Step 7 Kritische Schwachstelle in Siemens SIMATIC S7-1200 und S7-1500 CPU Familien

[MD_B.Sc.]

Zuviel Werbung?
-> Hier kostenlos registrieren

Hallo zusammen,

wahrscheinlich kennt der eine oder andere schon die Warnung von Siemens S7-1500 vom Bundesamt für Sicherheit. Leider konnte ich nicht genau feststellen ob die Warnung auch für die Sicherheitssteuerung "S7-1516F - 3 PN/DP" gilt. Dabei ist die Frage, gilt es generell für alles SPS´en oder ist die F-SPS da ausgeschlossen?


Danke.

 

[Blockmove]

Ich weiß nicht genau welche Meldung des BSI du gerade meinst, aber in den allermeisten Fällen sind die F-Steuerungen da genauso betroffen.
Im Bereich Netzwerk gibt es nicht so viele Unterschiede zwischen Normal und F.

 

[DeltaMikeAir]

Zuviel Werbung?
-> Hier kostenlos registrieren

Es sind alle 1500ér CPU´s mit FW <2.9.2 und alle 1200ér CPU´s mit FW <4.5.0 betroffen ( außerdem noch weitere Produkte, siehe PDF im #4. ).

 

[DeltaMikeAir]

Ich weiß nicht genau welche Meldung des BSI du gerade meinst

https://cert-portal.siemens.com/productcert/pdf/ssa-568427.pdf

Siemens SIMATIC S7: IT-Sicherheitslücke mit hohem Risiko! Schwachstelle ermöglicht Offenlegung von Informationen

 

[MD_B.Sc.]

Hello DeltaMikeAir,

erstmal danke für die Antwort. Sowie ich es aus dem Link verstanden habe, sollte man
die betroffenen Produkte als auch das entsprechende TIA Portal Projekt auf die neuesten Versionen zu aktualisieren. Bei mir ist allerdings der Fall, dass der Kunde TIA V15.1 verwendet. Daher kommt die frage, gibt es den auch die Einstellung auf Tia V15.1 ?

 

[DeltaMikeAir]

Zuviel Werbung?
-> Hier kostenlos registrieren

Was ist denn dein Problem? Hängt deine Anlage im Internet? Oder ist es ein geschlossenes Netzwerk?

 

[DeltaMikeAir]

Bei mir ist allerdings der Fall, dass der Kunde TIA V15.1 verwendet. Daher kommt die frage, gibt es den auch die Einstellung auf Tia V15.1 ?

TLS gibt es erst ab V17:
PUT/GET bei aktivierter Secure PC/PG Kommunikation

 

[Plan_B]

Nur weil ein Netz keine direkte Verbindung zum Inet hat, sollte man sich nicht in Sicherheit wiegen.
Ein potentieller Angriffsvektor kann auch über einen kompromittierten PC entstehen, der Verbindung in beide Netze hat.

 

[MD_B.Sc.]

Zuviel Werbung?
-> Hier kostenlos registrieren

Was ist denn dein Problem? Hängt deine Anlage im Internet? Oder ist es ein geschlossenes Netzwerk?

Es ist ein geschlossenes Netzwerk. Durch die Sicherheitswarnung wollte ich überprüfen, wie man die Sicherheitslücke schließen kann.

 

[MD_B.Sc.]

Welche Möglichkeiten bleiben denn für mich auf TIA 15.1 übrig ? Außer das betroffene Produkt auf die neuste Version zu aktualisieren ?

 

[DeltaMikeAir]

Es ist ein geschlossenes Netzwerk.

Was bedeutet ein geschlossenes Netzwerk ( die Anlage alleine oder hängt es in einem Firmennetzwerk )?

 

[MD_B.Sc.]

Zuviel Werbung?
-> Hier kostenlos registrieren

Was bedeutet ein geschlossenes Netzwerk ( die Anlage alleine oder hängt es in einem Firmennetzwerk )?

in einem Firmennetzwerk

 

[DeltaMikeAir]

in einem Firmennetzwerk

Ich gehe einmal davon aus, dass in diesem Firmennetzwerk auch ein Internetzugang vorhanden ist, oder?

 

[MD_B.Sc.]

Ich gehe einmal davon aus, dass in diesem Firmennetzwerk auch ein Internetzugang vorhanden ist, oder?

Ja genau

 

[DeltaMikeAir]

Zuviel Werbung?
-> Hier kostenlos registrieren

Ja genau

Es ist ein geschlossenes Netzwerk

??

 

[DeltaMikeAir]

Nur weil ein Netz keine direkte Verbindung zum Inet hat, sollte man sich nicht in Sicherheit wiegen.
Ein potentieller Angriffsvektor kann auch über einen kompromittierten PC entstehen, der Verbindung in beide Netze hat.

Daran sollte man vor allem denken, wenn man in einer Urananreicherungsanlage arbeitet

 

[MD_B.Sc.]

??

Also, ein Firmennetzwerk mit Internetzugang. Sorry für die Verwirrung

 

[DeltaMikeAir]

Zuviel Werbung?
-> Hier kostenlos registrieren

Du musst halt bedenken, mit FW und TIA hochrüsten und dann ein Häkchen setzen ist es halt nicht getan.
Wenn über das Firmennetzwerk irgendwelche Zugriffe bestehen oder irgendwelche HMI´s auf die CPU zugreifen
und du dann TLS aktivierst, dann geht halt erst mal nichts mehr.

 

[MD_B.Sc.]

Du musst halt bedenken, mit FW und TIA hochrüsten und dann ein Häkchen setzen ist es halt nicht getan.
Wenn über das Firmennetzwerk irgendwelche Zugriffe bestehen oder irgendwelche HMI´s auf die CPU zugreifen
und du dann TLS aktivierst, dann geht halt erst mal nichts mehr.

Genau das ist der Fall. Wir haben 2 HMI´s die auf die CPU zugreifen. Was ist den jetzt wirklich die beste Lösung ? Wie kann man die Sicherheitslücke auf TIA 15.1 schließen? Oder muss man in diesem Fall min. auf TIA 17 hochrüsten und dort die Anpassungen vornehmen?

 

[DeltaMikeAir]

Oder muss man in diesem Fall min. auf TIA 17 hochrüsten und dort die Anpassungen vornehmen?

Liest du die Beiträge eigentlich?

TLS gibt es erst ab V17:
PUT/GET bei aktivierter Secure PC/PG Kommunikation

Wir haben 2 HMI´s die auf die CPU zugreifen.

Was für HMI´s?