Security-Konzepte auf Basis der EAGLE-Familie

White Paper: Security-Konzepte auf Basis der EAGLE-Familie Das EAGLE System – der beste Schutz vor unberechtigten oder versehentlichen Zugriffen. Der eigene Mitarbeiter - ein Sicherheitsrisiko? Im Jahr 2004 fand ein 17jähriger Schüler eine versehentlich von Mitarbeitern in Unternehmen einge- Sicherheitslücke im Betriebssystem Windows XP und schleppt wurden, deren Laptops ausserhalb des “enwickelte” den Wurm Sasser, der sich über den ver- Unternehmens durch den Wurm infiziert wurden und sehentlich von Microsoft nicht gesicherten Port 445 den Wurm durch einen lokalen Anschluß des Gerätes Zugang zu Endgeräten verschaffte und diese abschal- innerhalb des Unternehmens in das Netzwerk einspei- tete. sten. Der eigene Mitarbeiter – ein Sicherheitsrisiko Der Aufwand für die Programmierung des Wurms lag ohne böse Absicht. vermutlich bei einer Nacht, der daraus resultierende Das Szenario kann beliebig erweitert werden: vom Schaden ging in die Millionen. Die technischen eigenen Mitarbeiter auf Dienstleister, die sich im Unzulänglichkeiten sind mittlerweile beseitigt, indem Unternehmen befinden, oder auf Besucher, die den Microsoft einen sog. Patchcode nachgeschoben hat, Zugang zum Unternehmensnetzwerk über einen und Würmer von aussen werden in der Regel über die Anschluß im Besprechungszimmer finden. Die zentrale Firewall eines jeden Unternehmens abgefan- Gefahrenquelle muß dabei nicht unbedingt im gen. Zusammenhang mit einer Schadsoftware gesucht Der geschilderte Fall des Wurmes “Sasser” betraf den werden; oftmals reichen Zugänge über Standard- Produktivbereich vieler Unternehmen in gleichem Webbrowser aus, um den Tatbestand des unerlaubten Umfang wie den administrativen Bereich, da viele Zugriffs zu erfüllen. Einen wirksamen Schutz einzelner Industriesteuerungen heute auf Basis von Microsoft- Produktionszellen oder kritischer Fertigungseinheiten, Betriebssystemen arbeiten. Das Sicherheitsmodell der die keinen Stillstand erlauben, kann daher nur ein zentralen Firewall versagte, da die Schadsoftware auch Sicherheitsmechanismus vor Ort bieten. Welches Kundenproblem wird gelöst? Im Auslieferungszustand bietet EAGLE mit dem Anwender haben noch von außen Zugriff auf das ge- Transparent-Modus als Sicherheit Stateful-Packet- schützte Netz. Inspection an. Damit können nur die Daten ins abgesi- Mit Hilfe der EAGLE-Familie und den Dienstleistungen cherte Netz, die aus dem Inneren auch angefordert rund um das Thema Security wird eine offene, indu- wurden. Zusätzlich können mit Port-Filtern Regeln fest- Welches Kundenproblem wird gelöst? striespezifische und definierte Kommunikation von der gelegt werden, die bekannte Lücken schließen. Im Management Ebene bis zur Feldebene unterstützt. Beispiel mit dem Wurm Sasser, hätte sich dieser bei Sowohl für jede laufende und als auch für neu zu pla- einem gesperrten Port 445 nicht über EAGLE hinweg nende Applikationen stellt die EAGLE-Familie aufgrund ausbreiten können. der Segmentierungmöglichkeiten die entsprechende Den Zugang zu einem Netz kann EAGLE auf bestimmte Lösung dar. IP-Adressen und Dienste beschränken. Nur autorisierte Identifizierung des Potentials Für das Eindesignen von Security in Industrienetzwerke – Sicherer Remote Zugriff auf Maschinen (Werkzeug- werden Features benötigt, die oft über vorhandene und Druckmaschinen) Security (Office) Lösungen hinausgehen. Das Potential – Standortübergreifende Vernetzung von Fabriken erstreckt sich somit über alle von Hirschmann definier- (auch über das “unsichere” Internet) ten Focusbranchen Process, Factory und Traffic – Vernetzung von Windparks (auch Off Shore) Automation. Desweiteren werden im Zuge der vertika- – Sichere Zellenabtrennung in Automobilbau- oder len Integration mehr und mehr Industrie Applikationen Maschinenbau Netzwerken mit Ethernet aufgebaut werden. Typische Officeanwendungen sind nicht der Zielmarkt, Die dezentrale Sicherheitsarchitektur basierend auf der da dort einerseits die Industrietauglichkeit nicht benö- EAGLE Familie ist insbesondere dann von Interesse, tigt wird und andererseits leistungsstärkere Systeme wenn Datensicherheit in Industrienetzwerken und für eine zentrale Absicherung des Unternehmensnetz- Schutz auch gegen z.T. ungewollte und unbewußte werkes eingesetzt werden. Angriffe aus dem Inneren des Netzwerkes verlangt wird: Der Sicherheitsfaktor in Ihrem Unternehmensnetz: Das EAGLE System. Skalierbarkeit der Security- Industrietaugliches Design: Funktionalität: - Redundate 24 V - Reine Firewall Spannungsversorgung - Firewall mit VPN Funktionalität - Hutschienenmontierbar - IP 20, lüfterlos Einfachste Integration in bestehende Netze ohne Umfangreiche Diagnosemöglichkeiten: Änderung von IP-Adressen: - Web-based Management - Single Client Transparent Modus - Status LEDs - Multi Client Transparent Modus - Meldekontakt - Logging auf SysLog-Server - Integration in HiVision Trennung von Subnetzen: - Routermodus Migration in bestehende Netzwerke: Twisted Pair und LWL Verbindungen für Support von Hirschmann - Gesicherten Port Redundanzszenarien: - Ungesicherten Port - Redundante Ringkopplung - Dual Homing Einfachste Inbetriebnahme: Remote Zugang in das Netzwerk: - HiDiscovery Support - Dial In Zugang über V.24 - Support des Auto- konfigurationsadapters Made for Security Die Geräte der EAGLE Serie sind als Einzelgeräte den Endgerätes hergestellt werden. Ausserdem für Security Zwecke konzipiert, entsprechend ist müssen keine komplexen Access Listen oder das Betriebssystem, das Management, etc. aus- Firewall Regeln im Backbone gepflegt werden. gelegt. Durch die Möglichkeit des Loggings (intern und Vorteil: Die Security Mechanismen können dezen- remote) wird die Analyse und damit auch die tral in das Netzwerk designed werden, somit be- Optimierung des Datenverkehrs möglich. steht eine bessere Übersicht bezüglich dieser Das System unterstützt mit redundanter Mechanismen. Es kann ein Bezug zu der jeweili- Ringkopplung und Dual Homing die Hirschmann gen zu schützenden Zelle oder des zu schützen- Redundanzverfahren. Typische Anwendungsszenarien. Die am häufigsten in der Industrie anzutreffenden Typische Anwendungsszenarien: Anwendungen erfordern den Betrieb des EAGLE s Gesicherter Service-Port in einem der folgenden Modi: s Sichere Zellenabtrennung s Transparentmodus auf Layer 2 s Sichere Verbindung von Netzen (Multi Client, Single Client) s Fernzugriff über einen VPN-Tunnel s Routermodus auf Layer 3 Gesicherter Service-Port Mit dem integriertem DHCP Server lassen sich s Im Router-Modus muss beim am sicheren Port Service-Ports für externe Mitarbeiter im angeschlossenen Client-Rechner der EAGLE Serviceeinsatz oder bei der Inbetriebnahme leicht als Standardgateway festgelegt sein. und sicher realisieren. s Konfiguration des EAGLE als DHCP-Server: am Konfiguration: ungesicherten Port die MAC-IP-Zuordnung ein- Netzwerk-Modus des EAGLE: SCT, MCT oder tragen. Router-Modus. s Definition von Firewallregeln für die im DHCP- Server eingetragenen IP-Adresse.