www.eurailpress.de/archiv/cyber+sicherheit IT-SICHERHEIT | IT SECURITY Homepageveröffentlichung unbefristet genehmigt für Siemens AG / Rechte für einzelne Downloads und Ausdrucke für Besucher der Seiten genehmigt von DVV Media Group, 2018. Überwachung sicherheitskritischer Bahnnetzwerke mittels eines Einweg-Gateways Monitoring safety-critical railway networks using unidirectional gateways Ricarda Weber | Martin Wimmer ie war es so einfach wie in diesen Zeiten von Digitalisierung hanks to modern digitisation and connectivity, it has Nund Vernetzung, Daten über den Zustand von Automatisie- T never been easier to collect and analyse data relating to rungs- oder Produktionsanlagen zu sammeln, zu analysieren the state of production or automation equipment, for exam- und dadurch etwa Ausfallzeiten solcher kritischer Infrastruk- ple in order to reduce the downtime of critical infrastructure. turen zu verringern. Um Digitalisierung und Konnektivität re- Digitisation and connectivity mean that infrastructures are alisieren zu können, müssen kritische Infrastrukturen mit dem connected to the internet and / or cloud computing platforms. Internet oder Cloud-Plattformen verbunden sein. Durch diese However, opening up and interlinking networks comes with a Öffnung und Anbindung der Netze nimmt die Bedrohung durch dramatic increase in the risk of attacks on infrastructure sys- Angriffe auf Infrastrukturen jedoch dramatisch zu. Wie also kön- tems. How can operational data be made available for diag- nen Betriebsdaten zu Diagnosezwecken genutzt werden, ohne nostic purposes without compromising the safety of rail op- die Sicherheit des Bahnbetriebs zu kompromittieren? erations in the process? 1 Data Capture Unit (DCU) von Siemens 1 Data Capture Unit (DCU) from Siemens Eine Antwort darauf bietet die Data Capture Unit (DCU, Bild 1). Sie Siemens has provided the answer to this question: the Data Cap- ist eine vom Eisenbahn-Bundesamt (EBA) zugelassene Einrich- ture Unit (DCU, fig. 1), a device which has been approved for tung zur Aufzeich- recording data traffic independently of any specific protocols by nung des Datenver- the German Federal Railway Authority. The DCU was first in- kehrs unabhängig troduced in “The Use of Smart Data Services in Signal Boxes” von speziellen Pro- (S+D 4/2018). This article describes an application where the tokollen. In „Einsatz DCU is used for secure and passive data exports. The DCU ena- von Smart Data Ser- bles unidirectional data connections between critical and open vices in Stellwerken“ networks for remote diagnostics and cloud-based data analyt- (S+D 4/2018) wur- ics. This article explains in detail how the DCU ensures a secure de die DCU bereits connection to the critical networks. kurz vorgestellt. Sie diente dort zum si- 2 Unidirectional communication enables the digitisation of cheren und rück- railway networks wirkungsfreien Da- tenexport. Die DCU Data transfers which are free of interference and strictly unidi- ermöglicht es, kri- rectional make many digitisation applications possible for rail au- tische Netzwerke tomation and do so without compromising safety and security. über eine „Datenein- Data collection and analysis using powerful cloud infrastructures bahnstraße“ etwa an is certainly one of the key applications in this regard and it may Dia gnosenetzwerke even prove to be the most important one. A unidirectional net- und Cloud-Analyse- work connection, as provided by the DCU, allows the continuous Plattformen nach- monitoring of previously isolated networks. This helps operators weisbar rückwir- to keep an eye on the availability of the critical systems and to in- kungsfrei anzubin- tervene quickly on site and with the right equipment in the case of den. Wie dies im De- an emergency. Finally, this approach also promotes the satisfaction tail funktioniert und of the end customer, who benefits from stable operations in the welche physikali- rail network. Network monitoring can also be expanded with addi- schen Eigenschaf- tional functions and complemented with IT security services such Bild 1: Data Capture Unit (DCU) ten die DCU mit sich as intrusion detection systems. The increased functionality goes Fig 1: The Data Capture Unit (DCU) bringt, zeigt dieser beyond pure availability checks and includes detection options for Quelle / Source: Siemens AG Beitrag auf. unauthorised actions, including attempted attacks. SIGNALLING + DATACOMMUNICATION (110) 9 / 2018 21 IT-SICHERHEIT | IT SECURITY Homepageveröffentlichung unbefristet genehmigt für Siemens AG / Rechte für einzelne Downloads und Ausdrucke für Besucher der Seiten genehmigt von DVV Media Group, 2018. 2 Unidirektionale Kommunikation ermöglicht The combination of unidirectional transmission paths and in- die Digitalisierung von Bahnnetzen termediary control systems gives rise to so-called network guard systems which allow secure data imports, i.e. controlled Der rückwirkungsfreie und strikt unidirektionale Datentransfer er- and verified transmissions from the outside into the protected möglicht viele Digitalisierungsanwendungsfälle für die Bahnauto- networks, including tightly monitored firmware updates. Such matisierung. Datensammlung und -analyse mittels leistungsfähi- measures ensure that the overall IT security level of previously ger Cloud-Infrastrukturen ist sicherlich ein, wenn nicht der promi- isolated networks can be uphold. nenteste Vertreter hierfür. Generell unterstützt die unidirektiona- le Netzanbindung, wie sie die DCU bietet, bereits die kontinuier- 3 Air gaps, firewalls and data diodes liche Überwachung bislang isoliert betriebener Netzwerkzellen. Dies trägt dazu bei, die Verfügbarkeit kritischer Anlagen immer im The DCU is interference-free data handling and transmission. Blick zu behalten und im Notfall schnell und mit der richtigen Aus- Before describing the operation of the DCU in more detail, rüstung vor Ort zu reagieren. Das fördert nicht zuletzt auch die however, we will take a brief look at the alternatives in the form Zufriedenheit der Endkunden, die von einem stabilen Betrieb der of “air gaps”, firewalls and unidirectional data paths (so-called Bahnnetze profitieren. Die Netzwerküberwachung kann zudem “data diodes”). weiter ausgebaut und durch IT-Sicherheitsdienste wie Angriffs- An “air gap” means that the security-relevant network has no erkennungsssyteme ergänzt werden. Damit können nicht nur die physical link to any open networks. However, this isolation reine Verfügbarkeit überprüft, sondern auch unbefugte Aktionen means that the available data volume cannot be exploited to its bis hin zu Angriffen erkannt werden. full potential. The physical separation does not allow the trans- Kombiniert man unidirektionale Transferstrecken mit dazwi- mission of any live data. Instead, diagnostic data is collected lo- schengeschalteten Kontrollsystemen, lassen sich sogenannte cally and then exported, for instance using a diagnostics laptop Network-Guard-Systeme aufsetzen. Hierüber kann ein Datenim- or by transporting the data on hard drives. However, physical port, d. h. ein kontrollierter und verifizierter Transfer von außen separation often gives a false sense of security. There is always in isolierten Netze hinein, sicher erfolgen. Auf diesem Weg sind the risk of infection by malware, for example via a maintenance somit auch Firmwareupdates kontrolliert möglich. Das IT-Sicher- computer which can be connected locally. heitsniveau bislang isolierter Netze kann dadurch auch weiterhin Firewalls are a first line of defence for any modern network ar- aufrecht erhalten werden. chitecture. They allow the controlled export of diagnostic data, but a firewall does not provide sufficient protection on its own. 3 Air Gaps, Firewalls und Datendioden Why? A firewall is only as effective and secure as the rules which have been configured for it. And these rules can quickly become Die DCU sichert den rückwirkungsfreien Datenabgriff und -trans- very complex, making them prone to errors and requiring in- port zu. Bevor auf die Funktionsweise der DCU näher eingegan- tensive maintenance. In addition, firewalls often have their own gen wird, sollen Alternativen in Form von „Air Gaps“, Firewalls und security vulnerabilities, as demonstrated by the “Heartbleed” se- Dateneinbahnstraßen (sogenannte „Datendioden“) kurz beleuch- curity bug (see Common Vulnerabilities and Exposures CVE- tet werden. 2014-0160*). Last but not least, the use of Transport Layer Secu- Im Falle eines „Air Gap“ ist das sicherheitsrelevante Netzwerk phy- rity (TLS, a cryptographic protocol) has eliminated the protocol sikalisch nicht mit offenen Netzwerken verbunden. Folglich kann gap between operating networks and open IT networks, opening das Potenzial der vorhandenen Datenfülle auch nicht völlig aus- a door for attacks because firewalls cannot evaluate and filter the geschöpft werden. Die physikalische Trennung ermöglicht keine actual communication content when TLS-encrypted communi- Übertragung von Live-Daten. Diagnosedaten werden stattdessen cation is used. Such deployment scenarios therefore require an lokal aufgezeichnet und nachträglich exportiert, etwa von einem additional layer of defence. Diagnose-Laptop oder durch Transport von Festplatten. Eine phy- Data diodes provide an option for enhancing this first line of sikalische Trennung vermittelt oft auch ein falsches Sicherheits- defence: they block external attackers from reaching the safe- gefühl; so besteht immer das Risiko einer Infektion mit Malware, ty-critical network from the outside, while providing data