ANWENDUNGEN NETZWERKE / KOMMUNIKATION Sichere Datenverbindungen für die Unternehmens-Infrastruktur Inhärent sichere Konzepte als Alternative Solange die Fernwartung über IP-Verbindungen auf Firmen- und Werksgelände beschränkt war, konnten sich Hacker nur schwer Zugang zu den empfindlichen Anlagen verschaffen. Doch seit die Fernwartung auch über öffentliche Netze (Internet, GPRS, UMTS) erfolgt, mehren sich die Berichte über unerlaubte Zugriffe. Hier helfen die in der IT üblichen Techniken mit Nutzung komplexer Passwörter, SSL bzw. TLS und der Einsatz von IP-Sec und VPN. Inhärent sichere Konzepte können jedoch eine wirksame Alternative sein. Die in der IT üblichen Techniken mit Nutzung komplexer Passwörter, SSL bzw. TLS sowie der Einsatz von IP-Sec und VPN können helfen, die Fernwartung sicherer zu machen Bilder: Wireless Netcontrol Die üblichen Maßnahmen sind komplex in der Durchführung und oft aufwendig angesichts der Vielzahl der Systeme im Feld (Front-End), die in die Sicherheitsarchitektur einbezogen werden müssen. Systemadministratoren stöhnen mittlerweile über das Einrichten der vielen VPN-Tunnel sowie über das ständige Aktualisieren der Router und Front-Ends mit Sicherheits-Patches und anderen Updates. Entweder muss viel Geld und Zeit in die Systempflege gesteckt werden oder das Unternehmen wird zum potentiellen Angriffsziel. Das Dilemma zwischen hohem Aufwand oder potenzieller Unsicherheit lässt sich auflösen, indem die Front-End-Systeme aus der Welt der sicherheitskritischen Systeme gänzlich herauslöst und alle für Angriffe relevanten Prozesse auf den einen Zentralrechner in der Leitwarte – das Back-End – konzentriert werden. Dann muss an Stelle vieler kleiner Systeme im Feld nur noch die eine zentrale Datenbank nach allen Regeln der IT-Sicherheit geschützt werden. Auf diese Weise lässt sich der Aufwand erheblich verringern. Beim Spezialisten für Fernwirk- und Fernwartungstechnik Wireless Netcontrol wurde das Thema von Grund auf analysiert, und die bekannten und leider auch angreifbaren Techniken wurden auf den Prüfstand gestellt. Die Ansprüche an die moderne Fernwartung sind gestiegen. Der Anwender fordert grafische Oberflächen und will jederzeit auf große Datenbestände zugreifen, zum Beispiel um Zeitverläufe darzustellen oder statistische Auswertungen zu erstellen. Die dafür erforderlichen Daten und Nutzeroberflächen sollten aber zweckmäßiger Weise zentral gespeichert, gesichert und geschützt werden. Den Datenverkehr reduzieren Front-End-Systeme beinhalten oft leistungsfähige Kleinrechner, häufig auf Linux-Basis, die nur mit sehr viel Fachwissen und Aufwand gesichert werden können. Für die automatisierte Softwarewartung geöffnete Ports sollen diese Arbeiten automatisieren, bilden aber selbst ein hohes Risiko für den Eintritt von Schadsoftware, die sich als Firmware-Update tarnt. In der Regel benötigen diese Front-End-Systeme einen Großteil der Parametrier- und Einstellfunktionen gar nicht, bzw. diese werden praktisch nie genutzt. Es ist eigentlich gar nicht nötig, für einfache Aufgaben wie die Erfassung verschiedener Temperaturmesswerte über das Internet auf einen Kleinrechner mit unsicherem Betriebssystem, 32 GB Datenspeicher, Browser, E-Mailprogramm etc. zuzugreifen. Die gleiche Funktionalität lässt sich einfacher und sicherer realisieren, damit der Schadsoftware keine Plattform geboten wird, auf der sie wirksam agieren kann. Die Leistungsfähigkeit der in den Front-End-Systemen eingesetzten Kleinrechner und die gewachsenen Möglichkeiten des Internets verführt zu einem hohen, eigentlich sinnlosen Datenverkehr, indem über das Internet auf die lokalen Bedienoberflächen des Front-Ends zugegriffen wird. Um regelmäßig einen Satz von 10 Temperaturmesswerten abzurufen würde es reichen, genau diese Werte vom Front-End zum Back-End zu transportieren. In der Realität werden aber ganze grafische Bedienoberflächen auf dem Front-End aufgerufen und dann natürlich auch zum Back-End transferiert. Dies erfolgt in jedem Einzelfall aufs Neue. Wären die Informationen von vornherein schon beim Back-End verfügbar, wäre damit sogar ein Komfortzuwachs verbunden, sodass das Benutzerinterface schneller zur Verfügung stünde. Weniger dezentrale Intelligenz Auf der Grundlage dieser Überlegungen hat das Unternehmen ein System konzipiert, das mit sogenannten Datentransmittern als Front-End arbeitet. Diese Front-End-Geräte verfügen über eine Software, die per Datenzugriff von außen nicht zugänglich ist. Damit ist sichergestellt, dass Schadcode aus dem Internet keinen Ansatzpunkt findet. Softwareupdates werden ausschließlich lokal eingespielt und das System ist somit inhärent sicher. 70 develop 3 systems engineering 03 2015
NETZWERKE / KOMMUNIKATION ANWENDUNGEN Front-End-Systeme ohne Schutz GO WirelessConnect agiert vorwiegend als Datensammler Um allen Hardwareanforderungen der Fernwirktechnik gerecht zu werden, besteht das auf der Basis dieser gewonnen Erkenntnisse entwickelte Front-End-System GO WirelessConnect aus einem Zentralgerät, das um Funktionsbausteine erweitert werden kann. Angeboten werden verschiedene Module für die Aufnahme von Messwerten, für Signale von Grenzwertgebern sowie Aktoren mit Schaltfunktion. Neben diesen Basisfunktionen sind Module für typische Fernwartungsaufgaben wie M-Bus, wireless M-Bus und Impulszählung auch für die S0-Schnittstelle verfügbar. Durch diese Funktionsvielfalt kann sich der Anwender jederzeit flexibel an seine Aufgabenstellung anpassen. Die Anlage ist jederzeit erweiterbar oder kann auch um Module reduziert werden, wenn diese nicht mehr benötigt werden. Das GO WirelessConnect agiert vorwiegend als Datensammler, sodass die anderen Aufgaben des Gesamtsystems, wie Speicherung und Weiterverarbeitung der Messwerte sowie deren Sicherung gegen Verlust und Schutz vor unberechtigtem Zugriff auf das Back-End verlegt werden. Dies ist entsprechend der gewählten Sicherheitsarchitektur auch sinnvoll, denn hier können alle Maßnahmen der IT- Sicherheit an einer zentralen Stelle ausgeführt und auf dem aktuellen Stand gehalten werden. Dies ist gerade bei großen Fernwartungs-Netzen eine unschätzbare Erleichterung, die sehr viel Zeit und Aufwand spart. Zentrales Element des Gesamtsystems ist eine SQL-Datenbank, in der die permanent übertragenen Fernwartungsdaten gespeichert werden. In der Datenbank sind die Daten aller Front-Ends sowie die KONTAKT Wireless-Netcontrol GmbH Hohen Neuendorf Tel. +49 303 409-692 www.wireless-netcontrol.com INFO Inheränt sicheres System Anlagenhistorie langfristig sicher und auch nach Jahren und Jahrzehnten noch nutzbar. Am Ende jedes Scada-Systems (Supervisory Control and Data Acquisition) steht die Prozessvisualisierung, die über entsprechende Auswahlmöglichkeiten die erfassten Daten für den Benutzer anschaulich zugänglich macht und Möglichkeiten zur Auswertung liefert. Sowohl der Ebenenaufbau als auch Umfang und Funktionalität einer Prozessvisualisierung können sehr unterschiedlich sein und hängen stark von den Anlagen oder Gebäuden ab, die an das Fernwartungssystem angegliedert sind. Auch die Gruppen von Nutzern und ihre Berechtigungen im System spielen eine Rolle und können sehr verschieden sein. Daher wird das Scada-System nach den Anforderungen des Anwenders individuell gestaltet und für den spezifischen Fall eingerichtet. ge Dr. Ulrich Pilz ist Geschäftsführer bei Wireless Netcontrol in Hohen Neuendorf develop 3 systems engineering 03 2015 71
