Maschinennetze mit Gateways und Firewalls absichern
Maßgeschneiderte Cybersecurity
Die Sicherheit von Maschinen und Anlagen ist entscheidend für einen stabilen und ausfallsicheren Produktionsprozess. Spätestens mit neuen Verordnungen wie dem Cyber Resilience Act (CRA) und der Europäischen Maschinenverordnung werden entsprechende Cybersecurity-Maßnahmen nun für jeden Pflicht, der Maschinen in Verkehr bringt. Mit den leicht zu konfigurierenden NAT-Gateways bzw. Maschinen-Firewalls der Wall-IE-Serie von Helmholz lassen sich sensible Daten mit wenig Aufwand maßgeschneidert absichern und kritische Systeme vor Cyberbedrohungen schützen.
Bild: Helmholz GmbH & Co. KGMit dem Siegeszug der Ethernet-Vernetzung in der Fertigung muss dort auch die Cybersecurity eine ganz zentrale Rolle spielen. Diese Notwendigkeit schlägt sich auch in der aktuellen Normen- und Richtlinien-Situation nieder.
Bild: Helmholz GmbH & Co. KG
Bild: Helmholz GmbH & Co. KG
TTS - QR-CodeMaschinennetze
sicher integrieren
Nicht nur diese aktuellen Vorgaben zeigen: Das Thema Maschinensicherheit geht inzwischen jeden an. Dabei geht es im Kern darum, Maschinennetze sicher in das übergeordnete Produktionsnetzwerk zu integrieren. Das Stichwort ist hier Secure OT - also sichere operative Soft- und Hardware zur Steuerung, Absicherung und Kontrolle von industriellen Steuerungssystemen, Geräten sowie Prozessen.
Angesichts wachsender Datenmengen führt vor diesem Hintergrund kein Weg an der Trennung bzw. Segmentierung von Netzwerken vorbei. Hierfür haben sich Konzepte mit Zonen und sicheren Zonenübergängen als besonders wirksam erwiesen. Deshalb schreibt auch die IEC62443 ein entsprechendes Schutzkonzept vor: Demnach ist es für große oder komplexe Systeme nicht angebracht, für alle Komponenten den gleichen Schutzbedarf zu verwenden, da diese unterschiedliche Bedrohungen und Risiken aufweisen.
Unterschiede lassen sich durch das Konzept der Sicherheitszone darstellen. Eine Sicherheitszone ist eine logische Gruppierung von physikalischen Betrachtungsgegenständen, die den gleichen Schutzbedarf haben. Die Grenze der Sicherheitszone definiert, welche Komponenten innerhalb und welche außerhalb der Zone liegen. Um den benötigten Informationsfluss in eine und aus einer Sicherheitszone zu gewährleisten, werden sogenannte Übergänge (Conduits) definiert. Eine Kommunikation außerhalb von Conduits ist dabei nicht zulässig.
Robuste und kostengünstige Absicherung
Für die Umsetzung solch eines Schutzkonzepts für vernetzte Maschinen gibt es am Markt zahlreiche Highend-Lösungen, die allerdings für die Absicherung eines einzelnen Maschinennetzwerks meist überdimensioniert sind. Das heißt in aller Regel auch: überkomplex und nicht zuletzt unnötig teuer.
Vor allem der mittelständische Maschinenbau und seine Kunden suchen daher nach praktikableren Lösungen, die nicht nur sicher und zuverlässig sein sollen, sondern auch schlank, effizient und ein- fach umsetzbar. Eine solche Lösung ist das NAT-Gateway (Network Adress Translation) Wall IE von Helmholz: Es wird zwischen der Maschine sowie dem Produktionsnetzwerk installiert und arbeitet als robuste und kompakte Ethernet-Komponente mit Bridge- und Firewall-Funktionen.
Konkret schützt sie die Netze, indem sie genau regelt, welcher Teilnehmer mit welchem Gerät Daten austauschen darf. Die Voraussetzung dafür schafft eine Paketfilter-Funktionalität, mit der sich der Zugriff zwischen dem Produktionsnetzwerk und der Automatisierungszelle einschränken lässt. Zur Einfachheit und Sicherheit der Lösung trägt bei, dass die Wall IE mitsamt dem dahinter liegenden Maschinennetzwerk im Produktionsnetzwerk nur als eine einzige IP-Adresse angezeigt werden kann. Außerdem kann das Gateway sowohl im NAT-Betriebsmodus als auch als Bridge eingesetzt werden, wobei es wie ein Switch agiert. Im Gegensatz zu normalen Switches ist jedoch auch in dieser Betriebsart die Paketfilterung möglich. Das ermöglicht die Einschränkung des Zugriffs zu einzelnen Bereichen des jeweiligen Netzwerks, ohne dass hierfür unterschiedliche Netzwerke verwendet werden müssen.
Im NAT-Betriebsmodus, den die meisten Anwender nutzen, leitet die Wall IE den Datenverkehr zwischen verschiedenen IPv4-Netzwerken (Layer 3) weiter und nutzt Paketfilter für die Zugriffsbeschränkung auf das dahinterliegende Automatisierungsnetzwerk. Dabei wird die Adressübersetzung mittels NAT unterstützt. Das ermöglicht es darüber hinaus, mehrere gleichartige Automatisierungszellen mit dem gleichen Adressbereich in das Produktionsnetz einzubinden. Im NAT-Betriebsmodus unterstützt Wall IE sowohl Basic NAT (auch 1:1 NAT oder Static NAT genannt) als auch NAPT (Network Address and Port Translation, auch 1:N NAT oder Masquerading genannt).
Mehr Möglichkeiten durch neue Varianten
Wall IE sit seit der Markteinführung im Jahr 2015 schon tausendfach im Einsatz. Der Funktionsumfang ist dabei stetig gewachsen. Trotzdem reicht für die Inbetriebnahme weiterhin Netzwerk-Basiswissen aus. So ist beispielsweise keine Anpassung der Netzkonfiguration im LAN-Netz notwendig. Zudem lassen sich Serienmaschinen mit gleichen IP-Adressen einfach integrieren. Seit 2024 ergänzen nun zwei Varianten die bisherige 'Standard'-Version (mit vier Ports und einer Übertragungsrate von 100MBit/s). Die neuen Modelle verfügen über einen schnelleren Prozessor mit Ethernet bis 1GBit/s. Die Compact-Version beschränkt sich dabei auf zwei Ports - einer für das Firmennetzwerk (WAN), einer für das Maschinennetzwerk (LAN). Die Plus-Version bietet hingegen acht frei konfigurierbare Port, die als Switche für LAN oder WAN genutzt werden können. Dadurch lassen sich kleinere Netzwerke ohne zusätzliche Switche bzw. mit einem einzigen Device umsetzen.
Die Sicherheit von Maschinen und Anlagen ist entscheidend für einen stabilen und ausfallsicheren Produktionsprozess. Spätestens mit neuen Verordnungen wie dem Cyber Resilience Act (CRA) und der Europäischen Maschinenverordnung werden entsprechende Cybersecurity-Maßnahmen nun für jeden Pflicht, der Maschinen in Verkehr bringt. Mit den leicht zu konfigurierenden NAT-Gateways bzw. Maschinen-Firewalls der Wall-IE-Serie von Helmholz lassen sich sensible Daten mit wenig Aufwand maßgeschneidert absichern und kritische Systeme vor Cyberbedrohungen schützen.
Bild: Helmholz GmbH & Co. KGMit dem Siegeszug der Ethernet-Vernetzung in der Fertigung muss dort auch die Cybersecurity eine ganz zentrale Rolle spielen. Diese Notwendigkeit schlägt sich auch in der aktuellen Normen- und Richtlinien-Situation nieder.Bild: Helmholz GmbH & Co. KG
Helmholz GmbH & Co. KG
Dieser Artikel erschien in SPS-MAGAZIN 1 (Februar) 2025 - 07.02.25.Für weitere Artikel besuchen Sie www.sps-magazin.de
