Inhaltsverzeichnis
Werbung
• SSH- und SSL-Schlüssel stehen Admin-Benutzern zur Verfügung. Stellen Sie sicher, dass Sie
geeignete Sicherheitsvorkehrungen ergreifen, wenn Sie das Gerät außerhalb der vertrauten
Umgebung versenden:
– Ersetzen Sie die SSH- und SSL-Schlüssel vor dem Versand durch Wegwerfschlüssel.
– Nehmen Sie die vorhandenen SSH- und SSL-Schlüssel außer Betrieb. Erstellen und
• Verifizieren Sie Zertifikate anhand des Fingerprints auf Server- und Clientseite, um "Man-in-
the-middle"-Angriffe zu verhindern. Verwenden Sie hierzu einen zweiten, sicheren
Übertragungsweg.
• Bevor Sie das Gerät zur Reparatur an Siemens zurückschicken, ersetzen Sie die aktuellen
Zertifikate und Schlüssel durch temporäre Wegwerfzertifikate und -schlüssel, die bei der
Rückkehr des Geräts zerstört werden können.
Physischer/ Remote-Zugriff
• Betreiben Sie die Geräte wenn möglich nur in einem geschützten Netzwerkbereich. Angreifer
können von Außen nicht auf interne Daten zugreifen, wenn das interne und externe
Netzwerk voneinander getrennt sind.
• Beschränken Sie den physischen Zugang auf das Gerät ausschließlich auf
vertrauenswürdiges Personal.
Die Speicherkarte bzw. der PLUG (C-PLUG, KEY-PLUG, CLP) enthalten sensible Daten, wie
Zertifikate und Schlüssel, die ausgelesen und verändert werden können. Ein Angreifer, der im
Besitz der Wechselmedien des Geräts ist, könnte kritische Informationen wie Zertifikate,
Schlüssel usw. extrahieren oder die Medien neu programmieren.
• Sperren Sie ungenutzte physische Ports auf dem Gerät. Ungenutzte Ports können verwendet
werden, um unerlaubt auf die Anlage zuzugreifen.
• Es wird dringend empfohlen, den Schutz vor Brute-Force-Angriffen (BFA) aktiviert zu lassen,
um zu verhindern, dass sich Fremde unbefugten Zugriff auf das Gerät verschaffen. Für
weitere Informationen siehe Projektierungshandbücher, Kapitel "Brute Force Prevention".
• Verwenden Sie für die Kommunikation über nicht sichere Netzwerke, wenn möglich, die VPN-
Funktionalität, um die Kommunikation zu verschlüsseln und zu authentifizieren.
• Wenn Sie eine sichere Verbindung zu einem Server (beispielsweise für ein sicheres Upgrade)
herstellen, achten Sie darauf, dass serverseitig starke Verschlüsselungsverfahren und
Protokolle konfiguriert sind.
• Beenden Sie Managementverbindungen (z.B. HTTPS, SSH) ordnungsgemäß.
• Stellen Sie sicher, dass das Gerät vollständig abgeschaltet wurde, bevor Sie es aus dem
Betrieb nehmen. Für weitere Informationen siehe "Außerbetriebnahme (Seite 3)".
• Es wird empfohlen einen nicht verwendeten PLUG zu formatieren.
Hardware/ Software
• Verwenden Sie, wann immer möglich, VLANs als Schutz vor Denial-of-Service (DoS)-
Angriffen und vor unbefugtem Zugriff.
• Beschränken Sie den Zugriff auf das Gerät durch Firewall-Regeln oder Regeln in einer
Zugriffsliste (ACL – Access Control List).
SCALANCE M812, M816
Betriebsanleitung, 10/2022, C79000-G8900-C343-08
Programmieren Sie bei Rückkehr des Geräts neue Schlüssel für das Gerät.
Security-Empfehlungen
15
Werbung
Inhaltsverzeichnis
