WO2017190997A1 - Verfahren und integritätsprüfsystem zur rückwirkungsfreien integritätsüberwachung - Google Patents

Verfahren und integritätsprüfsystem zur rückwirkungsfreien integritätsüberwachung Download PDF

Info

Publication number
WO2017190997A1
WO2017190997A1 PCT/EP2017/059861 EP2017059861W WO2017190997A1 WO 2017190997 A1 WO2017190997 A1 WO 2017190997A1 EP 2017059861 W EP2017059861 W EP 2017059861W WO 2017190997 A1 WO2017190997 A1 WO 2017190997A1
Authority
WO
WIPO (PCT)
Prior art keywords
integrity
network
data
information
check
Prior art date
Application number
PCT/EP2017/059861
Other languages
English (en)
French (fr)
Inventor
Rainer Falk
Original Assignee
Siemens Aktiengesellschaft
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens Aktiengesellschaft filed Critical Siemens Aktiengesellschaft
Priority to US16/097,845 priority Critical patent/US20190149557A1/en
Priority to EP17720756.0A priority patent/EP3437297A1/de
Priority to CN201780041069.0A priority patent/CN109328453A/zh
Publication of WO2017190997A1 publication Critical patent/WO2017190997A1/de

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC

Definitions

  • the invention relates to a method for the non-reactive integrity monitoring of at least one first device which is arranged in a network with high security requirement by an integrity checking device, which is arranged in a second network with low security requirement, as well as an integrity checking system with an integrity checking device and an integrity reporting device ,
  • Security solution for the transmission of data between networks with different security requirements so-called cross-domain security solutions are so far for special ⁇ le areas, such as government communication, used. Dissolved therein ⁇ th high security requirements, in particular for documents with security classification.
  • automation networks stringent requirements in terms of operational safety, that is, a fault ⁇ free and safe operation of application of the individual components, as well as with respect to real-time capability, availability and in- tegrity, and were therefore conceived as isolated sub-networks and operated.
  • a public Internet or a diagnostic network which usually meet only low security requirements, for example, unidirectional data gateways with transmitting and Empfangskno ⁇ th, as described in US 2012 0331 097 AI , used.
  • An essential component is a data diode, the ensures a transport of data in one direction only.
  • firewalls For the coupling of industrial control networks with an office network or other weiger security-relevant networks also conventional firewalls are used, which filter the data communication according to configurable filter rules.
  • Firewalls are also known, which are a Windows run ⁇ work of an automation network on the other side of the firewall, for example, in the low security critical
  • Network make it visible as a read-only drive, thus mirroring the drive.
  • This network drive can be analyzed for viruses and un ⁇ permissible changes outside the automation ⁇ approximate net factory contents.
  • the data communications on is then blocked depending on the addresses of the communication partner and the communication protocol used zugelas ⁇ sen or.
  • the inventive method for the feedback-free integrity monitoring of at least one first device, which is arranged in a first network with a high security requirement, by an integrity checking device, which is arranged in a second network with a low security requirement comprises the following method steps:
  • the non-reactive one-way communication unit since ⁇ include, for example at a data diode be designed Example ⁇ , as a monitoring device, copies the transmitted only in the safety-relevant first network data and rejects them in the second network, or by a unidi- tional transmitting optical waveguide. As a result, the requirement of non-reaction is guaranteed ⁇ makes.
  • the check information from the first network can now also be checked in the second network without the security-related restrictions of the first network, also against new virus patters or against a positive list for executable files etc. It can thus be carried out a check at any time and against any reference information.
  • configuration data and / or executable files and / or characteristic values derived therefrom are provided as check information. It can thus be appreciated for example, manipulated software insbeson ⁇ wider inadmissible introduced executables ⁇ to. Also, a manipulation of the first device by new virus software can be detected much earlier by current virus scanner outside the first network, since it does not have to wait for approval of such current virus scanner for example the authorization-restricted first network.
  • the size of the check information can be greatly reduced.
  • Such measured values are, for example, hash values of the check information that uniquely identify the configuration data or executable files.
  • meta-data of all the data to be monitored of the integrity checking unit are additionally provided and the completeness of the data provided is checked on the basis of the meta-data.
  • meta-data can be transmitted, for example, in the form of a manifest file, such as for distributing Java class libraries and Java programs.
  • the meta data contains at least one characteristic value of test data and at least a cryptographic checksum of the at least one Kennwer ⁇ tes of the test data and / or news information of the meta data.
  • This guarantees the integrity of the metadata and indicates, for example via a time stamp as actuality information, the acquisition time at which the check information was compiled and thus also active.
  • the reference information is at least one target data information or at least one pollutant software pattern.
  • a target data information can be, for example, a positive list of all files approved for the first device, in particular of all authorized executable files.
  • a target data information for example on admissions protocols be ⁇ known.
  • the status message is transmitted via a return channel of the one-way communication unit to an integration reporting device.
  • Components of the first network are distributed or features disabled. Also, a security level can be set accordingly in ⁇ nergur of the first network and communi cates ⁇ , which in turn has to perform certain functions influence.
  • An integrity reporting device may in particular be a component common in the first network.
  • the integrity reporting device can be a field device, in particular a sensor, which can forward the received status message via a protocol used in conventional operation within the first network.
  • the status message from a charging server in the second network via a charging interface to the at least one first unit übertra ⁇ gene.
  • measures are initiated in the first and / or in the second network depending on the status message.
  • an automation system can respond to an integration violation, for example by activating a restricted emergency mode or by assuming a fail-safe operating state. In a fail-safe operating state, only a faulty component is deactivated without paralyzing the entire system.
  • measures such as a short-term provision of new configuration data can be taken.
  • it is monitored in the second network whether relevant data is actually contained in the check information and, in fact, a check has been carried out by the integration check device. This ensures with high reliability that the integration check is actually done. The Vorgaukeln a review or a failure of the review is thus detectable. If a desired check is detected as not being performed, it can also be concluded that there is a manipulation in the first network and that measures are taken.
  • the integrity test system of the invention for kickback ⁇ free integrity monitoring at least one first input device which is arranged in a first network with a high security requirement, comprising a one-way communica ⁇ tion unit and an integrity verifier, said one-way communication unit is configured such that the check information of the first device to the Integrityprüf coupled, which is arranged in a second network with a low security requirement, to transmit and the Integrityprüf sexual is designed such that check information against at least one reference information to check.
  • the Integrity Testing System is thus located outside the safety-critical first network and therefore does not have to be considered in the operational safety approval, that it is non-reactive. This can be flexibly aktua ⁇ larra.
  • the integrity checking system is in particular designed to carry out a method according to the features described.
  • An integrity verifier according to the invention for non-reactive integrity monitoring at least one first device comprises a receiving unit, which is such forms ⁇ out to receive a check information and informs about the status output. It further includes a memory unit configured to store reference information. Furthermore, the integrity checking device comprises an evaluation unit, which is designed such that the check information is checked against the reference information.
  • An integrity-reporting device for feedback-free integrity monitoring of at least one first device is designed as an automation device in a first network designed as an automation system.
  • FIG. 1 shows an embodiment of the method according to the invention in the form of a flowchart; a first security-relevant network, which is coupled to a second less security-critical network with a first embodiment of an integrity testing system according to the invention in a schematic representation; a second embodiment of a erfindungsge ⁇ MAESSEN IntegrticiansprüfSystems with remote Integ ⁇ rityprüf noise in a schematic representation; and
  • FIG. 4 shows an exemplary embodiment of an integrity checking device according to the invention in a block diagram.
  • a solution for feedback-free integrity monitoring of devices of a first safety-critical network such as an automation system will now be described.
  • the starting ⁇ state 10 is located in a first network with high security requirement at least one device.
  • This NEN kön- example field devices or components of a Brusi ⁇ cherungsnetzwerks such as driving signals, sensors or switches which, for example, be a control ⁇ computer, which is likewise arranged in a closed track fuse network. Between these devices, messages are exchanged within the first network.
  • Each device includes microprocessors that are configured with software to perform a variety of functions.
  • the data transmitted between the institutions can be checked.
  • the software present in the individual devices is checked for integrity.
  • Information on the containment The software used by a device that is used for the integrity check is referred to below as check information.
  • these first devices in method step 11 provide checking information to an integrity checking device which is arranged in a second less security-relevant network, such as an office network.
  • check information transfers a device in the first network, for example, their configura ⁇ tion data and / or executable files and / or derived parameters thereof, such as a hash of the configuration data or files.
  • the transmission of the data takes place via a non-reactive one-way communication unit, for example a data diode.
  • Zussley ⁇ Lich to the actual check information meta-data is preferably provided to ensure the completeness and Cor ⁇ trueness of the one-way data.
  • a manifest file with hash values of the data to be checked and a cryptographic checksum is transmitted.
  • the checking information is then checked against at least one reference information in method step 12.
  • reference information is typically a target data information such example ⁇ , a positive list of allowed executables or configuration of the installed software, the A ⁇ direction.
  • This reference information is known in particular in closed and / or licensable networks.
  • the check information can also be checked against at least one malware sample, in particular the most recent virus samples, as reference information. For example, a violation of integrity becomes a
  • the status message is the ERS
  • the network or automation system is provided via a return channel, in particular in the form of an electrical switching signal or in the form of a data transmission via a further one-way communication unit.
  • a status message "OK" indicates unobjectionably verified test data, but it may also indicate an uncritical integrity violation
  • a critical Integri ⁇ tösnite be reported as "critical integrity vialation" to which the first network with different measures took “uncritical integrity vialation” or can react. For example, a recessed ⁇ restricted emergency operating mode to be activated or a fail-safe operational state are taken.
  • the reliability of the integrity check can be increased by a so-called liveliness check.
  • a liveliness check if indeed check information is transmitted and a corresponding message actually keeps check information ent ⁇ , and whether a review was carried out actually in the integrity verifier is monitored.
  • Figure 2 shows an industrial automation and control ⁇ system 103, which is operated in a first safety-relevant network the one hundred and first All components and devices in this first network 101 as well as their software configuration and application files are typically subject to authorization. That is, the configuration of the devices or the software as an umbrella term for all control ⁇ programs or application programs can only have spe ⁇ cial load server, not shown, and at certain points in time to be incorporated into the first network one hundred and first
  • the dustrial in ⁇ automation and control system 103 includes, for example, field devices, control computer, diagnosis computer and similar devices. Typically is very sensitive with regard to majority of its operational reliability such first network 101 and requires real-time critical data transmission Zvi ⁇ rule the facilities.
  • the first network 101 is, from a network perspective, a closed network that is physically remote from external networks, such as the second network 102 is separated.
  • a coupling of the first network 101 to a less safety-critical network 102 such as an office network of the automation network operator or to public networks such as the Internet or to a special Integrityüberwachchurch network are still desired to evaluate, for example, Di ⁇ agnosemeldung or just the software state Check the facilities in the first network by each latest virus pattern or other test information.
  • the one-way communication device 104 for example a data terminal or data lock, only allows a data stream out of the first network 101.
  • Such a one-way communi ⁇ nikations Rhein 104 thereby ensures that no signals in the opposite direction from the second network 102 can be introduced in the first network 101 or by the one-way communication unit 104 itself he ⁇ begets the first network registered.
  • Such a feedback-free transmission can be done for example by optical fibers or network decouplers, so-called network taps.
  • the drawn inspection information can be done for example by optical fibers or network decouplers, so-called network taps.
  • IMs that are provided by one or more or all of the devices of the network 103 include, for example, files, hash values of a file, or also hash values of multiple files that contain, for example, configuration data or program code.
  • CheckInformation IM can also contain a list of the running software processes of a device or contain monitoring data, so-called log files.
  • An integrity checker 106 in the second network 102 performs an integrity check of the check information IM.
  • the checking device 106 also checks whether a required check information IM actually receives data and carries out a self-monitoring.
  • the check information includes news information, including a time stamp or a counter value, on the basis of the Aktua ⁇ formality of check information IM is verified.
  • the integrity tuschsprüf healthy 106 therefore checks whether actually takes place over ⁇ testing of check information.
  • the integrity checking device 106 can have a watchdog, which is reset in each case upon successful execution of an integrity checking step.
  • Such a watchdog is a unit that monitors the function of other components. Since recognized ⁇ at a possible malfunction, so either will be indicated according to the system agreement and initiated an appropriate jump instruction ⁇ cleans the problem at be.
  • the integrity checking device 106 is preferably connected to an integrity database 107, in which reference information for the integrity check, such as, for example, desired data information or malicious software pattern is stored.
  • An integrity reporting device 105 is formed for example as a virtual sensor, since it can be addressed within a Automa ⁇ TION and control system 103 as a conventional physika ⁇ Lischer sensor. As a result, the status message can be easily queried and used, for example, in the control program of a programmable logic controller.
  • a virtual integrity sensor is, for example, an integrated circuit which can be addressed via a so-called GPIO channel to corresponding contacts. Status messages such as "Integrity Monitoring Running" or "Integrity OK" can be received via these GPIO signals and used as sensor values in the
  • Automation and control network 103 forwarded and provided there, for example via an OPC UA protocol or via a TCP / IP protocol or an http protocol or an MQTT, XMPP or AMQP protocol.
  • an optical signal transmission is possible, for example via an optical waveguide.
  • the connection between an integrity test unit 106 and the integrity of signaling device 105 is formed as a scrubka- nal, which is independent of the one-way communica tion device ⁇ 104th
  • the status messages SM are transmitted on this return channel.
  • the check information IM is transmitted to the integrity checking application 203 by a local integrity checking unit 202 via a cloud connection unit 201, which establishes a secure data connection to the cloud platform 202.
  • the data connection can be made for example by a secure TLS or IPsec protocol.
  • FIG. 4 shows an integrity checking device 106.
  • This comprises a receiving unit 120, via which the checking information IM of the integrity checking device 106 is provided.
  • the integrity checking device 106 comprises a memory unit 123, which stores reference information against which the checking information IM is checked.
  • the conjunction unit 120 and the reference database 123 are connected to an evaluation unit 122, in which the sketchinforma ⁇ tion IM is checked against the reference information from the reference database 123rd
  • a status message can also be transmitted via the connection unit 120 to the first network 101.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

Ein Verfahren sowie ein IntegritätsprüfSystem mit einer Integritätsprüfeinheit (105) und einer Integritätsmeldeeinheit (106) zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung (103), die in einem ersten Netzwerk (101) mit hoher Sicherheitsanforderung angeordnet ist, durch eine Integritätsprüfeinrichtung (106), die in einem zweiten Netzwerk (102) mit geringer Sicherheitsanforderung angeordnet ist, mit den Verfahrensschritten: - Bereitstellen (11) von PrüfInformation (IM) der zu überwa- chenden Daten der ersten Einrichtung (103) an eine Integritätsprüfeinrichtung (106) mittels einer rückwirkungsfreien Einweg-Kommunikationseinheit (104), - Überprüfen (12) der PrüfInformation (IM) im zweiten Netzwerk (102) gegenüber mindestens einer Referenzinformation, und - Übertragen (13) einer Statusmeldung (SM) an eine Integritätsmeldeeinrichtung (105) in das erste Netzwerk (101). Dies gewährleistet eine Integritätsüberwachung der Datenkom- munikation und der Softwarekonfiguration von Einrichtungen in einem sicherheitskritischen Netzwerk ohne dabei zusätzliche Daten in das sicherheitskritische Netz einzubringen oder die Kommunikation innerhalb der sicherheitskritischen Netzwerke zu stören.

Description

Beschreibung
Verfahren und IntegritätsprüfSystem zur rückwirkungsfreien Integritätsüberwachung
Die Erfindung bezieht sich auf ein Verfahren zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung, die in einem Netzwerk mit hoher Sicherheitsanforderung angeordnet ist durch eine Integritätsprüfeinrich- tung, die in einem zweiten Netzwerk mit geringer Sicherheitsanforderung angeordnet ist, sowie ein IntegritätsprüfSystem mit einer Integritätsprüfeinrichtung und einer Integritätsmeldeeinrichtung . Sicherheitslösung für die Übertragung von Daten zwischen Netzen mit unterschiedlichen Sicherheitsanforderungen, sogenannte Cross-Domain-Security Lösungen werden bislang für speziel¬ le Bereiche, wie Behördenkommunikation, verwendet. Darin gel¬ ten hohe Sicherheitsanforderungen, insbesondere für Dokumente mit Sicherheitsklassifikation. Durch eine Cross-Domain-
Lösung, wie beispielsweise in der DE 10 2013 226 171, wird ein automatisierter sicherer Austausch von Dokumenten und Nachrichten zwischen Zonen mit unterschiedlich hohen Sicherheitsanforderungen realisiert.
Andererseits weisen Automatisierungsnetze hohe Anforderungen bezüglich einer Betriebssicherheit auf, d.h. einen störungs¬ freien und anwendungssicheren Betrieb der einzelnen Komponenten, sowie bezüglich Echtzeitfähigkeit, Verfügbarkeit und In- tegrität, und wurden daher als isolierte Teilnetze geplant und betrieben. Für die Kopplung von solchen industriellen Steuerungsnetzen mit einem Büronetz, einem öffentlichen Internet oder einem Diagnosenetzwerk, die üblicherweise nur geringen Sicherheitsanforderungen genügen, werden beispielswei- se unidirektionale Daten-Gateways mit Sende- und Empfangskno¬ ten, wie in der US 2012 0331 097 AI beschrieben, verwendet. Eine wesentliche Komponente ist dabei eine Datendiode, die einen Transport von Daten lediglich in eine Richtung sicherstellt .
Für die Kopplung von industriellen Steuerungsnetzen mit einem Büronetzwerk oder anderen weiger sicherheitsrelevanten Netzwerken werden auch herkömmliche Firewalls verwendet, die die Datenkommunikation nach konfigurierbaren Filterregeln filtern. Es sind auch Firewalls bekannt, die ein Windows-Lauf¬ werk eines Automatisierungsnetzwerks auf der anderen Seite der Firewall, beispielsweise im wenig sicherheitskritischen
Netzwerk, als Nur-Lese-Laufwerk sichtbar machen, das Laufwerk dabei also spiegeln. Dadurch kann außerhalb des Automatisie¬ rungsnetzwerks der Inhalt des Netzlaufwerks auf Viren und un¬ zulässige Änderungen analysiert werden. Die Datenkommunikati- on wird dabei abhängig von den Adressen der Kommunikationspartner und dem verwendeten Kommunikationsprotokoll zugelas¬ sen oder blockiert.
Es ist desweiteren bekannt, eine Netzwerkverbindung über eine Applikations-Proxy zu führen, der auf Transportebene bei¬ spielsweise eine TCP-Verbindung terminiert. Solchen Lösungen garantieren jedoch keine Rückwirkungsfreiheit in der erforderlichen Güte. In sicherheitskritischen Netzen, wie beispielsweise einem
Bahnsicherungsnetz, muss die Integrität der Datenkommunikati¬ on und die Integrität der Software, die auf den verschiedenen Einrichtungen bzw. Komponenten ablaufen, sichergestellt sein, um einen sicheren Ablauf zu garantieren. Dies muss insbeson- dere in sicherheitskritischen Netzen, die für funktionale Sicherheit (Safety) verwendet werden, mit hoher Verlässlichkeit realisiert sein. Herkömmliche Firewalls sind dafür nicht ge¬ eignet. Es muss einerseits sichergestellt sein, dass eine Kommunikation von Daten aus dem sicherheitsrelevanten Netz in ein weniger sicherheitsrelevantes Netz rückwirkungsfrei durchgeführt wird. Diese Rückwirkungsfreiheit bedeutet, dass durch die Übertragung keinerlei Daten in das sicherheitskritische Netzwerk eingebracht werden. Zum anderen muss jede neue Software, die die Datenkommunikation im sicherheitskritischen Netz betrifft, von offizieller Stelle zugelassen werden. Eine solche Zulassung dauert üblicherweise mehrere Tage bis Wochen oder sogar Monate. Dies erschwert beispielsweise das Verwenden von aktualisierten Virenpattern zur Überwachung der einzelnen Netzkomponenten innerhalb des sicherheitskriti¬ schen Netzwerks.
Es ist somit die Aufgabe der vorliegenden Aufgabe der Erfin- dung, eine Integritätsüberwachung der Datenkommunikation und der Softwarekonfiguration von Einrichtungen in einem sicherheitskritischen Netzwerk zu gewährleisten ohne dabei zusätzliche Daten in das sicherheitskritische Netz einzubringen oder die Kommunikation innerhalb der sicherheitskritischen Netzwerke zu stören.
Die Aufgabe wird durch die in den unabhängigen Ansprüchen beschriebenen Maßnahmen gelöst. In den Unteransprüchen sind vorteilhafte Weiterbildungen der Erfindung dargestellt.
Das erfindungsgemäße Verfahren zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung, die in einem ersten Netzwerk mit hoher Sicherheitsanforderung angeordnet ist, durch eine Integritätsprüfeinrichtung, die in ei- nem zweiten Netzwerk mit geringer Sicherheitsanforderung angeordnet ist, weist folgende Verfahrensschritte auf:
- ein Bereitstellen von PrüfInformation der zu überwachenden Daten der ersten Einrichtung an eine Integritätsprüfeinrich- tung mittels einer rückwirkungsfreien Einweg- Kommunikationseinheit,
- ein Überprüfen der PrüfInformation im zweiten Netzwerk gegenüber mindestens einer Referenzinformation und
- ein Übertragen einer Statusmeldung an eine Integritätsmeldeeinrichtung im ersten Netzwerk. Die rückwirkungsfreien Einweg-Kommunikationseinheit, kann da¬ bei beispielsweise eine Datendiode umfassen, die beispiels¬ weise als eine Mithöreinrichtung, die lediglich im sicherheitsrelevanten ersten Netzwerk übertragene Daten kopiert und in das zweite Netzwerk ausleitet, oder durch einen unidirek- tional übertragenden Lichtwellenleiter ausgebildet sein. Dadurch ist die Anforderung der Rückwirkungsfreiheit gewähr¬ leistet. Die PrüfInformation aus dem ersten Netzwerk kann nun im zweiten Netzwerk also ohne die sicherheitsbedingten Ein- schränkungen des ersten Netzwerkes auch gegenüber neuen Vi- renpatter oder gegenüber einer Positivliste für ausführbare Dateien etc. geprüft werden. Es kann somit eine Überprüfung zu beliebiger Zeit und gegenüber beliebiger Referenzinformation durchgeführt werden. Durch das Übertragen einer Status- meidung an eine Integritätsmeldeeinrichtung im ersten Netzwerk erfolgt eine erste Rückmeldung in das sicherheitskriti¬ sche Netz, die dort ausgewertet und auf die reagiert werden kann. Somit ist eine verbesserte Integrität innerhalb des ab¬ geschlossenen sicherheitskritischen ersten Netzwerks gegeben.
In einer vorteilhaften Ausführungsform werden Konfigurationsdaten und/oder ausführbare Dateien und/oder daraus abgeleitete Kennwerte als PrüfInformation bereitgestellt. Es kann somit beispielsweise manipulierte Software, insbeson¬ dere unzulässig eingebrachte ausführbare Dateien erkannt wer¬ den. Auch eine Manipulation der ersten Einrichtung durch neue Virensoftware kann durch aktuelle Virenscanner außerhalb des ersten Netzwerks viel früher aufgespürt werden, da nicht auf eine Zulassung solcher aktuellen Virenscanner für das beispielsweise zulassungsbeschränkte erste Netzwerk gewartet werden muss. Durch das Übertragen von Messwerten, die von den Konfigurationsdaten oder auch ausführbaren Dateien abgeleitet wurden, kann die PrüfInformation in ihrer Größe stark redu- ziert werden. Solche Messwerte sind beispielsweise Hash-Werte der PrüfInformation, die die Konfigurationsdaten bzw. ausführbaren Dateien eindeutig kennzeichnen. In einer vorteilhaften Ausführungsform werden zusätzlich Meta-Daten von allen zu überwachenden Daten der Integritätsprüfeinheit bereitgestellt und anhand der Meta-Daten die Vollständigkeit der bereitgestellten Daten überprüft.
Dies führt zu einer hohen Verlässlichkeit und stellt sicher, dass tatsächlich alle zu überwachenden Daten zur Prüfung bereitgestellt wurden. Solche Meta-Daten können beispielsweise in Form einer Manifest-Datei, wie beispielsweise zur Vertei- lung von Java-Klassenbibliotheken und Java-Programmen eingesetzt werden, übermittelt werden.
In einer vorteilhaften Ausführungsform enthalten die Meta- Daten mindestens einen Kennwert für Prüfdaten und mindestens eine kryptographische Prüfsumme des mindestens einen Kennwer¬ tes der Prüfdaten und/oder eine Aktualitätsinformation der Meta-Daten .
Dies wiederum garantiert die Integrität der Meta-Daten und gibt beispielsweise über einen Zeitstempel als Aktualitätsin¬ formation die Erfassungszeit an, zu der die PrüfInformation zusammengestellt und damit auch aktiv war.
In einer vorteilhaften Ausgestaltungsform ist die Referenzin- formation mindestens eine Soll-Dateninformation oder ein mindestens ein Schadstoffsoftware-Muster .
Eine Soll-Dateninformation kann beispielsweise eine Positivliste aller für die erste Einrichtung zugelassenen Dateien, insbesondere aller zugelassenen ausführbaren Dateien sein. Insbesondere bei geschlossenen Netzwerken ist eine Soll- Dateninformation beispielsweise über Zulassungsprotokolle be¬ kannt. Durch eine Überprüfung der in der ersten Einrichtung enthaltene PrüfInformation, insbesondere implementierte Soft- wäre, außerhalb des sicherheitskritischen Netzwerks unter¬ liegt die Referenzinformation nicht der Zulassungspflicht. Die auf der ersten Einrichtung implementierte Software kann somit insbesondere gegenüber nicht zugelassener Referenzin- formation, wie beispielsweise aktuelle Schadsoftware-Muster (patchbare Virenscanner) geprüft werden.
In einer vorteilhaften Ausführungsform wird die Statusmeldung über einen Rückkanal der Einweg-Kommunikationseinheit an eine Integrationsmeldeeinrichtung übertragen .
Dies hat den Vorteil, dass zeitnah Maßnahmen im ersten Netzwerk abhängig vom gemeldeten Status eingeleitet werden kön- nen. So können beispielsweise Warnhinweis an alle anderen
Komponenten des ersten Netzwerkes verteilt werden oder Funktionen deaktiviert werden. Auch kann ein Sicherheitslevel in¬ nerhalb des ersten Netzwerkes entsprechend gesetzt und kommu¬ niziert werden, der wiederum auf die Ausführung bestimmter Funktionalitäten Einfluss hat. Eine Integritätsmeldeeinrichtung kann insbesondere als eine im ersten Netzwerk übliche Komponente sein. Beispielsweise kann die Integritätsmeldeeinrichtung ein Feldgerät, insbesondere ein Sensor, sein, das die empfangene Statusmeldung über ein im herkömmlichen Be- trieb verwendetes Protokoll innerhalb des ersten Netzwerks weiterleiten kann.
In einer vorteilhaften Ausführungsform wird die Statusmeldung von einem Ladeserver im zweiten Netzwerk über eine Lade- Schnittstelle an die mindestens eine erste Einheit übertra¬ gen .
Dies hat den Vorteil, dass die Einführung oder das Einbringen von Daten in das erste Netzwerk über den üblichen Weg des La- deservers verwendet wird und somit keine zusätzliche neue
Schnittstelle, die wiederum überwacht werden müsste, benötigt wird .
In einer vorteilhaften Ausführungsform werden in Abhängigkeit von der Statusmeldung Maßnahmen im ersten und/oder im zweiten Netzwerk eingeleitet. So kann ein Automatisierungssystem auf eine Integrationsverletzung reagieren beispielsweise durch Aktivieren einer eingeschränkten Notbetriebsart oder durch Einnehmen eines Fail- Safe-Betriebszustands . Bei einem Fail-Safe-Betriebszustand wird lediglich eine fehlerhafte Komponente deaktiviert ohne das gesamte System lahmzulegen. Im zweiten Netzwerk können Maßnahmen, wie z.B. eine kurzfristige Bereitstellung neuer Konfigurationsdaten ergriffen werden. In einer vorteilhaften Ausführungsform wird im zweiten Netzwerk überwacht, ob tatsächlich relevante Daten in der Prüfinformation enthalten sind und tatsächlich eine Prüfung durch die Integrationsprüfeinrichtung durchgeführt wurde. Dadurch ist mit hoher Verlässlichkeit gewährleistet, dass die Integrationsüberprüfung tatsächlich erfolgt. Das Vorgaukeln einer Überprüfung oder ein Ausfall der Überprüfung wird somit detektierbar . Wird eine gewünschte Überprüfung als nicht durchgeführt erkannt, so kann daraus ebenfalls auf eine Mani- pulation im ersten Netzwerk geschlossen werden und Maßnahmen eingeleitet werden.
Das erfindungsgemäße IntegritätsprüfSystem zur rückwirkungs¬ freien Integritätsüberwachung mindestens einer ersten Ein- richtung, die in einem ersten Netzwerk mit hoher Sicherheitsanforderung angeordnet ist, umfasst eine Einweg-Kommunika¬ tionseinheit und eine Integritätsprüfeinrichtung, wobei die Einweg-Kommunikationseinheit derart ausgebildet ist, dass die PrüfInformation von der ersten Einrichtung an die Integri- tätsprüfeinrichtung, die in einem zweiten Netzwerk mit geringer Sicherheitsanforderung angeordnet ist, zu übertragen und die Integritätsprüfeinrichtung derart ausgebildet ist, die PrüfInformation gegenüber mindestens einer Referenzinformation zu überprüfen.
Das IntegritätsprüfSystem ist somit außerhalb des sicherheitskritischen ersten Netzwerks angeordnet und muss damit nicht bei der Betriebssicherheitszulassung betrachtet werden, das es rückwirkungsfrei ist. Dadurch kann es flexibel aktua¬ lisiert werden. Das IntegritätsprüfSystem ist insbesondere derart ausgebildet, ein Verfahren gemäß den beschriebenen Merkmalen auszuführen.
Eine erfindungsgemäße Integritätsprüfeinrichtung zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung umfasst eine Empfangseinheit, die derart ausge¬ bildet ist, PrüfInformation zu empfangen und eine Statusin- formation auszugeben. Sie umfasst desweiteren eine Speichereinheit, die derart ausgebildet ist, Referenzinformation zu speichern. Desweiteren umfasst die Integritätsprüfeinrichtung eine Auswerteeinheit, die derart ausgebildet ist, dass die PrüfInformation gegenüber der Referenzinformation zu prüfen.
Eine erfindungsgemäße Integritätsmeldeeinrichtung zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung ist als ein Automatisierungsgerät in einem als Automatisierungssystem ausgebildeten ersten Netzwerk ausge- bildet.
Dies ermöglicht eine einfache Übermittlung einer Statusinformation innerhalb des ersten Netzwerks und somit einer schnel¬ len Verbreitung und Reaktion darauf.
Es wird desweiteren ein Computerprogrammprodukt beansprucht, das direkt in einem programmierbaren Computer ladbar ist und Programmcodeteile umfasst, die dazu geeignet sind die Schrit¬ te des Verfahrens durchzuführen.
Ausführungsbeispiele des erfindungsgemäßen Verfahrens, des IntegritätsprüfSystems bzw. der enthaltenen Einrichtungen sind in den Zeichnungen beispielhaft dargestellt und werden anhand der nachfolgenden Beschreibung näher erläutert. Es zeigen:
Figur 1 ein Ausführungsbeispiel des erfindungsgemäßen Verfahrens in Form eines Ablaufdiagramms ; ein erstes sicherheitsrelevantes Netzwerk, das an ein zweites weniger sicherheitskritisches Netzwerk gekoppelt ist mit einem ersten Ausführungsbeispiel eines erfindungsgemäßen IntegritätsprüfSystems in schematischer Darstellung; ein zweites Ausführungsbeispiel eines erfindungsge¬ mäßen IntegritätsprüfSystems mit abgesetzter Integ¬ ritätsprüfeinrichtung in schematischer Darstellung; und
Figur 4 ein Ausführungsbeispiel einer erfindungsgemäßen Integritätsprüfeinrichtung in Blockdarstellung.
Aneinander entsprechende Teile sind in allen Figuren mit den gleichen Bezugszeichen versehen.
Anhand eines Ablaufdiagramms in Figur 1 wird nun eine Lösung zur rückwirkungsfreien Integritätsüberwachung von Einrichtungen eines ersten sicherheitskritischen Netzwerks, beispielsweise eines Automatisierungssystems beschrieben. Im Ausgangs¬ zustand 10 befindet sich in einem ersten Netzwerk mit hoher Sicherheitsanforderung mindestens eine Einrichtung. Dies kön- nen beispielsweise Feldgeräte oder Komponenten eines Bahnsi¬ cherungsnetzwerks, wie beispielsweise Fahrsignale, Schranken oder auch Weichen, die beispielsweise über einen Steuerungs¬ rechner, der ebenfalls im abgeschlossenen Bahnsicherungsnetz angeordnet ist, sein. Zwischen diese Einrichtungen werden Nachrichten innerhalb des ersten Netzwerks ausgetauscht. Jede Einrichtung umfasst Mikroprozessoren, die mit Software konfiguriert sind um verschiedenste Funktionen auszuführen.
Um die Integrität dieser Komponenten sicherzustellen können einerseits die zwischen den Einrichtungen übermittelten Daten geprüft werden. In der vorliegenden Erfindung wird daneben insbesondere die in den einzelnen Einrichtungen vorliegende Software auf Integrität überprüft. Information zur enthalte- nen Software einer Einrichtung, die zur Integritätsprüfung verwendet wird, ist im Folgenden als PrüfInformation bezeichnet . Zur Integrationsüberwachung stellen diese ersten Einrichtungen im Verfahrensschritt 11 PrüfInformation an eine Integritätsprüfeinrichtung, die in einem zweiten weniger sicherheitsrelevanten Netzwerk, wie beispielsweise einem Büronetz angeordnet ist, bereit. Als PrüfInformation überträgt eine Einrichtung im ersten Netzwerk beispielsweise ihre Konfigura¬ tionsdaten und/oder ihre ausführbaren Dateien und/oder daraus abgeleitete Kennwerte, wie beispielsweise ein Hash-Wert der Konfigurationsdaten bzw. Dateien. Die Übertragung der Daten findet dabei über eine rückwirkungsfreie Einweg-Kommunika- tionseinheit , beispielsweise eine Datendiode statt. Zusätz¬ lich zur den eigentlichen PrüfInformation werden vorzugsweise Meta-Daten bereitgestellt, um die Vollständigkeit bzw. Kor¬ rektheit der Einwegdaten zu gewährleisten. Dazu wird beispielsweise eine Manifest-Datei mit Hash-Werten der zu prü- fenden Daten und einer kryptographischen Prüfsumme übermittelt .
In der Integritätsprüfeinrichtung wird nun im Verfahrensschritt 12 die PrüfInformation gegenüber mindestens einer Re- ferenzinformation überprüft. Eine solche Referenzinformation ist typischerweise eine Soll-Dateninformation, wie beispiels¬ weise eine Positivliste erlaubter ausführbarer Dateien oder ein Konfigurationsstand der installierten Software der Ein¬ richtung. Diese Referenzinformation ist die insbesondere in geschlossenen und/oder Zulassungspflichtigen Netzen bekannt. Die PrüfInformation kann aber auch gegen mindestens einem Schadsoftware-Muster, insbesondere den aktuellsten Virenmustern, als Referenzinformationen geprüft werden. Bei einer Integritätsverletzung wird beispielsweise ein
Alarmsignal durch das Übertragen einer Statusmeldung in das erste Netz übermittelt und dort bereitgestellt, siehe Verfah¬ rensschritt 13. Vorzugsweise wird die Statusmeldung dem ers- ten Netzwerk bzw. Automatisierungssystem über einen Rückka- nal, insbesondere in Form eines elektrischen Schaltsignals oder in Form einer Datenübertragung über eine weitere Einweg- Kommunikationseinheit bereitgestellt. Eine Statusmeldung „OK" zeigt für unbedenklich verifizierte Prüfdaten an. Es kann aber auch eine unkritische Integritätsverletzung als
„uncritical integrity vialation" oder eine kritische Integri¬ tätsverletzung als „critical integrity vialation" gemeldet werden, worauf das erste Netzwerk mit unterschiedlichen Maß- nahmen reagieren kann. So kann beispielsweise eine einge¬ schränkte Notbetriebsart aktiviert werden oder ein Fail-Safe- Betriebszustand eingenommen werden.
Die Verlässlichkeit der Integritätsprüfung kann durch einen sogenannten Liveliness-Check erhöht werden. Dabei wird überwacht, ob tatsächlich PrüfInformation übertragen wird bzw. eine entsprechende Nachricht tatsächlich PrüfInformation ent¬ hält, und ob in der Integritätsprüfeinrichtung tatsächlich eine Überprüfung durchgeführt wurde.
Figur 2 zeigt ein industrielles Automations- und Steuerungs¬ system 103, das in einem ersten sicherheitsrelevanten Netz 101 betrieben wird. Alle Komponenten und Einrichtungen in diesem ersten Netzwerk 101 sowie deren Software-Konfiguration und Anwendungsdateien unterliegen typischerweise einer Zulassungspflicht. Das heißt, die Konfiguration der Einrichtungen oder auch die Software als Überbegriff für alle Steuerungs¬ programme oder Anwendungsprogramme können lediglich über spe¬ zielle Ladeserver, nicht dargestellt, und zu bestimmten Zeit- punkten in das erste Netzwerk 101 eingebracht werden. Das in¬ dustrielle Automatisierungs- und Steuerungssystem 103 umfasst beispielsweise Feldgeräte, Steuerrechner, Diagnoserechner und ähnliche Einrichtungen. Typischerweise ist ein solches erstes Netzwerk 101 sehr sensibel bezüglich seiner Betriebssicher- heit und erfordert echtzeitkritische Datenübertragung zwi¬ schen den Einrichtungen. Das erste Netzwerk 101 ist aus Netzwerksicht ein geschlossenes Netzwerk, das physikalisch von externen Netzen, wie beispielsweise dem zweiten Netzwerk 102 separiert ist.
Eine Ankopplung des ersten Netzes 101 an ein weniger sicher- heitskritisches Netz 102, wie beispielsweise ein Büronetz des Automatisierungsnetzbetreibers oder auch an öffentliche Netze wie das Internet oder an ein spezielles Integritätsüberwa- chungsnetzwerk sind dennoch gewünscht, um beispielsweise Di¬ agnosemeldung auszuwerten oder eben den Softwarezustand der Einrichtungen im ersten Netzwerk durch jeweils aktuellste Virenmuster oder auch andere PrüfInformationen überprüfen zu können .
Die Einweg-Kommunikationseinrichtung 104, bspw. ein Datendio- de oder Datenschleuse, ermöglicht lediglich einen Datenstrom aus dem ersten Netzwerk 101 hinaus. Eine solche Einweg-Kommu¬ nikationseinrichtung 104 stellt dabei sicher, dass keinerlei Signale in der entgegengesetzten Richtung vom zweiten Netzwerk 102 in das erste Netzwerk 101 eingebracht werden können oder auch von der Einweg-Kommunikationseinheit 104 selbst er¬ zeugt und ins erste Netzwerk eingetragen werden.
Eine solche rückwirkungsfreie Übertragung kann beispielsweise durch Lichtwellenleiter oder Netzwerkauskoppler, sogenannte Network-Taps, erfolgen. Die eingezeichnete PrüfInformation
IM, die von einer oder mehreren oder auch allen Einrichtungen des Netzwerks 103 bereitgestellt werden, sind beispielsweise Dateien, Hash-Werte einer Datei oder auch Hash-Werte von mehreren Dateien, die beispielsweise Konfigurationsdaten oder Programmcode enthalten. PrüfInformation IM kann aber auch eine Liste der laufenden Softwareprozesse einer Einrichtung enthalten oder Überwachungsdaten, sogenannte Log-Dateien, umfassen . Eine Integritätsprüfeinrichtung 106 im zweiten Netzwerk 102 führt eine Integritätsüberprüfung der PrüfInformation IM durch. Die Prüfeinrichtung 106 überprüft weiterhin, ob eine erforderliche PrüfInformation IM tatsächlich Daten erhält und führt eine Selbstüberwachung durch. In einer Variante umfasst die PrüfInformation IM eine Aktualitätsinformation, z.B. einen Zeitstempel oder einen Zählerwert, anhand der die Aktua¬ lität der PrüfInformation IM verifiziert wird. Die Integri- tätsprüfeinrichtung 106 prüft also, ob tatsächlich eine Über¬ prüfung von PrüfInformation stattfindet. Dazu kann die Integ- ritätsprüfungseinrichtung 106 einen Watchdog aufweisen, der jeweils bei erfolgreicher Abarbeitung eines Integritätsprüf- Schritts zurückgesetzt wird. Ein solcher Watchdog ist eine Einheit, die Funktion anderer Komponenten überwacht. Wird da¬ bei eine mögliche Fehlfunktion erkannt, so wird entweder dies gemäß Systemvereinbarung signalisiert und eine geeignete Sprunganweisung eingeleitet, die das anstehende Problem be¬ reinigt. Die Integritätsprüfeinrichtung 106 ist bevorzugt mit einer Integritätsdatenbank 107 verbunden, in der Referenzinformation zur Integritätsprüfung, wie beispielsweise Soll- Dateninformation oder Schadsoftwaremuster hinterlegt sind.
Eine Integritätsmeldeeinrichtung 105 ist beispielsweise als virtueller Sensor ausgebildet, da er innerhalb eines Automa¬ tions- und Kontrollsystems 103 wie ein herkömmlicher physika¬ lischer Sensor angesprochen werden kann. Dadurch kann die Statusmeldung einfach, z.B. in dem Steuerungsprogramm einer speicherprogrammierbaren Steuerung abgefragt und benutzt wer- den. Ein solcher virtueller Integritätssensor ist beispielsweise ein integrierter Schaltkreis, der über einen sogenannten GPIO-Kanal an entsprechenden Kontakten angesprochen werden kann. Über diese GPIO-Signale können Statusmeldungen, wie beispielsweise „Integrity Monitoring Running" oder auch „Integrity OK" empfangen werden und als Sensorwerte in das
Automatisierungs- und Kontrollnetzwerk 103 weitergeleitet und dort bereitgestellt werden, z.B. über ein OPC UA-Protokoll oder über ein TCP/IP-Protokoll oder über ein http-Protokoll oder über ein MQTT-, XMPP- oder AMQP-Protokoll . Neben GPIO- Signalen ist z.B. auch eine optische Signalübertragung möglich, beispielsweise über einen Lichtwellenleiter. Die Verbindung zwischen einer Integritätsprüfungseinheit 106 und der Integritätsmeldeeinrichtung 105 ist als einen Rückka- nal ausgebildet, der unabhängig von der Einweg-Kommunika¬ tionseinrichtung 104 ist. Auf diesem Rückkanal werden die Statusmeldungen SM übertragen.
In Figur 3 ist nun ein ähnliches Automatisierungs- und Kont¬ rollnetzwerk 103 in einem ersten sicherheitskritischen Netzwerk 101 dargestellt, aus dem PrüfInformation IM über die Einweg-Kommunikationseinheit 104 in ein zweites weniger sicherheitskritisches Netzwerk getragen wird. In der darge¬ stellten Variante wird die Integritätsüberwachung nicht im direkt angeschlossenen zweiten Netzwerk 103 durchgeführt, sondern von einer Integritätsprüfanwendung 203 in einer
Cloud-Platform 202 durchgeführt. Dazu wird die PrüfInformati¬ on IM von einem Cloud-Dienst oder mit Unterstützung eines Cloud-Dienstes erfolgen. Die PrüfInformation IM wird von einer lokale Integritätsprüfeinheit 202 über eine Cloud-Verbin- dungseinheit 201, die eine sichere Datenverbindung zur Cloud- Platform 202 einrichtet, an die Integritätsprüfanwendung 203 übermittelt. Die Datenverbindung kann beispielsweise durch ein sicheres TLS- oder ein IPsec-Protokoll erfolgen.
Figur 4 zeigt eine Integritätsprüfeinrichtung 106. Diese um- fasst eine Empfangseinheit 120, über die die PrüfInformation IM der Integritätsprüfeinrichtung 106 bereitgestellt wird. Desweiteren umfasst die Integritätsprüfeinrichtung 106 eine Speichereinheit 123, die Referenzinformation, gegen die die PrüfInformation IM überprüft wird, gespeichert sind. Die Ver- bindungseinheit 120 sowie die Referenzdatenbank 123 sind mit einer Auswerteeinheit 122 verbunden, in der die Prüfinforma¬ tion IM gegenüber der Referenzinformation aus der Referenzdatenbank 123 überprüft wird. Eine Statusmeldung kann ebenfalls über die Verbindungseinheit 120 ins erste Netzwerk 101 über- mittelt werden.
Alle beschriebenen und/oder gezeichneten Merkmale können im Rahmen der Erfindung vorteilhaft miteinander kombiniert wer- den. Die Erfindung ist nicht auf die beschriebenen Ausführungsbeispiele beschränkt.

Claims

Patentansprüche
1. Verfahren zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung (103), die in einem ers- ten Netzwerk (101) mit hoher Sicherheitsanforderung angeordnet ist, durch eine Integritätsprüfeinrichtung (106), die in einem zweiten Netzwerk (102) mit geringer Sicherheitsanforderung angeordnet ist, mit den Verfahrensschritten:
- Bereitstellen (11) von PrüfInformation (IM) der zu überwa- chenden Daten der ersten Einrichtung (103) an eine Integritätsprüfeinrichtung (106) mittels einer rückwirkungsfreien Einweg-Kommunikationseinheit (104) ,
- Überprüfen (12) der PrüfInformation (IM) im zweiten Netzwerk (102) gegenüber mindestens einer Referenzinformation, und
- Übertragen (13) einer Statusmeldung (SM) an eine Integritätsmeldeeinrichtung (105) in das erste Netzwerk (101).
2. Verfahren nach Anspruch 1, wobei Konfigurationsdaten und/oder ausführbare Dateien und/oder daraus abgeleitete
Kennwerte als PrüfInformation (IM) bereitgestellt werden.
3. Verfahren nach einem der vorangehenden Ansprüche, wobei zusätzlich Metadaten von allen zu überwachenden Daten der In- tegritätsprüfeinheit (106) bereitgestellt werden und anhand der Metadaten die Vollständigkeit der bereitgestellten Daten überprüft wird.
4. Verfahren nach Anspruch 3, wobei die Metadaten mindestens einen Kennwert der Prüfdaten und mindestens eine kryptogra- phische Prüfsumme des mindestens einen Kennwerts der Prüfda¬ ten enthalten und/oder eine Aktualitätsinformation der Metadaten .
5. Verfahren nach einem der vorangehenden Ansprüche, wobei die Referenzinformation mindestens eine Soll-Dateninformation oder mindestens ein Schadsoftware-Muster ist.
6. Verfahren nach einem der vorangehenden Ansprüche, wobei die Statusmeldung (SM) über einen Rückkanal der Einweg- Kommunikationseinheit (104) an eine Integrationsmeldeeinrichtung (105) übertragen wird.
7. Verfahren nach einem der Ansprüche 1 bis 5, wobei die Statusmeldung (SM) von einem Ladeserver im zweiten Netzwerk (102) über eine Lade-Schnittstelle an die mindestens eine erste Einrichtung übertragen wird.
8. Verfahren nach Anspruch 7, wobei in Abhängigkeit von der Statusmeldung (SM) Maßnahmen im ersten (102) und/oder im zweiten Netzwerk (102) eingeleitet werden.
9. Verfahren nach einem der vorangehenden Ansprüche, wobei im zweiten Netzwerk (102) überwacht wird, ob tatsächlich relevante Daten in der PrüfInformation (IM) enthalten sind und tatsächlich eine Prüfung durch die Integritätsprüfeinrichtung (106) durchgeführt wurde.
10. IntegritätsprüfSystem zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung (103), die in einem ersten Netzwerk (101) mit hoher Sicherheitsanforderung angeordnet ist, umfassend eine Einweg-Kommunikationseinheit (104) und eine Integritätsprüfeinrichtung (106), wobei
- die Einweg-Kommunikationseinheit (104) derart ausgebildet ist PrüfInformation (IM) von der ersten Einrichtung (103) an die Integritätsprüfeinrichtung (106), die in einem zweiten Netzwerk (102) mit geringer Sicherheitsanforderung angeordnet ist, zu übertragen, und
- die Integritätsprüfeinrichtung (106) derart ausgebildet ist die PrüfInformation (IM) gegenüber mindestens einer Referenzinformation zu überprüfen.
11. IntegritätsprüfSystem nach Anspruch 10 mit einer Integritätsmeldeeinrichtung (105), die im ersten Netzwerk (101) angeordnet ist und derart ausgebildet ist eine Statusmeldung (SM) von der Integritätsprüfeinrichtung (105) zu empfangen.
12. IntegritätsprüfSystem nach Anspruch 10 oder 11 das derart ausgebildet ist ein Verfahren gemäß einem der Ansprüche 1 bis 9 auszuführen.
13. Integritätsprüfeinrichtung (106) zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung (103), umfassend eine Empfangseinheit (120), die derart aus¬ gebildet ist PrüfInformation (IM) zu empfangen und eine Sta- tusinformation auszugeben, eine Speichereinheit (121), die derart ausgebildet ist Referenzinformation zu speichern und eine Auswerteeinheit (122), die derart ausgebildet ist, die PrüfInformation (IM) gegenüber der Referenzinformation zu überprüfen .
14. Integritätsmeldeeinrichtung (105) zur rückwirkungsfreien Integritätsüberwachung mindestens einer ersten Einrichtung (103) gemäß mindestens einem der Ansprüche 1 bis 9, wobei die Integritätsmeldeeinrichtung (105) als ein Automatisierungsge- rät in einem als Automatisierungssystem ausgebildeten ersten Netzwerk (101) ausgebildet ist.
15. Computerprogrammprodukt, das direkt in einen programmier¬ baren Computer ladbar ist, umfassend Programmcodeteile, die dazu geeignet sind, die Schritte des Verfahrens nach einem der Ansprüche 1 bis 9 durchzuführen.
PCT/EP2017/059861 2016-05-02 2017-04-26 Verfahren und integritätsprüfsystem zur rückwirkungsfreien integritätsüberwachung WO2017190997A1 (de)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US16/097,845 US20190149557A1 (en) 2016-05-02 2017-04-26 Method and integrity checking system for decoupled integrity monitoring
EP17720756.0A EP3437297A1 (de) 2016-05-02 2017-04-26 Verfahren und integritätsprüfsystem zur rückwirkungsfreien integritätsüberwachung
CN201780041069.0A CN109328453A (zh) 2016-05-02 2017-04-26 用于无反作用的完整性监控的方法和完整性检查***

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102016207546.2A DE102016207546A1 (de) 2016-05-02 2016-05-02 Verfahren und Integritätsprüfsystem zur rückwirkungsfreien Integritätsüberwachung
DE102016207546.2 2016-05-02

Publications (1)

Publication Number Publication Date
WO2017190997A1 true WO2017190997A1 (de) 2017-11-09

Family

ID=58664684

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2017/059861 WO2017190997A1 (de) 2016-05-02 2017-04-26 Verfahren und integritätsprüfsystem zur rückwirkungsfreien integritätsüberwachung

Country Status (5)

Country Link
US (1) US20190149557A1 (de)
EP (1) EP3437297A1 (de)
CN (1) CN109328453A (de)
DE (1) DE102016207546A1 (de)
WO (1) WO2017190997A1 (de)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11063957B2 (en) 2015-08-06 2021-07-13 Siemens Aktiengesellschaft Method and arrangement for decoupled transmission of data between networks

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3713188B1 (de) * 2019-03-19 2024-06-19 Siemens Mobility GmbH Verfahren und übertragungsvorrichtung zur datenübertragung zwischen zwei netzwerken
FR3100626B1 (fr) 2019-09-05 2022-12-23 Terega Systeme de transfert unidirectionnel de donnees et procede correspondant
US11768878B2 (en) * 2019-09-20 2023-09-26 Fisher-Rosemount Systems, Inc. Search results display in a process control system
US11768877B2 (en) * 2019-09-20 2023-09-26 Fisher-Rosemount Systems, Inc. Smart search capabilities in a process control system
CN114172761B (zh) * 2021-11-15 2023-06-20 中国航空工业集团公司沈阳飞机设计研究所 一种分布式1394总线网络***完整性检查方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090002150A1 (en) * 2007-06-29 2009-01-01 Gita Technologies, Ltd. Protection of control networks using a one-way link
US20120331097A1 (en) 2007-07-19 2012-12-27 Owl Computing Technologies, Inc. Bilateral communication using multiple one-way data links
US20140068712A1 (en) * 2012-09-06 2014-03-06 Waterfall Security Solutions Ltd. Remote control of secure installations
EP2801937A1 (de) * 2013-05-09 2014-11-12 Rockwell Automation Technologies, Inc. Bescheinigung von Industrievorrichtung und -system in einer Cloud-Plattform
DE102013226171A1 (de) 2013-12-17 2015-07-02 Siemens Aktiengesellschaft Vorrichtung und Verfahren zur Übertragung von Daten

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1187415A1 (de) * 2000-09-05 2002-03-13 Siemens Aktiengesellschaft Verfahren zur Identifikation von Internet-Nutzern
DE102006036111B3 (de) * 2006-08-02 2008-01-31 Siemens Ag Verfahren und Prüfsystem zum sicheren Übertragen einer Nachricht von einer ersten Zone in eine zweite Zone
CN101127680A (zh) * 2007-07-20 2008-02-20 胡德勇 Usb光纤单向物理隔离网闸
CN101764768A (zh) * 2010-01-19 2010-06-30 北京锐安科技有限公司 一种数据安全传输***
DE102010011022A1 (de) * 2010-03-11 2012-02-16 Siemens Aktiengesellschaft Verfahren zur sicheren unidirektionalen Übertragung von Signalen
CN101986638A (zh) * 2010-09-16 2011-03-16 珠海市鸿瑞软件技术有限公司 千兆单向型网络隔离装置
DE102013216847B4 (de) * 2013-08-23 2023-06-01 Siemens Mobility GmbH Verfahren, Vorrichtung und System zur Überwachung einer Sicherheits-Netzübergangseinheit
DE102014204417A1 (de) * 2014-03-11 2015-09-17 Siemens Aktiengesellschaft Vorrichtung und Verfahren zum Detektieren einer Manipulation an einem Programmcode
CN104113395B (zh) * 2014-08-04 2017-05-17 北京水木云科信息技术有限公司 一种无线恶劣网络环境下物联网数据安全传输的方法
DE102014226398A1 (de) * 2014-12-18 2016-06-23 Siemens Aktiengesellschaft Verfahren und Vorrichtung zum rückwirkungsfreien Erfassen von Daten

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090002150A1 (en) * 2007-06-29 2009-01-01 Gita Technologies, Ltd. Protection of control networks using a one-way link
US20120331097A1 (en) 2007-07-19 2012-12-27 Owl Computing Technologies, Inc. Bilateral communication using multiple one-way data links
US20140068712A1 (en) * 2012-09-06 2014-03-06 Waterfall Security Solutions Ltd. Remote control of secure installations
EP2801937A1 (de) * 2013-05-09 2014-11-12 Rockwell Automation Technologies, Inc. Bescheinigung von Industrievorrichtung und -system in einer Cloud-Plattform
DE102013226171A1 (de) 2013-12-17 2015-07-02 Siemens Aktiengesellschaft Vorrichtung und Verfahren zur Übertragung von Daten

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11063957B2 (en) 2015-08-06 2021-07-13 Siemens Aktiengesellschaft Method and arrangement for decoupled transmission of data between networks
EP3295645B1 (de) * 2015-08-06 2022-06-08 Siemens Mobility GmbH Verfahren und anordnung zur rückwirkungsfreien übertragung von daten zwischen netzwerken

Also Published As

Publication number Publication date
EP3437297A1 (de) 2019-02-06
DE102016207546A1 (de) 2017-11-02
CN109328453A (zh) 2019-02-12
US20190149557A1 (en) 2019-05-16

Similar Documents

Publication Publication Date Title
EP3437297A1 (de) Verfahren und integritätsprüfsystem zur rückwirkungsfreien integritätsüberwachung
EP3278529B1 (de) Angriffserkennungsverfahren, angriffserkennungsvorrichtung und bussystem für ein kraftfahrzeug
EP2981926B1 (de) Datenspeichervorrichtung zum geschützten datenaustausch zwischen verschiedenen sicherheitszonen
EP3425865A1 (de) Verfahren und vorrichtung zur rückwirkungsfreien unidirektionalen übertragung von daten an einen abgesetzten anwendungsserver
EP3295645B1 (de) Verfahren und anordnung zur rückwirkungsfreien übertragung von daten zwischen netzwerken
EP3726408A1 (de) Industrielles automatisierungsgerät umfassend eine überwachungseinheit zur überprüfung und überwachung eines integritätszustandes des industriellen automatisierungsgerätes
EP3695337B1 (de) Verfahren und bestätigungsvorrichtung zur integritätsbestätigung eines systems
WO2017167490A1 (de) Reduzieren einer angriffsmöglichkeit auf eine schwachstelle eines gerätes über eine netzwerkzugangsstelle
EP3028409A1 (de) Filtern eines datenpaketes durch eine netzwerkfiltereinrichtung
EP3665603B1 (de) Verfahren und vorrichtung zum unmittelbaren und rückwirkungsfreien übertragen von log-nachrichten
WO2015062812A1 (de) Sicherheitsrelevantes system mit supervisor
EP2987301A1 (de) Überwachung der funktionalität einer netzwerkfiltereinrichtung
EP3469778A1 (de) Speichervorrichtung, datenübertragungsvorrichtung und verfahren zum übertragen von daten
DE102018216959B4 (de) Verfahren zur Absicherung eines Datenpakets durch eine Vermittlungsstelle in einem Netzwerk, Vermittlungsstelle und Kraftfahrzeug
WO2021078538A1 (de) Sicherungssystem und verfahren zur filterung eines datenverkehrs
EP1473614A2 (de) Computersystem für ein Fahrzeug und Verfahren zum Kontrollieren des Datenverkehrs in einem solchen Computersystem
EP3025476A1 (de) Anpassen von zugriffsregeln für einen datenaustausch zwischen einem ersten netzwerk und einem zweiten netzwerk
AT507122B1 (de) Verfahren zum betrieb einer transaktionsbasierten ablaufsteuerung
WO2022069641A1 (de) Ermitteln eines sicherheitszustands
WO2024088790A1 (de) Verfahren und system zur umgebungs-abhängigen sicherheitsbezogenen anomalieerkennung für eine containerinstanz
DE102021108151A1 (de) System mit einem isolierten kommunikationskanal zum ausführen eines programmcodes
DE102021205483A1 (de) Verfahren zur Prüfung einer Konfiguration mindestens einer Komponente einer Automatisierungsanlage und Automatisierungsanlage
WO2022248230A1 (de) Verfahren zur prüfung einer konfiguration mindestens einer komponente einer automatisierungsanlage und automatisierungsanlage
EP3846412A1 (de) Verfahren zum weiterleiten von datenpaketen
DE102019201133A1 (de) Kraftfahrzeug

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 2017720756

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2017720756

Country of ref document: EP

Effective date: 20181030

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17720756

Country of ref document: EP

Kind code of ref document: A1