Die Vernetzung industrieller Netzwerke erleichtert die Fernverwaltung von Routern durch Ingenieure von jedem Standort aus. Allerdings kann der Fernzugriff industrielle Router anfällig für das Sammeln von Anmeldedatendaten, bösartiger Software, unautorisierten Änderungen und DoS-Angriffen machen.
Da industrielle Router IT-, OT- und Mobilfunknetze verbinden, kann eine unsichere Bereitstellung RTUs, SPS, SCADA-Systeme und andere Vermögenswerte einem zusätzlichen Risiko aussetzen.
1. Entfernen der Standardzugangsdaten
Verschiedene Angriffsvektoren für Zugangsdaten erfordern die Nutzung der Standardzugangsdaten. Standardzugangsdaten sind weithin bekannt und können während eines Brute-Force-Angriffs die Antwort auf viele Zugangsdaten sein.
Vor der Router-Bereitstellung:
•Ersetzen Sie alle Standardzugangsdaten.
• Jedem Industrie-Router eine eindeutige Zugangsberechtigung zuweisen.
•Keine Zugangsdaten posten/teilen.
•Werksstandard-/temporäre Konten deaktivieren.
•Stellen Sie sicher, dass temporäre Installationskonten nach der Systeminbetriebnahme gelöscht werden.
•Zugangsdaten müssen in einem Passwortmanager gespeichert werden.
Datenschutz-Erweiterung und bewährte Sicherheits-Passwörter müssen verwendet werden.Verwenden Sie starke, eindeutige Passwörter und aktivieren Sie die Multi-Faktor-Authentifizierung für Administratorkonten, wo dies unterstützt wird..
2. Rollenbasierte Zugriffskontrolle
Nicht jeder Nutzer muss Zugriff auf Administratorebene haben.
Ein Beispiel für ein rollenbasiertes Zugriffsmodell ist:
•Admin: Benutzer, die Firewall, VPN und ähnliche Systemeinstellungen kontrollieren.
•Ingenieur: Nutzer, die festgelegte Betriebsgrenzen sehen und anpassen können.
•Operator: Nutzer, die den Gerätestatus und die Alarme sehen können.
•Nutzer prüfen: Benutzer, die Protokolle und Konfigurationen einsehen und auch Audits durchführen können.
•Rollenbasierter Zugriff verringert die Auswirkungen von Fehlern oder kompromittierten Konten.
Rechte sollten in festgelegten Abständen bewertet werden, und Berichte über entlassene Mitarbeiter sowie Berichte über abgeschlossene/abgeschlossene Projekte sollten gelöscht werden.
3. Verschlüsselte Fernverbindungen
Verwaltungsverkehr sollte private, sichere Verbindungen durchlaufen.
Einige Steuerungen, die genutzt werden können, sind:
• Nutzung eines VPNs vor dem Zugriff auf einen Router
•Präferenz für sicheres HTTP(S) gegenüber einfachem HTTP
• Präferenz der sicheren Shell (SSH) gegenüber Telnet
•Die Unterstützung alter Verschlüsselungsrahmen wird deaktiviert/entfernt
• Widerrufslisten/digitale Zertifikate werden respektiert
•Fernzugriff ist nur auf bestimmte VPN-Gateways erlaubt
Gängige VPN-Protokolle, die verwendet werden, sind IPsec und OpenVPN; die Wahl sollte mit der Sicherheitspolitik der Organisation übereinstimmen und vom Industrie-Router sowie dem zentralen Verwaltungssystem unterstützt werden.
Als allgemeine Sicherheitspraxis sollten Web-Management-Seiten, SSH und andere Verwaltungsdienste nicht dem Internet zugänglich gemacht werden.
4. Zugriffskontrolle nach Quelladresse
Die Fernverwaltung eines Industrie-Routers sollte nur von vertrauenswürdigen Verwaltungsstandorten aus aktiviert werden.
Die Belichtung kann minimiert werden durch:
• Verwendung einer Management-Zulassungsliste
•Wo angebracht, wenden Sie regionsbasierte Einschränkungen als zusätzliche Kontrolle an
• Einschränkung des Datenverkehrs auf bestimmte Verwaltungsserver
• Begrenzung von Verbindungen zu privaten APNs
• Alle Verbindungen von unbekannten WAN-Schnittstellen beenden
•Beenden aller ungenutzten eingehenden Verbindungen
Eine Firewall, die eine "Deny by Default"-Richtlinie verwendet, ist sicherer als eine Firewall, die eine breite Erlaubnis- und eine Bedrohungsblock-Politik verwendet.
5. Getrennte Management- und Produktionsnetzwerke
Verwaltungsverkehr sollte nicht in der Lage sein, dieselben Netzwerke wie der operative Kontrollverkehr zu durchqueren.
Beispiele für effektive Segmentierung sind:
• Nutzung eines exklusiven Management-VLANs.
• Trennung von IT undOT-Netzwerke.
• Positionierung von Fernzugriffsdiensten innerhalb einer industriellen DMZ.
• Einsatz von Firewalls zur Implementierung von Segmentierung innerhalb von Netzwerkzonen.
• Verwendung von eigenständigen Feld- und Management-Schnittstellen.
•Begrenze die Exposition der SPS-Kommunikation gegenüber externen Netzwerken.
Effektive Segmentierung reduziert die laterale Ausbreitung von Angriffen auf das Netzwerk und mindert Bedrohungen, die durch die Kompromittierung einzelner Netzwerkknoten wie Benutzerkonten und Arbeitsplätze oder sogar Router entstehen können.
6. Deaktivieren Sie nicht genutzte Dienste
Das Deaktivieren von Diensten reduziert die Anzahl der Angriffsvektoren.
Bewerten Sie die Router-Konfiguration und deaktivieren Sie die Dienste, je nach Fall. Folgende Dienste sollten für eine Deaktivierung in Betracht gezogen werden:
•Telnet
•HTTP- und FTP-Dienste
• Ungenutzte Cloud- und Wi-Fi-Managementdienste
•Serielle Gateways, Discovery-Protokolle und VPN-Dienste
Administrative Schnittstellen sollten auch an produktionsorientierten LAN-Ports deaktiviert werden, wenn die Fernverwaltung über eine dedizierte Schnittstelle oder VPN erfolgen soll.
7. Sicherstellung der Sicherheit von Firmware und Konfiguration
Industrierouter sollten vollständig in den Prozess eines Unternehmens zur Verwaltung von Schwachstellen und Änderungen integriert sein.
Best Practices würden Folgendes umfassen:
• Beobachte Sicherheitsupdates vom Hersteller.
•Dokumentation zu den Firmware-Versionen des Routers führen.
•Nur vertrauenswürdige Webseiten werden zum Herunterladen von Firmware verwendet.
• Verwendung von Unterschrift oder Hash-Verifikation.
•Aktualisierungen werden zunächst auf ein Gerät angewendet, das nicht Teil des Produktionsprozesses ist.
•Aktualisierungen werden mit dem Input des Betriebsteams geplant.
•Bewahren Sie sichere, versionskontrollierte Konfigurationsbackups auf und schützen Sie sie mit Verschlüsselung und Zugriffskontrolle.
• Ein Rollback wird eingeführt.
Das Testen industrieller Firmware erfolgt oft mit erheblicher Vorsicht und aus gutem Grund. Es ist entscheidend, dass die industrielle Firmware mit SPS, SCADA-Servern und allen anderen Geräten, die für die industrielle Kommunikation verwendet werden, kompatibel ist.
8. Die Sicherheitsimplikationen der Sicherung von Konfigurationen
Router-Konfigurationsdateien können eine Vielzahl sensibler Daten enthalten, darunter:
•VPN-Zugangsdaten
•Firewall-Regelsätze
•Inter-Knoten-Kommunikationsadressen
•Benutzerkonten
•Einstellungen für die Mobilfunkkommunikation.
•Routing-Informationen.
•Zertifikate für Geräte.
Konfigurations-Backups sollten verschlüsselt und für den Zugriff kontrolliert werden. Unternehmen sollten häufig überprüfen, ob Backups wiederherstellbar sind.
9. Protokollierungs- und Sicherheitsbenachrichtigungssysteme konfigurieren
Logging ermöglicht die Überwachung von entfernten Aktivitäten und Änderungen an der Systemkonfiguration.
Beispiele für Aktivitäten, die Sie protokollieren möchten, sind:
• Systemzugang (sowohl erfolgreich als auch erfolglos)
•Kontosperre
•Einrichtung einer VPN-Sitzung
•Änderungen an der Firewall
• Upgrades der Systemfirmware
•Konfigurationsänderungen und Exporte
•Unerwartete Systemneustarts
•SIM-Karten-Failover-Ereignisse
• Änderungen an der LAN- oder WAN-Schnittstellenkonfiguration
Wo möglich, sollten die Logs an ein zentrales Protokollsystem oder an ein Sicherheitsinformations- und Ereignismanagementsystem (SIEM) gesendet werden. Benachrichtigungen können eingerichtet werden, um den operativen Teams bei anhaltenden fehlgeschlagenen Anmeldeversuchen, unerwarteten Konfigurationsänderungen und ungewöhnlicher Netzwerkaktivität zu helfen.
WieTesproTR-245 Unterstützt Fernverbindung
DieTespro TR-245 kann eine praktische Hardware-Grundlage für die Fernverwaltung industrieller Router bieten, wenn sie mit geeigneten Sicherheitsrichtlinien implementiert werden.
Zu den Fähigkeiten gehören:
• 5G-Mobilfunkverbindung mit Dual-SIM-Backup
•Vier 100-Mbit/s-LAN-Ports
•Eine RS485- und eine RS232-Schnittstelle
•Dual-Band-WLAN und integriertes GNSS
•VPN-Client/Server-Unterstützung für OpenVPN, L2TP und PPTP
• 12–36 V Gleichstromeingang
• Betriebstemperatur von -40°C bis 75°C
• IP65-zertifizierter Schutz
• Unterstützung für Modbus RTU/TCP, BACnet, M-Bus, IEC 61850, DLMS und OPC UA
Für sicherheitssensible Deployments verwenden Sie OpenVPN statt Legacy-PPTP. Microsoft empfiehlt PPTP oder eigenständiges L2TP weder wegen ihrer begrenzten Sicherheitsfunktionen.
Abschließende Worte
Eine effektive industrielle Router-Fernverwaltung hängt von mehr ab als nur der Auswahl eines Routers mit Sicherheitsmerkmalen. Organisationen müssen kontrollieren, wer sich verbinden kann, jede Verwaltungssitzung verschlüsseln, Netzwerkzonen trennen, unnötige Dienste deaktivieren, Firmware warten, Aktivitäten überwachen und Feldinstallationen schützen kann.
Durch die Nutzung technischer Kontrollen, regelmäßiger Audits und strenger Betriebsabläufe können industrielle Organisationen die Vorteile des Remote-Managements nutzen. Gleichzeitig können sie die Cybersicherheitsbedrohungen für wichtige Geräte und Produktionsprozesse minimieren.
FAQs
F1. Was ist das Management des Industrie-Router-Fernzugangs?
Die Verwaltung des Industrie-Router-Fernzugriffs ermöglicht die Fernüberwachung, Konfiguration und Fehlersuche von Routern durch autorisierte Benutzer.
F2. Ist die Fernverwaltung von Routern sicher?
Die Fernverwaltung von Routern kann sicher sein, wenn sie in Verbindung mit VPNs, Firewalls, starker Authentifizierung und Netzwerksegmentierung implementiert wird.
F3. Ist es sicher, die Verwaltungsports von Routern dem Internet zugänglich zu machen?
Nein. Managementports von Routern sollten nur auf einem sicheren VPN oder einem vertrauenswürdigen Managementnetzwerk verfügbar sein.
F4. Welche Protokolle sind unerwünscht?
Telnet, HTTP und FTP sind Beispiele für unverschlüsselte Protokolle und sollten, wann immer möglich, vermieden werden.
F5. Was ist der Vorteil der Verwendung von Multi-Faktor-Authentifizierung?
Wenn ein Passwort gestohlen oder gehackt wird, stellt die Multi-Faktor-Authentifizierung eine zusätzliche Hürde dar.
