-
Die Erfindung bezieht sich auf ein Verfahren zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung, die in einem Netzwerk mit hoher Sicherheitsanforderung angeordnet ist durch eine Integritätsprüfeinrichtung, die in einem zweiten Netzwerk mit geringer Sicherheitsanforderung angeordnet ist, sowie ein Integritätsprüfsystem mit einer Integritätsprüfeinrichtung und einer Integritätsmeldeeinrichtung.
-
Sicherheitslösung für die Übertragung von Daten zwischen Netzen mit unterschiedlichen Sicherheitsanforderungen, sogenannte Cross-Domain-Security Lösungen werden bislang für spezielle Bereiche, wie Behördenkommunikation, verwendet. Darin gelten hohe Sicherheitsanforderungen, insbesondere für Dokumente mit Sicherheitsklassifikation. Durch eine Cross-Domain-Lösung, wie beispielsweise in der
DE 10 2013 226 171 , wird ein automatisierter sicherer Austausch von Dokumenten und Nachrichten zwischen Zonen mit unterschiedlich hohen Sicherheitsanforderungen realisiert.
-
Andererseits weisen Automatisierungsnetze hohe Anforderungen bezüglich einer Betriebssicherheit auf, d.h. einen störungsfreien und anwendungssicheren Betrieb der einzelnen Komponenten, sowie bezüglich Echtzeitfähigkeit, Verfügbarkeit und Integrität, und wurden daher als isolierte Teilnetze geplant und betrieben. Für die Kopplung von solchen industriellen Steuerungsnetzen mit einem Büronetz, einem öffentlichen Internet oder einem Diagnosenetzwerk, die üblicherweise nur geringen Sicherheitsanforderungen genügen, werden beispielsweise unidirektionale Daten-Gateways mit Sende- und Empfangsknoten, wie in der
US 2012 0331 097 A1 beschrieben, verwendet. Eine wesentliche Komponente ist dabei eine Datendiode, die einen Transport von Daten lediglich in eine Richtung sicherstellt.
-
Für die Kopplung von industriellen Steuerungsnetzen mit einem Büronetzwerk oder anderen weiger sicherheitsrelevanten Netzwerken werden auch herkömmliche Firewalls verwendet, die die Datenkommunikation nach konfigurierbaren Filterregeln filtern. Es sind auch Firewalls bekannt, die ein Windows-Laufwerk eines Automatisierungsnetzwerks auf der anderen Seite der Firewall, beispielsweise im wenig sicherheitskritischen Netzwerk, als Nur-Lese-Laufwerk sichtbar machen, das Laufwerk dabei also spiegeln. Dadurch kann außerhalb des Automatisierungsnetzwerks der Inhalt des Netzlaufwerks auf Viren und unzulässige Änderungen analysiert werden. Die Datenkommunikation wird dabei abhängig von den Adressen der Kommunikationspartner und dem verwendeten Kommunikationsprotokoll zugelassen oder blockiert.
-
Es ist desweiteren bekannt, eine Netzwerkverbindung über eine Applikations-Proxy zu führen, der auf Transportebene beispielsweise eine TCP-Verbindung terminiert. Solchen Lösungen garantieren jedoch keine Rückwirkungsfreiheit in der erforderlichen Güte.
-
In sicherheitskritischen Netzen, wie beispielsweise einem Bahnsicherungsnetz, muss die Integrität der Datenkommunikation und die Integrität der Software, die auf den verschiedenen Einrichtungen bzw. Komponenten ablaufen, sichergestellt sein, um einen sicheren Ablauf zu garantieren. Dies muss insbesondere in sicherheitskritischen Netzen, die für funktionale Sicherheit (Safety) verwendet werden, mit hoher Verlässlichkeit realisiert sein. Herkömmliche Firewalls sind dafür nicht geeignet. Es muss einerseits sichergestellt sein, dass eine Kommunikation von Daten aus dem sicherheitsrelevanten Netz in ein weniger sicherheitsrelevantes Netz rückwirkungsfrei durchgeführt wird. Diese Rückwirkungsfreiheit bedeutet, dass durch die Übertragung keinerlei Daten in das sicherheitskritische Netzwerk eingebracht werden. Zum anderen muss jede neue Software, die die Datenkommunikation im sicherheitskritischen Netz betrifft, von offizieller Stelle zugelassen werden. Eine solche Zulassung dauert üblicherweise mehrere Tage bis Wochen oder sogar Monate. Dies erschwert beispielsweise das Verwenden von aktualisierten Virenpattern zur Überwachung der einzelnen Netzkomponenten innerhalb des sicherheitskritischen Netzwerks.
-
Es ist somit die Aufgabe der vorliegenden Aufgabe der Erfindung, eine Integritätsüberwachung der Datenkommunikation und der Softwarekonfiguration von Einrichtungen in einem sicherheitskritischen Netzwerk zu gewährleisten ohne dabei zusätzliche Daten in das sicherheitskritische Netz einzubringen oder die Kommunikation innerhalb der sicherheitskritischen Netzwerke zu stören.
-
Die Aufgabe wird durch die in den unabhängigen Ansprüchen beschriebenen Maßnahmen gelöst. In den Unteransprüchen sind vorteilhafte Weiterbildungen der Erfindung dargestellt.
-
Das erfindungsgemäße Verfahren zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung, die in einem ersten Netzwerk mit hoher Sicherheitsanforderung angeordnet ist, durch eine Integritätsprüfeinrichtung, die in einem zweiten Netzwerk mit geringer Sicherheitsanforderung angeordnet ist, weist folgende Verfahrensschritte auf:
- – ein Bereitstellen von Prüfinformation der zu überwachenden Daten der ersten Einrichtung an eine Integritätsprüfeinrichtung mittels einer rückwirkungsfreien Einweg-Kommunikationseinheit,
- – ein Überprüfen der Prüfinformation im zweiten Netzwerk gegenüber mindestens einer Referenzinformation und
- – ein Übertragen einer Statusmeldung an eine Integritätsmeldeeinrichtung im ersten Netzwerk.
-
Die rückwirkungsfreien Einweg-Kommunikationseinheit, kann dabei beispielsweise eine Datendiode umfassen, die beispielsweise als eine Mithöreinrichtung, die lediglich im sicherheitsrelevanten ersten Netzwerk übertragene Daten kopiert und in das zweite Netzwerk ausleitet, oder durch einen unidirektional übertragenden Lichtwellenleiter ausgebildet sein. Dadurch ist die Anforderung der Rückwirkungsfreiheit gewährleistet. Die Prüfinformation aus dem ersten Netzwerk kann nun im zweiten Netzwerk also ohne die sicherheitsbedingten Einschränkungen des ersten Netzwerkes auch gegenüber neuen Virenpatter oder gegenüber einer Positivliste für ausführbare Dateien etc. geprüft werden. Es kann somit eine Überprüfung zu beliebiger Zeit und gegenüber beliebiger Referenzinformation durchgeführt werden. Durch das Übertragen einer Statusmeldung an eine Integritätsmeldeeinrichtung im ersten Netzwerk erfolgt eine erste Rückmeldung in das sicherheitskritische Netz, die dort ausgewertet und auf die reagiert werden kann. Somit ist eine verbesserte Integrität innerhalb des abgeschlossenen sicherheitskritischen ersten Netzwerks gegeben.
-
In einer vorteilhaften Ausführungsform werden Konfigurationsdaten und/oder ausführbare Dateien und/oder daraus abgeleitete Kennwerte als Prüfinformation bereitgestellt.
-
Es kann somit beispielsweise manipulierte Software, insbesondere unzulässig eingebrachte ausführbare Dateien erkannt werden. Auch eine Manipulation der ersten Einrichtung durch neue Virensoftware kann durch aktuelle Virenscanner außerhalb des ersten Netzwerks viel früher aufgespürt werden, da nicht auf eine Zulassung solcher aktuellen Virenscanner für das beispielsweise zulassungsbeschränkte erste Netzwerk gewartet werden muss. Durch das Übertragen von Messwerten, die von den Konfigurationsdaten oder auch ausführbaren Dateien abgeleitet wurden, kann die Prüfinformation in ihrer Größe stark reduziert werden. Solche Messwerte sind beispielsweise Hash-Werte der Prüfinformation, die die Konfigurationsdaten bzw. ausführbaren Dateien eindeutig kennzeichnen.
-
In einer vorteilhaften Ausführungsform werden zusätzlich Meta-Daten von allen zu überwachenden Daten der Integritätsprüfeinheit bereitgestellt und anhand der Meta-Daten die Vollständigkeit der bereitgestellten Daten überprüft.
-
Dies führt zu einer hohen Verlässlichkeit und stellt sicher, dass tatsächlich alle zu überwachenden Daten zur Prüfung bereitgestellt wurden. Solche Meta-Daten können beispielsweise in Form einer Manifest-Datei, wie beispielsweise zur Verteilung von Java-Klassenbibliotheken und Java-Programmen eingesetzt werden, übermittelt werden.
-
In einer vorteilhaften Ausführungsform enthalten die Meta-Daten mindestens einen Kennwert für Prüfdaten und mindestens eine kryptographische Prüfsumme des mindestens einen Kennwertes der Prüfdaten und/oder eine Aktualitätsinformation der Meta-Daten.
-
Dies wiederum garantiert die Integrität der Meta-Daten und gibt beispielsweise über einen Zeitstempel als Aktualitätsinformation die Erfassungszeit an, zu der die Prüfinformation zusammengestellt und damit auch aktiv war.
-
In einer vorteilhaften Ausgestaltungsform ist die Referenzinformation mindestens eine Soll-Dateninformation oder ein mindestens ein Schadstoffsoftware-Muster.
-
Eine Soll-Dateninformation kann beispielsweise eine Positivliste aller für die erste Einrichtung zugelassenen Dateien, insbesondere aller zugelassenen ausführbaren Dateien sein. Insbesondere bei geschlossenen Netzwerken ist eine Soll-Dateninformation beispielsweise über Zulassungsprotokolle bekannt. Durch eine Überprüfung der in der ersten Einrichtung enthaltene Prüfinformation, insbesondere implementierte Software, außerhalb des sicherheitskritischen Netzwerks unterliegt die Referenzinformation nicht der Zulassungspflicht. Die auf der ersten Einrichtung implementierte Software kann somit insbesondere gegenüber nicht zugelassener Referenzinformation, wie beispielsweise aktuelle Schadsoftware-Muster (patchbare Virenscanner) geprüft werden.
-
In einer vorteilhaften Ausführungsform wird die Statusmeldung über einen Rückkanal der Einweg-Kommunikationseinheit an eine Integrationsmeldeeinrichtung übertragen.
-
Dies hat den Vorteil, dass zeitnah Maßnahmen im ersten Netzwerk abhängig vom gemeldeten Status eingeleitet werden können. So können beispielsweise Warnhinweis an alle anderen Komponenten des ersten Netzwerkes verteilt werden oder Funktionen deaktiviert werden. Auch kann ein Sicherheitslevel innerhalb des ersten Netzwerkes entsprechend gesetzt und kommuniziert werden, der wiederum auf die Ausführung bestimmter Funktionalitäten Einfluss hat. Eine Integritätsmeldeeinrichtung kann insbesondere als eine im ersten Netzwerk übliche Komponente sein. Beispielsweise kann die Integritätsmeldeeinrichtung ein Feldgerät, insbesondere ein Sensor, sein, das die empfangene Statusmeldung über ein im herkömmlichen Betrieb verwendetes Protokoll innerhalb des ersten Netzwerks weiterleiten kann.
-
In einer vorteilhaften Ausführungsform wird die Statusmeldung von einem Ladeserver im zweiten Netzwerk über eine Lade-Schnittstelle an die mindestens eine erste Einheit übertragen.
-
Dies hat den Vorteil, dass die Einführung oder das Einbringen von Daten in das erste Netzwerk über den üblichen Weg des Ladeservers verwendet wird und somit keine zusätzliche neue Schnittstelle, die wiederum überwacht werden müsste, benötigt wird.
-
In einer vorteilhaften Ausführungsform werden in Abhängigkeit von der Statusmeldung Maßnahmen im ersten und/oder im zweiten Netzwerk eingeleitet.
-
So kann ein Automatisierungssystem auf eine Integrationsverletzung reagieren beispielsweise durch Aktivieren einer eingeschränkten Notbetriebsart oder durch Einnehmen eines Fail-Safe-Betriebszustands. Bei einem Fail-Safe-Betriebszustand wird lediglich eine fehlerhafte Komponente deaktiviert ohne das gesamte System lahmzulegen. Im zweiten Netzwerk können Maßnahmen, wie z.B. eine kurzfristige Bereitstellung neuer Konfigurationsdaten ergriffen werden.
-
In einer vorteilhaften Ausführungsform wird im zweiten Netzwerk überwacht, ob tatsächlich relevante Daten in der Prüfinformation enthalten sind und tatsächlich eine Prüfung durch die Integrationsprüfeinrichtung durchgeführt wurde.
-
Dadurch ist mit hoher Verlässlichkeit gewährleistet, dass die Integrationsüberprüfung tatsächlich erfolgt. Das Vorgaukeln einer Überprüfung oder ein Ausfall der Überprüfung wird somit detektierbar. Wird eine gewünschte Überprüfung als nicht durchgeführt erkannt, so kann daraus ebenfalls auf eine Manipulation im ersten Netzwerk geschlossen werden und Maßnahmen eingeleitet werden.
-
Das erfindungsgemäße Integritätsprüfsystem zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung, die in einem ersten Netzwerk mit hoher Sicherheitsanforderung angeordnet ist, umfasst eine Einweg-Kommunikationseinheit und eine Integritätsprüfeinrichtung, wobei die Einweg-Kommunikationseinheit derart ausgebildet ist, dass die Prüfinformation von der ersten Einrichtung an die Integritätsprüfeinrichtung, die in einem zweiten Netzwerk mit geringer Sicherheitsanforderung angeordnet ist, zu übertragen und die Integritätsprüfeinrichtung derart ausgebildet ist, die Prüfinformation gegenüber mindestens einer Referenzinformation zu überprüfen.
-
Das Integritätsprüfsystem ist somit außerhalb des sicherheitskritischen ersten Netzwerks angeordnet und muss damit nicht bei der Betriebssicherheitszulassung betrachtet werden, das es rückwirkungsfrei ist. Dadurch kann es flexibel aktualisiert werden. Das Integritätsprüfsystem ist insbesondere derart ausgebildet, ein Verfahren gemäß den beschriebenen Merkmalen auszuführen.
-
Eine erfindungsgemäße Integritätsprüfeinrichtung zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung umfasst eine Empfangseinheit, die derart ausgebildet ist, Prüfinformation zu empfangen und eine Statusinformation auszugeben. Sie umfasst desweiteren eine Speichereinheit, die derart ausgebildet ist, Referenzinformation zu speichern. Desweiteren umfasst die Integritätsprüfeinrichtung eine Auswerteeinheit, die derart ausgebildet ist, dass die Prüfinformation gegenüber der Referenzinformation zu prüfen.
-
Eine erfindungsgemäße Integritätsmeldeeinrichtung zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung ist als ein Automatisierungsgerät in einem als Automatisierungssystem ausgebildeten ersten Netzwerk ausgebildet.
-
Dies ermöglicht eine einfache Übermittlung einer Statusinformation innerhalb des ersten Netzwerks und somit einer schnellen Verbreitung und Reaktion darauf.
-
Es wird desweiteren ein Computerprogrammprodukt beansprucht, das direkt in einem programmierbaren Computer ladbar ist und Programmcodeteile umfasst, die dazu geeignet sind die Schritte des Verfahrens durchzuführen.
-
Ausführungsbeispiele des erfindungsgemäßen Verfahrens, des Integritätsprüfsystems bzw. der enthaltenen Einrichtungen sind in den Zeichnungen beispielhaft dargestellt und werden anhand der nachfolgenden Beschreibung näher erläutert. Es zeigen:
-
1 ein Ausführungsbeispiel des erfindungsgemäßen Verfahrens in Form eines Ablaufdiagramms;
-
2 ein erstes sicherheitsrelevantes Netzwerk, das an ein zweites weniger sicherheitskritisches Netzwerk gekoppelt ist mit einem ersten Ausführungsbeispiel eines erfindungsgemäßen Integritätsprüfsystems in schematischer Darstellung;
-
3 ein zweites Ausführungsbeispiel eines erfindungsgemäßen Integritätsprüfsystems mit abgesetzter Integritätsprüfeinrichtung in schematischer Darstellung; und
-
4 ein Ausführungsbeispiel einer erfindungsgemäßen Integritätsprüfeinrichtung in Blockdarstellung.
-
Aneinander entsprechende Teile sind in allen Figuren mit den gleichen Bezugszeichen versehen.
-
Anhand eines Ablaufdiagramms in 1 wird nun eine Lösung zur rückwirkungsfreien Integritätsüberwachung von Einrichtungen eines ersten sicherheitskritischen Netzwerks, beispielsweise eines Automatisierungssystems beschrieben. Im Ausgangszustand 10 befindet sich in einem ersten Netzwerk mit hoher Sicherheitsanforderung mindestens eine Einrichtung. Dies können beispielsweise Feldgeräte oder Komponenten eines Bahnsicherungsnetzwerks, wie beispielsweise Fahrsignale, Schranken oder auch Weichen, die beispielsweise über einen Steuerungsrechner, der ebenfalls im abgeschlossenen Bahnsicherungsnetz angeordnet ist, sein. Zwischen diese Einrichtungen werden Nachrichten innerhalb des ersten Netzwerks ausgetauscht. Jede Einrichtung umfasst Mikroprozessoren, die mit Software konfiguriert sind um verschiedenste Funktionen auszuführen.
-
Um die Integrität dieser Komponenten sicherzustellen können einerseits die zwischen den Einrichtungen übermittelten Daten geprüft werden. In der vorliegenden Erfindung wird daneben insbesondere die in den einzelnen Einrichtungen vorliegende Software auf Integrität überprüft. Information zur enthaltenen Software einer Einrichtung, die zur Integritätsprüfung verwendet wird, ist im Folgenden als Prüfinformation bezeichnet.
-
Zur Integrationsüberwachung stellen diese ersten Einrichtungen im Verfahrensschritt 11 Prüfinformation an eine Integritätsprüfeinrichtung, die in einem zweiten weniger sicherheitsrelevanten Netzwerk, wie beispielsweise einem Büronetz angeordnet ist, bereit. Als Prüfinformation überträgt eine Einrichtung im ersten Netzwerk beispielsweise ihre Konfigurationsdaten und/oder ihre ausführbaren Dateien und/oder daraus abgeleitete Kennwerte, wie beispielsweise ein Hash-Wert der Konfigurationsdaten bzw. Dateien. Die Übertragung der Daten findet dabei über eine rückwirkungsfreie Einweg-Kommunikationseinheit, beispielsweise eine Datendiode statt. Zusätzlich zur den eigentlichen Prüfinformation werden vorzugsweise Meta-Daten bereitgestellt, um die Vollständigkeit bzw. Korrektheit der Einwegdaten zu gewährleisten. Dazu wird beispielsweise eine Manifest-Datei mit Hash-Werten der zu prüfenden Daten und einer kryptographischen Prüfsumme übermittelt.
-
In der Integritätsprüfeinrichtung wird nun im Verfahrensschritt 12 die Prüfinformation gegenüber mindestens einer Referenzinformation überprüft. Eine solche Referenzinformation ist typischerweise eine Soll-Dateninformation, wie beispielsweise eine Positivliste erlaubter ausführbarer Dateien oder ein Konfigurationsstand der installierten Software der Einrichtung. Diese Referenzinformation ist die insbesondere in geschlossenen und/oder Zulassungspflichtigen Netzen bekannt. Die Prüfinformation kann aber auch gegen mindestens einem Schadsoftware-Muster, insbesondere den aktuellsten Virenmustern, als Referenzinformationen geprüft werden.
-
Bei einer Integritätsverletzung wird beispielsweise ein Alarmsignal durch das Übertragen einer Statusmeldung in das erste Netz übermittelt und dort bereitgestellt, siehe Verfahrensschritt 13. Vorzugsweise wird die Statusmeldung dem ersten Netzwerk bzw. Automatisierungssystem über einen Rückkanal, insbesondere in Form eines elektrischen Schaltsignals oder in Form einer Datenübertragung über eine weitere Einweg-Kommunikationseinheit bereitgestellt. Eine Statusmeldung „OK“ zeigt für unbedenklich verifizierte Prüfdaten an. Es kann aber auch eine unkritische Integritätsverletzung als „uncritical integrity vialation“ oder eine kritische Integritätsverletzung als „critical integrity vialation“ gemeldet werden, worauf das erste Netzwerk mit unterschiedlichen Maßnahmen reagieren kann. So kann beispielsweise eine eingeschränkte Notbetriebsart aktiviert werden oder ein Fail-Safe-Betriebszustand eingenommen werden.
-
Die Verlässlichkeit der Integritätsprüfung kann durch einen sogenannten Liveliness-Check erhöht werden. Dabei wird überwacht, ob tatsächlich Prüfinformation übertragen wird bzw. eine entsprechende Nachricht tatsächlich Prüfinformation enthält, und ob in der Integritätsprüfeinrichtung tatsächlich eine Überprüfung durchgeführt wurde.
-
2 zeigt ein industrielles Automations- und Steuerungssystem 103, das in einem ersten sicherheitsrelevanten Netz 101 betrieben wird. Alle Komponenten und Einrichtungen in diesem ersten Netzwerk 101 sowie deren Software-Konfiguration und Anwendungsdateien unterliegen typischerweise einer Zulassungspflicht. Das heißt, die Konfiguration der Einrichtungen oder auch die Software als Überbegriff für alle Steuerungsprogramme oder Anwendungsprogramme können lediglich über spezielle Ladeserver, nicht dargestellt, und zu bestimmten Zeitpunkten in das erste Netzwerk 101 eingebracht werden. Das industrielle Automatisierungs- und Steuerungssystem 103 umfasst beispielsweise Feldgeräte, Steuerrechner, Diagnoserechner und ähnliche Einrichtungen. Typischerweise ist ein solches erstes Netzwerk 101 sehr sensibel bezüglich seiner Betriebssicherheit und erfordert echtzeitkritische Datenübertragung zwischen den Einrichtungen. Das erste Netzwerk 101 ist aus Netzwerksicht ein geschlossenes Netzwerk, das physikalisch von externen Netzen, wie beispielsweise dem zweiten Netzwerk 102 separiert ist.
-
Eine Ankopplung des ersten Netzes 101 an ein weniger sicherheitskritisches Netz 102, wie beispielsweise ein Büronetz des Automatisierungsnetzbetreibers oder auch an öffentliche Netze wie das Internet oder an ein spezielles Integritätsüberwachungsnetzwerk sind dennoch gewünscht, um beispielsweise Diagnosemeldung auszuwerten oder eben den Softwarezustand der Einrichtungen im ersten Netzwerk durch jeweils aktuellste Virenmuster oder auch andere Prüfinformationen überprüfen zu können.
-
Die Einweg-Kommunikationseinrichtung 104, bspw. ein Datendiode oder Datenschleuse, ermöglicht lediglich einen Datenstrom aus dem ersten Netzwerk 101 hinaus. Eine solche Einweg-Kommunikationseinrichtung 104 stellt dabei sicher, dass keinerlei Signale in der entgegengesetzten Richtung vom zweiten Netzwerk 102 in das erste Netzwerk 101 eingebracht werden können oder auch von der Einweg-Kommunikationseinheit 104 selbst erzeugt und ins erste Netzwerk eingetragen werden.
-
Eine solche rückwirkungsfreie Übertragung kann beispielsweise durch Lichtwellenleiter oder Netzwerkauskoppler, sogenannte Network-Taps, erfolgen. Die eingezeichnete Prüfinformation IM, die von einer oder mehreren oder auch allen Einrichtungen des Netzwerks 103 bereitgestellt werden, sind beispielsweise Dateien, Hash-Werte einer Datei oder auch Hash-Werte von mehreren Dateien, die beispielsweise Konfigurationsdaten oder Programmcode enthalten. Prüfinformation IM kann aber auch eine Liste der laufenden Softwareprozesse einer Einrichtung enthalten oder Überwachungsdaten, sogenannte Log-Dateien, umfassen.
-
Eine Integritätsprüfeinrichtung 106 im zweiten Netzwerk 102 führt eine Integritätsüberprüfung der Prüfinformation IM durch. Die Prüfeinrichtung 106 überprüft weiterhin, ob eine erforderliche Prüfinformation IM tatsächlich Daten erhält und führt eine Selbstüberwachung durch. In einer Variante umfasst die Prüfinformation IM eine Aktualitätsinformation, z.B. einen Zeitstempel oder einen Zählerwert, anhand der die Aktualität der Prüfinformation IM verifiziert wird. Die Integritätsprüfeinrichtung 106 prüft also, ob tatsächlich eine Überprüfung von Prüfinformation stattfindet. Dazu kann die Integritätsprüfungseinrichtung 106 einen Watchdog aufweisen, der jeweils bei erfolgreicher Abarbeitung eines Integritätsprüfschritts zurückgesetzt wird. Ein solcher Watchdog ist eine Einheit, die Funktion anderer Komponenten überwacht. Wird dabei eine mögliche Fehlfunktion erkannt, so wird entweder dies gemäß Systemvereinbarung signalisiert und eine geeignete Sprunganweisung eingeleitet, die das anstehende Problem bereinigt. Die Integritätsprüfeinrichtung 106 ist bevorzugt mit einer Integritätsdatenbank 107 verbunden, in der Referenzinformation zur Integritätsprüfung, wie beispielsweise Soll-Dateninformation oder Schadsoftwaremuster hinterlegt sind.
-
Eine Integritätsmeldeeinrichtung 105 ist beispielsweise als virtueller Sensor ausgebildet, da er innerhalb eines Automations- und Kontrollsystems 103 wie ein herkömmlicher physikalischer Sensor angesprochen werden kann. Dadurch kann die Statusmeldung einfach, z.B. in dem Steuerungsprogramm einer speicherprogrammierbaren Steuerung abgefragt und benutzt werden. Ein solcher virtueller Integritätssensor ist beispielsweise ein integrierter Schaltkreis, der über einen sogenannten GPIO-Kanal an entsprechenden Kontakten angesprochen werden kann. Über diese GPIO-Signale können Statusmeldungen, wie beispielsweise „Integrity Monitoring Running“ oder auch „Integrity OK“ empfangen werden und als Sensorwerte in das Automatisierungs- und Kontrollnetzwerk 103 weitergeleitet und dort bereitgestellt werden, z.B. über ein OPC UA-Protokoll oder über ein TCP/IP-Protokoll oder über ein http-Protokoll oder über ein MQTT-, XMPP- oder AMQP-Protokoll. Neben GPIO-Signalen ist z.B. auch eine optische Signalübertragung möglich, beispielsweise über einen Lichtwellenleiter.
-
Die Verbindung zwischen einer Integritätsprüfungseinheit 106 und der Integritätsmeldeeinrichtung 105 ist als einen Rückkanal ausgebildet, der unabhängig von der Einweg-Kommunikationseinrichtung 104 ist. Auf diesem Rückkanal werden die Statusmeldungen SM übertragen.
-
In 3 ist nun ein ähnliches Automatisierungs- und Kontrollnetzwerk 103 in einem ersten sicherheitskritischen Netzwerk 101 dargestellt, aus dem Prüfinformation IM über die Einweg-Kommunikationseinheit 104 in ein zweites weniger sicherheitskritisches Netzwerk getragen wird. In der dargestellten Variante wird die Integritätsüberwachung nicht im direkt angeschlossenen zweiten Netzwerk 103 durchgeführt, sondern von einer Integritätsprüfanwendung 203 in einer Cloud-Platform 202 durchgeführt. Dazu wird die Prüfinformation IM von einem Cloud-Dienst oder mit Unterstützung eines Cloud-Dienstes erfolgen. Die Prüfinformation IM wird von einer lokale Integritätsprüfeinheit 202 über eine Cloud-Verbindungseinheit 201, die eine sichere Datenverbindung zur Cloud-Platform 202 einrichtet, an die Integritätsprüfanwendung 203 übermittelt. Die Datenverbindung kann beispielsweise durch ein sicheres TLS- oder ein IPsec-Protokoll erfolgen.
-
4 zeigt eine Integritätsprüfeinrichtung 106. Diese umfasst eine Empfangseinheit 120, über die die Prüfinformation IM der Integritätsprüfeinrichtung 106 bereitgestellt wird. Desweiteren umfasst die Integritätsprüfeinrichtung 106 eine Speichereinheit 123, die Referenzinformation, gegen die die Prüfinformation IM überprüft wird, gespeichert sind. Die Verbindungseinheit 120 sowie die Referenzdatenbank 123 sind mit einer Auswerteeinheit 122 verbunden, in der die Prüfinformation IM gegenüber der Referenzinformation aus der Referenzdatenbank 123 überprüft wird. Eine Statusmeldung kann ebenfalls über die Verbindungseinheit 120 ins erste Netzwerk 101 übermittelt werden.
-
Alle beschriebenen und/oder gezeichneten Merkmale können im Rahmen der Erfindung vorteilhaft miteinander kombiniert werden. Die Erfindung ist nicht auf die beschriebenen Ausführungsbeispiele beschränkt.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102013226171 [0002]
- US 20120331097 A1 [0003]
