IPC-Security durch Virtualisierung Cyber-Sicherheit für die Automatisierung

Panel-IPCs benötigen heutzutage Schutzfunktionen für IT- und Netzwerksicherheit.
Panel-IPCs benötigen heutzutage Schutzfunktionen für IT- und Netzwerksicherheit.

Steuerungs- und Bediensysteme in der industriellen Automation haben heutzutage nur wenige Schutzfunktionen für IT- und Netzwerksicherheit. Die wachsende Leistungsfähigkeit von Prozessoren und vor allem mögliche Kosteneinsparungen sprechen dafür, dem Problem mit Virtualisierung zu Leibe zu rücken.

Die Vernetzung von Maschinen und Anlagen eröffnet neue Chancen für die IT-Integration von Prozessen und den Teleservice über Fernverbindungen, bringt aber auch neue Risiken für die Cyber-Sicherheit. Lösungen mit dedizierten Sicherheitsgeräten ermöglichen zwar eine physische Trennung von Nutz- und Schutzfunktionen, die einander nicht beeinflussen und von entsprechenden Spezialisten unabhängig entwickelt werden können. Ihr Einsatz scheitert aber häufig an Kostenrestriktionen, weil zusätzliche Hardware nötig ist.

Gleichzeitig verbessert sich getreu dem Mooreschen Gesetz das Preis-Leistungs-Verhältnis von Prozessoren und Speichern permanent. Dies bewirkt eine Verlagerung von Hardware-Komponenten zu Software-Funktionen auf einer gemeinsamen Plattform, begrenzt durch die nötige Modularisierung, ohne die sich technische Risiken nicht beherrschen und Subsysteme verschiedener Zulieferer nicht integrieren lassen. Virtualisierung ist der Schlüssel, um die Kostenvorteile weiterer Hardware-Konsolidierung bei gleichzeitiger Modularisierung nutzen zu können. Dies führt uns zum Konzept virtueller Security Appliances für die Automatisierung.

Virtualisierung in IT und Automatisierung

Die Virtualisierung von Client- und Server-Systemen ist in der Unternehmens-IT Stand der Technik. Typischerweise werden die virtuellen Systeme im Netzwerk auf einer Server-Farm betrieben. Eine als »Hypervisor« oder »Virtual Machine Manager« bezeichnete Software sorgt dabei für die Bereitstellung und den koordinierten Betrieb virtueller Maschinen auf einer gemeinsamen Hardware.

Zwei Typen von Hypervisoren und zwei Ansätze zur Virtualisierung werden gewöhnlich unterschieden:
• Typ-1-Hypervisoren laufen direkt auf der Hardware und koordinieren nur die vorhandenen Hardware-Ressourcen.
• Typ-2-Hypervisoren laufen als Applikation in einem Wirtssystem. Die zusätzliche Betriebssystemschicht verringert die erzielbare Performance.

Beim Ansatz der Hardware-Virtualisierung wird jedem originalen Gastsystem ein vollständig eigener (simulierter) Computer vorgegaukelt.
• Das unveränderte Gastsystem läuft mit seiner eigenen Zeitscheibenverwaltung ohne Kenntnis der virtualisierten Umgebung, was eine Echtzeitfähigkeit normalerweise verhindert.
• Das Gastsystem kann je nach Plattform und Implementierung (zum Teil) direkt auf unterliegende Hardware-Komponenten zugreifen. Andere Komponenten müssen komplett simuliert werden, was einen komplexen Hypervisor erfordert oder eine Hardware-Plattform, die Virtualisierung unterstützt.
• Die Performance des Gastsystems kann gleichwertig zu einem allein laufenden System sein, solange keine E/A-Operationen über simulierte Komponenten ausgeführt werden.

Beim Ansatz der Para-Virtualisierung müssen dagegen die Gastsysteme für ein erfolgreiches Zusammenspiel mit dem jeweiligen Hypervisor modifiziert werden.
• Zeitscheiben- und Speicherverwaltung lassen sich dadurch enger verflechten, was auch Echtzeitverhalten ermöglicht.
• Die interne Kommunikation zwischen Gastsystemen oder Gastsystem und Hypervisor läuft über effiziente, spezialisierte Schnittstellen.

In der Automatisierungs- und Steuerungstechnik liegen die Anforderungen jedoch anders als in der IT. Die hier eingesetzten Systeme arbeiten auf dedizierter Hardware ohne oder mit wenig Operatoreingriff. Steuerungskomponenten müssen normalerweise echtzeitfähig sein, während Mensch-Maschine-Schnittstellen meist Applikationen auf einem Windows-Betriebssystem sind. In dieser Umgebung besonders nützlich ist eingebettete Virtualisierung, die mit einem hybriden Ansatz native Windows-Installationen mit weiteren nicht-modifizierten Gastsystemen auf einer strikt partitionierten, Virtualisierung unterstützenden Multicore-PC-Plattform kombiniert.