Pepperl+Fuchs ICE11-8IOL-G60L-V1D Handbuch Seite 7

ICE11-8IOL-G60L-V1D
Information zur Cybersecurity
2 Information zur Cybersecurity
Das ICE11-8IOL-G60L-V1D ist sicher nach IEC 62443-4-1 für den hier definierten Einsatzbe-
reich. Zum cybersicheren Betrieb und Schutz des Geräts sind vom Betreiber die in diesem
Abschnitt festgelegten Maßnahmen umzusetzen.
Security-Kontext
Das ICE11-8IOL-G60L-V1D ist für den Betrieb in einem Automationsnetzwerk vorgesehen.
Das ist ein sicheres Netzwerk mit bekannten und vertrauenswürdigen Teilnehmern, das vom
Unternehmensnetzwerk (physisch oder logisch) getrennt ist.
Eine Firewall muss so konfiguriert werden, dass nur definierte Ports in andere Subnetze weiter-
geleitet werden.
Das Gerät verwendet folgende Ports:
• Ports 49152, 34964 für PROFINET
• Port 2222 und Port 44818 für EtherNet/IP
• Port 68 DHCP-Client
• Port 80 für die Administrationswebseite über HTTPS
• Port 1883 (Werkseinstellung, änderbar) für MQTT, wenn aktiviert
• Port 4840 (Werkseinstellung, änderbar) für OPC UA, wenn aktiviert.
• Port 514 (Werkseinstellung, änderbar) für Syslog, wenn aktiviert.
• Port 5683 für CoAP, wenn aktiviert
Um keine Pakete zu verlieren, empfehlen wir, die Netzwerkauslastung auf < 5% der Bandbreite
zu begrenzen. Empfohlen wird, das Gateway hinter einem Netzwerk-Switch zu betreiben.
Das Gerät ist physisch gegen den Zugriff von Unbefugten abzusichern und in einem abschließ-
baren Schaltschrank oder Raum zu betreiben, der nur für autorisiertes Personal zugänglich ist.
Andernfalls besteht das Risiko, dass über das Serviceinterface "X3" und dem auf dem Gateway
aufgedruckten Passwort
Das Gerät trägt durch folgende Security-Funktionen zur "Defense-in-Depth"-Strategie bei:
Security-Funktion
Zugriffskontrolle mit Ein-Faktor-Authentifizie-
rung (SFA) und automatischer zeitbasierter
Login-Sperre bei falscher Authentifizierung.
Löschen aller im Gerät gespeicherten Informa-
tionen durch die Funktion "Zurücksetzen auf
Werkseinstellungen".
Die Zugangsdaten werden durch die krypto-
graphische Hash-Funktion SHA1 mit Salt und
Pepper gehasht
a. falls unverändert
a
Teile der Geräteeinstellungen geändert werden können.
Adressierte Bedrohung
Schutz vor Zugriff Unbefugter, Brute-Force-
Angriffen.
Schutz vor dem Ausspähen von Informationen
durch physischen Zugriff auf das Gerät nach
der Außerbetriebnahme und Entsorgung
durch den Anlagenbetreiber.
Schutz vor dem Auslesen und Rückrechnen
eines Passworts oder dem Finden einer Kolli-
sion wie z.B. mit "Rainbow table".
Selbst für den unwahrscheinlichen Fall, dass
dies gelänge, müsste dies für jedes einzelne
Gerät wiederholt werden, da Ergebnisse,
selbst bei der Verwendung desselben
Passworts, nicht auf andere Geräte übertrag-
bar sind.
7