Siemens SIMATIC NET RUGGEDCOM RS416 Konfigurationshandbuch Seite 27

Einführung
1.2 Sicherheitsempfehlungen
•
•
•
•
•
•
•
•
•
•
•
6
Kontrollieren Sie den Zugriff auf die serielle Konsole im gleichen Umfang wie
jeden physischen Zugriff auf das Gerät. Zugriff zur seriellen Konsole kann
möglicherweise auch unbefugten Zugriff auf den RUGGEDCOM ROS-Bootloader
ermöglichen. Hier stehen Tools zur Verfügung, die vollständigen Zugriff auf
das Gerät geben können. Weitere Informationen zum Beschränken des Zugriffs
auf den Bootloader finden Sie unter "Verwalten des Zugriffs auf die Bootloader-
Schnittstelle" (Seite 39).
Aktivieren Sie nur solche Dienste, die tatsächlich auf dem Gerät genutzt werden.
Hierzu gehören auch physische Ports. Freie physische Ports können potenziell
dazu verwendet werden, Zugriff auf das Netzwerk hinter dem Gerät zu erlangen.
Spiegel-Ports ermöglichen bidirektionalen Datenverkehr (d.h. das Gerät blockiert
eingehenden Datenverkehr zum Spiegel-Port oder zu den Spiegel-Ports nicht).
Um die Sicherheit zu erhöhen, konfigurieren Sie einen Filter für eingehenden
Datenverkehr, um den Datenfluss zu steuern, wenn die Port-Spiegelung aktiviert
ist. Weitere Informationen zum Aktivieren der Port-Spiegelung finden Sie unter
"Konfigurieren von Traffic Mirroring" (Seite 72). Weitere Informationen
zum Aktivieren des Ingress-Filters finden Sie unter "Globales Konfigurieren von
VLANs" (Seite 157).
Aktivieren Sie zur höheren Sicherheit standardmäßig den Ingress-Filter an allen
Ports. Weitere Informationen zum Aktivieren des Ingress-Filters finden Sie unter
"Globales Konfigurieren von VLANs" (Seite 157).
Ist SNMP aktiviert, beschränken Sie die Anzahl der IP-Adressen, die eine
Verbindung zum Gerät herstellen können, und ändern Sie die Community-
Bezeichnungen. Außerdem konfigurieren Sie das SNMP so, dass bei
fehlgeschlagener Authentifizierung ein Trap erzeugt wird. Weitere Informationen
finden Sie unter "Verwalten von SNMP" (Seite 263).
Vermeiden Sie den Einsatz unsicherer Dienste wie Telnet und TFTP oder
deaktivieren Sie diese nach Möglichkeit vollständig. Solche Dienste sind aus
historischen Gründen noch verfügbar, sind aber standardmäßig deaktiviert.
Deaktivieren Sie RCDP, wenn es nicht genutzt wird.
Begrenzen Sie die Anzahl der zulässigen gleichzeitigen WebServer-, Telnet- und
SSH-Sitzungen.
Konfigurieren den Remote-Login auf das System so, dass alle Logs an
eine zentrale Stelle weitergeleitet werden. Weitere Informationen finden
Sie in "Protokolle verwalten" (Seite 54) und in den FAQ "Wie wird die
sichere, unbeaufsichtigte Anmeldung an ROS implementiert?"
support.industry.siemens.com/cs/ww/en/view/109756843).
Zur einfacheren Verwendung stehen Konfigurationsdateien im Format CSV
(comma separated values) zur Verfügung. Werden diese Dateien außerhalb
des Geräts gespeichert/verwendet, müssen sie ausreichend geschützt werden.
Dies kann zum Beispiel durch Verschlüsselung, Speicherung an einem sicheren
Ort oder Vermeidung der Übertragung über unsichere Kommunikationskanäle
erfolgen.
Die Verantwortung für die Verwaltung der Konfigurationsdatei, von Zertifikaten
und Schlüsseln trägt der Besitzer des Geräts. Ziehen Sie die Verwendung von
(https://
RUGGEDCOM ROS v5.7
Konfigurationshandbuch, 12/2022, C79000-G8900-1543-02