Inhaltsverzeichnis
Werbung
Security-Empfehlungen
1.1 Security-Empfehlungen
Zertifikate und Schlüssel
• Im Gerät ist ein voreingestelltes SSL/TLS-Zertifikat für den Zugriff auf das WBM vorhanden.
Ersetzen Sie dieses Zertifikat durch ein selbst erstelltes höherwertiges Zertifikat mit
Schlüssel.
Verwenden Sie ein Zertifikat, das entweder durch eine zuverlässige externe oder interne
Zertifizierungsstelle signiert ist.
• Nutzen Sie eine Zertifizierungsstelle inklusive Schlüsselwiderruf und -verwaltung, um die
Zertifikate zu signieren.
• Stellen Sie sicher, dass benutzerdefinierte private Schlüssel geschützt und unzugänglich
für unbefugte Personen sind.
• Ändern Sie bei Verdacht auf eine Sicherheitsverletzung sofort alle Zertifikate und
Schlüssel.
• Verifizieren Sie Zertifikate anhand des Fingerprints auf Server- und Clientseite, um "Man-
in-the-middle"-Angriffe zu verhindern. Verwenden Sie hierzu einen zweiten, sicheren
Übertragungsweg.
• Bevor Sie das Gerät zur Reparatur an Siemens zurückschicken, ersetzen Sie die aktuellen
Zertifikate und Schlüssel durch temporäre Wegwerfzertifikate und -schlüssel, die bei der
Rückkehr des Geräts zerstört werden können.
Protokolle
Sichere und unsichere Protokolle
• Vermeiden oder deaktivieren Sie unsichere Protokolle und Dienste, wie z. B. HTTP oder
NTP.
Diese Protokolle sind aus historischen Gründen verfügbar, jedoch nicht für einen sicheren
Einsatz gedacht. Setzen Sie unsichere Protokolle auf dem Gerät mit Bedacht ein.
• Aktivieren Sie nur Protokolle, die Sie für den Einsatz des Systems benötigen.
•
– Syslog
– DHCP-Optionen 66/67
– S7
• Nutzen Sie sichere Protokolle, wenn der Zugriff auf das Gerät nicht durch physische
Schutzvorkehrungen gesichert ist.
– Das Protokoll NTP bietet mit NTP (secure) eine sichere Alternative.
– Das Protokoll HTTP bietet mit HTTPS eine sichere Alternative.
– Eine OPC UA-Station mit aktiver Verschlüsselung bietet eine sichere Alternative zur
• Beschränken Sie die nach außen angebotenen Dienste und Protokolle auf das
erforderliche Mindestmaß.
• Wenn Sie unsichere Protokolle und Dienste benötigen, betreiben Sie diese nur innerhalb
eines geschützten Netzwerkbereichs.
16
Prüfen Sie die Notwendigkeit der Nutzung folgender Protokolle und Dienste:
unverschlüsselten S7-Station.
Betriebsanleitung, 12/2022, C79000-G8900-C503-09
SIMATIC CC7
Werbung
Inhaltsverzeichnis
