Page 12 - 1519007_PNO_PI-Magazin_0219_fin_LR
P. 12
Bild: Adobe Stock
Erweiterung des PROFINET-
Security-Konzeptes
BIS IN DIE
KLEINSTE ZELLE
Bereits bei den ersten PROFINET-Spezifikationen veröffentlichte PI parallel PROFINET drei Sicherheitsklassen eingeführt.
dazu ein umfassendes Security-Konzept. Security ist jedoch ein Thema, das Hintergrund ist, dass zum Beispiel die An-
permanent angepasst werden muss. Daher wird derzeit das bewährte Kon- forderung ‚Vertraulichkeit‘ einen sehr hohen
zept erweitert. Rechenzeitaufwand für Maßnahmen der
Verschlüsselung bewirkt. Dies ist jedoch in
Damals wie heute gelten die gleichen Vor- nehmenden Vernetzung von Produktionsan- vielen Anwendungen nicht nötig.
gaben: Es reicht nicht aus, Anlagennetze lagen. Um nur einige Stichpunkte zu nennen:
und Automatisierungskomponenten zu Die Sicherheitsklasse 1 (Robustheit) sieht
schützen, sondern die eingesetzten Schutz- Offene Kommunikation in der Regel eine Abschottung der Anla-
mechanismen und Konzepte dürfen den PROFINET-Komponenten mit Mehrwert, ge nach außen, die Segmentierung des
laufenden Produktionsbetrieb nicht stören. also z. B. Web- oder OPC-Kommunikation, Produktionsnetzes, ein Zugriffschutz und
Zudem müssen Schutzkonzepte einfach sorgen für eine vermehrte, direkte Kom- weitere Maßnahmen vor (Defense-in-
umsetzbar und bezahlbar bleiben. Das IT- munikation mit übergeordneten Systemen Depth-Konzept). Diese wird nun in einigen
Sicherheitskonzept für PROFINET geht von außerhalb der Sicherheitszone. Gleichzeitig Punkten erweitert. Dazu gehört, dass SN-
einem Defense-in-Depth-Ansatz aus. Dabei wird eine Trennung von PROFINET-Netz- MP-Default Strings geändert werden kön-
wird die Produktionsanlage durch einen werken immer schwieriger. Daraus folgt ein nen, DCP-Befehle lassen sich auf „Nur lesen“
mehrstufigen Perimeter, u.a. Firewalls, gegen erhöhtes Risiko von Angriffen auf PROFINET- setzen und GSD-Dateien werden durch Si-
Angriffe, insbesondere von außen, geschützt. Komponenten. gnierung gegen unbemerkte Veränderung
Darüber hinaus ist innerhalb der Anlage eine geschützt. Diese Änderungen wurden be-
weitere Absicherung durch Unterteilung in Größere Netzwerke reits in der Spezifikation V2.4 MU1 im April
Zonen unter Einsatz von Firewalls möglich. Immer mehr Komponenten werden zu einem 2020 vorgestellt. Inzwischen ist eine zu-
Zusätzlich wird durch einen Security-Kom- Netzwerk verbunden und interagieren mitein- sätzliche Guideline, die diese Maßnahmen
ponententest die Festigkeit der PROFINET- ander. Ein erfolgreicher Angriff auf ein einzel- anschaulich erklärt, verfügbar.
Komponenten gegen Überlastung in einem nes (PC-)System innerhalb einer solchen Zelle
definierten Umfang sichergestellt. Dieses umgeht daher Vorab-Schutzmaßnahmen. Für die Sicherheitsklasse 2 (Integrität und
Konzept wird durch organisatorische Maß- Authentizität) wird zusätzlich zur Sicher-
nahmen in der Produktionsanlage im Rah- Weiträumige Anlagen heitsklasse 1 die Integrität und Authentizi-
men eines Security Management-Systems Weit verteilte Anlagen behindern den phy- tät der IO-Datenkommunikation sowie die
unterstützt. Security erfordert also Maßnah- sischen Schutz von Netzwerken und Zu- Vertraulichkeit der Konfigurationsdaten
men in den verschiedenen Ebenen. gangspunkten. Dadurch können unbefugte über kryptografische Funktionen gefor-
Personen Zugang zum PROFINET-Netzwerk dert. Dies ist etwa bei Anlagen der Fall, die
SECURITY-MASSNAHMEN erhalten. sich nicht ohne weiteres in Zonen eintei-
IM WANDEL len lassen oder bei denen der Zugang von
SICHERHEITSKLASSEN außen nicht gesichert ist, etwa bei Instal-
Angesichts einer zukünftigen stärkeren Ver- NACH PROFINET lationen im Freien.
netzung, etwa durch Industrie 4.0, kann es zu
Situationen kommen, in denen das Zellen- Da die Vielzahl von Branchen und Anwen- In der Sicherheitsklasse 3 wird zusätzlich
schutzkonzept allein nicht ausreicht. Dies gilt dungen auch verschiedene Sicherheitsan- noch die Vertraulichkeit der IO-Daten
insbesondere vor dem Hintergrund der zu- forderungen nach sich ziehen, wurden bei verlangt. Dies ist etwa der Fall, wenn aus
12 PI-Magazin 2 /2020
