Physischer/ Remote-Zugriff - Siemens SIMATIC NET SCALANCE W1780 Projektierungshandbuch

• Nutzen Sie eine Zertifizierungsstelle inklusive Schlüsselwiderruf und -verwaltung, um die
Zertifikate zu signieren.
• Stellen Sie sicher, dass benutzerdefinierte private Schlüssel geschützt und unzugänglich für
unbefugte Personen sind.
• Ändern Sie bei Verdacht auf eine Sicherheitsverletzung sofort alle Zertifikate und Schlüssel.
• Verwenden Sie passwortgeschützte Zertifikate im Format "PKCS #12".
• Verifizieren Sie Zertifikate anhand des Fingerprints auf Server- und Clientseite, um "Man-in-
the-middle"-Angriffe zu verhindern. Verwenden Sie hierzu einen zweiten, sicheren
Übertragungsweg.
• Bevor Sie das Gerät zur Reparatur an Siemens zurückschicken, ersetzen Sie die aktuellen
Zertifikate und Schlüssel durch temporäre Wegwerfzertifikate und -schlüssel, die bei der
Rückkehr des Geräts zerstört werden können.

Physischer/ Remote-Zugriff

• Betreiben Sie die Geräte nur in einem geschützten Netzwerkbereich. Angreifer können von
Außen nicht auf interne Daten zugreifen, wenn das interne und externe Netzwerk
voneinander getrennt sind.
• Beschränken Sie den physischen Zugang auf das Gerät ausschließlich auf
vertrauenswürdiges Personal.
Die Speicherkarte bzw. der PLUG (C-PLUG, KEY-PLUG, CLP) enthalten sensible Daten, wie
Zertifikate und Schlüssel, die ausgelesen und verändert werden können. Ein Angreifer, der im
Besitz der Wechselmedien des Geräts ist, könnte kritische Informationen wie Zertifikate,
Schlüssel usw. extrahieren oder die Medien neu programmieren.
• Sperren Sie ungenutzte physische Ports auf dem Gerät. Ungenutzte Ports können verwendet
werden, um unerlaubt auf die Anlage zuzugreifen.
• Es wird dringend empfohlen, den Schutz vor Brute-Force-Angriffen (BFA) aktiviert zu lassen,
um zu verhindern, dass sich Fremde unbefugten Zugriff auf das Gerät verschaffen. Für
weitere Informationen siehe Projektierungshandbücher, Kapitel "Brute Force Prevention".
• Verwenden Sie für die Kommunikation über nicht sichere Netzwerke zusätzliche Geräte mit
VPN-Funktionalität, um die Kommunikation zu verschlüsseln und zu authentifizieren.
• Wenn Sie eine sichere Verbindung zu einem Server (beispielsweise für ein sicheres Upgrade)
herstellen, achten Sie darauf, dass serverseitig starke Verschlüsselungsverfahren und
Protokolle konfiguriert sind.
• Beenden Sie Managementverbindungen (z.B. HTTP, HTTPS, SSH) ordnungsgemäß.
• Stellen Sie sicher, dass das Gerät vollständig abgeschaltet wurde, bevor Sie es aus dem
Betrieb nehmen. Für weitere Informationen siehe "Außerbetriebnahme (Seite 19)".
• Es wird empfohlen einen nicht verwendeten PLUG zu formatieren.
SCALANCE W1780 / W1740 nach IEEE 802.11ac Command Line Interface V3.0
Projektierungshandbuch, 03/2022, C79000-G8900-C486-04
Security-Empfehlungen
27