Pilz SecurityBridge: Security ist ein „Lifestyle“

Vielen Menschen ist immer noch nicht klar, dass Security letztendlich alles und jeden adressiert. Das ist eine Art Lifestyle – wie nachhaltiges Wirtschaften oder gesunde Ernährung. Bernd Eisenhuth, CMSE, Customer Support bei Pilz Deutschland

Bei Industrie 4.0-Anlagen braucht es ganzheitliche Sicherheitskonzepte, die neben dem Safety-Teil auch den Security-Aspekt mitberücksichtigen – wie weit wird Pilz in diese Materie einsteigen?

Martin Strommer: Safety und Security sind mittlerweile zwei Seiten derselben Medaille und „diesem Handlungsauftrag“ kommt natürlich auch die Firma Pilz „als Botschafter sicherer Automationslösungen“ nach. Vor kurzem wurde von uns ein Security-Whitepaper veröffentlicht und wir bieten auch Trainings sowie Beratung zu diesem Thema an.

Wenn von der Unternehmensleitung keine einheitliche Security-Marschrichtung vorgegeben wird, läuft alles irgendwie und vieles bleibt ungeschützt. Martin Strommer, CMSE, Customer Support bei Pilz Österreich

Herr Eisenhuth, Sie halten ja auch Vorträge bzw. Webinare zum Thema Security im industriellen Umfeld – wo gibt es Ihrer Erfahrung nach die meisten Wissenslücken bzw. Fragen?

Bernd Eisenhuth: Die Wissenslücken sind teilweise sehr groß. Im klassischen Maschinenbau geht es oftmals nach wie vor zuallererst einmal darum, ein Bewusstsein für diese Thematik zu schaffen. Darzulegen, dass wirklich jedes Unternehmen Ziel eines Angriffs bzw. Opfer einer Sicherheitslücke werden kann. Dies wird nämlich gerne verdrängt, obwohl renommierte Institutionen wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) immer wieder eindringlich darauf hinweisen, dass nicht nur die Anzahl der Cyber-Attacken kontinuierlich steigt, sondern dass mittlerweile auch erheblich flexibler und professioneller angegriffen wird als dies vor einigen Jahren noch der Fall war.

DIE Security-Spezialisten bei der Firma Pilz: Frank Eberle, Software Developer Network Systems (li.) und Bernd Eisenhuth, CMSE, Customer Support.

Geht sich das aus Ihrer Sicht überhaupt aus – Industrie 4.0 und die damit einhergehende Vernetzung auf der einen Seite und die steigenden Security-Anforderungen auf der anderen?

Bernd Eisenhuth: Nun, um es an dieser Stelle einmal ganz salopp zu formulieren: Eine vernünftig konfigurierte Cloud-Lösung ist tausendmal besser als ein schlecht gewarteter Inbetriebnahmerechner. Oftmals ist es „bloß“ der fahrlässige Umgang mit einem „fremden“ USB-Stick oder das unbedachte Öffnen eines Mails mit einem .jar-Anhang, das letztendlich ein Riesenproblem verursacht.

Eine intelligente Vernetzung bringt viele Vorteile mit sich, aber sie birgt natürlich auch einige Gefahren. Dessen muss man sich bewusst sein und entsprechende Vorkehrungen treffen, womit wir wieder bei der „Awareness“ wären.

Wieso fehlt dieses Bewusstsein für Security-Belange – ist der Zugang nicht ein ähnlicher wie beim Thema Safety?

Bernd Eisenhuth: Natürlich könnte man bei einer Security-Risiko-Analyse ähnlich vorgehen wie bei einer FMEA (Failure Mode and Effect Analysis), also bestimmte Bedrohungen annehmen und überlegen, wie sich diese im schlimmsten Fall auswirken könnten. Aber im Safety-Bereich sind solche Szenarien einfach ausmalbar, weil die Folgen teilweise offensichtlich sind. Wird beispielsweise beobachtet, was mit einem Dummy in einer Presse passiert, ist jedem sofort klar: So eine Anlage ist nicht ganz ungefährlich. Das Ausmaß dessen, was ein bösartiger Code anzurichten vermag, ist nicht so augenscheinlich. Zumal es oftmals mehrere Monate oder gar Jahre dauert bis er seine volle „zerstörerische Leistungsfähigkeit“ zeigt.

Martin Strommer: In vielen Unternehmen scheitert es auch an den Zuständigkeiten für dieses Thema. Wer zeichnet für Security-Belange im OT-Bereich verantwortlich? Wer kümmert sich um die Netzwerksegmentierung und ein regelmäßiges Patchen aller Systeme? Wenn von der Unternehmensleitung keine einheitliche Security-Marschrichtung vorgegeben wird, läuft alles irgendwie und vieles bleibt ungeschützt.

Was wären die wichtigsten Maßnahmen, um „securer“ zu werden?

Martin Strommer: Im Grunde genommen sind es drei Dinge, die zusammenspielen müssen: Die Technologie – es braucht eine gewisse Security-Fähigkeit in den einzelnen Komponenten, Stichwort Security by Design, oder vorgeschaltete Produkte, die die Systeme dahinter sicherer machen. Die Prozesse – in Hinblick auf das Thema Security sollten in jedem Unternehmen klare Verantwortlichkeiten und Zuständigkeiten definiert werden. Und last but not least die Menschen – es muss ein Bewusstsein dafür geschaffen werden, damit jeder einzelne Mitarbeiter sein Bestes gibt, um gemeinsam „securer“ zu werden.

Bernd Eisenhuth: In technischer Hinsicht lautet die erste Grundregel: Kenne dein Netzwerk. Wenn der Betreiber einer Anlage oder eines Werks weiß, welche Komponenten Teil seines Automatisierungsnetzwerks sind und wer davon mit wem zu reden hat, um ungestörte Abläufe zu garantieren, ist das schon einmal die halbe Miete. Natürlich gilt es dann in regelmäßigen Abständen zu kontrollieren, ob sich an der bestehenden Systemstruktur irgendetwas verändert hat.

Segmentierung ist das nächste große Stichwort, um die Sicherheit im eigenen Netzwerk zu erhöhen. Das Automatisierungsnetzwerk sollte auf jeden Fall vom IT-Netzwerk getrennt werden. Weiters empfiehlt es sich, den Safety-Teil des Automatisierungsnetzwerks vom Rest zu trennen und nur die tatsächlich notwendigen Kommunikationsbeziehungen über definierte Kanäle zuzulassen. Denn das Wichtigste ist die System-Integrität. Dass sich ausschließlich das im Netzwerk befindet, was auch tatsächlich da sein soll. Und dass jeder einzelne Netzwerkteilnehmer genau das und nichts anderes macht, als von ihm erwartet wird.

Und wofür bietet sich der Einsatz der SecurityBridge aus dem Hause Pilz an? Wann ist man damit „auf der sicheren Seite“?

Bernd Eisenhuth: Im Bereich der funktionalen Sicherheit kann man davon ausgehen, dass eine Anlage, die vor ihrer Inbetriebnahme von neutraler Stelle geprüft wurde, ihr Leben lang sicher läuft. Beim Thema Security gibt es dieses „sicher für alle Zeit“ leider nicht Es gibt kein Gerät, das für die nächsten 30 Jahre „secure“ ist. Das ist utopisch. Deshalb kümmert sich unsere SecurityBridge um eine – wie der Name bereits verrät – „secure“ Verbindung zwischen gesicherten und ungesicherten Netzwerken. Sie fungiert als VPN-Server und bietet Firewall-Funktionalität in Wirespeed, also ohne zeitliche Verzögerung. Über die SecurityBridge gelangt nur, was vorab authentifiziert bzw. autorisiert wurde. Unbefugte Zugriffe auf das geschützte Netzwerk werden somit verhindert.

Martin Strommer: Die SecurityBridge ist darauf spezialisiert, Bedrohungen gegen die Kleinsteuerungen PNOZmulti und das Automatisierungssystem PSS 4000 zu erkennen: Sie überwacht die Integrität des Gesamtsystems und deckt beispielsweise unerlaubte Veränderungen an Automatisierungsprojekten anhand der Prüfsumme sofort auf. Sie kontrolliert den Prozessdatenverkehr und sie sorgt dafür, dass unsere Sicherheitssysteme updatebar bleiben.

Könnte man die SecurityBridge auch als „sichere Brücke“ zu Steuerungen anderer Hersteller verwenden?

Bernd Eisenhuth: Theoretisch ja, aber dann ginge die Plug & Play-Funktionalität verloren, weil die SecurityBridge für ein perfektes Zusammenspiel mit PNOZmulti bzw. PSS 4000 vorkonfiguriert wurde. Bei Fremdgeräten würde dieser „Komfort“ fehlen und man müsste schlimmstenfalls unter Zuhilfenahme von Tools wie Wireshark dafür sorgen, dass die Geräte nicht „aneinander vorbeireden“.

„Aneinander vorbeireden“ ist ein gutes Stichwort: Warum wird beim Thema Security so oft aneinander vorbeigeredet? Warum gibt es noch immer so viele Sicherheitslücken in den Prozessen und in den Komponenten?

Bernd Eisenhuth: Weil vielen Menschen noch immer nicht klar ist, dass Security letztendlich alles und jeden adressiert. Das ist eine Art Lifestyle – wie nachhaltiges Wirtschaften oder gesunde Ernährung und dafür gilt es ein Bewusstsein zu schaffen. Bei Pilz beispielsweise wird Security auch in den Prozessen gelebt. Wir entwickeln Produkte, die den Vorgaben der IEC 62443-4-1 entsprechen und haben Security bei der Systemintegration, bei Wartungstätigkeiten bei unseren Kunden und selbstverständlich auch bei uns im Haus immer im Blick.

Bei internen Schulungen lassen wir zu Demonstrationszwecken manchmal sogar von einem eingeweihten Kollegen unter irgendeinem Vorwand einen manipulierten USB-Stick am Vorführ-Laptop anstecken. Denn spätestens dann, wenn man tatenlos dabei zusehen muss wie aufgrund eines ausführbaren Codes ein Word-Dokument erstellt und wie von Geisterhand geführt vollautomatisch mit z. B. „So schnell kann es gehen…“ und einem verschmitzt zwinkernden Smiley befüllt wird, ist wie auf Knopfdruck Awareness geschaffen.