-
Die
Erfindung betrifft ein Verfahren zur Generierung von Parametrierungsdaten
für ein Kommunikations-Schutzsystem eines Kommunikationsnetzes in
einer Automatisierungsanlage sowie ein Verfahren zum Überwachen
eines Kommunikationsnetzes einer Automatisierungsanlage und eine
Automatisierungsanlage.
-
Neue
Kommunikationsnetze in Automatisierungsanlagen basieren heutzutage
in der Regel auf bekannten Kommunikationstechnologien, wie TCP/IP
und Ethernet. Solche Kommunikationsnetze sind Sicherheitsbedrohungen
durch Angriffe, wie Hacking, Malware und dergleichen, ausgesetzt.
Zum Erkennen bzw. Vermeiden von solchen Angriffen werden Kommunikations-Schutzsysteme
verwendet. Aus dem Stand der Technik sind insbesondere Intrusion-Detection-Systeme
bekannt, welche jeglichen Netzverkehr in einem Kommunikationsnetz
abhören und bei schädlich eingestuftem Netzverkehr
Alarmmeldungen generieren. Zur Beurteilung der Schädlichkeit
von Netzverkehr benötigt ein Kommunikations-Schutzsystem
Parametrierungsdaten.
-
Für
die Generierung entsprechender Parametrierungsdaten sind aus dem
Stand der Technik signaturbasierte und lernende Verfahren bekannt.
signaturbasierte Verfahren suchen nach bekannten Angriffsmustern
und haben daher den Nachteil, dass nur bekannte Bedrohungen erfasst
werden können. Darüber hinaus sind die Angriffsmuster
generisch und typischerweise nicht auf Automatisierungsnetze zugeschnitten.
Lernende Verfahren untersuchen in einer initialen Lernphase den
Kommunikationsverkehr im Netzwerk und versuchen daraus sinnvolle Parametrisierungsdaten
abzuleiten. Lernende Verfahren können somit auch unbekannte
Bedrohungen erkennen. Diese Verfahren haben jedoch den Nachteil,
dass die initiale Lernphase oftmals sehr aufwändig ist,
da während der Inbetriebnahme des Kommunikationsnetzes über
einen längeren Zeitraum Daten erfasst werden müssen.
Darüber hinaus besteht das Risiko, dass eine anfänglich
bestehende Kompromittierung eines Systems, d. h. ein bereits bei
der Initialisierung des Systems enthaltendes Angriffsmuster, durch
die Lernphase als valides Verhalten klassifiziert wird. Daher sind
auf lernenden Verfahren basierende Kommunikations-Schutzsysteme
für Automatisierungsanlagen zwar anwendbar, aber nicht
praktikabel.
-
Aufgabe
der Erfindung ist es, auf einfache Weise zuverlässige Parametrisierungsdaten
für ein Kommunikations-Schutzsystem eines Kommunikationsnetzes
in einer Automatisierungsanlage zu generieren.
-
Diese
Aufgabe wird durch das Verfahren gemäß Patentanspruch
1 oder das Verfahren gemäß Patentanspruch 13 oder
die Automatisierungsanlage gemäß Patentanspruch
14 gelöst. Weiterbildungen der Erfindung sind in den abhängigen
Ansprüchen definiert.
-
In
dem erfindungsgemäßen Verfahren werden basierend
auf Konfigurationsdaten der Automatisierungsanlage Kommunikationsparameter
der Automatisierungsanlage ermittelt. Basierend auf diesen Kommunikationsparametern
werden dann die Parametrierungsdaten für das Kommunikations-Schutzsystem
erstellt. Das erfindungsgemäße Verfahren beruht
auf der Erkenntnis, dass in einer Automatisierungsanlage in einer
initialen Planungsphase eine Konfiguration der Anlage erfolgt, wobei
diese Konfiguration in Konfigurationsdaten festgelegt ist. Diese Konfigurationsdaten
sind dabei im Regelfall sog. Engineeringdaten, die bei der Inbetriebnahme
der Automatisierungsanlage deren Konfiguration festlegen. Die Konfigurationsdaten
enthalten dabei auch Informationen über Konfigurationsparameter,
wie z. B. vorhandene Komponenten im Kommunikationsnetz und deren
Adressen und deren verwendete Kommunikationsprotokolle. Diese Informationen
werden erfindungsgemäß zur Erstellung von geeigneten
Parametrierungsdaten für ein Kommunikations-Schutz-System
verwendet.
-
Die
Erfindung hat den Vorteil, dass die individuelle Konfiguration einer
Automatisierungsanlage zur Parametrierung eines Kommunikations-Schutzsystems
verwendet wird, und nicht auf generische Signaturen zurückgegriffen
werden muss. Darüber hinaus benötigt das Verfahren
keine initiale Lernphase, wie dies bei lernenden Intrusion-Detection-Systemen der
Fall ist.
-
Das
erfindungsgemäße Verfahren generiert vorzugsweise
Parametrierungsdaten für ein Intrusion-Detection-System
oder ein Intrusion-Prevention-System. In einem Intrusion-Prevention-System werden übertragene
Daten verworfen bzw. Kommunikationsverbindungen unterbrochen, wenn
ein Angriff auf das Kommunikationsnetz festgestellt wird.
-
Das
erfindungsgemäße Verfahren kann für beliebige
Automatisierungsanlagen eingesetzt werden. Bevorzugte Anwendungsbereiche
sind Industrieautomatisierungsanlagen, wie z. B. Produktionsanlagen
und Fertigungsstraßen, Energieautomatisierungsanlagen,
wie z. B. Energieverteilsysteme, Umspannwerke und dergleichen, und
Gebäudeautomatisierungsanlagen.
-
In
einer besonders bevorzugten Ausführungsform des erfindungsgemäßen
Verfahrens sind die ermittelten Kommunikationsparameter die in dem Kommunikationsnetz
enthaltenen Komponenten und die zwischen den Komponenten verwendeten
Kommunikationsverbindungen, wobei die Parametrierungsdaten des Kommunikations-Schutzsystems
einen Regelsatz spezifizieren, der basierend auf den Komponenten
und den Kommunikationsverbindungen festlegt, unter welchen Bedingungen
im Betrieb des Kommunikationsnetzes ein Angriff auf das Kommunikationsnetz
festgestellt wird. Die Komponenten sind dabei beispielsweise ein
oder mehrere Feldgeräte, wie z. B. sog. IEDs (IED = Intelligent
Electronic Device), welche vorbestimmte Aufgaben in der Automatisierungsanlage
ausführen. Die Komponenten umfassen vorzugsweise ferner
eine oder mehrere Steuerungseinrichtungen, wie z. B. sog. Substation-Controller,
zur Steuerung der Feldgeräte und zumindest ein übergeordnetes
Leitsystem.
-
In
einer besonders bevorzugten Ausführungsform erfolgt die Überprüfung
von Angriffen in dem Kommunikationsnetz auf besonders einfache Weise
durch Whitelists. Dabei spezifizieren die Kommunikationsparameter
eine oder mehrere Listen von zulässigen Kommunikationsverbindungen
zwischen Komponenten des Kommunikationsnetzes und durch einen entsprechenden
Regelsatz des Kommunikations-Schutzsystems wird festgelegt, dass
ein Angriff im Betrieb des Kommunikationsnetzes dann festgestellt
wird, wenn eine nicht in der oder den Listen enthaltene Kommunikationsverbindung
auftritt.
-
In
einer weiteren, besonders bevorzugten Ausführungsform der
Erfindung wird das Verfahren in einem Kommunikationsnetz einer Automatisierungsanlage
eingesetzt, welches bekannte Kommunikationsprotokolle verwendet.
In diesem Fall spezifizieren die Kommunikationsparameter die Kommunikationsverbindungen
durch das oder die für die jeweilige Kommunikationsverbindung
verwendeten Protokolle aus den Schichten des OSI-Referenzmodells,
wobei die Protokolle insbesondere das Ethernet-Protokoll und/oder
das TCP/UDP-Protokoll und/oder das IP-Protokoll und/oder das Protokoll
gemäß dem Standard IEC 61850 umfassen.
Diese Protokolle sind alle hinlänglich aus dem Stand der
Technik bekannt. Das zuletzt genannte Protokoll nach dem Standard IEC
61850 ist dabei ein spezielles Übertragungsprotokoll
für die Schutz- und Leittechnik in Energieautomatisierungsanlagen.
-
In
einer besonders bevorzugten Ausführungsform legen die Kommunikationsparameter
für die Kommunikationsverbindungen zwischen Komponenten
des Kommunikationsnetzes fest, über welche Spezifikationswerte
die Komponenten in den einzelnen Protokollen angesprochen werden.
Die Spezifikationswerte sind dabei insbesondere IP-Adressen und/oder
Ports, insbesondere TCP/UDP-Ports.
-
In
der Ausführungsform der Erfindung, bei welcher ein Regelsatz
des Kommunikations-Schutzsystems auf eine oder mehreren Listen von
zulässigen Kommunikationsverbindungen beruht, werden die
zulässigen Kommunikationsverbindungen in der oder den Listen
vorzugsweise zumindest teilweise durch eine Quell-IP-Adresse und
einen Quell-Port sowie eine Ziel-IP-Adresse und einen Ziel-Port
spezifiziert.
-
In
einer weiteren, besonders bevorzugten Ausführungsform werden
in dem erfindungsgemäßen Verfahren Konfigurationsdaten
in der Form von sog. XML-Daten verarbeitet. Ferner werden die Parametrierungsdaten
als sog. SNORT-Regelsatz generiert. SNORT ist dabei ein hinlänglich
aus dem Stand der Technik bekanntes Intrusion-Prevention- und Intrusion-Detection-System,
welches eine regelbasierte Beschreibungssprache verwendet. Das Verfahren wird
dabei vorzugsweise als ein Konverter (z. B. als Softwarekonverter)
und/oder als ein Parser realisiert, der aus den XML-Daten einen
SNORT-Regelsatz generiert.
-
Neben
dem oben beschriebenen Verfahren zur Generierung von Parametrierungsdaten
umfasst die Erfindung ferner ein Verfahren zum Überwachen eines
Kommunikationsnetzes einer Automatisierungsanlage, bei dem die Kommunikationsverbindungen
im Betrieb der Automatisierungsanlage basierend auf einem Kommunikations-Schutzsystem überwacht
werden, wobei die Parametrierungsdaten des Kommunikations-Schutzsystems
mit dem im Vorangegangenen beschriebenen erfindungsgemäßen Verfahren
generiert sind.
-
Darüber
hinaus betrifft die Erfindung eine Automatisierungsanlage, umfassend
ein Kommunikationsnetz, welches derart ausgestaltet ist, dass im
Betrieb der Automatisierungsanlage das Kommunikationsnetz mit dem
oben genannten Überwachungsverfahren überwacht
wird.
-
Ausführungsbeispiele
der Erfindung werden nachfolgend anhand der beigefügten 1 und 2 beschrieben.
-
Es
zeigen:
-
1 eine
schematische Darstellung eines Kommunikationsnetzes einer Automatisierungsanlage,
welches basierend auf einer erfindungsgemäß erzeugten
Parametrierung eines Intrusion-Detection-Systems überwacht
wird; und
-
2 die
Darstellung eines Regelsatzes für ein Intrusion-Detection-Systems
in der Form einer Tabelle für die Anlage der 1.
-
1 zeigt
schematisiert ein Kommunikationsnetz einer Energieautomatisierungsanlage 200 mit
einem Leitsystem 1, welches ein Umspannwerk 100 als
Teil der Automatisierungsanlage überwacht. Die Automatisierungsanlage
basiert dabei auf dem hinlänglich aus dem Stand der Technik
bekannten SCADA-Konzept (SCADA = Supervisory Control And Data Aquisition).
Die Automatisierungsanlage kann anstatt einer Energieautomatisierungsanlage
eine Industrieautomatisierungsanlage oder eine Gebäudeautomatisierungsanlage
sein. Im Folgenden wird das Verfahren am Beispiel einer Energieautomatisierungsanlage
erläutert.
-
Die
Kommunikationsbeziehungen in der Automatisierungsanlage 200 sind
hierarchisch aufgebaut. In der höchsten Hierarchieebene
ist das Leitsystem 1 vorgesehen, dem eine IP-Adresse IP1
zugeordnet ist. Im Leitsystem befindet sich ein menschlicher Operator,
der über eine HMI-Schnittstelle u. a. die Vorgänge
in dem Umspannwerk 100 überwacht und kontrolliert.
Das Leitsystem 1 kommuniziert mit einer oder mehreren Steuervorrichtungen
in der Form sog. Substation-Controllern, wobei in dem Beispiel der 1 ein
einzelner Substation-Controller 2 mit entsprechender IP-Adresse
IP2 gezeigt ist. Der Substation-Controller 2 kommuniziert
wiederum unter Zwischenschaltung eines Switches 7 mit in
der darunter liegenden Hierarchieebene befindlichen Feldgeräten 3, 4 und 5 mit
entsprechenden IP-Adressen IP3, IP4 und IP5. Die Feldgeräte 3 bis 5 können ferner
auch untereinander kommunizieren. Die Kommunikationsbeziehungen
sind in 1 dabei durch Doppelpfeile angedeutet.
-
Die
Feldgeräte stellen sog. IEDs (IED = Intelligent Electronic
Device) dar und erfüllen Aufgaben im Umspannwerk. Sie sind
Automatisierungskomponenten des Umspannwerks und umfassen beispielsweise
Strommesser, Schutzschalter und dergleichen. In dem Substation-Controller 2 erfolgt
dabei die Konsolidierung der Daten der Feldgeräte 3 bis 5.
-
In
dem Umspannwerk 100 kommunizieren die einzelnen Komponenten 1 bis 5 über
verschiedene Protokolle des OSI-Referenzmodells. Insbesondere wird
auf der L2-Schicht über das Ethernet-Protokoll kommuniziert
und auf den darüber liegenden Schichten mit TCP/IP. Als
Applikationsprotokoll wird das Protokoll gemäß dem
Standard IEC 61850 verwendet, welches ein Übertragungsprotokoll
für die Schutz- und Leittechnik in elektrischen Schaltanlagen
der Mittel- und Hochspannungstechnik ist. In dem System der 1 ist
ein Intrusion-Detection-System 6 (auch als IDS-System bezeichnet)
implementiert, welches an dem Switch 7 den Netzverkehr überwacht
und gegebenenfalls Warnmeldungen ausgibt, sofern basierend auf der
Parametrierung des IDS-Systems ein Angriff von außen erfolgt.
-
Die
IDS-Regelspezifikation wurde dabei z. B. aus den Enigneeringdaten
einer IEC 61850 Substation-Parametrierung abgeleitet.
Die Engineeringdaten stellen entsprechende Konfigurationsdaten der
Automatisierungsanlage dar, welche die Konfiguration der Anlage
bei deren Inbetriebnahme festlegen. Diese Engineeringdaten werden
erfindungsgemäß zur Erzeugung der Spezifikation
eines IDS-Systems verwendet. In dem Beispiel der 1 ist
gemäß den Engineeringdaten eine Kommunikation
der Feldgeräte 3, 4 und 5 untereinander
basierend auf Ethernet über die MAC-Adressen der Feldgeräte
mit darauf aufgesetzten IEC 61850-Protokoll ohne
Zwischenschaltung von TCP/IP erlaubt. Demgegenüber kommunizieren
die Feldgeräte mit dem Substation-Controller 2 und
dieser mit dem Leitsystem 1 basierend auf TCP/IP mit entsprechenden
IP-Adressen und Ports untereinander. Ferner sind in den Engineeringdaten die
IP- Adressen, MAC-Adressen und Ports der einzelnen Geräte 1 bis 5 festgelegt.
-
In
dem hier beschriebenen Ausführungsbeispiel kann der Substation-Controller 2 nur über TCP-Quellports
größer 1024 mit den Feldgeräte 3, 4 und 5 mit
einem einzigen TCP-Zielport 102 kommunizieren. Aus dieser, aus den
Engineeringdaten stammenden Information wird in der hier beschriebenen
Ausführungsform der Erfindung nunmehr eine sog. Whitelist
generiert. Ein Beispiel einer solchen Whitelist ist in 2 gezeigt.
Die Whitelist enthält in der ersten Spalte mögliche
Quell-IP-Adressen SIP, in der zweiten Spalte mögliche Quell-Ports
SP, in der dritten Spalte mögliche Ziel-IP-Adressen DIP
und in der vierten Spalte mögliche Ziel-Ports DP. In jeder Zeile
werden die zulässigen Kommunikationspartner mit entsprechenden
IP-Adressen und zulässigen Ports angegeben.
-
Beispielhaft
sind dabei in 2 die möglichen Kommunikationsbeziehungen
zwischen dem jeweiligen Feldgerät 3 bzw. 4 bzw. 5 und
dem Substation-Controller 2 wiedergegeben. Man erkennt,
dass jedes Feldgerät 3 bis 5 über
seine entsprechende IP-Adresse IP3, IP4 und IP5 mit der IP-Adresse
IP2 des Substation-Controllers 2 kommunizieren kann. Dabei
muss der Quell-Port des Substation-Controllers jedoch immer größer
als 1024 sein und es kann nur der Ziel-Port 102 angesprochen werden.
Es wird nunmehr durch das Intrusion-Detection-System 6 die auftretenden
Kommunikationen über einen Monitoring-Port am Switch 7 überwacht
und mit der Whitelist verglichen. Tritt eine Kommunikationsverbindung
auf, welche keiner Zeile in der Whitelist entspricht, wird daraus
geschlossen, dass ein unerlaubter Angriff von außen vorliegt,
woraufhin ein entsprechender Alarm ausgegeben wird.
-
Wie
sich aus den obigen Ausführungen ergibt, kann basierend
auf den Engineeringdaten einer Automatisierungsanlage in geeigneter
Weise eine Regelspezifikation für ein IDS-System generiert
werden. Durch die Engineeringdaten liegen bereits Informationen über
das Kommunikationsverhalten der Automatisie rungsanlage vor, da die
Engineeringdaten bei Inbetriebnahme die Anlage auf Automatisierungsebene
konfigurieren. Die Engineeringdaten enthalten dabei insbesondere
die Information, welche Komponenten, beispielsweise hinterlegt mit IP-Adressen, über
welche Automatisierungsprotokolle, beispielsweise hinterlegt durch
das TCP/UDP-Protokoll und relevante Port-Nummern, miteinander kommunizieren.
Basierend darauf wird in einer bevorzugten Variante der Erfindung
ein entsprechender Konverter verwendet, der das in den Engineeringdaten
vorliegende Informationsmodell ausliest und daraus die Spezifikation
eines IDS-Systems generiert. Wie anhand der in Bezug auf 1 und 2 beschriebenen
Ausführungsform deutlich wurde, stellt diese Spezifikation
beispielsweise eine Kommunikationsmatrix bzw. Kommunikationstabelle dar,
welche unter anderem wiedergibt, welche IP-Adresse über
welche Ports mit anderen IP-Adressen spricht.
-
Die
im Vorangegangenen beschriebene Ausführungsform des erfindungsgemäßen
Verfahrens hat den Vorteil, dass für die Generierung der
IDS-Parametrisierungsspezifikation keine Signaturdaten verwendet
werden müssen und auch kein aufwändiger Lernprozess
zum Erkennen von Angriffen durchlaufen werden muss. Stattdessen
können bestehende Informationen aus den Engineeringdaten
der Automatisierungsanlage genutzt werden, um daraus eine auf die
Automatisierungsanlage maßgeschneiderte Spezifikation für
die Parametrierung eines Intrusion-Detection-Systems zu erstellen.
Die IDS-Konfiguration repräsentiert dabei sehr genau das
Kommunikationsverhalten der Anlage. Damit werden analog wie bei
selbstlernenden Verfahren auch neue, unbekannte Angriffe detektiert,
welche nicht dem Kommunikationsverhalten entsprechen. Hierfür
ist jedoch kein Lernprozess erforderlich. Darüber hinaus
kann mit den bestehenden Engineeringdaten einem Kunden, für
den eine Automatisierungsanlage konfiguriert wird, ein qualitativ
ausreichend gut vorab parametrisiertes IDS-System bereitgestellt werden,
ohne dass das Inbetriebsetzungspersonal der Automatisierungsanlage
spezielles Wissen über das IDS-System benötigt.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste
der vom Anmelder aufgeführten Dokumente wurde automatisiert
erzeugt und ist ausschließlich zur besseren Information
des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen
Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt
keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Nicht-Patentliteratur
-
- - IEC 61850 [0012]
- - IEC 61850 [0012]
- - IEC 61850 [0025]
- - IEC 61850 [0026]
- - IEC 61850-Protokoll [0026]