Segmentierung der Anlage in Sicherheitszellen
Durch Segmentierung wird eine Prozessanlage in einzelne Bereiche unterteilt. Diese bilden jeweils eine Sicherheitszelle, sind gut organisiert und lassen sich einfach managen. Dabei ist die Ausdehnung einer Sicherheitszelle variabel. Sie kann von einer kleinen Automatisierungseinheit bis hin zu einem ganzen Gebäude reichen. Was eine Zelle ist, ergibt sich aus der Einteilung der Anlage in logische Segmente nach Standort- und/oder funktionalen Gesichtspunkten. Sicherheitszellen sind als vollständig autonome Einheiten mit allen notwendigen Sicherheitsmechanismen geschützt. Der Datenverkehr und persönliche Aktivitäten zwischen den Zellen unterliegen einem definierten und überwachten Zugriff.
Virenschutz und Firewalls
Firewalls und Virenscanner an allen Zugangspunkten schützen einzelne Computer oder Netzwerke innerhalb der Sicherheitszelle vor unberechtigtem Zugriff. Daher werden zusätzliche Firewalls innerhalb der Zellen nicht mehr benötigt. Das vereinfacht die Verwaltung der Computer und beeinträchtigt nicht die System-Performance.
Das Security-Konzept von SIMATIC PCS 7 unterstützt das Microsoft® Forefront Threat Management Gateway, die Windows-Firewall sowie SCALANCE S Security-Module. Diese Module zeichnen sich gegenüber Office-Geräten durch ihre Industrietauglichkeit und die verbesserte Kommunikation von Prozessdaten aus. Neben Firewalls gehören Virenscanner zu den am meisten verbreiteten Sicherheitseinrichtungen. SIMATIC PCS 7 unterstützt die drei gängigsten Virenscanner für Produktions- und Prozessleitsysteme
Trendmicro™ Office Scan Corporate Edition
Symantec™ Antivirus Corporate Edition
McAfee™ VirusScan Enterprise
Verwaltung von Windows-Sicherheits-Patches
Im Rahmen des SIMATIC PCS 7 Sicherheitskonzepts wird empfohlen, die jeweiligen Windows-Sicherheits-Patches für den Schutz einzelner Arbeitsplatzrechner innerhalb des Prozessleitsystems zu installieren. Der Microsoft Baseline Security Analyzer (MBSA) untersucht und analysiert die betreffenden Rechner, um eventuelle Schwachstellen für Sicherheitsbedrohungen zu ermitteln. Diese werden zusammen mit einer Liste fehlender Sicherheits-Patches in einem Bericht zusammengefasst, der es erlaubt das Risiko einer Betriebsfortsetzung ohne ordnungsgemäße Sicherheits-Patches gegen den Aufwand und die Kosten abwägen, die mit der Patch-Installation und einem eventuellen Neustart des Rechners verbunden sind.
Microsoft stellt die Sicherheits-Patches in regelmäßigen Abständen bereit, um jeweils neu erkannte Sicherheitslücken zu schließen. Die Patches werden vom SIMATIC PCS 7 Security Lab laufend auf Kompatibilität mit der aktuellen SIMATIC PCS 7 Version überprüft, und die Testergebnisse werden sofort online veröffentlicht.
Benutzer- und Rechteverwaltung
Ein weiteres Kernelement des Security-Konzepts ist die konsequente Benutzerverwaltung und das Rechtemanagement mit exakter Zugriffskontrolle. Hier gilt das Minimalprinzip. Das bedeutet: Der einzelne Benutzer oder die einzelne Anwendung erhält nur die Rechte, die für die aktuelle Aufgabe benötigt werden. So lassen sich Fehlbedienungen – gewollte und auch unbeabsichtigte – am besten vermeiden. SIMATIC PCS 7 unterstützt die zentrale Benutzerverwaltung mit dem Softwarepaket SIMATIC Logon, über das Berechtigungen für SIMATIC Anwendungen und Anlagenbereiche zugewiesen werden. SIMATIC Logon nutzt die Tools der Windows-Benutzerverwaltung bei Funktionen wie der automatischen Benutzerabmeldung und dem automatischen Ablauf von Passwörtern.
Uhrzeitsynchronisation
Die Uhrzeitsynchronisation in einer SIMATIC PCS 7 Anlage hilft, Zeitfehler zu minimieren. Zudem unterstützt sie die Synchronisation, Dokumentation und Archivierung aller zeitkritischen Abläufe. Die daraus resultierenden Vorteile sind nicht zu unterschätzen: Bei nicht zeitsynchronen Systemen kann es vorkommen, dass dem Domänen-Client das Anmelderecht bei seinem Domänen-Controller verweigert wird. Ursache hierfür ist ein Security-Merkmal von Windows, das einen möglicherweise unberechtigten Zugriff auf eine bestehende Sitzung verhindert, sobald eine voreingestellte Zeitdifferenz zwischen Client und Server überschritten wird.
Service und Fernzugriff
VPN-Verbindungen verringern das Gefahrenpotenzial, das mit der vorübergehenden Zulassung von externen Rechnern im Anlagennetzwerk zu Wartungs- und Supportzwecken verbunden ist. Virtual Private Networks (VPN) ermöglichen die zuverlässige und sichere Verbindung eines externen Geräts mit einem geschützten Leitsystem. Das Security-Konzept von Siemens empfiehlt diese Methode sowie den Einsatz des Microsoft® Forefront Threat Management Gateway (TMG) in Verbindung mit einem Quarantäne-Netzwerk.
Für den Zugriff auf Anlagendaten über einen Webbrowser empfiehlt das Sicherheitskonzept die Datenverschlüsselung und Serverauthentifizierung entweder über SSL (Secure Socket Layer) mit HTTPS oder über IPSec sowie die Benutzerauthentifizierung mit Benutzername und Passwort.
Netzwerkstrukturierung und -verwaltung
Das Angebot zur Unterstützung einer flexiblen Netzwerkstruktur und einer effizienten Verwaltung von SIMATIC PCS 7 Systemen umfasst die Implementierung von DHCP-Servern, die Zuweisung von IP-Adressen, die Abbildung der Anlagensegmentierung in Subnetzen sowie die zentrale Verwaltung der Anlagen-PCs bzw. Benutzer über Windows Active Directory.
Whitelisting von Anwendungen
Der Mechanismus des Whitelistings von Anwendungen gewährleistet, dass auf Stationen des SIMATIC PCS 7 Prozessleitsystems nur vertrauenswürdige Anwendungen ausgeführt werden. So können weder illegale Software ablaufen noch Veränderungen an installierten Anwendungen vorgenommen werden. Beides erhöht den bestehenden Schutz vor Malware (Schadsoftware).
Automation firewall
Die Automation Firewall basiert auf dem Microsoft ®Forefront Threat Management Gateway 2010 und ist mit Stateful-Inspection-Paketfilter, Anwendungsschicht-Firewall, VPN-Gateway-Funktion, URL-Filtering, Web-Proxy, Virusprüfung und Intrusion Prevention ausgestattet. Sie sichert damit den Zugang zur Produktionsumgebung, z. B. aus dem Office-Netzwerk oder dem Intranet/Internet. Je nach Anlagengröße lässt sie sich wie folgt einsetzen:
Firewall an Zugangspunkten für kleine Anlagen und sicheren Fernzugriff
"Three-homed" Firewall (Firewall mit drei Schnittstellen) für kleine bis mittlere Anlagen bei minimalem Perimeternetzwerk.
Front- und Back-Firewall zur maximalen Absicherung von größeren Anlagen mit umfangreichem Perimeternetzwerk
Die Automation Firewall wird vorinstalliert geliefert. Für die Einrichtung wird ein benutzerfreundlicher Konfigurationsassistent bereitgestellt.
Disaster recovery
Disaster Recovery hat zum Ziel, den Zugriff auf Daten, Hardware und Software wiederherzustellen, der durch natürliche Ursachen oder von Menschen verursachte Unfälle verloren gegangen ist – um den Anlagenbetrieb wiederaufnehmen zu können. Da die industrielle Prozesstechnik zunehmend datenbasiert arbeitet, gewinnt die schnelle Datenwiederherstellung zunehmend an Bedeutung.Bei SIMATIC PCS 7 wird jeder Anlagen-PC mit einem vollständigen Image der Systemsoftware geliefert, über das die Systempartition im Fall eines Datenverlusts jederzeit wiederhergestellt werden kann. Für die Archivierung von Prozessdaten bietet Siemens mehrere Programme – beispielsweise StoragePlus, Central Archive Server (CAS), Process Historian und SIMATIC IT Historian.
Anwendungsbeispiel für Siemens Industrial Security in einem Leitsystem
Das folgende Schaubild zeigt den möglichen Aufbau eines Security-Systems, das ein maximales Sicherheitsniveau bietet.
Security-Architektur für ein Industrieautomatisierungs- und Leitsystem
SIMATIC Security Lab
Als Teil unseres Security-Portfolios ist Industrial Security auch fester Bestandteil von Systemtests und Voraussetzung für Produktfreigaben. Das SIMATIC Security Lab widmet sich kontinuierlich dem Thema der industriellen Datensicherheit. Seine Testergebnisse fließen unmittelbar in unsere Produkt- und Software-Entwicklung ein.