Siemens RUGGEDCOM ROS v5.5 Konfigurationshandbuch Seite 19

Einleitung
1.2 Sicherheitsempfehlungen
•
•
•
•
•
•
•
•
•
•
4
Beschränken Sie den physischen Zugang zum Gerät ausschließlich auf befugtes
Personal. Personen mit böswilligen Absichten können an kritische Informationen,
wie Zertifikate, Schlüssel usw. gelangen (Benutzerpasswörter sind durch Hash-
Codes geschützt) oder das Gerät umprogrammieren.
Kontrollieren Sie den Zugriff auf die serielle Konsole im gleichen Umfang wie
jeden physischen Zugriff auf das Gerät. Zugriff zur seriellen Konsole kann
möglicherweise auch unbefugten Zugriff auf den RUGGEDCOM ROS-Bootloader
ermöglichen. Hier stehen Tools zur Verfügung, die vollständigen Zugriff auf
das Gerät gewährleisten. Weitere Informationen zum Beschränken des Zugriffs
auf den Bootloader finden Sie unter
Schnittstelle (Seite 37)".
Aktivieren Sie nur solche Dienste, die auch tatsächlich auf dem Gerät benutzt
werden. Hierzu gehören auch physische Ports. Freie physische Ports können
potenziell dazu verwendet werden, Zugriff auf das Netzwerk hinter dem Gerät zu
erlangen.
Ist SNMP aktiviert, beschränken Sie die Anzahl der IP-Adressen, die eine
Verbindung zum Gerät herstellen können und ändern Sie die Community-
Bezeichnungen. Außerdem konfigurieren Sie das SNMP so, dass bei
fehlgeschlagener Authentifizierung eine Trap aktiviert wird. Weitere
Informationen finden Sie unter
Vermeiden Sie den Einsatz unsicherer Dienste, wie Telnet und TFTP oder
deaktivieren Sie diese nach Möglichkeit vollständig. Solche Dienste sind aus
historischen Gründen noch verfügbar, sind aber standardmäßig deaktiviert.
Deaktivieren Sie RCDP, wenn es nicht genutzt wird.
Begrenzen Sie die Anzahl der zulässigen gleichzeitigen WebServer-, Telnet- und
SSH-Sitzungen.
Konfigurieren den Remote-Login auf das System so, dass alle Logs an eine
zentrale Stelle weitergeleitet werden. Weitere Informationen finden Sie
in "Verwalten von Protokollen (Seite 52)"
sichere, unbeaufsichtigte Anmeldung an ROS implementiert?
support.industry.siemens.com/cs/ww/en/view/109756843).
Zur einfacheren Verwendung stehen Konfigurationsdateien im Format CSV
(comma separated values) zur Verfügung. Werden diese Dateien außerhalb
des Geräts gespeichert/verwendet, müssen sie ausreichend geschützt werden.
Dies kann zum Beispiel durch Verschlüsselung, Speicherung an einem sicheren
Ort oder Vermeidung der Übertragung über unsichere Kommunikationskanäle
erfolgen.
Die Verantwortung für die Verwaltung der Konfigurationsdatei, von Zertifikaten
und Schlüsseln trägt der Besitzer des Geräts. Ziehen Sie die Verwendung von
RSA-Schlüsseln mit einer Mindestlänge von 2048 Bits und Zertifikaten mit
SHA256-Signatur für bessere Verschlüsselungswirkung in Erwägung. Bevor Sie
das Gerät an Siemens zur Reparatur zurückschicken, ist die Verschlüsselung zu
deaktivieren (um eine Klartextversion der Konfigurationsdatei zu erstellen) und
die aktuellen Zertifikate und Schlüssel durch temporäre Einweg-Zertifikate und
Schlüssel zu ersetzen, die nach Rückerhalt des Geräts zerstört werden können.
"Verwalten des Zugriffs auf die Bootloader-
"Verwalten von SNMP (Seite
und in den FAQ Wie wird die
Konfigurationshandbuch, 10/2020, C79000-G8900-1460-01
118)".
(https://
RUGGEDCOM ROS v5.5