Die wichtigsten IT-Sicherheits-technischen Fragen

Wartungszugänge sind bewusst geschaffene Öffnungen des Netzwerks nach außen, die, wenn erforderlich, unbedingt hinreichend abzusichern sind.

INSYS-Router ermöglichen dazu die Beschränkung auf einzelne User mit verschiedenen Rechten, eine Authentifizierung dieser User mit Hilfe von Zertifikaten oder RADIUS-Server, die Beschränkung der Zugänge auf sichere Protokolle wie HTTPS oder SSH oder verschiedene Möglichkeiten für sichere VPN-Verbindungen.

Office-IT ist i.d.R. auf vielen Wegen mit dem Internet verbunden. Meist bestehen auch Netzwerkverbindungen vom Office- ins Applikationsnetz, sodass Angreifer über diesen Weg eindringen können.

Um dies zu verhindern, ermöglichen INSYS-Router die Segmentierung der Netzwerke, die Verwendung einer Firewall, in der die erforderlichen Verbindungen mit präzisen Einschränkungen auf Ports, Protokolle und Interfaces geöffnet werden, und bieten Authentifizierungs- und VPN-Optionen.

IT-Standardkomponenten (commercial off-the-shelf, COTS) wie Betriebssysteme, Application Server oder Datenbanken enthalten in der Regel Fehler und Schwachstellen, die von Angreifern ausgenutzt werden. Kommen diese Standardkomponenten auch im Applikationsnetz zum Einsatz, so erhöht dies das Risiko eines erfolgreichen Angriffs auf die Systeme im Applikationsnetz.

Um dies zu verhindern, ermöglichen INSYS-Router die Segmentierung der Netzwerke, die Verwendung einer Firewall, und bieten Authentifizierungs- und VPN-Optionen sowie ein eigenes, speziell gehärtetes Betriebssystem auf Linux-Basis.

Durch Denial of Service-Angriffe können Netzwerkverbindungen und benötigte Ressourcen beeinträchtigt und Systeme zum Absturz gebracht werden, z.B. um die Funktionsfähigkeit eines Applikationsnetzes zu stören.

INSYS-Router ermöglichen bei Kommunikationsproblemen über eine Netzwerkverbindung die Verwendung redundanter Verbindungen über Ethernet, DSL und Mobilfunk (LTE).

Vorsätzliche Handlungen – ganz gleich ob durch interne oder externe Täter – sind eine massive Bedrohung für sämtliche Schutzziele. Daneben sind Fahrlässigkeit und menschliches Versagen eine große Bedrohung insbesondere bzgl. der Schutzziele Vertraulichkeit und Verfügbarkeit.

Um dies zu verhindern, ermöglichen INSYS-Router die Beschränkung auf einzelne User mit verschiedenen Rechten, eine Authentifizierung dieser User mit Hilfe von Zertifikaten oder RADIUS-Server, die Beschränkung der Zugänge und bieten auch die Möglichkeit einer gezielten Information bei Konfigurationsänderungen oder Anstecken eines Geräts an einen Ethernet-Port sowie Log-Dateien, die eine Vielzahl von Vorgängen mit Zeitstempel festhalten. Außerdem ermöglichen Ein- und Ausgänge am Router externe Sicherheitsschaltungen, beispielsweise mit Schlüsselschaltern für eine manuelle Freigabe des Zugriffs.

Der Einsatz von Wechseldatenträgern und mobilen IT-Komponenten externer Mitarbeiter stellt stets eine große Gefahr bzgl. Malware-Infektionen dar. Dieser Aspekt kam z.B. bei Stuxnet zum Tragen.

INSYS-Router bieten keine Möglichkeit zum Anschluss von Datenträgern und ermöglichen darüber hinaus die Segmentierung der Netzwerke, die Verwendung einer Firewall und von VPN-Verbindungen sowie die gezielte Abschaltung ungenutzter Ethernet-Ports. Gegen das Einbinden von NAS-Systemen ins Netzwerk stehen die unter ‚ Angriffe auf Netzwerkkomponenten‘ unten beschriebenen Maßnahmen zur Verfügung.

Da die meisten Steuerungskomponenten derzeit über Klartextprotokolle und somit ungeschützt kommunizieren, ist das Mitlesen und Einspielen von Steuerbefehlen oftmals ohne größeren Aufwand möglich.

Um dies zu verhindern, ermöglichen INSYS-Router die Verwendung von sicheren VPN-Verbindungen sowie die Erkennung zugelassener MAC-Adressen.

Für eine IT-sichere Applikation sollten keine Dienste aus dem Internet heraus erreichbar sein. Eine zeitgemäße Applikation hat auf Feldebene nur noch Client-Dienste und die entsprechenden Server-Dienste in der Cloud bzw. in den zentralen Datensystemen. Sollten Dienste unbedingt auf den Geräten im Feld laufen müssen (z.B. CLI oder Web-Server), sind diese so zu konfigurieren, dass sie nur innerhalb eines VPN-Tunnels erreichbar sind, keinesfalls aus dem Internet. Außerdem dürfen solche Dienste und Komponenten im Applikationsnetz auf keinen Fall keine oder unsichere Methoden zur Authentifizierung und Autorisierung verwenden.

Um dies zu verhindern, ermöglichen INSYS-Router die Segmentierung der Netzwerke, die Verwendung einer Firewall, den Einsatz von VPN-Verbindungen und Authentifizierungs-Optionen sowie die gezielte Abschaltung ungenutzter Ethernet-Ports.

Netzwerkkomponenten können durch Angreifer manipuliert werden, um z.B. Man-in-the-Middle-Angriffe durchzuführen oder um Sniffing zu erleichtern.

Um dies zu erkennen, ermöglichen INSYS-Router eine gezielte Information bei Konfigurationsänderungen oder Anstecken eines Geräts an einen Ethernet-Port, Log-Dateien, die eine Vielzahl von Vorgängen mit Zeitstempel festhalten, sowie die gezielte Abschaltung ungenutzter Ethernet-Ports.

Ausfälle durch extreme Umwelteinflüsse oder technische Defekte sind immer möglich – Risiko und Schadenspotential können hier lediglich minimiert werden.

Um dies zu verhindern, ermöglichen INSYS-Router die Verwendung redundanter Verbindungen über Ethernet, DSL und Mobilfunk (LTE), die Verwendung redundanter Geräte sowie die Sicherung der Gerätekonfiguration.