Vorwort

SINUMERIK / SIMOTION / SINAMICS Motion Control Industrial Security

Projektierungshandbuch

05/2017

6FC5397-5EP40-6AA0

Grundlegende Sicherheitshinweise

1

Was ist Industrial Security?

2

Warum ist Industrial Security so wichtig?

3

Sicherheitsmaßnahmen in der Automatisierungs- und Antriebstechnik

4

Security Management

5

Allgemeine SecurityMaßnahmen

6

Produktspezifische SecurityMaßnahmen

7

Referenzen

A

Rechtliche Hinweise Warnhinweiskonzept Dieses Handbuch enthält Hinweise, die Sie zu Ihrer persönlichen Sicherheit sowie zur Vermeidung von Sachschäden beachten müssen. Die Hinweise zu Ihrer persönlichen Sicherheit sind durch ein Warndreieck hervorgehoben, Hinweise zu alleinigen Sachschäden stehen ohne Warndreieck. Je nach Gefährdungsstufe werden die Warnhinweise in abnehmender Reihenfolge wie folgt dargestellt. GEFAHR bedeutet, dass Tod oder schwere Körperverletzung eintreten wird, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. WARNUNG bedeutet, dass Tod oder schwere Körperverletzung eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. VORSICHT bedeutet, dass eine leichte Körperverletzung eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. ACHTUNG bedeutet, dass Sachschaden eintreten kann, wenn die entsprechenden Vorsichtsmaßnahmen nicht getroffen werden. Beim Auftreten mehrerer Gefährdungsstufen wird immer der Warnhinweis zur jeweils höchsten Stufe verwendet. Wenn in einem Warnhinweis mit dem Warndreieck vor Personenschäden gewarnt wird, dann kann im selben Warnhinweis zusätzlich eine Warnung vor Sachschäden angefügt sein.

Qualifiziertes Personal Das zu dieser Dokumentation zugehörige Produkt/System darf nur von für die jeweilige Aufgabenstellung qualifiziertem Personal gehandhabt werden unter Beachtung der für die jeweilige Aufgabenstellung zugehörigen Dokumentation, insbesondere der darin enthaltenen Sicherheits- und Warnhinweise. Qualifiziertes Personal ist auf Grund seiner Ausbildung und Erfahrung befähigt, im Umgang mit diesen Produkten/Systemen Risiken zu erkennen und mögliche Gefährdungen zu vermeiden.

Bestimmungsgemäßer Gebrauch von Siemens-Produkten Beachten Sie Folgendes: WARNUNG Siemens-Produkte dürfen nur für die im Katalog und in der zugehörigen technischen Dokumentation vorgesehenen Einsatzfälle verwendet werden. Falls Fremdprodukte und -komponenten zum Einsatz kommen, müssen diese von Siemens empfohlen bzw. zugelassen sein. Der einwandfreie und sichere Betrieb der Produkte setzt sachgemäßen Transport, sachgemäße Lagerung, Aufstellung, Montage, Installation, Inbetriebnahme, Bedienung und Instandhaltung voraus. Die zulässigen Umgebungsbedingungen müssen eingehalten werden. Hinweise in den zugehörigen Dokumentationen müssen beachtet werden.

Marken Alle mit dem Schutzrechtsvermerk ® gekennzeichneten Bezeichnungen sind eingetragene Marken der Siemens AG. Die übrigen Bezeichnungen in dieser Schrift können Marken sein, deren Benutzung durch Dritte für deren Zwecke die Rechte der Inhaber verletzen kann.

Haftungsausschluss Wir haben den Inhalt der Druckschrift auf Übereinstimmung mit der beschriebenen Hard- und Software geprüft. Dennoch können Abweichungen nicht ausgeschlossen werden, so dass wir für die vollständige Übereinstimmung keine Gewähr übernehmen. Die Angaben in dieser Druckschrift werden regelmäßig überprüft, notwendige Korrekturen sind in den nachfolgenden Auflagen enthalten.

Siemens AG Division Digital Factory Postfach 48 48 90026 NÜRNBERG DEUTSCHLAND

Dokumentbestellnummer: 6FC5397-5EP40-6AA0 Ⓟ 04/2017 Änderungen vorbehalten

Copyright © Siemens AG 2015 - 2017. Alle Rechte vorbehalten

Vorwort

SINUMERIK-Dokumentation Die SINUMERIK-Dokumentation ist in folgende Kategorien gegliedert: ● Allgemeine Dokumentation/Kataloge ● Anwender-Dokumentation ● Hersteller-/Service-Dokumentation

Weiterführende Informationen Unter folgender Adresse (https://support.industry.siemens.com/cs/de/de/view/108464614) finden Sie Informationen zu den Themen: ● Dokumentation bestellen/Druckschriftenübersicht ● Weiterführende Links für den Download von Dokumenten ● Dokumentation online nutzen (Handbücher/Informationen finden und durchsuchen) Bei Fragen zur technischen Dokumentation (z. B. Anregungen, Korrekturen) senden Sie eine E-Mail an folgende Adresse (mailto:[email protected]).

mySupport/Dokumentation Unter folgender Adresse (https://support.industry.siemens.com/My/ww/de/documentation) finden Sie Informationen, wie Sie Dokumentation auf Basis der Siemens Inhalte individuell zusammenstellen und für die eigene Maschinendokumentation anpassen.

Training Unter folgender Adresse (http://www.siemens.de/sitrain) finden Sie Informationen zu SITRAIN - dem Training von Siemens für Produkte, Systeme und Lösungen der Antriebs- und Automatisierungstechnik.

FAQs Frequently Asked Questions finden Sie in den Service&Support-Seiten unter Produkt Support (https://support.industry.siemens.com/cs/de/de/ps/faq).

SINUMERIK Informationen zu SINUMERIK finden Sie unter folgender Adresse (http://www.siemens.de/ sinumerik).

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

3

Vorwort

SIMOTION Informationen zu SIMOTION finden Sie unter folgender Adresse (https://www.siemens.com/ simotion).

SINAMICS Informationen zu SINAMICS finden Sie unter folgender Adresse (https://www.siemens.com/ sinamics).

Zielgruppe Die vorliegende Dokumentation wendet sich an den Werkzeugmaschinen-/ Produktionsmaschinen-Hersteller, insbesondere an: ● Planer und Projekteure ● IT-Abteilung bei Endkunden und OEMs Für die Umsetzung der beschriebenen Sicherheitskonzepte werden folgende Kenntnisse vorausgesetzt: ● Administration der aus der Bürowelt bekannten IT-Techniken ● Konfiguration der verwendeten SINUMERIK / SIMOTION / SINAMICS-Produkte

Nutzen Die Dokumentation "Industrial Security" enthält notwendige Maßnahmen und Hinweise für die Planung und den Aufbau von Systemen oder Anlagen. Die Dokumentation dient dabei als Nachschlagewerk und Leitfaden. 100%ige Sicherheit kann und möchte diese Dokumentation nicht suggerieren, dazu ist das Bedrohungsszenario heutzutage zu vielfältig und komplex. Die vorliegende Dokumentation umfasst dabei alle nötigen Vorkehrungen, die für die Konfiguration von Systemen in einem sicheren Umfeld zu beachten sind. Sie soll den Maschinen-Hersteller beim sicheren Betrieb seiner Steuerung bzw. Anlage unterstützen. Sie übernehmen als Betreiber dabei die Verantwortung für die Umsetzung der SecurityMaßnahmen.

Technical Support Landesspezifische Telefonnummern für technische Beratung finden Sie im Internet unter folgender Adresse (https://support.industry.siemens.com/sc/ww/de/sc/2090) im Bereich "Kontakt".

4

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Inhaltsverzeichnis Vorwort.........................................................................................................................................................3 1

Grundlegende Sicherheitshinweise..............................................................................................................7 1.1

Allgemeine Sicherheitshinweise...............................................................................................7

1.2

Industrial Security.....................................................................................................................8

2

Was ist Industrial Security?..........................................................................................................................9

3

Warum ist Industrial Security so wichtig?...................................................................................................11 3.1

Vernetzung und Drahtlostechnologie.....................................................................................11

3.2

Mögliche Sicherheitslücken im Unternehmen........................................................................12

4

Sicherheitsmaßnahmen in der Automatisierungs- und Antriebstechnik.....................................................15

5

Security Management.................................................................................................................................19

6

Allgemeine Security-Maßnahmen..............................................................................................................21

7

6.1 6.1.1

Anlagensicherheit...................................................................................................................23 Physikalischer Schutz kritischer Produktionsbereiche...........................................................23

6.2 6.2.1 6.2.1.1 6.2.1.2

Netzwerksicherheit.................................................................................................................24 Netzwerksegmentierung........................................................................................................24 Trennung zwischen Produktions- und Office-Netzen.............................................................24 Netzsegmentierung mit SCALANCE S..................................................................................25

6.3 6.3.1 6.3.1.1 6.3.1.2 6.3.2 6.3.3

Systemintegrität.....................................................................................................................29 Systemhärtung.......................................................................................................................29 Reduktion von Angriffspunkten..............................................................................................29 Virenscanner..........................................................................................................................32 Whitelisting.............................................................................................................................33 Windows-Patchmanagement.................................................................................................34

Produktspezifische Security-Maßnahmen..................................................................................................35 7.1 7.1.1 7.1.2 7.1.3 7.1.4 7.1.4.1 7.1.4.2 7.1.4.3 7.1.5 7.1.5.1 7.1.6 7.1.7 7.1.7.1 7.1.7.2 7.1.7.3

SINUMERIK...........................................................................................................................36 Physikalischer Schutz der NCU.............................................................................................36 Firewall und Vernetzung........................................................................................................36 Maschinensteuertafeln SINUMERIK (MCP/MPP)..................................................................38 Systemhärtung.......................................................................................................................38 Hardware-Schnittstellen deaktivieren.....................................................................................38 Kommunikationsdienste und verwendete Portnummern........................................................39 Whitelisting.............................................................................................................................39 Virenschutz............................................................................................................................40 Virenschutz/Speicherkarte.....................................................................................................41 Security Updates / Patchmanagement...................................................................................41 Kennwörter.............................................................................................................................42 Definition der Zugriffsstufen...................................................................................................42 CNC-Sperrfunktion.................................................................................................................44 Vorinstallierte SSH-Schlüssel löschen...................................................................................44

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

5

Inhaltsverzeichnis

A

7.1.7.4 7.1.7.5 7.1.7.6 7.1.7.7 7.1.8 7.1.8.1 7.1.8.2 7.1.8.3 7.1.8.4 7.1.9 7.1.10 7.1.10.1 7.1.10.2

Webserver PLC......................................................................................................................45 Zugriffsstufen für Softkeys.....................................................................................................45 Zugriffsschutz BIOS und AMT................................................................................................45 Kennwortschutz bei Create MyConfig (CMC)........................................................................46 Know-how-Schutz..................................................................................................................46 SINUMERIK Integrate Lock MyCycle.....................................................................................47 SINUMERIK Integrate Lock MyPLC.......................................................................................47 OPC UA.................................................................................................................................48 SIMATIC Logon......................................................................................................................49 Datensicherung......................................................................................................................49 SINUMERIK Integrate............................................................................................................50 Stand-alone (Intranet)............................................................................................................50 Cloud-Betrieb (ASP)...............................................................................................................52

7.2 7.2.1 7.2.2 7.2.2.1 7.2.2.2 7.2.3 7.2.4 7.2.4.1 7.2.4.2 7.2.4.3 7.2.5 7.2.6 7.2.7

SIMOTION.............................................................................................................................54 Übersicht................................................................................................................................54 Systemhärtung.......................................................................................................................55 Port Security...........................................................................................................................55 Virenscan, Windows Security Patches SIMOTION P............................................................56 Sichere Projektablage............................................................................................................57 Know-how-Schutz..................................................................................................................59 Gesicherte Zugriffskontrolle mit SIMATIC Logon...................................................................59 Know-how-Schutz im Engineering.........................................................................................59 Kopierschutz der Projektierung auf dem Steuerungssystem.................................................60 Offline/Online-Vergleich.........................................................................................................61 SIMOTION IT Webserver.......................................................................................................64 OPC UA Server......................................................................................................................67

7.3 7.3.1 7.3.2 7.3.3 7.3.4 7.3.5 7.3.6 7.3.7 7.3.8 7.3.8.1 7.3.9 7.3.10 7.3.10.1 7.3.10.2 7.3.10.3 7.3.11 7.3.11.1 7.3.11.2 7.3.12

SINAMICS..............................................................................................................................69 Übersicht................................................................................................................................69 Netzwerksicherheit.................................................................................................................69 Schreibschutz und Know-how-Schutz....................................................................................70 Parameter: Zugriffsstufen und Passwort................................................................................70 Umgang mit der Speicherkarte..............................................................................................71 Hinweis zu Safety Integrated.................................................................................................72 Kommunikationsdienste und verwendete Portnummern........................................................72 Webserver..............................................................................................................................72 Zertifikate für die abgesicherte Datenübertragung.................................................................73 Hinweise zu einzelnen Schnittstellen.....................................................................................74 SINAMICS Startdrive und STARTER.....................................................................................75 Lebensgefahr durch fehlerhafte oder veränderte Parametrierung.........................................75 SINAMICS Startdrive.............................................................................................................75 SINAMICS STARTER............................................................................................................76 SINAMICS Drive Control Chart (DCC)...................................................................................77 Industrial Security mit SINAMICS-DCC.................................................................................77 Know-How-Schutz und Schreibschutz verwenden................................................................79 SINAMICS V20 Smart Access...............................................................................................79

Referenzen.................................................................................................................................................81 Glossar.......................................................................................................................................................83 Index...........................................................................................................................................................89

6

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Grundlegende Sicherheitshinweise 1.1

1

Allgemeine Sicherheitshinweise WARNUNG Lebensgefahr bei Nichtbeachtung von Sicherheitshinweisen und Restrisiken Bei Nichtbeachtung der Sicherheitshinweise und Restrisiken in der zugehörigen HardwareDokumentation können Unfälle mit schweren Verletzungen oder Tod auftreten. ● Halten Sie die Sicherheitshinweise der Hardware-Dokumentation ein. ● Berücksichtigen Sie bei der Risikobeurteilung die Restrisiken.

WARNUNG Lebensgefahr durch Fehlfunktionen der Maschine infolge fehlerhafter oder veränderter Parametrierung Durch fehlerhafte oder veränderte Parametrierung können Fehlfunktionen an Maschinen auftreten, die zu Körperverletzungen oder Tod führen können. ● Schützen Sie die Parametrierungen vor unbefugtem Zugriff. ● Beherrschen Sie mögliche Fehlfunktionen durch geeignete Maßnahmen (z. B. NOT-HALT oder NOT-AUS).

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

7

Grundlegende Sicherheitshinweise 1.2 Industrial Security

1.2

Industrial Security Hinweis Industrial Security Siemens bietet Produkte und Lösungen mit Industrial-Security-Funktionen an, die den sicheren Betrieb von Anlagen, Systemen, Maschinen und Netzwerken unterstützen. Um Anlagen, Systeme, Maschinen und Netzwerke gegen Cyber-Bedrohungen zu sichern, ist es erforderlich, ein ganzheitliches Industrial Security-Konzept zu implementieren (und kontinuierlich aufrechtzuerhalten), das dem aktuellen Stand der Technik entspricht. Die Produkte und Lösungen von Siemens formen nur einen Bestandteil eines solchen Konzepts. Der Kunde ist dafür verantwortlich, unbefugten Zugriff auf seine Anlagen, Systeme, Maschinen und Netzwerke zu verhindern. Systeme, Maschinen und Komponenten sollten nur mit dem Unternehmensnetzwerk oder dem Internet verbunden werden, wenn und soweit dies notwendig ist und entsprechende Schutzmaßnahmen (z. B. Nutzung von Firewalls und Netzwerksegmentierung) ergriffen wurden. Zusätzlich sollten die Empfehlungen von Siemens zu entsprechenden Schutzmaßnahmen beachtet werden. Weiterführende Informationen über Industrial Security finden Sie unter: Industrial Security (http://www.siemens.com/industrialsecurity). Die Produkte und Lösungen von Siemens werden ständig weiterentwickelt, um sie noch sicherer zu machen. Siemens empfiehlt ausdrücklich, Aktualisierungen durchzuführen, sobald die entsprechenden Updates zur Verfügung stehen und immer nur die aktuellen Produktversionen zu verwenden. Die Verwendung veralteter oder nicht mehr unterstützter Versionen kann das Risiko von Cyber-Bedrohungen erhöhen. Um stets über Produkt-Updates informiert zu sein, abonnieren Sie den Siemens Industrial Security RSS Feed unter: Industrial Security (http://www.siemens.com/industrialsecurity). WARNUNG Lebensgefahr durch unsichere Betriebszustände wegen Manipulation der Software Manipulationen der Software, z. B. Viren, Trojaner, Malware oder Würmer, können unsichere Betriebszustände in Ihrer Anlage verursachen, die zu Tod, schwerer Körperverletzung und zu Sachschäden führen können. ● Halten Sie die Software aktuell. ● Integrieren Sie die Automatisierungs- und Antriebskomponenten in ein ganzheitliches Industrial Security-Konzept der Anlage oder Maschine nach dem aktuellen Stand der Technik. ● Berücksichtigen Sie bei Ihrem ganzheitlichen Industrial Security-Konzept alle eingesetzten Produkte. ● Schützen Sie die Dateien in Wechselspeichermedien vor Schadsoftware durch entsprechende Schutzmaßnahmen, z. B. Virenscanner.

8

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Was ist Industrial Security?

2

Definition von Industrial Security Unter Industrial Security versteht man in der Regel alle Maßnahmen zum Schutz vor folgenden Dingen: ● Verlust der Vertraulichkeit durch unberechtigten Zugriff auf Daten ● Verlust der Integrität durch Manipulation von Daten ● Verlust der Verfügbarkeit (z. B. durch Zerstörung von Daten oder Denial-of-Service (DoS))

Ziele von Industrial Security Die Ziele von Industrial Security umfassen dabei: ● Störungsfreier Betrieb und Gewährleistung der Verfügbarkeit von industriellen Anlagen und Produktionsprozessen ● Abwendung von Gefahren für Menschen und Produktion ● Schutz der industriellen Kommunikation vor Spionage und Manipulation ● Schutz von industriellen Automatisierungssystemen und Komponenten vor unbefugten Zugriffen und Datenverlust ● Praktikables und kosteneffektives Konzept zur Absicherung von bereits bestehenden Anlagen und Geräten ohne eigene Security Funktionen ● Nutzung von vorhandenen, offenen und bewährten Industrial Security-Standards ● Erfüllen von gesetzlichen Vorgaben Für die Automatisierungs- und Antriebstechnik gilt ein optimiertes und angepasstes SecurityKonzept. Die Security-Maßnahmen dürfen die Produktion nicht behindern oder gefährden.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

9

Was ist Industrial Security?

10

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Warum ist Industrial Security so wichtig? 3.1

3

Vernetzung und Drahtlostechnologie

Übersicht Viele verschiedene Trends mit Auswirkungen auf Industrial Security kommen heute zusammen: ● Cloud Computing-Ansätze Im weltweiten Maßstab nimmt die Zahl der Netzwerkverbindungen immer weiter zu. Dies ermöglicht Innovationen wie das Cloud Computing und die damit zusammenhängenden Anwendungen. In Verbindung zum Cloud Computing steht die massive Zunahme von Mobilgeräten, wie Mobiltelefonen und Tablet-PCs. ● Drahtlostechnologie Der zunehmende Einsatz von Mobilgeräten wiederum wurde nur ermöglicht durch die flächendeckende Verfügbarkeit von Mobilfunknetzen. Außerdem dehnt sich der Einsatz von Wireless-LAN immer weiter aus. ● Weltweiter Fernzugriff auf Anlagen, Maschinen und mobile Anwendungen ● Das “Internet der Dinge” Millionen elektronischer Geräte werden netzwerkfähig und kommunizieren über das Internet. Angefangen vom Bordrechner im Auto, der Garantieinformationen an den Händler übermittelt, bis zu den Messaufnehmern der Wasserzähler, die per Funk Wasserverbrauchsdaten an den städtischen Wasserversorger melden. Damit vom Cloud Computing bis zu den Messaufnehmern alles störungsfrei funktioniert, brauchen Sie eine zuverlässige Netzwerkinfrastruktur und Applikationen, die gegen Angriffe durch Schadsoftware und Hacker gut geschützt sind.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

11

Warum ist Industrial Security so wichtig? 3.2 Mögliche Sicherheitslücken im Unternehmen

3.2

Mögliche Sicherheitslücken im Unternehmen

Mögliche Sicherheitslücken oder Schwachstellen Die Sicherheitskette eines Unternehmens ist nur so stark wie ihr schwächstes Glied. Sicherheitslücken können an zahlreichen Punkten existieren. Die folgende Liste zeigt nur einige Beispiele: ● Mitarbeiter / Fremdfirmen ● Produktionsanlagen ● Netzwerkinfrastruktur ● Rechenzentren / PC-Workstations ● Laptops / Tablets ● Drucker ● Smartphones / Smartwatches ● Mobile Datenträger Um an das Security-Problem heranzugehen, wird deswegen ein ganzheitlicher Ansatz benötigt. Notwendig sind abgestimmte Richtlinien und Vorschriften, die alle Bereiche abdecken: Geräte, Systeme, Prozesse und Mitarbeiter. Das Thema Datensicherheit und Zugriffsschutz (Security) wird auch im industriellen Umfeld in zunehmendem Maße wichtiger. Die folgenden Technologien führen zu höheren Anforderungen an den Schutz der Industrieanlage: ● Die fortschreitende Vernetzung ganzer Industrieanlagen ● Die vertikale Integration und Vernetzung der Unternehmensebenen ● Neue Techniken, z. B. Fernwartung bzw. Fernzugriff Die Bedrohungen sind vielfältig und die Konsequenzen weit reichend.

Mögliche Bedrohungen Mögliche Bedrohungen ergeben sich aus dem industriellen Umfeld und umfassen das Thema Vertraulichkeit, Integrität und Verfügbarkeit. Beispiele für Bedrohungen sind folgende: ● Spionage von Daten, Rezepturen, etc. ● Sabotage von Produktionsanlagen ● Anlagenstillstand, z. B. durch Virenbefall und Schadsoftware ● Manipulation der Daten oder Applikationssoftware ● Unberechtigte Nutzung von Systemfunktionen

Mögliche Auswirkungen eines Security-Vorfalls ● Verlust des geistigen Eigentums ● Produktionsverlust oder verminderte Produktqualität

12

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Warum ist Industrial Security so wichtig? 3.2 Mögliche Sicherheitslücken im Unternehmen ● Negatives Firmenimage und wirtschaftlicher Schaden ● Katastrophale Umwelteinflüsse ● Gefahr für Mensch und Maschine

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

13

Warum ist Industrial Security so wichtig? 3.2 Mögliche Sicherheitslücken im Unternehmen

14

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Sicherheitsmaßnahmen in der Automatisierungs- und Antriebstechnik

4

Die Automatisierungs- und Antriebstechnik bei Siemens befasst sich mit Security-Aspekten auf folgenden Ebenen: ● Die Application Security kennzeichnet Produkte und Funktionen, welche die Belange der Industrial Security im Automatisierungsumfeld berücksichtigen. Speziell unter Beachtung der Applikation und Aufgabe sowie der handelnden Personen in einer Automatisierungsanlage. Damit lässt sich Industrial Security einfach in Fertigungsabläufe implementieren. ● Der Security-Support unterstützt bei Analyse, Planung, Implementierung, Prüfung und Optimierung von Industrial Security - durch Spezialisten mit Netzwerk- und speziellem Branchenwissen. Diese Dienstleistungen führen zu höchstmöglicher Industrial Security und Betriebsfähigkeit der Produktionsanlage. Siemens bietet über den Service "Implement Security" umfassende Kundenunterstützung an: Sie können damit durch die Umsetzung von Schutzmaßnahmen, das Sicherheitsniveau von Anlagen und Produktionsstätten erhöhen. Im Internet (https:// www.industry.siemens.com/services/global/de/portfolio/plant-data-services/ industrial_security) erfahren Sie mehr über das gesamte Portfolio für "Implement Security".

Sicherheitsmaßnahmen Mit zunehmender Digitalisierung wird umfassende Sicherheit in der Automatisierung immer wichtiger. Deshalb ist Industrial Security ein Kernelement von jedem vernetzbaren Produkt. Siemens als Hersteller von Automatisierungs- und Antriebsprodukten unterstützt den sicheren Betrieb beim Kunden durch Integration von Security in die Produkte: ● Alle Maßnahmen der Automatisierungs- und Antriebstechnik sind im Product Lifecycle Management-Prozess (PLM) hinterlegt, welcher durch den TÜV, auf Basis der IEC 62443-4-1, zertifiziert ist. ● Durch Threat and Risk-Analysen (TRAs) werden analytisch mögliche Angriffsbedrohungen aufgezeigt und bewertet. Identifizierte kritische Bedrohungen werden im Produkt, nach dem Motto "Security by Design", als notwendige Basisfunktionen umgesetzt. ● Siemens führt regelmäßig Code-Analysen durch, um bei der formalen Prüfung frühzeitig mögliche Fehler zu identifizieren und zu beheben. ● Siemens hat in seinen Produkten und seinem Herstellungsprozess Maßnahmen zur Integritätssicherung implementiert, um Veränderungen der Integrität aufzuzeigen. ● Siemens überprüft kontinuierlich Maßnahmen zur Härtung: – Betriebssysteme werden so konfiguriert, dass Angriffspunkte (z. B. über Ports nicht benötigter Dienste) minimiert werden. – Siemens testet seine Produkte, um frühzeitig Schwachstellen aufzudecken. – Siemens bietet ein gezieltes Hotfix-/Patch-Management an.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

15

Sicherheitsmaßnahmen in der Automatisierungs- und Antriebstechnik

Siemens als Hersteller von Automatisierungs- und Antriebsprodukten unterstützt den sicheren Betrieb beim Kunden durch Absicherung der Entwicklungsinfrastuktur und Zuliefererkette: ● Das Siemens ProductCERT (https://www.siemens.com/cert/de/cert-securityadvisories.htm) (Cyber Emergency Readiness Team) ist die zentrale Abteilung für sicherheitsrelevante Vorfälle im Siemens Produkt- und Lösungsumfeld. Das Siemens ProductCERT unterstützt die Entwicklungsdienststellen mit Beratungs- und Servicedienstleistungen. ProductCERT stellt Informationen über aktuelle Bedrohungen und Schwachstellen sowie geeignete Gegenmaßnahmen zur Verfügung. ● Industrial Security ist ein dynamisches und komplexes Thema, das fortlaufende Beobachtung und Anpassung neuer Sicherheitsmaßnahmen erfordert. Im Internet (https:// www.industry.siemens.com/topics/global/de/industrial-security/am-ball-bleiben) erfahren Sie, wie Siemens die eigenen Produkte und Lösungen gegen Cyber-Attacken schützt und wie die Industrie von der Kompetenz von Siemens profitiert. Siemens als Hersteller von Automatisierungs- und Antriebsprodukten unterstützt den sicheren Betrieb beim Kunden durch direkte Unterstützung der Integratoren und Betreiber durch Bereitstellung von Patches, Security Komponenten und passender Services: ● Zur Überwachung des Restrisikos bietet Siemens die Überwachung durch ein SIEMSystem an. SIEM steht für Security Information and Event Management und ist in der ITSicherheit ein feststehender Begriff geworden. Entsprechende Systeme sind dazu in der Lage, sicherheitsrelevante Ereignisse zu identifizieren, zu bewerten und den Administrator daraufhin zu alarmieren.

Siemens Industrial Holistic Security Concept™ Siemens legt großen Wert auf den Schutz der Integrität und Gewährleistung der Vertraulichkeit der verarbeiteten Daten bei den eigenen Produkten. Geistiges Eigentum und Know-how der Siemens-Produkte stehen dabei ebenfalls im Fokus. Um dies zu erreichen, wird das Siemens Industrial Holistic Security Concept (SI HSC) angewandt, das Entwicklungsabteilungen und Produktionsanlagen sichert (siehe folgende Grafik). Dabei werden mehrstufige Sicherheitssysteme und grundlegende Sicherheitsverbesserungen der IT-Infrastruktur umgesetzt. Parallel wurden Prozessverbesserungen eingeführt und das Sicherheitsbewusstsein in Entwicklung und Produktion geschult. Diese Maßnahmen erfolgen bei Siemens kontinuierlich und werden über die erreichten Sicherheitsstufen transparent gemacht. SI HSC kommt auch den Kunden zugute, die Siemens als Partner für ihre Industrielösungen wählen, oder sich selbst an dem Konzept orientieren wollen. Auch die Siemens-Zulieferer werden bezüglich Security mitbetrachtet, sodass Siemens sich bereits beim Einkauf an den gleichen Security-Standards wie bei der Fertigung seiner eigenen Produkte orientiert.

16

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Sicherheitsmaßnahmen in der Automatisierungs- und Antriebstechnik

0RQLWRULQJRI 5HVLGXDO5LVN

%XVLQHVV ,PSDFW $VVHVVPHQW

6FRSH 3URGXNWHXQG *HVFK¦IWVEHUHLFKH GLHLP+ROLVWLF 6HFXULW\&RQFHSW EHU¾FNVLFKWZHUGHQ VROOHQ

Bild 4-1

%HGHXWXQJYRQ .QRZ+RZ6FKXW] XQG3URGXNWLQWHJULW¦W I¾UGDV8QWHUQHKPHQ

7DUJHW 3URWHFWLRQ /HYHO 6LFKHUKHLWVDQIRUGH UXQJHQP¾VVHQYRQ ,7,QIUDVWUXNWXUXQG ,73UR]HVVHQHUI¾OOW ZHUGHQEDVLHUHQGDXI LQWHUQDWLRQDOHQ 1RUPHQ,(& XQG,62

3URWHFWLRQ &RQFHSW $XVZDKOXQG 8PVHW]XQJYRQ JHHLJQHWHQ0D¡QDK PHQXPGLHYRUJH VFKULHEHQHQ$QIRUGH UXQJHQ]XHUI¾OOHQ ]%=HOOHQVFKXW]NRQ ]HSW

žEHUZDFKXQJGHV 5HVWULVLNRVXPEHL %HGDUIGDV6FKXW]NRQ ]HSW]XYHUEHVVHUQ ]%ZHQQQHXH %HGURKXQJHQ DXIWDXFKHQ

SI HSC Security Management Prozess

Normen und Vorschriften Siemens hält sich im gesamten Entwicklungsprozess dabei an geltende Normen und Vorschriften im Bereich Industrial Security: ● ISO 2700X : Management von Informationssicherheitsrisiken ● IEC 62443: IT-Sicherheit für industrielle Leitsysteme – Netz- und Systemschutz

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

17

Sicherheitsmaßnahmen in der Automatisierungs- und Antriebstechnik

18

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

5

Security Management Security Management Prozess als Grundlage

Schützen Sie ihr System und ihr Unternehmen. Ein Security Management nach IEC 62443 und ISO 27001 bildet dabei die Basis für eine gelungene Umsetzung von Industrial Security. Im Folgenden ist der Security Management Prozess abgebildet:  5LVLNRDQDO\VH



 9DOLGLHUXQJXQG 9HUEHVVHUXQJ

5LFKWOLQLHQRUJDQLVDWR ULVFKH0D¡QDKPHQ

 7HFKQLVFKH 0D¡QDKPHQ

Bild 5-1

Security Management Prozess

1. Führen Sie eine Risikoanalyse durch. Ermitteln Sie alle möglichen Risiken und definieren Sie Gegenmaßnahmen, um das Risiko auf ein akzeptables Maß zu reduzieren. Eine Risikoanalyse umfasst im Detail folgende Schritte: – Identifikation bedrohter Objekte – Analyse von Wert und Schadenspotenzial – Bedrohungs- und Schwachstellenanalyse – Identifikation bestehender Sicherheitsmaßnahmen – Risikobewertung 2. Legen Sie Richtlinien fest und leiten Sie abgestimmte, organisatorische Maßnahmen ein. Dazu muss das Bewusstsein für die Wichtigkeit von Industrial Security von allen Ebenen im Unternehmen mitgetragen werden. Definieren Sie außerdem Richtlinien und Prozesse, um ein einheitliches Vorgehen zu erzielen und die Einhaltung des definierten Industrial Security-Konzepts zu unterstützen.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

19

Security Management

3. Leiten Sie abgestimmte technische Maßnahmen ein. Eine Aufzählung von allgemeinen Maßnahmen, die helfen, Ihre Anlage vor Bedrohungen zu schützen, finden Sie im Kapitel Allgemeine Security-Maßnahmen (Seite 21). Maßnahmen, die im Produkt-Umfeld von SINUMERIK, SIMOTION und SINAMICS zu empfehlen sind, finden Sie im Kapitel Produktspezifische Security-Maßnahmen (Seite 35). 4. Lassen Sie durch ein Security-Audit sicherstellen, dass alle Maßnahmen umgesetzt wurden und die Maßnahmen die identifizierten Risiken auch eliminiert bzw. reduziert haben. Hinweis Kontinuierlicher Prozess Um die Sicherheit ihrer Anlage zu gewährleisten und aufgrund sich ständig ändernder Security-Bedrohungen, müssen Sie diesen Prozess ständig wiederholen. Deswegen muss der Security Management Prozess als kontinuierlicher Prozess betrachtet werden.

20

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

6

Allgemeine Security-Maßnahmen

In diesem Kapitel erfahren Sie allgemeine Security-Maßnahmen, die Sie treffen können, um ihr System vor Bedrohungen zu schützen. Alle Maßnahmen haben dabei ausdrücklich empfehlenden Charakter. Zusätzliche spezifische Security-Maßnahmen zu den Produkten SINUMERIK, SIMOTION und SINAMICS entnehmen Sie dem Kapitel Produktspezifische Security-Maßnahmen (Seite 35). Um Industrieanlagen umfassend vor Cyber-Angriffen von innen und außen zu schützen, muss auf allen Ebenen gleichzeitig angesetzt werden – von der Betriebs- bis zur Feldebene, von der Zutrittskontrolle bis zum Kopierschutz. Zu diesem Zweck nutzen wir eine tiefengestaffelte Verteidigung – „Defense in Depth“ – als übergreifendes Schutzkonzept, nach den Empfehlungen der ISA99 / IEC 62443, dem führenden Standard für Security in der industriellen Automatisierung. 'HIHQVHLQGHSWK

6LFKHUKHLWVULVLNHQ ]ZLQJHQ]XP+DQGHOQ

$QODJHQVLFKHUKHLW 3K\VLVFKHU=XJDQJVVFKXW] 3UR]HVVHXQG5LFKWOLQLHQ 6HFXULW\6HUYLFHV]XP6FKXW] YRQ3URGXNWLRQVDQODJHQ

1HW]ZHUNVLFKHUKHLW =HOOHQVFKXW]XQG 3HULPHWHUQHW]ZHUN )LUHZDOOVXQG931

6\VWHPLQWHJULW¦W 6\VWHPK¦UWXQJ $XWKHQWLIL]LHUXQJXQG %HQXW]HUYHUZDOWXQJ 3DWFK0DQDJHPHQW (UNHQQXQJYRQ $QJULIIHQ ,QWHJULHUWHU=XJDQJVVFKXW] LQGHU$XWRPDWLVLHUXQJ

Bild 6-1

Defense in Depth-Strategie

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

21

Allgemeine Security-Maßnahmen

Das Defense in Depth-Modell gliedert sich in drei Ebenen: ● Anlagensicherheit Die "Anlagensicherheit" stellt den äußersten Schutzring dar. Unter Anlagensicherheit werden umfassende physikalische Schutzmaßnahmen, z. B. Eingangskontrollen, verstanden, welche eng mit den Schutzmaßnahmen zur IT-Sicherheit abgestimmt sein sollten. ● Netzwerksicherheit Die Maßnahmen, die unter dem Stichwort "Netzwerksicherheit" zusammengefasst werden, bilden das Herzstück der Schutzmaßnahmen. Darunter versteht man die Segmentierung des Anlagennetzwerks mit begrenzter und gesicherter Kommunikation der Teil-Netzwerke ("Secure Islands") sowie die Schnittstellenkontrolle durch den Einsatz von Firewalls. ● Systemintegrität Unter "Systemintegrität" werden zwei wesentliche Schutzaspekte zusammengefasst. PCbasierte Systeme und die Steuerungsebene müssen gegen Angriffe geschützt werden. Dazu gehören z. B. folgende Maßnahmen: – Integrierte Zugriffsschutz-Mechanismen in Automatisierungskomponenten, um unbefugte Änderungen über das Engineering-System oder während der Wartung zu verhindern – Nutzung von Antivirus- und Whitelisting-Software, um PC-Systeme gegen Malware zu schützen – Wartungs- und Updateprozesse, um die Automatisierungssysteme aktuell zu halten (z. B. Patch Management, Firmware-Updates etc.)

22

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Allgemeine Security-Maßnahmen 6.1 Anlagensicherheit

6.1

Anlagensicherheit

$QODJHQVLFKHUKHLW

Durch Lücken in der physikalischen Sicherheit eines Unternehmens können Unbefugte das Produktionsgelände/-gebäude betreten und Produktionseinrichtungen beschädigen oder verändern. Dabei können auch vertrauliche Informationen verloren gehen. Dies kann verhindert werden, wenn sowohl der Unternehmensstandort als auch die Produktionsbereiche entsprechend geschützt werden.

6.1.1

Physikalischer Schutz kritischer Produktionsbereiche

Unternehmenssicherheit Die physikalische Unternehmenssicherheit kann durch folgende Maßnahmen sichergestellt werden: ● Abgesperrtes und überwachtes Unternehmensgelände ● Einlasskontrolle, Schlösser/Kartenleser und/oder Wachpersonal ● Begleitung betriebsfremder Personen durch Unternehmensangehörige ● Sicherheitsprozesse im Unternehmen werden geschult und von allen Mitarbeitern gelebt

Physikalische Produktionssicherheit Die physikalische Produktionssicherheit kann u. a. durch folgende Maßnahmen sichergestellt werden: ● Separate Zutrittskontrolle für kritische Bereiche, wie z. B. Produktionsbereiche ● Einbau kritischer Komponenten in abschließbare Schaltschränke / Schalträume inkl. Überwachungs- und Alarmierungsmöglichkeiten ● Funkfeldplanung zur Einschränkung der WLAN-Reichweiten, damit diese nicht außerhalb der definierten Bereiche (z. B. Werkshalle) verfügbar sind. ● Richtlinien, welche die Nutzung von fremden, als nicht sicher eingestuften Datenträgern (z. B. USB-Sticks) und IT-Geräten (z. B. Notebooks) an Systemen untersagen.

Weitere Informationen Weitere Informationen zu integrierten Sicherheitslösungen von Siemens finden Sie auf der Siveillance-Seite (https://www.buildingtechnologies.siemens.com/bt/global/de/sicherheit).

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

23

Allgemeine Security-Maßnahmen 6.2 Netzwerksicherheit

6.2

Netzwerksicherheit

1HW]ZHUNVLFKHUKHLW

Netzwerksicherheit umfasst alle Maßnahmen zur Planung, Ausführung und Überwachung der Sicherheit in Netzwerken. Dies beinhaltet die Kontrolle aller Schnittstellen, z. B. zwischen Büro- und Anlagennetzwerk oder der Fernwartungszugänge zum Internet.

6.2.1

Netzwerksegmentierung

6.2.1.1

Trennung zwischen Produktions- und Office-Netzen Eine wichtige Schutzmaßnahme für Ihre Automatisierungs- oder Antriebsanlage ist die strikte Trennung zwischen den Produktionsnetzen und den übrigen Unternehmensnetzwerken. Durch diese Trennung schaffen Sie Schutzzonen für Ihre Produktionsnetze. Hinweis Die in diesem Handbuch beschriebenen Produkte dürfen nur in definierten Schutzzonen betrieben werden.

Trennung über Firewall-System Im einfachsten Fall erfolgt die Trennung über ein einzelnes Firewall-System, das die Kommunikation zwischen den Netzen kontrolliert und reglementiert.

Trennung über DMZ-Netzwerk Bei der sichereren Variante erfolgt die Kopplung über ein separates DMZ-Netzwerk. Dabei wird die direkte Kommunikation zwischen Produktions- und Unternehmensnetzwerk durch Firewalls komplett unterbunden und erfolgt nur indirekt über Server im DMZ-Netzwerk. Hinweis Auch die Produktionsnetze sollten in separate Automatisierungszellen unterteilt werden, um kritische Kommunikationsmechanismen zu schützen.

24

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Allgemeine Security-Maßnahmen 6.2 Netzwerksicherheit

Allgemeine Security-Maßnahmen Befolgen Sie auch innerhalb von Schutzzonen die allgemeinen Security-Maßnahmen, z. B.: ● Virenscanner (Seite 32) ● Reduktion von Angriffspunkten (Seite 29)

6.2.1.2

Netzsegmentierung mit SCALANCE S Um den Anforderungen nach Netzwerkschutz und -segmentierung gerecht zu werden, bietet Siemens die SCALANCE S Security-Modules an. Weitere Informationen zur SIEMENS SCALANCE S finden Sie im Internet (http://siemens.de/scalance-s).

SCALANCE S Security-Modules SCALANCE S Security-Modules mit Security Integrated bieten: ● Stateful Inspection Firewall Um eine benutzerspezifische Kontrolle und Protokollierung zu erreichen, können auch Firewallregeln festgelegt werden, die nur für bestimmte Benutzer gelten. ● VPN via IPsec (Datenverschlüsselung und Authentifizierung) Hiermit wird ein gesicherter Tunnel zwischen authentifizierten Benutzern hergestellt, dessen Daten nicht abgefangen oder manipuliert werden können. Der wichtigste Aspekt ist der Schutz gegen externen Zugriff über das Internet. ● NAT/NATP (Adressumsetzung) ● Router Funktionalität (PPPoE, DDNS) für Breitband-Internetzugang (DSL, Kabel) ● SCALANCE S623 mit zusätzlichem VPN-Port (DMZ) ermöglicht die sichere Anbindung eines weiteren Netzwerks zu Service- oder Fernwartungszwecken. Außerdem erlaubt S623 eine sichere, redundante Anbindung unterlagerter Netzwerke mittels Router- und Firewallredundanz. ● SCALANCE S615 verfügt über fünf Ethernet-Ports, mit denen sich unterschiedliche Netzwerktopologien mittels Firewall oder Virtual Private Network VPN (IPsec und OpenVPN) schützen und Security-Konzepte flexibel umsetzen lassen.

Voraussetzung ACHTUNG Datenmissbrauch Lange Wege zwischen dem zu schützenden Gerät und den vorgelagerten Security Modules können zu Datenmissbrauch einladen. ● Beachten Sie, dass vorgelagerte Security Modules, wie SCALANCE S, nah am zu schützenden Gerät im abgeschlossenen Schaltschrank verbaut werden müssen. So wird gewährleistet, dass an dieser Stelle nicht unbemerkt Daten manipuliert werden.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

25

Allgemeine Security-Maßnahmen 6.2 Netzwerksicherheit

Prinzip Das folgende Applikationsbeispiel zeigt die Zellensegmentierung durch mehrere SCALANCE S-Modules, die sich jeweils vor den Automatisierungszellen befinden. Mit der Firewall von SCALANCE S kann der Datenverkehr von und zu den Geräten innerhalb der Automatisierungszellen gefiltert und kontrolliert werden. Der Verkehr zwischen den Zellen kann bei Bedarf verschlüsselt und authentifiziert werden. Gesicherte Kanäle und der Clientzugriff von den PCs auf die Zellen können über SOFTNET Security Client, eine VPNClient-Software für PCs, hergestellt werden.

26

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Allgemeine Security-Maßnahmen

$QODJHQVLFKHUKHLW

6.2 Netzwerksicherheit

2EMHNWVLFKHUXQJ 6HFXULW\0DQDJHPHQW

2IILFH1HW]ZHUN

'0=

1HW]ZHUNVLFKHUKHLW

'RPDLQ &RQWUROOHU

3&PLW &3

6&$/$1&( 6

6HUYHU

:(% 6HUYHU

6HUYHU

*356 8076

6&$/$1&( 0 6,0$7,& 6PLW &3 ,QWHUQHW 5RXWHU

=HQWUDOHU $UFKLY 6HUYHU

,QWHUQHW

66&

6,0$7,&)LHOG3* PLW62)71(7 6HFXULW\&OLHQW

6&$/$1&( 0

,QGXVWULDO(WKHUQHW

6&$/$1&(6

6&$/$1&(6

3URGXNWLRQVQHW]ZHUN 3URGXNWLRQ

3URGXNWLRQ

6,0$7,& 6PLW &3

6\VWHPLQWHJULW¦W

6PLW &60

6,0$7,& 6PLW &3 $GYDQFHG

3URGXNWLRQ

3URGXNWLRQ 6,180(5,. 'VO

6,0$7,& 6PLW &3 $GYDQFHG

6,0$7,& 6 352),1(7

(7

352),1(7

6,0$7,& 6,0$7,& 6 (7 63

6,0$7,& 73

Bild 6-2

3URGXNWLRQ

6,1$0,&6 6,0$7,& 73

352),1(7

6,0$7,& (7 63

6,1$0,&6 6,0$7,& 73

352),1(7

352),1(7

6,0$7,& 73 &RPIRUW 6,027,21'[PLW 6,1$0,&6

6,0$7,& (76

6,0$7,& .73

6,1$0,&6

Applikationsbeispiel SCALANCE S

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

27

Allgemeine Security-Maßnahmen 6.2 Netzwerksicherheit

VPN-Zugang Hinweis Beachten Sie, dass ein VPN-Zugang immer mit einem SCALANCE S Security-Module erfolgen muss.

28

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Allgemeine Security-Maßnahmen 6.3 Systemintegrität

6.3

Systemintegrität

6\VWHPLQWHJULW¦W

Unter dem Begriff Systemintegrität werden Maßnahmen zusammengefasst, die Automatisierungs-, Antriebssysteme und Steuerungskomponenten, SCADA und HMISysteme gegen unbefugte Zugriffe und Malware schützen sollen.

6.3.1

Systemhärtung

6.3.1.1

Reduktion von Angriffspunkten

Dienste und Ports Aktivierte Dienste und Ports stellen ein Risiko dar. Zur Risikominimierung sollten bei allen Automatisierungskomponenten nur die benötigten Dienste aktiviert werden. Berücksichtigen Sie alle aktivierten Dienste (insbesondere Webserver, FTP, Fernwartung, etc.) im SecurityKonzept. Eine Beschreibung aller genutzten Ports finden Sie im Kapitel Produktspezifische SecurityMaßnahmen (Seite 35) oder in den Gerätehandbüchern/Funktionshandbüchern der jeweiligen Produkte.

Benutzer-Accounts Jeder aktive Benutzer-Account ermöglicht einen Zugriff auf das System und ist damit ein potenzielles Risiko. Treffen Sie deshalb folgende Sicherheitsmaßnahmen: ● Reduktion konfigurierter / aktivierter Benutzer-Accounts auf das wirklich benötigte Minimum ● Verwendung sicherer Zugangsdaten für die vorhandenen Accounts. Dazu zählt auch die Vergabe eines sicheren Passworts. ● Regelmäßige Prüfung insbesondere der lokal konfigurierten Benutzer-Accounts ● Regelmäßiges Wechseln von Passwörtern

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

29

Allgemeine Security-Maßnahmen 6.3 Systemintegrität

PC im Industrieumfeld Der verwendete PC im Industrieumfeld muss den allgemein gültigen Security-Empfehlungen entsprechen. Treffen Sie deshalb folgende Maßnahmen: ● Der eingesetzte PC wird durch geeignete Abteilungen eingerichtet und administriert, regelmäßig überprüft und gepatcht und somit auf dem aktuellsten Stand der Technik gehalten. Dies bedeutet, dass immer vom Hersteller unterstützte und gewartete Software und Betriebssysteme installiert sind. ● Regelmäßiges Installieren von Sicherheitsupdates und Patches für das installierte Betriebssystem (siehe Kapitel Windows-Patchmanagement (Seite 34)) ● Am eingesetzten PC muss ein aktueller Virenscanner installiert sein, der regelmäßig aktualisiert wird. ● Alternativ dazu können Sie mit den Methoden Whitelisting (Seite 33) und Netzsegmentierung (Seite 24) arbeiten. ● Der PC sollte - nach Möglichkeit - eine Konfiguration ohne Admin-Rechte aufweisen. ● Der PC sollte - nach Möglichkeit - nicht für andere Aufgaben verwendet werden, z. B. im Office Netzwerk. Dies dient der in Kapitel "Trennung zwischen Produktions- und OfficeNetzen (Seite 24) " behandelten Trennung der Netze. ● Wenn Sie den PC für andere Tätigkeiten verlassen, aktivieren Sie immer den Sperr-Modus des Betriebssystems. Somit ist der Bildschirminhalt für andere Personen nicht mehr lesbar. Sonstiger unbefugter Zugriff auf den PC muss verhindert werden.

Datenablage Hinweis Achten Sie bei der Ablage Ihrer security-relevanten Daten auf Ihrem PC eigenverantwortlich auf eine sichere Datenablage. Dazu zählen u. a. folgende Maßnahmen: ● Kennzeichnen Sie Ihre Dokumente konsequent nach Vertraulichkeitsstufen, indem Sie eine Dokumenten-Klassifizierung einführen. ● Schützen Sie Ihre verschlüsselten Ablageorte, wie z. B. Sharepoints, vor Manipulationen. ● Legen Sie vertrauliche bzw. security-relevante Daten, wenn unbedingt nötig, nur verschlüsselt auf Ihrem PC / Systemen oder dem Netzwerk ab. Zu security-relevanten Daten gehören sensible Daten, wie z. B. Archive, Passwörter oder ausführbare Dateien (*.exe). ● Legen Sie regelmäßig Sicherungen von ihren security-relevanten Daten an und schützen Sie diese Verlust und Manipulation.

30

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Allgemeine Security-Maßnahmen 6.3 Systemintegrität

Daten transportieren Hinweis Treffen Sie beim Transport von Daten folgende Maßnahmen: ● Wenn Sie vertrauliche und/oder security-relevante Daten per E-Mail verschicken möchten, senden Sie diese E-Mail immer nur verschlüsselt. ● Wenn Sie vertrauliche und/oder secrutiy-relevante Daten auf einem Datenträger (USBStick, Festplatte, etc.) transportieren möchten, achten Sie darauf, welche Datenträger als sicher eingestuft werden. Diese Datenträger müssen regelmäßig auf Viren überprüft werden. Speichern Sie Ihre Daten auch auf lokalen Datenträgern nur verschlüsselt ab. Diese Maßnahmen gelten insbesondere für sensible Daten, wie z. B. Archive, Passwörter oder ausführbare Dateien (*.exe).

Passwörter ACHTUNG Datenmissbrauch durch unsichere Passwörter Durch die Vergabe von unsicheren Passwörtern kann es leicht zu Datenmissbrauch kommen. Unsichere Passwörter können leicht geknackt werden. ● Ändern Sie deshalb die Standard-Passwörter immer während der Inbetriebnahme und passen Sie diese regelmäßig nach definierten Zeiträumen an. ● Halten Sie Ihre Passwörter stets geheim und tragen Sie dafür Sorge, dass nur befugte Personen Zugang zu den jeweiligen Passwörtern haben.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

31

Allgemeine Security-Maßnahmen 6.3 Systemintegrität

Hinweis Sichere Passwörter vergeben Beachten Sie bei der Vergabe von neuen Passwörtern die folgenden Regeln: ● Beachten Sie bei der Vergabe von neuen Passwörtern, dass Sie niemals leicht zu erratende Passwörter vergeben, z. B. einfache Wörter, leicht zu erratende Tastenfolgen auf der Tastatur, etc. ● Passwörter müssen immer eine Kombination aus Groß- und Kleinbuchstaben enthalten sowie Zahlen und Sonderzeichen. Passwörter müssen aus mindestens 8 Zeichen bestehen. PINS müssen aus einer willkürlichen Abfolge von Ziffern bestehen. ● Sie müssen - wo immer es möglich ist und wo es von den IT-Systemen und der Software unterstützt wird - stets die höchste Komplexität von Zeichen für die Wahl eines Passworts ansetzen. Weitere Regeln zur Vergabe von sicheren Passwörtern finden Sie beim Bundesamt für Sicherheit in der Informationstechnik (BSI). (https://www.bsi.bund.de/DE/Themen/ ITGrundschutz/ITGrundschutzKataloge/Inhalt/_content/m/m02/m02011.html) Zur Unterstützung im Umgang mit Passwörtern können Sie ein Programm zur Passwortverwaltung nutzen. Mit dessen Hilfe können Sie Passwörter und Geheimzahlen verschlüsselt speichern, verwalten sowie sichere Passwörter erzeugen.

Produktsicherheitsmeldungen Hinweis Produktsicherheitsmeldungen befolgen Die Bedrohungslage ist vielfältig und ändert sich ständig. Halten Sie sich deswegen über den Industry Online Support (https://support.industry.siemens.com/sc/ww/de/sc/2090) regelmäßig darüber auf dem Laufenden, ob es neue und relevante Produktsicherheitsmeldungen zu Ihren Produkten gibt. Befolgen Sie die Anweisungen der Produktsicherheitsmeldungen.

6.3.1.2

Virenscanner Ein Antivirenprogramm, Virenscanner oder Virenschutz-Programm ist eine Software, die bekannte Computerviren, Computerwürmer und trojanische Pferde aufspüren, blockieren und gegebenenfalls beseitigen soll. Virenscanner können prinzipiell nur bekannte Schadprogramme (Viren, Würmer, Trojaner etc.) bzw. Schadlogiken erkennen und somit nicht vor allen Viren und Würmern schützen. Daher können Virenscanner generell nur als Ergänzung zu allgemeinen Vorsichtsmaßnahmen betrachtet werden. Der Einsatz eines Virenscanners darf den Produktionsbetrieb einer Anlage nicht beeinträchtigen. Dies führt in letzter Konsequenz dazu, dass selbst ein virenverseuchter

32

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Allgemeine Security-Maßnahmen 6.3 Systemintegrität Computer nicht sofort automatisch abgeschaltet werden darf, wenn dadurch die Kontrolle über den Produktionsprozess verloren gehen würde. ACHTUNG Datenmissbrauch bei Online-Virenscannern Wenn Sie einen Online-Virenscanner verwenden, können security-relevante oder vertrauliche Daten in falsche Hände gelangen und mißbraucht werden. ● Prüfen Sie desewgen keine security-relevanten oder vertraulichen Daten über einen Online-Virenscanner. Hinweis Virenscanner aktuell halten Achten Sie darauf, dass die Datenbank des Virenscanners immer dem aktuellsten Stand entspricht. Hinweis Keine gleichzeitige Installation mehrerer Virenscanner Eine gleichzeitige Installation mehrerer Virenscanner auf einem System ist grundsätzlich zu vermeiden. Hinweis Betrieb im lokalen Netz Benutzen Sie auch beim lokalen Verbinden mit dem Anlagennetz immer einen Virenscanner.

6.3.2

Whitelisting Der Ansatz von Whitelisting besteht darin, dass allen Anwendungen (Applikationen) misstraut wird, außer denen, die bei einer Prüfung als vertrauenswürdig eingestuft wurden. D. h., es wird eine Positivliste (weiße Liste, eine so genannte Whitelist) gepflegt. Diese Positivliste enthält somit die Anwendungen / Applikationen, die als unbedenklich eingestuft wurden und somit auf ihren PC-Systemen ausgeführt werden dürfen. Whitelisting-Mechanismen bieten zusätzlichen Schutz gegen unerwünschte Applikationen bzw. Schadsoftware sowie unerlaubte Änderungen an installierten Applikationen oder ausführbaren Dateien (.exe, .dll).

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

33

Allgemeine Security-Maßnahmen 6.3 Systemintegrität

6.3.3

Windows-Patchmanagement

WSUS Für aktuelle Windows-Systeme steht die von Microsoft angebotene Systemfunktionalität WSUS (Windows Server Update Services) zur Verfügung. WSUS unterstützt Administratoren, Microsoft-Updates in großen lokalen Netzwerken auszuliefern. WSUS lädt automatisch Updatepakete (Microsoft Update) und bietet sie den Windows-Clients zur Installation an. Durch den vollautomatischen Update-Prozess wird sichergestellt, dass immer die aktuellen Microsoft Sicherheitsupdates auf den Siemens-Clients zur Verfügung stehen. ACHTUNG Sicherheitslücken bei veralteten Betriebssystemen Beachten Sie, dass bei Betriebssystemen < Windows 7 keine automatischen SicherheitsUpdates, Hotfixes, etc. mehr von Microsoft zur Verfügung gestellt werden. Dadurch kann es zu gefährlichen Sicherheitslücken auf Ihrem Betriebssystem kommen. ● Nutzen Sie deswegen eine Whitelisting-Applikation. Hinweis Beachten Sie vor der Installation von Microsoft Updates die folgenden wichtigen Punkte: ● Prüfen Sie vor der Installation des Updates gewissenhaft, ob das aktuelle Update wirklich verträglich bzw. kompatibel mit Ihrem System ist. Sie tragen an dieser Stelle die Verantwortung für die Installation des Updates! ● Verbinden Sie sich niemals direkt mit dem WSUS-Server im Internet! Sorgen Sie für eine sichere Umgebung und installieren Sie eine Zwischenschicht (z. B. DMZ-Netzwerk, Firewall, SCALANCE S-Module, etc.).

Produktsoftware Hinweis Auch veraltete Produktsoftware stellt eine mögliche Angriffsfläche dar. Installieren Sie deswegen immer die aktuellsten verfügbaren Produktsoftware-Versionen.

34

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen

7

In diesem Kapitel finden Sie zusätzliche produktspezifische Security-Maßnahmen zu den Produkten SINUMERIK, SIMOTION und SINAMICS.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

35

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK

7.1

SINUMERIK Das folgende Kapitel gibt Ihnen eine Übersicht der sicherheitsrelevanten Maßnahmen, die Sie treffen können, um Ihre SINUMERIK-Steuerung vor Bedrohungen zu schützen. Alle Maßnahmen haben dabei, wie das gesamte Handbuch, ausdrücklich empfehlenden Charakter. Ausführliche Beschreibungen sowie detaillierte Vorgehensweisen entnehmen Sie der entsprechend angegebenen SINUMERIK-Dokumentation.

7.1.1

Physikalischer Schutz der NCU ACHTUNG Missbrauch, Manipulation und Diebstahl Baugruppen, wie z. B. die NCU, sind offene Betriebsmittel. Ungeschützt besteht die Gefahr von Missbrauch durch unbefugtes Personal, Manipulation oder Diebstahl von Daten (z. B. CompactFlash Card). ● Bauen Sie deswegen die NCU nur in Gehäusen und abgeschlossenen Schaltschränken oder in elektrischen Betriebsräumen auf. Nur unterwiesenes oder zugelassenes Personal darf Zugang zu den Gehäusen, Schränken oder elektrischen Betriebsräumen haben. ● Weitere Informationen zur Schaltschrankmontage der NCU finden Sie im Gerätehandbuch "SINUMERIK 840D sl NCU 7x0.3 PN".

7.1.2

Firewall und Vernetzung

Vernetzungsstruktur der NCU/PCU Die folgende Grafik zeigt die Vernetzung der Steuerung (NCU) und der PCU. Die Vernetzung ins Firmennetz sollte über X130 an der NCU und eth1 an der PCU erfolgen. Diese beiden Schnittstellen sind mit einer Firewall gegen unerlaubte Zugriffe geschützt. Die NCU beinhaltet eine Paketfilter-Funktionalität (Firewall), die Verbindung zum Fabriknetz wird hierdurch gefiltert. Diese integrierte Firewall ist mit optimalen Einstellungen für ein- und ausgehende Kommunikation vorkonfiguriert. Die Firewall ist so eingestellt, dass ein Zugriff auf die dahinter liegenden Netzte blockiert wird und dass vermehrte Anmeldeversuche von einer bestimmten IP-Adresse erkannt, blockiert und verhindert werden. Somit ist die Steuerung auch vor so genannten Brute-Force-Attacken geschützt.

36

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK Die PCU besitzt die Firewall-Funktion über die Windows-Funktionalität. ACHTUNG Datenmissbrauch durch ungeschützte Schnittstelle Da die X120-Schnittstelle nicht durch eine Firewall geschützt ist, besteht die Gefahr des Datenmissbrauchs. Die Schnittstelle stellt ausschließlich eine Anschlussmöglichkeit für das lokale Anlagennetz dar. ● Verbinden Sie deswegen dieses lokale Netz niemals mit dem Internet/Firmennetz.

)LUPHQQHW]ZHUN

(WKHUQHW

)LUHZDOO

HWKPLW )LUHZDOO

6HUYHU

6,180(5,.23 3&87&8

6,180(5,. %HGLHQWDIHO

HWK )LUPHQQHW]; PLW)LUHZDOO

)LUPHQQHW]; PLW)LUHZDOO

/RNDOHV+0, $QODJHQQHW] ; 6,180(5,.['

; 6HUYLFHORNDO

;

352),1(7 6,180(5,.'VO

Bild 7-1

Vernetzung NCU/PCU

Firewall-Einstellungen Die Ethernet-Schnittstelle X130 der NCU und die eth1-Schnittstelle der PCU sind aus Sicherheitsgründen mit einer Firewall geschützt. Wenn einzelne Programme zur Kommunikation auf einen Kommunikationsport zugreifen müssen, können Sie die Firewall über das HMI aktivieren bzw. deaktivieren. Zusätzliche Ports können separat freigeschaltet werden. Alternativ können Sie die Firewall über die "basesys.ini" konfigurieren.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

37

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK Nähere Informationen zur Konfiguration der Firewall sowie die Defaulteinstellungen finden Sie in den Handbüchern: ● SINUMERIK Operate (IM9) (https://support.industry.siemens.com/cs/de/de/view/ 109481529) ● Diagnosehandbuch (808D) (https://support.industry.siemens.com/cs/de/en/view/ 109736368)

7.1.3

Maschinensteuertafeln SINUMERIK (MCP/MPP) Für die anwenderfreundliche Bedienung der Maschinenfunktionen von SINUMERIK stehen Maschinensteuertafeln (Machine Control Panels und Machine Push Button Panels) zur Verfügung. Hinweis Betreiben Sie Maschinensteuertafeln (MCP/MPP) ausschließlich am internen, lokalen Maschinennetz und sichern Sie diese gegen Fremdzugriffe.

7.1.4

Systemhärtung

7.1.4.1

Hardware-Schnittstellen deaktivieren

Schnittstellen deaktivieren

Maßnahme

Beschreibung

Ethernet-Schnittstellen im Sie haben die Möglichkeit, die Ethernet-Schnittstellen im BIOS der PCU aktivieren oder deak‐ BIOS der PCU deaktivieren/ tivieren. aktivieren Detaillierte Informationen dazu finden Sie im Handbuch "SINUMERIK 840D sl PCU-Basesoft‐ ware (IM8)", Kapitel "BIOS Einstellungen". USB-Schnittstellen deaktivieren/aktivieren

Um zu verhindern, dass über die USB-Schnittstellen schädliche Software auf die Steuerung oder ins Anlagennetz gelangt, können die USB-Schnittstellen der NCU abgeschaltet werden. Nutzen Sie dazu den Service-Befehl "sc_usb disable". Geben Sie den Befehl auf dem Service Desktop im Dialog "Run" oder in der Eingabeaufforderung ein. Nutzen Sie diese Funktion, um Ihr System sicherer zu machen und vor ungewollter Manipulation und Schadsoftware zu schützen. Detaillierte Informationen finden Sie im Handbuch "SINUMERIK 840D sl PCU Basesoftware (IM8)", Kapitel "So schalten Sie die USB-Schnittstellen ab".

38

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK

Ports deaktivieren

Maßnahme

Beschreibung

PROFINET-Port bei SINUMERIK 840D sl PLC deaktivieren

In STEP 7 HW-Konfig kann ein Port der PROFINET-Schnittstelle einer SINUMERIK PLC deaktiviert (X150) werden. Standardmäßig ist dieser aktiviert. Über einen deaktivierten Port der PROFINET-Schnittstelle ist die SINUMERIK PLC nicht erreichbar. Detaillierte Informationen finden Sie im Gerätehandbuch "S7-300, CPU 31xC und CPU 31x:Technische Daten", Kapitel "Projektieren der Port-Eigenschaften". Keine Kommunikationsfunktion. Beachten Sie, dass über einen deaktivierten Port keine Kommunikationsfunktionen, wie z. B. PG-/OP-Funktionen, offene IE-Kommunikation oder S7-Kommunikation (PROFINET I/O) möglich sind.

PROFINET-Port von SCALANCE X Switch deaktivieren (ab X200-Serie möglich)

7.1.4.2

Für einen sicheren Betrieb sollte nur ein definierter Zugangspunkt zum Netzwerk für Diagnose/ Wartung verfügbar sein. Alle anderen Ports an den Steuerungen, Devices oder Switches (Scalance X) sollten deaktiviert sein. Dadurch wird unbefugter Zugang vermieden. Detaillierte Informationen finden Sie im Projektierungshandbuch "Industrial Ethernet Switches SCALANCE X-200", Kapitel "Ports".

Kommunikationsdienste und verwendete Portnummern SINUMERIK unterstützt bestimmte Kommunikationsprotokolle. Für jedes Protokoll sind die Adressparameter, die betroffene Kommunikationsschicht sowie die Kommunikationsrolle und die Kommunikationsrichtung entscheidend. Diese Informationen ermöglichen Ihnen, Security-Maßnahmen zum Schutz des Automatisierungssystems auf die verwendeten Protokolle abzustimmen (z. B. Firewall). Detailliertere Informationen finden Sie im Gerätehandbuch SINUMERIK.

7.1.4.3

Whitelisting

Applikationsbeispiel SINUMERIK Am Beispiel der Software McAfee Application Control wird beschrieben, wie eine „Härtung“ der SINUMERIK PCU 50 mit Windows XP erfolgen kann. Die lizenzpflichtige Software kann mit der PCU 50 als Stand-alone Variante (Solidifier/Solidcore) benutzt werden. Der Bezug der Whitelisting-Software erfolgt direkt vom Hersteller. Eine ausführliche Beschreibung dieser Applikation finden Sie im Internet (https:// support.industry.siemens.com/cs/ww/de/view/89027076).

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

39

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK

Hinweis Systemhärtung bei Software-Lösungen Achten Sie beim Einsatz von SINUMERIK Integrate Software und weiteren PC-Applikationen, z. B. Create MyConfig (CMC) oder Access MyMachine (AMM), immer darauf, dass der PC, auf dem die Software zum Einsatz kommt, den neuesten Anforderungen an Industrial Security genügt. Dazu gehören z. B.: ● Aktuelle Microsoft Sicherheitsupdates ● Aktuelle Virenscanner-Software ● Aktivierte Firewall, etc. Weitere Informationen finden Sie im Kapitel Systemintegrität (Seite 29).

7.1.5

Virenschutz Im Kontext von immer neuen Warnmeldungen zu Computerviren gewinnt auch das Thema Virenschutz an SINUMERIK-Steuerungen mit PCU50 (Microsoft Windows) immer mehr an Bedeutung. Hinweis Treffen Sie nötige Maßnahmen zum Virenschutz Treffen Sie alle notwendigen Maßnahmen zum Virenschutz im Umfeld der CNC-Steuerung. Dazu gehören auch ein entsprechender Umgang mit Datenträgern, USB-Sticks und Netzwerkverbindungen, Vorsichtsmaßnahmen bei der Überspielung von Daten und bei Software-Installationen etc. Informationen zur Verteilung der Virensignaturen in komplexen Netzwerken finden Sie im Internet (https://support.automation.siemens.com/WW/view/de/19577116).

40

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK

7.1.5.1

Virenschutz/Speicherkarte Der Umgang mit der Speicherkarte erfordert bei allen SINUMERIK-Geräten, die über eine Speicherkarte verfügen, besondere Sorgfalt, damit keine schädliche Software auf das System gelangt. WARNUNG Lebensgefahr durch Softwaremanipulation bei der Verwendung von Wechselspeichermedien Die Ablage von Dateien auf Wechselspeichermedien birgt ein erhöhtes Risiko gegenüber Infektionen, z. B. mit Viren oder Malware. Durch fehlerhafte Parametrierung können Fehlfunktionen an Maschinen auftreten, die zu Körperverletzungen oder Tod führen können. ● Schützen Sie die Dateien im Wechselspeichermedium vor Schad-Software durch entsprechende Schutzmaßnahmen, z. B. Virenscanner.

7.1.6

Security Updates / Patchmanagement Zum Zeitpunkt der Auslieferung der PCU ist es, organisatorisch bedingt, nicht möglich, den neuesten Securtiy-Patchstand von Windows zur Verfügung zu stellen. Installieren Sie deswegen alle aktuellen Windows Security Patches vor Ort. Sie bedarf einer sicheren Verbindung zu einem Updateserver, z. B. über eine DMZ oder einen lokalen WSUS-Server (siehe Kapitel Windows-Patchmanagement (Seite 34)). Mögliche bekannte Security-Schwachstellen der NCU werden jeweils in der aktuellsten CNCSoftware-Version berücksichtigt bzw. behoben. Wir empfehlen deswegen, nach Möglichkeit immer die aktuelle CNC-Software-Version einzusetzen bzw. die Steuerung entsprechend hochzurüsten. Nur so können Sie sicherstellen, dass Ihre Steuerung auch dem neuesten Security-Stand entspricht.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

41

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK

Einsatzfälle von Sicherheitsupdates Zwei Einsatzfälle von SINUMERIK-Steuerungen mit Microsoft Sicherheitsupdates werden unterschieden: ● Sicherheitsupdate vor dem ersten Produktiveinsatz Bis zum Produktiveinsatz beim Endkunden vergehen i. d. Regel einige Monate (Produktion bei Siemens, Integration beim OEM-Kunden, Projektierung und Inbetriebnahme beim Endkunden). D. h. spätestens zum Produktiveinsatz beim Endkunden ist ein erneutes Aufspielen von Microsoft-Sicherheitsupdates notwendig. ● Sicherheitsupdate während Produktiveinsatz Wir empfehlen regelmäßig die aktuellen Patches bei Wartungszyklen einzuspielen. Dafür steht die von Microsoft angebotene Systemfunktionalität WSUS zur Verfügung. Hinweis Verfügbarkeit Die Verfügbarkeit von Microsoft Sicherheitsupdates wird über die Microsoft-SecurityBulletins veröffentlicht. Die Verwendung der Sicherheitsupdates liegt ausschließlich im Ermessen und in der Verantwortung des Kunden. Sie kann auf Basis der im Microsoft Security Bulletin gemachten "Bewertung des maximalen Schweregrades" erfolgen. Hinweise zu Sicherheitsupdates für die PCU und Downloadlinks veröffentlicht Microsoft im Internet (https://technet.microsoft.com/de-de/security/bulletins).

7.1.7

Kennwörter ACHTUNG Datenmissbrauch durch unsichere Kennwörter Durch die Vergabe von unsicheren Kennwörtern kann es leicht zu Datenmissbrauch kommen. Unsichere Kennwörter können leicht geknackt werden. Für die einfache Inbetriebnahme sind die dokumentierten Kennwörter vorbelegt. ● Ändern Sie die vorbelegten Standardkennwörter immer während der Inbetriebnahme und passen Sie diese nach regelmäßig definierten Zeiträumen an. ● Ändern Sie bei der Inbetriebnahme auch das Linux-Passwort zusätzlich zu dem NCK/HMIKennwörtern. Weitere Informationen finden Sie im Inbetriebnahmehandbuch "Betriebssystem NCU".

7.1.7.1

Definition der Zugriffsstufen Der Zugriff auf Programme, Daten und Funktionen ist benutzerorientiert über 7 hierarchische Schutzstufen geschützt. Diese sind unterteilt in ● 3 Kennwort-Stufen für Maschinenhersteller, Inbetriebnehmer und Anwender ● 4 Schlüsselschalter-Stellungen für Anwender

42

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK Es gibt die Schutzstufen 1 bis 7 (siehe folgende Tabelle), wobei ● 1 die höchste und ● 7 die niedrigste Stufe darstellt.

Zugriffsrechte HMI Schutzstufe

Geschützt durch

Bereich

1

Kennwort: SUNRISE (Standardwert)

Maschinenhersteller

2

Kennwort: EVENING (Standardwert)

Service

3

Kennwort: CUSTOMER (Standardwert)

Anwender

4

Schlüsselschalter 3

Programmierer, Einrichter

5

Schlüsselschalter 2

qualifizierter Bediener

6

Schlüsselschalter 1

ausgebildeter Bediener

7

Schlüsselschalter 0

angelernter Bediener

Linux Passwörter / NCK Stufe

Username

UID

(0)

siemens

101

1

manufact

102

2

service

103

3

user

104

4

operator3

105

5

operator2

106

6

operator1

107

7

operator

108

Entsprechend der genannten User gibt es auch immer eine gleichnamige Unix-Gruppe (auch mit gleicher GID zu den UIDs). Als Benutzer sind Sie immer Mitglied in ihrer eigenen Gruppe und darüber hinaus in allen "niedrigeren" Gruppen. Z. B."operator2" ist Mitglied der Gruppen "operator2", "operator1" und "operator". Über diese Gruppen werden hauptsächlich die DateiZugriffsrechte geregelt.

Verweis Weiterführende Informationen, wie Sie die Kennwörter der Zugriffsstufen ändern können sowie weitere Informationen zu Zugriffsstufen für Programme und Softkeys und Zugriffsrechte für Dateien finden Sie im Handbuch "SINUMERIK Operate (IM9)", im Kapitel "Allgemeine Einstellungen > Zugriffsstufen".

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

43

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK

7.1.7.2

CNC-Sperrfunktion Mit der "CNC-Sperrfunktion" haben Sie die Möglichkeit, mithilfe einer verschlüsselten Datei, die mit der SINUMERIK Integrate-Applikation Access MyMachine (AMM) erzeugt wurde, ein Sperrdatum in der Steuerung zu aktivieren. Darüber kann die Nutzung der Maschine auf die Zeit bis zum Erreichen des Sperrdatums begrenzt werden. Bei Überschreiten des Sperrdatums wird die Funktion NC-Start der Steuerung gesperrt. Die CNC-Sperrfunktion unterstützt das Geschäftsmodell mit zeitlich limitierter Nutzung. Der Schutz dient dazu, eine nicht autorisierte Nutzung über den eingestellten Zeitrahmen hinaus zu unterbinden. Weitere Informationen zur CNC-Sperrfunktion und zum Erzeugen der verschlüsselten LocksetDatei finden Sie in im Internet: ● Bedienhandbuch SINUMERIK Integrate Access MyMachine /P2P (PC) (https:// support.industry.siemens.com/cs/products?mfn=ps&lc=de-DE) ● Funktionshandbuch "Grundfunktionen" (https://support.industry.siemens.com/cs/de/de/ view/109481523), Kapitel "P4: PLC für SINUMERIK 828D > CNC-Sperrfunktion"

7.1.7.3

Vorinstallierte SSH-Schlüssel löschen

Anwendungsfall Durch das Entfernen der von Siemens vorinstallierten SSH-Schlüssel können Sie das Risiko von Datenmissbrauch reduzieren. Damit jedoch weiterhin ausreichend Zugriff auf das System vorhanden ist, können eigene SSH-Schlüssel definiert und installiert werden.

Service-Kommando Das Service-Kommando 'sc' ist ein Werkzeug, um verschiedene Service-Aufgaben auf einer SINUMERIK NCU durchzuführen: Syntax:

sc clear preinstalled-keys

Alternative Namen:

---

Berechtigungsstufe

service

Dieses Kommando löscht alle von Siemens vorinstallierten SSH-Schlüssel auf der Steuerung. Beim Aufruf vom Servicesystem aus sind dabei die Schlüssel auf der CompactFlash Card betroffen, nicht die SSH-Schlüssel auf dem Servicesystem selbst.

Verweis Weitere Informationen finden Sie im Inbetriebnahmehandbuch "SINUMERIK 840D sl Betriebssystem NCU (IM7)" im Internet (https://support.industry.siemens.com/cs/de/de/view/ 109481527).

44

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK

7.1.7.4

Webserver PLC Im Auslieferungszustand hat die PLC keine Kennwörter und der Webserver der PLC ist nicht aktiviert. Hinweis ● Wenn Sie den Webserver der PLC im S7-Projekt aktivieren, müssen Sie einen entsprechenden Benutzer und ein zugehöriges Kennwort für den Webserver der PLC festlegen. Vergeben Sie ein sicheres Kennwort. Beachten Sie bei der Kennwortvergabe, die Hinweise aus KapitelReduktion von Angriffspunkten (Seite 29). ● Verwenden Sie zur Herstellung von Vertraulichkeit und Integrität in der Kommunikation nur das HTTPS-Protokoll. Weitere Informationen zum Webserver der PLC finden Sie im Funktionshandbuch "SIMATIC S7-300 Webserver" im Internet (https://support.industry.siemens.com/cs/de/de/ps/faq).

7.1.7.5

Zugriffsstufen für Softkeys Die Anzeige und Bedienung von Softkeys kann sowohl vom OEM als auch vom Anwender unterdrückt werden, um die Bedien-Software gezielt an den benötigten Funktionsumfang anzupassen und so übersichtlich wie möglich zu gestalten. Um den Zugriff auf Funktionen in der Bedien-Software zu verhindern oder um die Möglichkeit der Fehlbedienung einzuschränken, wird hierdurch der Funktionsumfang des Systems eingeschränkt Hinweis Anwendbarkeit geänderter Zugriffsstufen für Softkeys Die Einstellung bestimmter Zugriffsstufen für Softkeys an einer PCU wirkt sich ausschließlich auf die jeweiligen PCU-Softkeys selbst aus. Um Zugriffsrechte auf der NCU umzusetzen, müssen sowohl Hersteller als auch Anwender die geeigneten Mechanismen nutzen und die Berechtigungen entsprechend setzen, siehe Kapitel "Zugriffsstufen für Programme" im Handbuch "SINUMERIK Operate (IM9)".

7.1.7.6

Zugriffsschutz BIOS und AMT Um den unberechtigten Zugriff auf das BIOS der PCU 50 und der SIMATIC IPCs zu unterbinden, setzen Sie ein starkes BIOS-Passwort. (siehe Kapitel Reduktion von Angriffspunkten (Seite 29))

Weitere Informationen Weitere Informationen zu BIOS-Einstellungen der PCU 50 finden Sie im Handbuch "PCUBasesoftware (IM8)".

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

45

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK

Passwort für AMT (Intel® Active Management Technology) setzen Die Funktion Active Management Technology (AMT) dient dem Remote Management der PCU. Beim Remote Management sind generell geeignete Schutzmaßnahmen (z. B. Netzwerksegmentierung) zu ergreifen, um einen sicheren Betrieb der Anlage zu gewährleisten. AMT ist bei Auslieferung einer PCU aus Sicherheitsgründen deaktiviert. Wenn Sie AMT im BIOS-Setup erstmalig aktivieren, vergeben sie ein starkes Passwort, um Missbrauch des Remote Managements zu vermeiden. Weitere Informationen zur AMT-Funktion der PCU sowie der Vorgehensweise zum Ändern des Passworts finden Sie in den Handbüchern der SIMATIC IPCs im Kapitel "Active Management Technology (AMT)".

7.1.7.7

Kennwortschutz bei Create MyConfig (CMC) ACHTUNG Datenmissbrauch durch falsche Rechtevergabe Zugriffsdaten, wie die vorprojektierten Kennwörter für den Zugriff auf die Steuerung, können in falsche Hände geraten. ● Stellen Sie deswegen organisatorisch sicher, dass nur berechtige Personen Zugang zu diesen Dateien erhalten. Hinweis Kennwortschutz bei verknüpften externen Dateien Die in CMC integrierten Schutzmechanismen (Kennwortschutz), greifen nicht für verknüpfte externe Dateien, die im CMC-Kontext eingebunden sind. Hinweis Kennwortschutz Logbücher Beachten Sie, dass es sich beim Kennwortschutz von Logbüchern nur um einen einfachen Leseschutz handelt. Hinweis CMC-Pakete gegen Re-Import sichern Beachten Sie, dass CMC-Pakete per Kennwort gegen Re-Import abgesichert werden müssen. ● Richten Sie deswegen auch immer ein Kennwort gegen Re-Import ein, wenn Sie ein Kennwort für ein neues Projekt vergeben.

7.1.8

Know-how-Schutz Der Schutz von technologischem Wissen vor unberechtigtem Zugriff wird unter dem SINUMERIK Integrate Modul "Lock-it!" gebündelt.

46

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK Darunter fällt ein Kopierschutz sowie eine sichere Verwahrung von Daten mit Firmen-Knowhow, zum Beispiel durch verschlüsselte Zyklen.

7.1.8.1

SINUMERIK Integrate Lock MyCycle Mit der Funktionalität "SINUMERIK Integrate Lock MyCycle" (Zyklenschutz) können Zyklen verschlüsselt und anschließend geschützt in der Steuerung abgelegt werden. Die Verschlüsselung von Zyklen erfolgt außerhalb der Steuerung mit dem Programm SINUMERIK Integrate Access MyMachine/P2P. Bei Zyklen mit Zyklenschutz ist die Abarbeitung in der NC ohne Einschränkung möglich. Um das Know-How des Herstellers zu schützen, ist bei den Zyklen mit Zyklenschutz jegliche Einsicht blockiert. Ein Applikationsbeispiel zum Zyklenschutz für SINUMERIK finden Sie im Internet (https:// support.industry.siemens.com/cs/ww/de/view/109474775).

Verweis Detaillierte Informationen zum Zyklenschutz finden Sie im Inbetriebnahmehandbuch "Inbetriebnahme CNC: NCK, PLC, Antrieb", im Kapitel "Lock MyCycles - Zyklenschutz".

7.1.8.2

SINUMERIK Integrate Lock MyPLC Mit Hilfe von Bausteineigenschaften können Sie die erstellten Bausteine in der SIMATIC PLC u. a. vor unberechtigten Veränderungen schützen. Die Bausteineigenschaften sollten Sie bei geöffnetem Baustein bearbeiten. Neben editierbaren Eigenschaften werden in dem zugehörigen Dialogfeld auch Daten nur zu Ihrer Information angezeigt: Diese können Sie nicht bearbeiten. Ein Baustein, der mit dieser Option übersetzt wurde, lässt keinen Einblick in den Anweisungsteil zu. Die Schnittstelle des Bausteins kann eingesehen, aber nicht verändert werden.

Verweis Detaillierte Informationen zum Bausteinschutz finden Sie im Handbuch "SIMATIC Programmieren mit STEP 7", im Kapitel "Bausteineigenschaften". Hinweis Der integrierte CP in der SINUMERIK 840D sl unterstützt die Option "Baugruppen Zugriffsschutz/Schutzstufe" nicht.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

47

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK

Verschlüsselung von Bausteinen Ab der STEP 7 Version 5.5 SP3 und der CNC-Systemsoftware für 840D sl/ 840D sl V4.5 SP2 können Sie für Funktionen und Funktionsbausteine einen verschlüsselten Bausteinschutz für die Offline- und Online-Ansicht einrichten. Mit dieser Funktion können Sie Ihre Bausteine verschlüsseln und den Bausteincode vor Fremdzugriff schützen. Für SINUMERIK ist bei der Verschlüsselung die Option "SINUMERIK" und ggf. zusätzlich SIMATIC zu wählen. Eine detaillierte Vorgehensweise, wie Sie Ihre Bausteine verschlüsseln können, finden Sie im Internet (https://support.automation.siemens.com/WW/view/de/45632073).

7.1.8.3

OPC UA OPC UA (Unified Architecture) ist ein standardisiertes, industrielles Kommunikationsprotokoll für den Zugriff auf Steuerungsdaten, z. B. durch Leitsysteme. Mit der Software-Option SINUMERIK Integrate Access MyMachine /OPC UA können Variablen einer SINUMERIK 840D sl und einer SINUMERIK 828D über dieses Kommunikationsprotokoll gelesen und geschrieben werden. ACHTUNG Datenmissbrauch durch unsichere Verbindung zum Client Bei einer unverschlüsselten Verbindung zum OPC UA Client besteht die Gefahr von Datenmissbrauch. ● Verschlüsseln Sie deswegen immer ihre Verbindung zum OPC UA Client. ● Informationen zur Verschlüsselung der Datenverbindung finden Sie im Inbetriebnahmehandbuch "Basesoftware und Bedien-Software" im Unterkapitel "SINUMERIK Integrate Access MyMachine /OPC UA". ACHTUNG Datenmissbrauch durch falsche Benutzerverwaltung / Rechtevergabe Durch falsche Benutzerverwaltung und fehlerhafte Rechtvergabe kann ein erhebliches Sicherheitsrisiko entstehen. Benutzer können Zugriff auf Daten oder Aktionen bekommen, für die sie nicht autorisiert sind. ● Wägen Sie stets genau ab, welcher Benutzer welche Rechte bekommen soll. Als Administrator tragen Sie die Verantwortung für eine saubere Benutzerverwaltung und Rechtevergabe. Hinweis Sicheres Passwort wählen Setzen Sie immer ein sicheres Passwort für ihre Verbindung zum OPC UA Client! Weitere Informationen, wie Sie ein sicheres Passwort wählen, finden Sie im Kapitel Reduktion von Angriffspunkten (Seite 29).

48

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK

7.1.8.4

SIMATIC Logon

Benutzerverwaltung und Rückverfolgbarkeit Das Optionspaket SIMATIC Logon dient dazu, Zugriffsrechte für Projekte und Bibliotheken in STEP 7 einzurichten. Diese Projekte sind damit nur noch einem autorisierten Personenkreis zugänglich. SIMATIC Logon ist in Verbindung mit SINUMERIK STEP 7 nutzbar. Nähere Informationen finden Sie im Kapitel Gesicherte Zugriffskontrolle mit SIMATIC Logon (Seite 59).

7.1.9

Datensicherung In der SINUMERIK gibt es für die unterschiedlichen Komponenten unterschiedliche Archivformen und Archivierungsmethoden.

Zeitpunkt der Datensicherung Zur Durchführung einer Datensicherung sind folgende Zeitpunkte empfehlenswert: ● Nach einer Inbetriebnahme ● Änderung von maschinenspezifischen Einstellungen ● Nach dem Austausch einer Hardware-Komponente ● Vor und nach einer Software-Hochrüstung ● Vor dem Aktivieren von speicherkonfigurierenden Maschinendaten Weitere Informationen finden Sie im Inbetriebnahmehandbuch "Inbetriebnahme CNC: NC, PLC, Antrieb". Beachten Sie die allgemeinen Hinweise zur sicheren Datenablage in Bezug auf Archive in Kapitel Reduktion von Angriffspunkten (Seite 29). ACHTUNG Datenmissbrauch von vertraulichen Daten auf der Steuerung Auf der Steuerung besteht die Gefahr von Datenmissbrauch von vertraulichen Daten. ● Vertrauliche Daten dürfen deswegen nicht auf die Steuerung geladen werden (z. B. über die Software "SINUMERIK Integrate Access MyMachine/P2P"). ● Legen Sie vertrauliche Daten immer nur verschlüsselt lokal oder auf einem verschlüsselten Speicherplatz im Netzwerk ab.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

49

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK

7.1.10

SINUMERIK Integrate

7.1.10.1

Stand-alone (Intranet)

Zugang zu Ressourcen des SINUMERIK Integrate Servers Hinweis Zugang zu Ressourcen des SINUMERIK Integrate Server Der schreibende und lesende Zugang zu Dateisystem und Ressourcen des Betriebssystems (insbesondere zur Windows Registry) des SINUMERIK Integrate Servers ist ausschließlich für Nutzer mit Administrations-Rechten frei gegeben. Stellen Sie sicher, dass diese Administrator-Kennungen mit ausreichender Passwortstärke (Seite 29) versehen sind. ACHTUNG Datenmanipulation möglich Es besteht das Risiko, dass sich ein Angreifer innerhalb des Produktions- / Maschinennetzwerks (Intranet) Zugriff auf das Dateisystem des SINUMERIK Integrate Servers oder der verschiedenen SINUMERIK Integrate Clients verschafft. Dort kann der Angreifer verschiedene Systembestandteile (z. B. Datenbankinhalte) manipulieren. Dadurch kann der Angreifer z. B. Werkzeugdaten, NC-Programme, Maschinenarchive oder die Anlagenstruktur verändern. Diese Form des Angriffs kann durch SINUMERIK Integrate nicht unterbunden werden. ● Treffen Sie als Betreiber des Maschinennetzes Maßnahmen für die Industrial Security des Produktions- /Maschinennetzwerks. Die Siemens AG übernimmt hierfür nicht die Haftung.

Nutzung offener Programmierschnittstellen ACHTUNG Datenmissbrauch bei der Nutzung offener Programmierschnittstellen Bei der Nutzung offener Programmierschnittstellen besteht die Gefahr von Datenmissbrauch. ● Verwenden Sie bei der Nutzung offener Programmierschnittstellen deswegen nur Clients, die über aktuelle Authentifizierungsmechanismen (SHA-256) und sichere Kommunikationswege (TLS) mit SINUMERIK Integrate kommunizieren. Dies betrifft insbesondere sämtliche Clients, die auf Versionen der Betriebssysteme Microsoft™ Windows XP vor Servicepack 3 oder Microsoft™ Windows NT laufen.

Systemhärtung Unter Systemhärtung wird die Entfernung aller Softwarebestandteile und Funktionen verstanden, die zur Erfüllung der vorgesehenen Aufgabe durch die gewünschte Anwendung nicht zwingend notwendig sind.

50

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK Systemhärtung von Dritthersteller-Software: Microsoft™ Internet Information Server, Microsoft™ SQL-Server, Browser (Microsoft™ Internet Explorer, Mozilla Firefox) SINUMERIK Integrate benötigt Software von Drittherstellern: u. a. die Produkte Microsoft™ Internet Information Server, Microsoft™ SQL-Server sowie verschiedene Browser. Diese müssen nach aktuellem Stand der Technik gehärtet werden. Beschränken Sie insbesondere den Zugang zum Microsoft™ SQL-Server auf den localhost und sichern Sie den Zugang durch ein Passwort. Verschlüsseln Sie den Zugang zur Datenbank. Zusätzlich sollten Sie nur aktuelle Browser für die Kommunikation mit dem SINUMERIK Integrate Server verwenden. Bei Verwendung veralteter Browser (SSL statt TLS) kann eine sichere Kommunikation nicht gewährleistet werden. Systemhärtung von an SINUMERIK Integrate angrenzender Produkte: z. B. Werkzeugvoreinstellgerät, Teamcenter, AUVESY™ VersionDog SINUMERIK Integrate kommuniziert mit angrenzenden Softwareprodukten, z. B. Werkzeugvoreinstellgeräten, Teamcenter oder VersionDog. Diese müssen nach aktuellem Stand der Technik gehärtet werden, sodass es zu keinen negativen Beeinträchtigungen über diesen Kommunikationsweg kommen kann.

Netzwerk-Dateiaustausch über gemeinsame Laufwerke Hinweis Netzwerk-Dateiaustausch über gemeinsame Laufwerke (Server Message Block, kurz: SMB) Wenn Sie SMBs für den Austausch von Dateien mit SINUMERIK Integrate Funktionalitäten nutzen, verwenden Sie die Standard-Authentifizierungsmechanismen (Benutzername/ Kennwort). Es wird empfohlen, die Zugänge je Benutzer einzuschränken. Die Datenablage in gemeinsamen Laufwerken sollte auf das notwendige Minimum beschränkt werden.

Datensicherung Zur Datensicherung auf Werkzeugmaschinen, siehe Kapitel "Datensicherung (Seite 49)". Sichern Sie zusätzlich die Serverseite. Relevant sind hierbei die Konfiguration und Inhalte der Microsoft SQL Server-Datenbank, des SINUMERIK Integrate Servers und folgender SINUMERIK Integrate Anwendungen: ● MMT ● SFT RM ● MMP ● AMC ● AMP Empfehlenswert sind folgende Zeitpunkte der Datensicherung: ● Nach einer Inbetriebnahme ● Bei Änderung der Hardware-Konfiguration ● Nach Hardware-Austausch ● Vor und nach einer Software-Aktualisierung

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

51

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK

Kommunikationssicherheit SINUMERIK Integrate Anwendungen Die Kommunikation zwischen SINUMERIK Integrate Server und verschiedenen Client-Formen (wie z. B. MMT oder Browsern) ist mit HTTP vorkonfiguriert. Die nötige Konfiguration sollten speziell für SINUMERIK Integrate ausgebildete Servicetechniker unterstützen. Es wird empfohlen, die Kommunikation nach Möglichkeit auf HTTPS umzustellen, wofür ein eigenes Zertifikat nötig ist. Dabei ist zu beachten, dass nicht alle Client/Server-Kombinationen HTTPS ermöglichen.

7.1.10.2

Cloud-Betrieb (ASP) Wenn die Anwendungen AMM und AMC im Cloud-Betrieb genutzt werden, sorgt der Betreiber Siemens AG für die Sicherheit des SINUMERIK Integrate Servers. Auf Kundenseite muss nur die maschinenseitige Infrastruktur abgesichert werden.

Firewall des Maschinennetzes Im Gegensatz zum Stand-alone-Betrieb wird für die Verwendung der SINUMERIK Integrate Anwendungen AMM und AMC eine Verbindung zum Cloud-Server außerhalb des Maschinenund Firmennetzes benötigt. Die zugehörigen Firewalls müssen die notwendigen Ports frei geben. Es sollten jedoch nicht mehr als diese notwendigen Ports geöffnet werden. Weitere Informationen zu den nötigen Firewall-Einstellungen finden Sie im SINUMERIK Integrate Installationshandbuch, Kapitel "Systemvorausetzungen".

Phishing von Passwörtern Phishing beschreibt die Gefahr des "Angelns von Passwörtern über Köder" in E-Mails, über gefälschte Links oder auch über Kurznachrichten (z. B. SMS). Über seriös, bzw. offiziell wirkende E-Mails und Webseiten versuchen so genannte "Phisher", an Daten zu gelangen. Sie nutzen dabei Schwachstellen, z. B. im Betriebssystem oder Webbrowser, mithilfe von eingeschleuster Schadsoftware aus. "Phisher" könnten versuchen, Anmeldedaten zu erhalten, die es ihnen erlauben, Aktionen innerhalb von SINUMERIK Integrate im Namen des Nutzers durchzuführen. Die Angreifer könnten z. B. E-Mails und Webseiten von Siemens fälschen, um damit SINUMERIK Integrate Anwendern vertrauliche Informationen zu entlocken. Die Anwender werden dann z. B. aufgefordert, die Zugangsdaten zu ihrer SINUMERIK Integrate Organisation in ein Formular einzutragen und zu übermitteln. Hinweis Das sollten Sie bei verdächtigen E-Mails beachten: ● Seien Sie vorsichtig, wenn Sie E-Mails von unbekannten Absendern erhalten, insbesondere wenn diese E-Mails Links und Anhänge beinhalten. Öffnen Sie niemals verdächtige Anhänge und klicken Sie nicht auf die in der E-Mail enthaltenen Links. ● Überprüfen Sie sorgfältig die vollständige Absender-E-Mail-Adresse. ● Überprüfen Sie die Integrität der in der E-Mail eingebetteten Links (z. B. indem Sie den Mauszeiger über den Link bewegen). Typische Anzeichen sind Rechtschreibfehler oder die Links enthalten einen irreführenden Firmennamen. ● Geben Sie im Zweifel niemals vertrauliche Informationen weiter.

52

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.1 SINUMERIK

Umgang mit vertraulichen Informationen Der Übertragungsweg zwischen firmeneigener Firewall und dem SINUMERIK Integrate Server ist durch sichere Kommunikationsprotokolle (TLS) vor schädlichen Zugriffen geschützt. Weder können hier Dritte die übertragenen Informationen mithören, noch diese verändern. Beachten Sie darüber hinaus die firmenspezifischen Richtlinien bei Übertragung vertraulicher Informationen über AMM und AMC.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

53

Produktspezifische Security-Maßnahmen 7.2 SIMOTION

7.2

SIMOTION

7.2.1

Übersicht

Security-Maßnahmen SIMOTION Das folgende Kapitel gibt Ihnen eine Übersicht der Industrial Security-Features für SIMOTION (Motion Control), um Ihre Anlage vor Bedrohungen zu schützen. Sicherheitsfunktionen ● Auf der Steuerung befindet sich standardmäßig nur kompilierter Code. Dadurch ist kein Upload und somit kein Reengineering möglich. ● Ohne das passende Engineering-Projekt sind keine Modifikationen der Projektierung möglich. ● Know-how-Schutz für Quellprogramme mit Passwort und Verschlüsselung ● Applikativer Kopierschutz der Projektierung auf dem Steuerungssystem ● Erkennung von Quellcode-Manipulationen mit dem Engineering System SIMOTION SCOUT ● Aktivieren/Deaktivieren von nicht genutzten Funktionen (Webserver, Ports) ● Einsatz von SIMATIC Logon, für den Zugriff auf ein Projekt nur mit entsprechenden Rechten ● Virenscan und Sicherheitsupdates für SIMOTION PC basierte Steuerungen (SIMOTION P) Die Produktionsanlage wird typischerweise in unterschiedliche Netzwerksegmente aufgeteilt. Solchen Segmenten sind Komponenten mit den erforderlichen Security Funktionen vorgeschaltet. In der Übersichtsgrafik sind diese mit einem Schloss-Symbol dargestellt.

54

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.2 SIMOTION

Operations level PCS7

PCS7 WinCC

UMTS

WinCC

Softnet Securtiy Client/Step 7…

Internet Scalance S623 Scalance XR324-12M

Scalance M875

DSL Modem

Step 7, TIA Portal, SIMOTION SCOUT, WinCC

Control level

Scalance X308-2M

CP1628

Scalance S612 SIMATIC S7

SIMATIC S7-1500 mit CP 1543-1

SIMATIC S7 SIMATIC S7-1200

HMI

SIMOTION SINAMICS

SIMATIC ET 200S/ ET200SP

HMI

SIMOTION SINAMICS

SIMATIC ET 200S/ ET200SP

Field level Bild 7-2

Darstellung einer typischen Produktionsanlage mit gesicherten Bereichen

Verweis Ausführliche Beschreibungen und weitere Vorgehensweisen entnehmen Sie der entsprechenden SIMOTION-Dokumentation.

7.2.2

Systemhärtung

7.2.2.1

Port Security

Hardware-Ports deaktivieren Bei SIMOTION Geräten können ab der Version 4.4 einzelne Hardware-Ports von PROFINETSchnittstellen (z. B. Ports der X150-Schnittstelle) im Engineering-System (HW Konfig) auf Disable gesetzt werden. Damit ist ein unzulässiges Anschließen von Geräten unterbunden und die Sicherheit bezüglich eines Fremdzugriffs auf das System wird erhöht. Ungenutzte Ports sollten Sie daher deaktivieren. Hinweis Über einen deaktivierten Hardware-Port der PROFINET-Schnittstelle ist das SIMOTION Gerät nicht mehr erreichbar.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

55

Produktspezifische Security-Maßnahmen 7.2 SIMOTION Das Engineering-System und der PN-Stack stellen dabei sicher, dass pro Schnittstelle mindestens ein Port nicht auf Disable steht, um zu vermeiden, dass der Anwender sich ausschließt. Die Default-Einstellung ist Automatic settings.

Verweis Eine detaillierte Übersicht der verwendeten logischen Ethernet-Ports und Protokolle bei SIMOTION finden Sie im Systemhandbuch "Kommunikation mit SIMOTION" im Kapitel "Verwendete Dienste und Services".

7.2.2.2

Virenscan, Windows Security Patches SIMOTION P

Virenscanner allgemein Sobald ein Industrie-PC System über ein internes Firmennetz oder auf direktem Wege mit dem Internet verbunden ist, besteht die Gefahr einer Vireninfektion dieses Rechnersystems. Aber nicht nur über das Intranet/Internet, auch z. B. über Wechseldatenträger wie USBSpeicher, die zur Datensicherung an das System angeschlossen werden, kann schädliche Software auf das System gelangen.

Virenscanner SIMOTION P320 Ein Virenscanner unter einem Microsoft Windows Betriebssystem, wie er in Büro- oder Heimcomputern verwendet wird, greift tief in die Abläufe des Systems ein. Es gibt beispielsweise Prozesse wie Echtzeitscans oder regelmäßige Systemscans. Solche Eingriffe können Performance-Einbußen des Systems und somit auch der SIMOTION Runtime Software bedeuten. Die SIMOTION Runtime Software läuft zwar in einer Echtzeitumgebung ab, ist jedoch trotzdem von den vorhandenen Systemressourcen abhängig. Hinweis Aufgrund der Performance-Einbußen ist die Installation und Nutzung eines StandardVirenscanners zur Laufzeit des Systems auf einer SIMOTION P320 nicht gestattet.

56

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.2 SIMOTION

Virenscanner nutzen Da ein Standard-Virenscanner für SIMOTION P320 nicht eingesetzt werden kann, erfolgt eine alternative Vorgehensweise über die Installation des Virenscanners im separat bootbaren Betriebssystem Windows PE. Dies wird z. B. von einer CD oder einem USB-Speicher gestartet und führt dann einen Virenscan durch. Hinweis FAQ Service&Support Portal Weitere Informationen zur Nutzung eines Virenscanners auf einer SIMOTION P320 finden Sie im FAQ "Wie kann ein Virenscanner auf SIMOTION P3x0 genutzt werden?" (https:// support.automation.siemens.com/WW/view/de/59381507), der als Download im Service&Support Portal zur Verfügung gestellt wird.

7.2.3

Sichere Projektablage

Projektdatenablage in SIMOTION SCOUT Alle relevanten Daten, Konfigurationen und Programme werden im Projekt gespeichert. Innerhalb eines Projekts können nur die Programme und Bibliotheken über den Know-howSchutz verschlüsselt abgelegt werden. Um das gesamte Projekt zu schützen, sollten Sie die Projektdaten mit gängigen Office-Lösungen schützen, z. B. passwortgeschützte Archive oder verschlüsselte Festplatten.

Dateistruktur Die Projektdaten von SIMOTION SCOUT können als folgende Varianten vorliegen. Engineering-Daten (ES) ● Standardablage: Dateistruktur im Projektbaum STEP 7 und SIMOTION SCOUT Objekte im Projektverzeichnis. Diese sind ungesichert und können von jedem bearbeitet werden, wenn kein Know-how-Schutz für Programme und Bibliotheken besteht oder externe Dateiverschlüsselungen angewendet wurden. Programme sind in diesem Zusammenhang das Synonym für Units, die Programme, Funktionsbausteine und Funktionen enthalten können. ● XML-Daten Über XML-Ex-/Import erzeugte Projektdaten. Der Know-how-Schutz bleibt bestehen.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

57

Produktspezifische Security-Maßnahmen 7.2 SIMOTION Runtime-Daten (RT) - Daten auf CF-Card ● ZIP-Archiv des SIMOTION Projekts (nicht binär). Das Projekt-Archiv wird auf der Speicherkarte der jeweiligen SIMOTION-Steuerung (CFAST, CF-Card, MMC) abgelegt. Das Archiv kann dabei z. B. über SIMOTION SCOUT bzw. Standardwege (FTP-Transfer) übertragen werden. ● binäre Daten (gezippt, ungezippt) Die binären Daten beinhalten das kompilierte, ablauffähige Projekt mit den Konfigurationen und Applikationen. Ohne SIMOTION SCOUT Projekt können keine Änderungen im Runtime durchgeführt werden, da das Projekt als Binärdaten auf der SIMOTION-Steuerung abgelegt wird. In der folgenden Grafik sehen Sie ein Beispiel einer möglichen Projektdatenablage mit Darstellung der geschützten Daten. Dateistruktur in Projektbaum Step 7, SIMOTION SCOUT ZIP-Archiv

XML-File

Kompiliert in Binärform

Programme, Bibliotheken verschlüsselt und Passwort geschützte Module

Kompiliert in Binärform ohne Projekt nicht rückübersetzbar

Bild 7-3

58

Projektdatenablage SIMOTION SCOUT

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.2 SIMOTION

7.2.4

Know-how-Schutz

7.2.4.1

Gesicherte Zugriffskontrolle mit SIMATIC Logon

Benutzerverwaltung und Rückverfolgbarkeit Das Optionspaket SIMATIC Logon dient dazu, Zugriffsrechte für Projekte und Bibliotheken in STEP 7 einzurichten. Diese Projekte sind damit nur noch einem autorisierten Personenkreis zugänglich. SIMATIC Logon ist in Verbindung mit SIMOTION SCOUT nutzbar. SIMATIC Logon unterstützt folgende Funktionen: ● Zuweisung von individuellen Berechtigungen für Benutzer oder Benutzergruppen, um bestimmte Aktionen ausführen zu dürfen (z. B. Bausteine lesen, schreiben, transferieren). ● Protokollierung von Online-Aktivitäten und Anmeldevorgängen am Rechner. Zugriffe und Änderungen im Projekt sind nachvollziehbar. ● Zeitlich beschränkte Zuteilung von Berechtigungen für Benutzer/Benutzergruppen. ● Passwortalterungs-Strategien Änderungsprotokoll Ist der Zugriffsschutz aktiviert, lässt sich ein Änderungsprotokoll führen. Dies beinhaltet z. B.: ● die Aktivierung ● die Deaktivierung ● die Konfiguration von Zugriffsschutz und Änderungsprotokoll ● das Öffnen und Schließen von Projekten und Bibliotheken, inklusive Laden ins Zielsystem sowie Aktivitäten zur Änderung des Betriebszustandes.

7.2.4.2

Know-how-Schutz im Engineering

Arten Know-how-Schutz Der Know-how-Schutz in SIMOTION SCOUT verhindert das unbefugte Einsehen und Editieren ihrer Programme bzw. Parameter direkt im Antriebsgerät. Es sind mehrere Logins möglich. Das Standard-Login für die Engineering-Sitzung kann eingestellt werden. Man unterscheidet zwei Know-how-Schutz-Arten: ● Know-how-Schutz für Programme und Bibliotheken ● Know-how-Schutz für Antriebsgeräte (ab SINAMICS V4.5) Unter Projekt -> Know-how-Schutz muss ein Login und ein Kennwort gesetzt werden. Über den Menübefehl Setzen wird dann der Know-how-Schutz für das Programm aktiviert. Die im Projekt enthaltenen Programme sind für den Anwender in dieser Sitzung noch sichtbar, doch die Namen der Programme werden mit einem Schloss-Symbol dargestellt.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

59

Produktspezifische Security-Maßnahmen 7.2 SIMOTION

Programme und Bibliotheken Der Know-how-Schutz dient zum Schutz der Programme und Bibliotheken in Ihrem Projekt. Bei aktiviertem Know-how-Schutz wird das unberechtigte Einsehen und Editieren ihrer Programme verhindert. Den Know-how-Schutz können Sie für einzelne Programme oder alle Programm in einem Projekt setzen. Der Zugriffsschutz und die Verschlüsselung kann in mehreren Stufen für folgende Typen gesetzt werden: ● Programme (Units in ST, MCC und KOP/FUP die Programme, Funktionsbausteine und Funktionen enthalten) ● DCC-Pläne ● Bibliotheken Bei der Verschlüsselung können Sie zwischen drei Sicherheitsstufen wählen: ● Standard Zugang nur mit Benutzer-Login und Passwort (abwärts kompatibel mit Versionen vor V4.2). ● Mittel Verbesserte Codierung des Passworts (durch neues Verfahren keine Abwärtskompatibilität ohne Kenntnis des Passworts). Programme und Bibliotheken können jederzeit auch ohne Kenntnis des Passwortes neu übersetzt werden. ● Hoch (nur für ST-Quellen in Bibliotheken) Übersetzen nur nach Eingabe des Passwortes möglich. Geschützte Bibliotheken können auch ohne Kenntnis des Passwortes nach einem Export verwendet werden, da das Übersetzungsergebnis in diesem Fall mit exportiert wird. – Zusätzlich beim Exportieren von Bibliotheken ist ein Export ohne Quelltexte möglich Höchster Schutz. Komplettes Entfernen der Quelltexte im Engineering beim Export. Der Export enthält nur das Übersetzungsergebnis (kein erneutes Übersetzen mehr möglich). Die Bausteinschnittstellen sind immer sichtbar.

Antriebsgeräte in SIMOTION SCOUT Der Know-how-Schutz für Antriebsgerät gilt nur online und dient dem Schutz geistigen Eigentums, speziell des Know-hows von Maschinenherstellern gegen unbefugte Verwendung oder Vervielfältigung Ihrer Produkte. Eine ausführliche Beschreibung dazu finden Sie im Kapitel Schreibschutz und Know-howSchutz (Seite 70).

7.2.4.3

Kopierschutz der Projektierung auf dem Steuerungssystem

Kopierschutz von SIMOTION Projekten Durch applikative Maßnahmen ist es möglich, die Projektierung an die Speicherkarte oder die Steuerung zu binden. Damit kann ein unzulässiges Duplizieren der Projektierung verhindert werden.

60

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.2 SIMOTION Über Systemfunktionen sind die Seriennummer der CPU, Speicherkarte und der DRIVE-CLiQKomponenten in der Applikation abfragbar. Dem Maschinenhersteller ist es damit möglich, einen Baustein mit einem Verschlüsselungsalgorithmus zu erstellen, der zur Laufzeit aus den aktuell verbauten Seriennummern einen Schlüssel bildet und mit einem Maschinenschlüssel vergleicht. Jede Maschinenkonfiguration hat einen spezifischen Maschinenschlüssel, der vom Maschinenhersteller erzeugt und in der Applikation hinterlegt aber auch, vor allem bei einem Wartungsfall, vom Endkunden z. B. über HMI eingegeben werden kann. Darüber hinaus ist über spezielle Vereinbarungen auch ein erweiterter Know-How- und Kopierschutz über ein SIMOTION OpenArchitecture-Technologiepaket möglich.

originale Maschine Bild 7-4

7.2.5

kopierte Maschine

Kopierschutz von binären SIMOTION SCOUT Projekten

Offline/Online-Vergleich

Projektvergleich Über die SIMOTION SCOUT-/STARTER-Funktion Projektvergleich (Start über den Button Starte Objektvergleich) können Sie Objekte innerhalb desselben Projektes bzw. mit Objekten aus anderen Projekten (online oder offline) miteinander vergleichen. Durch den Offline/Online-Vergleich erkennen Sie im Detail nachträgliche Manipulationen der Projektdaten an der Anlage im Vergleich zu Ihren gesicherten Engineering-Daten. Dadurch prüfen Sie das System auf unerlaubte Fremdzugriffe. Folgende Vergleiche sind möglich: ● Offline-Objekt mit Offline-Objekt aus gleichem Projekt ● Offline-Objekt mit Offline-Objekt aus anderem Projekt ● Offline-Objekt mit Online-Objekt Der Projektvergleich in SIMOTION SCOUT beinhaltet alle Objekte in einem Projekt, wie z. B. SIMOTION Geräte, Antriebsgeräte, Bibliotheken, Programme (Units), Technologieobjekte, I / Os sowie die Konfiguration des Ablaufsystems. Durch den Offline/Online-Vergleich werden Sie im Service-Fall oder beim Erkennen von Änderungen an den Projektdaten unterstützt.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

61

Produktspezifische Security-Maßnahmen 7.2 SIMOTION Es kann zum Beispiel vorkommen, dass beim Wechsel in den Online-Modus im Projektnavigator Inkonsistenzen angezeigt werden, es also Abweichungen zwischen Ihrem Projekt in SIMOTION SCOUT und dem ins Zielsystem geladenen Projekt gibt. Mögliche Ursachen hierfür sind z. B.: ● ein Programm wurde geändert ● das Übersetzungsergebnis eines Programms ist unterschiedlich ● es gibt eine Abweichung an den geräteglobalen Variablen ● das Ablaufsystem wurde verändert ● die Hardware-Konfiguration hat sich geändert ● eine Bibliothek wurde geändert ● ein Konfigurationsdatum einer Achse wurde geändert Der Objektvergleich bietet Ihnen die Möglichkeit, diese Unterschiede zu ermitteln und bei Bedarf eine Datenübernahme durchzuführen, um die Unterschiede zu beheben.

62

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.2 SIMOTION

Detaillierter Offline/Online-Vergleich Über einen gesamten Projektvergleich können Sie gezielt Unterschiede zwischen den Offlineund den Online-Projekt ermitteln. Bei Unterschieden können Sie Änderungen/Manipulationen des Quellcodes bis auf Programmzeilen-Ebene ermitteln, wenn vorher die Zusatzdaten (Quellinformationen) beim Download im Zielsystem mit abgelegt wurden. Dies ist auch bei den grafischen Programmiersprachen KOP/FUP und MCC möglich.

Bild 7-5

Beispiel für ST-Detailvergleich

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

63

Produktspezifische Security-Maßnahmen 7.2 SIMOTION

7.2.6

SIMOTION IT Webserver

Einleitung SIMOTION Geräte verfügen über einen Webserver mit vorgefertigten Standard-Webseiten. Diese Seiten können über einen handelsüblichen Browser via Ethernet angezeigt werden. Darüber hinaus können eigene HTML-Seiten erstellt und Service- und Diagnoseinformationen eingebunden werden. Der Webserver kann deaktiviert werden. Bei aktivem Webserver wird über das integrierte Sicherheitskonzept und die Benutzerverwaltung ein sicherer Betrieb der Anlage gewährleistet.

Deaktivieren/aktivieren des Webservers Der Webserver mit allen Funktionen und Diensten kann im SIMOTION SCOUT bzw. SIMOTION SCOUT TIA Projekt unter der Hardwarekonfiguration der Steuerung aktiviert bzw. deaktiviert werden. Sie können gezielt einzelne Funktionen aktivieren bzw. deaktivieren.

Bild 7-6

SIMOTION IT Webserver Funktionen aktivieren in SIMOTION SCOUT bzw. SIMOTION SCOUT TIA

Hinweis Wenn Sie den Webserver aktivieren, müssen Sie eine Benutzerverwaltung mit kennwortgeschütztem Zugang der Benutzer einrichten.

Sicherheitskonzept des HTTP/S-, FTP- und Telnet-Zugriffs auf den Webserver Ab der Version V4.4 ist der Zugang zum SIMOTION IT Webserver durch ein mehrstufiges Sicherheitskonzept geschützt. Der Sicherheitszustand des Webservers wird durch den Security Level auf der Webseite angezeigt. Dieser Security Level kann drei verschiedene Stufen annehmen: Low, Normal, High.

64

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.2 SIMOTION Security Level Low Im Auslieferungszustand befindet sich eine leere Benutzerdatenbank auf dem Gerät. Es ist noch kein Projekt vorhanden. Die Sicherheitsstufe ist niedrig, um die Konfiguration des Geräts zu ermöglichen. ● Der Zugriff auf den Webserver ist in diesem Zustand als anonymer Benutzer möglich, um Funktionen wie Projekt- und Firmware-Update oder OPC XML nutzen zu können. ● Der FTP- und der Telnet-Zugang sind ebenfalls offen. ● Es ist möglich neue Nutzer in die leere Benutzerdatenbank einzutragen. Security Level Normal Die Steuerung besitzt eine Benutzerdatenbank. Ein Projekt ist auf der Steuerung vorhanden und HTTP, HTTPS, FTP und Telnet der Hardwarekonfiguration aktiviert. ● Nutzer-Passwort-Authentifizierung für den Zugriff auf Webseiten mit sensiblen Inhalten (z. B. Firmware-Update, Watchtabelle, …), FTP und Telnet erforderlich. Sobald ein Projekt auf die Steuerung geladen wurde, ist der Security Level Normal aktiv. Ggf. dann mit einer leeren Benutzerdatenbank. Standardseiten sind weiterhin sichtbar. Auf alle anderen Webseiten mit notwendiger Authentifizierung kann nicht zugegriffen werden. Security Level High Hohe Sicherheit mit maximalem Zugriffsschutz: ● Über das Projekt in der Hardwarekonfiguration wurden HTTP, HTTPS, FTP und Telnet deaktiviert. Ein Ethernet-Zugriff über die jeweiligen Ports der Dienste ist dann nicht mehr möglich. Der Webserver kann nicht benutzt werden.

Benutzerverwaltung Zur Absicherung des Zugriffs auf ein Gerät benutzt SIMOTION IT eine Benutzerdatenbank. In der Benutzerdatenbank sind die Gruppen mit den zugeordneten Benutzern abgelegt. Den definierten Benutzergruppen können Zugriffsrechte zu den einzelnen Webseiten des Webservers zugewiesen werden. Der Zugriff auf den Webserver erfolgt nach der Authentifizierung. Authentifizierung ● Es gibt Benutzer (USER). ● Jeder Benutzer hat ein Passwort. Dieses wird verschlüsselt. ● Benutzer gehören Gruppen an (GROUP). ● Passend zu den Gruppen werden Webseiten, Verzeichnisse und Applikationen durch Sicherheitsbereiche geschützt. ● Nur Benutzer, die dem Sicherheitsbereich angehören, haben Zugriff auf die geschützte Seite ● Jeder Sicherheitsbereich hat eine Gruppe von Benutzern, die eine Zugangsberechtigung besitzen. ● Ein Benutzer kann unterschiedlichen Gruppen angehören.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

65

Produktspezifische Security-Maßnahmen 7.2 SIMOTION

Verschlüsselte Datenübertragung (HTTPS) Die Zugriffe auf den Webserver sind sowohl über HTTP als auch HTTPS-Verbindung möglich. Durch das Secure Socket Layer Protokoll (SSL) in HTTPS wird eine verschlüsselte Datenübertragung zwischen einem Client (Browser) und der SIMOTION-Steuerung (Webserver) ermöglicht. Aus Sicherheitsgründen kann die gesicherte Übertragung durch Deaktivierung des HTTP-Ports erzwungen werden. Die verschlüsselte Variante der Kommunikation zwischen Browser und Webserver mittels HTTPS bedingt das Erstellen und Installieren von Zertifikaten. Im Auslieferungszustand enthält ein Gerät ein Standard Stammzertifikat und einen Private Key des Webservers als Datei. Diese Dateien sollten durch eigene ersetzt werden, um die Sicherheit des HTTPS-Zugriffs auf das Gerät zu erhöhen. Schlüsseldateien ● Auslieferungszustand Damit Sie im Auslieferungszustand der SIMOTION IT Diagnose Standardseiten per HTTPS auf die SIMOTION-Steuerung zugreifen können, werden ein Stammzertifikat und ein privater Schlüssel als Datei auf dem Gerät mit ausgeliefert. ● SSL Zertifikat selbst erstellen Mithilfe des Perl Tools cert.pl können die für Kundenanlagen (Sites) benötigten Zertifikate erzeugt und zu Ladepaketen zusammengeschnürt werden. Es gibt zwei Möglichkeiten zu einem eigenen Serverzertifikat (SSL Zertifikat) zu gelangen: ● Erstellen eines Stammzertifikats (self signed) und eines Private Keys mittels einer Zertifikatssoftware. ● Kaufen eines Serverzertifikats von einer Zertifizierungsstelle (Certificate Authority). Importieren eines SSL-Zertifikats in den Browser Wenn Sie SSL mit einer eigenen Zertifizierungsstelle betreiben, müssen Sie Ihre PCs zur Kommunikation mit der SIMOTION-Steuerung vorbereiten. Hierfür müssen Sie das Stammzertifikat in die Liste der Zertifikate ihres Browsers aufnehmen.

Verweis Eine ausführliche Beschreibung zum SIMOTION IT Webserver finden Sie in der nachfolgenden Dokumentation: ● SIMOTION IT Diagnose und Konfiguration (Diagnosehandbuch) ● SIMOTION IT OPC UA (Programmierhandbuch) ● SIMOTION IT Programmieren und Webservices (Programmierhandbuch) ● SIMOTION IT Virtual Machines und Servlets (Programmierhandbuch)

66

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.2 SIMOTION

7.2.7

OPC UA Server

Einleitung SIMOTION hat einen OPC UA Server mit DA (Data Access) implementiert. Unterstützt wird OPC UA Binary Encoding. Der Zugriff von einem beliebigen OPC UA Client kann über Authentifizierung und verschlüsselte Datenübertragung geschützt werden.

Konfiguration Hinweis Sorgen Sie vor der Verbindung zum OPC UA Server für eine sichere Umgebung und installieren Sie eine Zwischenschicht (z. B. DMZ-Netzwerk, Firewall, SCALANCE S-Module, etc.). Der OPC UA Server kann über HW-Konfig von TIA Portal oder Step 7 aktiviert oder deaktiviert werden.

Bild 7-7

SIMOTION IT Webserver Funktionen aktivieren in SIMOTION SCOUT bzw. SIMOTION SCOUT TIA

Weitere Einstellungen werden über die SIMOTION IT Webserver Konfigurationsmasken vorgenommen: ● Freigabe der Ethernet-Schnittstelle und zugehörigem Port von SIMOTION für den OPC UA Zugriff. ● Definition von Benutzername, Passwort und Benutzergruppe im Rahmen der Benutzerverwaltung des SIMOTION IT Webserver. ● Handhabung der Zertifikate zur verschlüsselten der Datenübertragung.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

67

Produktspezifische Security-Maßnahmen 7.2 SIMOTION

Verweis Weitere Informationen zum OPC UA Server finden Sie im Programmierhandbuch SIMOTION IT OPC UA.

68

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.3 SINAMICS

7.3

SINAMICS

7.3.1

Übersicht Das folgende Kapitel gibt Ihnen eine Übersicht der Industrial Security-Features für SINAMICS, um Ihre Umrichter vor Bedrohungen zu schützen, sowie über Themen, bei denen Sie Industrial Security besonders beachten sollten: ● Schreibschutz und Know-how-Schutz ● Parameter: Zugriffsstufen + Passwort ● Umgang mit der Speicherkarte ● Hinweis zu Safety Integrated ● Kommunikationsdienste und verwendete Portnummern ● Webserver ● Hinweise zu einzelnen Schnittstellen ● SINAMICS Startdrive und STARTER ● SINAMICS Drive Control Chart (DCC) Alle aufgeführten Maßnahmen haben dabei, wie das gesamte Handbuch, ausdrücklich empfehlenden Charakter. Ausführliche Beschreibungen sowie detaillierte Vorgehensweisen entnehmen Sie der entsprechend angegebenen SINAMICS-Dokumentation.

7.3.2

Netzwerksicherheit Hinweis Beachten Sie, dass SINAMICS nur in einem gesicherten und vertrauenswürdigen Netzwerk mit Firewall eingesetzt werden darf. Beachten Sie hierzu die Angaben im Kapitel "Netzwerksegmentierung (Seite 24)".

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

69

Produktspezifische Security-Maßnahmen 7.3 SINAMICS

7.3.3

Schreibschutz und Know-how-Schutz Um Ihre eigenen Projekte gegen Änderungen, unbefugtes Sichten oder Kopieren zu schützen, bieten Ihnen SINAMICS Umrichter die Funktionen "Schreibschutz" und "Know-how-Schutz". Schutz

Gültig‐ keit

Ziel

Auswirkung

Schreib‐ schutz

Online

Der Schreibschutz dient dem Schutz der Parame‐ Einstellparameter sind trierung vor versehentlichen Änderungen durch lesbar, aber nicht den Anwender. schreibbar.

Know-howSchutz

Online

Der Know-how-Schutz dient dem Schutz geistigen Einstellparameter sind Eigentums, speziell des Know-how von Maschinen‐ weder lesbar noch herstellern gegen unbefugte Verwendung oder schreibbar. Vervielfältigung ihrer Produkte.

Weitere Informationen Detaillierte Informationen zu diesem Thema finden Sie in folgender Literatur: ● SINAMICS S120 Funktionshandbuch Antriebsfunktionen Kapitel "Schreibschutz" und "Know-how-Schutz" ● SINAMICS G Betriebsanleitungen Kapitel "Schreibschutz" und "Know-how-Schutz" ● SINAMICS S und SINAMICS G Listenhandbücher Kapitel "Parameter für Schreibschutz und Know-how-Schutz"

7.3.4

Parameter: Zugriffsstufen und Passwort Die SINAMICS-Parameter sind in die Zugriffsstufen 0 bis 4 eingeteilt. Mithilfe der Zugriffsstufen legen Sie fest, welche Parameter von welchem Anwender oder Ein-/Ausgabegerät bearbeitet werden können: ● Mithilfe des Parameters p0003 können Sie z. B. festlegen, welche Zugriffsstufen Sie mit dem BOP oder IOP auswählen können. ● Parameter der Zugriffsstufe 4 sind durch Passwort gesichert und nur für Experten sichtbar. Hinweis Besonderheit beim Safety-Passwort Das Safety-Passwort entspricht nicht der Qualität eines Passworts (Schutz gegen unberechtigten Zugriff, z. B. eines Angreifers), sondern eines Schreibschutzes (z. B. Schutz gegen Fehlbedienung von berechtigten Anwendern). In den SINAMICS S und SINAMICS G Listenhandbüchern wird angegeben, in welcher Zugriffsstufe der Parameter angezeigt und geändert werden kann.

70

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.3 SINAMICS

Weitere Informationen Detaillierte Informationen zu diesem Thema finden Sie in folgender Literatur: ● SINAMICS S120 Funktionshandbuch Antriebsfunktionen Kapitel "Parameter" ● SINAMICS S120 Funktionshandbuch Safety Integrated Kapitel "Umgang mit dem Safety-Passwort" ● SINAMICS G Betriebsanleitungen Kapitel "Parameter" ● SINAMICS S und SINAMICS G Listenhandbücher Kapitel "Erklärungen zur Liste der Parameter"

7.3.5

Umgang mit der Speicherkarte Der Umgang mit der Speicherkarte erfordert bei allen SINAMICS-Geräten, die über eine Speicherkarte verfügen, besondere Sorgfalt, damit keine schädliche Software oder fehlerhafte Parametrierungen zwischen verschiedenen Inbetriebnahme-PCs oder Umrichtern verbreitet werden. WARNUNG Lebensgefahr durch Softwaremanipulation bei der Verwendung von Wechselspeichermedien Die Ablage von Dateien auf Wechselspeichermedien birgt ein erhöhtes Risiko gegenüber Infektionen der Inbetriebnahme-PCs, z. B. mit Viren oder Malware. Durch fehlerhafte Parametrierung können Fehlfunktionen an Maschinen auftreten, die zu Körperverletzungen oder Tod führen können. ● Schützen Sie die Dateien im Wechselspeichermedium vor Schad-Software durch entsprechende Schutzmaßnahmen, z. B. Virenscanner. WARNUNG Lebensgefahr durch Softwaremanipulation bei der Verwendung von Wechselspeichermedien Die Ablage der Parametrierung (incl. Safety Integrated-Parametrierung) auf Wechselspeichermedien birgt das Risiko, dass die ursprüngliche Parametrierung (mit Safety Integrated) z. B. durch die Speicherkarte eines anderen Antriebes ohne Safety Integrated überschrieben wird. Durch fehlerhafte Parametrierung können Fehlfunktionen an Maschinen auftreten, die zu Körperverletzungen oder Tod führen können. ● Stellen Sie sicher, dass nur die jeweils zum Umrichter gehörige Speicherkarte eingesetzt wird. ● Stellen Sie sicher, dass nur unterwiesenes oder zugelassenes Personal Zugang zu den Gehäusen, Schränken oder elektrischen Betriebsräumen hat.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

71

Produktspezifische Security-Maßnahmen 7.3 SINAMICS

7.3.6

Hinweis zu Safety Integrated Um das Risiko von Maschinen und Anlagen durch den Einsatz von Safety IntegratedFunktionen tatsächlich zu reduzieren, erfordert der Umgang mit den Safety IntegratedFunktionen bei allen SINAMICS-Geräten, die darüber verfügen, besondere Sorgfalt. GEFAHR Risikominimierung durch Safety Integrated Mit Safety Integrated kann das Risiko von Maschinen und Anlagen reduziert werden. Ein sicherer Betrieb der Maschine bzw. Anlage mit Safety Integrated ist jedoch nur möglich, wenn der Maschinenhersteller folgende Regeln beachtet: ● Der Maschinenhersteller kennt die technische Anwenderdokumentation, einschließlich der dokumentierten Randbedingungen, Sicherheitshinweise und Restrisiken genau und hält sie ein. ● Aufbau und Projektierung der Maschine bzw. Anlage werden sorgfältig ausgeführt und durch einen von qualifiziertem Personal sorgfältig durchgeführten und dokumentierten Abnahmetest verifiziert. ● Alle entsprechend der Risikoanalyse der Maschine bzw. Anlage erforderlichen Maßnahmen werden durch die programmierten und projektierten Funktionen von Safety Integrated oder durch anderweitige Mittel umgesetzt und validiert. Der Einsatz von Safety Integrated ersetzt nicht die von der EG-Maschinenrichtlinie geforderte Risikobeurteilung der Maschine bzw. Anlage durch den Maschinenhersteller! Neben dem Einsatz der Safety Integrated Functions sind weitere Maßnahmen zur Risikominderung erforderlich.

7.3.7

Kommunikationsdienste und verwendete Portnummern SINAMICS-Umrichter unterstützen bestimmte Kommunikationsprotokolle. Für jedes Protokoll sind die Adressparameter, die betroffene Kommunikationsschicht, die Kommunikationsrolle und die Kommunikationsrichtung entscheidend. Diese Informationen benötigen Sie, um Security-Maßnahmen zum Schutz des Automatisierungssystems auf die verwendeten Protokolle abzustimmen (z. B. Firewall). Die Security-Maßnahmen beschränken sich auf Ethernet- bzw. PROFINET-Netze. Detaillierte Informationen zu diesem Thema finden Sie in folgender Literatur: ● SINAMICS S120 Funktionshandbuch Antriebsfunktionen Kapitel "Kommunikationsdienste und verwendete Portnummern" ● SINAMICS G Funktionshandbuch Feldbusse Kapitel "Verwendete Ethernet- und PROFINET-Protokolle"

7.3.8

Webserver Der SINAMICS-Webserver liefert über seine Webseiten Informationen zu einem SINAMICSGerät. Der Zugriff erfolgt über einen Internet-Browser.

72

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.3 SINAMICS

Datenübertragung Neben der normalen (nicht gesicherten) Übertragung (http) unterstützt der Webserver auch die sichere Übertragung (https). Die sichere Übertragung (https) ist die empfohlene Einstellung. Durch Eingabe von "http://" oder "https://" vor der Adresse des Antriebs können Sie selbst entscheiden, ob Sie über eine normale oder sichere Übertragung auf die Daten zugreifen wollen. Aus Sicherheitsgründen kann die gesicherte Übertragung durch Deaktivierung des http-Ports erzwungen werden.

Zugriffsrechte Auch bei Zugriff über den Webserver gelten die normalen Schutzmechanismen von SINAMICS inklusive Passwortschutz. Speziell für den Webserver wurden weitere Schutzmechanismen implementiert. Für verschiedene Anwender sind je nach Funktion unterschiedliche Zugriffsmöglichkeiten eingestellt. Die Parameterlisten sind so geschützt, dass auch hier nur Anwender mit den entsprechenden Rechten auf die Daten zugreifen bzw. sie verändern dürfen.

Weitere Informationen Detaillierte Informationen zu diesem Thema (z. B. die unterstützten Internet-Browser) finden Sie in folgender Literatur: ● SINAMICS S120 Funktionshandbuch Antriebsfunktionen Kapitel "Webserver"

7.3.8.1

Zertifikate für die abgesicherte Datenübertragung

Absicherung des https-Zugriffs Durch das Protokoll "Transport Layer Security" (TLS) wird eine verschlüsselte Datenüber‐ tragung zwischen einem Client und dem SINAMICS-Antrieb ermöglicht. Transport Layer Security bildet die Basis für https-Zugriffe des Browsers auf den Antrieb. Die verschlüsselte Variante der Kommunikation zwischen Browser und Webserver mittels https bedingt das Erstellen und Installieren von Zertifikaten (Default-Konfiguration, selbst erstellte Zertifikate oder Serverzertifikat von einer Zertifizierungsstelle).

TLS Transport Layer Security (TLS, "Transportschichtsicherheit"), weitläufiger bekannt unter der Vorgängerbezeichnung Secure Sockets Layer (SSL), ist ein hybrides Verschlüsselungs‐ protokoll zur sicheren Datenübertragung im Internet.

Schlüsseldateien Für das der Transport Layer Security zu Grunde liegende Verschlüsselungsverfahren benötigen Sie 2 Schlüsseldateien (ein öffentliches Zertifikat und einen privaten Schlüssel).

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

73

Produktspezifische Security-Maßnahmen 7.3 SINAMICS Zertifikats-Handling Damit Sie im Auslieferungszustand des SINAMICS per https auf den Antrieb zugreifen können, werden ein Stammzertifikat und ein privater Schlüssel als Datei auf dem Gerät mit ausgeliefert. Wie Sie mit diesen Daten eine https-Verbindung zu einem Antrieb aufbauen, ist in der unter "Weitere Informationen" genannten Literatur beschrieben.

Weitere Informationen Detaillierte Informationen zu diesem Thema finden Sie in folgender Literatur: ● SINAMICS S120 Funktionshandbuch Antriebsfunktionen Kapitel "Zertifikate für die abgesicherte Datenübertragung"

7.3.9

Hinweise zu einzelnen Schnittstellen

X127 LAN (Ethernet) Für die LAN-Schnittstelle X127 gelten folgende Einschränkungen: ● nur lokaler Zugriff zulässig ● keine Vernetzung, nur Punkt-zu-Punkt-Verbindung zulässig

X140 serielle Schnittstelle (RS232) Über die serielle Schnittstelle X140 kann ein externes Anzeige- und Bediengerät zum Bedienen/Parametrieren angeschlossen werden. ACHTUNG Zugang zu den Umrichtern nur für befugtes Personal Durch Lücken in der physikalischen Sicherheit eines Unternehmens können Unbefugte Produktionseinrichtungen beschädigen oder verändern. Dabei können auch vertrauliche Informationen verloren gehen oder verändert werden. Dies kann verhindert werden, wenn sowohl der Unternehmensstandort als auch die Produktionsbereiche entsprechend geschützt werden. ● Hinweise zu geeigneten Schutzmaßnahmen finden Sie im Kapitel "Physikalischer Schutz kritischer Produktionsbereiche (Seite 23)".

X150 P1/P2 PROFINET PROFINET muss nach dem Defense in Depth-Konzept (siehe Kapitel "Allgemeine SecurityMaßnahmen (Seite 21)") vom übrigen Anlagennetz getrennt werden. Zugriff auf die Leitungen und eventuelle offene Anschlüsse müssen wie in einem Schaltschrank geschützt ausgeführt werden.

74

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.3 SINAMICS

Weitere Informationen Detaillierte Informationen zu diesem Thema finden Sie in folgender Literatur: ● SINAMICS S120 Gerätehandbuch Control Units und Bedienelemente Kapitel zu den jeweiligen Schnittstellen ● SINAMICS S120 Funktionshandbuch Antriebsfunktionen ● SINAMICS G Betriebsanleitungen

7.3.10

SINAMICS Startdrive und STARTER

7.3.10.1

Lebensgefahr durch fehlerhafte oder veränderte Parametrierung WARNUNG Lebensgefahr durch Fehlfunktionen der Maschine infolge fehlerhafter oder veränderter Parametrierung Durch fehlerhafte oder veränderte Parametrierung können Fehlfunktionen an Maschinen auftreten, die zu Körperverletzungen oder Tod führen können. ● Schützen Sie die Parametrierungen vor unbefugtem Zugriff durch "Schreibschutz". ● Beherrschen Sie mögliche Fehlfunktionen durch geeignete Maßnahmen (z. B. NOT-HALT oder NOT-AUS).

Siehe auch Schreibschutz und Know-how-Schutz (Seite 70)

7.3.10.2

SINAMICS Startdrive

Startdrive im TIA Portal SINAMICS Startdrive ist ein Optionspaket im TIA Portal, mit dem SINAMICS-Antriebe in Betrieb genommen werden. Im Hinblick auf Industrial Security müssen entsprechend die Vorgaben für SINAMICS-Antriebe und für das TIA Portal berücksichtigt werden. Neben der Inbetriebnahme von Einzelantrieben können mit Startdrive auch Antriebe an SIMATIC-Steuerungen wie S7-1500 projektiert werden. Hinweise, wie Sie mit SIMATICSteuerungen verfahren sollen, finden Sie in der TIA Portal Online Hilfe unter "Netzwerke konfigurieren".

Inbetriebnahme-Rechner Sorgen Sie dafür, dass Ihr Inbetriebnahme-Rechner in sicherer Umgebung läuft und das Login über ein sicheres Passwort geschützt ist.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

75

Produktspezifische Security-Maßnahmen 7.3 SINAMICS

SINAMICS-Antriebe Die produktspezifischen Maßnahmen zu Industrial Security für SINAMICS-Antriebe finden Sie unter SINAMICS (Seite 69).

7.3.10.3

SINAMICS STARTER

Antriebe mit STARTER in Betrieb nehmen Mit STARTER können Sie Antriebe der MICROMASTER und SINAMICS-Familien in Betrieb nehmen. Eine integrierte Version des STARTER ist in SIMOTION SCOUT enthalten. Für Information über SIMOTION SCOUT, siehe SIMOTION (Seite 54).

Inbetriebnahme-Rechner Sorgen Sie dafür, dass Ihr Inbetriebnahme-Rechner in sicherer Umgebung läuft und das Login über ein sicheres Passwort geschützt ist.

Sicherheitsfunktionen ● Know-how-Schutz für die Parametrierung, Scripte, DCC-Pläne und DCC-Bibliotheken mit Passwort und Verschlüsselung ● Kopierschutz der Projektierung auf dem Antriebsgerät. Das Projekt kann nur mit der Originalkarte geöffnet werden. ● Erkennung von Parameter-Manipulationen mit STARTER über den Projektvergleich, siehe auch Offline/Online-Vergleich (Seite 61) ● Aktivieren/Deaktivieren von nicht genutzten Funktionen (Webserver, Ports), siehe auch Webserver (Seite 72) ● Schreibschutz für die Parametrierung, p-Parameter sind lesbar, aber nicht schreibbar, schützt vor versehentlichen Änderungen der Parametrierung (nur online verfügbar).

Know-how-Schutz Antriebsgeräte Neben dem Know-how-Schutz für DCC-Pläne, DCC-Bibliotheken und Scripte können Sie über die Funktion "Know-how-Schutz" des Antriebs auch die Parametrierung Ihres Antriebs vor unbefugtem Zugriff schützen. Diese Funktion ist nur online verfügbar. Siehe auch Schreibschutz und Know-how-Schutz (Seite 70).

76

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.3 SINAMICS

Scripting Scripte dienen zur Automatisierung von Abläufen im STARTER. Entsprechend müssen Sie Scripte vor der Nutzung an der Maschine testen. WARNUNG Gefährdung durch Fehlkonfigurationen bei automatisierten Bedienhandlungen Scripting bietet durch umfangreiche Automatisierbarkeit die Möglichkeit, manuelle Bedienhandlungen der Tools STARTER/SCOUT zu automatisieren und dadurch die wiederholende Konfiguration von Projekten und Aufgaben bezüglich des Zeitaufwandes zu optimieren. Die Script-Ersteller sowie die Script-Anwender sind für die im Scripting umgesetzten Bedienhandlungen verantwortlich. Fehlkonfigurationen, welche durch Tests nicht aufgedeckt werden, können schwer wiegende Körperverletzungen oder Tod zur Folge haben. ● Unterziehen Sie neue oder veränderte Scripts systematischen Tests, um sie zu verifizieren und zu validieren. ● Vergewissern Sie sich vor Ausführung eines Scripts über den korrekten Inhalt. Verifizieren und validieren Sie die Ergebnisse der Scriptausführung durch Tests an der Maschine. Scripte können ebenso wie DCC-Pläne über Know-how-Schutz geschützt werden.

7.3.11

SINAMICS Drive Control Chart (DCC)

7.3.11.1

Industrial Security mit SINAMICS-DCC

Überblick SINAMICS Drive Control Chart (DCC) bietet eine modulare, skalierbare Technologieoption, die vorwiegend für antriebsnahe, kontinuierliche regelungs- und steuerungstechnische Aufgaben entwickelt wurde. Mit dem Drive Control Chart-Editor, auf Basis von CFC, können Technologiefunktionen mit DCC für SINAMICS-Antriebe grafisch projektiert werden. Das nachfolgende Bild illustriert den Datenfluss der Projektierungsdaten im Rahmen der Projektierung mit SINAMICS DCC und die Möglichkeiten, die projektierten/programmierten DCC-Quellen zu schützen:

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

77

Produktspezifische Security-Maßnahmen 7.3 SINAMICS '&&&)& $GG

0XO

3URMHNWLHUHQ

žEHUVHW]HQ

67$57(53O¦QHXQG%LEOLRWKHNHQ

%DXVWHLQW\SLPSRUW

'&%%LEOLRWKHN 6,1$0,&6

%DFNXSLP)LOHV\VWHP

/DGHQ

6,1$0,&6

'&&%LEOLRWKHN 6,1$0,&6

Bild 7-8

Datenfluss der Projektierungsdaten

Inbetriebnahme-Rechner Sorgen Sie dafür, dass Ihr Inbetriebnahme-Rechner in sicherer Umgebung läuft und das Login über ein sicheres Passwort geschützt ist.

Know-how-Schutz verwenden DCC-Pläne, DCC-Bibliotheken, Programme und Backup-Dateien bergen ein erhöhtes Risiko gegenüber Manipulation. Verwenden Sie deshalb im STARTER den Know-how-Schutz, den Schreibschutz für Antriebsgeräte und den Know-how-Schutz für DCC-Pläne und DCCBibliotheken, siehe auch Know-How-Schutz und Schreibschutz verwenden (Seite 79). Informationen über den Know-how-Schutz finden Sie auch im Programmier- und Bedienhandbuch "Motion Control SINAMICS/SIMOTION Editorbeschreibung DCC".

78

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Produktspezifische Security-Maßnahmen 7.3 SINAMICS

Backup-Dateien im Filesystem von Windows schützen Wenn Sie Backup-Dateien von Plänen oder Projekten mit Windows-Mitteln erzeugen, sollten Sie diese ebenfalls mit Windows-Mitteln über sichere Passwörter vor unbefugtem Zugriff schützen.

Hinweise zu SINAMICS und zu den Engineering Systemen beachten Beachten Sie des Weiteren die Industrial Security Hinweise für SINAMICS-Antriebe und Engineering Systeme, mit denen SINAMICS-Antriebe in Betrieb genommen werden. Insbesondere sind die Hinweise zur Netzwerksicherheit wichtig, siehe auch Netzwerksicherheit (Seite 24).

7.3.11.2

Know-How-Schutz und Schreibschutz verwenden

Mit Know-How-Schutz unbefugtes Ändern verhindern WARNUNG Lebensgefahr durch Manipulation von DCC-Plänen und DCC-Bibliotheken Die Verwendung von nicht geschützten DCC-Plänen und DCC-Bibliotheken birgt ein erhöhtes Risiko gegenüber der Manipulation von DCC-Plänen, DCC-Bibliotheken und Backup-Dateien. ● Schützen Sie wichtige DCC-Pläne und DCC-Bibliotheken über den Know-how-Schutz Programme oder über Know-how-Schutz Antriebsgeräte im SCOUT/STARTER. Durch Vergabe eines starken Passworts kann eine Manipulation verhindert werden. ● Verwenden Sie deshalb für Know-how-Schutz Programme und Know-how-Schutz Antriebsgeräte Passwörter, die mindestens 8 Zeichen lang sind, Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen beinhalten. ● Stellen Sie sicher, dass auf Passwörter nur berechtigte Personen Zugriff haben. ● Sichern Sie Backup-Dateien auf Ihrem Dateisystem durch einen Schreibschutz ab.

7.3.12

SINAMICS V20 Smart Access Das optionale Modul SINAMICS V20 Smart Access bietet Ihnen eine intelligente Lösung für die Inbetriebnahme des Umrichters SINAMICS V20. SINAMICS V20 Smart Access ist ein Webservermodul mit integrierter WLAN-Konnektivität. Es ermöglicht den webbasierten Zugriff auf den Umrichter von einem verbundenen Gerät aus (herkömmlicher PC mit WLAN-Adapter, Tablet oder Smartphone). Dieses Modul ist nur für die

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

79

Produktspezifische Security-Maßnahmen 7.3 SINAMICS Inbetriebnahme vorgesehen und kann daher nicht dauerhaft mit dem Umrichter verwendet werden. ACHTUNG WLAN: Standard-Passwort ändern Auch der Missbrauch von Passwörtern kann ein erhebliches Sicherheitsrisiko darstellen. ● Ändern Sie nach dem ersten Anmelden am SINAMICS V20 Smart Access mit dem Standard-Passwort, das Standard-Passwort des SINAMICS V20 Smart Access. ● Vergeben Sie ein sicheres Passwort. Hinweise dazu finden Sie in der Betriebsanleitung "Umrichter SINAMICS V20". ACHTUNG Unbefugter Zugriff auf den Umrichter über das SINAMICS V20 Smart Access-Modul Ein unbefugter Zugriff auf den SINAMICS V20 über das SINAMICS V20 Smart Access-Modul infolge von Cyber-Angriffen könnte zu Unterbrechungen des Prozesses führen. ● Bevor Sie sich bei den V20-Webseiten anmelden, überprüfen Sie die Status-LED am SINAMICS V20 Smart Access-Modul. Wenn die Status-LED grün leuchtet oder blinkt, stellen Sie sicher, dass kein unbefugter Zugriff stattgefunden hat. Sollte es zu einem unbefugten Zugriff gekommen sein, schalten Sie das SINAMICS V20 Smart AccessModul über den Ein/Aus-Schalter aus und danach wieder ein, um die WLAN-Verbindung neu herzustellen.

80

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Referenzen

A

Weiterführende allgemeine Informationen zu Industrial Security finden Sie im Internet: ● Industrial Security (https://www.siemens.de/industrialsecurity) ● Implement Security (https://www.industry.siemens.com/services/global/de/portfolio/plantdata-services/industrial_security) ● Operational Guidelines zu Industrial Security (https://www.industry.siemens.com/topics/ global/en/industrial-security/Documents/ operational_guidelines_industrial_security_en.pdf) Weiterführende produktspezifische Informationen zu Industrial Security finden Sie über die Internetseiten der einzelnen Produkte: ● SINUMERIK: Homepage SINUMERIK (https://www.siemens.com/sinumerik) ● SIMOTION: Homepage SIMOTION (https://www.siemens.com/simotion) ● SINAMICS: Homepage SINAMICS (https://www.siemens.com/sinamics) Produktspezifische Handbücher zu den einzelnen Produkten finden Sie im Internet: ● Gerätehandbuch "SINUMERIK 840D sl NCU 7x0.3 PN" (https:// support.industry.siemens.com/cs/de/de/view/99922219) ● Inbetriebnahmehandbuch "Inbetriebnahme CNC: NC, PLC, Antrieb" (https:// support.industry.siemens.com/cs/de/de/view/109481519) ● Inbetriebnahmehandbuch "SINUMERIK 840D sl Betriebssystem NCU (IM7)" (https:// support.industry.siemens.com/cs/de/de/view/109481527) ● Inbetriebnahmehandbuch "SINUMERIK 840D sl Basesoftware und HMI sl" (https:// support.industry.siemens.com/cs/de/de/view/109254363) ● Inbetriebnahmehandbuch "SINUMERIK Operate (IM9)" (https:// support.industry.siemens.com/cs/de/de/view/109481529) ● Inbetriebnahmehandbuch "PCU-Basesoftware (IM10)" (https:// support.industry.siemens.com/cs/de/en/view/109481697) ● Programmierhandbuch SIMOTION IT Programmieren und Webservices (https:// support.industry.siemens.com/cs/de/de/view/109476528) ● SINAMICS S120 Funktionshandbuch Antriebsfunktionen (https:// support.industry.siemens.com/cs/de/de/view/109740020) ● SINAMICS S120 Funktionshandbuch Safety Integrated (https:// support.industry.siemens.com/cs/de/de/view/109740018) ● SINAMICS S120/S150 Listenhandbuch (https://support.industry.siemens.com/cs/de/de/ view/109739998) Normen und Vorschriften zu Industrial Security finden Sie im Internet: ● IEC 62443

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

81

Referenzen

82

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Glossar AMC Abkürzung für SINUMERIK Integrate Analyze MyCondition

AMD Abkürzung für SINUMERIK Integrate Access MyData

AMM Abkürzung für SINUMERIK Integrate Access MyMachine

AMP Abkürzung für SINUMERIK Integrate Analyze MyPerformance

AMT Abkürzung für Intel® Active Management Technology

Angriff Versuch, eine Ressource zu zerstören, sie ihres Schutzes zu berauben, zu verändern, zu deaktivieren, zu stehlen, darauf unbefugten Zugriff zu erlangen oder sie in unerlaubter Weise zu verwenden.

Angriffsfläche Der Umfang, in dem ein System schutzlos gemacht wurde, sodass Angreifer das System angreifen können.

Authentifizierung Überprüfung der Identität eines Benutzers, Prozesses oder Geräts, häufig als Voraussetzung für die Gewährung des Zugriffs auf Ressourcen in einem Informationssystem.

Autorisierung Das einer System-Entität gewährte Recht, auf eine Systemressource zuzugreifen.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

83

Glossar

Bedrohung Potenzielle Ursache eines unerwünschten Vorfalls, durch den einem System oder einer Organisation Schaden entstehen kann.

Brute-Force Für viele Probleme in der Informatik sind keine effizienten Algorithmen bekannt. Der natürlichste und einfachste Ansatz zu einer algorithmischen Lösung eines Problems besteht darin, einfach alle potenziellen Lösungen durchzuprobieren, bis die richtige gefunden ist. Diese Methode nennt man "Brute-Force-Suche" (englisch brute-force search). Ein oft angeführtes Anwendungsbeispiel für die Brute-Force-Methode ist hier das Brechen oder umgangssprachlich „Knacken“ von Passwörtern. Oft sind Passwörter mit Hilfe von kryptografischen Hashfunktionen verschlüsselt. Eine direkte Berechnung des Passworts aus dem Hashwert ist praktisch nicht möglich. Ein Cracker kann jedoch die Hashwerte vieler Passwörter berechnen. Stimmt ein Wert mit dem Wert des hinterlegten Passwortes überein, hat er das (oder ein anderes, zufällig passendes) Passwort gefunden. Brute-Force bedeutet hier also simples Ausprobieren von möglichen Passwörtern.

Cloud Computing Unter Cloud Computing versteht man das Speichern von Daten in einem entfernten Rechenzentrum, aber auch die Ausführung von Programmen, die nicht auf dem lokalen Rechner installiert sind, sondern eben in der (metaphorischen) Wolke (englisch cloud).

Defense in Depth Potenzielle Ursache eines unerwünschten Vorfalls, durch den einem System oder einer Organisation Schaden entstehen kann.

Denial of Service (DoS) Denial of Service (kurz DoS; engl. für "Dienstverweigerung") bezeichnet in der Informationstechnik die Nichtverfügbarkeit eines Dienstes, der eigentlich verfügbar sein sollte. Obwohl es verschiedene Gründe für die Nichtverfügbarkeit geben kann, spricht man von DoS in der Regel als die Folge einer Überlastung von Infrastruktursystemen. Dies kann durch unbeabsichtigte Überlastungen verursacht werden oder durch einen mutwilligen Angriff auf einen Server, einen Rechner oder sonstige Komponenten in einem Datennetz.

DMZ Die Demilitarisierte Zone ist ein eigenständiges Subnetz, welches das lokale Netzwerk (LAN) durch Firewall-Router (A und B) vom Internet trennt. Die Firewall-Router sind so konfiguriert, dass sie Datenpakete, für die es keine vorhergehenden Datenpakete gab, verwerfen. Wird also aus dem Internet ein Datenpaket an den Server geschickt, wird es vom Firewall-Router A verworfen. Sollte ein Hacker doch auf einen Server innerhalb DMZ Zugriff erhalten und Datenpakete in das LAN zum Schnüffeln oder Hacken schicken wollen, werden diese vom Firewall-Router B verworfen.

84

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Glossar

Firewall Gerät zur Verbindung von Netzwerken untereinander, das den Datenverkehr zwischen beiden verbundenen Netzwerken einschränkt.

Hacker An absichtsvollen Hacking-Aktivitäten beteiligte Person. Die Motive dieser Aktivitäten können bösartig oder nicht bösartig sein oder sich auch in den Grenzen des ethisch und rechtlich Akzeptablen halten.

Härten Vorgang, bei dem die Sicherheit eines Systems durch Reduzierung der Angriffsfläche erhöht wird.

IANA Die Internet Assigned Numbers Authority (IANA) ist eine Abteilung der ICANN und für die Zuordnung von Nummern und Namen im Internet, insbesondere von IP-Adressen, zuständig. Sie ist eine der ältesten Institutionen im Internet.

Industrial Security Maßnahmen zur Erhöhung der industriellen Sicherheitsstandards einer Anlage. Diese schützen vor unautorisiertem Zugriff auf Leitsysteme, industrielle Steuerungen und PCbasierte Systeme der Anlage sowie vor Cyber-Angriffen.

Informationssicherheit Erhaltung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen.

Integrität Eigenschaft, welche die Fehlerfreiheit und Vollständigkeit von Ressourcen gewährleistet.

IPsec (Internet Protocol Security) IPsec ist eine Erweiterung des Internet-Protokolls (IP) um Verschlüsselungs- und Authentifizierungsmechanismen. Damit erhält das Internet-Protokoll die Fähigkeit IP-Pakete kryptografisch gesichert über öffentliche unsichere Netze zu transportieren.

Malware Malware ist ein Sammelbegriff für Programme, die dazu entwickelt wurden, Benutzern Schaden zuzufügen. Es gibt zahlreiche Unterarten von Malware – z. B., Viren, Trojaner, Rootkits oder Spyware.

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

85

Glossar

MMP Abkürzung für SINUMERIK Integrate Manage MyPrograms

MMT Abkürzung für SINUMERIK Integrate Manage MyTools

NAT (Network Address Translation) NAT ist ein Verfahren, dass in IP-Routern eingesetzt wird, die lokale Netzwerke mit dem Internet verbinden. Weil Internet-Zugänge in der Regel nur über eine IP-Adresse (IPv4) verfügen, müssen sich alle anderen Stationen im lokalen Netzwerk mit einer privaten IPAdresse begnügen. Private IP-Adressen dürfen zwar mehrfach verwendet werden, aber besitzen in öffentlichen Netzen keine Gültigkeit. Stationen mit einer privaten IP-Adresse können somit nicht mit Stationen außerhalb des lokalen Netzwerks kommunizieren. Damit trotzdem alle Computer mit privater IP-Adresse Zugang zum Internet bekommen können, muss der Internet-Zugangs-Router in allen ausgehenden Datenpaketen die IP-Adressen der lokalen Stationen durch seine eigene, öffentliche IP-Adresse ersetzen. Damit die eingehenden Datenpakete der richtigen Station zugeordnet werden, speichert der Router die aktuellen TCPVerbindungen in einer Tabelle. Der NAT-Router merkt sich sozusagen, welche Datenpakete zu welcher TCP-Verbindung gehören. Dieses Verfahren nennt man NAT (Network Address Translation).

NCU Zentrale Steuerungsbaugruppe einer CNC-Steuerung für NC, HMI, PLC und Regelung.

OpenVPN OpenVPN ist ein Programm zum Aufbau eines Virtuellen Privaten Netzwerkes (VPN) über eine verschlüsselte TLS-Verbindung. Zur Verschlüsselung werden die Bibliotheken des Programmes OpenSSL benutzt. OpenVPN verwendet wahlweise UDP oder TCP zum Transport.

Patch-Management Bereich des Systemmanagements, zu dessen Aufgaben das Beschaffen, Testen und Installieren mehrerer Patches (Codeänderungen) für ein administriertes Computersystem bzw. in einem solchen gehört. Zugleich ein Teilprozess des Security Vulnerability Management, dessen Aufgaben die Behebung und Eindämmung von Sicherheitslücken bei Siemens-Produkten mittels Softwarekorrekturen umfassen.

PCU Hochintegrierter Industrie-PC für Bedienoberfläche oder Systemsoftware und Bedienoberfläche einer CNC.

86

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Glossar

Phishing Unter dem Begriff Phishing versteht man Versuche, über gefälschte Webseiten, E-Mails oder Kurznachrichten an persönliche Daten eines Internet-Benutzers zu gelangen und damit Identitätsdiebstahl zu begehen.

Remote-Zugriff Einsatz von Systemen, die sich innerhalb des Perimeters der Sicherheitszone befinden und auf die von einem anderen geografischen Standort aus mit denselben Rechten zugegriffen wird, wie wenn sich die Systeme physisch am gleichen Standort befinden würden.

SCADA Unter Supervisory Control and Data Acquisition (SCADA) versteht man das Überwachen und Steuern technischer Prozesse mittels eines Computer-Systems.

Security Aufrechterhaltung der Vertraulichkeit, Integrität und Verfügbarkeit eines Produkts, einer Lösung oder Dienstleistung.

Sicherheitslücke Schwachstelle in einem Computersystem, die es einem Angreifer ermöglicht, die Integrität des Systems zu verletzen. Dies ist in der Regel die Folge von Programmfehlern oder Designmängeln des Systems. Eine durch eine oder mehrere Bedrohungen ausnutzbare Schwachstelle einer Ressource oder eines Bedienelements.

SIEM-System SIEM steht für Security Information and Event Management und ist in der IT-Sicherheit ein feststehender Begriff geworden. Entsprechende Systeme sind dazu in der Lage, sicherheitsrelevante Ereignisse zu identifizieren, zu bewerten und den Administrator daraufhin zu alarmieren.

Switch Netzwerk-Komponente zur Verbindung mehrerer Endgeräte bzw. Netz-Segmente in einem lokalen Netz (LAN).

Threat and Risk-Analyse Die TRA (Threat and Risk-Analyse) ist eine Siemens-weit standardisierte Methodik zur Verwendung für das Produkt-, Lösungs- und Servicegeschäft, bei Produktentwicklungs-, Engineering- oder Serviceprojekten. Die Methodik soll Projektbeteiligte dabei unterstützen, typische Sicherheitsmängel und Schwachstellen zu erkennen, die Gefahren zu analysieren,

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

87

Glossar

die diese Mängel und Schwachstellen ausnützen könnten und die sich daraus ergebenden Risiken zu bewerten.

TLS Transport Layer Security (TLS, "Transportschichtsicherheit"), weitläufiger bekannt unter der Vorgängerbezeichnung Secure Sockets Layer (SSL), ist ein hybrides Verschlüsselungs‐ protokoll zur sicheren Datenübertragung im Internet.

Verfügbarkeit Eigenschaft, auf Anforderung durch eine berechtigte Entität zugänglich und verwendbar zu sein.

Vertraulichkeit Eigenschaft, aufgrund derer Informationen gegenüber unberechtigten Einzelnen, Entitäten oder Prozessen nicht verfügbar gemacht oder offengelegt werden.

Vorfall Ein oder mehrere unerwünschte oder unerwartete Ereignisse, die den Unternehmensbetrieb beeinträchtigen und die Informationssicherheit gefährden. Ursache hierfür können Sicherheitslücken, Fehlkonfigurationen oder Fehlverhalten und deren bzw. dessen Ausnutzung sein.

VPN (Virtual Private Network) Eine verschlüsselte Verbindung von Computern oder Netzwerken über das Internet. Sie ermöglicht den Austausch vertraulicher Daten über öffentliche Netze.

WSUS (Windows Server Update Services) Windows Server Update Services (Abkürzung WSUS) ist die Softwarekomponente des Microsoft Windows Server seit Version 2003, die für Patches und Aktualisierungen zuständig ist. Sie ist die Nachfolgeversion der Softwarekomponente Software Update Services.

88

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Index A

H

Ändern Passwort, 32 Anlagensicherheit, 22 Antivirenprogramm, 32 Application Security, 15 Auswirkungen, 12

Haupteintrag, 48 HMI-Kennwort, 42 Hotfix-Management, 15 HTTPS SIMOTION Webserver, 66

B

I

Bausteinschutz, 47 SINUMERIK, 47 Bausteinverschlüsselung SINUMERIK, 48 Bedrohungen, 12 Benutzer-Accounts, 29 BIOS-Passwort PCU 50, 45

IEC 62443, 17 Industrial Security Bedrohungen, 12 Definition, 9 Mögliche Auswirkungen, 12 Ziele, 9 Integritätssicherung, 15 Internet der Dinge, 11 ISO 27005, 17

C

K

Cloud Computing, 11 Code-Analyse, 15

Kennwörter ändern SINUMERIK, 42 Know-how-Schutz SINAMICS, 70 Kommunikation Kommunikationsdienste, 39 Verwendete Portnummern, 39 Kommunikationsdienste SINAMICS, 72 Kopierschutz SINUMERIK, 46

D Daten transportieren, 31 Datenablage, 30 verschlüsseln, 30 Defense in Depth, 21 Dienste, 29 DMZ-Netzwerk, 24 Dokumentation Nutzen, 4 Zielgruppe, 4 Drahtlostechnologie, 11

F Fernzugriff, 11 Festplatte, 31 Firewall, 24

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

L Linux-Passwort, 42 Lock MyCycle SINUMERIK Integrate, 47 Lock MyPLC SINUMERIK Integrate, 47 Lock-it SINUMERIK Integrate, 46

89

Index

M Mobilfunknetze, 11 Mobilgeräte, 11

N NCK-Kennwort, 42 Netzwerksicherheit, 22 Normen, 17 Nutzen, 4

P Parameter: Zugriffsstufen SINAMICS, 70 Passwort ändern, 32 Empfehlungen, 32 Komplexität, 32 Passwortqualität, 32 Patch-Management, 15 PC Empfehlungen, 30 sperren, 30 PCU 50 BIOS Passwort, 45 Physikalische Produktionssicherheit, 23 PLM, 15 Ports, 29 Product Lifecycle Management-Prozess, 15 ProductCERT, 16 Produktsicherheitsmeldungen, 32 PROFINET-Schnittstelle deaktivieren SINUMERIK, 39

R Risikoanalyse, 19

S SCALANCE S, 25 Schreibschutz SINAMICS, 70 Schutzstufen SINUMERIK, 42 Schutzzone, 24 Security by Design, 15

90

Security Module SCALANCE S, 25 Security-Audit, 19 Security-Service, 15 Security-Support, 15 SI HSC, 16 Sicherheitslücken, 12 Sicherheitsupdate-Prozess SINUMERIK, 42 Siemens Industrial Holistic Security Concept, 16 SIEM-System, 16 SIMATIC Logon, 59 SIMOTION Industrial Security, 54 Know-how-Schutz, 59 Kopierschutz, 60 Ports, 55 Projektablage, 57 Projektvergleich, 61 Virenscanner, 56 Webserver, 64 SINAMICS Know-how-Schutz, 70 Kommunikationsdienste, 72 Parameter: Zugriffsstufen, 70 Schreibschutz, 70 Softwaremanipulation, 71 Transport Layer Security, 73 Verwendete Portnummern, 72 Virenschutz, 71 Webserver, 72 Wechselspeichermedien, 71 X140, 74 Zertifikate, 73 SINUMERIK Bausteinschutz, 47 Bausteinverschlüsselung, 48 Kennwörter ändern, 42 Kopierschutz, 46 PROFINET-Port deaktivieren, 39 Schutzstufen, 42 Sicherheitsupdate-Prozess, 42 Softwaremanipulation, 41 USB-Schnittstelle sperren, 38 Virenschutz, 40, 41 Webserver, 45 Wechselspeichermedien, 41 Whitelisting, 39 Zyklen verschlüsseln, 46 SINUMERIK Integrate Lock MyCycle, 47

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

Index

Lock MyPLC, 47 Lock-it!, 46 Softwaremanipulation SINAMICS, 71 SINUMERIK, 41 Sperren USB-Schnittstelle, 38 Systemintegrität, 22

Wechselspeichermedien SINAMICS, 71 SINUMERIK, 41 Wechselspeichermedium, 31 Whitelisting, (SINUMERIK) Windows Server Update Services, 34 WSUS, 34 Würmer, 32

T

X

Tablet-PCs, 11 Threat and Risk-Analyse, 15 TLS, 73 TRA, 15 Transport Daten, 31 Transport Layer Security SINAMICS, 73 Trojaner, 32

X140 SINAMICS, 74

U

Z Zertifikate SIMOTION, 66 SINAMICS, 73 Zielgruppe, 4 Zyklen verschlüsseln SINUMERIK, 46

Unternehmenssicherheit, 23 USB-Schnittstelle sperren SINUMERIK, 38 USB-Stick, 31

V Verschlüsselung Daten, 30 Vertraulichkeitsstufen, 30 Verwendete Portnummern SINAMICS, 72 Viren, 32 Virenscanner, 32 Virenschutz SINAMICS, 71 SINUMERIK, 40, 41 Virenschutz-Programm, 32 Vorschriften, 17

W Webserver SIMOTION, 64 SINAMICS, 72 SINUMERIK, 45

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0

91

Index

92

Industrial Security Projektierungshandbuch, 05/2017, 6FC5397-5EP40-6AA0