Lizenzvereinbarungen gebunden und darf ausschließlich im Einklang mit den entsprechenden Lizenzvereinbarungen benutzt, vervielfältigt oder weitergegeben werden. Marken ABB und Relion sind eingetragene Warenzeichen der ABB Group.Alle sonstigen Marken- oder Produktnamen, die in diesen Unterlagen Erwähnung finden, sind gegebenenfalls Warenzeichen oder eingetragene Markenzeichen der jeweiligen Inhaber.
Vorkehrungen getroffen werden, um solche Risiken auszuschließen oder einzugrenzen. Dieses Dokument wurde von ABB sorgfältig geprüft. Dennoch sind Abweichungen nicht völlig auszuschließen.Falls Fehler entdeckt werden, wird der Leser gebeten, diese freundlicherweise dem Hersteller mitzuteilen.Abgesehen von ausdrücklichen vertraglichen Verpflichtungen ist ABB unter keinen Umständen für einen Verlust...
Betriebsmittel zur Verwendung innerhalb bestimmter Spannungsgrenzen (Niederspannungsrichtlinie 2006/95/EG).Diese Konformität ist das Ergebnis einer Prüfung seitens ABB in Übereinstimmung mit den Produktnormen EN 50263 und EN 60255-26 für die EMV-Richtlinie und gemäß den Produktnormen EN 60255-1 und EN 60255-27 für die Niederspannungsrichtlinie.Das Produkt wurde in Übereinstimmung mit den...
Sicherheitsrelevante Informationen An den Anschlüssen können gefährliche Spannungen auftreten, auch wenn die Hilfsspannung abgeschaltet ist. Nichtbeachtung kann zu Tod, Verletzung oder erheblichem Sachschaden führen. Die elektrische Installation darf nur von einem fachkundigen Elektriker ausgeführt werden. Die nationalen und lokalen Sicherheitsbestimmungen müssen immer beachtet werden.
Seite 10
Inhaltsverzeichnis Aktivieren der zentralen Benutzerkontenverwaltung ....... 25 Benutzerrollen .................. 27 Fehlerbehebung zentrale Benutzerkontenverwaltung ..... 28 6.4.1 Fehler während der Aktivierung ..........28 6.4.2 Server während der Laufzeit nicht erreichbar ......28 6.4.3 Lokale Replikation ist fehlgeschlagen......... 29 Abschnitt 7 Benutzeraktivitätsprotokollierung ......... 31 Benutzeraktivitätsereignisse anzeigen ..........
Abschnitt 1 1MRK 511 373-UDE Einleitung Abschnitt 1 Einleitung Dieses Handbuch Die Richtlinie zur Cyber-Sicherheit enthält Informationen zum Umgang mit Cyber- Sicherheit bei der Kommunikation mit dem Gerät.Zertifizierung, Autorisierung mit rollenbasierter Zugriffsteuerung und Produkt-Engineering für mit Cyber-Sicherheit verbundenen Ereignissen werden beschrieben und nach Funktion sortiert.Die Richtlinie lässt sich während der Planungs-, Installations- und Inbetriebnahmephase sowie im Normalbetrieb als technische Referenz nutzen.
Abschnitt 1 1MRK 511 373-UDE Einleitung Das Tippsymbol weist auf Ratschläge hin, beispielsweise zur Erstellung von Projekten oder Benutzung bestimmter Funktionen. Obwohl Gefahrenwarnungen auf die Möglichkeit von auftretenden Personenschäden hinweisen, sollte man sich stets vor Augen halten, dass das Bedienen beschädigter Geräte unter bestimmten Umständen zu eingeschränkter Gerätefunktionsweise und infolgedessen zu Personenschäden mit Todesfolge führen kann.Demzufolge muss allen Warn- und Vorsichtshinweisen strengstens Folge geleistet werden.
Abschnitt 2 1MRK 511 373-UDE Sicherer Zugriff Abschnitt 2 Sicherer Zugriff Sichere Systemeinrichtung Der Zugriff auf REB500 ist durch die Benutzerautorisierung gesichert. Diese verschlüsselt den Zugriff über das HMI500 Bediener-Tool und die zu Konfigurationszwecken genutzten Kommunikationskanäle. Remote HMI500 TCP/IP Zentraleinheit REB 500 Ready Start...
Abschnitt 3 1MRK 511 373-UDE Gestaltungsprinzipien Abschnitt 3 Gestaltungsprinzipien In der Benutzerkontenverwaltung werden die Funktionen zur Verwaltung der Benutzer, die auf REB500 zugreifen können, erläutert.Die Hauptfunktionen sind: • Benutzerauthentifizierung auf Grundlage von Rollen und Berechtigungen • Unterstützung der Passwortrichtlinien • Sichere Passwortübertragung von HMI500 •...
Abschnitt 3 1MRK 511 373-UDE Gestaltungsprinzipien Bei Verwendung der zentralen Kontoverwaltung sind die Rollen gemäß den Standardwerten festgelegt.Die Zuweisung von Berechtigungen ist weiterhin möglich. Benutzerrollen und Kontoberechtigungen Benutzerrollen, die mehrere Kontoberechtigungen in Gruppen zusammenfassen, können an die jeweiligen Bedürfnisse angepasst werden.In Table 2 sind die im Auslieferungszustand eingestellten vordefinierten Benutzerrollen aufgeführt: Tabelle 2 Standardbenutzerrollen...
Abschnitt 3 1MRK 511 373-UDE Gestaltungsprinzipien Die folgenden Berechtigungen werden jedem Benutzer implizit gewährt: • changeOwnPassword@REB500 (Ändern des eigenen Passwortes) • authenticateSession@REB500 (Sitzungsauthentifizierung) • getDeviceInfo@REB500 (Geräteinformationen anzeigen) • stopDebugMode@REB500 (Debug-Modus ausschalten) Administratoren können neue Rollen definieren.Dabei sind die folgenden Abhängigkeiten von Berechtigungen zu beachten: •...
Abschnitt 3 1MRK 511 373-UDE Gestaltungsprinzipien 3.3.1 Standardbenutzer Im Auslieferungszustand existiert ein vorab definiertes Benutzerkonto.Der Standardbenutzer wird sämtlichen Standardrollen zugeordnet. Standardbenutzername:Admin Standardpasswort:REB500Admin. Es wird unbedingt empfohlen, den Standardbenutzernamen und das Standardpasswort zu ändern. 3.3.2 Handhabung von Benutzeranmeldeangaben Um den unerlaubten Zugriff auf die Benutzeranmeldeangaben zu verhindern, sind komplexe Schutzsysteme implementiert.
Abschnitt 4 1MRK 511 373-UDE Sicherheits-Konfiguration Abschnitt 4 Sicherheits-Konfiguration Alle Konfigurierungsparameter mit Bezug auf „Security“ (Sicherheit) gelten für das gesamte REB500-System, es besteht keine Möglichkeit, die FE (Feldeinheiten) einzeln zu konfigurieren. Aktivierung des Menüs „Security“ Die Menüs „Tools/Security account management“ (Werkzeuge/Sicherheits- Kontoverwaltung) und „Tools/Security options“...
Seite 22
Abschnitt 4 1MRK 511 373-UDE Sicherheits-Konfiguration Wenn die Option „Zurücksetzen des Passworts auf Werkseinstellungen“ deaktiviert ist und der Administrator das Passwort vergisst oder verliert, besteht keine Möglichkeit, auf das Gerät zuzugreifen. Wenn die Option „LHMI-Menü Löschen“ deaktiviert ist, können keine Veränderungen im Menü „Maintenance“ (Service) vorgenommen werden.
Abschnitt 5 1MRK 511 373-UDE Lokale Benutzerkontenverwaltung Abschnitt 5 Lokale Benutzerkontenverwaltung Die Benutzerkontenverwaltung „Tools/Security account management/Manager users“ (Werkzeuge/Sicherheits-Kontoverwaltung/Benutzer verwalten) ist ausschließlich für Benutzer mit den Berechtigungen „manageUsers@REB500“ (Benutzer verwalten) und „SecurityOptions@REB500“ (Sicherheitsoptionen) verfügbar. Diese Berechtigungen sind standardmäßig dem Administrator zugewiesen.Die folgenden Funktionen sind verfügbar: •...
Elemente Registerkarte „Benutzerkonten“ im Dialogfeld „Benutzerkontenverwaltung“ Element Beschreibung Benutzer Übersicht der verfügbaren Benutzernamen. Zugeordnete Rollen Übersicht der einem im Element „Benutzer“ ausgewählten Benutzer zugeordneten Rollen. Benutzer Öffnet ein Dialogfeld zum Hinzufügen eines Benutzers (Abb. 5) hinzufügen Richtlinien zur Cyber-Sicherheit Dezentraler Sammelschienenschutz REB500...
Seite 25
Öffnet ein Dialogfeld zum Ändern des Passworts eines ausgewählten Benutzers (Abb. 14) Zuordnung ändern Öffnet ein Dialogfeld zum Ändern der einem ausgewählten Benutzer zugeordneten Rollen (Abb. 13) Abbildung 5 Benutzer hinzufügen Tabelle 5 Elemente in Dialogfeldern „Benutzer hinzufügen“ und „Rolle ändern“...
Abschnitt 5 1MRK 511 373-UDE Lokale Benutzerkontenverwaltung Benutzerrollen In der zweiten Registerkarte der Benutzerkontenverwaltung können Benutzerrollen und deren Details definiert werden.Die Namen der bestehenden Benutzer werden in einer Übersicht innerhalb der Registerkarte angezeigt.Durch Auswahl einer Rolle in der Übersicht werden die der Rolle zugeordneten Berechtigungen angezeigt.Zudem besteht hier die Möglichkeit, Rollen hinzuzufügen, Änderungen an Rollenberechtigungen vorzunehmen oder Rollen zu löschen.
Seite 27
Abschnitt 5 1MRK 511 373-UDE Lokale Benutzerkontenverwaltung Tabelle 6 Elemente Registerkarte „Benutzerrollen“ im Dialogfeld „Benutzerkontenverwaltung“ Element Beschreibung Rollen Übersicht der verfügbaren Rollen Zugewiesene Übersicht der einer ausgewählten Rolle zugeordneten Berechtigungen Zugriffsrechte Rolle hinzufügen Öffnet ein Dialogfeld zum Hinzufügen einer Rolle. Rolle löschen Löscht eine ausgewählte Rolle.
Abschnitt 5 1MRK 511 373-UDE Lokale Benutzerkontenverwaltung Tabelle 7 Elemente in Dialogfeldern „Rolle hinzufügen“ und „Berechtigungen ändern“ Element Beschreibung Rollenname 1 bis 32 Zeichen (Buchstaben, Zahlen, Unterstriche und Leerzeichen) Verbindungs-Timeout Definiert die Länge des Zeitraums, nach dem ein Benutzer mit dieser Rolle bei Inaktivität abgemeldet wird(gilt, wenn Element „Disable“...
Seite 29
Abschnitt 5 1MRK 511 373-UDE Lokale Benutzerkontenverwaltung Abbildung 8 „Richtlinien verwalten“ Zur Aktivierung der Passwortrichtlinien muss das Kontrollkästchen „Enforce password policies“ (Passwortrichtlinien in Kraft setzen) markiert sein.Änderungen der Passwortrichtlinien hinsichtlich der Passwortlänge oder der Passwortzeichen sind nur für neue Passwörter gültig.Das bedeutet, dass bestehende Passwörter nicht den geänderten Richtlinien entsprechen müssen und weiterhin gültig und verwendbar sind.Wenn die Option „Password lifetime“...
Abschnitt 5 1MRK 511 373-UDE Lokale Benutzerkontenverwaltung Export und Import von Benutzeranmeldeangaben Benutzeranmeldeangaben können zur Wiederverwendung über „Tools/Security account management/Export user credentials“ (Werkzeuge/Sicherheits- Kontoverwaltung/Export von Benutzeranmeldeangaben“ exportiert werden.Die Informationen werden im Binärformat exportiert und können nicht angezeigt werden.Die exportierten Benutzeranmeldeangaben können mittels „Tools/Security account management/Import user credentials“...
Seite 31
Abschnitt 5 1MRK 511 373-UDE Lokale Benutzerkontenverwaltung Gehen Sie zum Zurücksetzen über das Servicemenü der lokalen HMI wie folgt vor: 1. Schalten Sie die Zentraleinheit ein. 2. Sobald „Press <ENTER>“ (Eingabetaste drücken) angezeigt wird, drücken 3. Navigieren Sie zum Menüelement „Password reset“ (Passwort zurücksetzen) und drücken Sie 4.
Abschnitt 6 1MRK 511 373-UDE Zentrale Benutzerkontenverwaltung Abschnitt 6 Zentrale Benutzerkontenverwaltung Übersicht Die zentrale Benutzerkontenverwaltung ermöglicht eine einfache Verwaltung der Zugriffssteuerung für alle Geräte, indem sämtliche Benutzeranmeldeangaben auf einem zentralen Server gemäß des Pull-Modells IEC62351-8 gespeichert werden.Wenn die Funktion konfiguriert und aktiviert ist, werden sämtliche Zugriffsanforderungen mithilfe dieser zentralen Architektur validiert.Im Fehlerfall wird ein lokales Abbild zur Authentifizierung verwendet.Die folgende Abbildung enthält eine vereinfachte Darstellung dieser Einrichtung.
Zentrale Benutzerkontenverwaltung Aktivieren der zentralen Benutzerkontenverwaltung Die folgenden Bedingungen müssen für die Verwendung der CAM erfüllt sein: • Mindestens ein LDAP-Server (z. B. ABB SDM600) ist mit dem Stationsbus verbunden • Ein Benutzer wurde erstellt, um die LDAP-Replikation zu ermöglichen (Name stimmt mit technischem Schlüssel des Geräts überein)
Seite 34
Abschnitt 6 1MRK 511 373-UDE Zentrale Benutzerkontenverwaltung Benutzerdefinierte Rollen-Berechtigungszuweisungen und UAM- Anmeldeangaben werden beim Umschalten von UAM auf CAM (und umgekehrt) immer zurückgesetzt. Die zusätzlichen CAM-Parametereinstellungen können unter „Tools/Security account management/Manage settings“ (Werkzeuge/Sicherheits- Kontoverwaltung/Einstellungen verwalten“ vorgenommen werden. Abbildung 11 Verwalten der CAM-Einstellungen Tabelle 9 Elemente Dialogfeld „Einst.
Abschnitt 6 1MRK 511 373-UDE Zentrale Benutzerkontenverwaltung Bei der Verwendung von ABB SDM600 als CAM-Server kann dort die entsprechende Konfigurations-XML-Datei erstellt werden. Das Gerätezertifikat (PKCS12-Dateien) kann über „Tools/Security account management/CAM settings/Import Device Certificate“ (Werkzeuge/Sicherheits- Kontoverwaltung/CAM-Einstellungen/Gerätezertifikat importieren“ importiert werden.Der Pfad und das Passwort der Datei müssen angegeben werden.
Abschnitt 6 1MRK 511 373-UDE Zentrale Benutzerkontenverwaltung • Systemereignis:„CAM Minor_Error 002“ (CAM unbedeutender Fehler 002) • Sicherheitsereignis:3810 „CAM Server communication failed“ (CAM- Serverkommunikation fehlgeschlagen) Wahrscheinliche Ursache: • Server nicht erreichbar Lösung: • Prüfen Sie, ob der LDAP-Server eingerichtet ist und ausgeführt wird •...
Seite 38
Abschnitt 6 1MRK 511 373-UDE Zentrale Benutzerkontenverwaltung • Überprüfen Sie mit dem Systemadministrator, ob die LDAP-Einstellungen noch gültig sind • Prüfen Sie die REB500-Verbindung Die Authentifizierung funktioniert weiterhin basierend auf dem neuesten lokalen LDAP-Abbild.Nach der erneuten Verbindung mit dem Server/den Servern wird die Authentifizierung erneut über den LDAP-Server ausgeführt, und das lokale Abbild wird aktualisiert.
Abschnitt 7 1MRK 511 373-UDE Benutzeraktivitätsprotokollierung Abschnitt 7 Benutzeraktivitätsprotokollierung REB500 protokolliert sämtliche in Table 12 aufgeführten Benutzeraktivitäten und ist in der Lage, diese Ereignisse über Syslog oder IEC 61850 weiterzuleiten.Die protokollierten Ereignisse können zudem über das HMI500-Bedienertool abgerufen und angezeigt werden. Durch Speicherung im Flash-Speicher kann sichergestellt werden, dass diese Ereignisse länger als 48 Stunden gespeichert bleiben.Die Integrität der Protokolle wird durch CRC sichergestellt.Wenn die Integritätsprüfung fehlschlägt, ist die...
Abschnitt 7 1MRK 511 373-UDE Benutzeraktivitätsprotokollierung Wenn der Benutzer „Update cyclically“ (Zyklische Aktualisierung) auswählt, fragt HMI500 alle 4 Sekunden die Ereignisse von REB500 ab und aktualisiert die Anzeige entsprechend. Externe Sicherheitsprotokollserver Der Benutzer kann unter „Tools/Security log servers“ (Werkzeuge/Sicherheitsprotokollserver) Einstellungen der Informationen zu Sicherheitsprotokollservern vornehmen, an welche die Benutzeraktivitätsprotokolle weitergeleitet werden müssen.
Abschnitt 7 1MRK 511 373-UDE Benutzeraktivitätsprotokollierung Tabelle 11 Ereignisformat Benutzeraktivitäten Feld Beschreibung Reihenfolgenummer Ereignisreihenfolge für jede Quelle (FE oder ZE) zwischen 1 und 2 Datum Ereignisdatum Zeit UTC-Zeit des Ereignisses Zeit ungültig Zeitwert im Zeitfeld ist ungültig bei Anzeige von „TIV“ bzw. gültig bei Anzeige von „...
Seite 42
Abschnitt 7 1MRK 511 373-UDE Benutzeraktivitätsprotokollierung Name Ereignistext 1720 UAM_RESET_FACTORY_DEF Benutzerkonten auf Werkseinstellungen zurückgesetzt 1730 PW_RESET_FACTORY_DEF Administratorpasswort auf Werkseinstellungen zurückgesetzt 2110 USER_ACCNT_CREATE_OK Erstellung von Benutzerkonto erfolgreich 2120 USER_ACCNT_DEL_OK Löschen von Benutzerkonto erfolgreich 2130 USER_ACCNT_CREATE_FAIL Erstellung von Benutzerkonto fehlgeschlagen 2140 USER_ACCNT_DEL_FAIL Löschen von Benutzerkonto fehlgeschlagen 2160 USER_NEW_ROLE_OK...
Abschnitt 7 1MRK 511 373-UDE Benutzeraktivitätsprotokollierung Name Ereignistext fehlgeschlagen 15610 IEC61850_INIT_OK Initialisierung des IEC 61850 Stacks erfolgreich 15620 IEC61850_CONFIG_OK Konfiguration des IEC 61850 Stacks erfolgreich 15710 IEC61850_INIT_FAIL Initialisierung des IEC 61850 Stacks fehlgeschlagen 15720 IEC61850_CONFIG_FAIL Konfiguration des IEC 61850 Stacks fehlgeschlagen Benutzeraktivitätsereignisse über Syslog Benutzeraktivitätsereignisse können an Syslog-Server gesendet werden.Alternativ lässt sich auch das Common Event Format (CEF) zum Senden an Arcsight-...
Abschnitt 7 1MRK 511 373-UDE Benutzeraktivitätsprotokollierung Benutzeraktivitätsereignisse über IEC 61850 Für sicherheitsrelevante Definitionen umfasst IEC 61850 den logischen Knoten GSAL, welcher die Überwachung von sicherheitsrelevanten Aktionen ermöglicht.Die Zuweisung von Benutzeraktivitätsereignissen zu GSAL-LN ist in Table 14 dargestellt. Tabelle 14 Zuweisung von Sicherheitsereignissen zu IEC 61850 Name Zuweisung IEC 61850 1110...