Develop³ Systems Engineering 02.2016

KOMMUNIKATION/SECURITY/INDUSTRIE 4.0
ANWENDUNGEN
Kontakt
INFO
Westermo Data Communications GmbH
Waghäusel
Tel. +49 7254 95400-0
www.westermo.de
Weitere Informationen über das WeOS:
http://t1p.de/z8w1
Bild: Westermo
Daten-Übertragung über nicht
vertrauenswürde Netzwerke
dings nicht ausreichend gesichert sind, ergeben ein erhöhtes Risiko.
Findet der Angreifer hier einen verwundbaren Punkt in der Perimeter-Firewall,
die die Schnittstelle zum Internet bildet, wird dieser an
dieser Stelle ansetzen. Das Sperren von Ports und Protokollen zählt
zu den einfachsten Mitteln, den Perimeter zu härten. Ein Perimeterschutz
alleine ist allerdings nicht ausreichend. Firewalls und Virenschutz
müssen Bestandteile einer Sicherheitsstrategie sein.
Netzwerk-Segregation
Eine dieser Taktiken ist die Segmentierung oder Segregation von
Netzwerken – eine gute Methode, um das Risiko für die einzelnen
Schichten des gesamten Netzwerks zu verringern. Durch die Aufteilung
in kleine Sicherheits-Zonen (Subnetze) kann der Netzwerk-Verkehr
überwacht und entsprechend eingeschränkt werden. Man gibt
nur diesen Verkehr frei, der vom Steuerungssystem auch wirklich
benötigt wird. Sollte es ein Angreifer nun in eines der Teilnetze geschafft
haben, hindert ihn die nächste Firewall an der Grenze zu einer
anderen Zone, sich ungehindert ausbreiten zu können.
Übertragung über nicht vertrauenswürde Netze
Bei kritischer Infrastruktur werden Daten oft zwischen physischen
Sicherheitszonen übertragen und manchmal auch über Medien, die
von Dritten verwaltet werden. Sofern die Daten nicht geschützt
sind, bevor sie eine physische Sicherheitszone, wie ein Kontrollraum,
verlassen, können sie abgefangen und manipuliert werden.
Diese Daten während der Übertragung zu schützen, ist entscheidend
für den gesicherten Betrieb und alle WeOS-Routing-Geräte haben
die Fähigkeit, sichere Kanäle zwischen sich selbst und einem
anderen vergleichbaren Gerät herzustellen. Die sicheren Kanäle bieten
einen logischen Schutz,vergleichbar mit einer physischen Sicherheit
und unterstützen andere Sicherheitsanwendungen wie Perimeterschutz
und Netztrennung über den sicheren Kanal.
Spoofing-Schutz
Beim ARP-Spoofing wird dem Absender eine falsche Adresszuordnung
übermittelt. Ein Anwendungsbeispiel aus der Praxis ist das
Mithören der Daten, die über einen Switch gesendet werden (Manin-the-Middle-Angriff).
Somit hat der Angreifer die Möglichkeit, diese
Daten mitzulesen und entsprechend zu verändern, sofern diese
unverschlüsselt sind. Durch Vortäuschung eines funktionierenden
Systems auf dem Prozessleitsystem wird es für den Anlagenbetreiber
schwierig, Probleme zu erkennen. Eine effektive Maßnahme,
um dem ARP-Spoofing vorzubeugen, ist die Verwendung von Layer-
3-Switches. Das Konzept dieser Switches sieht vor, die Verbindung
nicht nur anhand der MAC-Adresse zu identifizieren, sondern auch
anhand der IP-Adresse. Häufige Änderungen der MAC/IP-Zuordnung
werden vom Switch bemerkt und gegebenenfalls verhindert.
Intrusion Detection
Intrusion-Detection-Systeme (IDS) überwachen und analysieren die
Aktivitäten in einem Netzwerk. Dabei werden die Konfigurationen
und Schwachstellen analysiert, sowie die Datei-Integrität bewertet.
Die Systeme können typische Angriffs-Muster erkennen, abnormale
Aktivitäts-Muster analysieren und Verletzungen der Anwender-Policies
aufspüren. Das System wird auch aktiv, sollte das Netzwerk
des Administrators in irgendeiner anderen Form kompromittiert
sein. Einige IDS-Produkte der Enterprise-Klasse sind auch in der Lage,
direkt auf entdeckte Bedrohungen reagieren. Das IDS kann eine
Firewall ergänzen oder auch auf dem zu überwachenden Computersystem
laufen und so die Sicherheit von Netzwerken erhöhen.
Für die Zukunft gerüstet
Nur wer sein System vor unberechtigten Zugriffen und Attacken von
außen schützt und auf hochwertige Komponenten setzt, kann sicher
sein. Der Security-Spezialist Westermo hat seine Routing-Switches
über das intelligente Betriebssystem WeOS mit Cyber-Abwehrfunktionen
ausgestattet. Mit Port-basierender Firewall, Netzwerk-Segmentierung,
VPN-Lösungen, Intrusion Detection und Spoofing-
Schutz wird die Cyber-Security-Architektur eines Netzwerks gut verstärkt.
Dabei gilt zu beachten, dass auch der modernste Cyber-
Schutz auf Dauer nichts nützt, wenn das Personal nicht ausreichend
geschult ist. Nur so lässt sich das Beste aus einem System herausholen
und ein Netzwerk ausreichend vor unberechtigten Zugriffen
und Cyber-Attacken schützen.
ge
Der Autor: Erwin Lasinger, Cyber-Security-Spezialist bei der
Westermo Data Communications GmbH
develop 3 systems engineering 02 2016 53