Use managed switches!
Security Bulletin der Workgroup Security im Safety Network International e.V.
Unter dem Titel 'Automation Security Bulletin' veröffentlicht die Workgroup Security im Safety Network International e.V. regelmäßig Whitepaper für Anwender von Safetynet p und anderen ethernetbasierten Feldbus-Systemen. In diesem Beitrag wird eines dieser Whitepaper vorgestellt. Dort geht es um ein Mehr an IT-Sicherheit durch die Nutzung von managebaren Switches.
Netzwerksicherheit - Security - wird zwar heute bereits viel diskutiert, allerdings erhalten Anwender kaum praxisnahe Hilfestellung zu konkreten Verbesserungen in bestehenden und neuen Applikationen. Dieses Whitepaper dient dazu, Anwendern das notwendige Wissen zum Thema Security in Automation zu vermitteln und sie mit den neuen Begrifflichkeiten und Zusammenhängen vertraut zu machen. Nach grundlegenden Hinweisen zur Herangehensweise im Unternehmen werden Parallelen zu bekannten und bewährten Abläufen in der Office IT gezogen. So wird beispielsweise auf die Notwendigkeit und den Umgang mit Security-Policies eingegangen. Anschließend wird auf die Unterschiede zwischen einfachen und managed Switches eingegangen sowie wichtige Funktionen von managed Switches und deren Auswirkung auf die Security der gesamten Applikation erläutert.
Intelligentes Steuern des Netzwerkverkehrs
'Use managed Switches' ist vielleicht ein etwas ungewöhnlicher Titel für ein Whitepaper zur Security in Automation. Gleichzeitig ist es aber auch die Antwort auf die Frage, wie in bestehenden und in neuen Applikation Verbesserungen erreicht werden können. Managed Switches unterscheiden sich von einfachen, 'unmanaged' Netzwerkswitches durch einen erweiterten Funktionsumfang in Bezug auf Netzwerkverkehr, Zugriffskontrollen, Diagnose usw. In den grundlegenden Funktionen gibt es keine Unterschiede zwischen den beiden Gerätearten und die wichtigste Eigenschaft ist zweifellos das 'intelligente' Steuern des Netzwerkverkehrs anhand der 'Erfahrung' aus der Vergangenheit. Bei Automatisierungsapplikationen, die überwiegend konstanten Datenverkehr verursachen, eine leichte Übung.
Sicherheit innerhalb der Anlage
Anhand einzelner Management-Funktionen wird erläutert, wie der Schutz gegen Angriffe erhöht werden kann. Neben einer erklärenden Beschreibung der Funktion selbst wird dargelegt, wie die jeweilige Funktion zur Verbesserung beiträgt. Dabei wird erkennbar, dass viele Funktionen einfach zu verstehen und einfach anzuwenden sind. Beispielsweise kann durch das Abschalten ungenutzter Switchports und die Begrenzung der Zugriffe über sogenannte Access Control Lists (ACLs) in den Switches eine deutliche Verbesserung erreicht werden. Diese Maßnahme ist bei den häufig anzutreffenden kleinen und mittelgroßen Anlagen, die nur einen oder wenige Switches benötigen, mit überschaubarem Aufwand möglich. Zwar ist die Reichweite dieser Maßnahme begrenzt, da die Mehrzahl der 'Security-Vorfälle' jedoch in der Anlage selbst verursacht werden, kann dennoch eine deutliche Verbesserung erreicht werden. Studien zeigen, dass im Schnitt 60% aller Security-Vorfälle durch Ereignisse innerhalb der Anlage ausgelöst werden. Dies bedeutet, dass die größere Zahl der Vorfälle nicht durch bewusste, kriminelle Angriffe von außen entstehen.
Kleine Ursache - große Wirkung
Schon das unbedachte Verbinden eines Notebooks mit einem Switchport innerhalb der Anlage kann zu einem Stillstand führen: Verursacht durch eine plötzlich auftretende, doppelte IP-Adresse in der sonst abgeschotteten Anlage, wird die Netzwerkkommunikation gestört. Hieraus leitet sich ein weiteres Argument für den Einsatz der oben angesprochenen Security Policies ab. Die Zahl derartiger unbeabsichtigter Vorfälle kann nur durch Schulung und Sensibilisierung der Mitarbeiter verringert werden. Bewusst durchgeführte Angriffe, ob von innen oder von außen, bedürfen technischer Maßnahmen wie beispielsweise die Verwendung von ACLs. Über die Funktionen mit direktem Security-Bezug hinaus, gilt ein weiterer Blick den Diagnosefunktionen der managed Switches. So lässt sich beispielsweise überwachen, ob die Zahl der Störungen in der Kommunikation auf einzelnen Netzwerkverbindungen (bzw. Ports am Switch) zunimmt - ein Frühwarnsignal für einen ungeplanten Anlagenstillstand. Ist eine solche, potenzielle Fehlerquelle bekannt, kann - während des nächsten geplanten Wartungsfensters - das Problem beseitigt werden, bevor es Schaden anrichten kann und unnötige Ausfallkosten entstehen. Sollte es bereits zu einem ungeplanten Stillstand gekommen sein, lassen sich mithilfe der gespeicherten Verbindungsprotokolle Rückschlüsse auf die Ursache ziehen. Allein die Möglichkeiten einer frühen Diagnose und Analyse im Fehlerfall rechtfertigen die Mehrkosten für das höherwertige Gerät. Für weitere Security-Aspekte wird der Switch selbst unter die Lupe genommen. Jeder Teilnehmer eines Netzwerks, auch der Switch selbst, kann Gegenstand eines Angriffs sein und muss Teil des Security-Konzepts einer Anlage sein. In diesem Zusammenhang nennt das Whitepaper mehrere Schutzmaßnahmen.
Konkrete Schutzmaßnahmen
Die wichtigste Maßnahme bei allen Netzwerkteilnehmern, also auch bei einem 'managed Switch', ist das Ändern der ab Werk eingestellten Passwörter für den Zugriff auf die Konfigurationsoberfläche und das Abschalten nicht benötigter, unsicherer Zugriffsmöglichkeiten durch Dienste wie Telnet. Auch hier ergibt sich wieder ein Verweis auf die Security Policies: Sowohl die Art und Weise der Passwortgestaltung (Anzahl Zeichen, Art der verwendeten Zeichen, keine allgemein bekannten Begriffe) wie auch die Auswahl verwendbarer Kommunikationsprotokolle sind Teil der unternehmensweit zu vereinbarenden Policies. Der Absicherung des Switch selbst kommt eine besondere Bedeutung zu, da der Switch durch seine Security relevanten Funktionen ein neuralgischer Punkt im Netzwerk ist. Eine 'feindliche Übernahme' des Switches mit Zugriff auf die Konfiguration würde die Wirkung der Security relevanten Funktionen vollständig aushebeln. Abschließend gibt das Whitepaper einen Überblick über zu berücksichtigende Risiken und Bedrohungen. Die Bedrohungen werden kurz erläutert und interessierte Leser erhalten weiterführende Quellen für eine detailliertere Betrachtung.
Fazit: Management-Funktionen tragen zur Sicherheit bei
Die Betrachtungen im Whitepaper führen zu einem klaren Fazit: Netzwerk-Switches mit integrierten Management-Funktionen können einen guten Beitrag zur Verbesserung der Security in der gesamten Applikation leisten. Im Vergleich zum Nutzen im Betrieb sind die Aufwände für Engineering und die Hardwarekosten gering. Der scheinbare Vorteil einfacher Switche durch geringere Anschaffungskosten und entfallendes Engineering erweist sich deutlich als Trugschluss. Neben den Inhalten des Whitepapers, die einen wichtigen Beitrag zu einer konkreten Verbesserung der Situation leisten, ist es ein weiteres Anliegen der Workgroup Security im Safety Network International e.V., die Kommunikation zwischen den Fachleuten der Office IT und den Fachleuten der Automatisierung in den Unternehmen zu Themen rund um Security zu unterstützen. Nehmen Sie das Whitepaper zum Anlass, mit dem IT-Security-Beauftragten Ihres Unternehmens ins Gespräch zu kommen und über die Möglichkeiten von 'managed Switches' zu diskutieren. Finden Sie gemeinsam Lösungen, die beide Belange in Einklang bringen - die der Automatisierung und die der Office IT. Profitieren werden alle Beteiligten und die Security in Ihrem Unternehmen - definitiv!
Das Security Bulletin 'Use managed switches' ist in voller Länge unter folgendem Link downloadbar:
www.safety-network.org/de/
publikationen/aktuell.html
Unter dem Titel 'Automation Security Bulletin' veröffentlicht die Workgroup Security im Safety Network International e.V. regelmäßig Whitepaper für Anwender von Safetynet p und anderen ethernetbasierten Feldbus-Systemen. In diesem Beitrag wird eines dieser Whitepaper vorgestellt. Dort geht es um ein Mehr an IT-Sicherheit durch die Nutzung von managebaren Switches.
Netzwerksicherheit - Security - wird zwar heute bereits viel diskutiert, allerdings erhalten Anwender kaum praxisnahe Hilfestellung zu konkreten Verbesserungen in bestehenden und neuen Applikationen. Dieses Whitepaper dient dazu, Anwendern das notwendige Wissen zum Thema Security in Automation zu vermitteln und sie mit den neuen Begrifflichkeiten und Zusammenhängen vertraut zu machen. Nach grundlegenden Hinweisen zur Herangehensweise im Unternehmen werden Parallelen zu bekannten und bewährten Abläufen in der Office IT gezogen. So wird beispielsweise auf die Notwendigkeit und den Umgang mit Security-Policies eingegangen. Anschließend wird auf die Unterschiede zwischen einfachen und managed Switches eingegangen sowie wichtige Funktionen von managed Switches und deren Auswirkung auf die Security der gesamten Applikation erläutert.
Safety Network International e.V.
Dieser Artikel erschien in SPS-MAGAZIN ETH2 2014 - 27.05.14.Für weitere Artikel besuchen Sie www.sps-magazin.de