SIMATIC. Prozessleitsystem PCS 7 Patchmanagement und Securityupdates. Security-Hinweise 1. Vorwort 2. Patchmanagement und Securityupdates 3

Transkript

1 Security-Hinweise 1 Vorwort 2 SIMATIC Prozessleitsystem PCS 7 Patchmanagement und Securityupdates Patchmanagement und Securityupdates 3 Hinweise für die Praxis 4 Inbetriebnahmehandbuch 11/2016 A5E AA

2 Rechtliche Hinweise Warnhinweiskonzept Dieses Handbuch enthält Hinweise, die Sie zu Ihrer persönlichen Sicherheit sowie zur Vermeidung von Sachschäden beachten müssen. Die Hinweise zu Ihrer persönlichen Sicherheit sind durch ein Warndreieck hervorgehoben, Hinweise zu alleinigen Sachschäden stehen ohne Warndreieck. Je nach Gefährdungsstufe werden die Warnhinweise in abnehmender Reihenfolge wie folgt dargestellt. GEFAHR bedeutet, dass Tod oder schwere Körperverletzung eintreten wird, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. WARNUNG bedeutet, dass Tod oder schwere Körperverletzung eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. VORSICHT bedeutet, dass eine leichte Körperverletzung eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. ACHTUNG bedeutet, dass Sachschaden eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. Beim Auftreten mehrerer Gefährdungsstufen wird immer der Warnhinweis zur jeweils höchsten Stufe verwendet. Wenn in einem Warnhinweis mit dem Warndreieck vor Personenschäden gewarnt wird, dann kann im selben Warnhinweis zusätzlich eine Warnung vor Sachschäden angefügt sein. Qualifiziertes Personal Das zu dieser Dokumentation zugehörige Produkt/System darf nur von für die jeweilige Aufgabenstellung qualifiziertem Personal gehandhabt werden unter Beachtung der für die jeweilige Aufgabenstellung zugehörigen Dokumentation, insbesondere der darin enthaltenen Sicherheits- und Warnhinweise. Qualifiziertes Personal ist auf Grund seiner Ausbildung und Erfahrung befähigt, im Umgang mit diesen Produkten/Systemen Risiken zu erkennen und mögliche Gefährdungen zu vermeiden. Bestimmungsgemäßer Gebrauch von Siemens-Produkten Beachten Sie Folgendes: Marken WARNUNG Siemens-Produkte dürfen nur für die im Katalog und in der zugehörigen technischen Dokumentation vorgesehenen Einsatzfälle verwendet werden. Falls Fremdprodukte und -komponenten zum Einsatz kommen, müssen diese von Siemens empfohlen bzw. zugelassen sein. Der einwandfreie und sichere Betrieb der Produkte setzt sachgemäßen Transport, sachgemäße Lagerung, Aufstellung, Montage, Installation, Inbetriebnahme, Bedienung und Instandhaltung voraus. Die zulässigen Umgebungsbedingungen müssen eingehalten werden. Hinweise in den zugehörigen Dokumentationen müssen beachtet werden. Alle mit dem Schutzrechtsvermerk gekennzeichneten Bezeichnungen sind eingetragene Marken der Siemens AG. Die übrigen Bezeichnungen in dieser Schrift können Marken sein, deren Benutzung durch Dritte für deren Zwecke die Rechte der Inhaber verletzen kann. Haftungsausschluss Wir haben den Inhalt der Druckschrift auf Übereinstimmung mit der beschriebenen Hard- und Software geprüft. Dennoch können Abweichungen nicht ausgeschlossen werden, so dass wir für die vollständige Übereinstimmung keine Gewähr übernehmen. Die Angaben in dieser Druckschrift werden regelmäßig überprüft, notwendige Korrekturen sind in den nachfolgenden Auflagen enthalten. Siemens AG Division Process Industries and Drives Postfach NÜRNBERG DEUTSCHLAND A5E AA P 02/2017 Änderungen vorbehalten Copyright Siemens AG Alle Rechte vorbehalten

3 Inhaltsverzeichnis 1 Security-Hinweise Vorwort Aufbau und Dokumentstruktur Besondere Hinweise Definitionen Welche Patches sollten installiert werden Patchmanagement Patchmanagement mit WSUS-Server Patchmanagement-Strategie Installation des WSUS-Servers Hinweise für die Praxis Allgemeine Informationen Spezielle Informationen...18 Inbetriebnahmehandbuch, 11/2016, A5E AA 3

4 Inhaltsverzeichnis 4 Inbetriebnahmehandbuch, 11/2016, A5E AA

5 Security-Hinweise 1 Siemens bietet Produkte und Lösungen mit Industrial Security-Funktionen an, die den sicheren Betrieb von Anlagen, Systemen, Maschinen und Netzwerken unterstützen. Um Anlagen, Systeme, Maschinen und Netzwerke gegen Cyber-Bedrohungen zu sichern, ist es erforderlich, ein ganzheitliches Industrial Security-Konzept zu implementieren (und kontinuierlich aufrechtzuerhalten), das dem aktuellen Stand der Technik entspricht. Die Produkte und Lösungen von Siemens formen nur einen Bestandteil eines solchen Konzepts. Der Kunde ist dafür verantwortlich, unbefugten Zugriff auf seine Anlagen, Systeme, Maschinen und Netzwerke zu verhindern. Systeme, Maschinen und Komponenten sollten nur mit dem Unternehmensnetzwerk oder dem Internet verbunden werden, wenn und soweit dies notwendig ist und entsprechende Schutzmaßnahmen (z. B. Nutzung von Firewalls und Netzwerksegmentierung) ergriffen wurden. Zusätzlich sollten die Empfehlungen von Siemens zu entsprechenden Schutzmaßnahmen beachtet werden. Weiterführende Informationen über Industrial Security finden Sie unter: Die Produkte und Lösungen von Siemens werden ständig weiterentwickelt, um sie noch sicherer zu machen. Siemens empfiehlt ausdrücklich, Aktualisierungen durchzuführen, sobald die entsprechenden Updates zur Verfügung stehen und immer nur die aktuellen Produktversionen zu verwenden. Die Verwendung veralteter oder nicht mehr unterstützter Versionen kann das Risiko von Cyber-Bedrohungen erhöhen. Um stets über Produkt-Updates informiert zu sein, abonnieren Sie den Siemens Industrial Security RSS Feed unter: Inbetriebnahmehandbuch, 11/2016, A5E AA 5

6 Security-Hinweise 6 Inbetriebnahmehandbuch, 11/2016, A5E AA

7 Vorwort Aufbau und Dokumentstruktur Das Sicherheitskonzept PCS 7 & WinCC besteht aus mehreren Teilen: Das Basisdokument ist der zentrale Überblick und Wegweiser durch das Sicherheitskonzept PCS 7 & WinCC. In diesem Dokument sind die Grundprinzipien und Security-Strategien des Security- Konzepts in systematisierter Form beschrieben. Alle zusätzlichen Detaildokumente setzen die vollständige Kenntnis des Basisdokumentes voraus. Die Detaildokumente (dieses Dokument ist ein solches Detaildokument) erläutern die einzelnen Prinzipien, Lösungen und deren empfohlene Konfiguration in detaillierter Form, jeweils auf ein bestimmtes Detail-Thema fokussiert. Die Detaildokumente werden unabhängig voneinander ergänzt, aktualisiert und bereitgestellt, um eine hohe Aktualität zu gewährleisten. PCS 7 Kompendium F: Das Kompendium F beschreibt, wie die beschriebenen Lösungen konkret im PCS 7 Umfeld umgesetzt werden können. Sie finden diese Dokumentation im Internet. ( support.industry.siemens.com/tf/ww/de/posts/69921) 2.2 Besondere Hinweise Ziel des Sicherheitskonzept PCS 7 & WinCC Oberste Priorität in der Automatisierung hat die Aufrechterhaltung der Kontrolle über Produktion und Prozess. Maßnahmen, die die Ausbreitung einer Sicherheitsbedrohung verhindern sollen, dürfen dies nicht beeinträchtigen. Das Sicherheitskonzept PCS 7 & WinCC soll Sie unterstützen Ihre Anlage so zu realisieren, dass nur authentifizierte Benutzer über die ihnen zugewiesenen Bedienmöglichkeiten an authentifizierten Geräten autorisierte (erlaubte) Bedienungen durchführen können. Diese Bedienungen sollen ausschließlich über eindeutige und geplante Zugriffswege erfolgen, um während eines Auftrages eine sichere Produktion oder Koordination ohne Gefahren für Mensch, Umwelt, Produkt, zu koordinierende Güter und das Geschäft des Unternehmens zu gewährleisten. Das Sicherheitskonzept PCS 7 & WinCC empfiehlt dazu den Einsatz der aktuell verfügbaren Sicherheitsmechanismen. Um die höchstmögliche Sicherheit zu erreichen, dürfen anlagenspezifisch skalierte Konfigurationen den Grundprinzipien dieses Sicherheitskonzepts nicht widersprechen. Das Sicherheitskonzept PCS 7 & WinCC soll die Zusammenarbeit der Netzwerkadministratoren von Unternehmensnetzen (IT-Administratoren) und Automatisierungsnetzen (Automatisierungsingenieuren) erleichtern, so dass die Vorteile der Vernetzung der Prozessleittechnik mit der Datenverarbeitung der anderen Produktionsebenen ohne beidseitig erhöhte Sicherheitsrisiken genutzt werden können. Inbetriebnahmehandbuch, 11/2016, A5E AA 7

8 Vorwort 2.2 Besondere Hinweise Erforderliche Kenntnisse Diese Dokumentation wendet sich an Personen, die in den Bereichen Projektierung, Inbetriebnahme und Service von Automatisierungssystemen mit SIMATIC tätig sind. Administrationskenntnisse der aus der Bürowelt bekannten IT-Techniken werden vorausgesetzt. Gültigkeitsbereich Das Sicherheitskonzept PCS 7 & WinCC löst die vorhergehenden Dokumente und Empfehlungen "Sicherheitskonzept PCS 7" und "Sicherheitskonzept WinCC" schrittweise ab und ist gültig ab WinCC V6.2 und PCS 7 V Inbetriebnahmehandbuch, 11/2016, A5E AA

9 3 Das regelmäßige und zeitnahe Einspielen von Softwareaktualisierungen (Patches) ist ein wichtiger Bestandteil eines umfassenden Security-Konzepts. Patches tragen zum stabilen Betrieb eines Systems bei und/oder schließen bekannt gewordene Sicherheitslücken. 3.1 Definitionen Patch Unter dem Überbegriff Patch versteht Microsoft alle Arten von Updates, Service Packs, Feature Packs und ähnliches, unabhängig davon ob diese sicherheitstechnisch relevant sind oder nicht. Security Updates Unter dem Begriff "Security Updates" oder auch Sicherheitsupdates werden ausschließlich sicherheitsrelevante Updates zusammengefasst. Wichtige Updates Unter dem Begriff "Wichtige Updates" werden Updates zusammengefasst, die keine sicherheitsrelevanten Lücken sondern andere kritische Fehler beheben. WSUS Windows Server Update Services - Mit dieser Software können Systemadministratoren Updates verwalten und auf Computer verteilen, die mittels Microsoft Update bereitgestellt werden. Microsoft Update Die Website, mit der sich die Update Services-Komponenten verbinden, um Updates für Microsoft-Produkte zu beziehen. Update Services-Server Auf dem Update Service-Server werden die Updates zentral gespeichert. Der Update Services- Server stellt die Features zur Verfügung, die der Administrator benötigt, um Updates zu verwalten und zu verteilen. Darüber hinaus kann der Update Services-Server als Updatequelle für andere Update Services-Server dienen. Inbetriebnahmehandbuch, 11/2016, A5E AA 9

10 3.2 Welche Patches sollten installiert werden Automatische Updates Windows Betriebssysteme integrierte Clientkomponente. Automatische Updates ermöglicht Computern, Updates von Microsoft Update oder von einem Server, auf dem Update Services ausgeführt wird, zu beziehen. 3.2 Welche Patches sollten installiert werden Durch die Einführung des WSUS und die Erweiterung von Windows Update (nur Patches für die Betriebssysteme) zu Microsoft Update (Patches für eine Vielzahl von Microsoft-Produkten) hat Microsoft Klassifizierungen für Patches eingeführt: Definitionsupdates Feature Packs Service Packs Sicherheitsupdates Tool Treiber Update-Rollups Wichtige Updates Updates Viele Patches dieser Klassifizierungen sind, für den sicheren und stabilen Betrieb einer Anlage, nicht wichtig oder nötig. Definitionsupdates liefern Patterndateien für Microsofts eigene Security-Programme, wie den "Windows Defender", die aber aktuell nicht für den Betrieb mit SIMATIC-Software freigegeben sind. Feature Packs und Tools bringen meist neue Funktionalitäten, die aber von SIMATIC-Software nicht genutzt werden. Update-Rollups sind nur Sammlungen von schon erschienenen Patches. Treiber sind neue Hardwaretreiber, man sollte aber immer die von Siemens mitgelieferten und freigegebenen Treiber benutzen. Service Packs führen manchmal zu großen Änderungen und werden von Siemens nur mit neuen Versionen freigegeben. Updates beheben unbedeutende Schönheitsfehler eines Programms. Aus diesem Grund sind nur Wichtige Updates und Sicherheitsupdates für Automatisierung- Systeme relevant. Für Patches dieser beiden Klassifizierungen führt Siemens sofort nach Freigabe durch Microsoft Tests durch. Die Testergebnisse werden zeitnah im Internet veröffentlicht (s.u.). Werden bei den Tests Probleme festgestellt, werden die Kunden über Newsletter oder FAQ-Einträge informiert. Allgemeine Siemens Aussagen bezüglich Microsoft Patches, Informationen über Einschränkungen und eine Liste aller auf Verträglichkeit getesteten Patches findet sich im Internet unter ( support.industry.siemens.com/cs/ww/de/view/ ). Werden andere als die in der Verträglichkeitsliste genannten Microsoft Produkt-Patches in einer Anlage eingespielt und sollten dadurch Probleme auftreten, muss gegebenenfalls der Support durch Siemens kostenpflichtig geleistet werden. 10 Inbetriebnahmehandbuch, 11/2016, A5E AA

11 3.3 Patchmanagement 3.3 Patchmanagement Zwar ist es möglich, dass sich jeder Rechner seine Patches direkt über Microsoft Update bezieht oder dass die Patches bei jedem Rechner einzeln über eine CD oder ein Netzlaufwerk installiert werden, aber diese Möglichkeiten sind umständlich oder setzen einen Internetzugriff jedes einzelnen Rechners voraus. Deshalb empfiehlt sich eine zentrale Lösung zum Verteilen der Patches. Siemens empfiehlt in diesem Fall den Windows Server Update Service Patchmanagement mit WSUS-Server Neben der Konfiguration und der Administration der WSUS-Server und Clients ist für ein gutes Patchmanagement auch der Standort der WSUS-Server und die Strategie der Verteilung der Updates wichtig. Nicht alle Rechner brauchen die gleichen Updates und manche Rechner dürfen bestimmte Updates nicht erhalten. Beim WSUS kann zwischen zwei unterschiedlichen Aufbauarten unterschieden werden: Ein zentraler WSUS-Server für das komplette Management der Updates Eine Hierarchie über mehrere WSUS-Server In den nachfolgenden Beispielen werden, zur Vereinfachung, ganze Sicherheitszonen oder Netze als WSUS-Gruppen konfiguriert. In der Praxis sollte man die Gruppenbildung feingranularer vornehmen. Darauf wird in Kapitel Patchmanagement-Strategie (Seite 14) näher eingegangen. WSUS-Server für das komplette Management Die Konfiguration des WSUS-Servers erlaubt es, verschiedene Rechner im Netzwerk in Gruppen zusammen zu fassen. Daher ist ein einzelner WSUS-Server in der Lage, jeweils nur selektiv genau die von diesen gruppierten Rechnern benötigten Updates bereitzustellen. Da der WSUS-Server Zugriff auf das Internet oder einen überlagerten WSUS-Server im Büro- Netzwerk benötigt, empfiehlt es sich, diesen in ein über die Back-Firewall getrenntes Perimeter- Netz zu stellen, wodurch ein zusätzlicher Schutz für die Anlage erreicht wird. An diesem WSUS werden nun die Updates, individuell für die einzelnen Gruppen, zur Installation freigegeben. In diesem Beispiel repräsentieren die Gruppen die jeweiligen Netze. Natürlich können und sollten noch mehr Gruppen erstellt werden. In der Praxis dürfen meistens nicht alle Rechner eines Netzes gleichzeitig gepatched oder einzelne Updates auf manchen Rechnern innerhalb eines Netzes nicht installiert werden. Inbetriebnahmehandbuch, 11/2016, A5E AA 11

12 3.3 Patchmanagement Vorteil Es wird nur ein Rechner zur Updateverteilung gebraucht, wodurch Hardware eingespart wird. Das komplette Patchmanagement kann zentral von einem Rechner aus administriert werden. Nachteil Fällt der WSUS-Server aus, bekommt kein Rechner der Anlage neue Updates und neu installierte Rechner bekommen gar keine Updates. 12 Inbetriebnahmehandbuch, 11/2016, A5E AA

13 3.3 Patchmanagement Hierarchie über mehrere WSUS-Server anwenden Bei dieser Aufbauart zur Updateverteilung wird der überlagerte WSUS-Server im Perimeter- Netz platziert, da der Rechner Zugriff auf das Internet oder einen überlagerten Server im Office- Netz benötigt. In jedem Netz steht zusätzlich ein eigener WSUS. Diese unterlagerten Server holen sich die Patches vom WSUS-Server im Perimeter-Netz und dieser von seiner Quelle. Die unterlagerten, in den unterschiedlichen Netzen, stehenden WSUS-Server, geben dann die Updates für ihre jeweiligen Gruppen individuell frei. Vorteil Fällt der übergeordnete WSUS-Server aus, bekommen neue Anlagenrechner in den Netzen immerhin alle Updates, die bis zum Zeitpunkt des Ausfalls freigegeben wurden. Fällt ein untergeordneter WSUS-Server aus, bekommen die Rechner in den anderen Netzen weiterhin Updates. Das neu Aufsetzen im Fehlerfall sowohl des übergeordneten als auch eines untergeordneten ist einfacher, als bei dem alleinigen WSUS-Server des ersten Beispiels, da jeder Server allein weniger Gruppen und Rechner verwalten muss. Nachteil Man benötigt für jedes Netz einen WSUS-Server, was hohe Hardware-Kosten verursacht. Die Administration ist aufwendiger, da mehrere Rechner am Patchmanagement beteiligt sind. Inbetriebnahmehandbuch, 11/2016, A5E AA 13

14 3.4 Patchmanagement-Strategie 3.4 Patchmanagement-Strategie Um den Betrieb einer Anlage nicht zu gefährden und dem geringen, aber möglichen Risiko eines "schädlichen" Updates vorzubeugen, empfiehlt sich folgende Vorgehensweise beim Patchen: Es empfiehlt sich einige Tage nach der Veröffentlichung von Patches durch Microsoft zu warten, bevor man diese in die Anlage einspielt. Unter dem Link support.industry.siemens.com/cs/ww/de/view/ ( support.industry.siemens.com/cs/ww/de/view/ ) kann nachgelesen werden, welche Aussagen Siemens zur Verträglichkeit der neuen Patches macht. Aufbau einer kleinen Schattenanlage, die die wichtigsten Funktionen der Anlage abdeckt. Dort können die neuen Patches zuerst eingespielt und auf Verträglichkeit getestet werden. Alle Server und Clients sind möglichst redundant zu betreiben. Es sind für jedes Netz mindestens 2 Gruppen am WSUS-Server zu erstellen. In den Gruppen befindet sich jeweils ein Server jedes Pärchens und die Hälfte ihrer Clients. Wenn nach einigen Tagen keine Fehler auftreten und es weder von Microsoft noch von Siemens Aussagen gegen dieses Update gibt, kann eine Gruppe jedes Netzes gepatcht werden. Der Betrieb der Anlage wird dadurch nicht behindert, da sich immer noch ein Server und die Hälfte der Clients im Runtime-Betrieb befinden. Wenn sich nach weiteren Tagen keine negativen Effekte bemerkbar machen, kann die zweite Gruppe jedes Netzes gepatcht werden. Somit wird ein zügiges und sicheres Aufspielen aller erforderlichen Updates ohne Störung des Betriebes erreicht. 14 Inbetriebnahmehandbuch, 11/2016, A5E AA

15 3.5 Installation des WSUS-Servers 3.5 Installation des WSUS-Servers Siehe Kompendium F ( support.industry.siemens.com/tf/ww/de/posts/69921) Inbetriebnahmehandbuch, 11/2016, A5E AA 15

16 3.5 Installation des WSUS-Servers 16 Inbetriebnahmehandbuch, 11/2016, A5E AA

17 Hinweise für die Praxis Allgemeine Informationen Microsoft Baseline Security Analyzer Um zu überprüfen ob ein Anlagen-PC alle freigegebenen Patches installiert hat, kann zusätzlich der "Microsoft Baseline Security Analyzer" (MBSA) verwendet werden. Dieses Tool überprüft, neben anderen Einstellungen die an den betreffenden Stellen erwähnt werden, ob alle von Microsoft veröffentlichten Patches auf einem Rechner installiert sind. Damit eine Überprüfung durchgeführt werden kann, muss der Rechner auf dem der MBSA installiert ist, eine Verbindung ins Internet haben oder die aktuellen Patchinformationen von Microsoft manuell heruntergeladen haben. Die aktuelle Version der MBSA und dazugehörige Beschreibungen können unter folgendem Link heruntergeladen werden: ( mbsa) Report-Funktionalität des WSUS-Servers Der WSUS-Server verfügt über eine eigene, umfangreiche Report-Funktionalität. Wird zum Verteilen der Patches ein WSUS-Server verwendet, kann mit diesen Berichten der Status aller vom WSUS-Server registrierten Rechner im Netzwerk überwacht werden. Weiterhin kann überprüft werden, ob alle freigegebenen Patches auf den Rechnern installiert wurden. Inbetriebnahmehandbuch, 11/2016, A5E AA 17

18 Hinweise für die Praxis 4.2 Spezielle Informationen 4.2 Spezielle Informationen "Updates Download" beschleunigen Nach einer Neuinstallation eines Rechners oder nach der Freigabe neuer Patches auf dem WSUS-Server kann es etwas dauern, bis diese am Client zum Download und für die Installation gemeldet werden. Dies ist dadurch begründet, dass die Clients nicht permanent den WSUS- Server nach neuen Patches abfragen. Mit einem Befehl kann dieser Vorgang beschleunigt werden: "Wuauclt.exe /resetauthorization /detectnow" Dieser Befehl veranlasst den Client seinen Status dem WSUS-Server neu mitzuteilen und nach neuen Patches zu fragen. Aber auch dadurch sind neue Patches nicht sofort am Client verfügbar. Um zu verhindern, dass viele Rechner gleichzeitig Patches downloaden, wird bei jeder Clientanfrage ein Zufalls-Timer auf dem WSUS-Server gestartet (0-30 Minuten) und erst nach Ablauf dieses Timers werden die Patches zur Verfügung gestellt. 18 Inbetriebnahmehandbuch, 11/2016, A5E AA