DE102011002717A1

DE102011002717A1 - Network filtering unit for protecting e.g. network of manufacturing automation system, has control device selecting filter component as function of patch state of e.g. sub-systems, and accessing interface using selected component

Info

Publication number: DE102011002717A1
Application number: DE201110002717
Authority: DE
Inventors: Rainer Falk; Steffen Fries
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2011-01-14
Filing date: 2011-01-14
Publication date: 2012-07-19
Anticipated expiration: 2031-01-15
Also published as: DE102011002717B4

Abstract

The filtering unit (1) has an interface (4) i.e. maintenance interface, connected to external clients (2a, 2b) e.g. maintenance computer, in a network of an installation system. A control device selects a filter component from multiple filter components as a function of a patch state of multiple sub-systems (27a, 27b, 28a, 28b, 29a) and/or the external clients. The control device selectively accesses the interface using the selected filter component. A detection unit directs a patch state request to the sub-systems and automatically detects the patch state of the sub-systems. An independent claim is also included for a method for protecting a network of an installation system.

Description

Die vorliegende Erfindung bezieht sich auf eine Netzwerkfiltereinrichtung und ein Verfahren zum Schutz eines Systemanlagennetzwerks sowie eine Systemanlage mit integrierter Netzwerkfiltereinrichtung.The present invention relates to a network filter device and a method for protecting a system network as well as a system device with integrated network filter device.

Stand der TechnikState of the art

Systemanlagen oder Maschinen bestehen häufig aus einer Vielzahl von Einzelkomponenten, die unabhängig voneinander mit Software ausgestattet sind. Die Einzelkomponenten können jedoch über eine Netzwerkverbindung verbunden sein. Derartige Netzwerke verfügen häufig über Wartungsschnittstellen, an denen externe Geräte wie beispielsweise Wartungsrechner, PDAs, Notebooks oder ähnliche Geräte angeschlossen werden können. Über das Netzwerk der Anlage können diese externen Geräte dann auf einzelne Subkomponenten des Systems beispielsweise zu Wartungs-, Diagnose- oder Konfigurationszwecken zugreifen. Der Zugriff kann dabei sowohl lokal physikalisch, beispielsweise über LAN, oder über ein virtuelles privates Netzwerk (VPN) über einen Remote-Service-Zugang erfolgen.Systems or machines often consist of a large number of individual components that are independently equipped with software. However, the individual components may be connected via a network connection. Such networks often have maintenance interfaces to which external devices such as maintenance computers, PDAs, notebooks or similar devices can be connected. Via the network of the plant, these external devices can then access individual subcomponents of the system, for example for maintenance, diagnostics or configuration purposes. The access can be done both locally physically, for example via LAN, or via a virtual private network (VPN) via a remote service access.

In jedem Fall ist das externe Gerät zunächst einmal mit dem gesamten Netzwerk des Systems verbunden und kann dabei prinzipiell auch auf alle Einzelkomponenten des Netzwerks zugreifen. Systemanlagen können häufig nicht oder zumindest nicht zeitnah mit aktuellen Softwarepatches versorgt werden, um bestehende bekannte Sicherheitslücken zu schließen. Es kann auch vorkommen, dass einige Einzelkomponenten oder Subsysteme der Anlage oder des Systems häufiger gepatcht werden als andere. Generell befinden sich Anlagensubsysteme häufig in unterschiedlichen Patchzuständen und sind damit unterschiedlichen Sicherheitsrisiken ausgesetzt.In any case, the external device is initially connected to the entire network of the system and can in principle also access all individual components of the network. System systems can often not be supplied with current software patches, or at least not promptly, in order to close existing known security gaps. It may also happen that some individual components or subsystems of the plant or system are patched more frequently than others. In general, system subsystems are often in different patch states and are therefore exposed to different security risks.

Um diese Sicherheitslücken zu überwachen, besteht zunächst die Möglichkeit, Außenstehenden keinen Zugang zum System oder zur Anlage, insbesondere zum Netzwerk zu gewähren, was durch verschiedene organisatorische Maßnahmen gewährleistet werden kann. Häufig dürfen beispielsweise zur Wartung des Systems nur Wartungsrechner eingesetzt werden, die vordefinierten Sicherheitsstandards entsprechen, beispielsweise durch einen aktuellen Virenscanner, einen aktuellen Patchzustand der Wartungssoftware oder ähnliche Standards.In order to monitor these vulnerabilities, it is initially possible to give outsiders no access to the system or to the system, in particular to the network, which can be ensured by various organizational measures. Often, for example, only maintenance computers that comply with predefined security standards such as an up-to-date virus scanner, a current patch state of the maintenance software or similar standards may be used to maintain the system.

Systeme oder Anlagen bestehen häufig aus Einzelkomponenten, welche durch Fremdfirmen gewartet und repariert werden. Der Betreiber des Systems hat daher häufig keine wirksame Kontrolle über den Sicherheitszustand der zur Wartung eingesetzten Rechner, welche durch Viren, Würmer oder ähnliche Schadsoftware infiziert sein könnten, oder welche anderen Sicherheitsvorgaben nicht genügen könnten. Der Zugriff derartiger Rechner auf das gesamte Netzwerk einer Systemanlage ist daher häufig nicht erwünscht.Systems or systems often consist of individual components, which are maintained and repaired by external companies. The operator of the system therefore often has no effective control over the security state of the computer used for maintenance, which could be infected by viruses, worms or similar malware, or which could not meet other security requirements. The access of such computers to the entire network of a system installation is therefore often undesirable.

Zusammenfassung der ErfindungSummary of the invention

Eine Idee der vorliegenden Erfindung ist es, einen vorgeschalteten Netzwerkfilter als eine Art Gateway für das Netzwerk einer Systemanlage mit einer Vielzahl von Anlagensubsystemen zu schaffen, mithilfe dessen auch ungeprüfte oder nicht zertifizierte Clients wie beispielsweise Wartungsrechner auf bestimmte Teile des Netzwerks und damit bestimmte Anlagensubsysteme Zugriff erhalten können. Je nach Patchzustand der Anlagensubsysteme und/oder des Clients können sensiblere beziehungsweise unzureichend gepatchte Bereiche des Netzwerks vom Zugriffsrecht durch den Client ausgenommen werden. Dies ermöglicht eine flexible Kontrolle über den Netzwerkzugriff einer Systemanlage auch bei Clients, deren Sicherheitsstatus nicht durch den Systemanlagenbetreiber beeinflusst werden kann.One idea of the present invention is to provide an upstream network filter as a kind of gateway for the network of a system installation with a multiplicity of installation subsystems, by means of which also unchecked or uncertified clients such as maintenance computers can access certain parts of the network and thus certain installation subsystems can. Depending on the patch state of the system subsystems and / or the client, more sensitive or insufficiently patched areas of the network can be excluded from the access right by the client. This allows flexible control over the network access of a system installation, even for clients whose security status can not be influenced by the system operator.

Eine Ausführungsform der vorliegenden Erfindung nach Anspruch 1 besteht daher in einer Netzwerkfiltereinrichtung zum Schutz eines Netzwerks einer Systemanlage mit einer Vielzahl von Anlagensubsystemen, mit einer Schnittstelle, welche dazu ausgelegt ist, einen externen Client mit dem Netzwerk der Systemanlage zu verbinden, einer Vielzahl von Filterkomponenten, und einer Steuereinrichtung, welche dazu ausgelegt ist, in Abhängigkeit von einem Patchzustand der Vielzahl von Anlagensubsystemen eine der Vielzahl von Filterkomponenten auszuwählen und mit der ausgewählten Filterkomponente den Zugriff eines mit der Schnittstelle verbundenen Clients auf das Netzwerk der Systemanlage selektiv einzuschränken.An embodiment of the present invention according to claim 1 is therefore a network filter device for protecting a network of a system installation with a plurality of system subsystems, with an interface which is designed to connect an external client to the network of the system system, a plurality of filter components, and a controller configured to select one of the plurality of filter components in response to a patch condition of the plurality of equipment subsystems and to selectively restrict the access of a client connected to the interface to the network of the system equipment with the selected filter component.

Vorteilhafterweise kann die Netzwerkfiltereinrichtung eine Erfassungseinrichtung umfassen, welche dazu ausgelegt ist, den Patchzustand der Vielzahl von Anlagensubsystemen automatisch selbsttätig zu erfassen oder eine Patchzustandsanfrage an die Vielzahl von Anlagensubsystemen zu richten und eine entsprechende Patchzustandsrückmeldung zu empfangen. Dadurch kann die Netzwerkfiltereinrichtung dynamisch auf verschiedene Systemzustände der Systemanlage reagieren, je nachdem, welche Anlagensubsysteme in der Systemanlage vorhanden sind und ob Anlagensubsysteme einzeln mit aktualisierten Patches versehen worden sind.Advantageously, the network filter means may comprise a detection means adapted to automatically automatically detect the patch state of the plurality of equipment subsystems or to direct a patch state request to the plurality of equipment subsystems and to receive a corresponding patch state feedback. This allows the network filter device to respond dynamically to various system states of the system plant, depending on which plant subsystems are present in the system plant and whether plant subsystems have been individually updated with patches.

Die ermittelten Informationen über den aktuellen Patchzustand der Vielzahl von Anlagensubsystemen können vorteilhafterweise in einer Datenbank gespeichert werden. Dies bietet den Vorteil, verschiedene Konfigurationen auf einfache Weise in einem Inhaltsmanagementsystem bereitzuhalten und verschiedene Filtereinstellungen vorab einstellen zu können.The determined information about the current patch state of the plurality of system subsystems can be advantageously stored in a database. This offers the advantage of being able to easily integrate different configurations a content management system ready and to be able to set various filter settings in advance.

Vorzugsweise kann die Steuereinrichtung weiterhin dazu ausgelegt sein, eine der Vielzahl von Filterkomponenten in Abhängigkeit von einem Patchzustand des Clients auszuwählen. Dies bietet den Vorteil, flexibel auf den Sicherheitszustand eines externen Clients reagieren zu können, und einem ausreichend gepatchten Client mehr Zugriffsrechte einräumen zu können als einem nicht ausreichend gepatchten Client.Preferably, the controller may be further configured to select one of the plurality of filter components in response to a patching condition of the client. This offers the advantage of being able to react flexibly to the security state of an external client, and of granting a sufficiently patched client more access rights than an insufficiently patched client.

Die Netzwerkfiltereinrichtung kann weiterhin eine Erkennungseinrichtung umfassen, welche dazu ausgelegt ist, Netzwerkverkehrsmuster des Clients zu analysieren und den Zugriff des Clients auf das Netzwerk der Systemanlage zu unterbinden, wenn vorbestimmte Netzwerkverkehrsmuster erkannt werden. Damit können bereits bekannte Sicherheitslücken veralteter Patches von Anlagensubsystemen vorab durch das Suchen nach bekannten Angriffsmustern im Netzwerkverkehr durch die Netzwerkfiltereinrichtung geschlossen werden.The network filter means may further comprise a recognizer adapted to analyze client network traffic patterns and to inhibit client access to the system's network when predetermined network traffic patterns are detected. Thus already known vulnerabilities of obsolete patches of plant subsystems can be closed in advance by searching for known attack patterns in the network traffic through the network filtering device.

Vorteilhafterweise kann die Steuereinrichtung weiterhin dazu ausgelegt sein, eine der Vielzahl von Filterkomponenten in Abhängigkeit von einem Betriebszustand der Systemanlage auszuwählen. Dies bietet den Vorteil, den Netzwerkzugriff in kritischen Systemzuständen für bestimmte Anlagensubsysteme flexibel einschränken zu können.Advantageously, the control device can furthermore be designed to select one of the plurality of filter components as a function of an operating state of the system installation. This offers the advantage of being able to flexibly restrict network access in critical system states for specific system subsystems.

Vorzugsweise kann die Schnittstelle eine Wartungsschnittstelle sein, welche dazu ausgelegt ist, einen Wartungsrechner mit dem Netzwerk der Systemanlage zu Wartungszwecken zu verbinden. Dies ist insbesondere für Automatisierungsanlagen, Maschinen oder Fahrzeuge wie Züge vorteilhaft, wo verschiedene Subsysteme verschiedener Hersteller in einem komplexen Steuerungsnetzwerk zusammengeschlossen sind und Wartungsarbeiten gezielt an den verschiedenen Subsystemen über das einheitliche Netzwerk durchgeführt werden müssen.Preferably, the interface may be a maintenance interface which is designed to connect a maintenance computer to the network of the system installation for maintenance purposes. This is particularly advantageous for automation systems, machines or vehicles such as trains, where various subsystems of different manufacturers are combined in a complex control network and maintenance work must be carried out specifically on the various subsystems via the uniform network.

Gemäß einer weiteren Ausführungsform schafft die Erfindung eine Systemanlage nach Anspruch 1 mit einer Vielzahl von Anlagensubsystemen, einem Systemnetzwerk, welches die Vielzahl der Anlagensubsysteme untereinander verbindet, und einer erfindungsgemäßen Netzwerkfiltereinrichtung, welche mit dem Systemnetzwerk verbunden ist.According to a further embodiment, the invention provides a system installation according to claim 1 having a plurality of installation subsystems, a system network interconnecting the plurality of installation subsystems, and a network filter device according to the invention connected to the system network.

Gemäß einer weiteren Ausführungsform schafft die Erfindung ein Verfahren zum Schutz eines Netzwerks einer Systemanlage mit einer Vielzahl von Anlagensubsystemen, mit den Schritten des Ermittelns eines Patchzustands der Vielzahl von Anlagensubsystemen, des Auswählens einer Gruppe einer Vielzahl von Filterkomponenten in Abhängigkeit von dem ermittelten Patchzustand, des Verbindens eines externen Clients mit dem Netzwerk der Systemanlage, und des Filterns des Netzwerkverkehrs des Clients mit der Systemanlage über die ausgewählte Gruppe von Filterkomponenten.According to another embodiment, the invention provides a method of protecting a network of a system plant with a plurality of plant subsystems, comprising the steps of determining a patch state of the plurality of plant subsystems, selecting a group of a plurality of filter components in response to the detected patch state, bonding an external client to the system's network, and filter the client's network traffic with the system attachment through the selected set of filter components.

Vorzugsweise kann das Verfahren weiterhin die Schritte des Ermittelns eines Patchzustands des externen Clients, und des Auswählens der Gruppe einer Vielzahl von Filterkomponenten in Abhängigkeit von dem ermittelten Patchzustand des Clients umfassen, wobei das Ermitteln des Patchzustands das automatische Scannen der Vielzahl von Anlagensubsystemen und/oder des externen Clients umfassen kann. Dadurch kann dynamisch auf verschiedene Systemzustände der Systemanlage reagiert werden, je nachdem, welche Anlagensubsysteme in der Systemanlage vorhanden sind und ob Anlagensubsysteme einzeln mit aktualisierten Patches versehen worden sind.Preferably, the method may further comprise the steps of determining a patch state of the external client, and selecting the set of a plurality of filter components in response to the determined patch state of the client, wherein determining the patch state comprises automatically scanning the plurality of plant subsystems and / or the External clients may include. Thereby, it is possible to react dynamically to different system states of the system installation, depending on which system subsystems are present in the system system and whether system subsystems have been individually provided with updated patches.

Weitere Modifikationen und Variationen ergeben sich aus den Merkmalen der abhängigen Ansprüche.Further modifications and variations will be apparent from the features of the dependent claims.

Kurze Beschreibung der FigurenBrief description of the figures

Verschiedene Ausführungsformen und Ausgestaltungen der vorliegenden Erfindung werden nun in Bezug auf die beiliegenden Zeichnungen genauer beschrieben, in denenVarious embodiments and embodiments of the present invention will now be described in more detail with reference to the accompanying drawings, in which: FIG

1 eine schematische Darstellung eines Eisenbahnwaggons mit einer Netzwerkfiltereinrichtung zum Schutz eines Netzwerks des Eisenbahnwaggons gemäß einer Ausführungsform der Erfindung; 1 a schematic representation of a railway car with a network filter device for protecting a network of railway wagons according to an embodiment of the invention;

2 eine schematische Darstellung einer Automatisierungsanlage mit einer Netzwerkfiltereinrichtung zum Schutz eines Netzwerks der Automatisierungsanlage gemäß einer weiteren Ausführungsform der Erfindung; 2 a schematic representation of an automation system with a network filter device for protecting a network of the automation system according to another embodiment of the invention;

3a eine schematische Darstellung einer Netzwerkumgebung einer Netzwerkfiltereinrichtung zum Schutz eines Netzwerks einer Systemanlage gemäß einer weiteren Ausführungsform der Erfindung; 3a a schematic representation of a network environment of a network filtering device for protecting a network of a system installation according to another embodiment of the invention;

3b eine schematische Darstellung einer Netzwerkumgebung einer Netzwerkfiltereinrichtung zum Schutz eines Netzwerks einer Systemanlage gemäß einer weiteren Ausführungsform der Erfindung; 3b a schematic representation of a network environment of a network filtering device for protecting a network of a System installation according to a further embodiment of the invention;

3c eine schematische Darstellung einer Netzwerkumgebung einer Netzwerkfiltereinrichtung zum Schutz eines Netzwerks einer Systemanlage gemäß einer weiteren Ausführungsform der Erfindung; und 3c a schematic representation of a network environment of a network filtering device for protecting a network of a system installation according to another embodiment of the invention; and

4 eine schematische Darstellung eines Verfahrens zum Schutz eines Netzwerks einer Systemanlage gemäß einer weiteren Ausführungsform der Erfindung zeigt. 4 a schematic representation of a method for protecting a network of a system installation according to another embodiment of the invention shows.

Die beschriebenen Ausgestaltungen und Weiterbildungen lassen sich, sofern sinnvoll, beliebig miteinander kombinieren. Weitere mögliche Ausgestaltungen, Weiterbildungen und Implementierungen der Erfindung umfassen auch nicht explizit genannte Kombinationen von zuvor oder im Folgenden bezüglich der Ausführungsbeispiele beschriebenen Merkmale der Erfindung.The described embodiments and developments can, if appropriate, combine with one another as desired. Further possible refinements, developments and implementations of the invention also include combinations, not explicitly mentioned, of features of the invention described above or below with regard to the exemplary embodiments.

Die beiliegenden Zeichnungen sollen ein weiteres Verständnis der Ausführungsformen der Erfindung vermitteln. Sie veranschaulichen Ausführungsformen und dienen im Zusammenhang mit der Beschreibung der Erklärung von Prinzipien und Konzepten der Erfindung. Andere Ausführungsformen und viele der genannten Vorteile ergeben sich im Hinblick auf die Zeichnungen. Die Elemente der Zeichnungen sind nicht notwendigerweise maßstabsgetreu zueinander gezeigt. Gleiche Bezugszeichen bezeichnen dabei gleiche oder ähnlich wirkende Komponenten.The accompanying drawings are intended to provide further understanding of the embodiments of the invention. They illustrate embodiments and, together with the description, serve to explain principles and concepts of the invention. Other embodiments and many of the stated advantages will become apparent with reference to the drawings. The elements of the drawings are not necessarily shown to scale to each other. The same reference numerals designate the same or similar components.

Ausführliche Beschreibung der ErfindungDetailed description of the invention

Systemanlagen im Sinne der vorliegenden Erfindung können alle Anlagen, Maschinen oder komplexen Zusammenstellungen von Systemkomponenten umfassen, welche über eine Vielzahl von Anlagensubsystemen verfügen, die über ein gemeinsames Netzwerk, beispielsweise ein Steuerungsnetzwerk, ein Ethernetnetzwerk, ein Internetprotokollnetzwerk oder ähnliches, untereinander verbunden sind. Die Anlagensubsysteme können dabei Komponenten umfassen, die unabhängig voneinander mit subsystemspezifischer Software ausgestattet sind, welche unabhängig von den übrigen Komponenten gepatcht werden kann. Derartige Systemanlagen umfassen beispielsweise Fahrzeuge wie Züge, Eisenbahnwaggons, Personenkraftwagen oder Lastkraftwagen, Maschinen, Fertigungsanlagen, Automatisierungsanlagen wie Prozessautomatisierungsanlagen, Fertigungsautomatisierungsanlagen, Gebäudeautomatisierungssysteme oder Energieautomatisierungssysteme und medizinische Apparate wie Röntgenapparate, Computertomographen, Kernspintomographen, Magnetresonanztomographen oder Ultraschallsensorsysteme. Es sollte klar sein, dass auch andere ähnliche Systeme mit Netzwerken Systemanlagen im Sinne dieser Beschreibung darstellen können.System installations in the sense of the present invention can comprise all installations, machines or complex assemblies of system components which have a plurality of installation subsystems which are interconnected via a common network, for example a control network, an Ethernet network, an internet protocol network or the like. The plant subsystems may include components that are independently equipped with subsystem-specific software that can be patched independently of the other components. Such systems include, for example, vehicles such as trains, railway cars, cars or trucks, machinery, manufacturing equipment, automation equipment such as process automation equipment, factory automation equipment, building automation systems or energy automation systems and medical devices such as X-ray machines, computed tomography, magnetic resonance imaging, magnetic resonance imaging or ultrasonic sensor systems. It should be clear that other similar systems with networks can also be system systems in the sense of this description.

Netzwerke im Sinne der vorliegenden Erfindung umfassen alle Arten von Kommunikationssystemen, welche einen Nachrichtentransfer zwischen mehreren Endstellen vermitteln können. Dabei können die Netzwerke beispielsweise über Internet, Ethernet, UMTS, WiMAX, LTE oder ähnliche Infrastruktur verfügen.Networks within the meaning of the present invention include all types of communication systems that can mediate message transfer between multiple terminals. For example, the networks may have Internet, Ethernet, UMTS, WiMAX, LTE or similar infrastructure.

1 zeigt eine schematische Darstellung eines Eisenbahnwaggons 10 mit einer Netzwerkfiltereinrichtung zum Schutz eines Netzwerks des Eisenbahnwaggons 10. Der Eisenbahnwaggon 10 umfasst eine Vielzahl von Steuergeräten 17a, 17b, 17c als Anlagensubsysteme eines Netzwerks 11 des Eisenbahnwaggons 10. Das Netzwerk 11 verbindet die Steuergeräte 17a, 17b, 17c untereinander, beispielsweise über eine gemeinsame Busleitung. Das Steuergerät 17a kann dabei beispielsweise ein Zugsteuersystem, das Steuergerät 17b ein Bremssteuersystem und das Steuergerät 17c ein Passagierinformationssystem sein. Es ist jedoch auch möglich, dass weitere Anlagensubsysteme über das Netzwerk 11 in dem Eisenbahnwaggon 10 untereinander verbunden sind. 1 shows a schematic representation of a railway car 10 with a network filter device for protecting a network of railway wagons 10 , The railroad car 10 includes a variety of control devices 17a . 17b . 17c as plant subsystems of a network 11 of the railway carriage 10 , The network 11 connects the control units 17a . 17b . 17c with each other, for example via a common bus line. The control unit 17a can, for example, a train control system, the control unit 17b a brake control system and the controller 17c to be a passenger information system. However, it is also possible that other plant subsystems over the network 11 in the railroad car 10 are interconnected.

Das Netzwerk 11 kann auch über Gateways 18 verfügen, über welche weitere Eisenbahnwaggons mit ähnlichen Netzwerken an das Netzwerk 11 des Eisenbahnwaggons 10 angeschlossen werden können.The network 11 can also be via gateways 18 dispose of which other railroad cars with similar networks to the network 11 of the railway carriage 10 can be connected.

Das Netzwerk 11 verfügt über eine Netzwerkfiltereinrichtung 1, die sich hinter einer verschließbaren Wartungsklappe 19 befinden kann. Über einen Anschluss kann an der Netzwerkfiltereinrichtung 1 ein Client 2 angeschlossen werden. Dabei wird eine Verbindung 3 zwischen dem Client 2 und der Netzwerkfiltereinrichtung 1 aufgebaut. Beispielsweise kann die Verbindung 3 über ein LAN-Kabel aufgebaut werden, so dass eine Ethernet-Verbindung des Clients 2 zu dem Netzwerk 11 bereitgestellt werden kann. Die Wartungsklappe 19 dient dabei der physikalischen Sicherung der Netzwerkfiltereinrichtung 1, so dass nur Berechtigte auf die Netzwerkfiltereinrichtung 1 zugreifen können.The network 11 has a network filter device 1 behind a lockable maintenance cover 19 can be located. A connection can be made to the network filter device 1 a client 2 be connected. This will be a connection 3 between the client 2 and the network filter device 1 built up. For example, the connection 3 be set up via a LAN cable, allowing an Ethernet connection of the client 2 to the network 11 can be provided. The maintenance cover 19 serves the physical security of the network filter device 1 , leaving only authorized users on the network filtering device 1 can access.

Weiterhin kann eine Fernzugriffseinrichtung 12 (Remote Data Access, RDA) an das Netzwerk 11 angeschlossen sein. Über die Fernzugriffseinrichtung 12 kann beispielsweise ein Fernzugriff über eine Fernzugriffsstation 14, beispielsweise eine UMTS-Station, eine WiMAX-Station, eine LTE-Station oder eine ähnliche Station, über die Antenne 13 erfolgen. Es kann beispielsweise vorgesehen sein, dass sich ein Client 2 über die Fernzugriffsstation 14 mithilfe einer virtuellen privaten Netzwerkverbindung (VPN) über die Fernzugriffseinrichtung 12 mit dem Netzwerk 11 des Eisenbahnwaggons 10 verbinden kann.Furthermore, a remote access device 12 (Remote Data Access, RDA) to the network 11 be connected. About the remote access device 12 For example, a remote access via a remote access station 14 For example, a UMTS station, a WiMAX station, an LTE station, or a similar station via the antenna 13 respectively. It can for example be provided that a client 2 via the remote access station 14 using a virtual private network (VPN) connection through the remote access device 12 with the network 11 of the railway carriage 10 can connect.

Weiterhin kann in dem Netzwerk 11 auch ein WLAN-Zugriffspunkt 15 vorhanden sein, über welchem mithilfe einer WLAN-Antenne 16 ein lokaler drahtloser Zugriff eines Clients 2 auf das Netzwerk 11 des Eisenbahnwaggons 10 möglich gemacht wird.Furthermore, in the network 11 also a WiFi access point 15 be present over which using a wireless antenna 16 a local one wireless access of a client 2 on the network 11 of the railway carriage 10 made possible.

Unabhängig davon, ob ein Client 2 über die Netzwerkfiltereinrichtung 1, die Fernzugriffseinrichtung 12 oder den WLAN-Zugriffspunkt 15 Zugang zu dem Netzwerk 11 erhalten möchte, kann es in jedem Fall vorgesehen sein, dass entsprechende Authentifizierungsmaßnahmen durch die Netzwerkfiltereinrichtung 1, die Fernzugriffseinrichtung 12 und/oder den WLAN-Zugriffspunkt 15 vorgenommen werden. Es kann dabei vorgesehen sein, dass durch die Netzwerkfiltereinrichtung 1, die Fernzugriffseinrichtung 12 oder den WLAN-Zugriffspunkt 15 eine Konfiguration des Clients 2 überprüft wird, bevor dem Client 2 ein Zugang zu dem Netzwerk 11 gewährt wird, beispielsweise über eine Netzwerkzugangskontrolle (Network Access Control), eine Netzwerkendstellenanalyse (Network Endpoint Assessment) oder eine ”Trusted Platform”-Verbindung über ein ”Trusted Platform”-Modul (TPM). Dabei kann die Überprüfung durch Software auf dem Client 2 selbst erfolgen, oder es wird auf Seiten des Netzwerks 11 der Netzwerkverkehr beobachtet und analysiert.Regardless of whether a client 2 via the network filter device 1 , the remote access device 12 or the wireless access point 15 Access to the network 11 In any case, it may be provided that corresponding authentication measures by the network filtering device 1 , the remote access device 12 and / or the wireless access point 15 be made. It may be provided that by the network filter device 1 , the remote access device 12 or the wireless access point 15 a configuration of the client 2 is checked before the client 2 an access to the network 11 such as Network Access Control, Network Endpoint Assessment, or Trusted Platform through a Trusted Platform Module (TPM). It can do the verification by software on the client 2 yourself, or it will be on the part of the network 11 Network traffic is monitored and analyzed.

Clients 2, welche sich mit dem Netzwerk 11 verbinden möchten, unterliegen nicht immer der Kontrolle des Netzwerkbetreibers, beispielsweise dem Betreiber des Netzwerks 11 des Eisenbahnwaggons 10. Um einerseits alle notwendigen Sicherheitsmaßnahmen zur Sicherung der Steuergeräte 17a, 17b, 17c gewährleisten, andererseits aber Clients 2 wie beispielsweise Wartungsrechnern von Fremdfirmen Zugriff auf einzelne Systemkomponenten 17a, 17b, 17c gewähren zu können, ist es vorgesehen, die Netzwerkfiltereinrichtung 1 mit entsprechenden Filterkomponenten auszustatten, um je nach Patchzustand der Anlagensubsysteme 17a, 17b, 17c und/oder Patchzustand des Clients 2 gezielt Bereiche des Netzwerks 11 vom Zugriff durch den Client 2 ausnehmen zu können. Beispielsweise kann es vorgesehen sein, dass Wartungspersonal für das Passagierunterhaltungssystem 17c mit einem Wartungsrechner 2 Wartungsarbeiten an dem Passagierunterhaltungssystem 17c über das Netzwerk 11 vornehmen kann, gleichzeitig aber an einem Zugriff auf das sicherheitskritischere Bremsensteuersystem 17b gehindert wird. In der Netzwerkfiltereinrichtung 1 können dazu Filterkomponenten ausgewählt werden, welche Netzwerkverkehr über das Netzwerk 11 zwischen einem Wartungsrechner 2 und dem Passagierunterhaltungssystem 17c zulassen, Netzwerkverkehr zwischen dem Wartungsrechner 2 und dem Bremsensteuersystem 17b jedoch abblocken.clients 2 , which deals with the network 11 are not always under the control of the network operator, such as the operator of the network 11 of the railway carriage 10 , On the one hand, all necessary safety measures to secure the control units 17a . 17b . 17c but on the other hand clients 2 such as maintenance computers of external companies access to individual system components 17a . 17b . 17c To be able to grant, it is provided, the network filtering device 1 equipped with appropriate filter components, depending on the patch condition of the system subsystems 17a . 17b . 17c and / or patch state of the client 2 targeted areas of the network 11 from access by the client 2 to be able to exclude. For example, it may be provided that maintenance personnel for the passenger entertainment system 17c with a maintenance computer 2 Maintenance work on the passenger entertainment system 17c over the network 11 but at the same time to access the safety-critical brake control system 17b is prevented. In the network filter device 1 For this, filter components can be selected, which allow network traffic over the network 11 between a maintenance computer 2 and the passenger entertainment system 17c allow network traffic between the maintenance computer 2 and the brake control system 17b however, block off.

Eine der Funktionalität der Netzwerkfiltereinrichtung 1 entsprechende Funktionalität mit entsprechenden Komponenten kann dabei auch in der Fernzugriffseinrichtung 12 und/oder dem WLAN-Zugriffspunkt 15 vorgesehen sein.One of the functionality of the network filtering device 1 corresponding functionality with corresponding components can also be found in the remote access device 12 and / or the wireless access point 15 be provided.

2 zeigt eine schematische Darstellung einer Automatisierungsanlage 20 mit einer Netzwerkfiltereinrichtung 1 zum Schutz eines Netzwerks der Automatisierungsanlage 20. Die Automatisierungsanlage 20 umfasst mehrere Subsysteme 24a, 24b, welche über ein gemeinsames Netzwerk 23 miteinander verbunden sind. Jedes der Subsysteme 24a, 24b kann dabei ein eigenes Subsystemnetzwerk 26a, 26b umfassen, welches jeweils über ein Sicherheitsmodul 25a, 25b mit dem übergeordneten Systemanlagennetzwerk 23 verbunden ist. Die Subsysteme 24a, 24b können dabei ihrerseits Subsubsysteme 27a, 28a, 29a bzw. 27b, 28b umfassen, die über die jeweiligen Subsystemnetzwerke 26a, 26b untereinander verbunden sind. 2 shows a schematic representation of an automation system 20 with a network filter device 1 to protect a network of the automation system 20 , The automation system 20 includes several subsystems 24a . 24b , which have a common network 23 connected to each other. Each of the subsystems 24a . 24b can have its own subsystem network 26a . 26b each comprising a security module 25a . 25b with the higher-level system network 23 connected is. The subsystems 24a . 24b can in turn subsubsystems 27a . 28a . 29a respectively. 27b . 28b include, over the respective subsystem networks 26a . 26b are interconnected.

Über eine Firewall 22 kann das Systemanlagennetzwerk 23 mit einem Büronetzwerk 21 mit Büro- und/oder Steuerrechnern 21a verbunden sein. Die Firewall 22 gewährleistet dabei den Schutz der Kommunikation zwischen Systemanlagennetzwerk 23 und Büronetzwerk 21.Over a firewall 22 can the system network 23 with an office network 21 with office and / or control computers 21a be connected. The firewall 22 ensures the protection of communication between the system network 23 and office network 21 ,

Die Subsysteme 24a, 24b können beispielsweise Fertigungszellen einer Fertigungsautomatisierungsanlage 20 darstellen. Beispielsweise kann das Subsystem 24a als Subsubsystem 27a einen Roboterarm, und das Subsystem 24b als Subsubsystem 27b einen Schweißautomat umfassen. Es ist selbstverständlich möglich, dass die Fertigungsautomatisierungsanlage 20 mehr als zwei Subsysteme mit entsprechendem Netzwerkzugang aufweisen kann.The subsystems 24a . 24b For example, manufacturing cells of a factory automation system 20 represent. For example, the subsystem 24a as subsubsystem 27a a robotic arm, and the subsystem 24b as subsubsystem 27b include a welding machine. It is of course possible that the factory automation system 20 can have more than two subsystems with appropriate network access.

Jedes der Subsysteme 24a, 24b umfasst eine Netzwerkfiltereinrichtung 1 mit einer Schnittstelle 4, über welche ein Client 2a, 2b über eine Datenverbindung 3 Zugriff zu den Subsystemnetzwerken 26a bzw. 26b und damit zu dem Systemanlagennetzwerk 23 erhalten kann. Beispielsweise kann die Datenverbindung 3 eine lokale Datenverbindung wie beispielsweise einen LAN-Zugang oder eine Fernzugriffsverbindung wie beispielsweise eine VPN-Verbindung umfassen. Die Datenverbindung 3 kann dabei prinzipiell wie im Zusammenhang mit 1 erläutert aufgebaut werden. Der Client 2a kann beispielsweise einen Wartungs-Laptop und der Client 2b beispielsweise einen Diagnose-PDA umfassen. Es ist jedoch selbstverständlich möglich, dass andere Clients 2a, 2b ähnlich dem Client 2 in 1 auf die Fertigungsautomatisierungsanlage 20 über die Netzwerkfiltereinrichtung 1 zugreifen können.Each of the subsystems 24a . 24b includes a network filter device 1 with an interface 4 about which a client 2a . 2 B via a data connection 3 Access to subsystem networks 26a respectively. 26b and thus to the system network 23 can receive. For example, the data connection 3 a local data connection such as a LAN access or a remote access connection such as a VPN connection. The data connection 3 can in principle as in connection with 1 be explained explained. The client 2a For example, a maintenance laptop and the client 2 B For example, include a diagnostic PDA. However, it is of course possible that other clients 2a . 2 B similar to the client 2 in 1 on the factory automation system 20 via the network filter device 1 can access.

Im Folgenden wird anhand dreier Ausführungsbeispiele erläutert, wie die Netzwerkfiltereinrichtung 1 in den 1 und 2 aufgebaut sein kann. Dabei können die gezeigten Systemanlagen und Systemnetzwerke den Systemanlagen und Systemnetzwerken der 1 und 2 entsprechen.The following explains how the network filter device is based on three exemplary embodiments 1 in the 1 and 2 can be constructed. The system systems and system networks shown can be used for system systems and system networks 1 and 2 correspond.

3a zeigt eine schematische Darstellung einer Netzwerkumgebung einer Netzwerkfiltereinrichtung 1 zum Schutz eines Netzwerks 6 einer Systemanlage 5 gemäß eines Ausführungsbeispiels. Die Netzwerkfiltereinrichtung 1 weist eine Schnittstelle 4 auf, über die ein Client 2 über eine Datenverbindung 3 mit dem Netzwerk 6 einer Systemanlage 5 verbunden ist. Die Datenverbindung 3 kann dabei eine lokale, physikalische Verbindung sein, wie beispielsweise eine LAN-Verbindung. Der Client 2 kann beispielsweise ein Wartungsrechner, ein Laptop, ein PDA, ein PC oder eine ähnliche Recheneinrichtung sein. Die Schnittstelle 4 kann über einen physikalischen Anschluss verfügen, an dem die Datenverbindung 3 an der Netwerkfiltereinrichtung 1 angeschlossen ist. 3a shows a schematic representation of a network environment of a network filter device 1 to protect a network 6 a system installation 5 according to an embodiment. The network filter device 1 has an interface 4 on, over which a client 2 via a data connection 3 with the network 6 a system installation 5 connected is. The data connection 3 may be a local, physical connection, such as a LAN connection. The client 2 may be, for example, a maintenance computer, a laptop, a PDA, a PC or similar computing device. the interface 4 may have a physical port to which the data connection 3 at the network filter device 1 connected.

Das Netzwerk 6 kann über einen Netzwerkbus verfügen, über den mehrere Anlagensubsysteme 5a, 5b, 5c der Systemanlage 5 untereinander verbunden sind. Die Anzahl der Anlagensubsysteme 5a, 5b, 5c ist in den 3a bis 3c beispielhaft mit drei angegeben, es ist jedoch jede andere Anzahl von Anlagensubsystemen ebenso möglich. Es ist weiterhin möglich, dass jedes oder einige der Anlagensubsysteme 5a, 5b, 5c über weitere Subsubsysteme mit einem entsprechenden Subsystemnetzwerk verfügen.The network 6 can have a network bus over which several plant subsystems 5a . 5b . 5c the system installation 5 are interconnected. The number of plant subsystems 5a . 5b . 5c is in the 3a to 3c exemplified by three, but any other number of plant subsystems is equally possible. It is also possible that any or some of the plant subsystems 5a . 5b . 5c have additional sub-subsystems with a corresponding subsystem network.

Die Anlagensubsysteme 5a, 5b, 5c verfügen über eigene Softwareumgebungen, die beispielsweise je nach Hersteller und/oder Funktion der Anlagensubsysteme 5a, 5b, 5c unterschiedliche Patchzustände aufweisen können. So ist es beispielsweise möglich, dass das Anlagensubsystem 5a einen neueren Patchzustand aufweist als das Anlagensubsystem 5b, wodurch bei dem Anlagensubsystem 5a eine bekannte Sicherheitslücke bereits geschlossen ist, während sie bei dem Anlagensubsystem 5b noch nicht behoben ist.The plant subsystems 5a . 5b . 5c have their own software environments, for example, depending on the manufacturer and / or function of the system subsystems 5a . 5b . 5c may have different patch states. For example, it is possible that the plant subsystem 5a a newer patch state than the plant subsystem 5b , resulting in the plant subsystem 5a a known vulnerability is already closed while they are in the plant subsystem 5b not yet resolved.

Clients 2, welche über die Datenverbindung 3 auf das Netzwerk 6 der Systemanlage 5 zugreifen können, können zunächst prinzipiell auf alle Anlagensubsysteme 5a, 5b, 5c zugreifen. Im obigen Beispiel kann es daher vorgesehen sein, dass ein Client 2, welcher nicht alle aktuellen Sicherheitsstandards erfüllt und welcher potentiell mit Schadsoftware infiziert sein kann, zwar für das Anlagensubsystem 5a keine Gefahr darstellt, für das Anlagensubsystem 5b, bei welchem nach wie vor eine bekannte Sicherheitslücke vorhanden ist, potentiell gefährlich ist. Um den Client 2 aus Sicherheitsgründen nun nicht vollständig vom Netzwerkzugriff auf das Netzwerk 6 sperren zu müssen, verfügt die Netzwerkfiltereinrichtung 1 über eine Vielzahl von Filterkomponenten, welche je nach Patchzustand der Anlagensubsysteme 5a, 5b, 5c den Zugriff des Clients 2 auf das Netzwerk 6 teilweise unterbinden. Im obigen Beispiel kann es daher vorgesehen sein, dass der Client 2 als ungefährlich für das Anlagensubsystem 5a eingestuft wird und vollen Zugriff auf jenes erhält, vom Zugriff auf das Anlagensubsystem 5b, für welches er eine potentielle Gefahr darstellt, ausgeschlossen wird.clients 2 which via the data connection 3 on the network 6 the system installation 5 can initially access all plant subsystems 5a . 5b . 5c access. In the above example, it may therefore be provided that a client 2 which does not meet all current security standards and which may potentially be infected with malware, for the system subsystem 5a represents no danger to the plant subsystem 5b , which still has a known vulnerability, is potentially dangerous. To the client 2 For security reasons, not completely out of network access to the network 6 to lock, the network filtering device has 1 via a large number of filter components, which depend on the patch condition of the system subsystems 5a . 5b . 5c the access of the client 2 on the network 6 partially stop. In the above example, it may therefore be provided that the client 2 as safe for the system subsystem 5a and get full access to that, from accessing the plant subsystem 5b for which he represents a potential danger is excluded.

Zu diesem Zweck ermittelt die Netzwerkfiltereinrichtung 1 zunächst die Patchzustände der Anlagensubsysteme 5a, 5b, 5c und wählt auf der Basis der ermittelten Patchzustände eine oder eine Gruppe von Filterkomponenten aus, welche die Netzwerkfiltereinrichtung 1 auf den Netzwerkverkehr eines Clients 2 mit dem Netzwerk 6 anwendet. Die Netzwerkfiltereinrichtung 1 kann dazu die Anlagensubsysteme 5a, 5b, 5c in periodischen Abständen, bei Systemstart oder bei einer Zugriffsanfrage eines externen Clients 2 selbsttätig und automatisch auf ihre Patchzustände hin scannen. Es kann auch vorgesehen sein, dass die Netzwerkfiltereinrichtung 1 eine Patchzustandsanfrage an jedes der Anlagensubsysteme 5a, 5b, 5c richtet und entsprechende Antwortmitteilungen von den Anlagensubsystemen 5a, 5b, 5c an die Netzwerkfiltereinrichtung 1 übermittelt werden. Ferner kann vorgesehen sein, bei Softwareupdates und Patchvorgängen der Anlagensubsysteme 5a, 5b, 5c die Netzwerkfiltereinrichtung 1 neu zu konfigurieren.For this purpose, the network filter device determines 1 first the patch states of the system subsystems 5a . 5b . 5c and selects one or a group of filter components that the network filter means based on the detected patch conditions 1 on the network traffic of a client 2 with the network 6 applies. The network filter device 1 can do this with the system subsystems 5a . 5b . 5c at periodic intervals, at system startup, or at an external client access request 2 Automatically and automatically scan for their patch conditions. It can also be provided that the network filter device 1 a patch state request to each of the plant subsystems 5a . 5b . 5c directed and corresponding response messages from the plant subsystems 5a . 5b . 5c to the network filter device 1 be transmitted. Furthermore, it can be provided for software updates and patching of the system subsystems 5a . 5b . 5c the network filter device 1 reconfigure.

Die Auswahl der Filterkomponenten kann auch in Abhängigkeit des Betriebszustands der Systemanlage 5 und/oder einzelner Anlagensubsysteme 5a, 5b, 5c erfolgen. Beispielsweise kann während des Betriebs der Systemanlage 5 der Zugriff auf ein Anlagensubsystem 5a, 5b, 5c restriktiver gehandhabt werden als während einer Betriebspause der Systemanlage 5. Beispielsweise kann in einem Eisenbahnwaggon 10, wie in 1 gezeigt, während der Fahrt des Eisenbahnwaggons 10 der Netzwerkzugriff auf ein Bremsensteuersystem 17b aus Sicherheitsgründen komplett unterbunden werden, um die Gefahr von Fehlfunktionen und Fehleinstellungen zu minimieren.The selection of the filter components can also be dependent on the operating state of the system installation 5 and / or individual plant subsystems 5a . 5b . 5c respectively. For example, during system operation 5 Access to a plant subsystem 5a . 5b . 5c be handled more restrictively than during a break in operation of the system installation 5 , For example, in a railroad car 10 , as in 1 shown while driving the railroad car 10 the network access to a brake control system 17b For safety reasons, they are completely prevented in order to minimize the risk of malfunctions and incorrect settings.

Es kann auch vorgesehen sein, die Auswahl der Filterkomponenten in Abhängigkeit von dem Patchzustand und/oder den Softwarekomponenten auf dem Client 2 zu treffen. Beispielsweise kann die Netzwerkfiltereinrichtung 1 einen an den Anschluss 4 angeschlossenen Client 2 vor Gewährung eines Zugriffs auf das Netzwerk 6 auf vorhandene Software und/oder Patches überprüfen und gemäß des ermittelten Sicherheitsstandards in eine Sicherheitskategorie einstufen. Clients 2 mit aktualisierter Software und sichereren Patchzuständen kann in diesem Fall erweiterter Zugriff auf das Netzwerk 6 der Systemanlage 5 durch Auswahl entsprechender Filterkomponenten in der Netzwerkfiltereinrichtung 1 eingeräumt werden.It can also be provided, the selection of the filter components depending on the patch state and / or the software components on the client 2 hold true. For example, the network filter device 1 one to the connection 4 connected client 2 before granting access to the network 6 Check for existing software and / or patches and classify them in a security category according to the safety standard determined. clients 2 with updated software and safer patch states, extended access to the network can be provided in this case 6 the system installation 5 by selecting corresponding filter components in the network filter device 1 be granted.

Überdies kann auch vorgesehen sein, während des Zugriffs eines Clients 2 auf das Netzwerk 6 eine Mustererkennung des Netzwerkverkehrs des Clients 2 mit dem Netzwerk 6 in der Netzwerkfiltereinrichtung 1 durchzuführen. In einem solchen Eingriffserkennungssystem (Intrusion Detection System, IDS) können bestimmte Netzwerkverkehrsmuster voreingestellt sein, welche zu bekannten Angriffsmustern auf bekannte Sicherheitslücken der Anlagensubsysteme 5a, 5b, 5c zugeordnet sind. Sollte während des Zugriffs des Clients 2 auf das Netzwerk 6 durch die Netzwerkfiltereinrichtung 1 ein derartiges Netzwerkverkehrsmuster erfasst werden, kann der Netzwerkverkehr des Clients 2 gesperrt werden.Moreover, it can also be provided during the access of a client 2 on the network 6 a pattern recognition of the network traffic of the clients 2 with the network 6 in the network filter device 1 perform. In such Intrusion Detection System (IDS), certain network traffic patterns may be preset which correspond to known attack patterns on known subsystem security vulnerabilities 5a . 5b . 5c assigned. Should be during the access of the client 2 on the network 6 through the network filter device 1 Such a network traffic pattern can be detected, the network traffic of the client 2 be locked.

In der Netzwerkfiltereinrichtung 1 kann ein Datenbanksystem vorgesehen sein, in welchem Konfigurationsdaten der Systemanlage 5, Patchzustandsinformationen der Anlagensubsysteme 5a, 5b, 5c sowie Filterkomponenten und Voreinstellungen abgelegt sein können.In the network filter device 1 a database system can be provided, in which configuration data of the system installation 5 , Patch state information of the plant subsystems 5a . 5b . 5c and filter components and presets can be stored.

3b zeigt eine schematische Darstellung einer Netzwerkumgebung einer Netzwerkfiltereinrichtung 1 zum Schutz eines Netzwerks 6 einer Systemanlage 5 gemäß eines weiteren Ausführungsbeispiels. Die Netzwerkfiltereinrichtung 1 in 3b unterscheidet sich von der Netzwerkfiltereinrichtung 1 in 3a darin, dass ein Client 2 über eine drahtlose Verbindung 3 mit der Schnittstelle 4 der Netzwerkfiltereinrichtung 1 verbunden ist. Die Verbindung 3 kann dabei eine Infrarotverbindung, eine WLAN-Verbindung, eine Bluetoothverbindung, eine WiMAX-Verbindung oder eine ähnliche drahtlose Datenverbindung sein. Insbesondere kann es vorgesehen sein, dass die Datenverbindung 3 eine virtuelle private Netzwerkverbindung (VPN) umfasst. Die Datenverbindung 3 führt dabei über ein entsprechendes Netzwerk 3a, wie beispielsweise das Internet, UMTS, WiMAX, WLAN oder ein ähnliches Netzwerk. 3b shows a schematic representation of a network environment of a network filter device 1 to protect a network 6 a system installation 5 according to another embodiment. The network filter device 1 in 3b is different from the network filter device 1 in 3a in that a client 2 over a wireless connection 3 with the interface 4 the network filter device 1 connected is. The connection 3 This can be an infrared connection, a WLAN connection, a Bluetooth connection, a WiMAX connection or a similar wireless data connection. In particular, it may be provided that the data connection 3 a virtual private network (VPN) connection. The data connection 3 leads thereby over a suitable network 3a such as the Internet, UMTS, WiMAX, WLAN or a similar network.

3c zeigt eine schematische Darstellung einer Netzwerkumgebung einer Netzwerkfiltereinrichtung 1 zum Schutz eines Netzwerks 6 einer Systemanlage 5 gemäß eines weiteren Ausführungsbeispiels. Die Netzwerkfiltereinrichtung 1 in 3c unterscheidet sich von der Netzwerkfiltereinrichtung 1 in 3b darin, dass ein Client 2 über eine drahtlose Verbindung 3 nicht direkt mit der Schnittstelle 4 der Netzwerkfiltereinrichtung 1 verbunden ist, sondern über einen Fernzugangsserver 3b. Der Fernzugangsserver 3b kann dabei beispielsweise ein proprietärer Remote Service Server eines Betreibers der Systemanlage 5 sein, wie beispielsweise eine Common Remote Service Platform von Siemens. Hierbei kann es sich um einen von dem Betreiber gehosteten IT-Dienst handeln, welcher entsprechend Berechtigten wie Mitarbeitern des Betreibers oder von Geschäftspartnern einen Fernzugriff auf die Systemanlage 5 gewähren kann. In diesem Fall kann eine entsprechende Funktionalität der Netzwerkfiltereinrichtung 1 auch auf dem Fernzugangsserver 3b realisiert werden, sofern die Datenverbindung 3 zwischen dem Fernzugangsserver 3b und der Schnittstelle 4 der Netzwerkfiltereinrichtung 1 ausreichend gesichert ist. Dadurch kann an zentraler Stelle ein Ausnutzen von Sicherheitslücken einer zu wartenden Systemanlage 5 durch externe Clients 2 unterbunden werden, unabhängig vom Patchzustand des externen Clients 2. 3c shows a schematic representation of a network environment of a network filter device 1 to protect a network 6 a system installation 5 according to another embodiment. The network filter device 1 in 3c is different from the network filter device 1 in 3b in that a client 2 over a wireless connection 3 not directly with the interface 4 the network filter device 1 but via a remote access server 3b , The remote access server 3b can for example be a proprietary remote service server of an operator of the system 5 such as a Common Remote Service Platform from Siemens. This may be an IT service hosted by the operator, which, according to authorized persons such as employees of the operator or of business partners, has remote access to the system installation 5 grant. In this case, a corresponding functionality of the network filter device 1 also on the remote access server 3b be realized, provided the data connection 3 between the remote access server 3b and the interface 4 the network filter device 1 is sufficiently secured. As a result, exploitation of security gaps in a system system to be serviced can take place at a central location 5 through external clients 2 regardless of the patch state of the external client 2 ,

4 zeigt eine schematische Darstellung eines Verfahrens 40 zum Schutz eines Netzwerks einer Systemanlage gemäß eines Ausführungsbeispiels. Zu Beginn des Verfahrens bei Schritt 41 wird zunächst in Schritt 42 die Art und der Patchzustand einer Zielkomponente wie beispielsweise eines Anlagensubsystems durch eine Netzwerkfiltereinrichtung ermittelt. Auf der Basis der ermittelten Informationen über Art und Patchzustand der Zielkomponenten wird dann in Schritt 43 eine Auswahl an Filterkomponenten in der Netzwerkfiltereinrichtung 1 getroffen. In Schritt 44 werden die ausgewählten Filterkomponenten aktiviert und Netzwerkverkehr des Netzwerks der Systemanlage mit externen Clients durch die Netzwerkfiltereinrichtung 1 mit den ausgewählten Filterkomponenten gefiltert. 4 shows a schematic representation of a method 40 for protecting a network of a system installation according to an embodiment. At the beginning of the procedure at step 41 will step in first 42 the type and the patch state of a target component such as a plant subsystem determined by a network filter device. Based on the determined information about type and patch state of the target components is then in step 43 a selection of filter components in the network filter device 1 met. In step 44 The selected filter components are activated and network traffic of the network of the system installation with external clients through the network filter device 1 filtered with the selected filter components.

In Schritt 45 wird beispielsweise ein Datenpaket eines externen Clients 2 wie zum Beispiel eines Wartungsrechners empfangen, welches in das Netzwerk der Systemanlage geschickt werden soll. In Schritt 46 überprüft die Netzwerkfiltereinrichtung 1 auf der Basis der ausgewählten Filterkomponenten das empfangene Datenpaket. Sollte sich in Schritt 47 ergeben, dass das Datenpaket zugelassen werden kann, wird es in Schritt 48a weiterverarbeitet und beispielsweise in das Netzwerk der Systemanlage weitergeleitet. Sollte sich in Schritt 47 jedoch ergeben, dass das Datenpaket nicht zugelassen sein sollte, so wird in Schritt 48b das Datenpaket verworfen und nicht in das Netzwerk der Systemanlage weitergeleitet. Bei Schritt 49 endet das Verfahren.In step 45 becomes, for example, a data packet of an external client 2 such as receiving a maintenance computer to be sent to the network of the system installation. In step 46 checks the network filter device 1 based on the selected filter components, the received data packet. Should be in step 47 show that the data packet can be admitted, it will be in step 48a further processed and forwarded, for example, in the network of the system system. Should be in step 47 However, that the data packet should not be allowed, so in step 48b the data packet discarded and not forwarded to the network of the system installation. At step 49 the procedure ends.

Die Filterkriterien, nach denen die Datenpakete in Schritt 47 überprüft werden können beispielsweise die Art des Netzwerkprotokolls, zum Beispiel TCP, UDP, SCTP oder ähnliches, die Portnummer, das Anwendungsprotokoll, zum Beispiel HTTP, FTP, TFTP, Telnet, SCP, SSH, SMTP, POP oder ähnliches, die Anwendungsprotokollmethode, zum Beispiel GET, PUT oder ähnliches, die URL, den Web-Service, die ausgeführte Aktion, zum Beispiel Update, Reset, Konfigurationsänderung, Log-Datenabruf oder ähnliches, und weitere nicht genannte Parameter umfassen. Es kann auch möglich sein, die Datenpakete auf Netzwerkverkehrsmuster zu überprüfen, um bekannte Muster für Angriffsvektoren wie Viren, Würmer, Trojaner, Spyware oder ähnliche Malware zu identifizieren.The filter criteria according to which the data packets in step 47 For example, the type of network protocol, for example, TCP, UDP, SCTP or the like, the port number, the application protocol, for example, HTTP, FTP, TFTP, Telnet, SCP, SSH, SMTP, POP, or the like, the application protocol method, for example GET, PUT or similar, the URL, the web service, the action performed, for example, update, reset, configuration change, log data retrieval or the like, and other parameters not mentioned. It may also be possible to check the data packets for network traffic patterns to identify known patterns for attack vectors such as viruses, worms, Trojans, spyware or similar malware.

Claims

Network filter device ( 1 ) to protect a network ( 6 ; 11 ; 23 ) of a system installation ( 5 ; 10 ; 20 ) with a large number of system subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ), with: an interface ( 4 ), which is designed to be an external client ( 2 ) with the network ( 6 ; 11 ; 23 ) of the system installation ( 5 ; 10 ; 20 ) connect to; a plurality of filter components; and a control device, which is designed in dependence on a patch state of the plurality of system subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) select one of the plurality of filter components and, with the selected filter component, access one with the interface ( 4 ) connected clients ( 2 ) on the network ( 6 ; 11 ; 23 ) of the system installation ( 5 ; 10 ; 20 ) selectively restrict.

Network filter device ( 1 ) according to claim 1, further comprising: a detection device, which is adapted to the patch state of the plurality of system subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) capture.

Network filter device ( 1 ) according to claim 2, wherein the detection means is adapted to control the plurality of installation subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) automatically check for their patch condition.

Network filter device ( 1 ) according to claim 2, wherein the detection means is adapted to issue a patch state request to the plurality of plant subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ).

Network filter device ( 1 ) according to any one of the preceding claims, further comprising: a database adapted to receive information about the current patch state of the plurality of plant subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) save.

Network filter device ( 1 ) according to claim 1, wherein the control device is further configured to configure one of the plurality of filter components in dependence on a patch state of the client ( 2 ).

Network filter device ( 1 ) according to one of the preceding claims, further comprising: a recognition device, which is adapted to network traffic patterns of the client ( 2 ) and access the client ( 2 ) on the network ( 6 ; 11 ; 23 ) of the system installation ( 5 ; 10 ; 20 ) to inhibit if predetermined network traffic patterns are detected.

Network filter device ( 1 ) according to one of the preceding claims, wherein the control device is further adapted to control one of the plurality of filter components in dependence on an operating state of the system installation ( 5 ; 10 ; 20 ).

Network filter device ( 1 ) according to one of the preceding claims, wherein the interface ( 4 ) is a maintenance interface which is adapted to a maintenance computer ( 2 ) with the network ( 6 ; 11 ; 23 ) of the system installation ( 5 ; 10 ; 20 ) for maintenance purposes.

System installation ( 5 ; 10 ; 20 ), comprising: a plurality of plant subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ); a system network ( 6 ; 11 ; 23 ), which covers the large number of plant subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) connects with each other; and a network filter device ( 1 ) according to one of the preceding claims, associated with the system network ( 6 ; 11 ; 23 ) connected is.

Method for protecting a network ( 6 ; 11 ; 23 ) of a system installation ( 5 ; 10 ; 20 ) with a large number of system subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ), comprising the steps of: determining a patch state of the plurality of plant subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ); Selecting a group of a plurality of filter components in response to the detected patch condition; Connecting an external client ( 2 ) with the network ( 6 ; 11 ; 23 ) of the system installation ( 5 ; 10 ; 20 ); and filtering client network traffic ( 2 ) with the system installation ( 5 ; 10 ; 20 ) about the selected group of filter components.

The method of claim 11, further comprising the steps of: determining a patch state of the external client ( 2 ); and selecting the group of a plurality of filter components in dependence on the determined patch state of the client ( 2 ).

The method of any one of claims 11 and 12, wherein determining the patch state comprises automatically scanning the plurality of plant subsystems. 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) and / or the external client ( 2 ).

The method of claim 11, wherein determining the patch state includes sending a patch state request to the plurality of plant subsystems. 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) and / or the external Client ( 2 ) and receiving a patch state feedback of the plurality of plant subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) and / or the external client ( 2 ).

The method of any of claims 11 to 14, further comprising the steps of: analyzing network traffic patterns of the client ( 2 ); and prevent client access ( 2 ) on the network ( 6 ; 11 ; 23 ) of the system installation ( 5 ; 10 ; 20 ) when predetermined network traffic patterns are detected.