Community-Projekt: Top 20 Secure PLC Coding Practices
Sichere Programmierprinzipien
Programmierprinzipien für mehr Sicherheit sind in der IT sehr gängig, für das Programmieren von SPSen gab es so etwas aber bislang nicht. Im Rahmen eines Community-Projekts wurden jetzt erstmals Secure Coding Practices für Industriesteuerungen veröffentlicht. Sie zielen insbesondere auf die Absicherung von kritischen Infrastrukturen wie Strom- und Wasserversorger oder Nahrungsmittelproduzenten ab.
Bild: ©getti/stock.adobe.com

SPSen gehören zu den verwundbarsten Komponenten in automatisierten Anlagen gehören. Es gibt zahlreiche Berichte über Schwachstellen und inhärent unsichere Features in Steuerungen, die nicht zuletzt für die bekannten Security-Vorfälle Stuxnet oder Triton/Trisis ausgenutzt wurden. Dem gegenüber steht jedoch wenig Konkretes, um SPSen sicherer zu machen.

Abhilfe schaffen sollen hier die ‚Top 20 Secure PLC Coding Practices‘. Sie sind das Ergebnis eines internationalen Community-Projekts, für das alle Mitarbeitenden ehrenamtlich tätig waren. Nach über einem Jahr Arbeit steht das Projektergebnis nun zum kostenfreien Download zur Verfügung (siehe QR-Code). Es enthält eine zweiseitige Zusammenfassung aller 20 Programmierpraktiken sowie weitergehende Informationen auf bis zu vier Seiten je Practice mit Anleitung, Hintergrundinformationen, Security-Nutzen, Implementierungsbeispielen und Referenzen auf verwandte Standards oder Frameworks.

Freie Verbreitung im Sinne der Sicherheit

Das Dokument ist frei verfügbar und mit einer Lizenz ausgestattet, die jegliche Weiterverwendung, Kopie und Nutzung für kommerzielle und nicht-kommerzielle Zwecke erlaubt. Der Wunsch der Projektinitiatoren und des Projektteams ist es, das Wissen über sie sichere Programmierung von SPSen stärker zu verbreiten und fest im Knowhow von SPS-Programmierern, -Herstellern und -Anwendern zu verankern. Die Secure Coding Practices könnten in Informationssicherheits-Managementsystemen, Leitlinien für die sichere Systementwicklung sowie in Anforderungen für Lieferanten genutzt werden. Das Dokument darf und soll daher genutzt und kommentiert werden. Es wird ein Kommentarformular auf der Projektwebsite zur Verfügung stehen. Vor allem das Feedback von Anwendern und Herstellern von SPSen ist ausdrücklich erwünscht. Die Practices sollen regelmäßig aktualisiert werden.

Initiiert wurde das Community-Projekt nach einem Konferenzbeitrag von Jake Brodsky zur ICS-Security-Konferenz S4 im Januar 2020 durch den Konferenzleiter Dale Peterson. Die Leitung des Projekts übernahmen Sarah Fluchs, CTO des auf industrielle IT-Security spezialisierten deutschen Beratungsunternehmens Admeritia, und Vivek Ponnada, tätig für General Electric Canada. Die Resonanz auf das Community-Projekt war von Anfang an groß: Auf der eigens für das Projekt erstellten öffentlichen Plattform (top20.isa.org) registrierten sich knapp 1.000 Nutzer, reichten Secure Coding Practices ein, kommentierten die Einreichungen und wählten die Top20-Programmierpraktiken aus. Auch von deutschen Integratoren, Betreibern und Verbänden aus dem Kontext der Automatisierungstechnik waren Mitglieder an der Erstellung beteiligt.

Das könnte Sie auch Interessieren

Weitere Beiträge

Bild: Stump-Franki Spezialtiefbau GmbH
Bild: Stump-Franki Spezialtiefbau GmbH
Im freien Fall

Im freien Fall

Schwere Maschinen im Spezialtiefbau benötigen präzise und zuverlässige Komponenten, um die jeweiligen Funktionen prozesssicher ausführen zu können. Bei den Rammgeräten der Firma Stump-Franki Spezialtiefbau gehören die absoluten Drehgeber WV58MR von Siko zum Sicherheitskonzept dazu. Sie sind an drei Seilwinden angebracht, um die Positionen der jeweilig daran befestigten Elemente zu detektieren.

mehr lesen
Bild: Posital-Fraba GmbH
Bild: Posital-Fraba GmbH
Safety First

Safety First

In sicherheitskritischen Motion-Control-Einsätzen sind aufwendig und teuer zertifizierte SIL Safety Encoder schon länger eine feste Größe. Eine Alternative sind divers-redundant ausgelegte Drehgeber aus Standard-Komponenten. Auch sie ermöglichen im Rahmen der vorgegebenen Normen ein hohes Sicherheitsniveau – und sollen gleichzeitig flexibel und preisgünstiger sein.

mehr lesen
Bild: Bosch Rexroth
Bild: Bosch Rexroth
Steuerungstechnik, 
IT und IoT sicher verbinden

Steuerungstechnik, IT und IoT sicher verbinden

Die Vernetzung in der Industrie und das damit verbundene Industrial Internet of Things (IIoT) definieren die Anforderungen an die Sicherheit neu – und damit auch an die eingesetzten Automatisierungslösungen. Da bei bestehenden Produkten Security-Features oft einzeln und teils nachträglich integriert werden müssen, damit sie in der vernetzten Welt standhalten, ist ein durchgängiges Sicherheitskonzept meist nicht möglich. Mit der Automatisierungsplattform ctrlX Automation hat Bosch Rexroth eine ganzheitliche Security-Lösung entwickelt.

mehr lesen

Anzeige

Anzeige

Anzeige