Überwachungs- und Datenerfassungssysteme verbinden Kontrollzentren mit SPS, RTUs, Zählern, Sensoren und anderer Feldausrüstung, die auf Industriestandorten verteilt sind. In Anwendungen wie Wasseraufbereitung, Energieverteilung, Transport und Fertigung können diese Standorte durch große Entfernungen voneinander getrennt und über öffentliche Mobilfunk- oder IP-Netze verbunden sein.
Das Design sicherer Fernzugriffs erfordert daher mehr als nur die Installation eines Kommunikationsgeräts. Die Architektur muss steuern, wie Daten in das operative Technologienetzwerk ein- und austreten, wie Nutzer auf entfernte Ressourcen zugreifen und wie die Kommunikation bei Netzwerkausfällen fortgesetzt wird.
Ein Industrial Router mit VPN-Unterstützung dient als sicherer Verbindungspunkt zwischen Feldgeräten und der zentralen SCADA-Umgebung.
Hauptziele der SCADA-Fernzugriffsarchitektur
In einer gut gestalteten Architektur sollten mehrere Hauptziele vorhanden sein.
•Vertraulichkeit: Vermeiden Sie das Lesen von Daten durch unbefugte Nutzer.
•Integrität: Änderungen an Befehlen, Alarmen und Prozesswerten werden aufrechterhalten.
• Verfügbarkeit: Helfen Sie bei der Aufrechterhaltung der Kommunikation durch Redundanz und Failover, wo es konfiguriert ist...
•Verwalteter Zugriff: Der Zugriff auf SCADA-Vermögenswerte ist auf autorisierte Systeme und Nutzer beschränkt.
Der Router ist ein Element dieser Architektur. Die Sicherheit der Architektur hängt von Segmentierung, Firewalls, Richtlinien, Authentifizierung sowie Überwachung und Wartung des Netzwerks ab.
Empfohlene Architekturschichten
Feldgeräteschicht
Die Feldschicht kann Folgendes umfassen:
•SPS und RTUs
• Intelligente Zähler und Schutzrelais
•Sensoren und Aktuatoren
•Lokale HMIs
•Serielle Modbus-Geräte
•Ethernet-basierte Controller
Diese Geräte sollten normalerweise innerhalb eines dedizierten lokalen OT-Netzwerks bleiben und nicht direkt mit dem Internet verbunden sein.
Ein Industrierouter mit VPN-Unterstützung kann Ethernet und serielle Assets verbinden und gleichzeitig eine kontrollierte Grenze zwischen dem Feldnetzwerk und dem externen WAN schaffen.
Sicherheitsschicht für entfernte Standorte
Die entfernten Standort-Router müssen mehrere verschiedene Aufgaben ausführen:
• Das OT-LAN vom öffentlichen oder Carrier-Netzwerk abzuspalten
•Wenden Sie unterschiedliche Firewall-Regeln auf den Datenverkehr an, der zum öffentlichen Netzwerk geht und daraus eingeht.
•Baue einen sicheren und verschlüsselten VPN-Tunnel.
•Einschränkung der Fernverwaltung.
•Überwachen Sie die WAN-Gesundheit und beenden oder schalten Sie die fehlgeschlagene Verbindung bei Bedarf um.
• Failover zu einem anderen WAN, falls dies notwendig wird.
Beim Anwenden von Firewall-Richtlinien sollte das Prinzip des Least Privilege gelten. Das bedeutet, dass nur die notwendigen IP-Adressen, Ports und industriellen Protokolle geöffnet werden sollten.
WAN-Konnektivitätsschicht
Entfernte SCADA-Standorte können Folgendes nutzen:
• 4G- und 5G-Mobilfunknetze
•Festnetz-Breitband
•Private APN
•Industrielles WLAN
•Mehrere WAN-Verbindungen
Kritische Standorte können mit Dual-SIM- oder mehreren WAN-Router-Technologien ausgestattet sein, um die Abhängigkeit von einem einzelnen Anbieter zu verringern. Der Router sollte die Hauptverbindung verfolgen und automatisch überlaufen (nur dort, wo der gewählte Router, die SIM-Richtlinie und die Firmware dies unterstützen) auf eine sekundäre Route, wenn der primäre Pfad einen Kommunikationsausfall erleidet.
Zentrales VPN und OT DMZ
VPN-Tunnel sollten normalerweise an einer zentralen Firewall oder einem VPN-Gateway enden, das sich in einer OT-entmilitarisierten Zone befindet.
Die OT-DMZ kann enthalten:
•VPN-Konzentratoren
•Sprungserver
•Fernzugriffs-Gateways
•Überwachungsplattformen
•Server patchen und aktualisieren
•Protokollsammlungssysteme
Diese Anordnung verhindert, dass entfernte Feldverbindungen direkt zu SCADA-Servern gelangen.
SCADA-Überwachungsschicht
Komponenten der Überwachungsschicht bestehen aus SCADA-Servern, Historikern, Ingenieurarbeitsstationen, Alarm- und Bedienersystemen.
Der Datenverkehr von der OT DMZ zu SCADA sollte von internen Firewalls gefiltert werden. Nur genehmigte Kommunikationswege sollten erlaubt sein.
Nutzung von VPNs für SCADA-Kommunikation
Ein ausgehender Site-to-Site-VPN-Tunnel von einem entfernten Standort zum Kontrollzentrum kann durch die Nutzung eines Industrie-Routers mit VPN realisiert werden.
Häufig verwendete VPN-Technologien sind IPsec und OpenVPN. Die verwendete VPN-Technologie sollte alle erforderlichen Richtlinien erfüllen.
Es ist eine bewährte Sicherheitspraxis, Folgendes sicherzustellen:
•Jeder entfernte Standort verwendet seine eigenen einzigartigen Zertifikate/Zugangsdaten.
•Es gibt keine gemeinsamen Passwörter auf verschiedenen entfernten Site-Routern.
•Nicht genutzte VPN-Dienste und Managementports sind deaktiviert.
• Fernzugriffssicherheit verwendet Mehrfaktor-Authentifizierung, und die Trennung von Maschinen-zu-Maschinen-Tunneln von Ingenieurtunneln ist Best Practice.
•Selbst mit VPN-Verschlüsselung bleibt eine Kompromittierung des Endpunkts ein Risiko; Endpunkt-Härtung und Überwachung sind weiterhin erforderlich.
•Obwohl ein VPN den Datenverkehr verschlüsselt, ist das Eindringen eines Endpunkts weiterhin ein großes Problem und eine Best Practice.
Entwurf für Netzwerkresilienz
Das Design der Architektur sollte Folgendes umfassen:
Verbindungs-Failover
Es kann automatisch auf eine andere SIM, einen anderen Anbieter, eine andere Mobilfunktechnologie oder eine kabelgebundene Verbindung umschalten.
Lokale Steuerungskontinuität
SPS und RTUs sollten den Prozess auch dann steuern, wenn sie vom zentralen SCADA-System getrennt sind.
Datenspeicherung
Prozesswerte von Bedeutung können vorübergehend im SPS, RTU, Edge-Gateway oder lokalen Historiker gespeichert und später gesendet werden, wenn die Verbindung wieder verfügbar ist.
Kommunikationsalarme
Die SCADA-Plattform sollte Alarme auslösen, wenn:
•Ein VPN-Tunnel trennt die Verbindung
•Ein entfernter Standort wird unerreichbar
•Die Signalstärke fällt unter ein akzeptables Niveau
•Wiederholte Failovers treten auf
•Die Routerkonfiguration ändert sich unerwartet
Verwaltung von seriellen und Ethernet-Geräten
Viele SCADA-Netzwerke enthalten sowohl moderne Ethernet-Controller als auch ältere serielle Geräte.
Ein Industrierouter mit VPN-Unterstützung kann helfen, diese Verbindungen zu konsolidieren, indem er Folgendes unterstützt:
• RS-232- und RS-485-Schnittstellen
•Serial-zu-IP-Kommunikation
•Modbus RTU-zu-Modbus TCP-Umwandlung
•Lokales Ethernet-Switching
•Protokollbewusste Datenübertragung
Die Protokollkonvertierung sollte jedoch sorgfältig dokumentiert werden. Ingenieure sollten Adressierung, Abfrageintervalle, Timeout-Werte, Ausnahmebehandlung und Gerätekompatibilität vor der Bereitstellung bestätigen.
Wie Tespro SCADA-Architekturprojekte unterstützt
Als Hersteller von Industriekommunikationsgeräten kann Tespro seinen Service auf Kunden hinaus über die Router-Bereitstellung hinaus ausweiten.
Bewerbungsbewertung
Tespro kann Folgendes bewerten:
•Feldgeräteschnittstelle
•Bedingungen im Mobilfunknetz
Anforderungen des VPNs
•Erforderliche industrielle Protokolle
•Umweltfaktoren
•Redundanz
Auswahl der Hardware und Stimmung
Je nach Anwendung kann Tespro den passenden Industrie-Router mit VPN, die erforderliche Schnittstelle, die Antennenkonfiguration und den bevorzugten Netzwerkmodus empfehlen.
Unterstützung für Protokolle
Für Systeme, die SPS, Messgeräte, serielle Geräte und Ethernet-Geräte enthalten, hat Tespro die Möglichkeit, Kommunikation und Protokollkonvertierung zu planen.
Unterstützung für den Einsatz
Tespro kann mit Unterstützung unterstützen für:
•Konfiguration von VPNs
•Firewall- und Routing-Richtlinien
•Serielle Portkonfiguration
•Fernzugriff und -verwaltung
• Installation und Inbetriebnahme
Unterstützung für Modifikationen und fortgesetzte Unterstützung
Industrielle Anwendungen können die Entwicklung maßgeschneiderter Mobilfunkbänder, spezialisierter Konfigurationen oder maßgeschneiderter Firmware und Schnittstellen erfordern. Die direkte Zusammenarbeit mit dem Hersteller ermöglicht es dem Kunden, die technische Koordination zu vereinfachen und nach Abschluss der Tests einen zuverlässigeren Weg für die großflächige Implementierung zu etablieren.
Abschließende Gedanken
Für die Gestaltung von SCADA-Systemen ist eine mehrschichtige Technik erforderlich, die die Fortführung der lokalen Kontrolle, die Redundanz des Weitverkehrsnetzes und die Zentralisierung der Steuerung im lokalen Gebiet gewährleistet.
Der industrielle Router mit VPNbietet einen kontrollierten Kommunikationspfad zu FeldgerätenEs ist jedoch das Design des Systems als Ganzes, das bestimmt, wie sicher es ist.
Tespro ist durch die Bereitstellung industrieller Netzwerkgeräte und (Unterstützung für) Kommunikation und Protokollintegration sowie Unterstützung für Konfiguration und Anwendung in der Lage, Integratoren und Endnutzern bei der Entwicklung sicherer und wartbarer SCADA-Systeme für den Fernzugriff zu unterstützen.
FAQs
F1. Wie erhöht Dual-SIM die Netzwerkzuverlässigkeit?
Mit Dual-SIM hat der Router die Möglichkeit, einen anderen Mobilfunkanbieter zu nutzen, wenn eine Route ausfällt.
F2. Warum ist VPN-Schutz für SCADA-Systeme so wichtig?
Da SCADA-Systeme Daten- und Steuerkommandopakete enthalten, die über ungesicherte Netzwerke gefährdet sind, kann der Einsatz von VPN solche Pakete schützen.
F3. Können Industrierouter SPS und RTUs verbinden?
Ja. Industrielle Router können sich je nach Konfiguration des Routers mit den oben genannten Geräten verbinden, ebenso wie mit anderen Geräten, die Ethernet, RS-232 und RS-485 nutzen.
F4. Welche VPN-Schutzprotokolle werden verwendet?
Am häufigsten ist der industrielle Fernzugriff durch Protokolle wie IPsec und OpenVPN geschützt.
F5. Ist es erlaubt, SCADA-Systeme direkt mit dem Internet zu verbinden?
Es ist nicht ratsam, SCADA-Systeme direkt offenzulegen. Der Zugriff sollte über ein VPN und eine Firewall innerhalb einer kontrollierten Netzwerkzone erfolgen.
