to disk 3 Read Y from disk write / read EWF RAM RTX Seite 30 CF Card Partition C: OS

25 EWF SPEICHERVERBRAUCH PRÜFEN!! Kontrollieren, dass der EWF Speicher im Betrieb nicht kontinuierlich wächst! Unnötige Schreibzugriff auf geschütztes Laufwerk vermeiden Ggf. Speicherort Windows Event-Log ändern usw. Speicherort für Software-Controller ändern Ggf. Speicherort Windows Minidump ändern Seite 31

26 SIMATIC PC Software Seite 34

27 SIMATIC NET Optimierung SIMATIC NET OPC-Server unterstützt verschiedene Schnittstellen/Protokolle zu Clients è Deaktivieren aller Protokolle die nicht verwendet werden!!! SIMATIC NET V8.2 Seite 36

28 Remote Konfiguration Seite 37

29 Remote Desktop Für Benutzer mit eingeschränkten Rechten ACHTUNG Für die Verwendung von Remote Desktop sollte ein Benutzer mit eingeschränkten Rechten hinzugefügt werden! Jeder Benutzer muss ein Kennwort haben! Pfad Rechte Maustaste auf Computer» Eigenschafen >> Remoteeinstellungen Einstellung Verbindung nur von Computer zulassen, auf denen Remotedesktop mit Authentifizierung Benutzer auswählen Seite 38

30 S Software Controller Seite 51

31 EWF / FBWF aktiviert Diagnose- und Konfigurations-Daten im Station Manager muss passend konfiguriert werden, um nicht auf einem EWF-geschützten Datenträger zu speichern. 1. Rechtsklick auf PC-Station+ in der Taskleiste Pfad für Konfigurationsdaten ändern >> Eigenschaften >> Konfigurationen Pfad ändern 2. EWF / FBWF aktivieren Seite 52

32 PC-Station+ und S SW-Controller S SW-Controller: Programm und Konfigurationen wird direkt aus TIA Portal heruntergeladen! Zielsystem: Engineering: Seite 53

33 Zusammenfassung Seite 54

34 Weiterführende Quellen Industrial Security Sales Information Kit (Video) URL: Industrial Security URL: Security Leitfaden für PC-basierte Automatisierungssysteme mit Windows Embedded Betriebssystemen URL: Optimale Sicherheitseinstellungen für PCs im Industrieumfeld URL: Seite 55

35 Zusammenfassung (1) 1) BIOS a) P-States und C-States deaktivieren b) Hyperthreading: aktiviert: für ausgewogene Leistung von SPS und Windows deaktiviert: für beste Deterministik des Verhaltens der SPS (WinAC RTX) 2) Windows Konfigurationen a) Administrator- und Benutzerkonto Konzept b) Zugriff auf Windows-Funktionalität beschränken mit Group Policy Object (GPO) (z.b. Task-Manager entfernen) c) Reduzieren CPU-Last durch Deaktivierung der Visuellen Effekte von Windows d) Timeout von Windows Boot Manager für WinAC RTX (F) reduzieren e) RDP-Protokolle Konfigurieren/Aktivieren für Remoteeinstellungen (Benutzerkonto-Passwort erforderlich) Seite 56

36 Zusammenfassung (2) 3) Nützliche Windows Tools a) Enhanced Write Filter (EWF / FBWF) nutzen, um Dateisystem gegen Schreibvorgänge zu schützen Schreibzugriffe auf geschützte Laufwerke reduzieren (z.b. Log-Dateien, Rezepte, Konfigurationen, etc. ) b) Windows-Firewall konfigurieren (z.b. Webserver zugriffe via Port 81 für S Software Controller aktivieren) 4) SIMATIC NET a) Deaktivieren aller nicht benötigten Protokolle 5) S Software Controller 1) Webserver zugriffe via Port 81 für S Software Controller durch Windows-Firewall aktivieren 2) PC -Station+ ermöglicht Download von Programm und Konfigurationen ohne die Notwendigkeit von weiteren Konfigurationen auf dem Zielsystem 3) EWF / FBWF: SIMATIC Konfigurationen Pfad ändern zu ungeschütztem Laufwerk Seite 57