Die Top 10 Gebote. der industriellen Datenkommunikation für mehr IT-Sicherheit

Transkript

1 Die Top 10 Gebote der industriellen Datenkommunikation für mehr IT-Sicherheit

2 1. Gebot Sei einzigartig! Passwörter dienen dazu, jemanden zuverlässig zu identifizieren. Sehr kritisch und hoch bedroht sind Fernwartungszugänge, die ohne Passwort oder mit Standard-Zugangsdaten (Werkseinstellungen) konfiguriert sind. Vereinbare in Verträgen, dass nur individuelle Zugangsdaten (Passwort, Login) verwendet werden dürfen. Etabliere organisatorische Maßnahmen (z.b. Abnahmeprotokoll) und kontrolliere regelmäßig.

3 2. Gebot Richte Brandabschnitte ein! Über unbeschränkte oder unzureichend beschränkte Fernwartungszugänge können Manipulationen in anderen Systemen oder weiteren Netzen möglich werden. Bei unbefugten Zugriffen können Leib und Leben der Bediener bedroht sein (Safety-Problem). Minimiere die Reichweite von Fernzugängen durch granulare Segmentierung der Netze und Abschottung der Segmente durch Firewalls.

4 3. Gebot Sei verschlossen! Über das Internet erreichbare Netze und Geräte sind stets einer höheren Gefährdung ausgesetzt. Verwundbar sind auch Systeme, bei denen Updates nie oder nicht zeitnah möglich sind. Bevorzuge ausgehende Verbindungen über eigene VPNs oder Dienste wie den INSYS Connectivity Service. Schütze öffentliche Zugänge durch Firewall-Router. Erlaube nur zum Betrieb notwendige Ports (zu IP-Adressen) und Protokolle.

5 4. Gebot Lass keine Fremden rein! Firewalls schützen ein sicheres Netzwerk vor Übergriffen aus einem unsicheren Netzwerk und ermöglichen einen autorisierten Zugriff aus dem LAN auf öffentliche Dienste/Netzwerke (WAN). Erlaube Datenpakete durch Firewall-Regeln nach dem Prinzip Verbiete alles, erlaube Notwendiges. Gewähre durch MAC-Filter nur Geräten mit autorisierten MAC-Adressen den Zugang zum Netzwerk.

6 5. Gebot Lass Dich nicht aus dem Haus locken! Wie bei Weblinks in s können auch bei Verbindungsanforderungen Freund oder Feind nicht immer unterschieden werden. Reagiere auf keinen Verbindungsversuch unbekannter Teilnehmer! Lege fest, wer mit wem Daten austauschen darf. Lehne alle Geräte ab, die sicherheitsrelevante Informationen der Gerätekonfiguration (Passwörter, Logins, Zertifikate) in unverschlüsselte Backups schreiben.

7 6. Gebot Frage nach der Parole! Im Gegensatz zur Passwortabfrage an einer einzigen Stelle, erzielen mehrstufige Sicherheitsbarrieren einen deutlich höheren Beitrag zur Abwehr von bösartigen Kommunikationspartnern. Bevorzuge voneinander unabhängige Maßnahmen: Erlaube einen Verbindungsaufbau nur mit zertifikatbasierter Authentisierung und fordere verschlüsselte Datenübertragung. Schreibe vor, dass das Gerät hinter dem Router zum Login ein sicheres Passwort fordert.

8 7. Gebot Kontrolliere Dienstboteneingänge! Bedrohungen kommen aus öffentlichen Netzen und von innen. Konfigurierbare Netzwerkports und Portsecurity-Funktionen sind wichtige Schutzmaßnahmen. Dokumentiere alle Fernwartungszugänge. Untersage Backdoors vertraglich. Überwache aktive Ethernet-Ports und schalte ungenutzte ab. Protokolliere erfolglose Loginversuche. Versende Meldungen (SMS, , SNMP-Trap) z.b. bei Loginversuchen, Konfigurationsänderungen, Netzwerkkabel gesteckt.

9 8. Gebot Leiste dir eine Schmutzschleuse! Eine weitere Gegenmaßnahme ist eine demilitarisierte Zone (DMZ). Zugriffspunkte für Fernwartung in einer DMZ bewirken, dass sich externe Mitarbeiter, Dienstleister und Geräte für M2M-Kommunikation erst in die DMZ verbinden und dann von dort aus nur den benötigten Zugriff ins Steuerungsnetz erhalten. Dabei isoliert die DMZ die Netzwerke (LAN, WAN) durch Firewalls voneinander. Leiste Dir eine DMZ.

10 9. Gebot Verkehre nur mit sicheren Partnern! Ziel ist die abhör- und manipulationssichere Kommunikation. Deshalb ist Verschlüsselung ein Muss. Virtuelle private Netzwerke schaffen geschlossene Benutzergruppen und stellen die Erreichbarkeit von Mobilfunk-Clients sicher. Bevorzuge ausgehende Verbindungen über eigene VPNs oder VPN-Dienste auf deutschen Servern, wie dem INSYS Connectivity Service. Verweigere Nichtautorisierten den Verbindungsaufbau durch zertifikatbasierte Authentifizierung.

11 10. Gebot Wasch Dir die Hände! Jeder installierte und gestartete Dienst stellt ein Sicherheitsrisiko dar. Ein Werksreset muss restlos alle sicherheitsrelevanten Daten wie Konfigurationen, Logfiles, Zugangsdaten und Sicherheitszertifikate löschen. Halte auch Feldgeräte durch Updates aktuell. Bevorzuge Geräte mit gehärtetem Betriebssystem wie z.b. von INSYS icom. Erlaube nur Geräte, die beim Werksreset alle sicherheitsrelevanten Daten löschen.

12 IT-Sicherheit muss an höchster Stelle aufgehängt werden. MOSES 2.0 Über den Autor... Ich, MOSES 2.0, möchte mit meinen neuen Geboten auf die Relevanz von IT-Sicherheit in der Datenkommunikation aufmerksam machen. Diese Gebote drehen sich um technische, physische und organisatorische Maßnahmen zum Schutz vor Manipulation und Diebstahl. So einfach sie sich lesen, sie sind grundlegend und werden leider oftmals nicht befolgt! Natürlich ist diese Liste nicht abschließend. Ich lade Sie ein, mit mir zu diskutieren, positive wie negative Beispiele zum Thema aufzuzeigen oder weitere Gebote zu schaffen: MOSES 2.0

13 INSYS Irrtum und Änderungen vorbehalten INSYS MICROELECTRONICS GmbH Hermann-Köhl-Str Regensburg T info@insys-icom.de