Produktionsnetzwerke gegen Angriffe von außen schützen

Mit der Industrie-Firewall 'mbNetfix' von MB Connect Line lassen sich Produktionsnetzwerke wirkungsvoll gegen Angriffe von außen schützen. Im Wesentlichen erfolgt dies, indem der Anwender sein Netzwerk in der Fabrik in überschaubare logische Einheiten segmentiert.

06. Oktober 2017
Mit 'mbNetfix' kann der Anwender genau definieren, welcher Datenverkehr zwischen den Netzwerksegmenten erlaubt ist. Bild: MB Connect Line
Bild 1: Produktionsnetzwerke gegen Angriffe von außen schützen (Mit 'mbNetfix' kann der Anwender genau definieren, welcher Datenverkehr zwischen den Netzwerksegmenten erlaubt ist. Bild: MB Connect Line)

Mit der Einrichtung sicherer Zonen entschärft der Anwender auch die Update-Problematik. Manche Software, beispielsweise die Runtime einer Soft-SPS, ist nur bis zu einem bestimmten Service-Pack freigegeben, so dass der Anwender gar keine Möglichkeit hat, das System aktuell zu halten. Hier kann vor solche Systeme eine Industrie-Firewall als „Türsteher“ geschaltet werden, die nur vorher festgelegte Verbindungen und Dienste zulässt.

Eine weitere Funktion von 'mbNetfix' ist der Bridge-Modus. Er dient zur Anbindung neuer Teilnehmer an bestehende Netzwerke, ohne dass am Bestand Änderungen erforderlich sind. Zur Konditionierung des Datenverkehrs kann die Industrie-Firewall auf Grundlage der Ursprungs-MAC/IP-Adressen und Ziel-MAC/IP-Adressen sowie der Ports zulässigen und verbotenen Datenverkehr filtern.

Eine Besonderheit ist der integrierte Lernmodus. Hier erlaubt die Firewall eine unbeschränkte Kommunikation und zeichnet alle Verbindungen auf. Der Anwender entscheidet anschließend anhand der erfassten Pakettabelle, welche Verbindungen unter den IP-Geräten zulässig sind und welche unerwünscht sind und deshalb gesperrt werden.

Das Konzept basiert von Anfang an auf 'Security by Design'. Um die Angriffsvektoren so klein wie möglich zu halten, wurde auf ein Web-Interface zur Konfiguration bewusst verzichtet. Stattdessen wird die Firewall lokal über den USB Port konfiguriert. Für IT-Experten steht, optional aktivierbar, auch ein SSH-Interface zur Verfügung.