lldeckblatt Einsatzszenarien von SIMATIC Security-Produkten im PCS 7-Umfeld SIMATIC PCS 7 FAQ Mai 2013 Service & Support Answers for industry.

Transkript

1 lldeckblatt Einsatzszenarien von SIMATIC Security-Produkten im PCS 7-Umfeld SIMATIC PCS 7 FAQ Mai 2013 Service & Support Answers for industry.

2 Fragestellung Dieser Beitrag stammt aus dem Siemens Industry Online Support. Es gelten die dort genannten Nutzungsbedingungen ( Durch den folgenden Link gelangen Sie direkt zur Downloadseite dieses Dokuments. Frage Welche Einsatzmöglichkeiten gibt es für die Security-Produkte SCALANCE S, CP443-1 Advanced und CP1628 im PCS 7-Umfeld? Antwort In diesem Dokument werden Ihnen verschiedene empfohlene und im PCS 7- Umfeld getestete Einsatzszenarien vorgestellt. Hinweis Sie erhalten hier einen Überblick zu den möglichen Konfigurationen. Für Detailinformationen und Projektieranleitungen orientieren Sie sich bitte an den angegebenen weiterführenden Links im letzten Kapitel. Die folgend beschriebenen Einsatzszenarien mit SCALACE S können sowohl mit einem SCALANCE S, als auch redundant umgesetzt werden. 2 V1.1, Beitrags-ID:

3 Inhaltsverzeichnis Inhaltsverzeichnis 1 Remote Login in eine Anlage Anbindung abgesetzter Anlagenrechner Verbindung mehrerer Anlagen Zusätzliche Sicherheit innerhalb einer Anlage Zusätzlicher Sicherheitsgewinn innerhalb einer Sicherheitszelle CP443-1 Advanced und CP1628 als lokale Firewall Literaturhinweise V1.1, Beitrags-ID:

4 1 Remote Login in eine Anlage 1 Remote Login in eine Anlage Remote Login auf einen OS-Client oder eine Engineering Station Ein PC in einem abgesetzten, teilweise vertrauenswürdigen, Netz verbindet sich über einen sicheren Tunnel mit einer Anlage und greift via Remote Desktop oder einem ähnlichen Remote-Programm auf einen vorhandenen OS-Client oder eine vorhandene ES zu. Dieser Weg sollte genutzt werden, wenn kein Bedienpersonal vor Ort ist. Die Kommunikation von PCS 7 ist nicht für abreißende Verbindungen ausgelegt und es kann zu Problemen führen, wenn während einer Bedienung die Verbindung abbricht. Unterbricht bei einem Zugriff über Remote Desktop die Verbindung, so besteht die Verbindung zwischen OS-Client und OS-Server bzw. ES- und OS-Rechner weiterhin und eine gerade begonnene Aktion wird zu Ende geführt. Abbildung V1.1, Beitrags-ID:

5 1 Remote Login in eine Anlage Die Kommunikation über einen sicheren Tunnel kann über folgende Kombinationen realisiert werden. CP1628 zu SCALANCE S SCALANCE S zu SCALANCE S Hinweis Entsprechende Detailinformationen und Projektieranleitungen finden Sie im Handbuch Industrial Ethernet Security - Grundlagen und Anwendung V1.1, Beitrags-ID:

6 2 Anbindung abgesetzter Anlagenrechner 2 Anbindung abgesetzter Anlagenrechner Remote Bedienung mit einem OS-Client oder remote Projektierung Ein PC in einem abgesetzten, teilweise vertrauenswürdigen Netz, verbindet sich über einen sicheren Tunnel und greift direkt mit der OS-Client Software oder der ES-Software auf eine Anlage zu. Dieser Weg sollte nur genutzt werden, wenn weitere Clients und Bedienpersonal vor Ort ist. Die Kommunikation von PCS 7 ist nicht für abreißende Verbindungen entwickelt, weshalb es zu Problemen kommen kann, wenn während einer Bedienung die Verbindung abbricht. Abbildung V1.1, Beitrags-ID:

7 2 Anbindung abgesetzter Anlagenrechner Die Kommunikation über einen sicheren Tunnel kann über folgende Kombinationen realisiert werden. CP1628 zu SCALANCE S SCALANCE S zu SCALANCE S Hinweis Entsprechende Detailinformationen und Projektieranleitungen finden Sie im Handbuch Industrial Ethernet Security - Grundlagen und Anwendung V1.1, Beitrags-ID:

8 3 Verbindung mehrerer Anlagen 3 Verbindung mehrerer Anlagen Zwei PCS 7-Anlagen werden über einen VPN-Tunnel miteinander verbunden. Die OS können jeweils die andere Anlage beobachten. Einzelnen Geräten kann gezielt Zugriff gewährt werden, indem die Firewall der Security Module entsprechend konfiguriert wird. Abbildung V1.1, Beitrags-ID:

9 4 Zusätzliche Sicherheit innerhalb einer Anlage 4 Zusätzliche Sicherheit innerhalb einer Anlage 4.1 Zusätzlicher Sicherheitsgewinn innerhalb einer Sicherheitszelle Nur die in der Firewall eingetragenen Teilnehmer können netzweit miteinander kommunizieren. Hier im Beispiel könnte die Firewall so konfiguriert werden, dass nur die ES auf die Teilnehmer im anderen Netz zugreifen kann. Abbildung 4-1 V1.1, Beitrags-ID:

10 4 Zusätzliche Sicherheit innerhalb einer Anlage 4.2 CP443-1 Advanced und CP1628 als lokale Firewall CP443-1 Advanced als lokale Firewall für eine AS Es wird ein CP443-1 Advanced eingesetzt, der nur die Kommunikation zu einem AS zulässt, die unbedingt nötig ist. Somit wird die Netzwerklast des AS verringert und es werden unbeabsichtigte oder schadhafte Zugriffe von unberechtigten Geräten verhindert. Hinweis Beim CP443-1 Adv. müssen immer beide, der externe und der interne Port konfiguriert werden, um z.b. die Firewall zu aktivieren. Für den Betrieb genügt es, wenn der interne Port eine fiktive Konfiguration hat. Projektierung und Betrieb eines AS, ausschließlich über den externen Port, ist ohne Einschränkung möglich. CP1628 als lokale Firewall für einen OS-Server oder eine ES Es wird ein CP1628 eingesetzt, der nur die Kommunikation zu einem OS-Server oder einer ES zulässt, die unbedingt nötig ist. Somit wird die Netzwerklast des OS- Servers oder der ES verringert und es werden unbeabsichtigte oder schadhafte Zugriffe von unberechtigten Geräten verhindert. Hinweis Für das Projektieren einer sicheren Kommunikation über CP1628 und CP443-1 Advanced (GX30) mit dem Security Configuration Tool (SCT) im SIMATIC Manager müssen sich die genannten Security-Kommunikationsbaugruppen innerhalb eines Teilprojektes befinden. Eine Multiprojekt-übergreifende Projektierung ist nicht möglich. Für Anwender von PCS 7 ab V8.1 mit SCT ab V4.0 gilt dieser Hinweis nicht. Abbildung V1.1, Beitrags-ID:

11 5 Literaturhinweise 5 Literaturhinweise Nachfolgend finden Sie Links zu weiterführenden Detailinformationen und Projektieranleitungen. Tabelle 5-1 Dokument 1. Referenz auf diesen Beitrag WW/view/de/ FAQ Wo finden Sie Informationen zum Thema "Industrial Security"? 3. Handbuch Sicherheitskonzept PCS 7 & WinCC (Basis) 4. Handbuch Industrial Ethernet Security - Grundlagen und Anwendung 5. Getting Started SIMATIC NET Industrial Ethernet Security Security einrichten Titel WW/view/de/ WW/view/de/ WW/view/de/ WW/view/de/ V1.1, Beitrags-ID: