Sicherheitsarchitektur für integrierte Industrienetze unter Verwendung der EAGLE Security Appliance

Hirschmann. Simply a good Connection. Sicherheitsarchitektur für integrierte Industrienetze unter Verwendung der EAGLE Security Appliance Sicherheitsarchitektur für integrierte Industrienetze White Paper Rev. 1.0 Inhaltsverzeichnis Sicherheitsarchitektur für integrierte Industrienetze unter Verwendung der EAGLE Security Appliance 1 Einleitung 3 2 Zusammenspiel von Produktion und IT 3 3 Security Compartments reduzieren die Komplexität des Gesamtsystems 4 4 Lösungsszenarien 7 5 Zentrales Policy und Workflow Management 11 6 Zusammenfassung 13 Sicherheitsarchitektur für integrierte Industrienetze Rev. 1.0 White Paper 2 / 13 Sicherheitsarchitektur für integrierte Industrienetze unter Verwendung der EAGLE Security Appliance 1 Einleitung Mit der wachsenden Integration der Industrienetze in die zentralen IT-Strukturen der Unternehmen werden deren Betreiber zunehmend auch mit dem Thema Network Security konfrontiert. Die spezielle Heraus- forderung ergibt sich dabei aus den zwei unterschiedlichen Aspekten, die bei der Festlegung einer geeigneten Security-Strategie zu betrachten sind. Zum einen müssen die physikalischen Rahmen- bedingungen vor Ort und die vorhandene Netztopologie berücksichtigt werden. Zum anderen ist es erforderlich, sich Gedanken über ein praktikables Bedienkonzept zu machen. Es muss daher das Ziel sein, den Betreibern von Industrienetzen geeignete Mittel an die Hand zu geben, ihre Netze ohne Eingriffe in den laufenden Produktionsprozess zu schützen und gleichzeitig eine Schnitt- stelle in Richtung Zentrale IT zu definieren. 2 Zusammenspiel von Produktion und IT Der Siegeszug von Ethernet in der Industrie bietet sowohl den Herstellern als auch den Betreibern von Produktionsanlagen eine neue Flexibilität im Umgang mit Produktionsdaten. Sei es zur direkten und effektiven Einbindung der Produktion in ERP-Prozesse (vertikale Integration), sei es zur einfachen Wartung, Fehleranalyse und Parametrierung von Anlagenteilen über entfernte Netzzugänge im firmen- eigenen Netzwerk oder über das Internet (horizontale Integration). Diese flexible Nutzung bedingt jedoch auch eine immer weiter voranschreitende Vernetzung der Produktionszellen untereinander und mit dem bereits vorhandenen IT-Netzwerken. Im Zuge dieser Öffnung der Industrienetze müssen sich nun auch deren Betreiber mit dem Schutz ihrer Systeme vor ungewollten Zugriffen und schädlicher Software auseinandersetzen. Wie die Praxis zeigt, profitieren die “Industrienetzwerker“ in vielen Fällen von den Erfahrungen und den Vorarbeiten ihrer IT-Kollegen, deren Enterprise-Netze als eine Art Puffer vor den Produktionsnetzen fungieren. Die Gefahren drohen daher im allgemeinen weniger von direkten Angriffen aus dem Internet. Sicherheitsarchitektur für integrierte Industrienetze Rev. 1.0 White Paper 3 / 13 Das Problem liegt eher darin, die Verbreitung von Viren und Würmern und den unerwünschten Zugriff auf Ressourcen von internen Quellen – wie z.B. Service-Laptops – zu verhindern und eine unter Sicherheits- aspekten saubere Schnittstelle zwischen den verschiedenen Produktionszellen und dem Office-Netz zu definieren. Das Hauptaugenmerk liegt hierbei auf einer Untergliederung des Gesamtnetzes und der individuellen Ein- schränkung von Verbindungsmöglichkeiten. So sollte es für einen Servicetechniker z.B. nicht möglich sein, durch die falsche Eingabe einer IP-Adresse versehentlich auf eine völlig falsche Maschine zuzugreifen und unter Umständen laufende Produktionsprozesse zu stören. Selbstverständlich muss sichergestellt werden, dass die in die Sicherheitsstrategie integrierten Maschinen und Anlagenteile weiterhin wie gewohnt bedient werden können. Weiter ist es der Wunsch der Anwender, ihre Netze zuverlässig zu schützen, ohne sich im gleichen Atemzug mit einem fast unüberschaubaren Wust an Technologien, Kommunikationsbeziehungen und Zuständigkeiten auseinandersetzen zu müssen, die mit dem eigentlichen Prozess im Grunde nichts zu tun haben. Auch ist es sehr entscheidend, dass die Industrienetze selbst unverändert bestehen bleiben können und sich nicht an eine übergeordnete Struktur anpassen müssen. Derartige Anpassungen wie z.B. die Änderung der IP-Adresse aller am Prozess beteiligten Endgeräte wären aufgrund des administrativen Aufwandes und der weitreichenden Auswirkungen in einer bestehenden und bereits produzierenden Anlage schlicht nicht akzeptabel. Die Aufgabenstellung ist klar. Die Industrienetze sollen auf möglichst einfache Weise in eine geeignete Sicherheitsstrategie integriert werden ohne die vorhandene Funktionalität zu beeinträchtigen. Es ist also eine sehr flexible Lösung gefragt, die vor Ort an alle nur denkbaren Rahmenbedingungen adaptiert werden kann. 3 Security Compartments reduzieren die Komplexität des Gesamtsystems Auch wenn das Bedrohungsszenario in großen Teilen ähnlich ist, ist es in der Regel nicht möglich, die aus dem IT-Bereich bekannten Lösungen einfach zu 100% für Industrienetze zu adaptieren bzw. dort hin aus- zudehnen. Die limitierenden Faktoren reichen dabei von einem anderen topologischen Aufbau über andere Schwerpunkte bei den Sicherheitsanforderungen bis hin zu Wartungs- und Servicekonzepten und dem Betreibermodell (Bild 1: Vergleich Büro - Produktion). Sicherheitsarchitektur für integrierte Industrienetze Rev. 1.0 White Paper 4 / 13 Bild Sicherheitsarchitektur 1: Vergleich Büro-Produktion Zu nicht unerheblichem Teil getrieben von dominierenden Hard- und Softwareherstellern besteht in der IT- Welt generell die Tendenz zu zentralisierten und übergreifenden Lösungen, denen die einzelnen Nutzer- anforderungen untergeordnet werden müssen. Im Gegensatz hierzu orientieren sich Lösungen in der Industrie eher an Teilprozessen, die teilweise unter Echtzeitbedingungen eigenständig und stabil laufen müssen. Dies hat den großen Vorteil, dass man die Gesamtproblematik in kleinere beherrschbare Teile untergliedern und diese mit dem jeweiligen Experten- wissen separat lösen kann. In der Folge dieser Strategie finden wir in Industrienetzwerken typische Unter- einheiten für Maschinen, Produktionszellen bzw. Produktionsbereiche, die erst in einer nächsten Stufe zu einem Netz verbunden werden. Vor diesem Hintergrund ist es generell fraglich, ob ein zentral administriertes, allumfassendes Sicherheits- konzept (top down) in den meisten Industrienetzen überhaupt beherrschbar ist. Das Hirschmann-Modell der Security Compartments stellt hierzu eine Alternative mit komplementärem Ansatz zur Verfügung (Bottom up) (Bild 2: Security Compartments). Die Idee dieses Modells ist eine Reduzierung der Komplexität des Gesamtsystems durch Unterteilung. Das heißt, die Vielzahl der Kommunikationsanforderungen und die Unterschiedlichkeit der Zugangs- und Sicherheitsarchitektur für integrierte Industrienetze Rev. 1.0 White Paper 5 / 13 Sicherheitsanforderungen innerhalb des Gesamtsystems wird so in geeignete Compartments untergliedert, dass die einzelnen Teilsysteme sich nach außen weniger komplex darstellen. Ein wichtiger Aspekt ist zudem, dass sich die Verantwortung für die Produktion und damit für die Verfüg- barkeit einer (Teil-)Anlage nicht von der Sicherheitsverantwortung trennen lässt. Es ist für die Betreiber der Industrienetze daher unerlässlich, eigenen Handlungs- und Entscheidungsspielraum auch in Bezug auf die Security zu bewahren und entsprechende Kompetenz aufzubauen. Bild Sicherheitsarchitektur 2: Security Compartments In weiten Bereichen deckungsgleich mit diesem Modell sieht das Konzept der IAONA zwischen den einzelnen Maschinen und dem gesamten Netzwerk ebenfalls eine Unterteilung in Produktionszellen vor. Das Security Data Sheet beschreibt in diesem Fall die Schnittstelle zwischen dem “Security Compartment” und dem restlichen Netzwerk (Bild 3: IAONA Security Data Sheet). Sicherheitsarchitektur für integrierte Industrienetze Rev. 1.0 White Paper 6 / 13 Bild Sicherheitsarchitektur 3: IAONA Security Data Sheet 4 Lösungsszenarien Um ein bestehendes Netzwerk im Industrieumfeld an beliebiger Stelle in geeignete Compartments unter- gliedern zu können, sind eine Reihe von Randbedingungen zu beachten. Wie bereits ausgeführt, ist es wichtig, dass sich diese Unterteilung möglichst ohne Eingriffe in das vorhandene Netzwerk realisieren lässt. Ein sehr häufig anzutreffender Fall ist der einer sehr flachen Netzstruktur im Bereich der Produktion. Wenn hier die Topologie wie gefordert beibehalten werden soll, muss das zur Separierung verwendete Security Device rückwirkungsfrei und quasi unsichtbar sein. Gleichzeitig soll das Compartment vor Broadcasts und Denial of Service-Angriffen geschützt und der Verkehr in das Compartment und aus dem Compartment den Sicherheitsregeln unterworfen werden. Der EAGLE, die Stateful Inspection Firewall von Hirschmann, erfüllt diese Anforderungen in Form seines Multi-Client Transparent Mode in idealer Weise (Bild 4: Transparent Mode).