DE102011002717B4

DE102011002717B4 - Network filter device and method for protecting a system network

Info

Publication number: DE102011002717B4
Application number: DE102011002717.3A
Authority: DE
Inventors: Rainer Falk; Steffen Fries
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2011-01-14
Filing date: 2011-01-14
Publication date: 2015-05-28
Anticipated expiration: 2031-01-15
Also published as: DE102011002717A1

Abstract

Netzwerkfiltereinrichtung (1) zum Schutz eines Netzwerks (6; 11; 23) einer Systemanlage (5; 10; 20) mit einer Vielzahl von Anlagensubsystemen (5a, 5b, 5c; 17a, 17b, 17c; 27a, 27b, 28a, 28b, 29a), mit:
einer Schnittstelle (4), welche dazu ausgelegt ist, einen externen Client (2) mit dem Netzwerk (6; 11; 23) der Systemanlage (5; 10; 20) zu verbinden;
einer Vielzahl von Filterkomponenten; und
einer Steuereinrichtung, welche dazu ausgelegt ist, in Abhängigkeit von einem Patchzustand der Vielzahl von Anlagensubsystemen (5a, 5b, 5c; 17a, 17b, 17c; 27a, 27b, 28a, 28b, 29a) eine der Vielzahl von Filterkomponenten auszuwählen und mit der ausgewählten Filterkomponente den Zugriff eines mit der Schnittstelle (4) verbundenen Clients (2) auf das Netzwerk (6; 11; 23) der Systemanlage (5; 10; 20) selektiv einzuschränken,
dadurch gekennzeichnet, dass
die Steuereinrichtung weiterhin dazu ausgelegt ist, eine der Vielzahl von Filterkomponenten in Abhängigkeit von einem Patchzustand des Clients (2) auszuwählen.A network filter device (1) for protecting a network (6; 11; 23) of a system installation (5; 10; 20) with a plurality of installation subsystems (5a, 5b, 5c; 17a, 17b, 17c; 27a, 27b, 28a, 28b, 29a), with:
an interface (4) which is adapted to connect an external client (2) to the network (6; 11; 23) of the system installation (5; 10; 20);
a plurality of filter components; and
control means adapted to select one of the plurality of filter components and to select one of the plurality of filter components in dependence on a patch state of the plurality of equipment subsystems (5a, 5b, 5c; 17a, 17b, 17c; 27a, 27b, 28a, 28b, 29a) Filter component to selectively restrict the access of a client (2) connected to the interface (4) to the network (6; 11; 23) of the system installation (5; 10; 20),
characterized in that
the controller is further configured to select one of the plurality of filter components in response to a patch condition of the client (2).

Description

Die vorliegende Erfindung bezieht sich auf eine Netzwerkfiltereinrichtung und ein Verfahren zum Schutz eines Systemanlagennetzwerks sowie eine Systemanlage mit integrierter Netzwerkfiltereinrichtung.The present invention relates to a network filter device and a method for protecting a system network as well as a system device with integrated network filter device.

Stand der TechnikState of the art

Systemanlagen oder Maschinen bestehen haufig aus einer Vielzahl von Einzelkomponenten, die unabhangig voneinander mit Software ausgestattet sind. Die Einzelkomponenten konnen jedoch uber eine Netzwerkverbindung verbunden sein. Derartige Netzwerke verfugen haufig uber Wartungsschnittstellen, an denen externe Gerate wie beispielsweise Wartungsrechner, PDAs, Notebooks oder ahnliche Gerate angeschlossen werden konnen. Uber das Netzwerk der Anlage konnen diese externen Gerate dann auf einzelne Subkomponenten des Systems beispielsweise zu Wartungs-, Diagnose- oder Konfigurationszwecken zugreifen. Der Zugriff kann dabei sowohl lokal physikalisch, beispielsweise uber LAN, oder uber ein virtuelles privates Netzwerk (VPN) uber einen Remote-Service-Zugang erfolgen.System systems or machines often consist of a large number of individual components that are equipped with software independently of one another. However, the individual components may be connected via a network connection. Such networks often have maintenance interfaces to which external devices such as maintenance computers, PDAs, notebooks or similar devices can be connected. Via the network of the plant, these external devices can then access individual subcomponents of the system, for example for maintenance, diagnostics or configuration purposes. The access can take place both locally physically, for example via LAN, or via a virtual private network (VPN) via a remote service access.

In jedem Fall ist das externe Gerat zunachst einmal mit dem gesamten Netzwerk des Systems verbunden und kann dabei prinzipiell auch auf alle Einzelkomponenten des Netzwerks zugreifen. Systemanlagen konnen haufig nicht oder zumindest nicht zeitnah mit aktuellen Softwarepatches versorgt werden, um bestehende bekannte Sicherheitslucken zu schließen. Es kann auch vorkommen, dass einige Einzelkomponenten oder Subsysteme der Anlage oder des Systems haufiger gepatcht werden als andere. Generell befinden sich Anlagensubsysteme haufig in unterschiedlichen Patchzustanden und sind damit unterschiedlichen Sicherheitsrisiken ausgesetzt.In any case, the external device is initially connected to the entire network of the system and can in principle also access all the individual components of the network. System systems can often not be supplied with current software patches or at least not promptly in order to close existing known security gaps. It may also happen that some individual components or subsystems of the plant or system are patched more frequently than others. In general, system subsystems are often in different patch states and are thus exposed to different security risks.

Um diese Sicherheitslücken zu überwachen, besteht zunächst die Möglichkeit, Außenstehenden keinen Zugang zum System oder zur Anlage, insbesondere zum Netzwerk zu gewähren, was durch verschiedene organisatorische Maßnahmen gewährleistet werden kann. Häufig dürfen beispielsweise zur Wartung des Systems nur Wartungsrechner eingesetzt werden, die vordefinierten Sicherheitsstandards entsprechen, beispielsweise durch einen aktuellen Virenscanner, einen aktuellen Patchzustand der Wartungssoftware oder ähnliche Standards.In order to monitor these vulnerabilities, it is initially possible to give outsiders no access to the system or to the system, in particular to the network, which can be ensured by various organizational measures. Often, for example, only maintenance computers that comply with predefined security standards such as an up-to-date virus scanner, a current patch state of the maintenance software or similar standards may be used to maintain the system.

Systeme oder Anlagen bestehen häufig aus Einzelkomponenten, welche durch Fremdfirmen gewartet und repariert werden. Der Betreiber des Systems hat daher häufig keine wirksame Kontrolle über den Sicherheitszustand der zur Wartung eingesetzten Rechner, welche durch Viren, Würmer oder ähnliche Schadsoftware infiziert sein könnten, oder welche anderen Sicherheitsvorgaben nicht genügen könnten. Der Zugriff derartiger Rechner auf das gesamte Netzwerk einer Systemanlage ist daher häufig nicht erwünscht.Systems or systems often consist of individual components, which are maintained and repaired by external companies. The operator of the system therefore often has no effective control over the security state of the computer used for maintenance, which could be infected by viruses, worms or similar malware, or which could not meet other security requirements. The access of such computers to the entire network of a system installation is therefore often undesirable.

Die Druckschrift DE 10 2004 033 624 A1 offenbart ein Sicherheitsmodul mit einer projektierbaren Firewall, welche zwischen ein Netzwerk und eine externe Schnittstelle des Sicherheitsmoduls geschaltet ist, um über die Firewall einen Zugriff eines externen Netzwerkteilnehmers auf vorgegebene Komponenten des Netzwerks festzulegen.The publication DE 10 2004 033 624 A1 discloses a security module having a configurable firewall connected between a network and an external interface of the security module for establishing access by an external network participant to predetermined components of the network via the firewall.

Zusammenfassung der ErfindungSummary of the invention

Eine Idee der vorliegenden Erfindung ist es, einen vorgeschalteten Netzwerkfilter als eine Art Gateway für das Netzwerk einer Systemanlage mit einer Vielzahl von Anlagensubsystemen zu schaffen, mithilfe dessen auch ungeprüfte oder nicht zertifizierte Clients wie beispielsweise Wartungsrechner auf bestimmte Teile des Netzwerks und damit bestimmte Anlagensubsysteme Zugriff erhalten können. Je nach Patchzustand der Anlagensubsysteme und/oder des Clients können sensiblere beziehungsweise unzureichend gepatchte Bereiche des Netzwerks vom Zugriffsrecht durch den Client ausgenommen werden. Dies ermöglicht eine flexible Kontrolle über den Netzwerkzugriff einer Systemanlage auch bei Clients, deren Sicherheitsstatus nicht durch den Systemanlagenbetreiber beeinflusst werden kann.One idea of the present invention is to provide an upstream network filter as a kind of gateway for the network of a system installation with a multiplicity of installation subsystems, by means of which also unchecked or uncertified clients such as maintenance computers can access certain parts of the network and thus certain installation subsystems can. Depending on the patch state of the system subsystems and / or the client, more sensitive or insufficiently patched areas of the network can be excluded from the access right by the client. This allows flexible control over the network access of a system installation, even for clients whose security status can not be influenced by the system operator.

Eine Ausführungsform der vorliegenden Erfindung nach Anspruch 1 besteht daher in einer Netzwerkfiltereinrichtung zum Schutz eines Netzwerks einer Systemanlage mit einer Vielzahl von Anlagensubsystemen, mit einer Schnittstelle, welche dazu ausgelegt ist, einen externen Client mit dem Netzwerk der Systemanlage zu verbinden, einer Vielzahl von Filterkomponenten, und einer Steuereinrichtung, welche dazu ausgelegt ist, in Abhängigkeit von einem Patchzustand der Vielzahl von Anlagensubsystemen eine der Vielzahl von Filterkomponenten auszuwählen und mit der ausgewählten Filterkomponente den Zugriff eines mit der Schnittstelle verbundenen Clients auf das Netzwerk der Systemanlage selektiv einzuschränken.An embodiment of the present invention according to claim 1 is therefore a network filter device for protecting a network of a system installation with a plurality of system subsystems, with an interface which is designed to connect an external client to the network of the system system, a plurality of filter components, and a controller configured to select one of the plurality of filter components in response to a patch condition of the plurality of equipment subsystems and to selectively restrict the access of a client connected to the interface to the network of the system equipment with the selected filter component.

Vorteilhafterweise kann die Netzwerkfiltereinrichtung eine Erfassungseinrichtung umfassen, welche dazu ausgelegt ist, den Patchzustand der Vielzahl von Anlagensubsystemen automatisch selbsttätig zu erfassen oder eine Patchzustandsanfrage an die Vielzahl von Anlagensubsystemen zu richten und eine entsprechende Patchzustandsrückmeldung zu empfangen. Dadurch kann die Netzwerkfiltereinrichtung dynamisch auf verschiedene Systemzustände der Systemanlage reagieren, je nachdem, welche Anlagensubsysteme in der Systemanlage vorhanden sind und ob Anlagensubsysteme einzeln mit aktualisierten Patches versehen worden sind.Advantageously, the network filter means may comprise a detection means adapted to automatically automatically detect the patch state of the plurality of equipment subsystems or to direct a patch state request to the plurality of equipment subsystems and to receive a corresponding patch state feedback. This allows the network filter device to respond dynamically to different system states of the system installation, depending on which system subsystems are present in the system system and whether plant subsystems have been individually patched with updated patches.

Die ermittelten Informationen über den aktuellen Patchzustand der Vielzahl von Anlagensubsystemen können vorteilhafterweise in einer Datenbank gespeichert werden. Dies bietet den Vorteil, verschiedene Konfigurationen auf einfache Weise in einem Inhaltsmanagementsystem bereitzuhalten und verschiedene Filtereinstellungen vorab einstellen zu können.The determined information about the current patch state of the plurality of system subsystems can be advantageously stored in a database. This offers the advantage of being able to easily hold various configurations in a content management system and of pre-setting different filter settings.

Die Netzwerkfiltereinrichtung kennzeichnet sich dadurch, dass die Steuereinrichtung weiterhin dazu ausgelegt ist, eine der Vielzahl von Filterkomponenten in Abhängigkeit von einem Patchzustand des Clients auszuwählen. Dies bietet den Vorteil, flexibel auf den Sicherheitszustand eines externen Clients reagieren zu können, und einem ausreichend gepatchten Client mehr Zugriffsrechte einräumen zu können als einem nicht ausreichend gepatchten Client.The network filter means is characterized in that the controller is further adapted to select one of the plurality of filter components in response to a patch condition of the client. This offers the advantage of being able to react flexibly to the security state of an external client, and of granting a sufficiently patched client more access rights than an insufficiently patched client.

Die Netzwerkfiltereinrichtung kann weiterhin eine Erkennungseinrichtung umfassen, welche dazu ausgelegt ist, Netzwerkverkehrsmuster des Clients zu analysieren und den Zugriff des Clients auf das Netzwerk der Systemanlage zu unterbinden, wenn vorbestimmte Netzwerkverkehrsmuster erkannt werden. Damit können bereits bekannte Sicherheitslücken veralteter Patches von Anlagensubsystemen vorab durch das Suchen nach bekannten Angriffsmustern im Netzwerkverkehr durch die Netzwerkfiltereinrichtung geschlossen werden.The network filter means may further comprise a recognizer adapted to analyze client network traffic patterns and to inhibit client access to the system's network when predetermined network traffic patterns are detected. Thus already known vulnerabilities of obsolete patches of plant subsystems can be closed in advance by searching for known attack patterns in the network traffic through the network filtering device.

Vorteilhafterweise kann die Steuereinrichtung weiterhin dazu ausgelegt sein, eine der Vielzahl von Filterkomponenten in Abhängigkeit von einem Betriebszustand der Systemanlage auszuwählen. Dies bietet den Vorteil, den Netzwerkzugriff in kritischen Systemzuständen für bestimmte Anlagensubsysteme flexibel einschränken zu können.Advantageously, the control device can furthermore be designed to select one of the plurality of filter components as a function of an operating state of the system installation. This offers the advantage of being able to flexibly restrict network access in critical system states for specific system subsystems.

Vorzugsweise kann die Schnittstelle eine Wartungsschnittstelle sein, welche dazu ausgelegt ist, einen Wartungsrechner mit dem Netzwerk der Systemanlage zu Wartungszwecken zu verbinden. Dies ist insbesondere für Automatisierungsanlagen, Maschinen oder Fahrzeuge wie Züge vorteilhaft, wo verschiedene Subsysteme verschiedener Hersteller in einem komplexen Steuerungsnetzwerk zusammengeschlossen sind und Wartungsarbeiten gezielt an den verschiedenen Subsystemen über das einheitliche Netzwerk durchgeführt werden müssen.Preferably, the interface may be a maintenance interface which is designed to connect a maintenance computer to the network of the system installation for maintenance purposes. This is particularly advantageous for automation systems, machines or vehicles such as trains, where various subsystems of different manufacturers are combined in a complex control network and maintenance work must be carried out specifically on the various subsystems via the uniform network.

Gemäß einer weiteren Ausführungsform schafft die Erfindung eine Systemanlage nach Anspruch 9 mit einer Vielzahl von Anlagensubsystemen, einem Systemnetzwerk, welches die Vielzahl der Anlagensubsysteme untereinander verbindet, und einer erfindungsgemäßen Netzwerkfiltereinrichtung, welche mit dem Systemnetzwerk verbunden ist.According to a further embodiment, the invention provides a system installation according to claim 9 having a plurality of installation subsystems, a system network interconnecting the plurality of installation subsystems, and a network filter device according to the invention connected to the system network.

Gemäß einer weiteren Ausführungsform schafft die Erfindung ein Verfahren zum Schutz eines Netzwerks einer Systemanlage mit einer Vielzahl von Anlagensubsystemen, mit den Schritten des Ermittelns eines Patchzustands der Vielzahl von Anlagensubsystemen, des Auswählens einer Gruppe einer Vielzahl von Filterkomponenten in Abhängigkeit von dem ermittelten Patchzustand, des Verbindens eines externen Clients mit dem Netzwerk der Systemanlage, und des Filterns des Netzwerkverkehrs des Clients mit der Systemanlage über die ausgewählte Gruppe von Filterkomponenten.According to another embodiment, the invention provides a method of protecting a network of a system plant with a plurality of plant subsystems, comprising the steps of determining a patch state of the plurality of plant subsystems, selecting a group of a plurality of filter components in response to the detected patch state, bonding an external client to the system's network, and filter the client's network traffic with the system attachment through the selected set of filter components.

Dabei umfasst das Verfahren weiterhin die Schritte des Ermittelns eines Patchzustands des externen Clients, und des Auswählens der Gruppe einer Vielzahl von Filterkomponenten in Abhängigkeit von dem ermittelten Patchzustand des Clients. Das Ermitteln des Patchzustands kann beispielsweise das automatische Scannen der Vielzahl von Anlagensubsystemen und/oder des externen Clients umfassen. Dadurch kann dynamisch auf verschiedene Systemzustände der Systemanlage reagiert werden, je nachdem, welche Anlagensubsysteme in der Systemanlage vorhanden sind und ob Anlagensubsysteme einzeln mit aktualisierten Patches versehen worden sind.In this case, the method further comprises the steps of determining a patch state of the external client, and selecting the group of a plurality of filter components in dependence on the determined patch state of the client. Determining the patch state may include, for example, automatically scanning the plurality of equipment subsystems and / or the external client. Thereby, it is possible to react dynamically to different system states of the system installation, depending on which system subsystems are present in the system system and whether system subsystems have been individually provided with updated patches.

Weitere Modifikationen und Variationen ergeben sich aus den Merkmalen der abhängigen Ansprüche.Further modifications and variations will be apparent from the features of the dependent claims.

Kurze Beschreibung der FigurenBrief description of the figures

Verschiedene Ausführungsformen und Ausgestaltungen der vorliegenden Erfindung werden nun in Bezug auf die beiliegenden Zeichnungen genauer beschrieben, in denenVarious embodiments and embodiments of the present invention will now be described in more detail with reference to the accompanying drawings, in which: FIG

1 eine schematische Darstellung eines Eisenbahnwaggons mit einer Netzwerkfiltereinrichtung zum Schutz eines Netzwerks des Eisenbahnwaggons gemäß einer Ausführungsform der Erfindung; 1 a schematic representation of a railway car with a network filter device for protecting a network of railway wagons according to an embodiment of the invention;

2 eine schematische Darstellung einer Automatisierungsanlage mit einer Netzwerkfiltereinrichtung zum Schutz eines Netzwerks der Automatisierungsanlage gemaß einer weiteren Ausfuhrungsform der Erfindung; 2 a schematic representation of an automation system with a network filter device for protecting a network of the automation system according to another embodiment of the invention;

3a eine schematische Darstellung einer Netzwerkumgebung einer Netzwerkfiltereinrichtung zum Schutz eines Netzwerks einer Systemanlage gemaß einer weiteren Ausfuhrungsform der Erfindung; 3a a schematic representation of a network environment of a network filter device for protecting a network of a system installation according to another embodiment of the invention;

3b eine schematische Darstellung einer Netzwerkumgebung einer Netzwerkfiltereinrichtung zum Schutz eines Netzwerks einer Systemanlage gemaß einer weiteren Ausfuhrungsform der Erfindung; 3b a schematic representation of a network environment of a network filter device for protecting a network of a system installation according to another embodiment of the invention;

3c eine schematische Darstellung einer Netzwerkumgebung einer Netzwerkfiltereinrichtung zum Schutz eines Netzwerks einer Systemanlage gemaß einer weiteren Ausfuhrungsform der Erfindung; und 3c a schematic representation of a network environment of a network filter device for protecting a network of a system installation according to another embodiment of the invention; and

4 eine schematische Darstellung eines Verfahrens zum Schutz eines Netzwerks einer Systemanlage gemaß einer weiteren Ausfuhrungsform der Erfindung zeigt. 4 a schematic representation of a method for protecting a network of a system according to a further embodiment of the invention shows.

Die beschriebenen Ausgestaltungen und Weiterbildungen lassen sich, sofern sinnvoll, beliebig miteinander kombinieren. Weitere mogliche Ausgestaltungen, Weiterbildungen und Implementierungen der Erfindung umfassen auch nicht explizit genannte Kombinationen von zuvor oder im Folgenden bezuglich der Ausfuhrungsbeispiele beschriebenen Merkmale der Erfindung.The described embodiments and developments can, if appropriate, combine with one another as desired. Further possible refinements, developments and implementations of the invention also include combinations of features of the invention which have not been explicitly stated above or described below with reference to the exemplary embodiments.

Die beiliegenden Zeichnungen sollen ein weiteres Verstandnis der Ausfuhrungsformen der Erfindung vermitteln. Sie veranschaulichen Ausfuhrungsformen und dienen im Zusammenhang mit der Beschreibung der Erklärung von Prinzipien und Konzepten der Erfindung. Andere Ausfuhrungsformen und viele der genannten Vorteile ergeben sich im Hinblick auf die Zeichnungen. Die Elemente der Zeichnungen sind nicht notwendigerweise maßstabsgetreu zueinander gezeigt. Gleiche Bezugszeichen bezeichnen dabei gleiche oder ahnlich wirkende Komponenten.The accompanying drawings are intended to provide further understanding of the embodiments of the invention. They illustrate embodiments and serve in conjunction with the description of the explanation of principles and concepts of the invention. Other embodiments and many of the advantages mentioned will become apparent with reference to the drawings. The elements of the drawings are not necessarily shown to scale to each other. The same reference numerals designate the same or similar acting components.

Ausfuhrliche Beschreibung der ErfindungDetailed description of the invention

Systemanlagen im Sinne der vorliegenden Erfindung konnen alle Anlagen, Maschinen oder komplexen Zusammenstellungen von Systemkomponenten umfassen, welche uber eine Vielzahl von Anlagensubsystemen verfugen, die uber ein gemeinsames Netzwerk, beispielsweise ein Steuerungsnetzwerk, ein Ethernetnetzwerk, ein Internetprotokollnetzwerk oder ahnliches, untereinander verbunden sind. Die Anlagensubsysteme konnen dabei Komponenten umfassen, die unabhangig voneinander mit subsystemspezifischer Software ausgestattet sind, welche unabhangig von den ubrigen Komponenten gepatcht werden kann. Derartige Systemanlagen umfassen beispielsweise Fahrzeuge wie Zuge, Eisenbahnwaggons, Personenkraftwagen oder Lastkraftwagen, Maschinen, Fertigungsanlagen, Automatisierungsanlagen wie Prozessautomatisierungsanlagen, Fertigungsautomatisierungsanlagen, Gebaudeautomatisierungssysteme oder Energieautomatisierungssysteme und medizinische Apparate wie Rontgenapparate, Computertomographen, Kernspintomographen, Magnetresonanztomographen oder Ultraschallsensorsysteme. Es sollte klar sein, dass auch andere ahnliche Systeme mit Netzwerken Systemanlagen im Sinne dieser Beschreibung darstellen konnen.System installations in the sense of the present invention may comprise all systems, machines or complex assemblies of system components which have a multiplicity of installation subsystems which are interconnected via a common network, for example a control network, an Ethernet network, an internet protocol network or the like. The system subsystems may include components that are independently equipped with subsystem-specific software that can be patched independently of the other components. Such systems include, for example, vehicles such as trains, railway cars, cars or trucks, machinery, manufacturing equipment, automation systems such as process automation systems, factory automation systems, building automation systems or energy automation systems and medical devices such as X-ray machines, computed tomography, magnetic resonance imaging, magnetic resonance imaging or ultrasonic sensor systems. It should be understood that other similar systems with networks may also be systemic systems in the sense of this description.

Netzwerke im Sinne der vorliegenden Erfindung umfassen alle Arten von Kommunikationssystemen, welche einen Nachrichtentransfer zwischen mehreren Endstellen vermitteln konnen. Dabei konnen die Netzwerke beispielsweise uber Internet, Ethernet, UMTS, WiMAX, LTE oder ahnliche Infrastruktur verfugen.Networks within the meaning of the present invention include all types of communication systems that can mediate message transfer between multiple terminals. For example, the networks may have Internet, Ethernet, UMTS, WiMAX, LTE or similar infrastructure.

1 zeigt eine schematische Darstellung eines Eisenbahnwaggons 10 mit einer Netzwerkfiltereinrichtung zum Schutz eines Netzwerks des Eisenbahnwaggons 10. Der Eisenbahnwaggon 10 umfasst eine Vielzahl von Steuergeraten 17a, 17b, 17c als Anlagensubsysteme eines Netzwerks 11 des Eisenbahnwaggons 10. Das Netzwerk 11 verbindet die Steuergerate 17a, 17b, 17c untereinander, beispielsweise uber eine gemeinsame Busleitung. Das Steuergerat 17a kann dabei beispielsweise ein Zugsteuersystem, das Steuergerat 17b ein Bremssteuersystem und das Steuergerat 17c ein Passagierinformationssystem sein. Es ist jedoch auch moglich, dass weitere Anlagensubsysteme uber das Netzwerk 11 in dem Eisenbahnwaggon 10 untereinander verbunden sind. 1 shows a schematic representation of a railway car 10 with a network filter device for protecting a network of railway wagons 10 , The railroad car 10 includes a variety of control devices 17a . 17b . 17c as plant subsystems of a network 11 of the railway carriage 10 , The network 11 connects the controllers 17a . 17b . 17c with each other, for example via a common bus line. The control unit 17a can, for example, a train control system, the Steuergerat 17b a brake control system and the control unit 17c to be a passenger information system. However, it is also possible that more plant subsystems over the network 11 in the railroad car 10 are interconnected.

Das Netzwerk 11 kann auch uber Gateways 18 verfugen, uber welche weitere Eisenbahnwaggons mit ahnlichen Netzwerken an das Netzwerk 11 des Eisenbahnwaggons 10 angeschlossen werden konnen.The network 11 can also have gateways 18 have, over which other railway cars with similar networks to the network 11 of the railway carriage 10 can be connected.

Das Netzwerk 11 verfugt uber eine Netzwerkfiltereinrichtung 1, die sich hinter einer verschließbaren Wartungsklappe 19 befinden kann. Uber einen Anschluss kann an der Netzwerkfiltereinrichtung 1 ein Client 2 angeschlossen werden. Dabei wird eine Verbindung 3 zwischen dem Client 2 und der Netzwerkfiltereinrichtung 1 aufgebaut. Beispielsweise kann die Verbindung 3 uber ein LAN-Kabel aufgebaut werden, so dass eine Ethernet-Verbindung des Clients 2 zu dem Netzwerk 11 bereitgestellt werden kann. Die Wartungsklappe 19 dient dabei der physikalischen Sicherung der Netzwerkfiltereinrichtung 1, so dass nur Berechtigte auf die Netzwerkfiltereinrichtung 1 zugreifen konnen.The network 11 has a network filter device 1 behind a lockable maintenance cover 19 can be located. A connection can be made to the network filter device 1 a client 2 be connected. This will be a connection 3 between the client 2 and the network filter device 1 built up. For example, the connection 3 be set up via a LAN cable, allowing an Ethernet connection of the client 2 to the network 11 can be provided. The maintenance cover 19 serves the physical security of the network filter device 1 , leaving only authorized users on the network filtering device 1 can access.

Weiterhin kann eine Fernzugriffseinrichtung 12 (Remote Data Access, RDA) an das Netzwerk 11 angeschlossen sein. Uber die Fernzugriffseinrichtung 12 kann beispielsweise ein Fernzugriff uber eine Fernzugriffsstation 14, beispielsweise eine UMTS-Station, eine WiMAX-Station, eine LTE-Station oder eine ahnliche Station, uber die Antenne 13 erfolgen. Es kann beispielsweise vorgesehen sein, dass sich ein Client 2 uber die Fernzugriffsstation 14 mithilfe einer virtuellen privaten Netzwerkverbindung (VPN) uber die Fernzugriffseinrichtung 12 mit dem Netzwerk 11 des Eisenbahnwaggons 10 verbinden kann.Furthermore, a remote access device 12 (Remote Data Access, RDA) to the network 11 be connected. Via the remote access device 12 may for example be a remote access via a remote access station 14 For example, a UMTS station, a WiMAX station, an LTE station or similar station, via the antenna 13 respectively. It can for example be provided that a client 2 via the remote access station 14 using a virtual private network (VPN) connection through the remote access device 12 with the network 11 of the railway carriage 10 can connect.

Weiterhin kann in dem Netzwerk 11 auch ein WLAN-Zugriffspunkt 15 vorhanden sein, uber welchem mithilfe einer WLAN-Antenne 16 ein lokaler drahtloser Zugriff eines Clients 2 auf das Netzwerk 11 des Eisenbahnwaggons 10 moglich gemacht wird.Furthermore, in the network 11 also a WiFi access point 15 be present over which using a wireless antenna 16 a local wireless client access 2 on the network 11 of the railway carriage 10 is made possible.

Unabhangig davon, ob ein Client 2 uber die Netzwerkfiltereinrichtung 1, die Fernzugriffseinrichtung 12 oder den WLAN-Zugriffspunkt 15 Zugang zu dem Netzwerk 11 erhalten mochte, kann es in jedem Fall vorgesehen sein, dass entsprechende Authentifizierungsmaßnahmen durch die Netzwerkfiltereinrichtung 1, die Fernzugriffseinrichtung 12 und/oder den WLAN-Zugriffspunkt 15 vorgenommen werden. Es kann dabei vorgesehen sein, dass durch die Netzwerkfiltereinrichtung 1, die Fernzugriffseinrichtung 12 oder den WLAN-Zugriffspunkt 15 eine Konfiguration des Clients 2 uberpruft wird, bevor dem Client 2 ein Zugang zu dem Netzwerk 11 gewahrt wird, beispielsweise uber eine Netzwerkzugangskontrolle (Network Access Control), eine Netzwerkendstellenanalyse (Network Endpoint Assessment) oder eine ”Trusted Platform”-Verbindung uber ein ”Trusted Platform”-Modul (TPM). Dabei kann die Uberprufung durch Software auf dem Client 2 selbst erfolgen, oder es wird auf Seiten des Netzwerks 11 der Netzwerkverkehr beobachtet und analysiert.Regardless of whether a client 2 via the network filter device 1 , the remote access device 12 or the wireless access point 15 Access to the network 11 In any case, it may be provided that corresponding authentication measures by the network filtering device 1 , the remote access device 12 and / or the wireless access point 15 be made. It may be provided that by the network filter device 1 , the remote access device 12 or the wireless access point 15 a configuration of the client 2 Checked before the client 2 an access to the network 11 such as Network Access Control, Network Endpoint Assessment or Trusted Platform through a Trusted Platform Module (TPM). It can be checked by software on the client 2 yourself, or it will be on the part of the network 11 Network traffic is monitored and analyzed.

Clients 2, welche sich mit dem Netzwerk 11 verbinden mochten, unterliegen nicht immer der Kontrolle des Netzwerkbetreibers, beispielsweise dem Betreiber des Netzwerks 11 des Eisenbahnwaggons 10. Um einerseits alle notwendigen Sicherheitsmaßnahmen zur Sicherung der Steuergerate 17a, 17b, 17c gewahrleisten, andererseits aber Clients 2 wie beispielsweise Wartungsrechnern von Fremdfirmen Zugriff auf einzelne Systemkomponenten 17a, 17b, 17c gewahren zu konnen, ist es vorgesehen, die Netzwerkfiltereinrichtung 1 mit entsprechenden Filterkomponenten auszustatten, um je nach Patchzustand der Anlagensubsysteme 17a, 17b, 17c und/oder Patchzustand des Clients 2 gezielt Bereiche des Netzwerks 11 vom Zugriff durch den Client 2 ausnehmen zu konnen. Beispielsweise kann es vorgesehen sein, dass Wartungspersonal fur das Passagierunterhaltungssystem 17c mit einem Wartungsrechner 2 Wartungsarbeiten an dem Passagierunterhaltungssystem 17c uber das Netzwerk 11 vornehmen kann, gleichzeitig aber an einem Zugriff auf das sicherheitskritischere Bremsensteuersystem 17b gehindert wird. In der Netzwerkfiltereinrichtung 1 konnen dazu Filterkomponenten ausgewahlt werden, welche Netzwerkverkehr uber das Netzwerk 11 zwischen einem Wartungsrechner 2 und dem Passagierunterhaltungssystem 17c zulassen, Netzwerkverkehr zwischen dem Wartungsrechner 2 und dem Bremsensteuersystem 17b jedoch abblocken.clients 2 , which deals with the network 11 may not always be under the control of the network operator, such as the operator of the network 11 of the railway carriage 10 , On the one hand, all necessary safety measures to secure the control unit 17a . 17b . 17c but on the other hand clients 2 such as maintenance computers of external companies access to individual system components 17a . 17b . 17c It is provided that the network filter device 1 equipped with appropriate filter components, depending on the patch condition of the system subsystems 17a . 17b . 17c and / or patch state of the client 2 targeted areas of the network 11 from access by the client 2 to be able to exclude. For example, it may be provided that maintenance personnel for the passenger entertainment system 17c with a maintenance computer 2 Maintenance work on the passenger entertainment system 17c over the network 11 but at the same time to access the safety-critical brake control system 17b is prevented. In the network filter device 1 For this, filter components can be selected which network traffic over the network 11 between a maintenance computer 2 and the passenger entertainment system 17c allow network traffic between the maintenance computer 2 and the brake control system 17b however, block off.

Eine der Funktionalitat der Netzwerkfiltereinrichtung 1 entsprechende Funktionalität mit entsprechenden Komponenten kann dabei auch in der Fernzugriffseinrichtung 12 und/oder dem WLAN-Zugriffspunkt 15 vorgesehen sein.One of the functionality of the network filter device 1 corresponding functionality with corresponding components can also be found in the remote access device 12 and / or the wireless access point 15 be provided.

2 zeigt eine schematische Darstellung einer Automatisierungsanlage 20 mit einer Netzwerkfiltereinrichtung 1 zum Schutz eines Netzwerks der Automatisierungsanlage 20. Die Automatisierungsanlage 20 umfasst mehrere Subsysteme 24a, 24b, welche uber ein gemeinsames Netzwerk 23 miteinander verbunden sind. Jedes der Subsysteme 24a, 24b kann dabei ein eigenes Subsystemnetzwerk 26a, 26b umfassen, welches jeweils uber ein Sicherheitsmodul 25a, 25b mit dem ubergeordneten Systemanlagennetzwerk 23 verbunden ist. Die Subsysteme 24a, 24b konnen dabei ihrerseits Subsubsysteme 27a, 28a, 29a bzw. 27b, 28b umfassen, die uber die jeweiligen Subsystemnetzwerke 26a, 26b untereinander verbunden sind. 2 shows a schematic representation of an automation system 20 with a network filter device 1 to protect a network of the automation system 20 , The automation system 20 includes several subsystems 24a . 24b , which have a common network 23 connected to each other. Each of the subsystems 24a . 24b can have its own subsystem network 26a . 26b each comprising a security module 25a . 25b with the higher-level system network 23 connected is. The subsystems 24a . 24b can in turn subsubsystems 27a . 28a . 29a respectively. 27b . 28b include, over the respective subsystem networks 26a . 26b are interconnected.

Uber eine Firewall 22 kann das Systemanlagennetzwerk 23 mit einem Buronetzwerk 21 mit Buro- und/oder Steuerrechnern 21a verbunden sein. Die Firewall 22 gewahrleistet dabei den Schutz der Kommunikation zwischen Systemanlagennetzwerk 23 und Buronetzwerk 21.Over a firewall 22 can the system network 23 with a bureau network 21 with office and / or control computers 21a be connected. The firewall 22 ensures the protection of communication between the system network 23 and bureau network 21 ,

Die Subsysteme 24a, 24b konnen beispielsweise Fertigungszellen einer Fertigungsautomatisierungsanlage 20 darstellen. Beispielsweise kann das Subsystem 24a als Subsubsystem 27a einen Roboterarm, und das Subsystem 24b als Subsubsystem 27b einen Schweißautomat umfassen. Es ist selbstverstandlich moglich, dass die Fertigungsautomatisierungsanlage 20 mehr als zwei Subsysteme mit entsprechendem Netzwerkzugang aufweisen kann.The subsystems 24a . 24b For example, manufacturing cells of a factory automation system 20 represent. For example, the subsystem 24a as subsubsystem 27a a robotic arm, and the subsystem 24b as subsubsystem 27b include a welding machine. It is of course possible that the factory automation system 20 can have more than two subsystems with appropriate network access.

Jedes der Subsysteme 24a, 24b umfasst eine Netzwerkfiltereinrichtung 1 mit einer Schnittstelle 4, uber welche ein Client 2a, 2b uber eine Datenverbindung 3 Zugriff zu den Subsystemnetzwerken 26a bzw. 26b und damit zu dem Systemanlagennetzwerk 23 erhalten kann. Beispielsweise kann die Datenverbindung 3 eine lokale Datenverbindung wie beispielsweise einen LAN-Zugang oder eine Fernzugriffsverbindung wie beispielsweise eine VPN-Verbindung umfassen. Die Datenverbindung 3 kann dabei prinzipiell wie im Zusammenhang mit 1 erlautert aufgebaut werden. Der Client 2a kann beispielsweise einen Wartungs-Laptop und der Client 2b beispielsweise einen Diagnose-PDA umfassen. Es ist jedoch selbstverstandlich moglich, dass andere Clients 2a, 2b ahnlich dem Client 2 in 1 auf die Fertigungsautomatisierungsanlage 20 uber die Netzwerkfiltereinrichtung 1 zugreifen konnen.Each of the subsystems 24a . 24b includes a network filter device 1 with an interface 4 about which a client 2a . 2 B over a data connection 3 Access to subsystem networks 26a respectively. 26b and thus to the system network 23 can receive. For example, the data connection 3 a local data connection such as a LAN access or a remote access connection such as a VPN connection. The data connection 3 can in principle as in connection with 1 to be explained. The client 2a For example, a maintenance laptop and the client 2 B For example, include a diagnostic PDA. It is, of course, possible for other clients 2a . 2 B similar to the client 2 in 1 on the Manufacturing automation system 20 via the network filter device 1 can access.

Im Folgenden wird anhand dreier Ausfuhrungsbeispiele erlautert, wie die Netzwerkfiltereinrichtung 1 in den 1 und 2 aufgebaut sein kann. Dabei konnen die gezeigten Systemanlagen und Systemnetzwerke den Systemanlagen und Systemnetzwerken der 1 und 2 entsprechen.The following explains how the network filter device is based on three exemplary embodiments 1 in the 1 and 2 can be constructed. The system systems and system networks shown can be used for system systems and system networks 1 and 2 correspond.

3a zeigt eine schematische Darstellung einer Netzwerkumgebung einer Netzwerkfiltereinrichtung 1 zum Schutz eines Netzwerks 6 einer Systemanlage 5 gemaß eines Ausfuhrungsbeispiels. Die Netzwerkfiltereinrichtung 1 weist eine Schnittstelle 4 auf, uber die ein Client 2 uber eine Datenverbindung 3 mit dem Netzwerk 6 einer Systemanlage 5 verbunden ist. Die Datenverbindung 3 kann dabei eine lokale, physikalische Verbindung sein, wie beispielsweise eine LAN-Verbindung. Der Client 2 kann beispielsweise ein Wartungsrechner, ein Laptop, ein PDA, ein PC oder eine ahnliche Recheneinrichtung sein. Die Schnittstelle 4 kann uber einen physikalischen Anschluss verfugen, an dem die Datenverbindung 3 an der Netwerkfiltereinrichtung 1 angeschlossen ist. 3a shows a schematic representation of a network environment of a network filter device 1 to protect a network 6 a system installation 5 according to an exemplary embodiment. The network filter device 1 has an interface 4 on, over which a client 2 over a data connection 3 with the network 6 a system installation 5 connected is. The data connection 3 may be a local, physical connection, such as a LAN connection. The client 2 For example, it may be a maintenance computer, a laptop, a PDA, a personal computer or similar computing device. the interface 4 may have a physical connection to which the data connection 3 at the network filter device 1 connected.

Das Netzwerk 6 kann uber einen Netzwerkbus verfugen, uber den mehrere Anlagensubsysteme 5a, 5b, 5c der Systemanlage 5 untereinander verbunden sind. Die Anzahl der Anlagensubsysteme 5a, 5b, 5c ist in den 3a bis 3c beispielhaft mit drei angegeben, es ist jedoch jede andere Anzahl von Anlagensubsystemen ebenso moglich. Es ist weiterhin moglich, dass jedes oder einige der Anlagensubsysteme 5a, 5b, 5c uber weitere Subsubsysteme mit einem entsprechenden Subsystemnetzwerk verfugen.The network 6 can have a network bus over multiple plant subsystems 5a . 5b . 5c the system installation 5 are interconnected. The number of plant subsystems 5a . 5b . 5c is in the 3a to 3c exemplified by three, however, any other number of plant subsystems is equally possible. It is also possible that any or some of the plant subsystems 5a . 5b . 5c have further sub-subsystems with a corresponding subsystem network.

Die Anlagensubsysteme 5a, 5b, 5c verfugen uber eigene Softwareumgebungen, die beispielsweise je nach Hersteller und/oder Funktion der Anlagensubsysteme 5a, 5b, 5c unterschiedliche Patchzustande aufweisen konnen. So ist es beispielsweise moglich, dass das Anlagensubsystem 5a einen neueren Patchzustand aufweist als das Anlagensubsystem 5b, wodurch bei dem Anlagensubsystem 5a eine bekannte Sicherheitslucke bereits geschlossen ist, wahrend sie bei dem Anlagensubsystem 5b noch nicht behoben ist.The plant subsystems 5a . 5b . 5c have their own software environments, for example, depending on the manufacturer and / or function of the system subsystems 5a . 5b . 5c may have different patch states. For example, it is possible that the plant subsystem 5a a newer patch state than the plant subsystem 5b , resulting in the plant subsystem 5a a known security gap is already closed while they are in the plant subsystem 5b not yet resolved.

Clients 2, welche uber die Datenverbindung 3 auf das Netzwerk 6 der Systemanlage 5 zugreifen konnen, konnen zunachst prinzipiell auf alle Anlagensubsysteme 5a, 5b, 5c zugreifen. Im obigen Beispiel kann es daher vorgesehen sein, dass ein Client 2, welcher nicht alle aktuellen Sicherheitsstandards erfullt und welcher potentiell mit Schadsoftware infiziert sein kann, zwar fur das Anlagensubsystem 5a keine Gefahr darstellt, fur das Anlagensubsystem 5b, bei welchem nach wie vor eine bekannte Sicherheitslucke vorhanden ist, potentiell gefahrlich ist. Um den Client 2 aus Sicherheitsgrunden nun nicht vollstandig vom Netzwerkzugriff auf das Netzwerk 6 sperren zu mussen, verfugt die Netzwerkfiltereinrichtung 1 uber eine Vielzahl von Filterkomponenten, welche je nach Patchzustand der Anlagensubsysteme 5a, 5b, 5c den Zugriff des Clients 2 auf das Netzwerk 6 teilweise unterbinden. Im obigen Beispiel kann es daher vorgesehen sein, dass der Client 2 als ungefahrlich fur das Anlagensubsystem 5a eingestuft wird und vollen Zugriff auf jenes erhalt, vom Zugriff auf das Anlagensubsystem 5b, fur welches er eine potentielle Gefahr darstellt, ausgeschlossen wird.clients 2 , which over the data connection 3 on the network 6 the system installation 5 can initially access all plant subsystems 5a . 5b . 5c access. In the above example, it may therefore be provided that a client 2 which does not meet all current security standards and which may potentially be infected with malware, for the system subsystem 5a represents no danger to the plant subsystem 5b , in which there is still a known security gap, is potentially dangerous. To the client 2 for safety reasons now not completely from network access to the network 6 to lock, has the network filter device 1 over a multiplicity of filter components, which depending upon Patchzustand of the plant subsystems 5a . 5b . 5c the access of the client 2 on the network 6 partially stop. In the above example, it may therefore be provided that the client 2 as not dangerous for the plant subsystem 5a and full access to that, from the access to the plant subsystem 5b for which he represents a potential danger is excluded.

Zu diesem Zweck ermittelt die Netzwerkfiltereinrichtung 1 zunachst die Patchzustande der Anlagensubsysteme 5a, 5b, 5c und wahlt auf der Basis der ermittelten Patchzustande eine oder eine Gruppe von Filterkomponenten aus, welche die Netzwerkfiltereinrichtung 1 auf den Netzwerkverkehr eines Clients 2 mit dem Netzwerk 6 anwendet. Die Netzwerkfiltereinrichtung 1 kann dazu die Anlagensubsysteme 5a, 5b, 5c in periodischen Abstanden, bei Systemstart oder bei einer Zugriffsanfrage eines externen Clients 2 selbsttatig und automatisch auf ihre Patchzustande hin scannen. Es kann auch vorgesehen sein, dass die Netzwerkfiltereinrichtung 1 eine Patchzustandsanfrage an jedes der Anlagensubsysteme 5a, 5b, 5c richtet und entsprechende Antwortmitteilungen von den Anlagensubsystemen 5a, 5b, 5c an die Netzwerkfiltereinrichtung 1 ubermittelt werden. Ferner kann vorgesehen sein, bei Softwareupdates und Patchvorgangen der Anlagensubsysteme 5a, 5b, 5c die Netzwerkfiltereinrichtung 1 neu zu konfigurieren.For this purpose, the network filter device determines 1 first the patch state of the system subsystems 5a . 5b . 5c and selects one or a group of filter components comprising the network filter device based on the detected patch states 1 on the network traffic of a client 2 with the network 6 applies. The network filter device 1 can do this with the system subsystems 5a . 5b . 5c at periodic intervals, at system startup or during an access request from an external client 2 Automatically and automatically scan for their patch state. It can also be provided that the network filter device 1 a patch state request to each of the plant subsystems 5a . 5b . 5c directed and corresponding response messages from the plant subsystems 5a . 5b . 5c to the network filter device 1 be transmitted. Furthermore, it can be provided in the case of software updates and patch procedures of the system subsystems 5a . 5b . 5c the network filter device 1 reconfigure.

Die Auswahl der Filterkomponenten kann auch in Abhangigkeit des Betriebszustands der Systemanlage 5 und/oder einzelner Anlagensubsysteme 5a, 5b, 5c erfolgen. Beispielsweise kann wahrend des Betriebs der Systemanlage 5 der Zugriff auf ein Anlagensubsystem 5a, 5b, 5c restriktiver gehandhabt werden als wahrend einer Betriebspause der Systemanlage 5. Beispielsweise kann in einem Eisenbahnwaggon 10, wie in 1 gezeigt, wahrend der Fahrt des Eisenbahnwaggons 10 der Netzwerkzugriff auf ein Bremsensteuersystem 17b aus Sicherheitsgrunden komplett unterbunden werden, um die Gefahr von Fehlfunktionen und Fehleinstellungen zu minimieren.The selection of the filter components may also depend on the operating state of the system installation 5 and / or individual plant subsystems 5a . 5b . 5c respectively. For example, during operation of the system installation 5 Access to a plant subsystem 5a . 5b . 5c be handled more restrictively than during a break in operation of the system installation 5 , For example, in a railroad car 10 , as in 1 shown while driving the railroad car 10 the network access to a brake control system 17b for safety reasons, to prevent the risk of malfunctions and incorrect settings.

Es kann auch vorgesehen sein, die Auswahl der Filterkomponenten in Abhangigkeit von dem Patchzustand und/oder den Softwarekomponenten auf dem Client 2 zu treffen. Beispielsweise kann die Netzwerkfiltereinrichtung 1 einen an den Anschluss 4 angeschlossenen Client 2 vor Gewahrung eines Zugriffs auf das Netzwerk 6 auf vorhandene Software und/oder Patches uberprufen und gemaß des ermittelten Sicherheitsstandards in eine Sicherheitskategorie einstufen. Clients 2 mit aktualisierter Software und sichereren Patchzustanden kann in diesem Fall erweiterter Zugriff auf das Netzwerk 6 der Systemanlage 5 durch Auswahl entsprechender Filterkomponenten in der Netzwerkfiltereinrichtung 1 eingeraumt werden.It can also be provided, the selection of the filter components depending on the patch state and / or the software components on the client 2 hold true. For example, the network filter device 1 one to the connection 4 connected client 2 before granting access to the network 6 Check for existing software and / or patches and according to the established security standard into one Classify security category. clients 2 with updated software and safer patch states, extended access to the network can be provided in this case 6 the system installation 5 by selecting corresponding filter components in the network filter device 1 be admitted.

Uberdies kann auch vorgesehen sein, wahrend des Zugriffs eines Clients 2 auf das Netzwerk 6 eine Mustererkennung des Netzwerkverkehrs des Clients 2 mit dem Netzwerk 6 in der Netzwerkfiltereinrichtung 1 durchzufuhren. In einem solchen Eingriffserkennungssystem (Intrusion Detection System, IDS) konnen bestimmte Netzwerkverkehrsmuster voreingestellt sein, welche zu bekannten Angriffsmustern auf bekannte Sicherheitslucken der Anlagensubsysteme 5a, 5b, 5c zugeordnet sind. Sollte wahrend des Zugriffs des Clients 2 auf das Netzwerk 6 durch die Netzwerkfiltereinrichtung 1 ein derartiges Netzwerkverkehrsmuster erfasst werden, kann der Netzwerkverkehr des Clients 2 gesperrt werden.Moreover, it can also be provided during the access of a client 2 on the network 6 a pattern recognition of the network traffic of the client 2 with the network 6 in the network filter device 1 by feeders. In such an Intrusion Detection System (IDS), certain network traffic patterns may be preset which correspond to known attack patterns on known security gaps of the plant subsystems 5a . 5b . 5c assigned. Should be during the access of the client 2 on the network 6 through the network filter device 1 Such a network traffic pattern can be detected, the network traffic of the client 2 be locked.

In der Netzwerkfiltereinrichtung 1 kann ein Datenbanksystem vorgesehen sein, in welchem Konfigurationsdaten der Systemanlage 5, Patchzustandsinformationen der Anlagensubsysteme 5a, 5b, 5c sowie Filterkomponenten und Voreinstellungen abgelegt sein konnen.In the network filter device 1 a database system can be provided, in which configuration data of the system installation 5 , Patch state information of the plant subsystems 5a . 5b . 5c as well as filter components and presets can be stored.

3b zeigt eine schematische Darstellung einer Netzwerkumgebung einer Netzwerkfiltereinrichtung 1 zum Schutz eines Netzwerks 6 einer Systemanlage 5 gemaß eines weiteren Ausfuhrungsbeispiels. Die Netzwerkfiltereinrichtung 1 in 3b unterscheidet sich von der Netzwerkfiltereinrichtung 1 in 3a darin, dass ein Client 2 uber eine drahtlose Verbindung 3 mit der Schnittstelle 4 der Netzwerkfiltereinrichtung 1 verbunden ist. Die Verbindung 3 kann dabei eine Infrarotverbindung, eine WLAN-Verbindung, eine Bluetoothverbindung, eine WiMAX-Verbindung oder eine ahnliche drahtlose Datenverbindung sein. Insbesondere kann es vorgesehen sein, dass die Datenverbindung 3 eine virtuelle private Netzwerkverbindung (VPN) umfasst. Die Datenverbindung 3 fuhrt dabei uber ein entsprechendes Netzwerk 3a, wie beispielsweise das Internet, UMTS, WiMAX, WLAN oder ein ahnliches Netzwerk. 3b shows a schematic representation of a network environment of a network filter device 1 to protect a network 6 a system installation 5 according to another exemplary embodiment. The network filter device 1 in 3b is different from the network filter device 1 in 3a in that a client 2 over a wireless connection 3 with the interface 4 the network filter device 1 connected is. The connection 3 This may be an infrared connection, a WLAN connection, a Bluetooth connection, a WiMAX connection or a similar wireless data connection. In particular, it may be provided that the data connection 3 a virtual private network (VPN) connection. The data connection 3 leads thereby over a suitable network 3a such as the Internet, UMTS, WiMAX, Wi-Fi or a similar network.

3c zeigt eine schematische Darstellung einer Netzwerkumgebung einer Netzwerkfiltereinrichtung 1 zum Schutz eines Netzwerks 6 einer Systemanlage 5 gemaß eines weiteren Ausfuhrungsbeispiels. Die Netzwerkfiltereinrichtung 1 in 3c unterscheidet sich von der Netzwerkfiltereinrichtung 1 in 3b darin, dass ein Client 2 uber eine drahtlose Verbindung 3 nicht direkt mit der Schnittstelle 4 der Netzwerkfiltereinrichtung 1 verbunden ist, sondern uber einen Fernzugangsserver 3b. Der Fernzugangsserver 3b kann dabei beispielsweise ein proprietarer Remote Service Server eines Betreibers der Systemanlage 5 sein, wie beispielsweise eine Common Remote Service Platform von Siemens. Hierbei kann es sich um einen von dem Betreiber gehosteten IT-Dienst handeln, welcher entsprechend Berechtigten wie Mitarbeitern des Betreibers oder von Geschaftspartnern einen Fernzugriff auf die Systemanlage 5 gewahren kann. In diesem Fall kann eine entsprechende Funktionalitat der Netzwerkfiltereinrichtung 1 auch auf dem Fernzugangsserver 3b realisiert werden, sofern die Datenverbindung 3 zwischen dem Fernzugangsserver 3b und der Schnittstelle 4 der Netzwerkfiltereinrichtung 1 ausreichend gesichert ist. Dadurch kann an zentraler Stelle ein Ausnutzen von Sicherheitslucken einer zu wartenden Systemanlage 5 durch externe Clients 2 unterbunden werden, unabhangig vom Patchzustand des externen Clients 2. 3c shows a schematic representation of a network environment of a network filter device 1 to protect a network 6 a system installation 5 according to another exemplary embodiment. The network filter device 1 in 3c is different from the network filter device 1 in 3b in that a client 2 over a wireless connection 3 not directly with the interface 4 the network filter device 1 is connected, but via a remote access server 3b , The remote access server 3b For example, this may be a proprietary remote service server of an operator of the system installation 5 such as a Common Remote Service Platform from Siemens. This may be an IT service hosted by the operator, which, according to authorized persons such as employees of the operator or of business partners, has remote access to the system installation 5 can guarantee. In this case, a corresponding functionality of the network filter device 1 also on the remote access server 3b be realized, provided the data connection 3 between the remote access server 3b and the interface 4 the network filter device 1 is sufficiently secured. This can be at a central point exploiting security gaps of a system to be maintained system 5 through external clients 2 regardless of the patch state of the external client 2 ,

4 zeigt eine schematische Darstellung eines Verfahrens 40 zum Schutz eines Netzwerks einer Systemanlage gemaß eines Ausführungsbeispiels. Zu Beginn des Verfahrens bei Schritt 41 wird zunachst in Schritt 42 die Art und der Patchzustand einer Zielkomponente wie beispielsweise eines Anlagensubsystems durch eine Netzwerkfiltereinrichtung ermittelt. Auf der Basis der ermittelten Informationen uber Art und Patchzustand der Zielkomponenten wird dann in Schritt 43 eine Auswahl an Filterkomponenten in der Netzwerkfiltereinrichtung 1 getroffen. In Schritt 44 werden die ausgewahlten Filterkomponenten aktiviert und Netzwerkverkehr des Netzwerks der Systemanlage mit externen Clients durch die Netzwerkfiltereinrichtung 1 mit den ausgewahlten Filterkomponenten gefiltert. 4 shows a schematic representation of a method 40 for protecting a network of a system installation according to an embodiment. At the beginning of the procedure at step 41 gets in step first 42 the type and the patch state of a target component such as a plant subsystem determined by a network filter device. On the basis of the determined information about kind and Patchzustand of the target components becomes then in step 43 a selection of filter components in the network filter device 1 met. In step 44 The selected filter components are activated and network traffic of the network of the system installation with external clients through the network filter device 1 filtered with the selected filter components.

In Schritt 45 wird beispielsweise ein Datenpaket eines externen Clients 2 wie zum Beispiel eines Wartungsrechners empfangen, welches in das Netzwerk der Systemanlage geschickt werden soll. In Schritt 46 uberpruft die Netzwerkfiltereinrichtung 1 auf der Basis der ausgewahlten Filterkomponenten das empfangene Datenpaket. Sollte sich in Schritt 47 ergeben, dass das Datenpaket zugelassen werden kann, wird es in Schritt 48a weiterverarbeitet und beispielsweise in das Netzwerk der Systemanlage weitergeleitet. Sollte sich in Schritt 47 jedoch ergeben, dass das Datenpaket nicht zugelassen sein sollte, so wird in Schritt 48b das Datenpaket verworfen und nicht in das Netzwerk der Systemanlage weitergeleitet. Bei Schritt 49 endet das Verfahren.In step 45 becomes, for example, a data packet of an external client 2 such as receiving a maintenance computer to be sent to the network of the system installation. In step 46 checks the network filter device 1 on the basis of the selected filter components, the received data packet. Should be in step 47 show that the data packet can be admitted, it will be in step 48a further processed and forwarded, for example, in the network of the system system. Should be in step 47 However, that the data packet should not be allowed, so in step 48b the data packet discarded and not forwarded to the network of the system installation. At step 49 the procedure ends.

Die Filterkriterien, nach denen die Datenpakete in Schritt 47 überpruft werden konnen beispielsweise die Art des Netzwerkprotokolls, zum Beispiel TCP, UDP, SCTP oder ahnliches, die Portnummer, das Anwendungsprotokoll, zum Beispiel HTTP, FTP, TFTP, Telnet, SCP, SSH, SMTP, POP oder ahnliches, die Anwendungsprotokollmethode, zum Beispiel GET, PUT oder ahnliches, die URL, den Web-Service, die ausgefuhrte Aktion, zum Beispiel Update, Reset, Konfigurationsanderung, Log-Datenabruf oder ahnliches, und weitere nicht genannte Parameter umfassen. Es kann auch moglich sein, die Datenpakete auf Netzwerkverkehrsmuster zu uberprufen, um bekannte Muster fur Angriffsvektoren wie Viren, Wurmer, Trojaner, Spyware oder ahnliche Malware zu identifizieren.The filter criteria according to which the data packets in step 47 For example, you can check the type of network protocol, for example, TCP, UDP, SCTP or similar, the port number, the application protocol, for example, HTTP, FTP, TFTP, Telnet, SCP, SSH, SMTP, POP, or the like, the application protocol method, for example GET, PUT or similar, the URL, the web service, the action performed, for example, update, reset, configuration change, log data retrieval or the like, and other parameters not mentioned. It may also be possible to check the data packets for network traffic patterns to identify known patterns for attack vectors such as viruses, worms, Trojans, spyware or similar malware.

Claims

Network filter device ( 1 ) to protect a network ( 6 ; 11 ; 23 ) of a system installation ( 5 ; 10 ; 20 ) with a large number of system subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ), with: an interface ( 4 ), which is designed to be an external client ( 2 ) with the network ( 6 ; 11 ; 23 ) of the system installation ( 5 ; 10 ; 20 ) connect to; a plurality of filter components; and a control device, which is designed in dependence on a patch state of the plurality of system subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) select one of the plurality of filter components and, with the selected filter component, access one with the interface ( 4 ) connected clients ( 2 ) on the network ( 6 ; 11 ; 23 ) of the system installation ( 5 ; 10 ; 20 ), characterized in that the control device is further adapted to control one of the plurality of filter components in dependence on a patch state of the client ( 2 ).

Network filter device ( 1 ) according to claim 1, further comprising: a detection device, which is adapted to the patch state of the plurality of system subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) capture.

Network filter device ( 1 ) according to claim 2, wherein the detection means is adapted to control the plurality of installation subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) automatically check for their patch condition.

Network filter device ( 1 ) according to claim 2, wherein the detection means is adapted to issue a patch state request to the plurality of plant subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ).

Network filter device ( 1 ) according to any one of the preceding claims, further comprising: a database adapted to receive information about the current patch state of the plurality of plant subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) save.

Network filter device ( 1 ) according to one of the preceding claims, further comprising: a recognition device, which is adapted to network traffic patterns of the client ( 2 ) and access the client ( 2 ) on the network ( 6 ; 11 ; 23 ) of the system installation ( 5 ; 10 ; 20 ) to inhibit if predetermined network traffic patterns are detected.

Network filter device ( 1 ) according to one of the preceding claims, wherein the control device is further adapted to control one of the plurality of filter components in dependence on an operating state of the system installation ( 5 ; 10 ; 20 ).

Network filter device ( 1 ) according to one of the preceding claims, wherein the interface ( 4 ) is a maintenance interface which is adapted to a maintenance computer ( 2 ) with the network ( 6 ; 11 ; 23 ) of the system installation ( 5 ; 10 ; 20 ) for maintenance purposes.

System installation ( 5 ; 10 ; 20 ), comprising: a plurality of plant subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ); a system network ( 6 ; 11 ; 23 ), which covers the large number of plant subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) connects with each other; and a network filter device ( 1 ) according to one of the preceding claims, associated with the system network ( 6 ; 11 ; 23 ) connected is.

Method for protecting a network ( 6 ; 11 ; 23 ) of a system installation ( 5 ; 10 ; 20 ) with a large number of system subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ), comprising the steps of: determining a patch state of the plurality of plant subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ); Selecting a group of a plurality of filter components in response to the detected patch condition; Connecting an external client ( 2 ) with the network ( 6 ; 11 ; 23 ) of the system installation ( 5 ; 10 ; 20 ); and filtering client network traffic ( 2 ) with the system installation ( 5 ; 10 ; 20 ) over the selected set of filter components, characterized by the steps of: determining a patch state of the external client ( 2 ); and selecting the group of a plurality of filter components in dependence on the determined patch state of the client ( 2 ).

The method of claim 10, wherein determining the patch state comprises automatically scanning the plurality of plant subsystems. 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) and / or the external client ( 2 ).

The method of claim 10, wherein determining the patch state includes sending a patch state request to the plurality of plant subsystems. 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) and / or the external client ( 2 ) and receiving a patch state feedback of the plurality of plant subsystems ( 5a . 5b . 5c ; 17a . 17b . 17c ; 27a . 27b . 28a . 28b . 29a ) and / or the external client ( 2 ).

The method of any of claims 10 to 12, further comprising the steps of: analyzing network traffic patterns of the client ( 2 ); and prevent client access ( 2 ) on the network ( 6 ; 11 ; 23 ) of the system installation ( 5 ; 10 ; 20 ) when predetermined network traffic patterns are detected.