-
Die Erfindung bezieht sich auf ein Verfahren zur Überprüfung wenigstens eines Telegramms, sowie auf ein Feldgerät.
-
In Anlagen der Prozessautomatisierungstechnik werden heutzutage Feldgeräte zur Steuerung, Regelung oder Überwachung der dort ablaufenden Prozesse eingesetzt. Als Feldgeräte werden dabei im Prinzip alle Geräte bezeichnet, die prozessnah eingesetzt werden und die prozessrelevante Informationen liefern oder verarbeiten. Neben Messgeräten/Sensoren, Aktoren und Anzeige-/Bedieneinheiten werden als Feldgeräte allgemein auch solche Einheiten bezeichnet, die bspw. direkt an einem Feldbus angeschlossen sind und zur Kommunikation mit den übergeordneten Einheiten dienen, wie z. B. Remote I/Os, Gateways, Linking Devices und Funkeinheiten.
-
Aus der Patentanmeldung
DE 102010063773 A1 ist es bekannt geworden, in einem Feldgerät zwei unterschiedlich konfigurierte Speicherbereiche vorzusehen, in denen Daten gespeichert werden können. Dabei werden sicherheitsrelevante Daten in einen ersten Speicherbereich geschrieben. Daten, die keiner besonderen Prüfung bedürfen, werden in den zweiten Speicherbereich geschrieben.
-
Ferner ist aus der Patentanmeldung
DE 10148029 A1 ein Verfahren zur Datensicherung bei einem Feldgerät bekannt geworden. Dabei werden in einem Fehlerfall Daten aus einem zweiten Speicher in einen ersten Speicher geschrieben.
-
Dabei werden die Daten jedoch nicht inhaltlich sondern nur auf Konsistenz, bspw. vermittels einer Checksumme, überprüft. Inhaltlich falsche, weil bspw. manipulierte Daten, können so nicht erkannt werden. Insbesondere werden gem. den bekannten Verfahren die Daten also zunächst gespeichert bevor sie überprüft werden. Dadurch aber kann bereits ein Schaden entstehen, durch den ein Feldgerät unter Umständen in einer nicht zulässigen Konfiguration betrieben wird. Dies kann bspw. Schäden in der Anlage, in der das Feldgerät eingesetzt wird, zur Folge haben. Außerdem kann aufgrund von Schadsoftware oder der Manipulation von feldgerätebezogenen Daten auch ein anderes mit dem Feldgerät in einer Kommunikationsverbindung stehendes Gerät beschädigt wird.
-
Ausgehend davon ist es Aufgabe der Erfindung die Informationssicherheit in einer industriellen Anlage, insbesondere beim Übertragen von Daten an ein Feldgerät bzw. von einem Feldgerät, zu verbessern.
-
Die Aufgabe wird durch ein Verfahren und ein Feldgerät gelöst.
-
Hinsichtlich des Verfahrens wird die Aufgabe durch ein Verfahren zur Überprüfung wenigstens eines Telegramms, das gemäß einem Feldbusprotokoll über einen Feldbus übertragen wird, gelöst, wobei das Telegramm, welches wenigstens einen Datenblock aufweist, von einem Feldgerät empfangen wird, welches Feldgerät einen ersten Funktionsblock zur Vorverarbeitung des empfangenen Telegramms aufweist, wobei anhand der Vorverarbeitung überprüft wird, ob die in dem wenigstens einen Datenblock enthaltenen Daten vorgegebenen in dem Feldgerät hinterlegten Kriterien, bspw. einem vorgegebenem Wert oder einem vorgegebenem Wertebereich, entsprechen, wobei anhand der Überprüfung bestimmt wird, ob die empfangenen Daten an einen zweiten Funktionsblock zur Weiterverarbeitung der empfangenen Daten in dem Feldgerät weitergeleitet werden.
-
Das Telegramm kann dabei bspw. entsprechend einem Feldbusprotokoll, wie bspw. HART, PROFIBUS, Foundation Fieldbus, o.ä., aufgebaut sein. Das Telegramm kann somit bspw. einen Header und einen daran angeschlossenen Datenblock aufweisen. Der Datenblock wiederum kann einen Nutzdatenblock und ggf. weiter Datenblöcke, wie bspw. einen ersten und einen zweiten Datenblock und/oder einen Datenblock, der eine Checksumme enthält, aufweisen. Der Datenblock kann bspw. ein Kommando gem. einem Feldbusprotokoll enthalten. Vermittels des Kommandos können bspw. dem Kommando zugeordnete Funktionen eines Feldgerätes aufgerufen und/oder Daten von einem Feldgerät abgerufen werden. Ferner kann das Telegramm zusätzlich feldgerätebezogene Daten wie bspw. Parameter bzw. Parameterwerte enthalten, die an ein Feldgerät übertragen werden sollen oder von einem Feldgerät stammen. Ferner können die in dem Telegramm und/oder Datenblock enthalten Daten dazu bestimmt sein, in dem Feldgerät gespeichert zu werden. Allgemein handelt es sich also um feldgerätebezogene Daten die entweder im Feldgerät selbst verarbeitet werden oder zur Kennzeichnung und/oder Identifikation des Feldgerätes verwendet werden.
-
Das Feldgerät kann einen oder mehrere Funktionsblöcke, die zur Verarbeitung, bspw. der empfangenen oder anderer feldgerätebezogener, Daten dienen, aufweisen. Bspw. kann ein Funktionsblock vorgesehen sein, der zur Messwertverarbeitung dient. Dieser Funktionsblock kann bspw. dazu dienen, ein Messsignal in einen Messwert zu wandeln. Dabei kann es sich bspw. um die Firmware oder einen Teil der Firmware des Feldgerätes handeln. Diese Firmware kann ganz allgemein zum Bereitstellen und zum Ausführen der Funktionen und Funktionalitäten des Feldgerätes dienen. Der erste und/oder der zweite Funktionsblock kann Bestandteil dieser Firmware sein. Der erste und der zweite Funktionsblock kann bspw. ebenfalls zur Vorverarbeitung eines, bspw. über einen Feldbus an den das Feldgerät angeschlossen ist, empfangen Telegramms dienen. Der erste Funktionsblock kann ferner in einen anderen Funktionsblock integriert oder mit diesem in einer Kommunikationsverbindung, über die ein Datenaustausch möglich ist, stehen. Der erste Funktionsblock kann bspw. dazu dienen, ein empfangenes Telegramm zu verarbeiten und dieses an einen Kommunikationsstack, auch als Protokollstack bezeichnete Komponente weitergeben, die dazu dient, die verschiedenen Datenblöcke zu identifizieren und an die Komponente bzw. den Funktionsblock weiterzugeben, der zur (Weiter-)Verarbeitung der darin enthalten Daten dient. Andererseits kann der erste Funktionsblock (logisch) auch zwischen dem Kommunikationsstack und einem zweiten Funktionsblock angeordnet sein. Dadurch wird es ermöglicht, den Inhalt des empfangenen Datenblocks auf vorbestimmte Kriterien zu überprüfen, bevor eine Verarbeitung, Weiterleitung und/oder Speicherung der Daten erfolgt.
-
Bspw. kann anhand des ersten Funktionsblock und der verwendeten Kriterien überprüft werden, ob die Daten einen bestimmten Wert aufweisen bzw. beinhalten oder in einem bestimmten Wertebereich liegen. Diese Kriterien können bspw. in einer Speichereinheit, bspw. in Form einer Tabelle, hinterlegt sein, abgelegt werden. Dabei kann bspw. ein Vergleich der empfangen Daten eines oder mehrerer Datenblöcke mit einem oder mehreren der hinterlegten Kriterien erfolgen. Zudem können auch die Daten bzw. Datenblöcke mehrere Telegramme gesammelt werden und bspw. bevor sie an den zweiten Funktionsblock weitergegeben werden oder an eine Speichereinheit oder einen Speicherbereich gespeichert werden, auf den der zweite Funktionsblock Zugriff hat, überprüft werden.
-
Die Überprüfung kann sich bspw. auf den Inhalt der empfangenen Daten beziehen, d.h. es kann eine semantische Analyse durchgeführt werden – also ob inhaltlich gültige Daten vorliegen.
-
Neben der inhaltlichen Überprüfung der Daten in dem Datenblock kann auch eine Überprüfung bzgl. der Konsistenz, bspw. auf Fehler bei der Datenübertragung, der empfangenen Daten erfolgen. Die kann bspw. vermittels einer Checksumme die ebenfalls von dem Feldgerät in Zusammenhang mit dem wenigstens einen Telegramm empfangen wurde, erfolgen.
-
Zusätzlich kann der erste Funktionsblock auch für das Überprüfen von Telegrammen bzw. von Daten die vermittels wenigstens eines Telegramms über einen Feldbus übertragen werden sollen, verwendet werden. Der erste Funktionsblock überprüft also von dem Feldgerät empfangene und/oder gesendete Daten.
-
In Abhängigkeit der Überprüfung kann der erste Funktionsblock die in dem Datenblocke enthaltenen Daten an den zweiten Funktionsblock weiterleiten oder in eine Speichereinheit bzw. einen Speicherbereich schreiben. Zu diesem Zweck können mehrere Speicherbereiche vorgesehen sein, die physikalisch und/oder logisch voneinander getrennt sind. So kann bspw. ein erster Speicherbereich dazu dienen, die Daten die der Überprüfung nicht genügen, getrennt von Daten die einer Überprüfung durch den ersten Funktionsblock standhalten, zu speichern. Vorzugsweise ist dabei ein physikalisch getrennter Speicherbereich bspw. auf einer separaten Speichereinheit vorgesehen.
-
Der Erste Funktionsblock kann bspw. zum Kopieren der Daten von einem ersten Speicherbereich in einen zweiten Speicherbereich dienen.
-
Durch die Überprüfung anhand des ersten Funktionsblocks soll die Speicherung und/oder Verarbeitung von manipulierten Daten verhindert werden. Dadurch wird einerseits die Informationssicherheit und andererseits als Folge dessen auch die Anlagensicherheit gewährleistet. Durch die Überprüfung und durch die zur Überprüfung verwendeten Kriterien soll das unerlaubte ausführen von Kode oder andere Angriffsszenarien wie bspw. ein Pufferüberlauf verhindert werden, indem zumindest ein Teil der Daten in dem Datenblock des empfangenen wenigstens einen Telegramms auf, bspw. durch den Hersteller des Feldgerätes, festgelegte Kriterien überprüft werden. Bei den Kriterien kann es sich um protokollspezifische Kriterien, wie bspw. das Vorhandensein von Steuerzeichen in einem Datenblock und/oder die Länge eines Datenblocks, d.h. die Menge der darin enthaltenen Daten, handeln. Bspw. kann vermittels des ersten Funktionsblocks überprüft werden, ob es sich bei den Daten um protokollfremde Daten handelt, also solche Daten, die nicht in einem Wertebereich liegen oder die nicht einem Kommando entsprechen der/das durch das Protokoll, vermittels dem das Feldgerät kommuniziert, vorgegeben bzw. konform ist. Bspw. kann überprüft werden, ob es sich bei den Daten um Kommandos oder Befehle eines unzulässigen Formats, für dessen Verarbeitung das Feldgerät nicht eingerichtet ist, oder eines anderen Protokolls handelt.
-
In einer Ausführungsform des Verfahrens werden die empfangenen Daten in Abhängigkeit der Überprüfung in einen ersten Speicherbereich oder in einen zweiten Speicherbereich in dem Feldgerät geschrieben. Wie bereits erwähnt, kann es sich dabei um physikalisch bzw. örtlich getrennte Speichereinheiten handeln.
-
In einer weiteren Ausführungsform des Verfahrens dient der erste Speicherbereich dazu, Daten die die vorgegebenen Kriterien nicht erfüllen persistent zu speichern. Diese Daten können, zur Analyse eines Versuchs unerlaubt Daten in ein Feldgerät zu schreiben oder dort zu speichern, später verwendet werden.
-
In einer weiteren Ausführungsform des Verfahrens dient der zweite Speicherbereich dazu, die empfangenen Daten dem zweiten Funktionsblock in dem Feldgerät zur Verfügung zu stellen, durch welchen zweiten Funktionsblock die empfangenen Daten weiterverarbeitet werden.
-
In einer weiteren Ausführungsform des Verfahrens wird durch den ersten Funktionsblock überprüft, ob eine erste in dem Datenblock enthaltene Teilmenge an Daten einem ersten Kriterium entspricht.
-
In einer weiteren Ausführungsform des Verfahrens wird durch den ersten Funktionsblock überprüft, ob eine zweite in dem Datenblock enthaltene, von der ersten Teilmenge verschiedene Teilmenge an Daten einem zweiten Kriterium entspricht.
-
In einer weiteren Ausführungsform des Verfahrens umfasst das Telegramm somit einen ersten und einen zweiten Datenblock, und wobei in dem Feldgerät ein erster Satz an Kriterien hinterlegt ist, anhand deren der erste Datenblock überprüft wird, wobei in dem Feldgerät ein zweiter Satz an Kriterien hinterlegt sind anhand deren der zweite Datenblock überprüft sind, wobei sich der erste und der zweite Satz von Kriterien voneinander unterscheiden.
-
In einer weiteren Ausführungsform des Verfahrens wird das Telegramm bzw. der wenigstens eine Datenblock vor der Überprüfung durch den ersten Funktionsblock in einen dritten Speicherbereich des Feldgerätes geschrieben.
-
In einer weiteren Ausführungsform des Verfahrens werden in Anhängigkeit der Überprüfung die Daten aus dem ersten Speicherbereich entweder in den ersten oder in den zweiten Speicherbereich geschrieben, vorzugsweise kopiert.
-
In einer weiteren Ausführungsform des Verfahrens werden die Kriterien anhand deren das Telegramm bzw. die Daten überprüft, in einem vierten Speicherbereich in dem Feldgerät gespeichert sind.
-
In einer weiteren Ausführungsform des Verfahrens wird durch die Kriterien überprüft, ob die in dem Datenblock enthaltenen Werte innerhalb eines vorgegebenen Wertebereichs, bspw. in einem vorgegebenen Hexadezimalwertebereich, liegen. Der Datenblock kann dazu in verschiedene Teilmengen bzw. Teilbereiche unterteilt werden.
-
In einer weiteren Ausführungsform des Verfahrens wird anhand der Kriterien überprüft, ob der Datenblock eine vorgegebene Datenmenge überschreitet.
-
Hinsichtlich des Feldgerätes wird die Aufgabe durch ein Feldgerät mit einem ersten Funktionsblock, der zur Vorverarbeitung eines empfangenen Telegramms dient, welches Telegramm wenigstens einen Datenblock aufweist, wobei der erste Funktionsblock ferner dazu dient, zu überprüfen, ob die in dem wenigstens einen Datenblock enthaltenen Daten vorgegebenen in dem Feldgerät hinterlegten Kriterien, bspw. einem vorgegebenem Wert oder einem vorgegebenem Wertebereich, entsprechen, und ob die empfangenen Daten an einen zweiten Funktionsblock zur Weiterverarbeitung der empfangenen Daten in dem Feldgerät weitergeleitet werden. In einer Ausführungsform des Feldgerätes weist das feldgerät einen ersten Speicherbereich und einen zweiten Speicherbereich auf, in den die empfangenen Daten in Abhängigkeit der Überprüfung von dem ersten Funktionsblock gespeichert werden.
-
Die Erfindung wird anhand der nachfolgenden Zeichnungen näher erläutert. Es zeigt:
-
1: eine schematische Darstellung eines Feldgerätes,
-
2: eine schematische Darstellung eines Feldgeräte mit einem ersten Funktionsblock zur Überprüfung eines empfangenen Datenblocks anhand von vorgegebenen Kriterien,
-
3: eine schematische Darstellung eines Angriffs bei dem ein Pufferüberlauf in dem Feldgerät erreicht werden soll,
-
4: eine schematische Darstellung eines Angriffs auf ein Bediengerät bzw. eine Anwendung zum Bedienen des Feldgerätes,
-
5: eine schematische Darstellung einer Anordnung umfassend ein bediengerät und eine Auswerteeinheit zur Auswertung der vermittels des ersten Funktionsblocks erfassten Angriffe auf das Feldgerät,
-
6: eine schematische Darstellung von Kriterien zur Überprüfung eines von dem Feldgerät empfangenen bzw. gesendeten Telegramms bzw. Datenblocks.
-
1 zeigt ein Feldgerät FG mit einem Messaufnehmer MA, der eine chemische und/oder physikalische Messgröße in ein elektrisches Signal wandelt, und einer messwertverarbeitenden Logik MV, vermittels der ein Messwert aus diesem Messsignal erzeugt wird. Bei dem Feldgerät FG kann es sich bspw. um ein Temperaturmessgerät, ein Füllstandsmessgerät oder Durchflussmessgerät handeln. Neben der messwertverarbeitenden Logik MV kann auch ein Betriebssystem vorgesehen sein, das die Hardware des Feldgerätes FG verwaltet und Ressourcen an Anwendungen wie bspw. die messwertverarbeitende Logik MV zur Verfügung stellt. Ferner kann eine Kommunikationsschnittstelle (hardwaremäßig) und eine Anwendung IO (softwaremäßig) zum Betreiben der Kommunikationsschnittstelle vorgesehen sein. Diese Anwendungen IO, MV können als separate Funktionsblöcke implementiert oder als Funktionsblöcke in der Firmware des Feldgerätes integriert sein. Firmware und Funktionsblöcke IO, MV können, wie in 1 gezeigt, hardwaremäßig von einem Mikroprozessor µC ausgeführt werden. Es ist aber auch möglich, dass ein erster Mikroprozessor µC zur Ausführung des Funktionsblocks IO und ein zweiter Mikroprozessor µC zur Ausführung des Funktionsblocks MV dient.
-
Ferner weist das Feldgerät FG eine Speichereinheit S1 auf. Die Speichereinheit S1 weist einen oder mehrere Speicherbereiche auf, auf die der Funktionsblock IO und der Funktionsblock MV zugreifen. Bspw. kann ein Messsignal von dem Messaufnehmer MA an den Funktionsblock MV übertragen und ein vermittels der messwertverarbeitenden Logik MV ermittelter Messwert in einen Speicherbereich der Speichereinheit S1 geschrieben werden. In der Speichereinheit S1 können aber auch andere feldgerätebezogene Daten, wie bspw. Parameter, Parameterwerte, Parameterbezeichnungen oder andere Bezeichnungen, ein TAG des Feldgerätes FG, o.ä., gespeichert werden. Der Funktionsblock MV kann auf diese Daten zugreifen, um die Messsignalverarbeitung durchzuführen. Zudem kann auch der Funktionsblock IO auf die Speichereinheit S1 und die Speicherbereiche der Speichereinheit S1 zugreifen, bspw. um empfangenen Daten dort zu speichern, oder Daten aus der Speichereinheit auszulesen, um diese an eine andere Stelle bspw. eine Steuerung oder ein Bediengerät bzw. eine Bedienanwendung zu übertragen.
-
Zu diesem Zweck kann der Funktionsblock IO bei dem es bspw. um einen Protokollstack gem. einem Feldbusprotokoll handelt, die Daten aus der Speichereinheit S1 aufrufen und in ein oder mehrere Telegramme verpacken. Vermittels dieses Funktionsblock IO kann auch ein oder mehrere Datenblöcke aus einem Telegramm, das über die Kommunikationsschnittstelle empfangen wurde, extrahiert werden und dieser eine oder die mehreren Datenblöcke in die Speichereinheit S1 geschrieben werden. Ebenso kann ein weiterer Funktionsblock, der eine bestimmte, vorgegebene Funktion ausführt, vorgesehen sein, der auf die Speichereinheit S1 zugreift, um von dort Daten zu lesen und/oder zu speichern. Insbesondere können eine oder mehrere dieser Funktionsblöcke in die Firmware des Feldgerätes FG integriert sein und/oder mit dieser in einer Kommunikationsverbindung bspw. über einen feldgeräteinternen Datenbus, bspw. einen Inter-Intergrated Circuit-Bus, stehen.
-
Ferner ist es möglich dass Daten, die über unterschiedliche Kommunikationsschnittstellen des Feldgerätes empfangen wurden, in die Speichereinheit S1 geschrieben werden. Bspw. können zu diesem Zweck mehrere Protokollstacks vorgesehen sein, die jeweils zur Verarbeitung von Telegrammen, die über eine bestimmte Kommunikationsschnittstelle in einem bestimmten Format empfangen oder übertragen werden, dienen.
-
Gem. der Ausführungsform des Feldgerätes in 1 werden die von dem Feldgerät FG in dem Schritt 1. empfangenen Daten weder inhaltlich überprüft, noch inhaltlich überwacht, noch inhaltlich kontrolliert. Die empfangen Daten werden in einem Schritt 2. In die Speichereinheit S1 gespeichert. In diese Speichereinheit S1 kann ebenfalls von einem Funktionsblock MV in einem Schritt 3. Daten gespeichert werden. Bei den Daten kann es sich bspw. um einen aus einem Messsignal in einem Schritt 4. ermittelten Messwert handeln. Die in der Speichereinheit enthaltenen Daten können in einem Schritt. 5 wieder über den Feldbus an einen anderen Teilnehmer des Feldbusses übertragen werden. Bei dem Messwert kann es sich um eine chemische und/oder physikalische Größe eines Messstoffs ME handeln.
-
2 zeigt eine ein Feldgerät FG mit mehreren logisch und/oder physikalisch getrennten Speichereinheiten S1, S2, S3, S4.
-
Wird ein Telegramm T1 von dem Feldgerät empfangen, so wird dies gem. der Ausführungsform in 2 dem Funktionsblock IO zugeführt. Dieser kann das empfangene Telegramm entsprechend der durch das verwendete Protokoll vorgegebenen Struktur aufschlüsseln. Ferner kann eine erster Funktionsblock RE vorgesehen sein, der das empfangenen Telegramm vorverarbeitet und überprüft, ob das Telegramm bzw. der Inhalt des Telegramms bspw. der Informationsinhalt eines Datenblocks einem oder mehreren vorgegebenen Kriterien entspricht.
-
Dieser Funktionsblock RE und die damit verbundene (inhaltliche) Überprüfung der empfangenen Daten kann noch vor der Verarbeitung durch den Funktionsblock IO liegen. Andererseits kann die Überprüfung der empfangenen Daten auch nach der Verarbeitung durch den Funktionsblock IO erfolgen.
-
Vermittels des Funktionsblocks RE werden empfangene Daten anhand von Kriterien, die in einer Speichereinheit bzw. einem Speicherbereich S3 hinterlegt werden, überprüft. Dabei wird nicht die Datenkonsistenz bspw. mittels einer Checksumme überprüft, sondern es wird überprüft, ob die empfangenen Daten einen entsprechend eines Kriteriums oder mehreren Kriterien gültigen Wert bzw. Wertebereich aufweisen.
-
Um die empfangenen Daten nicht direkt in eine Speichereinheit bzw. einen Speicherbereich S1 zu schreiben, auf den auch der Funktionsblock MV Zugriff hat, ist ein logisch und/oder physikalisch separater Speicherbereich bzw. Speichereinheit S2 in dem Feldgerät, bspw. innerhalb eines Gehäuses des Feldgerätes FG, vorgesehen.
-
Ein bspw. vermittels des Kommunikationsstacks empfangenes Telegramm wird dann bspw. vermittels des Funktionsblocks RE in diesen SpeicherbereichS2 geschrieben. Die empfangenen Daten können dann anhand der Kriterien überprüft werden und bspw. in dem Fall, dass die Daten die Kriterien nicht erfüllen in eine Speichereinheit bzw. einen Speicherbereich S4 geschrieben werden. Erfüllen die empfangenen und überprüften Daten hingegen eines oder mehrere der vorgegebenen Kriterien, so werden die Daten in die Speichereinheit bzw. den Speicherbereich S1 geschrieben.
-
Bei dem Kriterium kann es sich bspw. um eine Datenlänge, bspw. die Anzahl an erwarteten Bits bzw. Bytes handeln, einen Zeichenkode, wie bspw. ASCII, und/oder einen Zahlenbereich, der für einen oder mehrere oder alle Parameter des Feldgerätes erwartet wird.
-
Bspw. weist das in 2 dargestellte über den Feldbus an das Feldgerät übertragenes Telegramm bzw. ein darin enthaltener Datenblock eine bestimmte Länge auf, die jedoch größer ist als die erwartete Datenlänge. In einem ersten Teil D1 kann bspw. ein Kommando gem. dem Feldbusprotokoll enthalten sein, während der zweite Teil D2 zusätzliche, nicht erwartete Daten enthält. Bspw. können diese Daten D2 dazu dienen eine Speicherüberlauf (Buffer Overflow) zu erzeugen.
-
Wird nun die Datenlänge des empfangenen Datenblocks vermittels des Funktionsblocks RE überprüft, so kann eine Auswirkung auf die Funktionsweise des Feldgerätes verhindert werden.
-
Für den Fall, dass eine Überprüfung von Daten bzw. eines empfangenen Telegramms ein negatives Ergebnis liefert, also die empfangenen Daten in die Speichereinheit bzw. den Speicherbereich S4 geschrieben wird kann eine optische Signalisierung, bspw. ausgelöst durch den Funktionsblock RE, erfolgen.
-
Bspw. kann vorgesehen sein über ein erstes Telegramm T1 empfangene Daten bspw. in einem oder mehrere Datenblöcken D1, D2 anhand eines ersten Kriteriums zu überprüfen. Ferner kann vorgesehen sein, von dem Feldgerät FG in einem Telegramm in einem oder mehreren Datenblöcken zu übertragende Daten vor dem Übertagen über den Feldbus anhand eines zweiten Kriteriums zu überprüfen, welches zweite Kriterium sich von dem ersten Kriterium unterscheidet. Bspw. kann das zweite Kriterium anhand einer Identifikation, die den Teilnehmer bestimmt an den das Telegramm von dem Feldgerät FG übertragen werden soll, abhängen.
-
Das Telegramm T1 kann in einem Schritt 1. von dem Feldgerät empfangen werden und in einem zweiten Schritt 2. In eine Speichereinheit S2 geschrieben werden. In einem dritten Schritt werden Kriterien aus einer Speicherbereich S3 geladen und von dem Funktionsblock RE zur Überprüfung der empfangenen Daten verwendet. In einem Schritt 4. Können die Daten die der Überprüfung nicht genügen in einem Speicher S4 gespeichert werden.
-
Diese Daten werden von der weiteren Verarbeitung ausgenommen. In diese Speichereinheit S1 können weiterhin ebenfalls von dem Funktionsblock MV in einem Schritt 5. Daten gespeichert oder daraus ausgelesen werden. Bei den Daten kann es sich bspw. um einen aus einem Messsignal in einem Schritt 6. ermittelten Messwert oder zur Berechnung des Messwerts erforderliche Daten wie bspw. Parameter/-werte handeln.
-
3 eine schematische Darstellung eines Angriffs bei dem ein Pufferüberlauf (Buffer Overflow) in dem Feldgerät FG erreicht werden soll. Ähnlich wie der Datenblock aus 2 weist ein (in einem Schritt 1.) empfangenes Telegramm einen ersten Teil D1 der bspw. ein Feldbuskommando enthält. Dieser Teil und ein sich daran anschließender zweiter Teil D2 werden dann (in einem Schritt 2.) in die Speichereinheit S1 geschrieben, ohne überprüft zu werden. Dadurch aber, dass der Funktionsblock IO nur einen bestimmten Speicherbereich allokiert hat um eine erwartete Datenlänge darauf abzubilden, kann aufgrund der Daten in dem Datenblock D2 zusätzlich Speicher in der Speichereinheit S1 überschrieben werden und dadurch unter Umständen die Funktion des Funktionsblocks MV beeinflusst werden, bspw. wenn dieser Daten aus einem Speicherbereich, der sich an denjenigen der zur Speicherung der Daten D1 anschließt, in einem Schritt 3. abruft.
-
4 zeigt ein weiteres Szenario eines Angriffs auf bzw. vermittels eines Feldgerätes FG. Über eine erste Bedienanwendung bspw. auf einem ersten Bediengerät kann in einem Schritt 1. vermittels eines Telegramms T1 Daten an ein Feldgerät FG übertragen werden. Die in diesem Telegramm T1 enthaltenen Daten können sich bspw. auf Parameter oder andere feldgerätebezogenen Daten beziehen. Vorliegend soll bspw. eine sog. TAG, der die Messstelle an der das Feldgerät eingesetzt wird, kennzeichnen. Dieser TAG kann in dem Feldgerät FG gespeichert werden. Vorliegend wird ein Telegramm T1 das ein Kommando zum Setzen des TAGs enthält an das Feldgerät FG übertragen. Anstatt eines TAGs der Form „Messstelle 42“ enthält aber der Nutzdatenblock der eigentlich die Feldgerätebezeichnung enthalten sollte, bspw. einen XML-Kode, wie bspw. „xmlns=x-schema:http://url“. Dieser Kode wird, falls keine Überprüfung des empfangenen Telegramms durchgeführt wird, in eine Speichereinheit oder Speicherbereich S1 geschrieben. Wird nun der TAG von einer anderen Bedienanwendung BG 2, die bspw. auf einem Bediengerät ausgeführt wird, oder der Steuerung einer Anlage in einem Schritt 2. Angefragt und in einem Schritt 3. ausgelesen, so wird der darin enthaltene Kode an die Bedienanwendung übertragen. Somit so kann unter Umständen ein Schadkode ausgeführt oder in die Bedienanwendung BG2 oder sogar die Steuerung geladen werden. Dadurch kann die Anlagensicherheit oder die Informationssicherheit der Anlage gefährdet werden.
-
Gem. einer Ausführungsform der Erfindung können jedoch Kriterien in dem Feldgerät FG hinterlegt werden, anhand derer empfangene und/oder gesendete Telegramme inhaltlich überprüft werden. Vorzugsweise werden die Daten die den vorgegebenen Kriterien entsprechen bzw. diese nicht erfüllen, in eine Speichereinheit S4 bzw. einen Speicherbereich in dem Feldgerät FG abgespeichert. Bspw. kann die in Zusammenhang mit anderen in dem Telegramm T1 enthaltenen Informationen, wie bspw. der Ursprungsadresse und/oder einem Zeitpunkt zu dem das Telegramm empfangen wurde, geschehen. Ferner kann auch ein Zähler vorgesehen sein, der angibt, wie oft ein bestimmte Art von Telegramm oder Datenblock empfangen wurde. Anhand des Zählers kann dann entschieden werden, ob die Annahme von weiteren Telegrammen blockiert werden soll. Bspw. werden sehr viele falsche Telegramme mit gleichem „Layout“ empfangen, der Zähler kann dann anzeigen, dass schon 100 dieser Telegramme empfangen wurden. Daraufhin kann das Feldgerät entscheiden, dass die Bearbeitung weiterer Telegramme komplett eingestellt wird um eine Überlastung des Mikroprozessors µC durch falsche Telegramme präventiv vorzubeugen, z.B. um ein Denial of Service zu verhindern. Dies kann entweder alle empfangenenTelegramme betreffen (bei HART würde man den primären Messwert nach wie vor über 4–20 mA bekommen) oder aber das Feldgerät würde einfach einen bestimmten Typ von Anfrage sofort verwerfen, aber andere nach wie vor bearbeiten (z.B. Telegramme von einer bestimmten Adresse werden sofort ohne weitere Prüfung verworfen).
-
Gem. 5 können vermittels eines Feldgerätes FG, das einen solchen Funktionsblock RE zum Überprüfen von Daten aufweist, die in der Speichereinheit bzw. dem Speicherbereich S4 gespeicherten Daten vermittels einer Bedienanwendung ausgelesen werden. Bspw. kann ein solches Auslesen dem Feldgerätehersteller vorbehalten sein. Insbesondere kann dies nur über eine Vor-Ort-Schnittstelle des Feldgerätes erfolgen. Diese ausgesonderten Daten können dann bspw. Ausgewertet werden, um zukünftige Angriffe zu vermeiden oder ausschließen zu können. Bspw. kann eine Datenbank vorgesehen sein, in der ausgesonderte Daten von verschiedenen Feldgeräten gespeichert werden. Anhand dieser in der Datenbank vorliegenden Daten können dann weitere Kriterien bestimmt oder festgelegt werden, anhand derer Daten die das Feldgerät in dem Funktionsblock RE überprüft ausgesondert werden.
-
6 zeigt eine sog. Whitelist die Kriterien zur Überprüfung von empfangenen Daten enthält. Nur Daten die diese Kriterien erfüllen werden zur weiteren Verarbeitung an einen zweiten Funktionsblock freigegeben. Alle anderen Daten werden bspw. in einer separaten Speichereinheit bzw. einem Speicherberiech S4 ausgesondert.
-
Stattdessen kann aber auch sog. Blacklist verwendet werden, die alle Daten zur weiteren Verarbeitung freigibt und nur die Daten aussondert, die die Kriterien der Blacklist erfüllen.
-
Die in 5 angegebene Whitelist legt Attribute (Kriterien) fest, die ein erstes Kommando betrifft. Ferner enthält die Whitelist Attribute bzgl. eines zweiten Kommandos. Wird ein Telegramm empfangen, das das Kommando „1“ bzw. das Kommando „130“ enthält, werden die dieses Kommando betreffenden Attribute, die bspw. die in einem Nutzdatenblock des Telegramms enthaltenen Daten betreffen, zur Überprüfung dieser Daten verwendet.
-
Bspw. kann durch die Kriterien festgelegt werden, dass ein auf ein Kommando folgender Datenblock eine Länge von einer bestimmten Anzahl an Bytes, bspw. maximal 10 Bytes aufweist. Ferner kann auch vorgegeben werden, dass zur Überprüfung eines Telegramms oder eines auf ein Kommando folgenden Datenblocks mehrere, hier zwei, Kriterien verwendet werden.
-
Dieser (Nutz-)Datenblock eines Telegramms kann zur Überprüfung in weitere Unterdatenblöcke bspw. Datenmengen unterteilt werden. Bspw. kann sich ein erster Kriterium auf eine erste Datenmenge beziehen, die bspw. wie in 6 dargestellt aus den Bytes 0–5 besteht, und einer zweiten Datenmenge, die aus den Bytes 6–9 besteht. Aufgrund von Erfahrungswerten oder aufgrund von Vorgaben des verwendeten Protokolls oder aufgrund des Typs des verwendeten Feldgerätes kann festgelegt werden, ob die in der ersten Teilmenge enthaltenen Daten einen bestimmten, gültigen Wert, wie bspw. einen bestimmten, gültigen Hexadezimalwert, aufweisen. Hierfür kann ein Wertebereich für die erste Teilmenge und für die zweite Teilmenge bestimmt werden.
-
Die zweite Tabelle in 6 zeigt schematisch den Aufbau von Kriterien, die zur Überprüfung von empfangenen Daten verwendet werden, bspw. vermittels des Funktionsblocks RE.
-
Bspw. kann ein Kommando angegeben werden, auf das sich die Überprüfung bezieht. Bspw. können dadurch Kommandos überprüft werden, die einen Schreibzugriff auf den Speicher des Feldgerätes erfordern. Ferner kann vorgegeben werden, dass diese Kommandos und/oder die darauf folgenden Nutzdaten eine bestimmte Länge nicht überschreiten. Ferner können für bestimmte Teilmengen Werte bzw. Wertebereiche vorgegebene werden. Ferner kann überprüft werden, ob einzelne Bytes, wie bspw. Start und/oder End-Bytes eine bestimmte Teilmenge, einen bestimmten Wert aufweisen. Dies kann für verschiedene Teilmenge und oder Kommandos erfolgen.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102010063773 A1 [0003]
- DE 10148029 A1 [0004]
