-
Komponenten oder Geräte in industriellen Umgebungen wie Automatisierungsanlagen oder Steuerungsanlagen weisen oftmals eine lange Nutzungsdauer auf. Insbesondere Komponenten mit Safety-relevanter Funktionalität, wie beispielsweise das Umsetzen eines Notaus für eine Antriebssteuerungen in kritischen Systemen, sind vor Angriffen aus angeschlossenen offenen Netzen, wie beispielsweise dem Internet oder einem Mobilfunknetz, zu schützen. Dafür ist insbesondere die Verbindung zu Netzwerken auf potentielle Schwachstellen oder Angriffspunkte hin zu überprüfen. Bei erkannten Schwachstellen oder Angriffspunkten ist es in der Realität oftmals nicht möglich, zeitnah ein Beheben beispielsweise eines Fehlers in der Konfiguration des Gerätes sicherzustellen. Insbesondere kann eine Konfiguration veraltet sein und ein Update erforderlich. Ein sogenanntes Patchen, d.h. das Einspielen von Software-Updates, zur Behebung einer erkannten Schwachstelle ist oftmals nur in dafür vorgesehenen Wartungsfenstern möglich, so dass ein Gerät über einen langen Zeitraum in einer veralteten Konfiguration vorliegt.
-
Es ist ein sogenanntes Network Admission Control oder Trusted Network Connect bekannt, bei welchem ein Client bei einer Netzwerkanmeldung Informationen über seine Konfiguration übermittelt. Ein unsicher konfigurierter Client, bei welchem beispielsweise ein Patch fehlt oder ein Virenscanner nicht aktuell oder aktiv ist, kann von außen, d.h. von Seiten eines Netzwerkes, abgewiesen werden oder nur mit einem Quarantänenetzwerk verbunden werden. Das Netzwerk muss dafür eine entsprechende Funktionalität bereitstellen.
-
Es ist eine Aufgabe der vorliegenden Erfindung, eine vereinfachte Absicherung einer Netzwerkverbindung zwischen einem Gerät und einem Netzwerk sicherzustellen.
-
Diese Aufgabe wird durch die Merkmale der unabhängigen Ansprüche gelöst. Vorteilhafte Ausgestaltungen sind in den abhängigen Ansprüchen angegeben.
-
Die Erfindung betrifft ein Verfahren zum Reduzieren einer Angriffsmöglichkeit auf eine Schwachstelle eines Gerätes über eine Netzwerkzugangsstelle zu einem Netzwerk, wobei in einem ersten Schritt eine Konfiguration des Gerätes analysiert wird, wobei in einem zweiten Schritt im Falle einer aufgrund der analysierten Konfiguration erkannten Schwachstelle, insbesondere einer mangelnden Aktualität der Konfiguration, eine Kommunikation über die Netzwerkzugangsstelle mit Hilfe einer auswählbaren Filtervorschrift durch einen Netzwerkzugangsfilter eingeschränkt wird und wobei die Filtervorschrift topologisch zwischen der Netzwerkzugangsstelle und einer Hauptfunktion des Gerätes angewendet wird.
-
Eine Konfiguration des Gerätes ist beispielsweise gekennzeichnet durch eine darauf geladene Software, Konfiguration oder durch seine Firmware. Die Aktualität eines Software-, Konfigurations- oder Firmware-Standes kann insbesondere ein Anhaltspunkt für eine Schwachstelle sein, welche durch IT-Angriffe ausgenutzt werden könnte, beispielsweise um eine Safety-kritische Funktionalität eines Gerätes zu manipulieren. Auch ein Vorhandensein oder eine Aktualität eines Virenscanners kennzeichnet die Konfiguration. Bei der erkannten Schwachstelle kann es sich somit beispielsweise auch um das Fehlen eines Virenscanners handeln.
-
Bei dem Netzwerk handelt es sich insbesondere um ein offenes Netzwerk, wie beispielsweise das Internet oder ein Mobilfunknetz. Insbesondere nutzt das Gerät neben einem geschlossenen Firmennetzwerk zusätzlich das offene Netzwerk.
-
Für die Analyse der Konfiguration des Gerätes wird beispielsweise ein App- oder Device-Manager verwendet. Es wird beispielsweise ein Abgleich mit für das Gerät vorgesehenen Konfigurationseigenschaften, auf welche der Device-Manager zugreifen kann, durchgeführt. Ergibt dieser Abgleich, dass eine Konfiguration als kritisch oder unsicher einzustufen ist, so wird eine Filtervorschrift ausgewählt und mittels eines Netzwerkzugangsfilters angewendet. Eine Filtervorschrift oder Filter Policy kann dabei insbesondere eine Kommunikation sensibler Daten über die Netzwerkzugangsstelle mit dem offenen Netzwerk verhindern. Ebenso kann die Übertragung von Daten aus dem Netzwerk, beispielsweise von Steuerungsbefehlen aus dem Netzwerk an das Gerät, über die Netzwerkzugangsstelle unterbunden werden. Netzwerkbasierte Angriffe werden somit auf vorteilhafte Weise verhindert. Es kann insbesondere eine Netzwerkverbindung dauerhaft gesperrt werden. Ein Freischalten erfolgt dann beispielsweise durch einen Administrator. Eine solche relativ strenge Policy kann bei besonders kritischen Schwachstellen sinnvoll angewendet werden.
-
Insbesondere kann die Filtervorschrift durch den App/ Device-Manager bereitgestellt werden. Beispielsweise wird einem Internet-of-Things-Feldgerät abhängig von bekannten Schwachstellen eine dafür angepasste Filtervorschrift bereitgestellt. Ist ein App/Device-Manager nicht erreichbar, kann eine standardmäßige Filtervorschrift oder eine für die Situation der Nicht-Erreichbarkeit vorgesehene Filtervorschrift angewendet werden.
-
Unter einem Angriff oder netzwerkbasierten Angriff wird beispielsweise das Auslesen oder die Manipulation von sensiblen Daten des Gerätes oder Daten, die für das Gerät bestimmt sind, verstanden oder insbesondere ein Angriff auf einen Sicherheitsmechanismus verstanden wie beispielsweise das Ausschalten eines Sicherheitsmechanismus, der auf dem Gerät implementiert ist. Beispielsweise würden dadurch aus dem Netzwerk über die Netzwerkzugangsstelle übermittelte Daten ohne Sicherheitsprüfung auf dem Feldgerät verarbeitet oder es werden manipulierte Daten verarbeitet. Insbesondere würde ein fehlerhaftes übermitteltes Zertifikat nicht oder ohne Konsequenz geprüft. Ein Angriff ist dann vielversprechend, wenn ein Gerät aufgrund einer fehlerhaften oder veralteten Konfiguration eine Schwachstelle aufweist. Daher ist vor allem der Zustand eines Gerätes mit Schwachstelle zu schützen oder in Phasen mit analysierter Schwachstelle das Gerät besonders vor Angriffen abzuschirmen.
-
Als Schwachstelle wird im Rahmen der vorliegenden Anmeldung ein Zustand des Gerätes verstanden, der potentiell einem Angriff nicht standhält, oder in welchem man das Gerät vorsichtshalber besonders schützen möchte, um eine Angriffsfläche zu reduzieren. Es wird dabei insbesondere angenommen, dass auch bei vorliegender Schwachstelle ein Angriff erfolglos sein kann.
-
Unter einer Hauptfunktion des Gerätes wird die zu schützende Funktion verstanden, welche das Gerät in seiner Rolle innerhalb einer Anlage ausführt. Insbesondere würden sich Angriffe über das Netzwerk auf die Hauptfunktion auswirken und Schaden an dem Gerät verursachen oder eine schadhafte Wechselwirkung mit anderen Geräten verursachen. Eine Hauptfunktion kann sich aus mehreren Funktionen zusammensetzen, die das Gerät innerhalb der Anlage ausführen soll. Eine Hauptfunktion kann insbesondere eine Steuerungs- oder Überwachungsfunktion eines technischen Systems sein, auf das über Aktoren eingewirkt wird oder dessen aktueller Zustand durch Sensoren ermittelt wird.
-
Gemäß dem beschriebenen Verfahren wird beispielsweise bei einem nicht gepatchten System eine Funktionalität, insbesondere die Möglichkeit zum Senden oder Empfangen von Sensorwerten oder Steuerungsbefehlen, eingeschränkt. Es wird auf vorteilhafte Weise zugleich verhindert, dass vorhandene erkannte Schwachstellen über ein Netzwerk ausgenutzt werden können. Somit wird eine Art umgekehrtes Network Admission Control Prinzip angewandt. Durch eine Art Reverse Network Admission Control schränkt bei schwacher oder vermuteter nicht aktueller Konfiguration ein Feldgerät selbst seine Kommunikation ein, um die Angriffsfläche zu reduzieren. Das Verfahren kann auf vorteilhafte Weise auf einem Endgerät wie beispielsweise einem Feldgerät oder einem Internet of Things Feldgerät, realisiert werden, ohne dass speziellen Anforderungen netzwerkseitig nachgekommen werden müsste. Insbesondere für Geräte in der Anwendung in Internet of Things, Industrial Internet, Cyber Physical Systems oder Web of Systems, ist somit eine einfache, leicht nachrüstbare Lösung zur Reduzierung von netzwerkbasierten Angriffen auf ein Feldgerät möglich.
-
Ein Client erkennt somit eine Schwachstelle in der eigenen Konfiguration selbst und leitet eine Einschränkung eines Netzwerkzuganges durch entsprechende Filtervorschriften selbst ein. Die Filtervorschrift wird dabei topologisch zwischen der Hauptfunktion des Gerätes und der Netzwerkzugangsstelle, also clientseitig, angewendet. Die Funktionsweise des Netzwerkes bleibt unberührt, d.h. es muss serverseitig keine Überwachung von Feldgeräten stattfinden und auch kein Blockieren von Datenverbindungen und kein Filtern von Daten.
-
Gemäß einer Ausgestaltung authentisiert sich das Gerät gegenüber dem Netzwerk, insbesondere über ein Network Access Control Verfahren. Dabei kann vorteilhaft ein Verfahren gemäß dem Standard IEEE 802.1X durchgeführt werden.
-
Gemäß einer Weiterbildung authentisiert sich das Gerät gegenüber einem Cloud-Dienst, insbesondere mittels eines TLS-Verfahrens unter Verwendung eines digitalen Gerätezertifikates. Auf vorteilhafte Weise wird das Transport Layer Security Verfahren genutzt, beispielsweise um eine webbasierte gesicherte Verbindung aufzubauen.
-
Gemäß einer Ausgestaltung ist die Filtervorschrift aus einer Anzahl von mehreren Filtervorschriften auswählbar. Insbesondere können je nach erkannter Schwachstelle verschiedene Filter zur Anwendung kommen. Insbesondere ist der Umfang der eingeschränkten Kommunikation abhängig von der Schwere der erkannten Schwachstelle. Beispielsweise werden nur bestimmte Anteile der Netzwerk-Konnektivität eingeschränkt, wenn eine Auswirkung der Schwachstelle bekannt ist und ebenso beispielsweise vollständig blockiert, wenn Auswirkungen einer erkannten Schwachstelle noch unbekannt oder nicht vorhersehbar sind.
-
Gemäß einer Ausgestaltung aktiviert der Netzwerkzugangsfilter gemäß einer festen oder veränderbaren Zuordnungsvorschrift eine der Filtervorschriften. Es können insbesondere mehrere der auswählbaren Filtervorschriften angewendet werden.
-
Gemäß einer Ausgestaltung werden in Abhängigkeit von der ausgewählten Filtervorschrift weitere Sicherheitsregeln des Gerätes angepasst. Beispielsweise können abhängig von der ausgewählten Filter Policy Netzwerkdienste auf dem Feldgerät deaktiviert werden. Beispielsweise können Regeln für ein Mandatory Access Control System, wie SELinux, SMACK oder AppArmor, angepasst werden.
-
Die Erfindung betrifft ferner eine Zugangsvorrichtung zum Schutz vor einem Angriff auf eine Schwachstelle eines Gerätes über eine Netzwerkzugangsstelle zu einem Netzwerk, umfassend
- – eine Komponente zum Analysieren einer Konfiguration,
- – einen Netzwerkzugangsfilter zum Einschränken einer Kommunikation über die Netzwerkzugangsstelle mit Hilfe einer Filtervorschrift bei einer aufgrund der analysierten Konfiguration erkannten Schwachstelle,
- – wobei der Netzwerkzugangsfilter topologisch zwischen der Netzwerkzugangsstelle und einer Hauptfunktion des Gerätes vorgesehen ist.
-
Die Komponente und der Netzwerkzugangsfilter können in Software, Hardware oder in einer Kombination aus Soft- und Hardware realisiert und ausgeführt werden. So können die durch diese Einheiten realisierten Schritte als Programm-Code auf einem Speichermedium, insbesondere einer Festplatte, CD-ROM oder einem Speichermodul abgelegt sein, wobei die einzelnen Anweisungen des Programmcodes von mindestens einer Recheneinheit, umfassend einen Prozessor, ausgelesen und verarbeitet werden.
-
Gemäß einer Ausgestaltung ist der Netzwerkzugangsfilter der Zugangsvorrichtung in das Gerät integriert. Gemäß einer Ausgestaltung ist die Komponente in das Gerät integriert. Somit kann auf vorteilhafte Weise die Zugangsvorrichtung auf dem Feldgerät realisiert sein.
-
Gemäß einer Ausgestaltung ist der Netzwerkzugangsfilter separat zu dem Gerät ausgebildet. Gemäß einer Ausgestaltung ist die Komponente separat zu dem Gerät ausgebildet. Somit kann beispielsweise die Zugangsvorrichtung als eine Vorschaltkomponente zu dem Gerät vorgesehen sein. Die Vorschaltkomponente ist somit topologisch zwischen dem Gerät und dem Netzwerk angeordnet.
-
Gemäß einer Weiterbildung weist die Komponente eine lokale Schnittstelle oder eine Netzwerkschnittstelle zum Gerät auf oder eine Kommunikationsschnittstelle zu einem virtuellen Doppel des Gerätes.
-
Die Erfindung betrifft ferner ein Computerprogrammprodukt mit einem Computerprogramm, das Mittel zur Durchführung des oben beschriebenen Verfahrens aufweist, wenn das Computerprogramm auf einer programmgesteuerten Einrichtung zur Ausführung gebracht wird.
-
Ein Computerprogrammprodukt, wie z.B. ein Computerprogramm-Mittel, kann beispielsweise als Speichermedium, wie z.B. Speicherkarte, USB-Stick, CD-ROM, DVD, oder auch in Form einer herunterladbaren Datei von einem Server in einem Netzwerk bereitgestellt oder geliefert werden. Dies kann zum Beispiel in einem drahtlosen Kommunikationsnetzwerk durch die Übertragung einer entsprechenden Datei mit dem Computerprogrammprodukt oder dem Computerprogramm-Mittel erfolgen. Als programmgesteuerte Einrichtung kommt insbesondere eine Steuereinrichtung, wie zum Beispiel ein Mikroprozessor für eine Smartcard oder dergleichen in Frage.
-
Die Erfindung wird nachfolgend anhand von Ausführungsbeispielen mit Hilfe der Figuren näher erläutert. Es zeigen
-
1 eine schematische Darstellung einer Zugangsvorrichtung integriert in ein Feldgerät gemäß einer ersten Ausführungsform der Erfindung;
-
2 eine schematische Darstellung einer Zugangsvorrichtung separat zu einem Feldgerät gemäß einer zweiten Ausführungsform der Erfindung;
-
3 ein Ablaufdiagramm eines Verfahrens zum Reduzieren einer Angriffsmöglichkeit auf eine Schwachstelle eines Gerätes über eine Netzwerkzugangsstelle gemäß einem weiteren Ausführungsbeispiel der Erfindung.
-
In den Figuren sind funktionsgleiche Elemente mit denselben Bezugszeichen versehen, sofern nichts anderes angegeben ist.
-
In 1 ist schematisch eine Realisierung der Erfindung gemäß einem ersten Ausführungsbeispiel der Erfindung in einer Internet of Things- oder IoT-Umgebung dargestellt. Dabei ist ein IoT-Feldgerät 100 vorgesehen, welches als Hauptfunktion 103 eine Antriebssteuerung aufweist. Die Hauptfunktion 103 kommuniziert über das Internet mit einem Cloud-Dienst IoT-Data Management Plattform 301. Beispielsweise werden durch das Feldgerät Daten aus dem Cloud-Dienst angefordert, welche zu Zwecken der Optimierung der Antriebssteuerung durch die Hauptfunktion 103 verarbeitet werden. Das Feldgerät 100 authentisiert sich einerseits gegenüber dem Netzwerk über ein Network Access Control Verfahren, kurz NAC, beispielsweise gemäß dem Standard 802.1X, und authentisiert sich ferner auch gegenüber dem Cloud-Dienst, beispielsweise gemäß dem Transport Layer Security Protokoll, TLS-Protokoll, und eine TLS-Client-Authentisierung oder Verwendung eines digitalen Gerätezertifikates. Die Kommunikation zwischen dem Feldgerät 100 und dem Netzwerk 300 erfolgt über eine Netzwerkschnittstelle 10 oder ein sogenanntes Network Interface.
-
Das Feldgerät 100 verfügt gemäß dem ersten Ausführungsbeispiel der Erfindung über einen Netzwerkzugangsfilter 101 mit mehreren zugeordneten Filtervorschriften 1, 2, 3 oder Filterregeln oder sogenannten Filter Policies. Dem Netzwerkzugangsfilter 101 oder Network Access Filter ist eine Komponente 102 zum Analysieren einer Konfiguration des Feldgerätes 100 zugeordnet. Die Analyse der Konfiguration umfasst dabei beispielsweise die Prüfung der Software-Konfiguration und Firmware-Konfiguration. Insbesondere wird eine Aktualität der Konfiguration überwacht. Sobald erkannt wird, dass beispielsweise nicht das aktuellste Update installiert wurde, wird nach einer Auswahl-Policy 9 der Netzwerkzugangsfilters 101 konfiguriert, eine der Filterregeln 1, 2, 3 zu aktivieren. Die Auswahl-Policy 9 kann dabei für verschiedene Analyseergebnisse einheitliche zu aktivierende Filterregeln festlegen. Insbesondere wird je nach erkanntem Konfigurationsstand eine spezifische Filtervorschrift durch die Auswahl-Policy 9 vorgeschlagen und aktiviert.
-
In dieser Realisierung wird eine Zugangsvorrichtung 200 geschaffen, welche das Feldgerät 100 sowie den Netzwerkzugangsfilter 101 umfasst und damit eine integrierte Lösung bereitstellt zur Einschränkung einer Netzwerk-Konnektivität durch ein Feldgerät selbst. Ein Client erkennt somit eine Schwachstelle in der eigenen Konfiguration selbst und leitet eine Einschränkung eines Netzwerkzuganges durch entsprechende Filtervorschriften selbst ein. Die Filtervorschrift wird dabei topologisch zwischen der Hauptfunktion 103 des Gerätes 100 und der Netzwerkzugangsstelle 10, also clientseitig, angewendet. Die Funktionsweise des Netzwerkes bleibt unberührt, d.h. es muss serverseitig keine Überwachung von Feldgeräten stattfinden und auch kein Blockieren von Datenverbindungen oder Filtern von Daten.
-
Das zweite Ausführungsbeispiel ist schematisch in 2 erläutert. In Abgrenzung zum ersten Ausführungsbeispiel ist hier der Netzwerkzugangsfilter 101 separat zum Gerät 100 ausgebildet. Eine Zugangsvorrichtung 200 umfasst den Netzwerkzugangsfilter 101 sowie die Komponente 102 zur Analyse der Konfiguration des Gerätes 100. Beides ist extern zum Feldgerät 100 vorgesehen. Die Netzwerkzugangsstelle 10 zum Netzwerk 300 ist in diesem Beispiel auf der Zugangsvorrichtung 200 vorgesehen. Zwischen dieser Netzwerkzugangsstelle 10 und der Hauptfunktion 103 des Feldgerätes 100 findet wiederum die ausgewählte Filtervorschrift 1, 2, 3 Anwendung, also clientseitig.
-
Die Zugangsvorrichtung 200, insbesondere die Komponente 102 zum Analysieren der Konfiguration, kann den aktuellen Konfigurationsstand des Feldgerätes 100 auf unterschiedliche Weise ermitteln. Beispielsweise wird eine separate lokale Schnittstelle, wie beispielsweise eine Service-Schnittstelle, insbesondere RS232, SPI, I2C oder USB, genutzt. Alternativ kann eine Netzwerkschnittstelle 10b des Feldgerätes 100, welche nicht direkt zum Netzwerk 300 führt, sondern zunächst zu einer Schnittstelle 10a der Zugangsvorrichtung 200, genutzt werden. Beispielsweise wird ein OPC UA Server oder ein HTTP/CoAP-Server oder ein SNMP-Server auf dem IoT-Feldgerät 100 verwendet.
-
In einer anderen Variante wird eine Kommunikation des Feldgerätes 100 mit einem App- oder Device Manager 302 mitgehört. Eine Schwachstelle wird immer dann erkannt, wenn für einen vorgegebenen Zeitraum keine Kommunikation des Feldgerätes mit einem App oder Device Manager 302 festgestellt werden konnte. Indirekt wird daraus geschlussfolgert, dass eine Konfiguration nicht aktuell genug ist und gegebenenfalls Schwachstellen aufweist. Nachdem das Feldgerät 100 den App- oder Device Manager 302 kontaktiert hat, wird darauf geschlossen, dass die Konfiguration aktuell ist und damit keine Schwachstelle vorliegt. Als Folge wird beispielsweise eine standardmäßig eingeschränkte Kommunikation freigegeben, insbesondere für eine festlegbare Zeitspanne. Alternativ kann eine aktuelle Konfiguration eines Feldgerätes auch von einem dem Feldgerät 100 zugeordneten virtuellen Doppel oder Virtual Twin oder Digital Twin abgefragt werden.
-
Ein Verfahren zum Reduzieren einer Angriffsmöglichkeit auf eine Schwachstelle eines Gerätes gemäß einem weiteren Ausführungsbeispiel der Erfindung wird anhand des Ablaufdiagramms in 3 erläutert. In Schritt S01 wird der Vorgang gestartet. In Schritt S02 wird eine Filtervorschrift angewendet, welche für eine Phase, in welcher das Gerät auf Schwachstellen untersucht wird, defaultmäßig angewendet wird. Diese initiale Filtervorschrift erlaubt es lediglich, die Aktualität einer Software- oder Firmware-Konfiguration zu prüfen. Dazu wird mit dem App/ Device Manager des Internet of Things Netzwerkes kommuniziert. Dies geschieht in Schritt S1. Abhängig vom Ergebnis der Analyse, welches im Schritt S11 ermittelt wird, wird entweder im Falle einer nicht aktuellen Konfiguration n eine eingeschränkte Filtervorschrift in Schritt S2 aktiviert oder im Fall einer ordnungsgemäßen Konfiguration y in Schritt S2a eine reguläre Filtervorschrift-Operation aktiviert. Im laufenden Betrieb eines Feldgerätes kann das Verfahren wiederholt durchgeführt werden. Insbesondere wird nach einer Phase des Wartens S3 die Konfiguration erneut überprüft S1.
-
Obwohl die Erfindung im Detail durch die Ausführungsbeispiele näher illustriert und beschrieben wurde, so ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Nicht-Patentliteratur
-
- Standard IEEE 802.1X [0015]
- Standard 802.1X [0032]