Partnerschaft für integrierte Netzwerke

(1)

Partnerschaft für integrierte Netz- werke

In Kooperation zu validierten Lösungen und Angeboten für die durchgängige und sichere Kommunikation zwischen OT und IT

Das Rückgrat eines Unternehmensnetzwerkes im Digital Enterprise ist eine durch- gängige Kommunikation über alle Netzwerkebenen hinweg, horizontal und vertikal. Von der einzelnen Maschine oder Fertigungszelle auf der Automatisie- rungsebene über die Produktionsleitebene bis hinein in die Unternehmensführung.

Das Hauptaugenmerk gilt dabei dem Übergang von der Operational Technology (OT) – der vernetzten Produktions-/ Automatisierungstechnik – zur Information Technology (IT) im Unternehmen, in unterschiedlichsten Ausprägungen und mit diversen Anforderungen.

Diesen Übergang weiter zu verbessern, den Datenaustausch performanter, transparenter und gleichzeitig sicherer zu machen, und der Industrie maßgeschnei- derte, validierte Systemlösungen dafür anzubieten, ist das Ziel der strategischen Partnerschaft von Siemens und Aruba. Beide Partner bringen dazu komplementäre Produktportfolios, Spezialisten, Kompetenzen und Technologien aus ihrer Domäne zusammen. Und sie haben ein gemeinsames Partnernetzwerk, bauen dieses stetig aus und machen ihre Partner fit für die digitalen Herausforderungen in diversen Branchen.

Autoren:

Wolfgang Schwering Produktmanager für Industrial Network and Components bei Siemens

Jochen Müdsam

Channel System Engineer bei Aruba , einer Hewlett Packard Enterprise Company

© Siemens, 2020 siemens.de/industrielle-netzwerke

(2)

Auch nach Jahren des Zusammenwirkens von OT- und IT-Netzwerken im Industrieumfeld gibt es noch immer unterschiedliche Sicht- und Herangehensweisen auf beiden Seiten. Das fängt bei organisatorischen Dingen im Automa- tisierungsumfeld an, wie der getrennten Verantwortlichkeit für das Produktions- und das IT-Netzwerk auch auf der Führungsebene, insbesondere in großen Unternehmen.

Hinzu kommt unterschiedliches Know-how auf beiden Seiten. So muss beispielsweise ein Steuerungsprogrammierer auch ein OT-Netzwerk mitverwalten und umgekehrt ein IT-Netzwerkadministrator im OT-Bereich auch im Umgang mit diversen speicherprogrammierbaren Steuerungen (SPS), Peripheriebaugruppen, Sensorik und speziellen Software-Systemen vertraut sein. Die korrekte Funktion dieser Geräte und Systeme hat in der OT höchste Priorität.

Fehler oder gar Ausfälle können mitunter gravierende, meist unmittelbare Auswirkungen auf die Verfügbarkeit und die funktionale Sicherheit (Safety) der Produktion haben. Auf der IT-Seite stehen dagegen Cybersecurity, Datenintegrität und komfortable Anwendung (Usability und Serviceability) an oberster Stelle. Selbst die Terminologien unterscheiden sich, angefangen bei den Beteiligten, den Netzwerkebenen und bis hin zu den Kommunikationsproto- kollen. So werden beispielsweise in der OT-Welt oftmals ganze Produktionsstraßen samt Netzwerklösung mit Kom- ponenten von sogenannten Original Equipment Manufacturer (OEMs) entwickelt und zugeliefert, während die IT den Begriff des OEMs ganz anders interpretiert.

Doch durch die fortschreitende Digitalisierung, mit Industrie 4.0 und dem Industriellen Internet der Dinge (IIoT), kurz: mit der Kommunikation von „allem mit jedem“, müssen alle Beteiligten eine Sprache sprechen und stärker denn je miteinander kooperieren, statt weiter in ihren Welten zu koexistieren.

Konvergenz vs. Kooperation: Das Miteinander

Industrielle Netzwerke stellen differenzierte, bisweilen sehr spezielle Anforderungen an deren Komponenten, Betrieb, Service und Wartung. Sie können daher nicht einfach als eine weitere Applikation, wie zum Beispiel der Voice-over- IP-Dienst in überlagerte IT-Netzwerke integriert werden und darin aufgehen (Konvergenz). Einschlägige Security- Standards und Empfehlungen fordern eine physikalische Trennung von OT- und IT-Netzwerken. Deshalb kommt es mehr denn je auf eine perfekt aufeinander abgestimmte Kooperation und einen performanten, gesicherten Über- gang an.

Skalierbare Lösungen, die flexibel mit den Anforderungen wachsen

Während sich in der Prozessindustrie in der Regel nur wenig an einmal eingerichteten Netzwerkstrukturen ändert, sind in der diskreten Fertigung von morgen hard- und software- seitig flexible, skalierbare Lösungen unabdingbar. So zum Beispiel beim Betrieb mobil einsetzbarer, via Wireless LAN oder zukünftig 5G vernetzter Roboter. Auch ständig wach- sende Datenvolumina erfordern sukzessive ausbaubare, wegen der Ausfallsicherheit idealerweise redundanzfähige managed Ethernet Switches für alle Ebenen, ergo ein breit gefächertes Geräteportfolio für einfache bis hoch an- spruchsvolle Topologien.

Signifikante Unterschiede zwischen OT und IT

Oberste Priorität in jeder Fertigung hat die Verfügbarkeit aller Produktionsmittel und der zuverlässige Datenaustausch zwischen diesen und den überlagerten Systemen. Die zykli- sche, deterministische Maschine-zu-Maschine-Kommunikation setzt performante Netzwerkkomponenten voraus. Um die Ausfallsicherheit zu erhöhen, müssen geeignete Redundanz- strategien und -mechanismen Ausfälle von Teilnehmern und Verbindungen in Sekundenbruchteilen erkennen und auto- matisch alternative Wege aufbauen. Dies muss in der Verant- wortung der OT bleiben und spricht gegen eine „einfache“

Übernahme in IT-Netzwerke.

Nicht zuletzt durch die Anbindung von immer mehr Produk- tionsmaschinen an das Internet, zum Beispiel für die Fern- diagnose und -wartung oder Cloud-basierte Services, wird Cybersecurity – der Schutz vor unautorisiertem Zugriff – auch im Bereich der OT immer wichtiger. Heterogene Ma- schinenparks mit unterschiedlichen, auch älteren Steuerungen und Betriebssystemen zuverlässig abzusichern, ist dabei die größte Herausforderung. Oft gibt es dafür keine Sicherheits- Updates mehr, oder die internen Security-Richtlinien und Safety-Bestimmungen lassen eine Programmänderung nicht ohne erneute Prüfung zu. Dann müssen alternative Security- Mechanismen gefunden werden, die dennoch vor unautori- sierten Zugriffen schützen. In der OT hat sich das Zellschutz- konzept bewährt, als Teil eines ganzheitlichen Defense in Depth-Konzepts. Letzteres umfasst Anlagensicherheit, Netzwerksicherheit und Systemintegrität – nach den Emp- fehlungen der IEC 62443, dem führenden Standard für Security in der industriellen Automatisierung.

Hinzu kommt in der Produktion die funktionale Sicherheit (Safety), das heißt der Schutz von Mensch, Umwelt und Maschine vor Gefahren aus den Prozessen heraus. Auch dazu müssen sicherheitsrelevante Signale in kürzesten, exakt definierten Zykluszeiten zwischen Controllern und Sicherheitsbaugruppen ausgetauscht werden. Werden diese überschritten, muss die Anlage beispielsweise über

Von der Koexistenz zur Kooperation

(3)

einen Not-Halt in einen sicheren Zustand gebracht – und nach der Fehlerbeseitigung schnellstmöglich wieder ange- fahren werden.

In den höheren Schichten des Produktionsnetzwerks mittlerer und großer Unternehmen, mit mehreren unterlagerten Aggre- gationsnetzwerken, sind schon heute immense Datenmen- gen zu bewältigen. Mit der fortschreitenden Digitalisierung werden diese weiterwachsen. Wo für den Einsatz im Produkti- onsumfeld konzipierte SCALANCE-Switches an ihre Grenzen stoßen, erweitern Aruba-CX-Switches nun die Auswahl. Be- währte, im Zusammenspiel mit SCALANCE getestete Aruba- Backbone-Switches bringen die nötige Performance mit:

Durch logische Kanalbündelung (Link Aggregation, LAG) sind Übertragungsraten von mehreren 100 Gbit/s zuverläs- sig realisierbar.

IT-Netzwerke weisen grundsätzliche andere Eigenschaften und Prioritäten auf. So besitzen diese eine hohe Dynamik, da die gleichen Endsysteme und Anwender häufig an verschiedenen Standorten die Infrastruktur nutzen. Auch findet die Kommunikation zu großen Teilen vertikal statt, indem Anwender und Clients auf zentrale, virtuelle Res- sourcen zugreifen, die im unternehmenseigenen Rechen- zentrum oder in der Cloud bereitgestellt werden. Themen wie Vertraulichkeit und Systemintegrität besitzen in der IT eine lange Historie und hohe Priorität. Sie sind häufig bereits auf Protokoll-, Produkt- und Systemebene imple- mentiert. Weil die IT zugänglich gegenüber neuen Trends z. B. IIoT oder dem „Bring your own device“-Ansatz (BYOD) ist, reicht es nicht mehr aus, IT-Netzwerke nur durch eine Firewall an Netzwerkgrenzen zu schützen. Daher kommen vermehrt auch Zero Trust-Konzepte zum Einsatz. Sie sichern Endsysteme und Server-Ressourcen auch vor internen Angriffen ab. Die Verfügbarkeit der Infrastruktur ist auch in der IT unumgänglich. Hierbei liegt vor allem bei den Core- und Datacenter-Komponenten der Fokus auf Redun- danzmechanismen. Dort werden Systeme hochverfügbar mit redundanten Hardwarekomponenten, wie Modulen,

Lüftern und Netzteilen aufgebaut und unterstützt durch Softwaremechanismen, die z. B. unterbrechungsfreie Updates ganzer Systeme ermöglichen. In der OT werden hingegen Redundanzmechanismen bereits in der untersten Feldebene eingesetzt.

Zu guter Letzt unterscheiden sich OT- und IT-Welt signifi- kant bei den Einsatzbedingungen. Während IT überwiegend in klimatisierten Rechenzentren stattfindet, sind SPS, Peri- pherie und Netzwerkkomponenten in der Produktion oft elektromagnetischer Strahlung, höheren wie tieferen Tem- peraturen, Vibrations- und Schockbelastung, staubiger und/

oder feuchter Luft ausgesetzt. Entsprechend „gehärtete“, beispielsweise lüfterlose oder in höherer Schutzart ausge- führte, besonders abgeschirmte und teilweise mit lackierten Leiterplatten ausgestattete Geräte von Siemens arbeiten auch im rauen Umfeld dauerhaft zuverlässig.

Normen und gesetzliche Vorgaben

Wie in der IT-Welt gelten mittlerweile auch im industriellen Umfeld verschärfte Vorschriften hinsichtlich Cybersecurity, die vor allem in der Norm IEC 62443 definiert sind. Werden diese nicht eingehalten, ist die Zertifizierung nach Security- Levels gefährdet. Vor allem Automobilhersteller setzen der genannten Norm entsprechende Lösungen für ihre Zulie- ferer bereits voraus. Siemens ist auch diesbezüglich proaktiv und hat nach dem eigenen Entwicklungsprozess nun auch erste Netzwerkkomponenten nach IEC 62433 (-4-2 und -4-1) zertifizieren lassen. Anwender können damit einfach sichere Systemarchitekturen realisieren und die Gesamtsicherheit ihrer Anlagen deutlich erhöhen.

Zur kritischen Infrastruktur zählende Einrichtungen, wie zum Beispiel in der Energie- oder der Wasserwirtschaft müssen hierzulande auch die Vorgaben der BSI-KRITIS- Verordnung erfüllen. Auch dabei können Anwender auf entsprechende Branchenerfahrungen seitens Siemens sowie auf die IT-Kompetenz von Aruba und bei den Systempart- nern zugreifen.

Data center 1: Netzwerkmanagement Data center 2: Netzwerk-Zugangskontrolle (NAC)

Industrielles Netzwerk

Automatisierungs-

komponenten Automatisierungs-

komponenten Automatisierungs- komponenten

AggregationsebeneZellenebeneBackbone-Ebene

Industrial Ethernet ^G^_I

K10_XX_50958

Aruba 8320

Office-IT

SCALANCE

SC-600 SCALANCE

XR-500 SCALANCE

XR-500

SCALANCE SC-600

Aruba 8320 Aruba 8320 Aruba 8320

Aruba 8320 Aruba 8320

Firewalls (e.g. Palo Alto)

1/10 Gbit/s100/1000 Mbit/s 40 Gbit/s

SCALANCE

XC-200 SCALANCE

XC-200 Netzwerkdesign für

durchgängige, sichere Kommunikation zwischen OT und IT

3

© Siemens, 2020

(4)

In Produktionsnetzwerken haben sich zwei Prinzipien der physikalischen Trennung und des Zugriffsschutzes bewährt.

Zum einen das Zellschutzkonzept mit einer Layer 3-basier- ten Separierung der einzelnen Zellen. Zum anderen durch- gängig auf Layer 2-basierende Konzepte mit einer zentralen Firewall am Übergang zur Office-IT.

Beim Zellschutzkonzept wird das Anlagennetzwerk physika- lisch in autarke Automatisierungszellen segmentiert und jede von einer eigenen Zellen-Firewall geschützt. Innerhalb der Zellen können alle Geräte gesichert untereinander kommuni- zieren. Dieser Ansatz bietet maximale Sicherheit, Zuverlässig- keit und (horizontale) Skalierbarkeit. Jedoch muss jede Firewall einzeln verwaltet werden. Und die Kommunikations- beziehungen werden durch die physikalische Netzwerkstruk- tur festgelegt, was zu Lasten der Flexibilität geht.

Beim zentralen Firewall-Konzept wird das Anlagennetzwerk rein logisch auf der Basis von VLANs segmentiert. Eine zentrale Firewall zwischen OT und IT sichert die gesamte Kommuni- kation ab. Netzwerke können so äußerst flexibel verändert werden und sind einfach zu verwalten, was vor allem bei komplexeren Installationen Zeit und Aufwand spart. Dem stehen gewisse Grenzen bei der Skalierbarkeit, Verfügbarkeit und Security gegenüber. Welches Konzept das geeignetere ist, hängt von den jeweiligen Anforderungen ab.

Gemeinsam zu validierten Referenzlösungen

Ergebnis gemeinsamer Interoperabilitätstests ist eine von Siemens und Aruba entwickelte Referenzlösung für skalierbare Produktionsnetzwerke mit hohem Datenaufkommen. Ein Ansatz setzte auf die logische Trennung der Segmente über VLANs und eine zentrale Firewall. Für die diversen Aufgaben wurden die jeweils am besten geeigneten Hard- und Soft- ware-Komponenten beider Partner verwendet. Weitere Tests sind in Bearbeitung und auch zukünftig geplant.

Die Zellebene besteht aus vielen Einzelzellen, die vor unbe- rechtigten Zugriffen besonders geschützt werden. Um die Kabellängen kurz und damit den Verdrahtungsaufwand möglichst gering zu halten, dominiert auf dieser Ebene das Konzept redundanter Ringnetzwerke zur Verbindung von

Peripherie. Eine hohe Ausfallsicherheit führt zu maximaler Verfügbarkeit und Produktivität. SCALANCE Industrial Ether- net Switches binden die über das Media Redundancy Protocol (MRP) überwachte-Ringe redundant ans Aggregationsnetz- werk an. Aufgabe der Aggregationsebene ist es, die Kom- munikationsbeziehungen zwischen den Produktionszellen zu regeln und diese an das Backbone-Netz anzukoppeln. Die redundanten Ethernet Switches dieser Schicht kommunizie- ren ebenfalls über einen MRP-Ring miteinander.

Die Backbone-Ebene koppelt redundant alle unterlagerten Aggregationsnetzwerke an. Sie regelt über eine Firewall die Kommunikation ins IT-Netzwerk und beinhaltet die heute in Produktionsnetzwerken oft üblichen industriellen Rechen- zentren oder demilitarisierte Zonen (DMZ) für zentrale Management- und Engineering-Aufgaben. In den zentralen Ethernet Switches sind die VLANs aller unterlagerten Netz- werke projektiert, um die Kommunikationsbeziehungen zwischen allen Partnern des gesamten Produktionsnetz- werks auf Layer 2 flexibel managen zu können. Eine Firewall sichert die Kommunikation zwischen den Zellen und auch die OT-IT-Kommunikation ab.

Im Rahmen der gemeinsamen Interoperabilitätstests wurden verschiedene Redundanzmechanismen in unterschiedlichen Fehler- und Ausfallszenarien getestet und die Auswirkungen in allen und auf alle Netzwerkschichten untersucht.

Der Ansatz erfüllt alle wichtigen Anforderungen und die hohen Ansprüche an ein zukunftsfähiges Netzwerk und wurde als erste gemeinsame Referenzlösung validiert.

Hierzu wurde ein gemeinsames Applikationsbeispiel erstellt:

https://support.industry.siemens.com/cs/ww/de/view/109775490 Effizientes Netzwerkmanagement on top

Von bereits installierten Teillösungen und/oder individuellen Wünschen hängt es ab, welches Netzwerk-Management- System zum Einsatz kommt. Zur Auswahl stehen SINEC NMS von Siemens aus der OT-Welt und AirWave von Aruba aus dem IT-Bereich. Wobei sich die Grundfunktionalitäten kaum unterscheiden und von beiden Seiten aus ein Blick auf die

Netzwerkmanagement aus IT-Sicht mit Aruba AirWave

(5)

jeweils andere möglich ist – somit auch ein ganzheitlicher Ansatz auf dem jeweiligen System.

Die engere Verzahnung von OT und IT und die damit extrem gestiegene Anzahl von Endsystemen erfordert zusätzlich eine entsprechend leistungsfähige Netzwerk-Zugangskontrolle (Network Access Control, NAC). Um Sicherheitsverletzungen erkennen und eingrenzen zu können, darf die Netzwerk- Zugangskontrolle nur autorisierten Geräten den Zugang zum Netzwerk erlauben und diesen ohne manuellen Eingriff aufrechterhalten. Wie lässt sich beispielsweise ein interner Wartungsmitarbeiter oder ein externer Servicetechniker erkennen, der sich mit einer Maschinensteuerung verbindet, und welche Rechte hat er? Prädestiniert für diese Aufgaben ist das Software-Tool ClearPass von Aruba. Damit lassen sich auch über Netzwerkebenen hinweg unter anderem Port-Freigaben oder automatisierte Onboarding-Prozesse mit genau definierten Zugriffsrechten für z. B. Wartungsdienstleister oder Gäste komfortabel umsetzen. ClearPass ist hierbei in der Lage alle am Netzwerk angeschlossenen Geräte und Nutzer automatisiert zu visualisieren und basierend auf diesen Informationen den Netzwerkzugang sowie die Nutzerrechte zu steuern.

Dies alles kann ohne manuellen Eingriff des Administrators erfolgen. Weiterhin sind Integrationen in bereits vorhandene IT-Systeme möglich, um z. B. Wartungstechnikern erst dann Zugang zum Netzwerk zu erlauben, wenn diese durch einen Sicherheitslücken-Scanner überprüft wurden.

Partner entwickeln kundenspezifische Lösungen Basierend auf validierten Referenzarchitekturen entwickeln von Siemens und Aruba zertifizierte Partner (Systemintegra- toren) individuell auf die jeweiligen Kundenbedürfnisse zugeschnittene Lösungen. Die Experten berücksichtigen dabei beim Anwender vorhandene Ausbaustände und die spezifischen Anforderungen bei der Planung und Umsetzung des endgültigen, bereichsübergreifenden Netzwerkdesigns.

Für Aruba und Siemens ist globaler Support enorm wichtig, deshalb gibt es ein definiertes Partnernetzwerk, mit dem jeweils richtigen Partner vor Ort, und somit hat der Anwender nur eine einzige Service-Schnittstelle.

Partnerschaft mit Mehrwert(en)

Aus der intensiven Zusammenarbeit von Siemens und Aruba im Bereich der OT und IT resultieren konkrete Mehrwerte für Systemintegratoren, OEMs und die Netzwerkbetreiber beider Welten in Form:

• validierter Referenzarchitekturen,

• einheitlicher Management- und Monitoring-Ansätze,

• durchgängiger Cybersecurity-Lösungen sowie

• gemeinsamer Service-Konzepte.

Auf einen Nenner gebracht: ganzheitlich effiziente, zukunfts- sichere Netzwerke. Um eine bestmögliche Netzwerklösung für OT und IT zu bekommen, ist es sinnvoll, das Beste aus beiden Welten zu kombinieren.

Netzwerkmanagement aus OT-Sicht mit SINEC NMS von Siemens

5

(6)

Herausgeber Siemens AG 2020 Siemens AG Digital Industries Process Automation Östliche Rheinbrückenstr. 50 76187 Karlsruhe

Deutschland Produced in Germany

Security-Hinweise

Um Anlagen, Systeme, Maschinen und Netzwerke gegen Cyber-Bedro- hungen zu sichern, ist es erforderlich, ein ganzheitliches Industrial Security-Konzept zu implementieren (und kontinuierlich aufrechtzuer- halten), das dem aktuellen Stand der Technik entspricht. Die Produkte und Lösungen von Siemens formen einen Bestandteil eines solchen Konzepts. Weiterführende Informationen zu möglichen Schutzmaßnah- men im Bereich Industrial Security finden Sie unter

https://www.siemens.de/industrialsecurity

Änderungen und Irrtümer vorbehalten. Die Informationen in diesem Dokument enthalten lediglich algemeine Beschreibungen bzw. Leistungs- merkmale, welche im konkreten Anwendungsfall nicht mmer in der beschriebenen Form zutreffen bzw.

welche sich durch Weiterentwicklung der Produkte ändern können. Die gewünschten Leistungsmerkmale sind nur dann verbindlich, wenn sie bei Vertragsschluss ausdrücklich vereinbart werden.

Alle Erzeugnisbezeichnungen können Marken oder Erzeugnisnamen der Siemens AG oder anderer Unternehmen sein, deren Benutzung durch Dritte für deren Zwecke die Rechte der Inhaber verletzen kann.