berschrift 1

Transcrição

berschrift 1

www.siemens.com/protection
SIPROTEC 5 Applikationsbeschreibung
SIP5-APN-009-de:
Kommunikationsarchitektur unter Aspekten der Cyber-Sicherheit
Ausgabe 2012-05-03
Answers for infrastructure and cities.
SIPROTEC 5 Applikation
SIPROTEC 5 - Applikation:
SIP5-APN-009-de
Kommunikationsarchitektur unter Aspekten
der Cyber-Sicherheit
Ausgabe 2012-05-03
SIP5-APN-009-de
2
Ausgabe: 2012-05-03
Inhalt
1
Applikation Kommunikationsarchitektur unter Aspekten der Cyber-Sicherheit
4
1.1 Zusammenfassung
4
1.2 Sicherheitsarchitektur des Systems
4
1.3 Systemkommunikation
6
1.3.1
Systemkonfigurationsbeispiele für SIPROTEC 5
1.3.2
Empfohlene Komponenten
10
1.3.3
Kommunikationsprotokolle
12
1.4 Systemhärtung und Schutz gegen Schadprogramme
6
15
1.4.1
SIPROTEC 5
15
1.4.2
DIGSI 5 PC / Remote DIGSI 5 PC
15
1.4.3
Weitere Netzwerkkomponenten des Stationsleitsystems
19
1.5 SIPROTEC 5 Sicherheitsmechanismen
19
1.5.1
Authentifizierungs- und Verschlüsselungsmechanismen
19
1.5.2
Bestätigungs-ID
20
1.5.3
Protokollierung
20
1.6 Informationen zu Patches und Updates
22
1.6.1
SIPROTEC 5
22
1.6.2
23
1.7 Informationen zu Patches und Updates
23
1.7.1
SIPROTEC 5
23
1.7.2
23
1.8 Anhang
24
1.8.1
IEC 61850
24
1.8.2
GOOSE
24
1.8.3
DNP3
25
1.8.4
Protokoll IEC60870-5-103
25
1.8.5
Synchrophasor
25
1.8.6
SNTP
25
1.8.7
SNMP
26
1.8.8
IP Tunneling über PDI
26
1.9 Abkürzungen
26
1.10 Referenzdokumente / Verweise
27
Ausgabe 2012-05-03
3
SIP5-APN-009-de
1 Applikation Kommunikationsarchitektur unter
Aspekten der Cyber-Sicherheit
1.1
Zusammenfassung
Heute sind viele Computersysteme (Server, PCs und Automatisierungsgeräte) miteinander verbunden.
Dadurch entstehen Sicherheitsrisiken für gesamte Netzwerke, wie z.B. Hackerangriffe, Schadprogrammen,
Würmer und Viren. Zudem sind die Netzwerke durch die Verwendung gemeinsamer Software und
Betriebssysteme, wie z.B. Windows und Linux sowie Standard-Kommunikationsprotokolle wie TCP und IP
noch leichter angreifbar geworden.
Um Angriffe abzuwehren und die Systemstabilität sicherzustellen, muss die Cyber-Sicherheit ein fester
Bestandteil des Netzwerkplanungs- und Entwicklungsprozesses sein. Indem man die Sicherheit von Anfang an
in die Planung mit einbezieht, erhält man ein umfassenderes und kosteneffizientes System. Die
Vorausplanung stellt ebenfalls sicher, dass Sicherheitsfunktionen unterstützt werden. Das Nachrüsten
bestehender Umgebungen mit Sicherheitsfunktionen ist häufig ineffizient und kostspielig. Die Sicherheit
muss auf allen Ebenen des Entwicklungsprozesses berücksichtigt werden.
Diese Applikationsbeschreibung gibt Richtlinien für die Entwicklung sicherer Automatisierungssysteme unter
Verwendung von SIPROTEC 5 Schutzgeräten. Die Anleitung kann über den gesamten Produktlebenszyklus
eingesetzt werden und wird bei größeren Änderungen an den Geräten aktualisiert.
1.2
Sicherheitsarchitektur des Systems
SIPROTEC 5 ist ein eingebettetes Gerät mit einem sicheren Hochfahrmechanismus und verschlüsseltem
Zugriff für Konfiguration und Softwareaktualisierung. Hauptsicherheitsfunktionen von SIPROTEC 5:

sichere Softwareaktualisierung mit digitalen Signaturen

sichere Konfiguration über digital signierte Konfigurationselemente

Unterstützung verschlüsselter Protokolle wie HTTPS

authentifizierter und autorisierter Zugriff mit dem Konfigurationstool über eine TLS/SSL-Verbindung

rollenbasierter Zugriff auf Konfigurationsfunktionen und Gerätefunktionalität über Bestätigungs-IDs

Beschränkung offener Schnittstellen über DIGSI 5 Serviceconfiguration

Verwendung eines Verschlüsselungschips zur geschützten Speicherung öffentlicher Schlüssel zur Prüfung
von Signaturen

gerätespezifisches Schlüsselmaterial für TLS/SSL-Kommunikation
Die Architektur des Sicherheitssystems ist in Abbildung 1 dargestellt. Sie umfasst die folgenden Programme
und Geräte:

SIPROTEC 5 mit Hauptplatine und Ethernet-Modul

Konfigurationssoftware DIGSI 5 auf PC (für Kunden)

über normierte Protokolle angeschlossenes Stationsleitsystem (z.B. SICAM PAS mit IEC 61850-Protokoll)
SIP5-APN-009-de
4
Ausgabe: 2012-05-03
Stationsleitgerät
T103, DNP3.0i, 61850, SNMPv3
Echtzeit- Prozesse
TLS
HMI
Web-Dienste
Sicherheitsprotokoll
Geräte-Loader
Benutzerverwaltung
Sitzungsmanager
openSSL
TLS
DIGSI Client
Sitzungsmanager
Proxy
NFS
ConfigFile
DIGSI Stammzertifizierung - Prüfung
DIGSI Zertifikat
DIGSI
DIGSI Client
DIGSI Zertifikat
BM-Nummer
ConfigFile
gerätespezifisches
Schlüsselpaar
DIGSI Stammzertifizierung - Prüfung
DIGSI
DCF
DIGSI –
Stammzertif.
DIGSI –
Stammzertif.
DAF
öffentlicher öffentlicher
Schlüssel Schlüssel
BM-Nummer
BM-Nummer
DIGSI – Trusted Root
Certification Authority
DIGSI – Trusted Root
Certification Authority
IP Tunneling über PDI, RSTP, GOOSE
SIPROTEC 5
Abbildung 1: Architektur des Sicherheitssystem von SIPROTEC 5 mit DIGSI 5 Konfigurationsprogramm (siehe
Kapitel 1.9 für eine Erläuterung der in dieser Abbildung und im Dokument verwendeten Abkürzungen)
SIPROTEC 5 bietet die folgenden Protokolle:

RSTP (Rapid Spanning Tree Protocol) und GOOSE als Kommunikationsprotokolle der 2. Schicht zu anderen
SIPROTEC 5 Geräten;

IEC 60870-5-103 als serielles Protokoll;

über TLS/SSL gesicherter Zugriff von DIGSI 5 auf SIPROTEC 5 über Standard-TCP-Port 443 direkt auf die
Hauptplatine und über das Kom.-Modul;

DNP3 TCP-Port 20000;

SNTP über UDP-Port 123;

DCP;

IP Tunneling über PDI;

IEC61850 über TCP-Port 102;

SNMPv3 über UDP-Port 161 zur Kommunikation mit der Netzleitstelle;
DIGSI 5 baut auf das TIA Portal auf, das einen Lizenzserver an Port 4410 verwendet.
Ausgabe 2012-05-03
5
SIP5-APN-009-de
1.3
Systemkommunikation
1.3.1
Systemkonfigurationsbeispiele für SIPROTEC 5
Die folgenden Konfigurationsdiagramme zeigen einige Beispiele für sichere Netzwerkarchitekturen. Vom
Aspekt der Cyber-Sicherheit her ist die Konfigurationsschnittstelle am kritischsten, daher wird das
Konfigurationsnetzwerk vom Laufzeit-Prozessdatennetz getrennt. Die integrierte Ethernet-Schnittstelle (Port
J) wird für die Verbindung mit dem DIGSI 5 PC eingesetzt.
Die Kommunikation zwischen DIGSI 5 und dem SIPROTEC 5 Gerät ist mit einem 128 Bit langen RC4-Schlüssel
nach gegenseitiger Authentifizierung verschlüsselt. Nach der Authentifizierung kann der Benutzer optional
durch Eingabe eines Passworts nach NERC autorisiert werden. Es werden nur Verbindungen zu einer DIGSI 5
Applikation akzeptiert, die für den Zugriff auf die Konfigurationsdaten von SIPROTEC 5 benötigt werden. Der
Zugriff auf das Stationsleitnetz ist über einen Gateway (mit Firewall) geschützt.
Abbildung 2 zeigt ein allgemeines Stationsleitnetzwerk mit verschiedenen Netzwerkbereichen und
Sicherheitsanforderungen.
Abbildung 2: Beispiel eines allgemeinen Netzwerks
Dieses Konzept implementiert verschiedene Prinzipien zum Schutz industrieller Netzwerke:

getrennte Kommunikationsnetze für Konfiguration/Kommunikation, Laufzeitdaten

Firewalls und Verschlüsselung zwischen den verschiedenen Zonen

nur dedizierte Kommunikation erlaubt

Verwendung von Virtual Private Network-Technologie zum Schutz der Kommunikation über die
Netzwerkgrenzen hinaus
SIP5-APN-009-de
6
Ausgabe: 2012-05-03
1.3.1.1 Elektrische Ethernet-Stern-Topologie
Abbildung 3 zeigt eine einfache Sterntopologie. Die Konfiguration von Fern und vor Ort geschieht über das
integrierte Ethernet-Modul über HTTPS.
Abbildung 3: Sterntopologie mit Ethernet-Modulen
1.3.1.2 Elektrische / optische Ethernet-Ringkonfiguration
Abbildung 4 zeigt eine typische Ringkonfiguration.
Die SIPROTEC 5 Geräte sind über zwei Ethernet-Module (elektrisch/optisch) mit zwei Switches des optischen
Rings verbunden. Das ist die sogenannte Dual Homing-Konfiguration.
Die Konfiguration von Fern und vor Ort wird über das integrierte elektrische Ethernet-Modul über HTTPS
durchgeführt.
Ausgabe 2012-05-03
7
SIP5-APN-009-de
Abbildung 4: Ringtopologie von Switches mit Ethernet-Ports – SIPROTEC 5 Anschluss über Dual HomingTechnologie
SIP5-APN-009-de
8
Ausgabe: 2012-05-03
1.3.1.3 Elektrische / optische Ethernet-Ringkonfiguration mit alternativem
Ring
Abbildung 5 zeigt eine Variante von Abbildung 4 ohne Dual Homing und erweiterter Schleife zwischen
SIPROTEC 5 Geräten.
Abbildung 5: Ringkonfiguration ohne Dual Homing und erweiterte lokale Schleife
Technische Hinweise zu den Beispielen der Systemdiagramme
Folgendes gilt für Abbildung 4: Es gibt optische und elektrische SIPROTEC 5 Schnittstellen.
Die folgende Regel kann für die Berechnung der maximalen Anzahl von SIPROTEC 5 Geräten in jedem RSTPRing verwendet werden. Ein RSTP-Gerät sollte weniger als MaxAge Hops vom Root-Switch entfernt sein. Die
Höchstzahl beträgt dann:
maximale Anzahl = 40 (d.h. max. MaxAge) - Anzahl Switches im Hauptring
Bei allen gezeigten Konfigurationsbeispielen sollte die empfohlene Anzahl von 500 Netzwerkgeräten nicht
überschritten werden.
Die Namen der Hosts und Geräte im Systemdiagramm werden in den folgenden Kapiteln zur Beschreibung
der Dienste und Protokolle verwendet.
Weitere Einzelheiten finden Sie in /12/.
Ausgabe 2012-05-03
9
SIP5-APN-009-de
1.3.1.4 Beschreibung des Host
Zone
Hosts/Geräte
Beschreibung
Stationsleitnetzwerk
SIPROTEC 5
SIPROTEC 5 Geräte
optische/elektrische Ethernet-Switches
Switches
StationsserverNetzwerk
Stationsrouter mit optionaler
Firewall-Funktion
Der Router erlaubt die
Netzwerkzugriffskontrolle zum/vom
Stationsleitnetzwerk mit optionaler
Firewall-Funktion.
Sicam PAS / 1703
Stationsleitserver Weitere Einzelheiten
finden Sie in den Blueprints von SICAM
PAS und 1703.
Permanenter DIGSI 5 PC für
Konfiguration / Wartung von SIPROTEC
5 Geräten
DIGSI 5 PC
Der NTP Server dient als Uhrzeitquelle
für die Zeitsynchronisierung.
NTP Server
Externe Netzwerke:
Übertragungsnetze /
Firmennetze
Für die Fernbedienung mit DIGSI 5 zum
Erfassen und Übertragen von Daten
von den Feldgeräten zu einem
Fernwirktechniker.
Entfernter DIGSI 5 PC
Hinweis: Die Sicherheit für den
Fernzugriff ist nicht Thema des
SIPROTEC 5 Blueprint. Die
Konnektivität für ein entferntes DIGSI 5
System muss separat geschützt werden
(z.B. durch VPN-Abschluss an der
Stationsfirewall oder einen Router für
den Fernzugriff).
Tabelle 1: Liste aller relevanten Hosts/Geräte
1.3.2
Empfohlene Komponenten
Nachfolgend werden Empfehlungen für Netzwerkkomponenten gegeben. Die empfohlenen Geräte wurden
zertifiziert. Andere Geräte mit der entsprechenden elektromagnetischen Verträglichkeit können zwar
verwendet werden, allerdings wurden diese nicht von Siemens geprüft und deren korrekter Betrieb kann
nicht garantiert werden.
SIP5-APN-009-de
10
Ausgabe: 2012-05-03
1.3.2.1 Stationsrouter
Siemens empfiehlt die Verwendung des Geräts Ruggedcom RuggedRouter RX1000 (siehe /4/). Zum
Lieferumfang des Geräts gehört eine Firewall und erweiterte Sicherheitsfunktionen.
1.3.2.2 Switches
Zur Sicherstellung der fehlerfreien Funktion verlangt Siemens Ethernet-Switches für Unterstationen von
RuggedCom (siehe /3/), wie zum Beispiel die Geräte RS900, RS1600, RS8000 oder RSG2100 zur Verwendung
mit optischen SIPROTEC-Ringen (wie z.B. in Abbildung 4).
Alternativ können industrielle Ethernet-Switches der Firma Hirschmann (siehe /5/) wie die Komponenten
RSR20, RSR30 und MACH1000 zusammen mit SIEMENS-Komponenten eingesetzt werden.
Außerdem können SCALANCE Switches verwendet werden (siehe /8/), z.B. die Produktreihe X-300EEC
(Enhanced Environmental Conditions), die die industriellen Ethernet-Switches mit IT-Funktionen für den
Aufbau elektrischer und/oder optischer Leitungs-, Stern- und Ringtopologien beinhalten.
Bei Verwendung des in Abbildung 4 beschriebenen Designs können auch Switches anderer Hersteller
eingesetzt werden. In diesem Fall werden die SIPROTEC 5 Geräte (mit elektrischer und/oder optischer
Ethernet-Schnittstelle) einzeln oder doppelt ausgerüstet an das Netz angeschlossen. Die Voraussetzung ist,
dass nur die Switches einen oder mehrere Ringe aufbauen und dass alle Ringe der Norm IEC61850-3
entsprechen.
1.3.2.3 NTP Server
Es werden keine besonderen Anforderungen an die NTP Server gestellt, außer dass die Komponenten eine
Genauigkeit von +/- 1 ms haben müssen. Aus Redundanzgründen können maximal 2 NTP Server eingesetzt
werden. Hinweis: SIPROTEC 5 nutzt den weit verbreiteten NTP-Standard ohne Verschlüsselungserweiterungen.
1.3.2.4 Konfigurations-PC (DIGSI PC)
Aus Sicht der Cyber-Sicherheit ist der Zugriff auf die Konfigurationsschnittstelle des Schutzgerätes äußerst
kritisch. Daher ist der DIGSI PC zur Sicherung sehr wichtig und beinhaltet die folgenden Aktionen:

eine Kombination von Sicherheitssoftware wie z.B. Antiviren- und Antispyware-Software, persönliche
Firewalls, Spam- und Web Content-Filter, Popup-Blocker zur Abwehr der häufigsten Angriffen,
insbesondere Schadprogramme

Einschränkung der Benutzer des PCs durch getrennte Benutzerkonten für jede Person, Zuweisung eines
Passworts für jedes Benutzerkonto, Verwendung von Standard-Benutzerkonten für den täglichen
Gebrauch und Schutz von Benutzersitzungen gegenüber nicht autorisierten physikalischen Zugriffen

Sicherstellen, dass das Betriebssystem und die Hauptanwendungen regelmäßig aktualisiert werden. Dies
betrifft z.B. Internet-Browser, Email-Clients, Instant Messaging-Clients und Sicherheitssoftware.

Deaktivieren nicht benötigter Netzwerkfunktionen auf dem PC und sichere Konfiguration des
Drahtlosnetzes

Konfiguration von Hauptanwendungen zum Filtern von Inhalten und Verhindern anderer als schadhaft
angenommene Aktivitäten

nur vertrauenswürdige Software installieren und verwenden Es wird nicht empfohlen, Email-Clients auf
einem DIGSI PC zu installieren.

Konfiguration von Fernzugriff-Software basierend auf den Anforderungen und Empfehlungen der
Organisation

kontinuierliche Aufrechterhaltung der Computersicherheit, wie z.B. regelmäßige Passwortänderungen
und Statusprüfungen der Sicherheitssoftware
Ausgabe 2012-05-03
11
SIP5-APN-009-de
1.3.3
Kommunikationsprotokolle
1.3.3.1 IP/TCP/UDP/Ethernet Kommunikationsmatrix
Die unten dargestellte Übersicht der Schnittstellen und Diensten unterstützt den Administrator bei der
Anpassung der Einstellungen für Firewalls und Angriffserkennungssysteme (Intrusion Detection Systems). Es
wird weiterhin dringend empfohlen, nur die Dienste zu aktivieren, die im Betrieb tatsächlich verwendet
werden. Alle anderen Dienste müssen deaktiviert werden.
Service
Protokoll
der 4.
Schicht
Protokoll
der 7.
Schicht
Typischer
Client
Client Port
Typischer
Server
Server Port
DIGSI 5 Protokoll
zum Automation
License Manager
TCP
DIGSI 5
Protokoll
zum
Automation
License
Manager
DIGSI 5 PC
4410
Automation
License
Manager auf
einem
möglichen
separaten
Server,
4410
(Standardw
ert)
(Standard
wert)
d.h. lokaler
Host
DIGSI 5
Kommunikations
protokoll zu
SIPROTEC 5
TCP
HTTPS
DIGSI 5 PC
>1024
SIPROTEC 5
443
Reporting / IEC
61850 / MMS
TCP
IEC61850
IEC 61850
Client (z.B.
SICAM PAS,
SICAM 1703)
>1024
SIPROTEC 5
102
Zeitsynchronisation / SNTP
UDP
SNTP
SIPROTEC 5
123
SNTP Server
123
Überwachung
über Simple
Network
Management
Protocol
(SNMPv3)
UDP
SNMPv3
PC mit SNMP
Client (e.g.
SICAM PAS /
1703 / DIGSI 5
PC / Remote
DIGSI 5 PC)
>1024
SIPROTEC 5
161
DNP TCPi
TCP
DNP3 TCP
SICAM PAS
20000 oder
nächster
freier Port
SIPROTEC 5
20000
Synchrophasor
TCP
Phasor Data
Concentrator
>1024
SIPROTEC 5
4712
Stationsleitge
rät
>1024
UDP
MODBUS auf TCP
(noch nicht
verfügbar)
SIP5-APN-009-de
TCP
MODBUS
12
4713
SIPROTEC 5
502
Ausgabe: 2012-05-03
Service
Protokoll
der 4.
Schicht
Protokoll
der 7.
Schicht
Typischer
Client
Client Port
Typischer
Server
Server Port
RTD-Box
UDP
RTD
RTD-Box
>1024
SIPROTEC 5
konfigurier
bar
(noch nicht
verfügbar)
Tabelle 2: Liste der Kommunikationsmatrix
1.3.3.2 Kommunikationsschnittstellen
Die folgenden Protokolle stehen in Abhängigkeit von der Konfiguration und dem Betriebszustand des
SIPROTEC 5 Gerätes zur Verfügung. Nicht benötigte Dienste wie das Redundanzprotokoll RSTP können in
DIGSI 5 deaktiviert werden. In diesem Fall werden die deaktivierten Schnittstellen dem Netzwerk nicht
angeboten.
Protokoll
Ethernetmodul
(optisch und
elektrisch)
Integrierte
EthernetSchnittstelle
(Port J) auf der
Hauptplatine
DCP
x
X
DHCP
x
X
DNP 3 TCP
x
IEC 61850-GOOSE
x
IEC 61850 Reporting / MMS
x
RSTP
x
SNMPv3
x
SNTP
x
X
SSL/TLS
x
X
x
Synchrophasor
x
X
MODBUS
x
X
RTD-Box
x
X
USB-Schnittstelle
auf der Gerätefront
X
x
Abbildung 6 zeigt, wie Dienste des SIPROTEC 5 Geräts mithilfe von DIGSI 5 aktiviert oder deaktiviert werden
können.
Weitere Informationen entnehmen Sie bitte dem SIPROTEC 5 Handbuch.
Ausgabe 2012-05-03
13
SIP5-APN-009-de
Abbildung 6: Dienstdialog von DIGSI
SIP5-APN-009-de
14
Ausgabe: 2012-05-03
1.4
Systemhärtung und Schutz gegen Schadprogramme
Beim Schutz vor Schadprogrammen muss zwischen dem SIPROTEC 5 Gerät, dem DIGSI 5
Konfigurationscomputer und den dazugehörigen Komponenten unterschieden werden. Da die beteiligten
Komponenten über verschiedene Betriebssysteme und Netzwerkschutzmechanismen verfügen, muss der
Schutz vor Schadprogrammen anders gehandhabt werden.
1.4.1
SIPROTEC 5
Das SIPROTEC 5 Gerät basiert auf dem Betriebssystem VxWorks. Bisher war VxWorks kein besonderes Ziel von
Schadprogrammen. Daher gibt es keine Antivirenprogramme dafür. Zudem ist das SIPROTEC 5 Gerät mit einer
internen Firewall zum Schutz vor Angriffen auf das Netzwerk ausgestattet. Die Firewall ist standardmäßig
eingeschaltet, um den Standardschutz zu erhöhen.
Alle Dateien, die in das SIPROTEC 5 Gerät geladen werden können haben eine digital Signatur zum Schutz vor
Änderungen durch Schadprogramme. Die Authentifizierung/Autorisierung zwischen DIGSI 5 und dem Gerät
verhindert, dass andere Anwendungen als DIGSI 5 Konfigurationszugriff erlangen.
Zudem werden Viren normalerweise über E-Mails oder Surfen im Netz übertragen. SIPROTEC 5 hat keine EMail oder Browser-Anwendungen und ist daher über diese Infektionswege nicht anfällig.
1.4.2
1.4.2.1 Schutz vor Schadprogrammen
Allgemeines
Der DIGSI 5 PC und der entfernte DIGSI 5 PC basieren auf Windows-Betriebssystemen. Daher wird empfohlen,
zum Schutz gegen Schadprogramme ein Antivirenprogramm mit dauerhaft aktualisierten Virensignaturen zu
installieren. Wir empfehlen das Antivirenprogramm

Trend Micro OfficeScan
Um die Infizierung über USB-Geräte, wie USB Sticks oder USB Festplatten, zu verhindern, sollte die Funktion
„Autostart“ deaktiviert werden. Das verhindert die automatische Ausführung von Schadprogrammen. Zudem
wird empfohlen, alle USB-Geräte bevor sie mit dem DIGSI 5 PC verbunden werden, mit einem aktualisierten
Antivirenprogramm auf Schadprogramme zu überprüfen. Das Antivirenprogramm muss in der Betriebsart
beim Zugriff (On Access) konfiguriert sein. Das gleiche gilt für CDs oder DVDs.
Neben der Verbreitung über USB-Geräte können Schadprogramme auch über E-Mails oder Internetseiten
verbreitet werden. Daher wird empfohlen, ein E-Mail-Antivirenprogramm und einen Filter für bestimmte
Inhalte zu installieren, um zu verhindern, dass man nicht sichere Internetseiten besucht.
Der DIGSI 5 PC muss sicher konfiguriert werden, um eine Infizierung mit Schadprogrammen zu verhindern
(siehe Kapitel 1.4.2.2). Eine sichere Konfiguration umfasst auch die regelmäßige Installation von Patches für
alle installierten Komponenten von anderen Herstellern.
Systemadministratoren müssen geschult werden, ihre Administrationssysteme (DC, Dateiserver usw.) nur für
administrative Zwecke einzusetzen. Insbesondere dürfen zur Administration eingesetzte DIGSI 5 System nicht
dazu verwendet werden:

im Internet zu surfen oder Multimediainhalte abzuspielen.

nicht vertrauenswürdige Software aus zweifelhaften Quellen (Internet / Shareware CD-ROM) zu testen
oder installieren.

mit dem DIGSI 5 PC zu experimentieren.
Ausgabe 2012-05-03
15
SIP5-APN-009-de
Ist der DIGSI PC ein vollständiger isolierter PC ohne Netzwerkanschluss, ist eine Aktualisierung des
Virenscanners unter Umständen nicht möglich. In diesem Fall muss durch technische und organisatorische
Maßnahmen sichergestellt werden, dass keine Schadprogramme auf den PC gespielt werden können, indem
z.B. die Verwendung von USB Sticks verboten wird.
Virenscanner
Virenscanner sind in verschiedenen Ausführungen erhältlich, als Einzelanwendung oder als Client-/ServerAnwendungen für industrielle Umgebungen. Unten ist ein Beispiel einer Konfigurationsumgebung dargestellt.
Über einen Virenscanserver werden die Installationspakete, Konfiguration und aktualisierten Signaturen
verteilt. Die Mechanismen „Push“ oder „Pull“ werden dazu verwendet, die Informationen oder Software auf
die Systeme zu bringen.
Internet
Intranet
Proxy
192.168.1.x
Sicherheitszone 01
Push oder Pull
Router mit
Firewall
Installation+Konfiguration_2
172.16.0.x
n
n_
io
at
ur
ig
nf
Ko ull
P
n+
tio der
la
o
al
st
sh
In Pu
In
st
al
la
tio
n
Pu +Ko
sh
nf
od igu
ra
er
Pu tion
_1
ll
VirenscannerServer
Router mit
Firewall
192.168.2.x
Sicherheitszone 02
Router mit
Firewall
192.168.n.x
Sicherheitszone n
1.4.2.2 Maßnahmen zur Härtung Ihres Systems

Eine Beschreibung der auf dem System verwendeten Dienste (Schnittstellen und Protokolle, siehe Kapitel
1.3.3.1) muss vorhanden sein und die Firewall muss entsprechend konfiguriert sein.

Deaktivieren Sie alle nicht benötigten Dienste. Ein typischerweise verwendeter Dienst ist die „Datei- und
Druckerfreigabe für Microsoft-Netzwerke“. Deaktivieren Sie diesen Dienst, wenn Sie keine freigegebenen
Ordner auf Ihrem System verwenden.

Erstellen Sie für die installierte Applikation eine spezielle Windows-Benutzergruppe. Nur diese Gruppe
darf die angegebene Applikation starten und diese Ordner durchsuchen.

Erstellen Sie Benutzer, die Mitglieder der Windows-Benutzergruppe und Ihrer festgelegten
Programmgruppe sind. Verwenden Sie NIEMALS ein Administratorkonto für den normalen Gebrauch. Nur
diese festgelegten Benutzer dürfen die installierten Anwendungen verwenden. Diese Maßnahme
garantiert ein hohes Maß an Sicherheit und verhindert die Infiltration von schädlichen DLL- oder EXEDateien.
SIP5-APN-009-de
16
Ausgabe: 2012-05-03

Installieren Sie manuell Sicherheitspatches der installierten Produkte, nachdem Sie diese getestet haben
oder der Windows-Patch von Siemens freigegeben wurde.

Installieren Sie den empfohlenen Virenscanner auf Ihrem System mit der Option „On Access“, um zu
verhindern, dass Schadprogramme über Speichergeräte (CD, USB Stick...) oder Dateifreigabe verbreitet
werden. Hinweis: Nur täglich aktualisierte Virenmuster/-signaturen garantieren ein hohes Maß an
Sicherheit.

Wenn Sie Klartextprotokolle zur Kommunikation mit anderen Partnern einsetzen, verwenden Sie die
integrierte IPSec Lösung (auch in zahlreichen Unix-Systemen integriert, z.B. strongSwan), um die
Verbindung zu sichern und authentifizieren. Hinweis: Eine Mischung aus einem Windows- und UnixSystem funktioniert ebenfalls hervorragend. Wenn Sie Firewalls verwenden, öffnen Sie die IPSec-Ports in
Ihrer Firewall (ESP / UDP Port 500 oder UDP Port 4500 / UDP Port 500).

Es wird empfohlen, ein Domänencontroller-Konzept mit passenden Passwortregeln als
Benutzergruppensatz auf der Grundlage einer lokalen Richtlinie einzurichten.
Die 10 häufigsten Konfigurationsfehler

Verwenden Sie niemals das Gästekonto von Windows. Deaktivieren Sie dieses Konto!

Stellen Sie nie „Jeder“ als Freigabeeinstellung für Ordner ein. Löschen Sie diese Zugriffsgruppe und fügen
Sie die richtige Benutzergruppe hinzu. Vergeben Sie die Lese-/Schreibrechte im Register „Sicherheit“.

Verwenden sie niemals ein Benutzerkonto als Mitglied einer Administratorgruppe zur regelmäßigen
Verwendung.

Verwenden Sie nie einfache Passwörter für Ihre Konten – mindestens 8 alphanumerische Zeichen und
Sonderzeichen.

Ändern Sie wenn möglich regelmäßig Ihre Passwörter.

Führen Sie Windows niemals ohne aktivierte Windows-Firewall aus, es sei denn, Sie betreiben Ihr System
ausschließlich in einer vertrauenswürdigen Sicherheitszone.

Führen Sie Windows niemals ohne Patches aus, es sei denn, Sie betreiben Ihr System ausschließlich in
einer vertrauenswürdigen Sicherheitszone.

Führen Sie Windows niemals ohne aktualisierten Virenscanner aus, es sei denn, Sie betreiben Ihr System
ausschließlich in einer vertrauenswürdigen Sicherheitszone.

Verwenden Sie wenn möglich keine Software von Fremdherstellern mit bekannten Schwächen. Erstellen
Sie falls nötig eine vertrauenswürdige Sicherheitszone.

Installieren Sie niemals nicht vertrauenswürdige Software auf Ihrem System.
Desktop Firewall
Es wird empfohlen soweit möglich die Windows-Firewall zu aktivieren. Dieser Abschnitt beschreibt die
Einstellungen der Desktop-Firewall Schritt für Schritt.
Öffnen Sie Ihre Firewallkonfiguration, ändern Sie die Einstellungen und aktivieren Sie die Firewall.
Ausgabe 2012-05-03
17
SIP5-APN-009-de
Die DIGSI 5 Applikation selbst benötigt keinen speziellen offenen Port, da es keine eingehenden
Verbindungen gibt.
Neben dem Dienst „Network Core“ benötigen Sie auch die Ausnahme für Datei- und Druckerfreigabe (Port
139 / 445), wenn Sie freigegebene Netzwerkordner verwenden, Network Discovery und Remote Event Log
Management, falls Sie Remote Log Events benötigen. Deaktivieren Sie die Datei- und Druckerfreigabe, wenn
Sie keine Ordnerfreigabe auf Ihrem DIGSI 5 PC verwenden.
SIP5-APN-009-de
18
Ausgabe: 2012-05-03
1.4.3
Weitere Netzwerkkomponenten des Stationsleitsystems
Das Stationsleitsystem umfasst weitere Komponenten, wie SICAM PAS, TM1703-Stationsleitgeräte oder NTPServer. Zum sicheren Betrieb des Stationsleitnetzwerks muss sichergestellt werden, dass alle diese
Komponenten gemäß den Sicherheitsstandards von NERC CIP /1/ und BDEW White Paper/2/ konfiguriert und
betrieben werden.
Die Stationsleitprotokolle (z.B. IEC 61850) sind nicht gesichert. Es wird daher dringend empfohlen, dieses
Netzwerk nicht direkt an ein ungesichertes Netzwerk anzuschließen. Der Anschluss an ein ungesichertes
Netzwerk muss über einen Router mit integrierter Firewall erfolgen.
1.5
SIPROTEC 5 Sicherheitsmechanismen
Für den Betrieb von SIPROTEC 5 stehen umfangreiche Sicherheitsmechanismen zur Verfügung, um das Gerät
gegen unerwünschte Bedienhandlungen oder Angriffe zu schützen. Einzelheiten zu den
Sicherheitsmechanismen von SIPROTEC 5 finden Sie im SIPROTEC 5 Handbuch /6/.
1.5.1
Authentifizierungs- und Verschlüsselungsmechanismen
Bevor DIGSI 5 mit dem SIPROTEC 5 Gerät kommunizieren kann, führt das Gerät eine Authentifizierung durch.
Zusätzlich kann ein spezielles Verbindungspasswort konfiguriert werden, das der DIGSI 5 Client dem
SIPROTEC 5 Gerät zur Verfügung stellen muss. Dieses Verbindungspasswort kann so konfiguriert werden,
dass es den Sicherheitsanforderung von NERC CIP-007-4 /1/ genügt. NERC CIP-007-4 R5.3 legt die folgenden
Passwortrichtlinien fest:

Jedes Passwort muss mindestens aus sechs Zeichen bestehen.

Jedes Passwort muss eine Kombination aus Buchstaben, Ziffern und Sonderzeichen enthalten.

Jedes Passwort kann risikobezogen geändert werden.
Zusätzlich zu den Anforderungen von NERC CIP muss das Verbindungspasswort aus mindestens 8 bis maximal
24 Zeichen bestehen.
Nach korrekter Authentifizierung hat der Benutzer Lesezugriff auf die Gerätefunktionen.
Die gesamte Kommunikation mit dem SIPROTEC 5 Gerät wird über eine verschlüsselte HTTPS-Verbindung
realisiert. Daher sind Konfigurationsbefehle und Daten gegen ein Ausspionieren durch Angreifer geschützt.
Abbildung 7: DIGSI-Ansicht zur Aktivierung des Verbindungspassworts
Ausgabe 2012-05-03
19
SIP5-APN-009-de
Abbildung 8: DIGSI-Ansicht mit Verbindungspasswort, das nicht den Anforderungen von NERC/CIP entspricht
1.5.2
Bestätigungs-ID
Für den Schreibzugriff auf die Gerätefunktionen ist eine Art rollenbasierter Zugriff auf die SIPROTEC 5 Geräte
implementiert. Es gibt verschiedene vordefinierte Rollen für die jeweiligen Aufgaben, z.B. Switching User. Zur
Identifizierung jeder Rolle kann eine Bestätigungs-ID zugewiesen werden, um sicherheitsrelevante
Gerätefunktionen zu schützen. Bestimmte Rollen können je nach den Anforderungen der Betriebsumgebung
aktiviert oder deaktiviert werden (siehe Abbildung 9).
Abbildung 9: DIGSI 5 Menü Rollenverwaltung (Role administration)
1.5.3
Protokollierung
Falsche Passwörter werden erkannt und protokolliert. Eine passende Alarmierung über Fernverbindung kann
konfiguriert werden. Zudem werden sicherheitsrelevante Handlungen, wie fehlgeschlagene Logins,
Passwortänderung usw. protokolliert und können im Gerät nicht gelöscht werden. Diese können über DIGSI 5
ausgelesen werden. Zudem kann die Protokollierungsinformation zu einem Stationsleitsystem übertragen
werden.
Das Sicherheitsprotokoll in SIPROTEC 5 kann nicht vom Benutzer gelöscht werden.
SIP5-APN-009-de
20
Ausgabe: 2012-05-03
Abbildung 10: Cyber-Sicherheitsmeldung kann an Netzleitstelle übertragen werden; Erklärung siehe
Ausgabe 2012-05-03
21
SIP5-APN-009-de
Modus
Name
Erläuterung
Logon blocked
Login mit Verbindungspasswort wurde aufgrund von 3
falschen Eingaben gesperrt; die Sperrung dauert 5
Minuten.
Logon reactivated
Logon reactivated; 5 Minuten sind seit den 3 falschen
Eingaben vergangen.
PW change OK
Verbindungspasswort erfolgreich in SIPROTEC 5
geändert
PW change not OK
Verbindungspasswort nicht erfolgreich in SIPROTEC 5
geändert
Logon OK
Login mit Verbindungspasswort erfolgreich
Logon not OK
Login mit Verbindungspasswort fehlgeschlagen
PW activation OK
Erfolgreiche Aktivierung des Verbindungspassworts
PW activation not OK
Aktivierung der Verbindung fehlgeschlagen
PW deactivation OK
Erfolgreiche Deaktivierung des Verbindungspassworts
PW deactivation n. OK
Deaktivierung des Verbindungspassworts
fehlgeschlagen
Cyber security state
Cyber security event
Tabelle 3: Protokollierte Ereignisse können mit Beschreibung an Netzleitstelle übertragen werden.
1.6
Informationen zu Patches und Updates
Die Informationssicherheit spielt eine bedeutende Rolle im gesamten Produktlebenszyklus. Das PatchManagement für Software ist ein wichtiger Bestandteil dieses Prozesses.
In der besonderen Umgebung muss zwischen dem SIPROTEC 5 Gerät und dem DIGSI 5 PC unterschieden
werden. Da die beteiligten Komponenten über verschiedene Betriebssysteme und
Netzwerkschutzmechanismen verfügen, müssen Patches und Aktualisierungsfunktionen anders gehandhabt
werden.
1.6.1
SIPROTEC 5
Den Patches und Aktualisierungen der SIPROTEC 5 Geräte wurde besondere Aufmerksamkeit gewidmet.
Die komplette Software für SIPROTEC 5 wird über digitale Signaturen geschützt, damit schadhafte
Veränderungen erkannt werden. Nur solche offizielle signierten Softwarekomponenten können geladen und
im Gerät ausgeführt werden. Kunden erhalten die SIPROTEC 5 Software, Patches und Updates von der
offiziellen SIPROTEC 5 Webseite von Siemens Energy Automation /7/. Kunden werden über wichtige
verfügbare Softwarepatches informiert.
Die Software wird mithilfe von DIGSI 5 in das SIPROTEC 5 Gerät importiert. Während des Imports der
Softwareupdates durch DIGSI 5 wird im Ladeprogramm des Gerätes die Signatur geprüft. Die
Softwarekomponenten der Kom.-Module können auch über die Hauptplatine geladen werden.
Weitere Informationen zu Upgrades finden Sie in /6/.
SIP5-APN-009-de
22
Ausgabe: 2012-05-03
1.6.2
Normalerweise haben Sicherheitsupdates von Fremdprodukten keinen Einfluss auf die DIGSI 5 Applikation.
Wenden Sie sich im Zweifelsfall an Siemens, um Informationen über die Kompatibilität von Windows-Patches
für DIGSI 5 zu erhalten.
Es wird empfohlen, vor der Installation ein Sicherheitsupdate eines Fremdprodukts in einer Prüfumgebung
auf einem DIGSI 5 PC durchzuführen.
Stellen Sie daher sicher, dass die automatische Aktualisierung der installierten Produkte, z.B. Microsoft
Windows oder Adobe Acrobat auf Ihrem DIGSI 5 PC deaktiviert ist.
Installieren Sie manuell Sicherheitspatches der installierten Produkte, nachdem Sie diese getestet haben oder
der Windows-Patch von Siemens freigegeben wurde.
Außerdem können Sie Ihren eigenen WSUS (Windows Server Update Services) Server erstellen. Mit WSUS
können Sie alle Microsoft-Patches auf Ihrem installierten Windows-System verteilen, nachdem Sie sie in einer
Prüfumgebung getestet haben oder nach der Freigabe durch Siemens. Dieser Mechanismus funktioniert
ähnlich wie der Client-Server Virenscanner. Alle Systeme erhalten ihre Patche über die in Windows integrierte
automatische Aktualisierungsfunktion. Der Unterschied ist der Server, der die Patches zur Verfügung stellt.
Leider bieten nicht alle Softwarehersteller ein solches Remote Update System wie Microsoft. Wenn Sie keinen
direkten Internetzugang haben oder nur über einen Proxyserver zugreifen, müssen Sie die nötigen Patches
manuell auf Ihrem System installieren. Schauen Sie regelmäßig auf der Homepage des Herstellers nach.
1.7
Informationen zu Patches und Updates
Die Informationssicherheit spielt eine bedeutende Rolle im gesamten Produktlebenszyklus. Das PatchManagement für Software ist ein wichtiger Bestandteil dieses Prozesses.
In der besonderen Umgebung muss zwischen dem SIPROTEC 5 Gerät und dem DIGSI 5 PC unterschieden
werden. Da die beteiligten Komponenten über verschiedene Betriebssysteme und
Netzwerkschutzmechanismen verfügen, müssen Patches und Aktualisierungsfunktionen anders gehandhabt
werden.
1.7.1
SIPROTEC 5
Den Patches und Updates der SIPROTEC 5 Geräte wurde besondere Aufmerksamkeit gewidmet.
Die komplette Software für SIPROTEC 5 wird über digitale Signaturen geschützt, damit schadhafte
Veränderungen erkannt werden. Nur solche offizielle signierten Softwarekomponenten können geladen und
im Gerät ausgeführt werden. Kunden erhalten die SIPROTEC 5 Software, Patches und Updates von der
offiziellen SIPROTEC 5 Webseite von Siemens Energy Automation /7/. Kunden werden über wichtige
verfügbare Softwarepatches informiert.
Die Software wird mithilfe von DIGSI 5 in das SIPROTEC 5 Gerät importiert. Während des Imports der
Softwareupdates durch DIGSI 5 wird im Ladeprogramm des Gerätes die Signatur geprüft. Die
Softwarekomponenten der Kom.-Module können auch über die Hauptplatine geladen werden.
Weitere Informationen zu Upgrades finden Sie in /6/.
1.7.2
Normalerweise haben Sicherheitsupdates von Fremdprodukten keinen Einfluss auf die DIGSI 5 Applikation.
Wenden Sie sich im Zweifelsfall an Siemens, um Informationen über die Kompatibilität von Windows-Patches
für DIGSI 5 zu erhalten.
Es wird empfohlen, vor der Installation ein Sicherheitsupdate eines Fremdprodukts in einer Prüfumgebung
auf einem DIGSI 5 PC durchzuführen.
Ausgabe 2012-05-03
23
SIP5-APN-009-de
Stellen Sie daher sicher, dass die automatische Aktualisierung der installierten Produkte, z.B. Microsoft
Windows oder Adobe Acrobat auf Ihrem DIGSI 5 PC deaktiviert ist.
Installieren Sie manuell Sicherheitspatches der installierten Produkte, nachdem Sie diese getestet haben oder
der Windows-Patch von Siemens freigegeben wurde.
Außerdem können Sie Ihren eigenen WSUS (Windows Server Update Services) Server erstellen. Mit WSUS
können Sie alle Microsoft-Patches auf Ihrem installierten Windows-System verteilen, nachdem Sie sie in einer
Prüfumgebung getestet haben oder nach der Freigabe durch Siemens. Dieser Mechanismus funktioniert
ähnlich wie der Client-Server Virenscanner. Alle Systeme erhalten ihre Patche über die in Windows integrierte
automatische Aktualisierungsfunktion. Der Unterschied ist der Server, der die Patches zur Verfügung stellt.
Leider bieten nicht alle Softwarehersteller ein solches Remote Update System wie Microsoft. Wenn Sie keinen
direkten Internetzugang haben oder nur über einen Proxyserver zugreifen, müssen die nötigen Patches
manuell auf Ihrem System installieren. Schauen Sie regelmäßig auf der Homepage des Herstellers nach.
1.8
Anhang
1.8.1
IEC 61850
Die Geräteparameter können über das IEC 61850 Protokoll geändert werden. Dies ist eine
sicherheitsrelevante Funktion, die nur über gesicherte Netzwerke ausgeführt werden darf.
IEC 61850 MMS ist ein ungesichertes Protokoll.
Die IEC 61850 Client-Server-Kommunikation und GOOSE-Telegramme können auf verschiedenen EthernetModulen gesendet werden. Auch DIGSI kann eine separate Ethernet-Schnittstelle verwenden mit der die
Stationsprotokollkommunikation vom Konfigurationszugang mit DIGSI 5 getrennt werden kann.
Weitere Einzelheiten finden Sie in /12/.
Hinweis: Die Kommunikation zwischen DIGSI 5 und SIPROTEC 5 wird über SSL-Verschlüsselung gesichert.
1.8.2
GOOSE
IEC 61850 bietet die Möglichkeit, die klassischen festverdrahteten Verbindungen zwischen Feldgeräten über
eine direkte Kommunikation über den Ethernet-Stationsbus zu reduzieren oder zu ersetzen. Dazu wird das
sogenannten GOOSE-Protokoll (Generic Object Oriented Substation Event) verwendet. Die zu übertragenden
Informationen werden je nach Anwendung in sogenannten Datensätzen gruppiert. Diese Information wird
aus der Quelle über ein Telegramm gesendet. Das Protokoll arbeitet auf L2 Basis mit MAC-Adressen. Eine
typische L3/L4 Struktur existiert nicht; daher kann das Protokoll das Subnetz über eine Routing-Instanz nicht
verlassen. (Einige Router bieten immer noch die Möglichkeit des "GOOSE-Tunnelings" für die Kommunikation
zwischen Unterstationen. Mit dieser Funktion können Sie dedizierte GOOSE-Telegramme aus einem Subnetz
zu einem anderen "routen").
Die Ziel-MAC-Adresse des GOOSE-Telegramms ist immer eine virtuelle Multicast-MAC-Adresse aus einem
reservierten Bereich im IEC 61850. Daher wird jedes GOOSE-Telegramm (typische Größe: 200 Byte) zu jedem
Port (und MAC-Adresse) des (Sub-)netzes geschickt. Alle Feldgerät erhalten diese Telegramme und prüfen
über ihre internen IEC 61850-Einstellungen, ob das Gerät ein Empfänger der GOOSE-Nachricht ist.
GOOSE-Telegramme sind immer einseitig gerichtete Telegramme. Ein Empfängergerät sendet dem
sendenden Gerät keine Bestätigung oder andere Rückmeldung zurück mit einer direkten Referenz auf die
empfangene Nachricht.
GOOSE-Nachrichten werden zyklisch gesendet. Gibt es in keiner der Informationen einen Zustandswechsel,
so liegt die typische Wiederholungszeit im Bereich von einer oder mehreren Sekunden. Bei einem
Zustandswechsel wird eine spontane GOOSE-Nachricht mit dem neuen Zustand unverzüglich abgesetzt,
unabhängig vom Zeitintervall der zyklischen GOOSE-Nachricht. Anschließend werden GOOSE-Nachrichten in
SIP5-APN-009-de
24
Ausgabe: 2012-05-03
sehr kurzen Abständen von nur wenigen Millisekunden gesendet, jeweils mit verdoppelten Zeitintervallen bis
das zyklische Intervall erreicht ist.
Abbildung 11: Schematische Darstellung von GOOSE-Nachrichten
1.8.3
DNP3
DNP3 ist in 2 Varianten erhältlich:

auf Ethernet-Basis; und

seriell.
1.8.4
Protokoll IEC60870-5-103
Das Protokoll IEC 60870-5-103, auch T103 genannt, ist ein serielles Protokoll.
1.8.5
Synchrophasor
Die Ethernet basierte Version wird verwendet. SIPROTEC 5 ist der Server, d.h. Empfangsanschluss vom Phasor
Data Concentrator (PDC). Der PDC fordert dann Phasordaten von SIPROTEC 5 an.
Die folgenden Standardschnittstellen werden gemäß /10/ in SIPROTEC 5 verwendet:

Port 4712 für TCP;

Port 4713 für UDP.
1.8.6
SNTP
SNTPv4 nach /11/ wird über den Standardport 123 verwendet.
Die IP-Adresse des Zeitservers wird über DIGSI eingestellt.
Ausgabe 2012-05-03
25
SIP5-APN-009-de
SIPROTEC 5 sendet die Zeitanfragen an die konfigurierte IP-Adresse und vergleicht die IP-Adresse der
empfangenen Telegramme mit der konfigurierten. Antworten werden verworfen, wenn die IP-Adresse des
Senders nicht der konfigurierten Adresse entspricht.
1.8.7
SNMP
SNMPV3 wird zusammen mit dem User Security Model verwendet. Wie Sie dabei vorgehen, erfahren Sie in /9/.
1.8.8
Der Benutzer kann über einen PC auf andere Geräte innerhalb der Konstellation über Schutzverbindungen
zugreifen. Die DIGSI 5 Kommunikation arbeitet dann ausschließlich über die Verbindungen und die
Schutzdatenkommunikation is deaktiviert. So bedient der Benutzer die entfernten Geräte vom Gerät vor Ort
über DIGSI 5.
Weitere Informationen finden Sie im SIPROTEC 5 Gerätehandbuch /13/.
1.9
Abkürzungen
Liste der im Dokument verwendeten Abkürzungen:
Tabelle 4: Abkürzungen
Begriff
Erläuterung
DCP
Discovery and Configuration Protocol, von Siemens Industry
DHCP
Dynamic Host Configuration Protocol
DNP3 TCP
DNP3 over Ethernet
RSTP
Rapid Spanning Tree Protocol
SSL
Secure Socket Layer
TLS
Transport Layer Security; ab SSL v3.1 verwendet
NFS
Network File System
LCS
Automation License Server
WS
Wirkschnittstelle
SIP5-APN-009-de
26
Ausgabe: 2012-05-03
1.10
Referenzdokumente / Verweise
/1/
North American Electric Reliability Council:
Critical Infrastructure Protection (CIP), CIP-001-1 bis CIP-009-4, 24-01-2011
http://www.nerc.com/
/2/
Bundesverband der Energie- und Wasserwirtschaft:
White Paper Requirements for Secure Control and Telecommunication Systems, Berlin, Juni 2008
http://www.bdew.de/bdew.nsf/id/A975B8333599F9B0C12574B400348E7A/$file/Whitepaper_Secure_
Systems_Vedis_1.0final.pdf
/3/
RuggedCom Inc.
Ethernet Switch Product Portfolio
http://www.ruggedcom.com/products/ruggedswitch/
/4/
RuggedCom Inc.
RuggedRouter RX1000 Cyber Security Appliance
http://www.ruggedcom.com/products/ruggedrouters/rx1000/
/5/
Hirschmann
Hirschmann Industrial Ethernet Switches Product Portfolio
http://www.hirschmann-ac.de/English/industrial-ethernet-products/product-overview/index.phtml
/6/
SIPROTEC 5 Webseite von Siemens Energy Automation: Handbuch
http://www.siprotec.com
/7/
SIPROTEC 5 Webseite von Siemens Energy Automation:
/8/
Siemens Scalance Switch:
http://www.automation.siemens.com/mcms/industrialcommunication/de/ie/IE_switches_medienkonverter/scalance-x-300-managed/Seiten/scalance-x-300managed.aspx
/9/
User-based Security Model (USM) for Version 3 of the Simple Network Management Protocol
(SNMPv3), http://tools.ietf.org/html/rfc3414
/10/
IEEE Standard for Synchrophasors for Power Systems: IEEE_C37.118_2005,
http://www.techstreet.com/cgi-bin/detail?doc_no=IEEE%7CC37_118_2005&product_id=1265953
/11/
Simple Network Time Protocol (SNTP) Version 4 for IPv4, IPv6 and OSI: RFC 4340, http://www.rfcarchive.org/getrfc.php?rfc=4330
/12/
SIPROTEC 5 Webseite von Siemens Energy Automation: IEC61850 Handbuch
/13/
SIPROTEC 5 Webseite von Siemens Energy Automation: Gerätehandbuch
Ausgabe 2012-05-03
27
SIP5-APN-009-de
Fehler! Verweisquelle konnte nicht gefunden werden.
Herausgeber und Copyright © 2012:
Siemens AG
Infrastructure & Cities Sector
Smart Grid Division
Humboldtstr. 59
90459 Nürnberg, Deutschland
Siemens AG
Infrastructure & Cities Sector
Smart Grid Division
Energy Automation
Humboldtstr. 59
90459 Nürnberg, Deutschland
Hwww.siemens.com/protection
Gedruckt auf chlorfrei gebleichtem Papier.
Alle Rechte vorbehalten.
Soweit nicht anders auf den einzelnen Katalogseiten angegeben, behalten
wir uns das Recht vor, Änderungen vorzunehmen insbesondere hinsichtlich
der angegebenen Werte, Maße und Gewichte. Zeichnungen sind nicht
verbindlich.
Alle verwendeten Produktbezeichnungen sind Marken oder Produktnamen
der Siemens AG oder anderen Lieferanten.
Sofern nicht anders angegeben sind alle Maße in diesem Katalog in mm
angegeben.
Änderungen vorbehalten.
Die Informationen in diesem Dokument enthalten allgemeine
Beschreibungen der technischen Möglichkeiten, welche im Einzelfall nicht
immer vorliegen. Die gewünschten Leistungsmerkmale sind daher im
Einzelfall bei Vertragsschluss festzulegen.
Für weitere Informationen wenden Sie sich
bitte an unser Customer Support Center.
Tel.: +49 180 524 8437
Fax: +49 180 524 24 71
(Gebühren je nach Anbieter)
E-Mail: [email protected]
SIP5-APN-009-de
Applikationsbeschreibung: SSIP5-APN-009-de
28
Ausgabe: 2012-05-03