Unter Security- und Safety-Gesichtspunkten sind offene und transparente Systeme in der Produktion ein Risiko. Um die traditionell sehr geschlossenen Ebenen in den Prozessindustrien auf eine sichere Art und Weise für neueste Entwicklungen der Standard-IT zu öffnen, haben Arbeitsgruppen des ZVEI (Verband der Elektro- und Digitalindustrie) und der Namur (Interessengemeinschaft Automatisierungstechnik der Prozessindustrie) das Open Architecture (NOA)-Konzept entwickelt. In der Praxis bedeutet das unter anderem, Syntax und Semantik des Informationsaustauschs zwischen den Geräten der Prozessautomatisierung und der überwachenden Zonen zu definieren und eine sichere Verbindung zwischen dem Kernbereich der Prozesssteuerung und den äußeren Bereichen herzustellen: das NOA Security Gateway. In den Namur-Empfehlungen werden zudem die Bedingungen für eine sichere und verifizierte Kopplung von Daten beschrieben (NOA Verification of Request). Eine ebenso wichtige Rolle spielt der NOA-Aggregationsserver, der die Wege der Datenkommunikation verschiedener Gateways strukturiert.
Komplexe Sicherheitsaufgaben
Die Liste der Anforderungen und Vorgaben seitens der Namur ist lang und das Thema komplex. Spezifikationen für das Gateway, unterschiedliche Schutzprofile, die Betrachtung aller Lebenszyklus-Phasen der Anlagen sowie die verschiedenen Ansätze und Kompetenzen von Lieferanten machen es Lebensmittelproduzenten nicht leicht, alle Aspekte im Blick zu behalten und den ungewollten Zugriff auf Anlagen zu unterbinden. Hier bietet sich die Zusammenarbeit mit Spezialisten für Cybersicherheit an. Ein solcher Spezialist ist das Unternehmen Genua, das zur Bundesdruckerei-Gruppe gehört. Seine Sicherheitslösungen schützen auch die komplexen digitalen Infrastrukturen in der Lebensmittelproduktion.
Jede Anlage ist mit ihren Kommunikationsprozessen in den automatisierten Produktionssystemen so komplex wie einzigartig. Laufende Änderungen und Erweiterungen erschweren den Überblick. Die Experten von Genua sind diese Herausforderungen gewöhnt. „Ganz konkret und pragmatisch unterstützen wir mit einer ganzheitlichen, mehrstufigen Sicherheitsstrategie auch die Sicherheitsverantwortlichen von Betrieben, die Tag und Nacht produzieren“, sagt Markus Maier. Der Product Owner Industrieprodukte bei Genua weiß, dass im täglichen Betrieb schnell mal der Zugriff für eine Fernwartung erlaubt wird oder eine Sicherheitseinrichtung umgangen wird. „Das passiert in aller Regel nicht böswillig. Im täglichen Stress wird schnell vergessen, eine Zugriffsmöglichkeit wieder zu entziehen oder ein Einfallstor wieder zu schließen“, sagt Maier.
Anlagen fit für Industrie 4.0 machen
Um in Bestandsanlagen hohe Sicherheitsstandards mit überschaubarem Aufwand zu erzielen und gleichzeitig von den Chancen der Digitalisierung und Industrie 4.0 zu profitieren, setzt Maier auf eine IT/OT-Referenzarchitektur, wie sie in der Namur erarbeitet wurde. „Eine nachhaltige und wirksame Sicherheitsstrategie braucht sechs feste Bestandteile, dann können die IT-Welt und die Produktionstechnik sicher zusammenwachsen.“ Diese Aspekte lauten:
- Umsetzung von Defense in Depth und Zero Trust
- Netzwerksegmentierung gemäß Zones & Conduits
- Netzwerküberwachung mittels intelligenter Anomalie-Erkennung
- Sicherer Fernzugriff durch eine geeignete Fernwartungsarchitektur
- Hochsicheres Edge-Computing für die Prozessoptimierung
- Hochsichere Datenausleitung mittels Datendioden
Die IEC 62443-1-1 „Concepts and Models“ beschreibt das Defense-in-Depth-Konzept. Dabei definiert der Standard drei grundlegende Rollen bzw. Verantwortlichkeiten für das Gesamtsystem, um die Verfügbarkeit und die IT- Sicherheit von Anlagen und Systemen sicherzustellen: den Betreiber, den Integrator und den Komponentenhersteller der Automatisierungskomponenten.
Um den Schaden, den ein an einer Stelle eingedrungener Angreifer anrichten kann, zu begrenzen, bieten sich bewährte Netzsegmentierungen an. Wenige Übergänge zwischen den Zonen, die zudem durch Filter oder Firewalls gesichert sind, behindern einen Angreifer in seinem Vorhaben. Ein solches Sicherheitskonzept bezeichnet man in der Cybersicherheit als Zones & Conduits.
Überwachung des Datenflusses
Um die Sicherheit im Netzwerk zu erhöhen, sollten zunächst alle Assets einer Anlage automatisiert katalogisiert und identifiziert werden. Im nächsten Schritte werden sämtliche Kommunikationspfade erfasst. Machine-Learning-Algorithmen können nach einer Anlernphase dann selbstständig unterscheiden, ob ein Ereignis eine Bedrohung darstellt. Mit Rücksicht auf die Funktionsfähigkeit des Produktionssystems werden abgestuft Warnungen und Alarme ausgegeben und nur im eindeutigen Fall ein verdächtiger Datenverkehr unterbunden. Mit dieser Anomalieerkennung wird vermieden, dass zu lange Latenzzeiten für Probleme sorgen oder Datenverluste im Betrieb auftreten.
Der Zugriff auf die Anlagen durch fremdes Personal zu Wartungs- und Instandsetzungszwecken bildet schon allein wegen der Mehrfachnutzung von Zugängen ein Risiko. Eine spezielle Fernwartungsarchitektur sorgt dafür, dass Externe nur Zugriff auf benötigte Applikationen erhalten – und das auch nur mit gehärteten, also sicher konfigurierten Netzwerkkomponenten, und nach einer Multifaktoren-Authentifizierung. Applikationsfilter und Gateways trennen sensible Bereich zusätzlich ab. Besonders wichtig ist zudem eine zentrale Verwaltung der erlaubten Fernwartungszugriffe.
Computer, die nah am Prozess Daten verarbeiten und im Netzwerk mit anderen Teilnehmern kommunizieren, müssen ebenfalls nach aktuellem Stand der Technik abgesichert sein und eine entsprechende Zugangskontrolle mit Rechte-Management besitzen. Die Industrie-Hardware des Cloud Edge Gateway von Genua läuft mit ihrem gehärteten Microkernel-Betriebssystem separiert und sichert ihren Anwendungsbereich mit Docker-Containern. So sorgt sie für eine sichere Datenverarbeitung und -übertragung direkt an Maschine und Apparat.
Besonders sensible oder nicht aktualisierbare Anlagenbereiche, die dennoch Einblick in ihre Daten geben müssen, können mithilfe der sogenannten Datendiode angebunden werden. Wie in Namur-Empfehlungen beschrieben, wird ein Datenstrom hardwareseitig nur in eine Richtung zugelassen. Die Hardware unterscheidet hierzu verschiedene abgeschottete Bereiche: eine schwarze Seite zur Datenextraktion, eine rote Seite zur Datenbereitstellung sowie einen „One Way Task“ zur Weiterleitung der Daten von Schwarz nach Rot. Die schwarze und die rote Seite der Diode sind zwei virtualisierte getrennte Geräte mit einem eigenen, speziell gehärteten Betriebssystem. Auf diese Weise gehen notwendige Daten aus dem Anlagenbereich hinaus, aber nicht hinein.
Ganzheitliche Sicherheitskonzepte
Betriebsleiter, die Remote Access, Fernwartung und industrielle Cloud-Lösungen nutzen wollen, finden bei Genua skalierbare Lösungen für die Cybersicherheit ihrer Anlagen. „Unsere Security-Experten begleiten Industrieunternehmen von der Konzeption einer sicheren OT/IT-Infrastruktur über die Auswahl und Integration von OT-Sicherheitsprodukten für die Netzwerksicherheit bis hin zu Training und Vor-Ort-Support“, sagt Maier. Dadurch können sich Anlagenbetreiber auf ihre Kernkompetenz konzentrieren: sichere Lebensmittel zu produzieren.
Genua GmbH, Kirchheim bei München
Autor: Frank Jablonski
Freier Journalist
Hier finden Sie mehr über:
