Datensicherheit - Balluff BIS U-6127-081-1 4-06-ST36 Betriebsanleitung

BIS U-6127-081-1_4-06-ST36
Auswerteeinheit
3
Produktbeschreibung (Fortsetzung)
3.6

Datensicherheit

Die Auswerteeinheit BIS U-6127 wurde konzipiert, um
auch in verteilten Installationen und größeren Netzwerken
betrieben zu werden. Mit zunehmender Verteilung der
vernetzten Geräte steigt das Risiko einer unbeabsichtigten
oder absichtlichen Veränderung der gespeicherten oder
übertragenen Daten.
Das betrifft sowohl die Daten auf den genutzten Datenträ-
gern und deren Übertragung von und zur Auswerteeinheit
als auch die Daten in der Auswerteeinheit selbst und deren
Übertragung zum übergeordneten verarbeitenden System.
Um Risken zu minimieren, bietet das Gerät einige Sicher-
heitsfunktionen:
– Die Nutzung eines etablierten Linux-basierten Betriebs-
systems.
– Eine durchgängige Benutzerverwaltung bietet Zugriffs-
schutz auf Geräteeinstellungen in mehreren Stufen.
Essentielle Einstellungen (z. B. IP-Adresse oder Anten-
nenkonfiguration), Firmwareupdates oder ein Geräte-
neustart können nur mit der Benutzerrolle Admin
durchgeführt werden.
– Ansteuerung des Geräts über OPC UA mit optionaler
Verschlüsselung der Daten und beidseitiger End-
punktauthentifizierung erlaubt auch die Steuerung über
ausgedehnte Netzwerke.
– Nicht genutzte Kommunikationsprotokolle und
Zugänge können gesperrt werden.
– Daten auf Standard-UHF-Datenträgern können auto-
matisch mit einer Signatur versehen werden, um die
Unversehrtheit und Echtheit der Daten zu prüfen.
– Die Verwaltung der sicherheitskritischen privaten
Schlüssel für OPC UA und Tagsignaturen kann im
Speicher des eingebauten Secure Elements erfolgen.
Von dort können sie auch dann nicht ausgelesen
werden, wenn das Gerät geöffnet wird oder aus dem
Netzwerk angegriffen wird.
Empfohlene Maßnahmen für Datensicherheit
Um die bestmögliche Datensicherheit zu gewährleisten,
empfehlen wir folgende Maßnahmen:
Allgemein
– Jedem Gerät im Netzwerk einen anderen Gerätenamen
zuweisen.
– Mit dem Internet verbundene Netzwerke über Firewalls
etc. abschotten.
– Von Balluff bereitgestellte Sicherheitsupdates einspie-
len.
www.balluff.com
Benutzerkonten
– Das Default-Administrator-Konto admin_default sollte
möglichst nur zum initialen Einrichten anderer Benut-
zerkonten genutzt werden.
– Das gerätespezifische Kennwort für admin_default
kann nicht geändert werden. Das auf dem Typschild
aufgedruckte Kennwort abschneiden und sicher aufbe-
wahren!
– Weitere Konten können mit selbstgewählten Kennwör-
tern versehen werdenn (auch solche mit Administrator-
Rechten). Sichere Kennwörter sollten Groß- und Klein-
buchstaben, Zahlen und Sonderzeichen beinhalten und
mindestens acht Zeichen lang sein.
– Benutzerrechte und Kennwörter personengebunden
vergeben und die Rechte nur soweit erteilen, wie sie für
die Aufgaben der Personen notwendig sind.
– Kennwörter, die in unbefugte Hände gelangt sind,
schnellstmöglich ändern.
Nähere Informationen zu Benutzerkonten und damit
verbundenen Berechtigungen siehe Kapitel 7.2.5 auf
Seite 36.
OPC UA
– OPC UA als Kommunikationsprotokoll verwenden. Die
Auswerteeinheit BIS U-6127 implementiert einen
erweiterten Funktionsumfang der OPC UA AutoID
Companion Specification 1.0.
– Beim OPC UA Protokoll die Einstellungen U
c
lientverbindUngen zUrückweiSen
c
würdige lientzertifikate akzeptieren
– Nicht benötigte Clientzertifikate blockieren oder
löschen.
– Die Schlüssel- und Zertifikatsverwaltung des Secure
Elements nutzen.
– Jedem Gerät im Netzwerk einen anderen Gerätenamen
zuweisen.
– Bei Änderung des Netzwerknamens oder der IP-
Adresse neue Gerätezertifikate erstellen.
– Auch im OPC-UA-Client nur geprüfte Gerätezertifikate
freigeben und unbekannte Zertifikate abweisen.
– Die Erstverbindung und den Zertifikatsaustausch bei
einem neuen Gerät oder Gerätezertifikat in einer
sicheren Netzwerkumgebung herstellen, damit sicher-
gestellt werden kann, dass das Zertifikat zum verbun-
denen Gerät gehört.
007-Protokoll
– Das 007-Protokoll (wird auch vom UHF-Manager als
Verbindungsprotokoll genutzt) nur in einer sicheren,
geschlossenen Netzwerkumgebung oder über USB
verwenden, da Kennwörter unverschlüsselt übertragen
werden.
– Das 007-Protokoll kann über die Weboberfläche
deaktiviert werden, wenn es nicht genutzt wird.
Weboberfläche
Die Weboberfläche zur Konfiguration des Geräts nur in
einem lokalen Netzwerk betreiben, da die http-Übertra-
gung nicht verschlüsselt ist und eingegebene Kennwörter
von Dritten abgefangen werden könnten.
nSichere
und n -
Ur vertraUenS
nutzen.
deutsch 11