Stories
04.06.2009

Sichere Security- und Fernwartungskonzepte

Die im Büroumfeld genutzten IT-Konzepte eignen sich nicht, um einerseits für zugriffssichere Produktionsumgebungen zu sorgen und gleichzeitig die festgelegten Fertigungsziele kontinuierlich zu erfüllen...

Die im Büroumfeld genutzten IT-Konzepte eignen sich nicht, um einerseits für zugriffssichere Produktionsumgebungen zu sorgen und gleichzeitig die festgelegten Fertigungsziele kontinuierlich zu erfüllen. Dies liegt an den unterschiedlichen Anforderungen der beiden Bereiche, die sich beispielsweise in puncto Echtzeitverhalten und Software-Updates unterscheiden.

 

Die Abstimmung der IT- und Automatisierungsabteilung hinsichtlich der Planung und Wartung von Maschinen und Anlagen unterstreicht die unterschiedlichen Auffassungen über die Anforderungen und Ziele der produktionstechnischen Systeme. Den Anlagenbetreibern fällt es häufig schwer, mit den aktuellen Bedrohungen und den daraus resultierenden Security-Maßnahmen Schritt zu halten. IT-Abteilungen zeigen wiederum wenig Verständnis für die Probleme, die bei automatischen Updates auftreten können.

 

Dezentraler Schutz vorteilhaft

###SUBTEXT_SHORT###

Ein Security-Konzept, das die Systemgrenzen zentral absichert, weist diverse Schwachstellen auf. Im Vergleich dazu kann ein dezentraler Ansatz aufgrund der flexiblen Gestaltungsmöglichkeiten der Schutzmaßnahmen Vorteile bieten. Dazu zählen:

  • der direkte Schutz vor Attacken und Übergriffen innerhalb des Unternehmens,
  • mehrere unabhängige Barrieren,
  • eine bessere Organisation der einzelnen Anlagenteile,
  • mehr Spielraum für Erweiterungen sowie
  • die Anpassung an den lokalen Schutzbedarf.

 

 

Mit den „FL MGuard Security“-Appliances von Phoenix Contact lässt sich ein ganzheitliches Schutzkonzept umsetzen, das die unterschiedlichen Anlagenteile durch individuelle Security-Maßnahmen absichert. Die Idee des dezentralen Schutzes ist dabei nicht neu, sondern hat sich seit Jahrhunderten bewährt. Als Beispiel seien Burgen und Schlösser genannt, die zusätzlich zum Wassergraben oft über mehrere Schutzwälle verfügen. Diesen erfolgreichen Ansatz gilt es, auf die Anforderungen moderner Automatisierungssysteme zu übertragen und anzupassen.

Werden alle Security-Maßnahmen ohne Beteiligung der für den Prozess verantwortlichen Komponenten ausschließlich über die Infrastruktur umgesetzt, ergeben sich eine Reihe von Vorteilen. Dazu zählt beispielsweise die Unabhängigkeit vom verwendeten Betriebssystem. Außerdem findet keine Beeinflussung der System-Performance und des Arbeitsprozesses statt; es ist keine Neu-Validierung von Geräten und Anlagen nach einem Update erforderlich. Ferner ist eine flexible Reaktion auf neue Anlagenbedingungen möglich. Hinzu kommt die Möglichkeit der nachträglichen In­teg­ration von Security-Komponenten und die einfache Reaktion auf sich ändernde Bedrohungslagen.

 

Zugriffssichere Profisafe-Kommunikation

Wie in zahlreichen Normen und Standards ist die Zugriffssicherheit auch in der Systembeschreibung des sicheren Ethernet-Übertragungsverfahrens Profisafe als fester Bestandteil verankert.

Profisafe-Systembeschreibung mit Security-Gateways

Profisafe-Systembeschreibung mit Security-Gateways

Profisafe verfolgt dabei ein Konzept, das aus sogenannten Security-Zonen besteht. Dabei handelt es sich um ein geschlossenes Netzwerk, das in der Regel einer Produktionseinheit entspricht. Der einzige Weg in die Security-Zone und aus ihr heraus führt durch ein Security Gateway, wie den „FL MGuard“. Dies bedient sich bewährter Sicherheitstechniken, wie Virtual Private Network (VPN) und Firewalls, um eine unerwünschte Kommunikation zu unterbinden. Profisafe-Netzwerke müssen sich stets in Security-Zonen befinden und durch entsprechende Gateways geschützt werden, wenn Verbindungen zu offenen Netzwerken, wie dem Unternehmensnetzwerk, unvermeidbar sind.

 

Sichere und kostengünstige Teleservice-Verbindung

Durch die Fernwartung von Anlagen und Systemen soll nicht nur ihre Verfügbarkeit optimiert, sondern auch Servicekosten gesenkt und die Kundenbindung erhöht werden. Das Teleservice-Konzept muss darüber hinaus skalierbar und zugriffssicher sein. Außerdem werden niedrige Verbindungskosten gefordert und die verfügbare Bandbreite soll sich bei Bedarf aufteilen lassen. Schließlich muss der Anlagenbetreiber die Hoheit über die VPN-Tunnel haben.

Nach dem Stand von Wissenschaft und Technik gilt eine VPN-Verschlüsselung gemäß „IPsec“-Standard auf dem Layer 3 als sicher. „IPsec“ wurde von diversen Mathematikern sowie Security- und Kryptographie-Experten weltweit untersucht, wobei sich keinerlei Schwachstellen zeigten.

Das Schichtenmodell der Kommunikation

Das Schichtenmodell der Kommunikation

Selbst wenn die Telefonkosten in den letzten Jahren stetig reduziert worden sind, fallen für ein mehrstündiges Telefonat nach Übersee hohe Kosten an. Deshalb sollte die Fernwartung über das nahezu überall vorhandene Internet erfolgen, um von dessen geringen Kosten und hoher Bandbreite zu profitieren. Damit die Übertragungsbandbreite dann effizient ausgenutzt wird, sind intelligente VPN-Geräte erforderlich. Nur so können beispielsweise Konfigurationsdaten übertragen werden und es kann gleichzeitig ein VoIP-Telefonat (Voice over IP) mit dem Betreiber vor Ort geführt oder ein Video-Stream der Anlage genutzt werden.

 

Restriktiver Netzwerkzugang

Die Notwendigkeit eines skalierbaren Konzepts wird häufig zu spät erkannt. Um per VPN auf eine fremde Anlage zugreifen zu können, müssen Absprachen mit dem Betreiber und dessen IT-Abteilung getroffen werden. Dabei sollte eine Vereinbarung für die Administration beliebig vieler Maschinen genügen. Wenn für jede Maschine eine neue Absprache notwendig ist, steigt der technische Verwaltungsaufwand überproportional an.

Konzept für ein skalierbares Teleservice-Portal

Konzept für ein skalierbares Teleservice-Portal

Zumeist kann der Teleservice-Anbieter nicht direkt von außen über das Internet auf die in das Produktionsnetzwerk eingebundenen Maschinen zugreifen. Das lässt die Sicherheitspolitik vieler Unternehmen nicht zu. Aus diesem Grund wurden bislang vor allem Modem-Lösungen zur Fernwartung eingesetzt. Allerdings kann sich der Dienstleister dann ohne Restriktionen vollkommen frei im Netzwerk des Anlagenbetreibers bewegen und entsprechenden Schaden anrichten. Mit dem Security-Appliance „FL MGuard“ lassen sich VPN-Tunnel aufbauen, die nur auf ausgehenden Verbindungen – also von der Maschine zum Service-Center – basieren. Lediglich der Anlagenbetreiber kann bei Bedarf einen VPN-Tunnel initiieren, der einen Zugriff von außen ermöglicht. Der „FL MGuard“ sorgt dafür, dass der Servicetechniker weder beabsichtigt noch versehentlich in die übrigen Maschinen und Systeme eindringen kann.

 

Fazit

Die Verantwortung und das persönliche Risiko, das die Sicherheits- und Kommunikationsexperten eines produzierenden Unternehmens tragen, können durch Verwendung bewährter Technologien von verlässlichen Partnern minimiert werden. Security- und Fernwartungskonzepte sind immer dann erfolgreich, wenn der Betreiber Geräte nutzt, die von vertrauenswürdigen Herstellern industrieller Komponenten selbst entwickelt worden sind.

 

Ingo Hilgenkamp

Ingo Hilgenkamp ist Mitarbeiter im Produktmarketing Netzwerktechnik der Phoenix Contact Electronics GmbH in Bad Pyrmont.

 

Weitere Informationen unter www.phoenixcontact.com.

 

 

„Tunnelwächter“ für ein sicheres und einfaches VPN

Neben dem permanenten oder bedarfsorientierten Aufbau des VPN-Tunnels bieten die „FL MGuard“-Geräte von Phoenix Contact weitere praxisnahe Möglichkeiten. So verfügen sie beispielsweise über den Anschluss für eine VPN-Status-LED und einen VPN-Freigabetaster. Mithilfe des VPN-Freigabetasters sind folgende Optionen denkbar:

  • Der Endanwender hat die Hoheit über den VPN-Tunnel und führt den Kontakt über einen Schlüsselschalter.
  • Der Zugriff auf ein System ist nur dann möglich, wenn der Freigabetaster durch das System betätigt wird und damit signalisiert, dass es sich in einem für die Fernwartung geeigneten Zustand befindet.
  • Das System betätigt den Taster, nachdem es ein Problem festgestellt hat und fordert damit selbstständig eine Wartungsmaßnahme an.
  • Der Status des Tasters wird vom Kontrollsystem der Anlage ausgewertet. Dadurch kann das Kontrollsystem die Fernwartung in seinem Ablauf berücksichtigen und zum Beispiel auf Schrittbetrieb umschalten.

 

 

Video-Tipp

der Redaktion

VDMA: Industrie 4.0 - Next Steps

Deutschland befindet sich inmitten eines technologischen Sprungs. Der deutsche Maschinenbau beflügelt seit Jahren weltweit den industriellen Fortschritt. Der Begriff „Industrie 4.0" steht dabei für die Vision einer vierten Industriellen Revolution.

Zum Schmunzeln

Psychiater zum Patient: "Ich kenne Ihr Problem noch nicht, deshalb fangen Sie am besten ganz am Anfang an." Patient: "Am Anfang schuf ich Himmel und Erde."

Copyright © VDE VERLAG GMBH, zuletzt aktualisiert am 21.09.2014