Die heutigen Industrie- und Steuerungssysteme sind aufgrund ihres modernen Designs immer anfälliger für Cyberattacken:
oSie basieren auf handelsgängigen Technologien.
oSie sind zunehmend vernetzt.
oSie sind remote zugänglich (dezentraler Zugriff).
oIhre strategische Position innerhalb des Industrieprozesses ist von besonderem Interesse für Hacker.
Für industrielle Systeme gelten zudem andere Zielsetzungen bei der Cybersicherheit als für herkömmliche IT-Systeme. Um eine angemessene Sicherheit für industrielle Installationen gewährleisten zu können, müssen diese Unterschiede im Detail bekannt sein. Drei grundlegende Eigenschaften sind zu berücksichtigen:
oVerfügbarkeit des Systems: Wie kann sichergestellt werden, dass das System immer funktionsfähig bleibt?
oIntegrität der Daten: Wie kann die Integrität der Informationen gewahrt werden?
oVertraulichkeit: Wie kann eine Offenlegung von Informationen verhindert werden?
Die Prioritäten in einem industriellen und in einem traditionellen IT-System sind nicht dieselben, wie die nachstehende Abbildung zeigt:
Der beste Weg, diesen sicherheitsbezogenen Zielen entgegenzukommen, besteht in der Anwendung eines Defense-in-Depth-Konzepts auf der Grundlage dieser Prioritäten.
Die Box PC IIoT-Lösung stellt standardmäßig ein Defense-in-Depth-Konzept in Form verschiedener integrierter Sicherheitsmechanismen bereit.
Der Magelis Box iPC bietet verstärkte Cybersicherheit für den Zugriff, den Austausch und die Speicherung von Daten:
Um jederzeit maximale Systemsicherheit zu gewährleisten, muss die Installationsumgebung des Box-Geräts unter Berücksichtigung der nachstehend beschriebenen Standardempfehlungen gesichert werden.
Support-Portal für Cybersicherheit: http://www.schneider-electric.com/b2b/en/support/cybersecurity/overview.jsp
Es besteht die Möglichkeit, dass sich Personen ohne entsprechende Berechtigung aufgrund unzureichend gesicherter Zugriffsverfahren für Software und Netzwerke Zugriff auf den Magelis Industrial PC und Box PC IIoT sowie auf andere Geräte im Netzwerk oder auf dem Feldbus der Maschine und in verbundenen Netzwerken verschaffen.
Um unberechtigten Zugriff auf den Magelis Industrial PC und Box PC IIoT zu verhindern, wird den Benutzern Folgendes nahegelegt:
oEs sollte eine Risikoanalyse durchgeführt werden, bei der alle potenziellen Gefahren zu berücksichtigen sind, die sich aus dem Zugriff auf das Netzwerk bzw. den Feldbus (und dessen Manipulation) ergeben können. Im Anschluss daran ist ein entsprechender Cybersicherheitsplan aufzustellen.
oEs ist sicherzustellen, dass die Ergebnisse der Risikoanalyse auf die Hardware- und Softwareinfrastruktur, in die der Magelis Industrial PC und Box PC IIoT integriert sind (sowie auf sämtliche organisatorischen Maßnahmen und Richtlinien, die den Zugriff auf die Infrastruktur regeln), angewendet und in Übereinstimmung mit den Best Practices und Standards wie z. B. ISA/IEC 62443 implementiert werden.
oDie Effektivität der IT- und Cybersicherheitssysteme ist anhand angemessener, bewährter Methoden zu überprüfen.
oDas System muss stets auf dem neuesten Stand gehalten werden (Sicherheitspatches).
oDas Antivirus-Programm ist regelmäßig zu aktualisieren.
oDie Sicherheit der Box-Lösung ist bedarfsgerecht festzulegen: Zugriffsrechte, Benutzerkonten. Es ist sicherzustellen, dass den Benutzern jeweils nur minimale Zugriffsrechte eingeräumt werden, um unrechtmäßigen Zugriff oder die Zuweisung zu vieler Berechtigungen zu vermeiden.
oDer Zugriff ist auf die jeweils benötigten Informationen und Benutzer zu beschränken.
oDie Datenverschlüsselung (je nach Teilenummern standardmäßig oder als Option verfügbar) muss aktiviert werden.
oEs sollte ein optionaler McAfee-Schutz erworben und aktiviert werden.
oDie Empfehlungen zur Sicherung der Netzwerkinfrastruktur sind zu beachten (siehe das Kapitel General Practices im Dokument How Can I Reduce Vulnerability to Cyber Attacks in PlantStruxure Architectures? (http://www.schneider-electric.com/b2b/en/support/cybersecurity/resources.jsp?).
Verfügbare Funktionen für die Cybersicherheit
Mit dem Magelis Industrial PC und Box PC IIoT verfügbare Funktionen für die Cybersicherheit:
1.Die Box PC IIoT-Architektur basiert auf dem Betriebssystem.
2.Die Hardware umfasst ein TPM-Modul zur Verstärkung der Sicherheit.
3.BitLocker in Verbindung mit dem TPM-Modul dient dem Schutz der Festplatte und ermöglicht die vollständige Verschlüsselung der Speicherplatte.
4.Die Integrität des Betriebssystems wird durch den UEFI (Extensible firmware Interface)-Mechanismus geprüft, der sicherstellt, dass es sich bei dem Betriebssystem um das offizielle System handelt.
HINWEIS: Angesichts der großen Anzahl unterschiedlicher Konfigurationen und Anwendungen können keine angemessenen und effizienten Standard-Box-Einstellungen für den Box PC IIoT bereitgestellt werden. Es obliegt den berechtigten und für die Inbetriebnahme und Konfiguration zuständigen Personen, die Funktionen und Schnittstellen in Übereinstimmungen mit den Anforderungen ihrer Anwendungen an die Cybersicherheit zu aktivieren oder zu deaktivieren.
Node-RED kann über verschiedene Kanäle konfiguriert werden:
1.Über eine Verbindung zum Box PC IIoT-Node-RED-Server ausgehend von einem anderen Computer im Netzwerk.
2.Über den Import einer JSON-Datei in den Box PC IIoT per Datenträger oder Netzwerkzugriff.
3.Über die Webservices des Node-RED-Servers mithilfe einer Anwendung.
HINWEIS: In jedem Fall muss der Benutzer sicherstellen, dass der für den Zugriff auf den Box PC IIoT verwendete Computer sicher ist: Betriebssystem und Antivirus auf dem neuesten Stand, aktuelle Sicherheitspatches, keine Malware auf dem PC.
Beim Import einer JSON-Datei über einen Wechseldatenträger, beispielsweise einen USB-Stick, ist besondere Vorsicht geboten, um den Import von beschädigten JSON-Dateien oder malware in den Box PC IIoT zu vermeiden. Der Vorgang sollte nur von Personen durchgeführt werden, die zur Änderung der Box PC IIoT-Konfiguration berechtigt sind.
HINWEIS: Die Konfiguration des Box PC IIoT hat umfassende Auswirkungen auf die globale Sicherheitsarchitektur. Jede an der Konfiguration vorgenommene Änderung kann einen Geräte- oder Cloud-Zugriff durch unberechtigte Benutzer zur Folge haben.
Die Konfiguration des Box PC IIoT erfolgt über die Node-RED-Konfiguration mit dem Node-RED-Server. Das System wird mit einer bereits vorhandenen Gruppe von Knoten bereitgestellt.
Bei spezifischen Anforderungen (spezifischer Geräte- oder Cloud-Zugriff, spezifisches Datenmanagement) werden unter Umständen zusätzliche Funktionen benötigt. Deshalb besteht die Möglichkeit zur Erstellung neuer Knoten.
HINWEIS: Mit der Erstellung neuer Knoten vergrößert sich die Angriffsfläche, die Sicherheitslücken im System verursachen könnte.
Ein Node-RED-Entwickler muss folgende Empfehlungen berücksichtigen, um die Sicherheit des Systems auf der erforderlichen Ebene zu gewährleisten:
oEmpfehlung 1: Node-RED-Entwickler sollten auf allgemein bekannte und bewährte Verfahren der Softwareentwicklung zurückgreifen, um eine gute Qualität sicherzustellen und typische Fehler wie Pufferüberlauf oder unangemessenes Ausnahmemanagement zu vermeiden.
oEmpfehlung 2: Alle Daten, die in Geräte bzw. aus Geräten übertragen und ganz allgemein in Node-RED-Module eingespeist werden, sind zu prüfen und zu validieren, um typische Fehler wie Pufferüberlauf oder unberechtigte Dateneinspeisung zu vermeiden (siehe die OWASP-Empfehlungen für typische Fehler). Kommunikationsfehler mit Geräten müssen angemessen verwaltet werden, um Denial-of-Service-Angriffe auf das System zu vermeiden.
oEmpfehlung 3: Sämtliche Daten, die mit IT-Diensten (wie mit der Cloud z. B.) ausgetauscht werden, sind einer angemessenen Prüfung und Validierung zu unterziehen, um die Offenlegung von Informationen, Denial-of-Service-Attacken und typische Sicherheitsprobleme zu vermeiden.
