Einwahl; Lokale Einwahl - Siemens SIMATIC PCS 7 Inbetriebnahmehandbuch

Einwahl

Grundsätzlich gibt es zwei verschiedene Einwahlmöglichkeiten:
● die lokale Einwahl, bei der sich der Supportmitarbeiter vor Ort befindet
● die Remote-Einwahl, die über das Intranet/Office-Netzwerk, das Internet oder das
Telefonnetz stattfindet
4.1

Lokale Einwahl

Anlageneigene Supportstation
Die Supportstation ist ein stationärer Support-PC und befindet sich entweder physikalisch in
der Anlage als ES im Process Control Network (PCN) und ist somit Teil der Anlage oder als
abgesetzte ES in einem Perimeter-Netz / Manufacturing Operating Network (MON) der
Manufacturing Execution Systeme (MES) aufgestellt und ist somit ein vertrauenswürdiger
abgesetzter Anlagen-PC. In beiden Fällen wird die Sicherheit über die korrekte Umsetzung
des Basisdokuments Sicherheitskonzept PCS 7 & WinCC gewährleistet. Da auf Engineering
Stationen im Gegensatz zu Prozessleitrechnern häufig mit wechselnden Projektdateien und
Sicherungskopien gearbeitet wird, müssen hier zusätzlich externe Datenträger (USB-Sticks,
CDs usw.) vor dem Einlegen auf Viren und Schadsoftware überprüft werden.
Mobiler Support-PC/-PG (Support-Laptop)
Bringt der Supportmitarbeiter seinen eigenen Support-PC vor Ort mit, darf ihm nur gestattet
werden, sich an extra dafür vorgesehenen Punkten mit dem Netzwerk zu verbinden, den
sogenannten Support-Steckdosen.
Dies ist zum Beispiel mit den modernen Geräten der SCALANCE X 300 und 400 Baureihe
möglich. Einzelne Ports können so zu konfiguriert werden, dass angeschlossene Computer
nur dann an der Netzwerkkommunikation teilnehmen können, wenn sie ein gültiges Zertifikat
beim jeweiligen Anschluss vorweisen, dass das SCALANCE Gerät an einem Radius-Server
verifizieren kann und dieser die Zugriffserlaubnis erteilt. So kann sichergestellt werden, dass
nur Supportmitarbeiter, denen ein solches Zertifikat ausgehändigt wurde, an der
Netzwerkkommunikation teilnehmen können.
Anschließend stellt der Supportmitarbeiter eine VPN-Verbindung zur Back-Firewall her. Da
der Supportmitarbeiter sich vor Ort befindet und permanent überwachendes Anlagenpersonal
anwesend ist, genügt eine PPTP-Einwahl mit einem Standard-Supportbenutzerkonto. Dazu
wird über einem Benutzerauthentifizierungs-Server (z.B. dem MS Internet
Authentifizierungsserver (IAS) / Radiusserver) ein Benutzerkonto in Verbindung mit dem MS
Remote Access Server (RAS) abgefragt, mit dem sich alle Supportmitarbeiter vor Ort
einwählen können. Jeweils nach Beendigung des Support-Auftrages sollte der
Anlagenadministrator das Passwort dieses Standard Supportbenutzers ändern. Über die
Quarantänefunktionalität des MS ISA Servers\MS TMG auf der Back-Firewall wird nun der
Support-PC auf Aktualität des Virenscanners, aktivierte lokale Firewall usw. überprüft. Je nach
Support- und Remote-Einwahl
Inbetriebnahmehandbuch, 11/2016, A5E39250001-AA
4
13