Security Instructions

Einleitung

ICR LTE-Router wurden unter Berücksichtigung der Cybersicherheit entwickelt. Daher bietet das Produkt eine Reihe von Funktionen zur Bewältigung von Cybersicherheitsrisiken. Die folgenden Cybersicherheitsempfehlungen wurden entwickelt, um Benutzern dabei zu helfen, das Produkt so einzusetzen und zu warten, dass Cybersicherheitsrisiken minimiert werden. Diese Empfehlungen sind nicht als umfassender Leitfaden zur Cybersicherheit gedacht, sondern sollen die bestehenden Cybersicherheitsprogramme der Kunden ergänzen.

Eaton hat sich dazu verpflichtet, jegliches Cybersicherheitsrisiko in seinen Produkten zu minimieren und diese durch den Einsatz bewährter Verfahren im Bereich Cybersicherheit sicherer, zuverlässiger und wettbewerbsfähiger zu machen.

Die folgenden Whitepaper bieten weitere Informationen zu allgemeinen Best Practices und Richtlinien für Cybersicherheit:

• Cybersicherheitsaspekte für elektrische Verteilungssysteme (WP152002EN)
• Checkliste für bewährte Verfahren – Erinnerung (WP910003EN)

Sicherheitshinweise

Verwendungszweck und Einsatzkontext

ICR-IoT-Router sind Schnittstellenmodule zwischen lokalen Feldbussen wie Modbus-TCP und dem öffentlichen Internet.

ICR-IoT-Router können über das Internet mit Brightlayer Machinery über das MQTT-Protokoll kommunizieren.

Anlagenverwaltung

Die Nachverfolgung Ihrer Software- und Hardware-Assets ist eine Grundvoraussetzung für ein effektives Cybersicherheitsmanagement. Eaton empfiehlt daher die Erstellung eines Asset-Inventars, in dem jede wichtige Komponente eindeutig identifiziert wird. Um dies zu erleichtern, unterstützen ICR-IoT-Router die folgenden Identifizierungsinformationen:

• Hersteller
• Produktlinie
• Produktname
• Seriennummer
• MAC Adresse
• Firmware-Version
• OS Version
• Bootloader Version

Die Identifikationsdaten des Geräts sind auf den physischen Etiketten am Gerät zu finden. Die Softwareversionsdaten (FW, OS, Bootloader) können auf der „Home“-Webseite der WEB-GUI abgerufen werden.

Risikobeurteilung

Eaton empfiehlt die Durchführung einer Risikobewertung, um alle vorhersehbaren internen und externen Risiken für die Vertraulichkeit, Verfügbarkeit und Integrität des Systems/Geräts und seiner Umgebung zu identifizieren und zu bewerten. Eine solche Bewertung sollte in Übereinstimmung mit den geltenden technischen und regulatorischen Rahmenbedingungen, wie IEC 62443 und NERC-CIP, durchgeführt werden. Die Risikobewertung sollte regelmäßig wiederholt werden.

Physische Sicherheit

Ein Angreifer mit unbefugtem physischem Zugriff kann die Funktionalität des Systems/Geräts erheblich beeinträchtigen. Darüber hinaus bieten industrielle Steuerungsprotokolle keinen kryptografischen Schutz, wodurch ICS- und SCADA-Kommunikationen besonders anfällig für Vertraulichkeitsverletzungen sind. Die physische Sicherheit stellt daher in solchen Fällen eine wichtige Verteidigungsstufe dar. Die ICR-IoT-Router sind für den Einsatz und Betrieb an einem physisch sicheren Standort ausgelegt. Eaton empfiehlt die folgenden bewährten Verfahren, um Ihr System/Gerät physisch zu sichern:

• Sicherung der Anlage und der Geräteräume oder -schränke durch Zugangskontrollmechanismen wie Schlösser, Zugangskartenlesegeräte, Wachpersonal, Schleusen, Videoüberwachung usw., je nach Bedarf.

• Beschränken Sie den physischen Zugang zu allen Schränken und/oder Gehäusen, die ein NubisNet IoT-Gateway und das zugehörige System enthalten. Jeder solche Zugang sollte jederzeit überwacht und protokolliert werden.

• Beschränkung des physischen Zugangs zu Telekommunikationsleitungen und Netzwerkverkabelung zum Schutz vor Versuchen, die Kommunikation abzufangen oder zu sabotieren. Zu diesem Zweck empfehlen wir die Verwendung von Metallkanälen für die Netzwerkverkabelung zwischen Geräteschränken.

• Die ICR-IoT-Router unterstützen die folgenden physischen Zugangsports:

  • RJ-45 Ethernet-Anschlussstelle
  • SD-Karten Slot
  • Der Zugang zu diesen Ports sollte daher eingeschränkt werden.

• Durch den Zugriff auf die physischen Schnittstellen der ICR-IoT-Router kann der Benutzer eine Werksrücksetzung durchführen und die Einstellungen ändern.

• Der physische Zugriff auf das Gerät MUSS eingeschränkt sein. Die Verwendung interner Debug-Schnittstellen (die von außerhalb des Geräts nicht erreichbar sind) kann es einem Angreifer ebenfalls ermöglichen, auf dem Gerät gespeicherte Anmeldedaten auszulesen.

Eine physische Port-Sperre wird empfohlen.

Entfernen Sie während der Firmware-Aktualisierung und beim Zurücksetzen auf die Werkseinstellungen nicht die Stromversorgung. Andernfalls kann das Gerät möglicherweise nicht mehr verwendet werden.

Kontoverwaltung

Der logische Zugriff auf das System/Gerät sollte auf berechtigte Benutzer beschränkt sein, denen nur die für die Erfüllung ihrer Aufgaben/Funktionen erforderlichen Berechtigungen zugewiesen werden sollten. Darüber hinaus sollten Kunden auch die Umsetzung der folgenden bewährten Verfahren in Betracht ziehen:

• Sicherstellen, dass die Standard-Anmeldedaten bei der ersten Anmeldung geändert werden. ICR-IoT-Router sollten nicht mit Standard-Anmeldedaten in Produktionsumgebungen eingesetzt werden, da diese öffentlich bekannt sind.
• Keine gemeinsame Nutzung von Konten – Jeder Benutzer sollte über ein eigenes Konto verfügen, und Konten und Passwörter sollten nicht gemeinsam genutzt werden. Die Sicherheitsüberwachungs-/Protokollierungsfunktionen des Produkts sind auf Einzelbenutzerkonten ausgelegt. Die gemeinsame Nutzung von Anmeldedaten durch mehrere Benutzer schwächt daher die Sicherheit.
• Einschränkung von Administratorrechten – Angreifer versuchen häufig, sich die Kontrolle über legitime Anmeldedaten zu verschaffen, insbesondere solche, die für den Zugriff auf Konten mit hohen Berechtigungen verwendet werden. Administratorrechte sollten daher nur Konten zugewiesen werden, die speziell für Verwaltungsaufgaben vorgesehen sind und nicht für den regulären Gebrauch bestimmt sind.
• Nutzung der Rollen/Zugriffsrechte, um Benutzern entsprechend den geschäftlichen/betrieblichen Anforderungen einen abgestuften Zugriff zu gewähren, wobei das Prinzip der geringsten Rechte gilt (indem Benutzern nur die Berechtigungen und der Zugriff auf Systemressourcen zugewiesen werden, die zur Erfüllung ihrer Aufgaben erforderlich sind).
• Durchführung regelmäßiger Kontobereinigungen (Löschen ungenutzter Konten).
• Sicherstellen, dass die Anforderungen an die Länge, Komplexität und Gültigkeitsdauer von Passwörtern angemessen festgelegt sind, insbesondere für alle Administratorkonten (z. B. mindestens 10 Zeichen, eine Mischung aus Groß- und Kleinbuchstaben und Sonderzeichen oder wie anderweitig in den Richtlinien des Kunden festgelegt).
• Durchsetzung von Sitzungszeitüberschreitungen nach einer bestimmten Zeit der Inaktivität.

Bei der ersten Anmeldung (auch nach einem Werksreset) kann mit den Standard-Anmeldedaten auf das Admin-Konto des ICR IoT-Routers zugegriffen werden. Der Benutzer muss diese Anmeldedaten bei der Anmeldung ändern. Um Man-in-the-Middle-Angriffe zu vermeiden, stellen Sie sicher, dass Sie bei der ersten Anmeldung über eine direkte Ethernet-Verbindung mit dem Gerät verbunden sind.

Die ICR-IoT-Router unterstützen die Einrichtung von Benutzerkonten über die Einstellungsseite „UserManagment“.

• Die Berechtigungsverwaltung für Benutzer ist zugriffsbasiert. Die Granularität umfasst einzelne Seiten/Module/Funktionen. Benutzer können das Recht haben, Einstellungen und Daten einer bestimmten Seite anzuzeigen und/oder zu ändern.
• Standardmäßig wird ein Admin-Benutzer mit Standard-Anmeldedaten eingerichtet. Bei der ersten Anmeldung wird der Benutzer aufgefordert, die Standard-Anmeldedaten zu ändern.
• Ein Administrator ist ein Benutzer, der das Recht hat, andere Benutzer anzulegen, zu löschen oder zu ändern.
• Es muss immer ein Administratorkonto vorhanden sein, d. h. das letzte Administratorkonto kann nicht gelöscht werden.
• Die Administratorkonten können andere Benutzerkonten einrichten und deren Zugriffsrechte festlegen. Sie können neue Administratoren hinzufügen, indem sie einen Benutzer mit Administratorrechten erstellen.

Netzwerksicherheit

Die ICR-IoT-Router unterstützen die Netzwerkkommunikation mit anderen Geräten in ihrer Umgebung. Diese Funktion kann bestimmte Risiken mit sich bringen, wenn sie nicht sicher konfiguriert ist. Eaton empfiehlt die folgenden bewährten Verfahren, um die Sicherheit des Netzwerks zu gewährleisten. Weitere Informationen zu verschiedenen Strategien zum Schutz des Netzwerks finden Sie im Whitepaper Cybersecurity Considerations for Electrical Distribution Systems (WP152002EN) von Eaton.

Eaton empfiehlt, Netzwerke in logische Enklaven zu segmentieren, jeglichen Datenverkehr zwischen Segmenten zu unterbinden, außer dem ausdrücklich zugelassenen, und jegliche Kommunikation auf Host-zu-Host-Pfade zu beschränken, z. B. durch Verwendung von Router-ACLs und Firewall-Regeln, siehe allgemeine Richtlinien in Richtlinien zu Firewalls und Firewall-Richtlinien (NIST SP 800-41 Rev. 1). Dies trägt zum Schutz sensibler Informationen und kritischer Dienste bei und schafft zusätzliche Barrieren für den Fall einer Verletzung der Netzwerkperimeter. Zur Verbesserung der Sicherheitskontrolle sollte ein Netzwerk für industrielle Steuerungssysteme in einem Versorgungsunternehmen mindestens in eine dreistufige Architektur unterteilt werden (wie im Leitfaden zur Sicherheit industrieller Steuerungssysteme (ICS) (NIST SP 800-82 Rev. 2) empfohlen).

Kommunikationsschutz

Die ICR-IoT-Router bieten die Möglichkeit, die Netzwerkkommunikation zu verschlüsseln. Bitte stellen Sie sicher, dass die Verschlüsselungsoptionen aktiviert sind. Sie können die Kommunikationsfunktionen des Produkts durch folgende Schritte sichern:

• Um HTTP-Verbindungen zu unterbinden (wodurch implizit nur HTTPS-Verbindungen zugelassen werden), blockieren Sie Port 80 in den Firewall-Einstellungen.
• Verwenden Sie OpenVPN, um eine Verbindung zu einem VPN-Netzwerk herzustellen.

Eaton empfiehlt, nur die Ports zu öffnen, die für den Betrieb und den Schutz der Netzwerkkommunikation erforderlich sind, und zwar mithilfe von Netzwerkschutzsystemen wie Firewalls und Intrusion Detection Systemen/Intrusion Prevention Systemen. Verwenden Sie die folgenden Informationen, um Ihre Firewall-Regeln so zu konfigurieren, dass der für den reibungslosen Betrieb der ICR-IoT-Router erforderliche Zugriff möglich ist.

• Der HTTP-Server läuft über Port 80 (HTTP) und 443 (HTTPS).
• Der Konfigurationsserver läuft über Port 8001.
• I/O-Treiberserver wie CODESYS NetVars. Die Verfügbarkeit dieser Server hängt von der installierten Hardware und den Lizenzen ab und kann von Gerät zu Gerät variieren. Alle installierten Dienste werden beim Hinzufügen einer neuen Regel in der Dropdown-Liste „Dienst“ aufgeführt.
• Dienste wie der DHCP-Server. Die Verfügbarkeit dieser Dienste hängt von der installierten Hardware und den Lizenzen ab und kann von Gerät zu Gerät variieren. Alle installierten Dienste werden beim Hinzufügen einer neuen Regel in der Dropdown-Liste „Dienst“ aufgeführt.

Bewährte Verfahren

Eaton empfiehlt:

• die Firewall auf dem NubisNet IoT-Gateway zu aktivieren und
• beschränken Sie den Zugriff auf die erforderlichen Ports.

Wenn keine E/A-Kommunikation konfiguriert ist, muss lediglich der Port 443 in der Firewall geöffnet und der Zugriff auf diesen Port auf das lokale Netzwerk beschränkt werden, wie in der folgenden Abbildung dargestellt.

Hinweis: Durch Aktivieren der Firewall und Sperren des Zugriffs auf Port 443 wird allen Benutzern der Zugriff auf die WEB-GUI verwehrt.

Wenn I/O-Kommunikation verwendet wird, müssen diese Ports geöffnet werden, indem eine weitere Static Rule zur Firewall-Konfiguration der ICR-IoT-Router hinzugefügt wird. Es wird empfohlen, für jede I/O-Kommunikation eine Regel hinzuzufügen und die Definition der Regel so restriktiv wie möglich zu gestalten.

Protokollierung und Ereignisverwaltung

• Eaton empfiehlt, alle relevanten System- und Anwendungsereignisse zu protokollieren, einschließlich aller Verwaltungs- und Wartungsaktivitäten.
• Die Protokolle sollten vor Manipulationen und anderen Risiken für ihre Integrität geschützt werden (z. B. durch Einschränkung der Zugriffs- und Änderungsrechte, durch Übertragung an ein Sicherheitsinformations- und Ereignismanagementsystem usw.).
• Die Protokolle sollten immer für einen angemessenen und geeigneten Zeitraum aufbewahrt werden.
• Die Protokolle sollten regelmäßig überprüft werden. Dabei sollte eine angemessene Überprüfungshäufigkeit gewählt werden, die die Sensibilität und Kritikalität des Systems/Geräts und der von ihm verarbeiteten Daten berücksichtigt.

Die Protokollierung erfolgt im Ereignisprotokoll. Das Ereignisprotokoll zeichnet Ereignisse auf, die während der Laufzeit des Systems für alle seine Komponenten (System, Treiber, Dienste, Editor, Hardware usw.) aufgetreten sind.

Ereignisse werden in fünf Stufen unterteilt: Debug, Info, Warnung, Fehler und schwerwiegender Fehler. Ereignisse werden mit einem Zeitstempel versehen.

Das Ereignisprotokoll bleibt nach einem Neustart nicht erhalten. Eine dauerhafte lokale Protokollierung des Ereignisprotokolls ist nicht möglich. Das Ereignisprotokoll kann über die Schaltfläche „Herunterladen“ in der Ereignisprotokoll-Benutzeroberfläche exportiert werden.

Schwachstellenscan

Es ist möglich, Software von Drittanbietern auf den ICR-IoT-Routern zu installieren und zu verwenden. Alle bekannten kritischen oder schwerwiegenden Schwachstellen in Komponenten/Bibliotheken von Drittanbietern, die zum Ausführen von Software/Anwendungen verwendet werden, sollten behoben werden, bevor das Gerät/System in Betrieb genommen wird.

• Eaton empfiehlt die Durchführung eines Schwachstellenscans, um bekannte Schwachstellen für die mit dem Produkt verwendete Software zu identifizieren. Für COTS-Komponenten (z. B. Anwendungen, die unter Windows laufen) können Schwachstellen in der National Vulnerability Database (NVD) nachverfolgt werden, die unter https://nvd.nist.gov.
• Halten Sie Ihre Software auf dem neuesten Stand, indem Sie die von COTS-Anbietern bereitgestellten Sicherheitspatches überwachen und diese so schnell wie möglich installieren.

Hinweis: Viele Compliance-Rahmenwerke und Sicherheits-Best-Practices schreiben eine monatliche Überprüfung auf Schwachstellen vor. Bei vielen Nicht-COTS-Produkten werden Schwachstellen direkt über die Website des Anbieters kommuniziert.

Malware-Abwehr

Eaton empfiehlt den Einsatz angemessener Malware-Abwehrmaßnahmen, um sowohl das Produkt als auch die Plattformen, auf denen es ausgeführt wird, zu schützen.

Sichere Wartung

Das Gerät verfügt über eine Diagnoseseite, die Diagnosedienste wie Schnittstelleninformationen, ein Ping-Dienstprogramm, ein DNS-Lookup-Dienstprogramm, die Möglichkeit zum Abhören des Netzwerkverkehrs, die Anzeige aller laufenden Systemaufgaben auf dem Betriebssystem und ein Debugging-Tool für die lokale Datenprotokollierungsfunktion enthält.

Hinweis: Die Aktivierung von <Ports/Diensten> dient ausschließlich zu Diagnosezwecken und sollte nicht aktiviert bleiben.

Bewährte Verfahren

Aktualisieren Sie die Firmware des Geräts, bevor Sie es in Betrieb nehmen. Führen Sie anschließend regelmäßig Firmware-Updates und Software-Patches durch.

Eaton veröffentlicht Patches und Updates für seine Produkte, um sie vor entdeckten Sicherheitslücken zu schützen. Eaton empfiehlt seinen Kunden, einen konsistenten Prozess zur zeitnahen Überwachung und Installation neuer Firmware-Updates einzuhalten.

Firmware-Updates können auf zwei Arten bereitgestellt werden:

• GUI: Der Benutzer kann die neue Firmware hochladen, wenn er lokal mit dem Router verbunden ist.
• Fernzugriff: Die Firmware kann auch durch Fernübertragung der neuen Firmware über den Eaton Remote Maintenance Service aktualisiert werden.

Bitte besuchen Sie die Cybersicherheits-Website von Eaton, um Informationsbulletins zu verfügbaren Firmware- und Software-Updates zu erhalten.

Geschäftskontinuität / Cybersicherheit Notfallwiederherstellung

Eaton empfiehlt seinen Kunden, ICR-IoT-Router in ihre Business-Continuity- und Disaster-Recovery-Pläne zu integrieren. Kunden sollten einen Business-Continuity-Plan und einen Disaster-Recovery-Plan erstellen und diese regelmäßig überprüfen und, wenn möglich, testen. Als Teil des Plans sollten alle wichtigen System-/Gerätedaten gesichert und sicher gespeichert werden, darunter:

• Aktualisierte Firmware für ICR-IoT-Router. Das Standardverfahren sollte darin bestehen, die Sicherungskopie zu aktualisieren, sobald die neueste Firmware verfügbar ist.
• Die aktuelle Konfiguration.
• Dokumentation der aktuellen Berechtigungen/Zugriffskontrollen, sofern diese nicht als Teil der Konfiguration gesichert wurden. Im folgenden Abschnitt werden die Fehlerzustände und Sicherungsfunktionen im Detail beschrieben:

Fehlerzustände

• Das System kann nicht hochfahren (keine Ethernet-Verbindung und keine grafische Benutzeroberfläche), mögliche Ursache: fehlgeschlagener Aktualisierungsvorgang, Hardwarefehler. Kann nicht wiederhergestellt werden.
• Reboot-Schleife (Ethernet-Schnittstelle verliert und gewinnt wiederholt die Verbindung), möglicher Grund: fehlgeschlagener Aktualisierungsvorgang. Kann möglicherweise durch Zurücksetzen auf Werkseinstellungen behoben werden.
• GUI kann nicht geladen werden (Fehler 404 oder 500): Mögliche Ursache: Fehlgeschlagener Aktualisierungsvorgang, Systemfehler. Kann möglicherweise durch Zurücksetzen auf Werkseinstellungen behoben werden.
• Schwerwiegender Fehler, Grund: siehe Ereignisprotokollmeldung.

Der Benutzer sollte alle wichtigen Konfigurationen sichern und diese nach einem Zurücksetzen auf die Werkseinstellungen anwenden, um den Zustand des Geräts nach einem Ausfall wiederherzustellen.

Offenlegung sensibler Informationen

Eaton empfiehlt, dass alle sensiblen Informationen (d. h. Informationen über Konnektivität, Protokolldaten oder personenbezogene Daten), die möglicherweise von ICR-IoT-Routern gespeichert werden, durch die Einführung von Sicherheitsmaßnahmen des Unternehmens angemessen geschützt werden.

Stilllegung oder Nullstellung

Es empfiehlt sich, Daten zu löschen, bevor Sie ein Gerät entsorgen, das Daten enthält. Richtlinien für die Außerbetriebnahme finden Sie unter Richtlinien für die Medienbereinigung (NIST SP 800-88 Rev. 1). Eaton empfiehlt, Produkte mit eingebautem Flash-Speicher sicher zu vernichten, um sicherzustellen, dass die Daten nicht wiederhergestellt werden können.

Entscheidungsablauf für Desinfektion und Entsorgung; Quelle: NIST SP800-88

Eingebetteter Flash-Speicher auf Platinen und Geräten

Eaton empfiehlt die folgenden Methoden zur Entsorgung von Motherboards, Peripheriekarten wie Netzwerkadaptern oder anderen Adaptern, die nichtflüchtigen Flash-Speicher enthalten.

• Klar: Wenn möglich, sollte das Gerät auf die ursprünglichen Werkseinstellungen zurückgesetzt werden.
• Löschen: Wenn der Flash-Speicher leicht identifiziert und von der Platine entfernt werden kann, kann er unabhängig von der Platine, auf der er sich befand, zerstört werden. Andernfalls sollte die gesamte Platine zerstört werden.
• Vernichten: Das Gerät sollte geschreddert, zerkleinert, pulverisiert oder durch Verbrennen in einer zugelassenen Verbrennungsanlage entsorgt werden.