PROFINET/ Industrial Ethernet - компоненты защиты данных

В современных системах автоматизации широко ис­пользуется сетевой обмен данными между отдельными компонентами автоматизации, между компонентами ав­томатизации и офисным уровнем предприятия, удален­ный доступ к производственным данным через интер­нет. Использование сетевых технологий повышает ок­рытость и гибкость системы управления производст­вом, упрощает вопросы интеграции новых компонен­тов, позволяет быстро анализировать поступающие данные, принимать обоснованные решения, повышает конкурентоспособность предприятия.

Однако использования открытых систем связано с рисками кибератак, манипуляции данными, саботажа и промышленного шпионажа. Для надежной защиты от этих негативных воздействий необходимо использовать многоуровневую концепцию защиты производственных данных, которую можно разделить на три уровня:

• Обеспечение защиты на уровне предприятия. Базируется на организационных мерах по мониторингу и контролю доступа, а также внедрению процессов управления безопасностью.

• Обеспечение сетевой безопасности, предполагающей ограничение доступа к производственной сети.

• Обеспечение системной целостности, предполагающей контроль доступа и защиту целостности данных компонентов автоматизации.

Ключевым элементом этой концепции является сетевая безопасность. Она обеспечивается защитой доступа к сетям автоматизации и другим сетям, защитой от удаленного доступа через интернет, сементацией сетей.

Обеспечение сетевой безопасности в системах автоматизации SIMATIC поддерживается на уровне:

• Аппаратуры серии SCALANCE S.
• Коммуникационных процессоров CP 343-1 Advanced/ CP 443-1 Advanced/ CP 1243-1/ CP 1543-1/ CP 1543SP-1 программируемых контроллеров S7-300/ S7-400/ S7-1200/ S7-1500/ ET 200SP соответственно.
• Коммуникационного процессора CP 1628 для компьютеров.
• Программного обеспечения SOFTNET Security Client для компьютеров.
• UMTS роутера SCALANCE M875.

Модули семейства SCALANCE S

Семейство SCALANCE S объединяет модули защиты данных в производственных и открытых сетях. Они обеспечивают защиту данных, передаваемых между системами автоматизации, защиту от ошибок операторов, от несанкционированного доступа, предотвращают сбои в работе и перегрузку сети. Они способны выполнять аутентификацию партнеров по связи, шифровать данные и передавать их через VPN, защищая от шпионажа и манипуляций. Защищенный обмен данными не зависит от используемых протоколов и может выполняться через интернет.

Конфигурирование всех приборов семейства выполняется с помощью программного обеспечения STC (Security Configuration Tool). Применение аппаратуры SCALANCE S не требует внесения изменений в топологии существующих сетей.

Все модули семейства обеспечивают поддержку функций межсетевого экрана (firewall). Конфигурирование межсетевых экранов выполняется с использованием глобальных правил и символьных имен для IP адресов. В соответствии с этими правилами могут устанавливаться различные уровни прав доступа к сети.

Дополнительный набор поддерживаемых функций зависит от типа используемого модуля.

SCALANCE S602

Модуль SCALANCE S602 может использоваться в сетях со скоростью обмена данными 10/100/1000 Мбит/с. Дополнительно к режиму моста он способен выполнять и функции IP мршрутизатора, присваивть IP адреса внутренним сетевым узлам через встроенный DHCP сервер, обеспечивает поддержку протоколов NAT и NATP.

Он позволяет анализировать содержимое регистрационного журнала с помощью Syslog сервера, обеспечивает поддержку протокола SNMP и может интегрироваться в систему управления сетью, способен работать с динамическими IP адресами.

SCALANCE S612

Модуль SCALANCE S612 обеспечивает поддержку всех функциий модуля S602, функций VPN шлюза, обеспечивает защиту данных от шпионажа и несанкционированных манипуляций.

В сочетании с программным обеспечением SOFTNET Security Client и маршрутизаторами SCALANCE M UMTS модуль позволяет выполнять безопасный удаленный доступ через интернет с поддержкой функций IPSec VPN.

SCALANCE S615

Модуль SCALANCE S615 может использоваться в сетях со скоростью обмена данными 10/100 Мбит/с и обеспечивает поддержку всех функций модуля S612. Модуль позволяет свободно конфигурировать до пяти защищенных зон и межсетевых экранов между ними на один порт VLAN. Для удаленного доступа через интернет он позволяет использовать не только UMTS, но и GPRS/LTE маршрутизаторы SCALANCE M.

Модуль может быть легко подключен к SINEMA Remote Connect через автоматически конфигурируемый интерфейс (активируется при использовании KEY-PLUG SINEMA Remote Connect) с поддержкой функций OpenVNP.

 SCALANCE S623

Модуль SCALANCE S623 обеспечивает поддержку всех функ­ций модуля S612 и оснащен дополнительным DMZ (demilita­rized) портом. Этот порт используется для предоставления дан­ных для других сетей без прямого доступа к сети систем атома­тизации. Кроме того, он находит применение для защиты уда­ленного выполнения операций технического обслуживания. На­пример, для обеспечения доступа к системам автоматизации без получения доступа к сети предприятия.

Еще одной особенностью модуля S623 является возможность его использования для построения резервированных схем защиты данных в сети с использованием резервированных маршрутизаторов и межсетевых экранов.

SCALANCE S627-2M

Модуль SCALANCE S627-2M обеспечивает поддержку всех функций модуля S623 и оснащен двумя слотами для установки конвертирующих модулей. С помощью конвертирующих модулей может быть реализовано подключение к резервированной кольцевой сети с поддержкой протоколов MRP и HRP, обеспечена защита систем автоматизации в кольцевой сети, обеспечена возможность непосредственного подключения оптических сетевых кабелей или 2-жильных (например, PROFIBUS) электрических кабелей существующих сетей.

Программное обеспечение SOFTNET Security Client

Пакет SOFTNET Security Client является компонентом системы сетевой защиты данных программируемых контроллеров. Он утанавливается на компьютеры/ программаторы и выполняет функции VPN клиента, обеспечивающего защищенный доступ к системам автоматизации через LAN или WAN. Для использования SOFTNET Security Client компьютер/ программатор должен быть оснащен 32-разрядной операционной системой Windows XP Professional SP3, 32- или 64-разрядной операционной системой Windows 7 Professional/ Ulimate.