Werbung
• Achten Sie auf Link-Layer-Protokolle, die keine eigene Authentifizierung zwischen den
Endpunkten bieten, wie ARP oder IPv4. Eine Entität mit bösartigen Absichten könnte
Schwachstellen in diesen Protokollen ausnutzen, um mit Ihrem Layer-2-Netzwerk
verbundene Hosts, Switches und Router anzugreifen, zum Beispiel durch Vergiftung
(Poisoning) der ARP-Caches von Systemen im Subnetz und anschließendem Abfangen des
Datenverkehrs. Ergreifen Sie angemessene Sicherheitsvorkehrungen gegen nicht sichere
Layer-2-Protokolle, um unbefugten Zugriff aus das Netzwerk zu ergreifen. Unter anderem
kann der physische Zugriff auf das lokale Netzwerk gesichert oder es können sichere
höherschichtige Protokolle verwendet werden.
• Treffen Sie Vorkehrungen zum Schutz Ihres Authentifikator-Geräts/Ihrer Authentifikator-
Anwendung für die 2-Faktor-Authentifizierung. Darunter fällt auch, dass die einzelnen
Authentifikatoren im eigenen Besitz bleiben und diese nicht mit anderen geteilt werden
sowie die sofortige Meldung bei Verlust oder Beeinträchtigung von Authentifikatoren.
Zertifikate und Schlüssel
• Ändern Sie bei Verdacht auf eine Sicherheitsverletzung sofort alle Zertifikate und Schlüssel.
• SSH- und SSL-Schlüssel stehen Admin-Benutzern zur Verfügung. Stellen Sie sicher, dass Sie
geeignete Sicherheitsvorkehrungen ergreifen, wenn Sie das Gerät außerhalb der vertrauten
Umgebung versenden:
– Ersetzen Sie die SSH- und SSL-Schlüssel vor dem Versand durch Wegwerfschlüssel.
– Nehmen Sie die vorhandenen SSH- und SSL-Schlüssel außer Betrieb. Erstellen und
• Verwenden Sie passwortgeschützte Zertifikate im Format "PKCS #12".
• Verwenden Sie Zertifikate mit einer Schlüssellänge von 4096 Bit.
• Bevor Sie das Gerät zur Reparatur an Siemens zurückschicken, ersetzen Sie die aktuellen
Zertifikate und Schlüssel durch temporäre Wegwerfzertifikate und -schlüssel, die bei der
Rückkehr des Geräts zerstört werden können.
• Überprüfen Sie Zertifikate und Fingerprints auf dem Server, um auf diese Weise Man-in-the-
Middle(MitM)-Angriffe zu verhindern.
Physischer/Remote-Zugriff
• Betreiben Sie die Geräte nur in einem geschützten Netzwerkbereich. Angreifer können von
Außen nicht auf interne Daten zugreifen, wenn das interne und externe Netzwerk
voneinander getrennt sind.
• Beschränken Sie den physischen Zugriff auf das Gerät ausschließlich auf vertrauenswürdiges
Personal. Ein Benutzer mit bösartigen Absichten, der im Besitz der Wechselmedien des
Geräts ist, könnte kritische Informationen wie Zertifikate, Schlüssel usw. extrahieren
(Benutzerpasswörter sind durch Hash-Codes geschützt) oder die Medien neu
programmieren.
• Kontrollieren Sie den Zugriff auf die serielle Konsole in dem gleichen Umfang wie jeden
physischen Zugriff auf das Gerät.
• Es wird dringend empfohlen, den Schutz vor Brute-Force-Angriffen (BFA) aktiviert zu lassen,
um zu verhindern, dass sich Fremde unbefugten Zugriff auf das Gerät verschaffen.
Für weitere Informationen siehe "Verhinderung von Brute-Force-Angriffen (BFA) (Seite 131)".
• Verwenden Sie für die Kommunikation über nicht sichere Netzwerke zusätzliche Geräte mit
VPN-Funktionalität, um die Kommunikation zu verschlüsseln und zu authentifizieren.
Web User Interface (Web UI) SINEC OS v2.3
Projektierungshandbuch, 04/2023, C79000-G8900-C680-01
Programmieren Sie bei Rückkehr des Geräts neue Schlüssel für das Gerät.
Einleitung
2.2 Security-Empfehlungen
25
Werbung
