Sichere Fernwartung über Rendezvous-Server

Sonderdruck aus Ausgabe 1+2/2011 www.sps-magazin.de Sonderdruck aus Au Verabredung in der DMZ Sichere Fernwartung über zentralen Rendezvous-Server Fernwartungs-Lösungen sind dank moderner IT-Technologie, weltweiter Vernetzung und schneller Daten- übertragung problemlos zu realisieren. Die Herausforderung stellt sich an anderer Stelle: Wie behalten große Industrieunternehmen, die Fernwartungs-Services von mehreren Herstellern nutzen, die zahlreichen Zugriffsmöglichkeiten in ihre Netzwerke im Blick? Auf der anderen Seite stehen die Anlagen-Hersteller vor der Aufgabe, eine Vielzahl von Fernwartungs-Verbindungen zu ihren verschiedenen Kunden zu betreiben. Die zentralen Anforderungen sind hier: einfache Anwendung, flexible Einsatzmöglichkeiten, einheitliche Administration und vor allem auch zuverlässige IT-Sicherheit. Stuxnet hat gerade aufgezeit, wie Produkti- onsanlagen weltweit massenhaft infiziert werden können, wenn diese komplett vernetzt, aber nicht aus- reichend gesichert sind. Wir zeigen, wie diese Aufgabe sicher gelöst werden kann. D ie Vorteile einer Fernwartungs- sem Grund werden immer mehr Fern- reich der IT-Sicherheit bei der Anwender- Lösung liegen auf der Hand: wartungs-Lösungen in der Industrie, firma betroffen. Hier muss sichergestellt Die Anlagen werden von erfah- dem Gesundheitswesen und anderen werden, dass über den Wartungszugang renen Spezialisten des Herstellers fort- Bereichen eingesetzt. tatsächlich nur der Dienstleister in das laufend überwacht und gewartet, ohne LAN gelangt und keine unbefugten Drit- dass diese vor Ort sein müssen. Sollte Fernwartung mit Nebenwirkungen ten. Als weitere Sicherheitsstufe sollte der trotz regelmäßiger Pflege eine Störung externe Zugriff auf das betreute Objekt auftreten, können die Spezialisten via Diese Vorteile sind überzeugend, der zu- begrenzt sein. Denn viele Unternehmen Wartungsverbindung zugreifen und die nehmende Einsatz von Fernwartungs-Lö- betreiben im Produktionsbereich ein fla- meisten Probleme umgehend lösen. sungen ist aber mit erheblichen Neben- ches Netz, an das alle Systeme angebun- Die erforderliche IT-Technologie ist aus- wirkungen verbunden. Denn die Anla- den werden. Wer einmal Zugang erlangt gereift, schnelle Datenleitungen na- gen, die betreut werden sollen, sind bei hat, kann somit ungehindert im gesam- hezu überall kostengünstig vorhanden. den Anwendern in die lokalen Netze ten Kunden-LAN ‘herumsurfen’. So Fernwartungs-Lösungen sparen somit (LAN) eingebunden. Für den Fernzugriff konnte z. B. zuletzt der Schadcode Stux- Zeit und Geld – davon profitieren so- muss dem Dienstleister also ein Zugang net innerhalb kurzer Zeit eine große An- wohl der Wartungs-Dienstleister als in das LAN des Anwenders eingeräumt zahl von Steuerungssystemen für Ma- auch der Anlagen-Anwender. Aus die- werden. Damit ist direkt der sensible Be- schinenanlagen infizieren. 1 Sonderdruck aus SPS-Magazin Ausgabe 1+2/2011 usgabe 1+2/2011 www.sps-magazin.de Sonderdruck aus Ausgabe 1+2/2011 Vielfalt an Lösungen Beide Seiten – Anwender und Dienst- erschwert Absicherung leister – haben somit ein großes Inte- resse an einer Fernwartungs-Lösung, Je mehr Wartungszugänge in ein LAN die diese Kriterien erfüllt: geführt werden, desto schwieriger ist Appliance GeNUBox die Absicherung. Denn es werden eine • Einfache Bedienung für sichere Fernwartung • Komfortable Administration Vielzahl von Fernwartungs-Lösungen • Hochwertige IT-Sicherheit verwendet, die über unterschiedliche • Flexible Einsatzmöglichkeiten gebundenen Netzwerken ungeschützte Wege eine Verbindung zur betreuten Systeme befallen und sich rasant aus- Anlage aufbauen: über Modem, ISDN, Sichere Lösung für alle Zugriffe: breiten. Mit SSH werden dagegen nur DSL oder Internet sowie mit verschie- Rendezvous in der DMZ die tatsächlich notwendigen Verbindun- denen VPN-Standards (Virtual Private gen zwischen einzelnen Rechnern er- Network) zur verschlüsselten Daten- Zur Fernwartung von Maschinenanlagen zeugt, so dass Schadcode keine schnel- übertragung. Industrieunternehmen in sensiblen Produktionsbereichen bietet len Verbreitungswege findet. mit größeren Maschinenparks verfü- das deutsche IT-Sicherheitsunternehmen gen zumeist über ein gewachsenes GeNUA eine Lösung, in dessen Mittel- Kein Weiterkommen: Konglomerat solcher Lösungen. Für punkt ein Rendezvous-Server steht. Das Firewall isoliert Wartungsbereich dieses Sammelsurium unterschiedli- Konzept: Es werden keine einseitigen cher Lösungen müssen auf der Fire- Wartungszugriffe von Herstellern in das Bei der Lösung von GeNUA sorgt im Pro- wall wiederum eine Vielzahl an Ports Netz des Industrieunternehmens zuge- duktionsbereich zusätzlich die Fernwar- freigeschaltet werden. Manchmal wird lassen. Stattdessen führen alle Fernwar- tungs-Appliance GeNUBox für Sicherheit. die Firewall sogar umgangen und die tungs-Zugriffe auf einen Rendezvous- Sie wird an der per Fernzugriff betreuten Verbindung direkt an die betreute An- Server, der in einem speziellen Bereich Anlage installiert und separiert mit einer lage im LAN gelegt. Mit jedem offe- neben der Firewall, der so genannten Firewall-Funktion den Wartungsbereich nen Port und besonders natürlich demilitarisierten Zone (DMZ), installiert vom den anderen Systemen in diesem durch die Umgehung der Firewall ist. Hierhin kommt das Industrieunter- Netzbereich. So führt die SSH-Verbin- steigt die Gefährdung durch unbe- nehmen dem Hersteller mit einer Ver- dung ausschließlich zum Wartungsobjekt rechtigte Zugriffe, Hacker-Attacken bindung von innen aus dem Produkti- – Zugriffe auf andere Systeme im Netz und Viren, die ganze Produktionsstra- onsbereich entgegen. Erst wenn es auf der Produktionsabteilung sind nicht ßen lahm legen können. Zu regelrech- dieser zentralen Wartungsplattform zum möglich. Selbst wenn Schadcode bis ten Löchern werden diese Schwach- Rendezvous kommt, kann der Hersteller hierhin vordringen sollte, kann er von stellen, wenn bei der Administration die jetzt durchgängige Verbindung zum dieser isolierten Anlage aus keine weite- der diversen Zugänge Fehler unterlau- Zugriff auf die betreute Anlage nutzen. ren Systeme infizieren. Über den Ren- fen oder die regelmäßige Pflege auf- Der Rendezvous-Server kann sowohl in dezvous-Server können beliebig viele grund des hohen Aufwands vernach- der DMZ des Dienstleisters oder auch Fernwartungs-Verbindungen zusam- lässigt wird. Dies kann schnell passie- des Kunden eingerichtet werden. Da der mengeführt werden. Da Bedienung und ren, da jedes Fernwartungs-System Kunde zu einem verabredeten Zeitpunkt Administration über einheitliche Ober- andere Anforderungen stellt und ein- selbst aktiv werden muss, hat er stets flächen erfolgen, kann mit geringem zeln betreut werden muss. den Überblick, wer wann in seinem Netz Aufwand ein sicheres Fernwartungs-Sys- unterwegs ist. tem mit vielen Teilnehmer aufgebaut Viele Wege führen zum Kunden und betrieben werden. Um neue Teil- VPN-Verfahren SSH verhindert nehmer in die Lösung einzubinden, wird Am anderen Ende der Verbindung Verbreitung von Schadcode an der jeweiligen Gegenstelle lediglich stehen die Wartungs-Dienstleister zu- eine Fernwartungs-Appliance installiert.