Schneider Electric SATSecurity Administration ToolSAT/DE M/D32 Benutzerhandbuch
Add to My manuals134 Pages
advertisement
SAT
Security Administration Tool
SAT/DE M/D32
07/2016
Benutzerhandbuch
SAT 1.7
www.schneider-electric.com
BENUTZERHANDBUCH SAT/DE TG/D32
SAT Seite 3/134
KAPITEL
SICHERHEIT UND HANDHABUNG (SA) .............................................. 5
EINFÜHRUNG (IT) ..................................................................... 13
INSTALLATION (IN) ..................................................................... 21
BENUTZEROBERFLÄCHE (HI) ......................................................... 47
CYBER-SECURITY (CS) ................................................................... 115
FEHLERBEHEBUNG (TG) ................................................................ 123
GLOSSAR (LX) ................................................................... 129
SICHERHEIT UND HANDHABUNG SAT/DE SA/D32
SAT Seite 5/134
SICHERHEIT UND HANDHABUNG (SA)
SICHERHEIT UND HANDHABUNG SAT/DE SA/D32
SAT Seite 7/134
INHALT
Einleitung ....................................................................... 9
Sicherheit ..................................................................... 10
Gewährleistung ..................................................................... 11
Urheberschutz und Warenzeichen ......................................... 12
Verwendung von Schneider Electric Produkten .................. 12
SICHERHEIT UND HANDHABUNG SAT/DE SA/D32
SAT Seite 9/134
1. EINLEITUNG
Dieses Kapitel enthält Sicherheitshinweise, Informationen zur Gewährleistung und beschreibt die Handhabung des
Produkts.
SICHERHEIT UND HANDHABUNG SAT/DE SA/D32
SAT Seite 10/134
2. SICHERHEIT
2.1 S
ICHERHEITSHINWEISE
Lesen Sie diese Anleitung sorgfältig durch und machen Sie sich mit dem Gerät vertraut, bevor Sie mit dessen Installation, Bedienung oder Instandhaltung beginnen. Die folgenden Sicherheitshinweise und Symbole in diesem Handbuch oder auf dem Gerät weisen auf mögliche Gefahren oder auf Informationen hin, die ein Verfahren verdeutlichen oder vereinfachen.
Zusammen mit dem Gefahren- oder Warnungssymbol weist dieses Symbol auf eine elektrische Gefährdung hin, die bei Nichtbefolgung von Anweisungen zu
Personenschäden führt.
Dies ist das allgemeine Gefahrensymbol. Es weist auf Verletzungs- oder Lebensgefahr hin. Beachten Sie alle Hinweise mit diesem Symbol, um Verletzungs- oder Lebensgefahr zu vermeiden.
GEFAHR
GEFAHR
bezeichnet eine drohende Gefahr. Wenn sie nicht gemieden wird, sind Tod oder schwere Verletzungen die Folge.
WARNUNG
WARNUNG
weist auf eine mögliche Gefahrensituation hin, die ohne entsprechende Sicherheitsvorkehrungen zu Tod oder schweren Verletzungen führen kann.
VORSICHT
VORSICHT
weist auf eine mögliche Gefahrensituation hin, die ohne entsprechende Sicherheitsvorkehrungen zu kleineren bis mittelschweren Verletzungen führen kann.
HINWEIS
HINWEIS
enthält Informationen, die nicht mit Personen- oder Sachschäden in Zusammenhang stehen. Das allgemeine Gefahrsymbol wird nicht gemeinsam mit diesem Signalwort verwendet.
Zur Beachtung
Elektrische Geräte dürfen nur von qualifiziertem Personal installiert, bedient, gewartet und instandgehalten werden. Schneider Electric übernimmt keine Haftung für Folgen, die sich aus der Verwendung dieses Benutzerhandbuchs ergeben.
Qualifiziertes Personal sind Personen, die aufgrund ihrer Fähigkeiten und Kenntnisse mit der Bauweise, Installation und Bedienung elektrischer Geräte vertraut sind und im Erkennen und Vermeiden der damit verbundenen Gefahren geschult wurden.
SICHERHEIT UND HANDHABUNG SAT/DE SA/D32
SAT Seite 11/134
3. GEWÄHRLEISTUNG
Schneider Electric gewährleistet für das Medium, auf dem die Schneider Electric Software geliefert wird, dass es bei der Ausführung von Programmanweisungen nicht wegen Material- oder Verarbeitungsfehlern ausfällt. Diese
Gewährleistung gilt 90 Tage ab dem Versanddatum, wie es auf Empfangsbestätigungen oder anderen Dokumenten ausgewiesen ist.
Schneider Electric repariert oder ersetzt nach eigenem Ermessen Software-Medien, die Programmanweisungen nicht ausführen, falls Schneider Electric während der Gewährleistungszeit Kenntnis von solchen Mängeln erhält.
Schneider Electric übernimmt keine Gewährleistung für das unterbrechungs- bzw. fehlerfreie Funktionieren der
Software.
Vor der Rücksendung von Geräten für Gewährleistungsarbeiten muss eine RMA-Nummer (Rücksende-Nr.) vom
Werk erlangt und deutlich auf der Verpackung sichtbar gemacht werden.
Die Versandkosten für die Rücksendung von Teilen, die durch die Gewährleistung abgedeckt sind, trägt Schneider
Electric.
Schneider Electric geht davon aus, dass die Informationen in diesem Dokument korrekt sind. Das Dokument wurde sorgfältig auf technische Richtigkeit geprüft. Für den Fall technischer oder typografischer Fehler behält sich
Schneider Electric das Recht der Änderung für Nachfolgeausgaben dieses Dokuments vor, ohne vorherige Benachrichtigung der Besitzer dieser Ausgabe. Bei der Vermutung von Fehlern sollte der Leser Kontakt mit Schneider
Electric aufnehmen. Keinesfalls ist Schneider Electric haftbar für Schäden, die sich aus diesem Dokument bzw. den darin enthaltenen Informationen ergeben oder damit verbunden sind.
Abgesehen von den hier gemachten Gewährleistungszusagen übernimmt Schneider Electric keine weiteren, expliziten oder stillschweigend vereinbarten Gewährleistungen; insbesondere übernimmt Schneider Electric keine Gewährleistung für die Verkehrsfähigkeit oder Eignung des Produkts für einen bestimmten Zweck.
Die Rechte des Kunden auf Schadenersatz wegen Fehlern oder Fahrlässigkeit seitens
Schneider Electric sind auf den Betrag begrenzt, der vom Kunden bezahlt wurde.
Schneider Electric haftet weder für Schäden, die aus Daten- oder Gewinnverlust oder der Verwendung des Produkts entstanden sind, noch für Neben- und Folgeschäden, auch wenn über die Möglichkeit solcher Schäden informiert wurde.
Diese Haftungsbeschränkung von Schneider Electric gilt unabhängig von der Form der Klage, gleich ob aufgrund von Vertragsbruch oder unerlaubter Handlung, einschließlich Fahrlässigkeit. Jede Klage gegen Schneider Electric muss innerhalb eines Jahres nach Auftreten der Klageursache eingereicht werden. Schneider Electric haftet nicht für Leistungsverzug wegen Ursachen, die jenseits der angemessenen Kontrolle des Unternehmens liegen.
Die hier übernommene Gewährleistung gilt nicht für Schäden, Mängel, Fehlfunktionen oder Betriebsausfälle, die durch die Nichtbefolgung der Installations-, Betriebs- bzw. Wartungsanleitungen von Schneider Electric durch den
Besitzer verursacht wurden. Dasselbe gilt bei Modifikationen des Geräts durch den Besitzer, unsachgemäßem
Gebrauch oder Missbrauch, Missachtung von Vorschriften, Stromausfall, Überspannungsstößen, Bränden, Flut,
Unfällen, Maßnahmen Dritter oder anderen Ereignissen außerhalb der angemessenen Kontrolle des Unternehmens.
SICHERHEIT UND HANDHABUNG SAT/DE SA/D32
SAT Seite 12/134
4. URHEBERSCHUTZ UND WARENZEICHEN
4.1 U
RHEBERSCHUTZ
Wegen des gesetzlichen Urheberschutzes darf diese Publikation in keiner Form, sei es elektronisch oder mechanisch, einschließlich durch Fotokopieren, Aufnehmen, Speichern in einem System zur Informationswiedergewinnung oder Übersetzen, weder ganz noch teilweise ohne vorherige schriftliche Genehmigung durch Schneider
Electric reproduziert oder übertragen werden.
4.2 W
ARENZEICHEN
PACiS ist ein eingetragenes Warenzeichen von Schneider Electric. Produkt- und Firmennamen, die in diesem Dokument genannt werden, sind Warenzeichen oder Handelsnamen ihrer entsprechenden Inhaber.
5. VERWENDUNG VON SCHNEIDER ELECTRIC PRODUKTEN
Die Produkte von Schneider Electric wurden nicht mit Komponenten und Tests für ein Sicherheitsniveau entwickelt, das für eine Verwendung in oder in Verbindung mit medizinischen Implantaten oder als kritische Komponenten lebenserhaltender Systeme, deren Fehlfunktion zu erheblichen Verletzungen von Menschen führen würde, geeignet ist.
Bei jeder Anwendung, einschließlich der oben genannten mit hohem Sicherheitsniveau, kann die Funktion der
Software-Produkte durch widrige Faktoren beeinträchtigt werden. Unter anderem sind dies: Schwankungen der
Stromversorgung, Fehlfunktionen der Hardware, des Betriebssystems, Software-Eignung, Eignung von Compilern und Entwicklungs-Software, die für die Entwicklung einer Anwendung benutzt wird, Installationsfehler, Kompatibilitätsprobleme bei Hardware und Software, Fehlfunktion oder Ausfall elektronischer Überwachungs- und Steuerungsgeräte, transiente Störungen elektronischer Anlagen (Hardware und/oder Software), nichtvorhersehbarer
Gebrauch oder Missbrauch bzw. Fehler des Benutzers oder des Anwendungsentwicklers (solche widrigen Faktoren werden zusammengefasst als Systemfehler bezeichnet).
Jede Anwendung, bei der ein Systemfehler eine Gefahr für Sachwerte oder Personen darstellen würde (einschließlich der Gefahr von Körperverletzungen und des Todes), sollte aufgrund des Risikos von Systemfehlern nicht allein auf eine einzige Form von elektronischem System gestützt sein. Zur Verhinderung von Sachschäden, Verletzungen oder tödlichen Unfällen müssen der Benutzer oder Anwendungsentwickler angemessene Maßnahmen ergreifen, um Systemfehlern vorzubeugen. Hierzu gehören unter anderem Sicherungs- oder Abschaltmechanismen.
Dies gilt nicht nur, weil das Endbenutzersystem kundenspezifisch angepasst ist und sich von den Prüfplattformen von Schneider Electric unterscheidet, sondern auch, weil ein Benutzer oder Anwendungsentwickler Produkte von
Schneider Electric in Kombination mit anderen Geräten verwenden kann.
Solche Handlungen können von Schneider Electric nicht eingeschätzt oder berücksichtigt werden. Demzufolge sind der Benutzer oder Anwendungsentwickler letztendlich für die Überprüfung und Bewertung der Eignung der
Produkte von Schneider Electric verantwortlich, wenn diese in ein System oder in eine Anwendung auch ohne Beschränkung der entsprechenden Entwicklung, des Prozesses und der Sicherheit solcher Systeme oder Anwendungen integriert werden.
EINFÜHRUNG SAT/DE IT/D32
SAT Seite 13/134
EINFÜHRUNG (IT)
EINFÜHRUNG SAT/DE IT/D32
SAT Seite 15/134
INHALT
Einführung in das Benutzerhandbuch .................................. 17
Einleitung ..................................................................... 18
EINFÜHRUNG SAT/DE IT/D32
SAT Seite 17/134
1. EINFÜHRUNG IN DAS BENUTZERHANDBUCH
Dieses Benutzerhandbuch beschreibt die Benutzeroberfläche des Security Administration Tool (SAT) in funktioneller und technischer Hinsicht und beinhaltet eine umfassende Anleitung für dessen Installation und Einsatz.
Es enthält folgende Themen:
•
Anleitungen zur Installation, Wartung und Verwendung,
• technische Beschreibung der Funktionen.
Das Benutzerhandbuch richtet sich an
•
Techniker vor Ort, die für die Installation und Wartung des SAT verantwortlich sind,
•
Schutz- und Steuerungstechniker, die mit der Auswahl und Anwendung des SAT befasst sind.
1.1 B
ESCHREIBUNG DER
K
APITEL
1.1.1 S ICHERHEIT UND H ANDHABUNG (
SA
)
Dieses Kapitel enthält neben den Sicherheitshinweisen auch eine Anleitung zu Handhabung und Empfang elektronischer Geräte sowie zum Verpacken und Auspacken von Zubehör. Außerdem sind Informationen zum Urheberschutz und über Warenzeichen enthalten.
1.1.2 E INFÜHRUNG (
IT
)
Das vorliegende Kapitel. Es enthält die Beschreibung der einzelnen Kapitel dieses Benutzerhandbuchs. Außerdem enthält es eine kurze Einführung in die Software-Funktionen.
1.1.3 I NSTALLATION (
IN
)
Dieses Kapitel beschreibt die Vorgehensweise bei der Installation.
1.1.4 B
ENUTZEROBERFLÄCHE
(
HI
)
Dieses Kapitel enthält eine Beschreibung der Benutzeroberfläche (HMI), der Menübaumstruktur und Navigation sowie der Einstellungs- und Konfigurations-Software.
1.1.5 C YBER S ECURITY (
CS
)
Dieses Kapitel enthält Empfehlungen zur Cyber-Security.
1.1.6 F EHLERBEHEBUNG (
TG
)
Dieses Kapitel hift bei der Identifizierung der häufigsten technischen Ursachen von Fehlern, die im Programm auftreten können.
1.1.7 G
LOSSAR
(
LX
)
Dieses Kapitel enthält Definitionen technischer Fachbegriffe und Akronyme.
1.2 U
MFANG DES
B
ENUTZERHANDBUCHS
Dieses Benutzerhandbuch enthält die Kapitel:
SA, IT, IN, HI, CS, TG, LX
EINFÜHRUNG SAT/DE IT/D32
SAT Seite 18/134
2. EINLEITUNG
2.1 A
NWENDUNG
Das Security Administration Tool (SAT) ist eine Sicherheitsmanagement-Anwendung für robuste Informations- und
Kommunikationstechnologienetzwerke (ICT) in elektrischen cyberphysischen Systemen.
Das SAT dient dem Sicherheitsadministrator zur zentralen Verwaltung von Sicherheits-Policys und -parametern sowie zur Benutzerverwaltung. Die Rollen im System werden nach dem Prinzip der rollenbasierten Zugriffskontrolle
(Role Based Access Control, RBAC) definiert; an den Systemzugriffspunkten kann Benutzern das Recht zur
Durchführung von Handlungen gewährt oder verweigert werden – die jeweiligen Berechtigungen sind nach Gerätetypen gruppiert, die als zu sichernde Einheiten (Elements to Secure, ETS) bezeichnet werden.
HINWEIS
INFORMATIONSSCHUTZ
•
Das SAT verschlüsselt die Kommunikation mit Geräten mit Hilfe des TLS-Protokolls
(Transport Layer Security).
•
Die Verschlüsselung von Informationen ist jedoch nicht die Hauptfunktion des SAT; sie dient lediglich zum Schutz der übertragenen Informationen.
Für weitere Details, siehe Kapitel Cyber-Security (CS), Abschnitt 3.1 Verschlüsselung.
Abbildung 1: Benutzeroberfläche des SAT
EINFÜHRUNG SAT/DE IT/D32
SAT Seite 19/134
2.2 Z
WECK
Das SAT dient der Verwaltung der Sicherheitsparameter und des Sicherheitsmodells von Systemkomponenten wie z. B. den cybersicheren Produkten von Schneider Electric und dem Security Administration Manager (SAM).
EMS/DMS
SAM1
Sicherheits-PC
Router1
Sicherheits-
Gateway
Gateway/Router
Router2
SAM2
Abbildung 2: SAT in einem sicheren Industriesystem
Das SAT kann folgendermaßen eingesetzt werden:
•
Im
Offline-Bearbeitungsmodus
können Sicherheitskonfigurationen, Sicherheitsmodelle, Rollen und das
Offline-Systemmodell bearbeitet werden.
•
Im
Online-Verwaltungsmodus
können Benutzer und Geräte online überwacht werden und das SAT die gesamte Sicherheitskonfiguration an die Geräte senden.
EINFÜHRUNG SAT/DE IT/D32
SAT Seite 20/134
Überblick über die Modi und Funktionen des SAT:
Modus Funktion Beschreibung
Bearbeiten der Sicherheitsparameter
Editor für Sicherheitskonfigurationen
Bearbeiten von Zertifikaten
Import/Export der SAT-Anwendung
Offline (Bearbeitung)
Editor für Sicherheitsmodelle
Rolleneditor
Bearbeiten der Sicherheitsmodelle (Berechtigungen, Objekte und
Handlungen)
Bearbeiten der Sicherheitsmodell-Bibliothek
Bearbeiten von Rollen (Zuweisen/Entfernen von Berechtigungen)
Systemeditor
Benutzerverwaltung
Anlegen des Systemschemas, seiner Stationen, der Verantwortungsbereiche und der Schaltgeräte
Import/Export von Teilen des Schemas
Verwalten der Benutzereigenschaften (Benutzername, Passwort,
Pincode und Rollen)
Abgleichen des im Systemeditor erstellten Systemschemas mit der Online-Umgebung
Online (Verwaltung)
Systemverwaltung
Senden der Sicherheitskonfiguration
Verwalten von Gerätevorlagen (DSS)
Senden der SAT-Datenbank an den SAM (falls SAT und SAM nicht auf dieselbe Datenbank zugreifen)
Anzeigen von Protokollen
Updaten/Hinzufügen von Zertifikaten
INSTALLATION SAT/DE IN/D32
SAT Seite 21/134
INSTALLATION (IN)
INSTALLATION SAT/DE IN/D32
SAT Seite 23/134
INHALT
Einleitung ..................................................................... 25
Mindestanforderungen ............................................................ 29
Installation ..................................................................... 30
INSTALLATION SAT/DE IN/D32
SAT Seite 25/134
1. EINLEITUNG
Dieses Dokument ist ein Kapitel der SAT-Dokumentation. Es beschreibt, wie das SAT installiert wird.
1.1 V
ORAUSSETZUNGEN
Die SAT-Software ist mit folgenden Betriebssystemen kompatibel:
Gegenstand
Betriebssystem
Beschreibung
•
Windows 7 Professional, 32-/64-Bit-Version, Service Pack 1
•
Windows Server 2008 R2, 64-Bit-Version
•
Windows 8
Anmerkung
: Windows XP wird nicht unterstützt (siehe folgenden
Sicherheitshinweis).
HINWEIS
KOMMUNIKATIONSSTÖRUNGEN
Für die Kommunikation mit Geräten im abgesicherten Modus ist das TLS (Transport Layer Security)-Protokoll erforderlich. TLS steht jedoch unter Windows XP nicht zur Verfügung. Windows
XP ist deshalb als Betriebssystem ungeeignet.
Die Nichtbefolgung dieser Anweisung kann zu Kommunikationsstörungen mit dem Gerät führen.
1.2
L
IZENZ
Software-Lizenzvereinbarung
Sämtliche von Schneider Electric (im Folgenden der „Lieferant“) herausgegebenen Programme und Texte sind urheberrechtlich geschützt. Sie werden unter der Bedingung geliefert, dass der Lizenznehmer von Exemplaren solcher Programme und Texte den Bestimmungen dieser Lizenzvereinbarung zustimmt. Der Lizenznehmer (dies bezeichnet auch den Käufer oder den Empfänger einer leihweise vom Lieferanten zur Verfügung gestellten Software) kann für die nicht lizenzgemäße Verwendung der Programm(e), Text(e) oder Dokumentation gegebenenfalls strafrechtlich verfolgt werden.
Als Gegenleistung für den Lizenzpreis, der separat oder als Teil eines Gesamtkaufpreises entrichtet wurde, sowie für die Zustimmung des Lizenznehmers zu den Bestimmungen dieser Lizenzvereinbarung, gewährt der Lieferant unter den im Folgenden beschriebenen Bedingungen eine persönliche, nicht-exklusive, nicht übertragbare Lizenz zur Nutzung des bzw. der Computerprogramme, Texte und zugehöriger Dokumentation (im Folgenden als „lizenziertes Programm“ bezeichnet), und der Lizenznehmer nimmt diese Lizenz entgegen.
1.2.1 N UTZUNGSUMFANG
Der Lizenznehmer ist berechtigt, das lizenzierte Programm gemäß den Bestimmungen dieser Lizenzvereinbarung für seinen eigenen Bedarf auf einem einzelnen Rechnersystem, das nicht mehr als einen Hauptprozessor (CPU) enthält, zu nutzen, mit Ausnahme der Bestimmungen in den Abschnitten 1.2.2 und 1.2.5 dieser Lizenzvereinbarung. Beabsichtigt der Lizenznehmer, das lizenzierte Programm gleichzeitig auf mehr als nur einer CPU zu verwenden, ist für jede weitere CPU ein separates lizenziertes Programm zu erwerben. Der Lizenznehmer darf Kopien
INSTALLATION SAT/DE IN/D32
SAT Seite 26/134 des lizenzierten Programms in maschinenlesbarem Format lediglich als Backup und zur Archivierung erstellen, unter der Voraussetzung, dass der Lizenznehmer gleichzeitig nicht mehr als drei Komplett- oder Teilkopien besitzt und dass die Hinweise zum Urheberrecht und/oder andere Angaben auf jeder Kopie enthalten sind. Dem Lizenznehmer werden keine weiteren Rechte gewährt, als die in dieser Lizenzvereinbarung aufgeführten.
1.2.2 D ER L IZENZNEHMER ERKLÄRT , F OLGENDES ZU UNTERLASSEN :
1. Das lizenzierte Programm ohne die Einwilligung des Lieferanten sowie ohne die erforderlichen staatlichen Genehmigungen der französischen bzw. ausländischen Regierung exportieren oder reexportieren.
2. Eine oder mehrere Kopien des lizenzierten Programms erstellen oder ihre Erstellung zulassen, sofern es sich nicht um die in dieser Lizenzvereinbarung erlaubten Backup-Kopien handelt.
3. Das gesamte oder Teile des lizenzierten Programms dekompilieren, zurückentwickeln, disassemblieren, ändern, anpassen, auflisten, drucken oder übersetzen oder auf andere Weise manipulieren.
4. Das lizenzierte Programm übertragen, abtreten, vermieten, verpachten, verkaufen oder es auf andere Weise veräußern, sich davon trennen oder seinen Besitz mit Dritten teilen.
1.2.3 D AUER
Diese Lizenzvereinbarung tritt mit Datum der Auftragsannahme für das lizenzierte Programm durch den Lieferanten in Kraft und bleibt solange gültig, bis der Lizenznehmer diese kündigt. Diese Lizenzvereinbarung endet automatisch auch ohne Kündigung, wenn der Lizenznehmer gegen die Bestimmungen dieser Lizenzvereinbarung verstößt. Im Fall einer Kündigung löscht der Lizenznehmer das lizenzierte Programm von allen Speichermedien in seinem Besitz und gibt alle Komplett- und Teilkopien des lizenzierten Programms zusammen mit allen Texten und sämtlicher Dokumentation an den Lieferanten zurück.
1.2.4 V ERTRAULICHKEIT
Das lizenzierte Programm enthält vertrauliche Informationen des Lieferanten; sämtliche Urheberrechte, Warenzeichen und weiteren Rechte des geistigen Eigentums am lizenzierten Programm sind das ausschließliche Eigentum des Lieferanten.
1.2.5 D
ER
L
IZENZNEHMER UNTERLÄSST
F
OLGENDES
:
1. Vorbehaltlich der Bestimmungen dieser Lizenzvereinbarung das gesamte oder Teile des lizenzierten Programms kopieren.
2. Das gesamte oder Teile des lizenzierten Programms ändern oder mit einer anderen Software oder Dokumentation zusammenführen oder kombinieren.
3. Das lizenzierte Programm im Namen Dritter nutzen oder Dritten verfügbar machen.
1.2.6 D ER L IZENZNEHMER IST ZU F OLGENDEM VERPFLICHTET :
1. Das lizenzierte Programm vertraulich behandeln und dessen Nutzung auf seine Angestellten, Vertreter und
Unterauftragnehmer begrenzen, die entweder Kenntnis von der Nutzung des lizenzierten Programms haben müssen oder es nutzen müssen.
2. Ein aktuelles schriftliches Protokoll über die Anzahl Kopien des lizenzierten Programms und deren Aufbewahrungsort führen und dem Lieferanten dieses Protokoll auf Anfrage unverzüglich vorlegen.
3. Unbeschadet der vorstehenden Bestimmungen alle weiteren Schritte unternehmen, wie sie von Zeit zu Zeit notwendig sind, um die vertraulichen Informationen und Rechte des geistigen Eigentums des Lieferanten am lizenzierten Programm zu schützen.
4. Die betreffenden Angestellten, Vertreter und Unterauftragnehmer darüber informieren, dass das lizenzierte
Programm als vertrauliche Information des Lieferanten gilt, dass der Lieferant Inhaber sämtlicher Rechte des geistigen Eigentums am lizenzierten Programm ist, und alle notwendigen Schritte unternehmen, um sicherzustellen, dass die Angestellten, Vertreter und Unterauftragnehmer des Lizenznehmers den Bestimmungen dieses Abschnitts genügen.
INSTALLATION SAT/DE IN/D32
SAT Seite 27/134
1.2.7 M ÄNGELHAFTUNG
Vorbehaltlich der Ausnahmen in diesem Abschnitt sowie der Haftungsbeschränkungen gilt Folgendes:
1. Der Lieferant gewährleistet, dass die Medien, auf denen das lizenzierte Programm gespeichert ist, für einen
Zeitraum von 90 Tagen ab Datum der Auftragsannahme für ein lizenziertes Programm durch den Lieferanten frei von Mängeln in Material, Konstruktion und Ausführung sind und dass das lizenzierte Programm den Spezifikationen des Lieferanten entspricht.
2. Der Lieferant sorgt bei einem Verstoß gegen obige Gewährleistungen für den kostenlosen Ersatz des lizenzierten Programms.
3. Der Lieferant haftet nicht, wenn ein Verstoß gegen obige Gewährleistungen aus Folgendem resultiert: a. nicht bestimmungsgemäße Verwendung, Betrieb oder Vernachlässigung des lizenzierten Programms oder des Rechners, auf dem das lizenzierte Programm genutzt wird b. Änderungen des lizenzierten Programms oder seine Zusammenführung als Ganzes oder in Teilen mit anderer Software c. Reparaturen, Anpassungen oder Änderungen des lizenzierten Programms durch andere Personen als den Lieferanten und ohne die vorherige schriftliche Zustimmung des Lieferanten
4. Vorbehaltlich des Vorgenannten sind sämtliche Bestimmungen, Gewährleistungen, Bedingungen und Zusicherungen, gleich ob ausdrücklich oder stillschweigend, gesetzlich oder anderweitig begründet, in Bezug auf das lizenzierte Programm hiermit ausgeschlossen.
1.2.8 H
AFTUNGSBESCHRÄNKUNG
1. Die folgenden Bestimmungen regeln die gesamte Haftung des Lieferanten (einschließlich der Haftung für
Handlungen und Unterlassungen seiner Angestellten, Vertreter und Unterauftragnehmer) gegenüber dem Lizenznehmer in Bezug auf jeden Verstoß gegen seine vertraglichen Verpflichtungen, die sich aus dieser Lizenzvereinbarung ergeben sowie in Bezug auf jede Stellungnahme, Erklärung, unerlaubte Handlung oder Unterlassung einschließlich Fahrlässigkeit aus oder im Zusammenhang mit dieser Lizenzvereinbarung.
2. Jede Handlung oder Unterlassung seitens des Lieferanten oder seiner Angestellten, Vertreter oder Unterauftragnehmer, die unter obigen Abschnitt fällt, wird als „Nichterfüllung“ bezeichnet.
3. Die Haftung des Lieferanten gegenüber dem Lizenznehmer für Todesfälle oder Personenschäden auf Grund seiner eigenen Fahrlässigkeit oder der seiner Angestellten, Vertreter oder Unterauftragnehmer unterliegt keiner
Beschränkung.
4. Vorbehaltlich der Beschränkungen im folgenden Abschnitt akzeptiert der Lieferant die Haftung gegenüber dem
Lizenznehmer in Bezug auf Schäden an Sacheigentum des Lizenznehmers, welche aus Nachlässigkeit des
Lieferanten, seiner Angestellten, Vertreter oder Unterauftragnehmer entstehen.
5. Vorbehaltlich der Beschränkungen in obigem Abschnitt ist die gesamte Haftung des Lieferanten bei Nichterfüllung auf die Zahlung eines Schadensersatzes in folgender Höhe begrenzt: a. bei Nichterfüllung gemäß obigem Abschnitt in Höhe des Kaufpreises für das lizenzierte Programm, b. bei jeder anderen Nichterfüllung in Höhe des für das lizenzierte Programm entrichteten Lizenzpreises.
6. Vorbehaltlich der Bestimmungen im obigen Abschnitt haftet der Lieferant gegenüber dem Lizenznehmer bei
Nichterfüllung nicht für Gewinnverluste, Verluste des Firmenwerts oder besondere indirekte Schäden oder Folgeschäden (einschließlich Verlusten oder Schäden, die dem Lizenznehmer durch Handlungen Dritter entstanden sind), auch wenn ein solcher Verlust oder Schaden vernünftigerweise vorhersehbar war oder der Lieferant
über die Möglichkeit, dass dem Lizenznehmer ein solcher Verlust oder Schaden entstehen könnte, informiert war.
1.2.9 M EHRFACHLIZENZ
Der Lieferant kann gegen einen erhöhten Lizenzpreis, der einzeln oder als Teil eines Kaufpreises entrichtet worden ist, dem Lizenznehmer gestatten, das lizenzierte Programm
1. auf einem einzelnen Rechnersystem mit bis zu 5 Hauptprozessoren (CPU) zu nutzen.
2. auf einem einzelnen Rechnersystem mit bis zu 10 Hauptprozessoren (CPU) zu nutzen.
INSTALLATION SAT/DE IN/D32
SAT Seite 28/134
1.2.10 A LLGEMEIN
Diese Lizenzvereinbarung setzt alle früheren schriftlichen und mündlichen Vereinbarungen mit dem Lizenznehmer in Bezug auf das lizenzierte Programm außer Kraft und stellt die gesamte Vereinbarung zwischen dem Lieferanten und dem Lizenznehmer dar. Bei Streitigkeiten zwischen dem Lieferanten und dem Lizenznehmer in Zusammenhang mit dieser Lizenzvereinbarung, erklärt sich der Lizenznehmer mit der Zuständigkeit der französischen Gerichte oder der Gerichte anderer Rechtssysteme einverstanden, wie sie von Zeit zu Zeit vom Lieferanten nach freiem
Ermessen bestimmt werden. Falls eine Bestimmung dieser Lizenzvereinbarung gemäß geltender Gesetze als unwirksam erklärt wird, gilt diese Bestimmung nur in dem Umfang als abgeändert oder aufgehoben, damit sie wirksam wird, und die anderen Bestimmungen dieser Lizenzvereinbarung behalten ihre uneingeschränkte Gültigkeit.
INSTALLATION SAT/DE IN/D32
SAT Seite 29/134
2. MINDESTANFORDERUNGEN
Für die Installation, Konfiguration und Nutzung des SAT durch das Bedienpersonal sind folgende Pakete und Lizenzen erforderlich:
Gegenstand
Release-Paket
Beschreibung
Release-Paket zur vollständigen Installation. Es enthält alle erforderlichen Programme, wie die Datenbank und das SAT mit Voreinstellungen.
Es steht für zwei Betriebssystemvarianten zur Verfügung:
Release-Paket für Windows 32-Bit
Installation auf Windows
32-Bit-Version (x86)
Release-Paket für Windows 64-Bit
Installation auf Windows
64-Bit-Version (x64)
Lizenzschlüssel Wird von Schneider Electric für das Ausführen des SAT auf dem Rechner zugesandt.
Anmerkung
: Die Verwaltung des Lizenzschlüssels erfolgt mit dem
Schneider Electric License Manager
, der zusammen mit dem SAT installiert wird. Für die Aktivierung der Lizenz muss beim ersten Start des SAT der Lizenzschlüssel eingegeben werden.
INSTALLATION SAT/DE IN/D32
SAT Seite 30/134
3. INSTALLATION
3.1 G
EGENSTAND UND
Z
IELSETZUNG
Dieser Abschnitt beschreibt, wie das Security Administration Tool (SAT) installiert wird.
Das SAT-Release enthält zwei Installationspakete:
• die eigentliche Anwendung und
• weitere für SAT erforderliche Programme.
Das SAT wird als ausführbare InstallShield Setup-Datei geliefert. Der Installationsassistent führt den Anwender durch den Installationsvorgang, wie in den folgenden Abschnitten beschrieben.
__________________________________________________________________________________________
Anmerkung
Das Paket mit den für SAT erforderlichen weiteren Programmen enthält:
• den
Schneider Electric License Manager
, ein Tool zum Aktivieren der SAT-Lizenz.
• die Datenbanksoftware:
SAT-Anwendung SAT Version < 1.6.6.0 SAT Version 1.6.6.0 oder später
Datenbanksoftware
Microsoft SQL Server 2008 R2 Express SP2
Microsoft SQLite
Anmerkung
: Die Datenbanksoftware wird nur installiert,
• wenn keine Datenbanksoftware auf dem Rechner erkannt wird, oder
• wenn eine ältere Version der Datenbanksoftware auf dem Rechner erkannt wird.
__________________________________________________________________________________________
3.2 L
IZENZEN
3.2.1 S CHNEIDER E LECTRIC L ICENSE M ANAGER
Zum Aktivieren der SAT-Lizenz dient der Schneider Electric License Manager .
__________________________________________________________________________________________
Anmerkungen
Bei Aktivierung einer Lizenz für ein Software-Produkt von Schneider Electric erklärt der Lizenznehmer, dass er das Software-Produkt gemäß Lizenzvereinbarung nutzt.
Die verfügbaren Funktionen des SAT richten sich nach dem Lizenztyp:
SAT Standard Edition
•
Passwortverwaltung
•
Benutzerverwaltung
•
SAT Premium Edition
Rollenverwaltung
•
Verwaltung von Sicherheitsmodellen
INSTALLATION SAT/DE IN/D32
SAT Seite 31/134
Folgende Lizenzen sind erhältlich:
•
Einzelplatzlizenz (1 Bereitstellung)
•
Teamlizenz (10 Bereitstellungen)
•
Standortlizenz (100 Bereitstellungen)
Bestellinformationen:
Artikelnummer Lizenzart
CSBSTACZSSPMZZ SAT Standard Edition, 1 Bereitstellung
CSBSTACZSTPMZZ SAT Standard Edition, 10 Bereitstellungen
CSBSTACZSEPMZZ
SAT Standard Edition, 100 Bereitstellungen
CSBSTACZMSPMZZ SAT Premium Edition, 1 Bereitstellung
CSBSTACZMTPMZZ SAT Premium Edition, 10 Bereitstellungen
CSBSTACZMEPMZZ
SAT Premium Edition, 100 Bereitstellungen
Auflistung der SAT-Funktionen je nach Lizenztyp:
SAT-Funktionen
Standard
Edition
Premium
Edition
Sicherheitskonfiguration
Ändern von Parametern
Ändern von Gerätesicherheitseinstellungen
Benutzerkonten
Verwalten von Benutzerkonten
Verwalten von Passwörtern
Verknüpfen von Rollen mit Benutzerkonten
Rollen
7 Standardrollen gemäß IEC 62351-8
Verwalten von Rollen
Sicherheitsmodelle
Vordefiniertes Sicherheitsmodell von Schneider Electric
Verwalten von Sicherheitsmodellen
INSTALLATION SAT/DE IN/D32
SAT Seite 32/134
SAT-Funktionen
Standard
Edition
Premium
Edition
Sicherheits-Policy
Übetragen der RBAC an die IEDs
Übertragen der Gerätesicherheitseinstellungen
Protokolle
Anzeigen von IED-Protokollen
Export von Protokollen
SAT-Verwaltung
Import / Export
__________________________________________________________________________________________
3.2.2 A KTIVIEREN VON L IZENZEN
Um die Software vollständig nutzen zu können, muss ihre Lizenz aktiviert werden.
Für eine rechnergebundene Lizenz stehen folgende Aktivierungsmethoden zur Verfügung:
•
Web
•
Webportal
•
Telefon
•
___________________________________________________________________________________________
Anmerkung
Die Software-Installation erfolgt unabhängig von der Lizenzaktivierung; es können sogar Lizenzen für noch nicht installierte Software-Produkte aktiviert werden.
Grundsätzlich muss die Aktivierung der Lizenz bei Schneider Electric angefordert werden. Die Aktivierungsanforderung enthält Informationen über den Lizenznehmer, die Software und den lokalen Rechner, auf dem die Lizenz aktiviert werden soll. Die daraufhin von Schneider Electric empfangene Antwort wird vom License Manager eingelesen und ermöglicht so die Nutzung der Software im Rahmen der jeweiligen
Lizenz.
Aktivierungsanforderung und -antwort
Der Schneider Electric License Manager generiert eine XML-Anforderungsdatei. Diese wird über das Webportal zur Software-Lizenzierung oder per E-Mail an Schneider Electric übertragen. Die entsprechende
XML-Antwortdatei wird dann zum Download auf das Webportal gestellt bzw. per E-Mail zugesendet. Zum
Abschluss der Aktivierung muss die XML-Antwortdatei in den Schneider Electric License Manager geladen werden.
INSTALLATION SAT/DE IN/D32
SAT Seite 33/134
Aktivierungsmethode Beschreibung
Web
(
By Web
)
Der Schneider Electric License Manager generiert die Aktivierungsanforderung und überträgt die Daten über eine Internetverbindung an den Schneider Electric
Lizenzserver. Die Aktivierungsantwort wird automatisch empfangen und vom
Schneider Electric License Manager verarbeitet.
Webportal
(
By Web Portal
)
Der Schneider Electric License Manager generiert eine XML-Anforderungsdatei.
Diese wird über das Webportal zur Software-Lizenzierung an Schneider Electric
übertragen. Die entsprechende XML-Antwortdatei wird dann zum Download auf das Webportal gestellt. Zum Abschluss der Aktivierung muss die XML-
Antwortdatei in den Schneider Electric License Manager geladen werden.
Anmerkung
: Hierfür ist keine direkte Internetverbindung erforderlich. Bitte nutzen
Sie nicht den Internet Explorer mit aktivierter Kompabilitätsansicht.
INSTALLATION SAT/DE IN/D32
SAT Seite 34/134
HINWEIS
UNGÜLTIGE LIZENZAKTIVIERUNG
Verwenden Sie für die Aktivierung über das Webportal den Browser
Google Chrome.
Die Nichtbefolgung dieser Anweisung kann zu einer ungültigen Lizenzaktivierung führen.
(
By e-mail
)
Für Details siehe das Schneider Electric License Manager User Manual,
Abschnitt Activation by Web Portal.
Der Schneider Electric License Manager generiert eine XML-Anforderungsdatei.
Die entsprechende XML-Antwortdatei wird dann per E-Mail zugesendet. Zum
Abschluss der Aktivierung muss die XML-Antwortdatei in den Schneider Electric
License Manager geladen werden.
INSTALLATION SAT/DE IN/D32
SAT Seite 35/134
Telefon
(
By phone
)
Der Schneider Electric License Manager generiert einen Anforderungscode. Teilen Sie diese alphanumerische Zeichenfolge dem Software Registration Center per Telefon mit. Während des Telefonats wird der Antwortcode generiert und
Ihnen durchgegeben. Zur Aktivierung geben Sie den Antwortcode in den Schneider Electric License Manager ein.
__________________________________________________________________________________________
3.3 V
OR DER
I
NSTALLATION
Dieser Abschnitt beschreibt, welche Vorbereitungen vor der SAT-Installation getroffen werden müssen.
Vor Beginn der Installation sind folgende Schritte durchzuführen:
Schritt Vorgang
1 Starten Sie den PC neu.
2
3
Für die Installation sind
Administratorrechte
erforderlich.
Melden Sie sich als Administrator an – nur dann kann SAT installiert werden.
Stellen Sie sicher, dass Ihnen der Lizenzschlüssel vorliegt.
HINWEIS
FEHLFUNKTIONEN
Starten Sie vor jeder Installation den Rechner neu.
Die SAT-Installation muss mit einem Windows-Account mit
Administratorrechten
durchgeführt werden.
Die Nichtbefolgung dieser Anweisung kann zu Fehlfunktionen des SAT führen.
INSTALLATION SAT/DE IN/D32
SAT Seite 36/134
HINWEIS
ABBRUCH DER INSTALLATION
Ist eine Antivirus-Software aktiv, kann diese den SAT-Installationsvorgang anhalten. Führen Sie dann die folgenden Schritte aus:
•
Deaktivieren oder deinstallieren Sie die Antivirus-Software.
•
Starten Sie den SAT-Installationsvorgang neu.
•
Aktivieren oder installieren Sie die Antivirus-Software wieder.
Die Nichtbefolgung dieser Anweisungen kann zu einem Abbruch der Installation führen.
Anmerkung
: Die Antivirus-Software Avast wird von SAT erkannt.
HINWEIS
KOMMUNIKATIONSSTÖRUNGEN
Für die Kommunikation mit Geräten im abgesicherten Modus ist das TLS (Transport Layer Security)-Protokoll erforderlich. TLS steht jedoch unter Windows XP nicht zur Verfügung. Windows
XP ist deshalb als Betriebssystem ungeeignet.
Die Nichtbefolgung dieser Anweisung kann zu Kommunikationsstörungen mit dem Gerät führen.
3.4 N
EUINSTALLATION DES
SAT
In diesem Abschnitt wird beschrieben, wie das SAT vollständig neu installiert wird.
Für die vollständige Neuinstallation von SAT sind folgende Schritte erforderlich:
Schritt
1
Vorgang
•
Installieren von SAT auf dem Rechner
•
Aktivierung der Lizenz mit dem Schneider Electric License Manager
•
Einstellen der SAT-Anwendung
2
(optional)
Systemhärtung:
•
Härtung des Betriebssystems Microsoft Windows Server 2008 R2
•
Härtung des Microsoft Windows Server 2008 R2 SP2 Enterprise Edition
Anmerkung
: Ob eine Härtung erforderlich ist, richtet sich nach der Sicherheits-
Policy des Kunden. Führen Sie zur Sicherung der Datenbanksoftware ggf. eine
Härtung durch (gemäß Sicherheits-Policy des Kunden). Siehe hierzu Kapitel Cyber-
Security (CS).
INSTALLATION SAT/DE IN/D32
SAT Seite 37/134
HINWEIS
DATENVERLUST
Bevor Sie Upgrades des SAT durchführen, erstellen Sie ein Backup der Datenbank.
Die Nichtbefolgung dieser Anweisung kann zu Datenverlust führen.
______________________________________________________________________________
Anmerkung
Eine Neuinstallation löscht alle Daten, die vorher vom SAT gespeichert wurden.
______________________________________________________________________________
Zum Installieren des SAT gehen Sie wie folgt vor:
Schritt Vorgang
1 Starten Sie die Datei
SAT Installer
im Installationspaket per Doppelklick:
Der Installationsassistent zeigt die zu installierenden Komponenten (
Requirements
) an:
Anmerkung:
Dieses Fenster wird nur angezeigt, wenn zusätzliche Programme zu installieren sind. Wird das Fenster nicht angezeigt, gehen Sie weiter zu Schritt 3.
INSTALLATION SAT/DE IN/D32
SAT Seite 38/134
2 Klicken Sie auf
Install
.
3
Anmerkung
: In diesem Beispiel wird als zusätzlich zu installierendes Programm der
Schneider Electric License Manager installiert.
Der Installationsassistent bereitet die Installation des SAT vor:
INSTALLATION SAT/DE IN/D32
SAT Seite 39/134
Klicken Sie auf
Next
, um die Installation zu starten.
4 Lesen Sie die Software-Lizenzvereinbarung aufmerksam durch, klicken Sie auf
I accept the terms in the license agreement
(„Ich akzeptiere die Bedingungen der Lizenzvereinbarung“) und klicken Sie auf
Next
.
INSTALLATION SAT/DE IN/D32
SAT Seite 40/134
5 Wählen Sie den Zielordner.
Klicken Sie auf
Next
.
Klicken Sie auf
Install
.
INSTALLATION SAT/DE IN/D32
SAT Seite 41/134
6 Die Installation wird mit folgendem Dialogfenster abgeschlossen:
7
Klicken Sie auf
Finish
.
Anmerkung
: Gegebenenfalls wird ein Windows Installer Log mit Informationen zur Installation angezeigt; schließen Sie diesen.
War die Installation erfolgreich, erscheinen nun die Icons für den
License Manager
und das
SAT
auf dem Desktop.
INSTALLATION SAT/DE IN/D32
SAT Seite 42/134
3.5 E
INSTELLEN DES
SAT
3.5.1 L IZENZAKTIVIERUNG
Zum Aktivieren der SAT-Lizenz gehen Sie wie folgt vor:
Schritt Vorgang
1 Starten Sie den Schneider Electric License Manager,
• entweder über
Start
>
Programme
>
Schneider Electric
>
License Manager
• oder über das Icon auf dem Desktop.
Nach dem Starten des Programms wird das Hauptdialogfenster angezeigt:
2
Beispiel: Registerkarte
Local
für rechnergebundene Lizenzen.
Anmerkung
: Für Details zur Installation des Schneider Electric License Managers,
siehe Abschnitt 3.4 Neuinstallation des SAT.
Um die SAT-Lizenz zu aktivieren,
• klicken Sie auf
Activate
,
• wählen Sie die Aktivierungsmethode (siehe Anmerkung) und klicken Sie auf
Next >
,
• geben Sie den Aktivierungsschlüssel ein (siehe Anmerkung) und klicken Sie auf
Next >
.
INSTALLATION SAT/DE IN/D32
SAT Seite 43/134
•
Geben Sie Ihre E-Mail-Adresse ein und klicken Sie auf
Next >
.
Der Aktivierungsvorgang läuft...
•
Klicken Sie auf
Finish
.
INSTALLATION SAT/DE IN/D32
SAT Seite 44/134
Anmerkungen
•
Die Aktivierungsmethode
By Web
wird bei Einsatz von Cyber-Security-
Maßnahmen nicht empfohlen.
•
Verwenden Sie bei der Aktivierungsmethode
By Web Portal
die jeweils neuste
Version des Browsers Google Chrome.
•
Der Aktivierungsschlüssel ist der Lizenzschlüssel für das Produkt.
•
Die Aktivierungsmethoden sind
By Web
(Standard),
By Web Portal
,
By Phone,
oder
By e-mail
. Für Details siehe das
Schneider Electric License Manager User Manual
. Zum Öffnen des User Manuals, o klicken Sie in der Menüleiste auf
Help
:
3 Die aktivierte Lizenz wird nun in der Registerkarte
Local
angezeigt:
• Beenden Sie den Schneider Electric License Manager mit
Task
>
Exit
.
INSTALLATION SAT/DE IN/D32
SAT Seite 45/134
3.5.2 Ä NDERN DES S TANDARDPASSWORTS
Aus Sicherheitsgründen wird empfohlen, das Standardpasswort zu ändern. Informationen hierzu finden Sie im
Kapitel Benutzeroberfläche (HI).
3.6 U
PGRADEN DES
SAT
HINWEIS
DATENVERLUST
Bevor Sie Upgrades des SAT durchführen, erstellen Sie ein Backup der Datenbank.
Die Nichtbefolgung dieser Anweisung kann zu Datenverlust führen.
_______________________________________________________________________________
Anmerkung
Eine Neuinstallation löscht alle Daten, die vorher von der SAT-Anwendung gespeichert wurden.
Der Administrator sollte deshalb vorher ein Backup der Datenbank erstellen. Für die empfohlenen
Backup-Tools kontaktieren Sie bitte das Schneider Electric Customer Care Center.
_______________________________________________________________________________
Siehe Abschnitt 3.4 Neuinstallation des SAT.
3.7 D
EINSTALLIEREN DES
SAT
Vor der Deinstallation des SAT ist Folgendes zu beachten:
•
Schließen Sie die SAT-Anwendung vor dem Deinstallieren.
•
Für die Deinstallation sind Administratorrechte erforderlich.
Zum Deinstallieren des SAT gehen Sie wie folgt vor:
Schritt Vorgang
1 Falls SAT läuft, schließen Sie es.
5
6
7
2
3
4
Melden Sie sich bei Windows als Administrator an.
Navigieren Sie im
Start
-Menü zur
Systemsteuerung
.
Wählen Sie
Programme
>
Programme und Funktionen
>
Programm deinstallieren oder ändern
.
Markieren Sie das Programm SAT und klicken Sie auf
Deinstallieren
.
Klicken Sie auf
Ja
um zu bestätigen, und falls erforderlich, klicken Sie auf
Zulassen
.
Gegebenenfalls erscheint eine Warnmeldung, dass vor der Deinstallation Anwendungen geschlossen werden müssen.
INSTALLATION SAT/DE IN/D32
SAT Seite 46/134
HINWEIS
DATENVERLUST
Bevor Sie Upgrades des SAT durchführen, erstellen Sie ein Backup der Datenbank.
Die Nichtbefolgung dieser Anweisung kann zu Datenverlust führen.
_______________________________________________________________________________
Anmerkung
Bei der Deinstallation werden alle Daten gelöscht, die vorher von der SAT-Anwendung gespeichert wurden. Der Administrator sollte deshalb ein Datenbank-Backup durchführen. Für die empfohlenen Backup-Tools kontaktieren Sie bitte das Schneider Electric Customer Care Center.
_______________________________________________________________________________
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 47/134
BENUTZEROBERFLÄCHE (HI)
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 49/134
INHALT
Gegenstand und Zielsetzung ................................................. 51
Einleitung ..................................................................... 52
Funktionsüberblick.................................................................. 55
Erste Schritte ..................................................................... 56
Überblick über die Benutzeroberfläche ................................. 59
Allgemeine Administration ..................................................... 62
Kommunikation ..................................................................... 85
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 50/134
Erweiterte Administration ..................................................... 102
Anhang ................................................................... 113
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 51/134
1. GEGENSTAND UND ZIELSETZUNG
Dieses Kapitel beschreibt die Benutzeroberfläche und Funktionen des Security Administration Tools (SAT).
Die Abbildungen und Screenshots dienen lediglich als Beispiel. Sie können je nach Anwendung variieren. Einige der im Folgenden beschriebenen Funktionen unterscheiden sich je nach der Konfiguration des SAT; gegebenenfalls sind sie nicht verfügbar oder ihr Verhalten weicht vom beschriebenen Verhalten ab.
HINWEIS
Unterstützte Funktionen
Gegebenenfalls werden einige der in diesem Benutzerhandbuch beschriebenen Funktionen nicht unterstützt; sie sind jeweils abhängig von der installierten SAT-Version und den Gerätemodellen. Für weitere Informationen wenden Sie sich bitte an Ihre örtliche Schneider Electric Vertretung oder das Schneider Electric Customer Care Center.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 52/134
2. EINLEITUNG
2.1 S
ECURITY
A
DMINISTRATION
T
OOL
Das Security Administration Tool (SAT) ist ein Tool für die Konfiguration der Sicherheitsfunktionen im System.
Der Sicherheitsadministrator nutzt das SAT zur Festlegung der Sicherheitsstrategien und zur Verwaltung von Benutzern und Rollen (RBAC). Außerdem dient SAT zur Konfiguration der Cyber-Security-Parameter für die Geräte im System.
SAT
Router
Firewall
Gateway
/ Router
SAM
Router
Netzwerk mit niedriger
Bandbreite und häufigen
Unterbrechungen
IED
IED
Abbildung 3: Beispiel einer Multi-LAN-Systemarchitektur
2.2 R
OLLENBASIERTE
Z
UGRIFFSKONTROLLE
(RBAC)
Mit der rollenbasierten Zugriffskontrolle (Role Based Access Control, RBAC) kann der Zugriff auf Ressourcen im
System auf autorisierte Benutzer beschränkt werden. RBAC ist eine Alternative zur herkömmlichen Mandatory
Access Control (MAC) und Discretionary Access Control (DAC).
Hauptmerkmal der RBAC ist, dass der Zugriff über Rollen definiert ist. Eine Rolle ist eine Zusammenfassung von
Berechtigungen; die Benutzer erhalten ihre Berechtigungen nur über die Rollen, denen sie zugeordnet sind, oder durch die Rollen, die sie über die Rollenhierarchie erben.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 53/134
Zuweisung von
Benutzern
Zuweisung von
Berechtigungen
Handlungen
Benutzer
Rollen
Objekte
Berechtigungen
Abbildung 4: Rollenstruktur der RBAC
Für die Durchführung von Aufgaben werden
Rollen
erstellt. In den Rollen werden
Berechtigungen
zur Ausführung bestimmter Handlungen an Objekten zusammengefasst. Den
Benutzern
werden Rollen zugewiesen, durch die sie die Berechtigung erhalten, bestimmte Funktionen im System durchführen zu dürfen. Den Benutzern werden also
Berechtigungen nicht direkt zugewiesen, sondern sie erhalten die Berechtigungen durch ihre Rolle(n). Die Verwaltung von Benutzerrechten besteht damit lediglich im Zuweisen von Rollen zu Benutzern – dies macht Vorgänge wie das Hinzufügen eines Benutzers oder das Ändern eines Benutzerkontos deutlich einfacher.
Vier zentrale Konzepte der RBAC:
RBAC-
Konzept
Beschreibung
Objekt
Subjekt
Berechtigung
Rolle
Ein
Objekt
kann ein Informationscontainer (Dateien, Verzeichnisse in einem
Betriebssystem, Tabellen und Ansichten in einem Datenbankmanagementsystem etc.) oder eine Geräteressource (z. B. ein IED) sein.
Ein
Subjekt
ist ein Benutzer im System. Es kann sich dabei um eine Person oder eine Applikation / ein Gerät handeln.
Eine
Berechtigung
ist die Erlaubnis, auf ein Objekt zuzugreifen, um bestimmte
Handlungen daran auszuüben (z. B. Einstellungen vornehmen oder eine Datei lesen).
Eine
Rolle
entspricht einer bestimmten Autorisierungsstufe im System. Den
Rollen
werden
Berechtigungen
zugewiesen.
RBAC basiert auf drei Grundregeln:
RBAC-Regel
1. Rollenzuweisung
Beschreibung
Ein Subjekt kann nur dann eine Berechtigung ausüben, wenn ihm eine Rolle zugewiesen wurde.
2. Rollenautorisierung
Die aktive Rolle eines Subjekts muss für das Subjekt erlaubt sein. Zusammen mit Regel 1 wird so gewährleistet, dass Benutzer nur Rollen annehmen können, für die sie autorisiert sind.
3. Berechtigungsautorisierung
Ein Subjekt kann nur dann eine Berechtigung ausüben, wenn die Berechtigung für die aktive Rolle des Subjekts erlaubt ist. Zusammen mit Regel 1 und 2 ist sichergestellt, dass Benutzer nur Berechtigungen ausüben können, für die sie autorisiert sind.
___________________________________________________________________________________________
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 54/134
Anmerkung
Für weitere Informationen zum RBAC-Standard, siehe die Website http://csrc.nist.gov/groups/SNS/rbac/standards.html
.
___________________________________________________________________________________________
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 55/134
3. FUNKTIONSÜBERBLICK
Mit dem SAT kann der Administrator Benutzerkonten, Rollen, Berechtigungen, zu sichernde Einheiten (ETS) und
Systemsicherheitsparameter ohne Verbindung zu den Geräten konfigurieren. Diese Informationen werden in der
Datenbank gespeichert. Dies findet im Offline-Modus statt.
Außerdem können mit dem SAT Geräte im Netzwerk überwacht werden. Dies findet im Online-Modus statt.
Die Hauptfunktionen des Offline- und Online-Modus:
•
Allgemeine Administration o Sicherheitsparameter und -modelle o Verwalten von Benutzerkonten o Rollenzuweisung
•
Erweiterte Administration o Rollen o zu sichernde Einheiten o Importieren und Exportieren der Datenbank o Zertifikate
•
Administration o Geräteregeln o Gerätesicherheitseinstellungen o Importieren von Netzwerkdateien
•
Kommunikation o Aktualisierung der IED-Liste o Anzeige von IED-Protokollen o Anzeige von SAM-Protokollen o Pushen von RBAC und Sicherheits-Policys
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 56/134
4. ERSTE SCHRITTE
4.1 S
TARTEN DES
SAT
___________________________________________________________________________________________
Anmerkung
Beim ersten Starten des SAT muss zunächst die Softwarelizenz aktiviert werden. Bei ungültiger Lizenz wird folgendes Fenster angezeigt:
Für Details zur Aktivierung, siehe Kapitel Installation, Abschnitt 3.5.1 Lizenzaktivierung.
___________________________________________________________________________________________
Zum Starten des SAT gibt es zwei Methoden:
•
1. über das SAT-Icon auf dem Windows-Desktop
•
2. über die Startseite der Toolsuite
Starten des SAT
1. Methode
Vorgang
Zum Starten von SAT
• melden Sie sich auf Ihrem Rechner mit Ihrem Windows-Account an,
• doppelklicken Sie auf das SAT-Icon auf dem Windows-Desktop,
2. Methode
Abbildung 5: SAT-Icon
•
öffnen Sie eine SAT-Sitzung.
Zum Starten von SAT
• melden Sie sich auf Ihrem Rechner mit Ihrem Windows-Account an,
• doppelklicken Sie auf die Tool Suite-Verknüpfung auf dem Windows-
Desktop,
•
öffnen Sie eine SAT-Sitzung,
• klicken Sie auf der Tool Suite Startseite auf
Security Administration
.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 57/134
Abbildung 6: Startseite der Tool Suite
___________________________________________________________________________________________
Anmerkungen
Die 1. Methode wird verwendet, wenn SAT als Standalone-Anwendung installiert ist, die 2. Methode, wenn
SAT als Teil der Tool Suite installiert ist.
___________________________________________________________________________________________
4.2 A
NMELDEN
Um sich im SAT anzumelden,
• geben Sie
Benutzernamen
und
Passwort
ein
• und klicken Sie auf
Login
.
Abbildung 7: Anmeldeseite
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 58/134
___________________________________________________________________________________________
Anmerkung
Bei der ersten Anmeldung geben Sie als Standardbenutzername
SecurityAdmin
und als Standardpasswort
AAAAAAAA
ein. Zum Ändern Ihrer Anmeldedaten, siehe Abschnitt 6.2.4 Verwalten von Benutzerkonten.
___________________________________________________________________________________________
Abbildung 8: Erster Start des SAT
4.3 A
BMELDEN
In der rechten oberen Ecke des Fensters befindet sich das Abmelde-Icon.
Klicken Sie auf dieses Icon, um die Sitzung zu schließen.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 59/134
5. ÜBERBLICK ÜBER DIE BENUTZEROBERFLÄCHE
5.1 E
LEMENTE DER
B
ENUTZEROBERFLÄCHE
Die grafische Oberfläche enthält folgende Elemente:
•
Menüleiste (1)
•
SAT-Workspace (2)
1
2
Abbildung 9: SAT-Workspace
5.1.1 M
ENÜLEISTE
Die Menüleiste enthält folgende Elemente:
•
Titelleiste
•
Befehlsleiste
Die Titelleiste zeigt folgende Informationen an:
•
Schneider Electric Logo
•
Name des derzeit angemeldeten Benutzers
•
Abmelde-Icon
•
Icons zum Minimieren, Maximieren und Schließen des Fensters
Intuitive Icons auf der Befehlsleiste bieten schnellen Zugriff auf die Standardfunktionen des SAT.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 60/134
Die Befehlsleiste enthält folgende Icons:
•
Hauptbefehle (Neu, Öffnen, Speichern, Importieren, Exportieren, Drucken)
•
Befehle zum Bearbeiten (Ausschneiden, Kopieren, Einfügen)
•
Support-Tools
•
Vollbild
•
Hilfe
Durch Bewegen des Mauszeigers über die Icons erscheinen Tooltips mit der Funktion des Icons.
Icon
Funktion Beschreibung
Legt ein neues Projekt an Neu
Öffnen
Speichern
Importieren
Exportieren
Rückgängig
Wiederholen
Öffnet ein vorhandenes Projekt
Speichert ein neues Element oder eine Änderung
Importiert Dateien
Exportiert Dateien
Druckt Daten
Macht die letzte Aktion rückgängig
Wiederholt die letzte rückgängig gemachte Aktion
Schneidet das gewählte Element aus und speichert es in der Zwischenablage
Ausschneiden
Kopieren
Einfügen
Kopiert das gewählte Element in die Zwischenablage
Fügt ein Element aus der Zwischenablage ein
Vergrößern
Support-Tools
Vergrößert die Anzeige von Daten
Gibt Zugriff zu Support-Tools wie z. B. Diagnose
Vollbild
Zeigt SAT im Vollbildmodus an. Im Vollbildmodus sind Menüleiste und
Registerkarten ausgeblendet. Zum Verlassen des Vollbildmodus, klicken
Sie auf das Icon in der rechten oberen Ecke des Bildschirms.
Hilfe Online-Hilfe
Die Menüleiste ist fixiert und kann nicht verschoben werden. Je nach Modul und Kontext sind die Icons der Menüleiste deaktiviert (ausgegraut). Die oberste Leiste in der Menüleiste, die Titelleiste, enthält den Namen der Anwendung, den Benutzernamen und die Icons zum Abmelden und zum Anpassen der Fenstergröße (Minimieren, Vergrößern/Verkleinern, Maximieren und Schließen).
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 61/134
5.1.2 SAT-W ORKSPACE
Der SAT-Workspace enthält folgende Elemente:
•
Navigationsleiste (1)
•
Ansichtsbereich (2)
1
2
Abbildung 10: SAT-Workspace - Element To Secure
Die Navigationsleiste (1) enthält die Registerkarten für die verschiedenen Ansichten und den Registerkartenpfeil
.
Um eine Registerkarte zu öffnen,
• klicken Sie oben links auf den Registerkartenpfeil und
• wählen Sie eine Registerkarte aus der Drop-down-Liste:
Der Ansichtsbereich (2) zeigt nun die gewählte Registerkarte an.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 62/134
6. ALLGEMEINE ADMINISTRATION
6.1 S
ICHERHEITSKONFIGURATION
Die Registerkarte
Security Configuration
enthält zwei Bereiche:
•
Navigationsbereich (1)
•
Eingabebereich (2)
1 2
Abbildung 11: Security Configuration
6.1.1 B EREICH U SER L OCKING
Im Bereich
User Locking
kann der Sicherheitsadministrator die Sicherheitsparameter für das Passwort festlegen:
Abbildung 12: Security Configuration – User Locking
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 63/134
User Locking
enthält folgende Eingabefelder:
Label
Minimum inactivity period (min)
Password Complexity
Beschreibung
Minimale Inaktivitätszeit (Minuten)
Nach Ablauf dieser Zeit ohne Benutzeraktivität wird das SAT gesperrt. Zum Entsperren muss der Benutzer das Passwort eingeben.
Passwortkomplexität.
Mehrere Passwortstandards stehen zur Auswahl:
None
IEEE 1686
NERC
•
Länge: min. 1 Zeichen
•
Zulässige Zeichen: ASCII-
Codes 33-122
•
Länge: min. 8 Zeichen
•
Zulässige Zeichen: ASCII-
Codes 33-122
•
1 Kleinbuchstabe, 1 Großbuchstabe, 1 Zahl und 1 nicht alphanumerisches
Zeichen
• min. 8 Zeichen
•
Zulässige Zeichen: ASCII-
Codes 33-122
• Min. 3 verschiedene Zeichenarten (z. B. Kleinbuchstaben, Großbuchstaben, Zahlen, nicht alphanumerische Zeichen)
Number of previous passwords which cannot be reused
Allow user locking
Maximum login attempts
Password attempts timer (min)
Anzahl der nicht wiederverwendbaren vorherigen Passworte
Aktiviert/deaktiviert das Sperren von Benutzerkonten
Max. zulässige Anzahl Anmeldeversuche
Zulässige Zeit für Passworteingabe (Minuten)
Automatic user account unlocking Aktiviert/deaktivert das automatische
Entsperren von Benutzerkonten
Locking period duration (s) Sperrzeit (Sekunden)
Wert
Grundeinstellung:
15
Grundeinstellung:
None
Grundeinstellung: 3
Grundeinstellung: aktiviert
Grundeinstellung: 5
Grundeinstellung: 3
Grundeinstellung: aktiviert
Grundeinstellung:
240
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 64/134
6.1.2 B EREICH L OGS
Im Bereich
Logs
kann der Sicherheitsadministrator die Parameter für die Protokolle (verwendeter Protokollstandard, IP-Adressen etc.) festlegen:
Abbildung 13: Security Configuration
– Logs
Logs
enthält folgende Eingabefelder:
Label
Log and monitoring standard
Beschreibung
Unterstützte Standards für Protokolle und
Überwachung:
•
BDEW
•
E3
•
NERC_CIP
•
IEEE 1686
•
IEC 62351
•
CS_PH1
Wert
Grundeinstellung:
BDEW
Syslog server IP address
Syslog server IP port
SNMP client IP address
Anmerkung
: Ist kein Standard ausgewählt, werden keine Sicherheitsprotokolle verarbeitet.
IP-Adresse des Syslog-Servers (siehe Anmerkung)
IP-Adresse des SNMP-Clients (siehe Anmerkung)
Pflichtfeld
IP-Port des Syslog-Servers (siehe Anmerkung) Grundeinstellung:
601
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 65/134
__________________________________________________________________________________________
Anmerkung
Ist das SAT als Standalone-Anwendung installiert, werden die Einstellungen
Syslog server IP address
,
Syslog server IP port
und
SNMP client IP address
nicht benötigt.
__________________________________________________________________________________________
6.1.3 B EREICH S ECURITY B ANNER
Im Bereich
Security Banner
kann der Sicherheitsadministrator die Parameter für das Sicherheitsbanner festlegen:
Abbildung 14: Security Configuration Editor – Security Banner
Security Banner
enthält folgende Eingabefelder:
Label
Security banner large
(siehe Anmerkung)
Beschreibung
Langes Sicherheitsbanner auf Gerätefront.
•
Max. 1024 Zeichen
Zulässige Zeichen: Unicode/UTF-8
Wert
Security banner medium
(siehe Anmerkung)
Security banner small
(siehe Anmerkung)
Mittleres Sicherheitsbanner auf Gerätefront.
•
Max. 32 Zeichen
Zulässige Zeichen: Unicode/UTF-8
Kurzes Sicherheitsbanner auf Gerätefront.
•
Max. 8 Zeichen
Zulässige Zeichen: Unicode/UTF-8
__________________________________________________________________________________________
Anmerkung
Das Sicherheitsbanner erscheint auf dem Vor-Ort-Bedienfeld der Geräte. Es besteht aus zwei Teilen:
•
Eine Seite mit einem Disclaimer, den der Benutzer einmal bestätigen muss.
•
Eine weitere Seite mit der Gerätekennung, die der Benutzer bestätigt bzw. nicht bestätigt. Dieser Text kann in den Feldern
Security banner large
,
Security banner medium
und
Security banner small
angepasst werden.
__________________________________________________________________________________________
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 66/134
6.1.4 B EREICH C ERTIFICATES
SAT enthält eine Zertifikatsbibliothek, die in der SAT-Datenbank gespeichert ist. Der Sicherheitsadministrator kann diese Zertifikate an die Geräte senden.
Im Bereich
Certificates
können
• neue Zertifikate hinzugefügt werden (Import aus Zertifikatsdatei),
•
Zertifikateigenschaften geändert werden,
•
Zertifikate gelöscht werden,
•
Zertifikate exportiert werden.
Abbildung 15: Security Configuration - Certificates
•
Ein neues Zertifikat kann per Drag-and-Drop zur Bibliothek hinzugefügt werden.
•
Bei Doppelklick auf ein Zertifikat wird dessen Inhalt in einem Pop-up-Fenster angezeigt.
Zum Anzeigen oder Ausblenden von Spalten gehen Sie wie folgt vor:
•
Klicken Sie auf
•
.
Markieren Sie die Spalten, die angezeigt werden sollen:
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 67/134
Abbildung 16: Certificates - Auswahl der Spalten
Zum Hinzufügen eines neuen Zertifikats, gehen Sie wie folgt vor:
•
Klicken Sie auf
Add New Certificate
.
•
Geben Sie Namen (
Name
) und Beschreibung (
Description
) ein.
•
Wählen Sie die Zertifikatsdatei mit der Schaltfläche
Browse...
.
•
Klicken Sie auf
Apply
, um Ihre Auswahl zu speichern.
Das Fenster
New Certificate
enthält folgende Felder:
Label
Name
Description
Certificate to be imported
Beschreibung
Name des Zertifikats
Beschreibung des Zertifikats
Pfad und Dateiname der Zertifikatsdatei
Zum Ändern eines Zertifikats, gehen Sie wie folgt vor:
•
Doppelklicken Sie auf das ausgewählte Zertifikat.
•
Geben Sie Namen (
Name
) und Beschreibung (
Description
) ein.
Wert
Pflichtfeld
Pflichtfeld
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 68/134
•
Klicken Sie auf
Apply
, um Ihre Auswahl zu speichern.
Zum Löschen eines Zertifikats, gehen Sie wie folgt vor:
•
Klicken Sie in der Zeile des ausgewählten Zertifikats auf das Papierkorb-Icon
•
Bestätigen Sie den Löschvorgang mit
Yes
.
.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 69/134
6.1.5 B EREICH A UTHENTICATION C ONFIGURATION
Registerkarte Common
In dieser Registerkarte kann der Authentifizierungsmodus gewählt werden:
•
Local
•
Local then centralized
•
Centralized then local
Als Authentifizierungsserver sind RADIUS, SAMBA und LDAP auswählbar.
Abbildung 17: Security Configuration - Common
Common
enthält folgende Eingabefelder:
Label
Authentication Mode
Beschreibung
Verwendeter Authentifizierungsmodus
•
Lokal
•
Lokal, dann zentral
•
Zentral, dann lokal
Wert
Grundeinstellung: local
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 70/134
Label Beschreibung
Default role for centralized authentication Standardmäßig zugewiesene Rolle bei zentralem Zugang ohne Angabe der Rolle:
•
ENGINEER
•
INSTALLER
•
OPERATOR
•
RBACMNT
•
SECADM
•
SECAUD
•
VIEWER
Wert
Grundeinstellung:
ENGINEER
Centralized autentication timeout (s)
Centralized authentication protocol
Max. Zeit, die die Cyber-Security-
Komponente auf eine Authentifizierungsantwort jedes Servers wartet.
Protokoll für zentrale Authentifizierung:
•
None (siehe Anmerkung 1)
•
RADIUS (siehe Anmerkung 2)
•
SAMBA
•
LDAP
Anmerkung 1
: Ist kein zentrales Authentifizierungsprotokoll (
None
) gewählt, sind in den
Security-Policys keine Parameter für zentrale
Authentifizierung enthalten.
Anmerkung 2
: Ist als zentrales Authentifizierungsprotokoll
RADIUS
gewählt, dann muss die RADIUS-Clientkonfiguration eingegeben werden.
Grundeinstellung:
0
Grundeinstellung:
None
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 71/134
Registerkarte RADIUS
Mit dem SAT können die RADIUS-Parameter der Cyber-Security-Clients konfiguriert werden, z. B.
• die IP-Adresse des RADIUS-Servers,
• das gemeinsame Passwort,
• die Standardrolle,
• den Authentifizierungsmodus:
Abbildung 18: Security Configuration - RADIUS
RADIUS
enthält folgende Eingabefelder:
Label
Mode
Beschreibung
Verbindungsmodus dees RADIUS-Clients:
•
RADIUS_CLEAN
•
EAP-TTLS
Wert
Grundeinstellung:
RADIUS_CLEAN
IP Address
Port
IP-Adresse des RADIUS-Servers
Der vom RADIUS-Server verwendete Port für die Verbindung mit der Cyber-Security-Komponente
Shared Secret
Ip Address backup
Port Backup
Gemeinsames Passwort von RADIUS-Client und RADIUS-Server
IP-Adresse des zweiten (Backup-)RADIUS-Servers Optionales Feld
Portnummer des zweiten (Backup-)RADIUS-Servers
Shared Secret Backup Gemeinsames Passwort von RADIUS-Client und zweitem (Backup-)RADIUS-Server
Optionales Feld
Optionales Feld
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 72/134
Label
Role attribute name
Wert
AoR attribute name
Date attribute name
Attributes separator
Beschreibung
Name des Attributs in der RADIUS-Protokoll-Antwort, in dem die
Rolle gespeichert ist
Name des Attributs in der RADIUS-Protokoll-Antwort, in dem die
AoR gespeichert ist
Name des Attributs in der RADIUS-Protokoll-Antwort, in dem das
Datum gespeichert ist
Attributtrennzeichen bei mehreren Attributen
Dictonary
Parsing Debug
Langer String, in dem der Inhalt des RADIUS-Dictionarys gespeichert ist
Aktiviert/deaktiviert Debugging Grundeinstellung: deaktiviert
Registerkarte SAMBA
Die Registerkarte
SAMBA
wird in der nächsten Dokumentversion beschrieben.
Registerkarte LDAP
Die Registerkarte
LDAP
wird in der nächsten Dokumentversion beschrieben.
6.1.6 B EREICH I MPORT /E XPORT
Dieser Bereich dient dem Importieren und Exportieren von Datenbankdateien.
Für Details zur Vorgehensweise, siehe Abschnitt 8.4 Importieren und Exportieren der SAT-Datenbank.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 73/134
HINWEIS
PASSWORT BEI DATENEXPORT/-IMPORT
Mit Hilfe der Export-Funktion können Backups aller SAT-Daten erstellt werden, einschließlich der Passwörter. Nach dem Import des Backups sind dieselben Passwörter weiterhin gültig und müssen erinnert werden.
Die Nichtbefolgung dieser Anweisung kann dazu führen, dass das SAT nicht mehr gestartet werden kann.
6.2 B
ENUTZERVERWALTUNG
6.2.1 R EGISTERKARTE U SER A CCOUNTS
Ein Benutzerkonto ist eine logische Darstellung einer Person mit konfigurierbaren Parametern. Es enthält Informationen über die Identität des Benutzers sowie die Anmeldedaten, mit denen er von der Tool Suite erkannt wird.
Einem Benutzerkonto können Rollen zugewiesen werden, die den Benutzer zu bestimmten Handlungen autorisieren.
In der Registerkarte
User Accounts
im SAT-Workspace wird die Liste der vorhandenen Benutzerkonten angezeigt; sie können vom Sicherheitsadministrator verwaltet werden.
Der Sicherheitsadministrator kann
• die Liste der Benutzerkonten anzeigen, sortieren und filtern,
• neue Benutzerkonten hinzufügen,
•
Benutzerkonten bearbeiten oder löschen.
Die Registerkarte gliedert sich in zwei Teile:
•
Liste der Benutzerkonten (1)
•
Eigenschaften der Benutzerkonten (2)
1
2
Abbildung 19: User Accounts
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 74/134
6.2.2 E IGENSCHAFTEN VON B ENUTZERKONTEN
Ein Benutzerkonto enthält folgende Parameterkategorien:
Kategorie
User Information
User Authentication
Beschreibung
Editierbare Felder:
•
Benutzername (Pflichtfelder)
•
Telefonnummer
•
•
Tätigkeit
Nicht editierbare Felder:
•
Datum der Erstellung des Benutzerkontos
•
Datum der letzten Änderung des Benutzerkontos
Editierbare Felder:
•
Benutzername zum Anmelden (Pflichtfeld)
•
Passwort
•
Option zum Deaktivieren
Anmerkung: Benutzername und Passwort folgen den Regeln der Geräte
(für Details, siehe Abschnitt 8.3 Geräteregeln).
HINWEIS
PASSWORTVERLUST
Um das Risiko eines Passwortverlusts zu minimieren, wird empfohlen, zwei
Adminstratorkonten mit der Rolle
SECADM
anzulegen.
Bei Verlust eines oder beider Administratorpasswörter, gehen Sie wie folgt vor:
•
Installieren Sie das SAT neu (alle Daten werden dabei überschrieben).
•
Setzen Sie alle Geräte auf Werkseinstellungen zurück, um deren Kommunikation mit dem SAT wiederherzustellen.
Die Nichtbefolgung dieser Anweisung kann dazu führen, dass das SAT nicht mehr gestartet werden kann.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 75/134
6.2.3 L ISTE DER B ENUTZERKONTEN
Das Fenster gliedert sich in zwei Teile:
•
Werkzeugleiste (1)
•
Liste (2)
1
2
Abbildung 20: Liste der Benutzerkonten
Die Werkzeugleiste enthält folgende Elemente:
•
Spaltenfilter
•
Spaltenüberschriften
Die einzelnen Spalten können ausgeblendet oder angezeigt werden:
•
Klicken Sie auf .
•
Wählen Sie, welche Spalten angezeigt oder ausgeblendet werden sollen.
Abbildung 21: Liste der Benutzerkonten – Auswahl der Spalten
Mit Klick auf die Spaltenüberschriften lassen sich die Einträge sortieren:
•
Sortieren nach
Benutzername
•
Sortieren nach
Vorname
•
Sortieren nach
Nachname
•
Sortieren nach
Telefonnummer
•
Sortieren nach
•
Sortieren nach
Tätigkeit
•
Sortieren nach Option
Deaktiviert
•
Sortieren nach dem
Erstellungsdatum
des Benutzerkontos
•
Sortieren nach dem Datum der letzten Änderung
des Benutzerkontos
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 76/134
Abbildung 22: Liste der Benutzerkonten – Sortieren nach Spaltenüberschrift
Zum Filtern innerhalb einer Spalte dient das Filter-Icon:
•
Klicken Sie auf .
•
Wählen Sie, welcher Listeneintrag angezeigt oder ausgeblendet werden soll.
Abbildung 23: Liste der Benutzerkonten – Filtern der Einträge
6.2.4 V ERWALTEN VON B ENUTZERKONTEN
Zum Erstellen eines Benutzerkontos, klicken Sie auf
Add a User Account
.
Hierzu gehören zwei Parameterkategorien:
Einige Parameter sind Pflichtfelder, andere sind optional. Pflichtfelder sind:
• First Name
• Last Name
• Login
User Information
enthält folgende Eingabefelder:
Label
First Name
Beschreibung
Vorname des Benutzers
• max. 50 Zeichen
•
Zulässige Zeichen: alphanumerisch, -, Leerzeichen
Wert
Pflichtfeld
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 77/134
Label
Last Name
Phone Number
Beschreibung
Nachname des Benutzers
•
• max. 50 Zeichen
Zulässige Zeichen: alphanumerisch, -, Leerzeichen
Telefonnummer des Benutzers
• max. 50 Zeichen
• nur Zahlen
• zulässige sonstige Zeichen: + ( ) - Leerzeichen
E-Mail-Adresse des Benutzers
• max. 100 Zeichen
• muss enthalten: @. Adressteile davor und danach dürfen nicht leer sein.
•
Rechter Adressbereich muss mindestens einen Punkt enthalten und darf nicht mit Punkt beginnen oder enden.
•
7-Bit-Ascii-Format, jedes Zeichen hat einen Wert von
1 bis 127
Wert
Pflichtfeld
Work Details
Date of Creation
Angaben zur Tätigkeit des Benutzers, max. 1000 Zeichen
Datum der Erstellung des Benutzerkontos
Last Modification Datum der letzten Änderung des Benutzerkontos
User Authentication
enthält folgende Eingabefelder:
Nicht editierbar
Nicht editierbar
Label
Login
Password
Beschreibung
Benutzername, bei der Anmeldung einzugeben. Der Benutzername muss eindeutig sein.
• min. 4 Zeichen
• nicht-alphanumerische Zeichen und Leerzeichen sind unzulässig
Anmerkung
: Der Benutzername folgt den Regeln der
Geräte. Für Details, siehe Abschnitt 8.3 Geräteregeln.
Das Passwort für das Benutzerkonto ist standardmäßig auf 50 Zeichen begrenzt. Die Begrenzung richtet sich nach dem Gerätetyp. Für weitere Informationen wenden
Sie sich bitte an Ihre örtliche Schneider Electric Vertretung oder das Schneider Electric Customer Care Center.
• min. 8 Zeichen
•
Kombination aus alphanumerischen Zeichen und
Sonderzeichen, mindestens 1 Großbuchstabe
Anmerkung
: Das Passwort folgt den Regeln der Geräte.
Für Details, siehe Abschnitt 8.3 Geräteregeln.
Confirm password Bestätigung des Passworts
Wert
Pflichtfeld
Grundeinstellung: leer
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 78/134
Label
Arrow Password
Beschreibung
Eingabe des Benutzerpassworts über die Pfeiltasten
Wert
Deactivated Option zum Deaktivieren des Benutzerkontos. Das Datum der Deaktivierung kann angezeigt oder ausgeblendet werden.
Anmerkung
: Ein Sicherheitsadministrator kann sein eigenes Benutzerkonto nicht deaktivieren.
Zum Erstellen eines neuen Benutzerkontos gehen Sie folgendermaßen vor:
•
Klicken Sie auf
Add a User Account
.
•
Füllen Sie die Felder aus wie oben beschrieben.
•
Klicken Sie auf
Apply
, um die Parameter zu speichern.
•
Klicken Sie auf
OK
; das neue Benutzerkonto wird der Liste hinzugefügt.
Abbildung 24: Erstellen eines Benutzerkontos
Zum Ändern eines Benutzerkontos gehen Sie folgendermaßen vor:
•
•
Wählen Sie ein Benutzerkonto aus der Liste aus.
Doppelklicken Sie darauf und ändern Sie die Eingaben wie benötigt.
•
Klicken Sie auf
Apply
, um die Parameter zu speichern.
•
Klicken Sie auf
OK
.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 79/134
Zum Löschen eines Benutzerkontos gehen Sie folgendermaßen vor:
•
Wählen Sie ein Benutzerkonto aus der Liste aus (1).
•
Klicken Sie auf das Papierkorb-Icon (2) oder wählen Sie aus dem Kontextmenü
Delete
.
•
Klicken Sie im nun aufgeschalteten Fenster auf
Yes
(3); das Benutzerkonto wird aus der Liste entfernt. Mit
No
wird der Vorgang abgebrochen.
1
2
3
Abbildung 25: Löschen von Benutzerkonten
6.3 G
LOBALE
S
ICHERHEITSKONFIGURATION
6.3.1 R EGISTERKARTE G LOBAL S ECURITY
Die Knoten in der Rollenhierarchie der RBAC werden als Bereiche (
Scopes
) betrachtet und können unabhängig voneinander gesichert werden. Jeder Knoten kann mehrere Rollen und Benutzerkonten enthalten und bestimmte
Sicherheits-Policys definieren.
In der Registerkarte
Global Security
können Bereiche verwaltet und jedem Benutzerkonto Rollen zugewiesen oder Zuweisungen entfernt werden.
Bereiche können nur vom Sicherheitsadministrator verwaltet werden.
Der Sicherheitsadministrator kann
• die Listen der Rollen und Benutzerkonten und die Zuweisungen Benutzer-Rolle bzw. Rolle-Benutzer anzei-
• gen, jedem Benutzerkonto Rollen zuweisen bzw. Zuweisungen entfernen,
• jeder Rolle Benutzerkonten zuweisen bzw. Zuweisungen entfernen.
Die Registerkarte
Global Security
enthält zwei Bereiche, die jeweils für Benutzer und Rolle angezeigt werden können:
•
Baumansicht der Bereiche (1)
•
Zuweisungsbereich (2)
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 80/134
Abbildung 26: Global Security - Anzeige nach Benutzern
Abbildung 27: Global Security - Anzeige nach Rollen
In der Baumansicht der Bereiche kann
• der Standardbereich (
Default Scope
) bearbeitet werden (siehe Anmerkung unten)
• die Version des Standardbereichs angezeigt werden.
__________________________________________________________________________________________
Anmerkung
Für den
Default Scope
kann ein lokaler Zugriff aktiviert werden, dem dann Rollen zugewiesen werden können
(z. B. bei Geräten mit Vor-Ort-Zugriff über das HMI).
Zur Konfiguration des lokalen Zugriffs gehen Sie folgendermaßen vor:
•
Klicken Sie mit der rechten Maustaste auf
Default Scope
.
•
Wählen Sie
Edit
(1).
•
Aktivieren Sie die Option
Local Default Access
(2).
•
Wählen Sie die Rollen, die dem lokalen Zugriff zugewiesen werden sollen (3).
•
Klicken Sie auf
Apply
.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 81/134
2
3
4
Abbildung 28: Bearbeiten des Standardbereichs
Zum Anzeigen der Versionsübersicht für den Standardbereich gehen Sie folgendermaßen vor:
•
Klicken Sie mit der rechten Maustaste auf
Default Scope
.
•
Wählen Sie
Show History
.
•
Die Versionsübersicht wird angezeigt.
Abbildung 29: Versionsübersicht des Standardbereichs
Die Versionierung beinhaltet die Benutzerversion, Rollenversion, Berechtigungsversion und die Version der
Sicherheits-Policys. Für weitere Details, siehe Abschnitt 7.7 Pushen von Konfigurationen.
_________________________________________________________________________________________
6.3.2 G LOBAL S ECURITY A NZEIGE NACH B ENUTZERN
Die Anzeige nach Benutzern enthält folgende drei Teile:
•
Liste der Benutzerkonten (1)
•
Liste der zugewiesenen Rollen (2)
•
Details der zugewiesenen Rollen (3)
1 2
3
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 82/134
Wenn ein neues Benutzerkonto erstellt wird, muss ihm mindestens eine Rolle zugewiesen werden. Dies erfolgt in zwei Schritten:
Schritt 1
: Hinzufügen des Benutzerkontos zur Liste
•
Klicken Sie auf
Add User Account
(1).
•
Markieren Sie das Benutzerkonto in Fenster (2).
•
Klicken Sie auf
OK
(3); das neue Benutzerkonto wurde der Benutzerkontenliste hinzugefügt (4).
1
2
3
4
Abbildung 30: Global Security – Hinzufügen eines neuen Benutzerkontos
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 83/134
_______________________________________________________________________________
Anmerkung
Zum Entfernen eines Benutzerkontos aus der Liste, klicken Sie auf
X
und bestätigen Sie im Fenster
Information mit
Yes
.
_______________________________________________________________________________
Schritt 2
: Zuweisen von Rollen
•
Wählen Sie ein Benutzerkonto aus der Liste aus (1).
•
Klicken Sie auf
Associate Role
(2).
•
Markieren Sie die gewünschte(n) Rolle(n) im Fenster
Associate Role
(3) und klicken Sie auf
OK
(4); die
Rolle(n) werden nun in der Liste der zugewiesenen Rollen angezeigt (5).
1
2
3
4
5
Abbildung 31: Global Security – Zuweisen von Rollen zu Benutzerkonten
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 84/134
6.3.3 G LOBAL S ECURITY A NZEIGE NACH R OLLEN
Die Anzeige nach Rollen enthält folgende drei Teile:
•
Liste der Rollen (1)
•
Liste der zugewiesenen Benutzerkonten (2)
•
Details der zugewiesenen Benutzer (3)
1 2
3
Jeder Rolle können Benutzerkonten zugewiesen oder Zuweisungen entfernt werden.
Zum Zuweisen von Benutzerkonten zu einer Rolle gehen Sie folgendermaßen vor:
•
Wählen Sie die Rolle aus der Liste aus (1).
•
Klicken Sie auf
Associate User Accounts
(2).
•
Markieren Sie die gewünschten Benutzerkonten im Fenster
Associate User Account
(3) und klicken Sie auf
OK
(4); die Benutzerkonten werden nun in der Liste der zugewiesenen Benutzerkonten angezeigt (5).
1
2
3
4
Abbildung 32: Global Security – Zuordnen von Benutzerkonten zu Rollen
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 85/134
7. KOMMUNIKATION
7.1 H
ERSTELLEN DER
K
OMMUNIKATIONSVERBINDUNG
Dieser Abschnitt beschreibt, wie die Kommunikation mit IEDs hergestellt werden kann.
Das SAT ermöglicht die Kommunikation mit Geräten im Netzwerk über die IED-Liste (
Network Device List
).
Zum Herstellen der Kommunikation, gehen Sie wie folgt vor:
•
Klicken Sie links oben (1) auf
•
Klicken Sie auf
Refresh
(4).
.
•
Wählen Sie
Network Device List…
(2); die IED-Liste wird angezeigt (3).
Abbildung 33: Network Device List
___________________________________________________________________________________________
Anmerkung
Für die Kommunikation mit IEDs müssen Netzwerk und Geräte funktionsfähig sein. Wird der Security Administration Manager (SAM) im Netzwerk nicht gefunden, erscheint eine Fehlermeldung, dass die Kommunikation nicht hergestellt werden konnte.
___________________________________________________________________________________________
7.2 A
KTUALISIEREN DER
N
ETWORK
D
EVICE
L
IST
Verbundene Geräte werden in der IED-Liste
Network Device List
angezeigt. Das SAT sendet Multicast-
Nachrichten durch das Netzwerk und die angebundenen Geräte antworten mit ihrer ID und den Versionen der Benutzerkonten, Rollen, Berechtigungen, Sicherheits-Policys und IP-Adressen.
Die Aktualisierung der IED-Liste erfolgt manuell über die Schaltfläche .
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 86/134
Abbildung 34: Aktualisieren der IED-Liste
Die IED-Liste enthält folgende Angaben:
Wert
SAM
Ied Name
Version
User Version
Role Version
Beschreibung
IP-Adresse des SAM und Version der Konfiguration
Name des IED
Name der gepushten Konfiguration
Benutzerkontoversion des IED
Rollenversion des IED
Anmerkung
Wird bei erfolgreichem Push-
Vorgang aktualisiert
Wird bei erfolgreichem Push-
Vorgang aktualisiert
Wird bei erfolgreichem Push-
Vorgang aktualisiert
Permission Version
Discovery Version
Berechtigungsversion des IED
Version der Sicherheits-Policys des IED
Wird bei erfolgreichem Push-
Vorgang aktualisiert
Wird bei erfolgreichem Push-
Vorgang aktualisiert
Main Type
Firmware
IED-Typ
Firmware-Version
IP IP-Adresse des IED
Abbildung 35: Angaben der IED-Liste
Zum Filtern des Spalteninhalts gehen Sie wie folgt vor:
•
Klicken Sie auf .
•
Wählen Sie, welcher Listeneintrag angezeigt oder ausgeblendet werden soll.
Abbildung 36: Network Device List - Auswahl der Spalten
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 87/134
7.3 I
MPORTIEREN VON
N
ETZWERKDATEIEN
In der
Network Device List
können SCD-Dateien importiert und die Netzwerktopologie angezeigt werden.
Zum Importieren einer Netzwerkdatei gehen Sie wie folgt vor:
•
Öffnen Sie die Registerkarte
Network Device List
.
•
Klicken Sie auf .
•
Wählen Sie die SCD-Datei aus, die Sie importieren möchten.
Es werden nun die Geräte im Netzwerk angezeigt:
Abbildung 37: Anzeigen der Geräte im Netzwerk
_________________________________________________________________________________________
Anmerkung
Über das Papierkorb-Icon sie erhalten).
lassen sich Geräte aus der Liste entfernen (in der importierten SCD-Datei bleiben
_________________________________________________________________________________________
7.4 G
ERÄTESICHERHEITSEINSTELLUNGEN
Eine Schutzeinrichtung wird durch ein Gerätemodell referenziert, das einen IED-Typ und eine Firmware-Version enthält.
Dieses Gerätemodell ist mit einem Satz Gerätesicherheitseinstellungen (
Device Security Settings
, DSS) verknüpft, der sogenannten Gerätevorlage (
Device Template
).
Gerätesicherheitseinstellungen sind Sicherheitsvariablen, die je nach IED verschiedene Werte haben können.
Sie werden als Schlüssel-Wert-Paare dargestellt.
Mit dem SAT können die Gerätesicherheitseinstellungen verwaltet und bearbeitet werden. Folgende Vorgänge sind möglich:
•
Laden der Gerätevorlage aus den erkannten IEDs im Netzwerk
•
Bearbeiten der Werte der Sicherheitsvariablen in der Gerätevorlage
•
Erstellen und Bearbeiten von Gerätevorlagen durch Hinzufügen, Entfernen oder Umbenennen der Schlüssel in der Gerätevorlage
Neue Gerätevorlagen werden in der SAT Datenbank gespeichert und die geänderten DSS an die Geräte übertragen.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 88/134
_________________________________________________________________________________________
Anmerkung
Für diese Funktion wird eine Volllizenz benötigt.
_________________________________________________________________________________________
7.4.1 W ERTE
Die Werte der Gerätesicherheitseinstellungen können bearbeitet werden.
Gehen Sie dazu folgendermaßen vor:
•
Wählen Sie in der
Network Device List
das gewünschte IED aus.
•
Klicken Sie mit der rechten Maustaste darauf.
•
Wählen Sie im Kontextmenü
Edit Template Values
(siehe Anmerkung).
_________________________________________________________________________________________
Anmerkung
_________________________________________________________________________________________
Die Registerkarte
Template Values (SecBrick)
schaltet sich auf.
•
Geben Sie die gewünschten Werte ein.
•
Klicken Sie auf
Apply
, um die Änderungen zu speichern.
•
Klicken Sie auf
OK
, um die Registerkarte zu schließen.
Abbildung 38: Template Values
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 89/134
7.4.2 G ERÄTEVORLAGEN
7.4.2.1
Bearbeiten von Gerätevorlagen
Zum Bearbeiten einer Gerätevorlage gehen Sie wie folgt vor:
•
Klicken Sie in der Registerkarte
Network Device List auf
Edit Device Templates
.
Abbildung 39: Bearbeiten von Gerätevorlagen
Die Registerkarte
Device Templates
mit der Liste der vorhandenen Gerätevorlagen schaltet sich auf.
•
Zum Bearbeiten einer Vorlage, klicken Sie auf , zum Hinzufügen einer neuen Vorlage, klicken Sie auf .
Abbildung 40: Liste der Gerätevorlagen
•
Klicken Sie auf
Apply
, um Ihre Änderungen zu speichern.
•
Klicken Sie auf
OK
, um die Registerkarte zu schließen.
7.4.2.2
Kopieren von Gerätevorlagen
Zum Kopieren einer vorhandenen Vorlage gehen Sie wie folgt vor:
•
Klicken Sie mit der rechten Maustaste darauf.
•
Wählen Sie
Copy and Edit Device Template
.
Abbildung 41: Kopieren und Bearbeiten von Gerätevorlagen
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 90/134
Die neue Gerätevorlage enthält bereits die Schlüssel und Werte der Ursprungsvorlage:
Abbildung 42: Neue Gerätevorlage
Nehmen Sie die notwendigen Änderungen vor (z. B. Hinzufügen von Schlüsseln, Ändern von Werten) und speichern Sie die neue Vorlage.
7.4.2.3
Hinzufügen von Gerätevorlagen
Zum Hinzufügen einer Gerätevorlage gehen Sie wie folgt vor:
•
•
Klicken Sie in der
Network Device List
auf
Edit Device Templates
.
In der Registerkarte
Device Templates
klicken Sie auf
Add device template
.
Abbildung 43: Hinzufügen von Gerätevorlagen (1)
Eine neue Registerkarte
Device template (new)
schaltet sich auf.
Nehmen Sie die erforderlichen Eingaben vor in den Feldern
• Model type
• Firmware
•
Klicken Sie auf
Add Key
, um der Gerätevorlage einen Sicherheitsschlüssel zuzuweisen.
•
Klicken Sie auf
Apply
.
•
Klicken Sie auf
OK
.
Abbildung 44: Hinzufügen von Gerätevorlagen (2)
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 91/134
7.4.2.4
Löschen von Gerätevorlagen
Zum Löschen einer Gerätevorlage gehen Sie wie folgt vor:
•
Klicken Sie in der Registerkarte
Network Device List auf
Edit Device Templates
. Die Registerkarte
Device Templates
mit der Liste der vorhandenen Gerätevorlagen schaltet sich auf.
•
Markieren Sie die Vorlage, die Sie löschen möchten, und klicken Sie auf das Papierkorb-Icon.
Abbildung 45: Löschen von Gerätevorlagen
Ein Fenster zur Bestätigung des Löschvorgangs schaltet sich auf.
•
Bestätigen Sie mit
Yes
.
7.4.3 S CHLÜSSEL
Sicherheitsschlüssel sind Sicherheitsvariablen, die je nach IED verschiedene Werte haben können. Sie werden in
Schlüssel-Wert-Paaren dargestellt.
7.4.3.1
Bearbeiten von Schlüsseln
Zum Bearbeiten von Schlüsseln gehen Sie wie folgt vor:
•
Klicken Sie in der Registerkarte
Network Device List auf
Edit Device Templates
.
•
In der Registerkarte
Device Templates
klicken Sie auf .
Eine neue Registerkarte
Device template (<
Gerätetyp
> <
Firmware
>)
schaltet sich auf. Sie zeigt die jeweilige
Gerätevorlage mit Gerätetyp, Firmware-Version sowie einer Liste der Sicherheitsschlüssel, die dieser Gerätevorlage zugewiesen wurden.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 92/134
•
Zum Bearbeiten eines Schlüssels klicken Sie auf das Stift-Icon.
Bearbeiten des Schlüssels
•
Das Fenster
Key Editor
schaltet sich auf, in dem Sie den Namen, Typ und Wert des Schlüssels ändern können:
Das Feld
Type
dient nur der Information. Zwischen den Feldern
Type
und
Default value
findet keine Konsistenzprüfung statt.
•
Klicken Sie auf
Apply
, um die Änderungen zu speichern.
•
Klicken Sie auf
OK
, um das Fenster zu schließen.
Der Datensatz in der Registerkarte
Device template (<Gerätetyp> <Firmware>)
ist nun geändert.
•
Klicken Sie auf
Apply
, um die Änderungen zu speichern.
•
Klicken Sie auf
OK
, um die Registerkarte zu schließen.
7.4.3.2
Hinzufügen von Schlüsseln
Zum Hinzufügen von Schlüsseln gehen Sie wie folgt vor:
•
Klicken Sie in der Registerkarte
Network Device List auf
Edit Device Templates
.
•
In der Registerkarte
Device Templates
markieren Sie die gewünschte Gerätevorlage und klicken Sie auf das Stift-Icon.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 93/134
In der Registerkarte
Device template (<Gerätetyp> <Firmware>)
klicken Sie auf
Add Key
.
•
Das Fenster
Key Editor
schaltet sich auf. Geben Sie den Namen, Typ und Wert des Schlüssels ein:
Das Feld
Type
dient nur der Information. Zwischen den Feldern
Type
und
Default value
findet keine Konsistenzprüfung statt.
•
Klicken Sie auf
Apply
, um die Änderungen zu speichern.
•
Klicken Sie auf
OK
, um das Fenster zu schließen.
Der neue Schlüssel erscheint nun in der Liste:
•
Klicken Sie erneut auf
Apply
, um Ihre Änderungen zu speichern.
•
Klicken Sie auf OK, um die Registerkarte zu schließen.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 94/134
7.4.3.3
Löschen von Schlüsseln
Zum Löschen von Schlüsseln gehen Sie wie folgt vor:
•
Klicken Sie in der
Network Device List
auf
Edit Device Templates
.
•
In der Registerkarte
Device Templates
markieren Sie die gewünschte Gerätevorlage und klicken Sie auf das Papierkorb-Icon.
Ein Fenster zur Bestätigung des Löschvorgangs schaltet sich auf.
•
Bestätigen Sie mit
Yes
.
7.5 A
NZEIGEN VON
IED-P
ROTOKOLLEN
Alle sicherheitsrelevanten Vorgänge (Herstellung der Verbindung, Konfiguration etc.) werden automatisch als Ereignisse erfasst und protokolliert; so hat der Sicherheitsadministrator zu jedem Zeitpunkt einen Überblick über alle
Aktivitäten und Handlungen.
Zum Anzeigen der Protokolle dient der Ereignis-Viewer.
Um das Protokoll eines IED anzuzeigen, gehen Sie wie folgt vor:
•
Markieren Sie das gewünschte IED in der Liste.
•
Wählen Sie
Visualize Logs
.
•
___________________________________________________________________________________________
Anmerkung
Wenn keine Protokolle gefunden werden, wird dies in einer Warnmeldung angezeigt.
___________________________________________________________________________________________
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 95/134
7.6 A
NZEIGEN VON
SAM-P
ROTOKOLLEN
Das Anzeigen von SAM-Protokollen ist ein manueller Vorgang.
Zum Anzeigen der Liste der SAM-Protokolle gehen Sie wie folgt vor:
•
Klicken Sie in der Registerkarte
Network Device List
auf
Visualize SAM Logs
.
•
Die Registerkarte
Logs SAM
mit den aktuellen SAM-Protokollen wird angezeigt.
1
2
Abbildung 46: Anzeigen von SAM-Protokollen
Die Ansicht enthält zwei Bereiche (siehe obige Abbildung):
•
Werkzeugleiste (1)
•
Protokoll-Liste (2)
Die Werkzeugleiste enthält folgende Icons:
•
Aktualisiert die Liste
•
Exportiert die Liste in eine Datei.
Verfügbare Formate: CSV
(Grundeinstellung), XML und
HTML
•
Durchsucht Protokolle nach
Stichwörtern
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 96/134
Spalte
TimeStamp (seconds)
LogId
Level
Type
AppName
AppMsg
IssuerId
IssuerAddr
PeerId
PeerAddr
Beschreibung
Datum und Uhrzeit des Protokolls
Datumsformat: Tag/Monat/Jahr
Uhrzeitformat: Stunde:Minute:Sekunde
Identifikationsnummer des Protokolls
Protokollstufe
Anmerkung
: Für die Beschreibung der Sicherheitsprotokolle, siehe Anhang.
Kategorie des Sicherheitsprotokolls im Standard.
Siehe Anhang, Abschnitt 9.1 Sicherheitsprotokolle.
Anwendungsname
Meldung der Anwendung mit Ursache des Protokolls
Issuer-ID
Issuer-Adresse
Peer-ID
IP-Adresse des Peers
Abbildung 47: SAM-Protokolle
___________________________________________________________________________________________
Anmerkungen
Es sind nur dann Protokolle verfügbar, wenn der SAM von der
Network Device List
erkannt wird.
Die maximale Anzahl der vom SAM abrufbaren Protokolle ist 50000.
Wenn keine Protokolle gefunden werden, wird dies in einer Warnmeldung angezeigt.
___________________________________________________________________________________________
7.7 P
USHEN VON
K
ONFIGURATIONEN
Der Sicherheitsadministrator kann RBAC-Einstellungen und Sicherheits-Policys an IEDs senden. Dieser Vorgang wird „Pushen von Konfigurationen“ genannt und wird im Folgenden beschrieben.
Beim Pushen von Konfigurationen werden 4 XML-Dateien für Berechtigungen, Rollen, Benutzer und Sicherheits-
Policys aus der Datenbank generiert und an jedes IED gesendet. Der Push-Status wird in einem Meldungsfenster angezeigt. Nach jedem erfolgreichen Push werden die Versionsnummern für Benutzer, Rollen, Berechtigungen und Policys in der Registerkarte
Network Device List
hochgezählt.
Zum Pushen von Konfigurationen gehen Sie wie folgt vor:
Vorgang
•
Öffnen Sie die Registerkarte
Network Device List
.
•
Klicken Sie auf
Refresh
.
Ergebnis
Die Liste der angebundenen Geräte wird aktualisiert:
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 97/134
•
Klicken Sie auf
Send to All
.
•
Geben Sie den Namen der Konfigurationsversion ein.
Das Fenster
Create Version
wird angezeigt.
•
Klicken Sie auf
OK
.
Nach Abschluss des Pushs wird folgendes Fenster angezeigt:
Die IED-Liste enthält die neue Version:
Anmerkung
: Wenn für ein oder mehrere Geräte keine Gerätesicherheitseinstellungen definiert wurden, wird dies in obigem Meldungsfenster angezeigt.
___________________________________________________________________________________________
Anmerkungen
Der erste Push von RBAC-Einstellungen an ein Gerät mit Werkseinstellungen muss mit der Rolle SECADM durchgeführt werden.
Der Konfigurationsversionsname zeigt an, welche Konfiguration gepusht wurde.
Bei erfolgreichem Push werden Benutzerversion, Rollenversion, Berechtigungsversion und die Version der Sicherheits-Policy aktualisiert. Dabei wird jede Version um 1 hochgezählt (V
XX
.YY).
___________________________________________________________________________________________
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 98/134
Die folgende Tabelle listet die beim Pushen am häufigsten auftretenden Probleme auf, sowie mögliche Fehlerursachen und ihre Abhilfe.
Fall 1
Problem
IED ist nicht verbunden
•
Klicken Sie in der
Network Device List
auf
Send to All
.
•
Folgende Fehlermeldung erscheint:
Mögliche Ursachen
Abhilfe
•
SAT lässt das Senden der Konfiguration nicht zu und das Gerät wird nicht konfiguriert.
•
Es kann keine Verbindung zum Gerät hergestellt werden.
•
Der Benutzer wird nicht erkannt.
•
RBAC-Konfiguration im Gerät sind ungültig.
•
Überprüfen Sie die Netzwerkverbindung.
•
Überprüfen Sie für jedes IED die Kommunikationsverbindung.
•
Stellen Sie die Sicherheitskonfiguratio nab Werk wieder her.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 99/134
Fall 2
Problem
Gerätetyp existiert nicht
•
Klicken Sie in der
Network Device List
•
Folgende Fehlermeldung erscheint:
auf
Send to All
.
•
SAT lässt das Senden der Konfiguration nicht zu und das Gerät wird nicht konfiguriert.
Mögliche Ursache
Ein Geräteyp ist in der Liste
Element to Secure
nicht enthalten.
Abhilfe
•
Fügen Sie den fehlenden Typ der Liste hinzu.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 100/134
Fall 3
Problem
Benutzerpasswort ist länger als für Geräteyp zulässig
•
•
Klicken Sie in der
Network Device List
Folgende Fehlermeldung erscheint:
auf
Send to All
.
•
SAT lässt das Senden der Konfiguration nicht zu und das Gerät wird nicht konfiguriert.
Mögliche Ursache
Das Passwort ist länger als zulässig.
Anmerkung
: Die Längenbeschränkung für Passwörter hängt vom Gerätetyp ab. Für
Details, siehe Abschnitt 8.3 Geräteregeln.
Beispiel: Die Länge eines Benutzerpassworts (im Beispiel: Benutzer John Smith ) beträgt 20 Zeichen. Die RBAC-Konfiguration wird an 2 Geräteypen gesendet (MiCOM
C264 und EcoSUI):
Abhilfe
Benutzer
Passwortlänge Anmerkung
20 Das Passwort sollte maximal 18 Zeichen lang sein!
MiCOM C264
EcoSUI max. 18 max. 32
Siehe Abschnitt 8.3 Geräteregeln.
Siehe Abschnitt 8.3 Geräteregeln.
Wenn die Länge des Benutzerpassworts nicht reduziert werden kann, dann können die
Geräteregeln angepasst werden, indem eine Benutzergruppe (
Subset of Users
) angelegt wird.
Diese Anpassung wird anhand des obigen Beispiels (Benutzer John Smith ) beschrieben.
Vorgang
•
Öffnen Sie die
Registerkarte
Security Administration
>
Devices Rules
.
•
Wählen Sie einen
Gerätetyp mit einer Passwortlänge von weniger als 20 Zeichen
(
Type: C264
).
Ergebnis
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 101/134
•
Wählen Sie den
Benutzer ( John
Smith )
•
Fügen Sie den
Benutzer zum
Subset hinzu
(Schaltfläche
>
).
•
Klicken Sie auf
Save.
•
Klicken Sie auf
OK
, um die Konfiguration zu pushen.
Die RBAC-Konfigurationsdateien wurden nun an die
Geräte gesendet.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 102/134
8. ERWEITERTE ADMINISTRATION
8.1 R
OLLENVERWALTUNG
8.1.1 R
OLLEN
Eine Rolle ist die logische Darstellung der Aufgabe einer Person. Diese Aufgabe autorisiert zu oder verbietet Handlungen in der Tool Suite; festgelegt wird dies über Berechtigungen, die der Rolle zugewiesen werden. Eine Rolle muss mit einem Benutzerkonto verbunden sein, um einen Zweck erfüllen zu können.
Dabei kann dieselbe Rolle mehreren Benutzerkonten zugewiesen sein.
In der Registerkarte
Roles
wird die Liste der vorhandenen Rollen angezeigt, die vom Sicherheitsadministrator verwaltet werden können.
Der Sicherheitsadministrator kann
• die Liste der Rollen anzeigen, sortieren und filtern,
• eine vorhandene Rolle bearbeiten oder löschen,
• eine neue Rolle hinzufügen,
• einer vorhandenen Rolle eine ETS zuweisen,
• die Zuweisung einer ETS zu einer vorhandenen Rolle aufheben,
•
Berechtigungen einer zugewiesenen ETS konfigurieren.
Die Registerkarte ist in zwei Fenster unterteilt:
•
Liste der Rollen (1)
•
Liste der aktuell zugewiesenen zu sichernden Einheiten (ETS) (2)
Abbildung 48: SAT-Workspace – Roles
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 103/134
Das SAT enthält vordefinierte Rollen (gemäß IEC 62351):
•
ENGINEER
•
INSTALLER
•
OPERATOR
•
RBACMNT
•
SECADM
•
SECAUD
•
VIEWER
Rolle
VIEWER
Beschreibung
Ein Viewer kann über die Anzeige der Objekt-IDs sehen, welche Objekte in einem logischen
Gerät enthalten sind.
OPERATOR
ENGINEER
INSTALLER
Ein Operator kann über die Anzeige der Objekt-IDs sehen, welche Objekte und Werte in einem logischen Gerät enthalten sind. Außerdem kann er Bedienhandlungen vornehmen.
Ein Engineer kann über die Anzeige der Objekt-IDs sehen, welche Objekte und Werte in einem logischen Gerät enthalten sind. Außerdem hat ein Engineer vollen Zugriff auf Datensätze und Dateien und kann den Server lokal oder aus der Ferne konfigurieren.
Ein Installer kann über die Anzeige der Objekt-IDs sehen, welche Objekte und Werte in einem logischen Gerät enthalten sind. Außerdem hat ein Installer Schreibzugriff auf Dateien und kann den Server lokal oder aus der Ferne konfigurieren.
SECADM
SECAUD
RBACMNT
Der Security Administrator kann die Zuweisung von Benutzern und Rollen (außerhalb des
Geräts) sowie von Rollen und Berechtigungen (innerhalb des Geräts) und Sicherheitseinstellungen wie die Benutzerauthentifizierung und die Überprüfung von Zugriffsrechten ändern.
Der Security Auditor kann Audit-Protokolle ansehen.
Das RBAC Management kann Zuweisungen von Rollen und Berechtigungen ändern.
Abbildung 49: Übersicht über die Rollen
8.1.2 V ERWALTEN VON R OLLEN
Die Liste der Rollen gliedert sich in zwei Teile:
•
Werkzeugleiste (1)
•
Liste (2)
1
2
3
Abbildung 50: Liste der Rollen
Die Werkzeugleiste enthält folgende Elemente:
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 104/134
•
Icon für die Spaltenauswahl
•
Spaltenüberschriften
Die einzelnen Spalten können ausgeblendet oder angezeigt werden:
•
Klicken Sie auf .
•
Wählen Sie, welche Spalten angezeigt oder ausgeblendet werden sollen.
Abbildung 51: Roles Management – Auswahl der Spalten
Mit Klick auf die Spaltenüberschriften lassen sich die Einträge sortieren:
•
Sortieren nach Rollen (
Role
)
•
Sortieren nach Beschreibung (
Description
)
•
Sortieren nach zugewiesener ETS (
Associated ETS
)
•
Sortieren nach Erstellungsdatum (
Creation
)
•
Sortieren nach dem Datum der letzten Änderung (
Last Modification
)
Das Sortieren nach einzelnen Spalten erfolgt durch einen einfachen Klick auf die jeweilige Spaltenüberschrift:
Abbildung 52: Roles Management – Sortieren nach Spalte
Zum Filtern innerhalb einer Spalte klicken Sie auf das Filter-Icon:
•
Klicken Sie auf .
•
Wählen Sie, welcher Listeneintrag angezeigt oder ausgeblendet werden soll.
Zum Erstellen einer Rolle, klicken Sie auf
Add new Role
. Es gibt Parameter mit Grundeinstellungen, Parameter, die Pflichtfelder darstellen, und Parameter, die optional sind.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 105/134
Pflichtfeld:
• Role
Der Abschnitt
Role Details
im Fenster
New Role
enthält folgende Felder:
Feld
Pflichtfeld
Label
Role
Description
Beschreibung
Name der Rolle.
• max. 50 Zeichen
• zulässige Zeichen: alphanumerisch, -, Leerzeichen
Beschreibung der Rolle.
• max. 50 Zeichen
•
Zulässige Zeichen: alphanumerisch, -, Leerzeichen
Zum Erstellen einer neuen Rolle gehen Sie folgendermaßen vor:
•
Klicken Sie auf
Add new Role
.
•
Füllen Sie die Felder aus wie oben beschrieben.
•
Klicken Sie auf
Apply
, um Ihre Eingaben zu speichern.
•
Klicken Sie auf
OK
; die neue Rolle wird der Liste hinzugefügt. optional
Abbildung 53: Erstellen einer Rolle
Zum Ändern einer Rolle gehen Sie folgendermaßen vor:
•
Wählen Sie eine Rolle aus der Liste aus.
•
Doppelklicken Sie darauf und füllen Sie die Felder aus wie oben beschrieben.
•
Klicken Sie auf
Apply
, um Ihre Eingaben zu speichern.
•
Klicken Sie auf
OK
.
Zum Entfernen einer Rolle gehen Sie folgendermaßen vor:
•
Wählen Sie eine Rolle aus der Liste aus (1).
•
Klicken Sie auf das Papierkorb-Icon (2).
•
Klicken Sie im nun aufgeschalteten Fenster auf
Yes
(3); die Rolle wird aus der Liste entfernt. Mit
No
wird der Vorgang abgebrochen.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 106/134
Abbildung 54: Entfernen einer Rolle
__________________________________________________________________________________________
Anmerkung
Nach der Installation werden gegebenenfalls systemeigene Rollen in der Rollenliste angezeigt. Diese sind blau eingefärbt und können nicht bearbeitet werden.
__________________________________________________________________________________________
8.1.3 V ERWALTEN VON ZUGEWIESENEN ETS
Die Angaben zu den ETS, die Rollen zugewiesen sind, finden sich in drei Abschnitten:
•
Liste der ETS (2), die einer Rolle (1) zugewiesen sind
•
Liste der Berechtigungen, die der aktuellen ETS zugewiesen sind (3)
Abbildung 55: Einer Rolle zugewiesene ETS
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 107/134
Um einer Rolle eine ETS zuzuweisen, gehen Sie folgendermaßen vor:
•
Wählen Sie die Rolle aus der Liste aus (1).
•
Klicken Sie auf
Add ETS Permission
(siehe Abbildung oben).
•
Markieren Sie die im Fenster
Element to Secure Association
aufgelistete(n) ETS (2) und klicken Sie auf
OK
(3); die ETS erscheint nun in der Liste der der Rolle zugewiesenen ETS (4).
Abbildung 56: Zuweisen einer neuen ETS zu einer Rolle
___________________________________________________________________________________________
Anmerkung
Die ETS-Bibliothek ist in der SAT-Software enthalten.
___________________________________________________________________________________________
Zum Aufheben einer ETS-Zuweisung zu einer Rolle gehen Sie folgendermaßen vor:
•
Wählen Sie die Rolle aus der Liste aus (1).
•
Wählen Sie die ETS aus der Liste der zugewiesenen ETS (4).
•
Klicken Sie auf
X
und bestätigen Sie im Bestätigungsfenser mit
Yes
; die Liste der zugewiesenen ETS wird entsprechend aktualisiert.
Zum Konfigurieren der Berechtigungen für eine zugewiesene ETS gehen Sie folgendermaßen vor:
•
Wählen Sie die Rolle aus der Liste aus.
•
Wählen Sie die ETS aus der Liste der zugewiesenen ETS (1).
•
Stellen Sie für jede Berechtigung
Enable/Disable
bzw.
True/False
ein (2).
•
Klicken Sie auf
Apply
(3).
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 108/134
Abbildung 57: Konfigurieren von Berechtigungen für eine zugewiesene ETS
___________________________________________________________________________________________
Anmerkung
Die Berechtigung ist in der Dokumentation des Geräts, das der gewählten ETS entspricht, beschrieben.
___________________________________________________________________________________________
8.2 V
ERWALTEN VON ZU SICHERNDEN
E
INHEITEN
8.2.1 Z
U SICHERNDE
E
INHEITEN
Eine zu sichernde Einheit (Element to Secure, ETS) ist ein Tool, ein Dienstprogramm oder ein Anwendungsfunktionsblock, das bzw. der im System geschützt werden kann. Sie enthält eine Liste mit Berechtigungen und deren
Werten. Diese Liste ist vordefiniert und kann nur durch den Sicherheitsadministrator geändert werden.
Dieselbe ETS kann mehreren Rollen mit unterschiedlicher Autorisierung zugewiesen werden.
___________________________________________________________________________________________
Anmerkung
Das Verwalten von ETS ist Teil der erweiterten Administration. Die Anpassung der Verwaltungsfunktionen wird in der nächsten Dokumentversion beschrieben.
___________________________________________________________________________________________
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 109/134
Abbildung 58: SAT-Workspace - Element To Secure
8.3 G
ERÄTEREGELN
Im SAT werden Regeln und Beschränkungen für Geräte vorgegeben und verwaltet, z. B.
• die maximale Anzahl von Benutzern,
• die minimale und maximale Länge von Benutzernamen und Passwörtern,
• der ASCII-Wertebereich, der alle Zeichen des Benutzerpassworts enthalten muss.
___________________________________________________________________________________________
Anmerkung
Für effiziente Benutzer- und Rollenverwaltung sollten die vorgegebenen Beschränkungen so weit wie möglich eingehalten werden; die im nächsten Abschnitt beschriebenen Benutzergruppen sollten nur für Ausnahmefälle verwendet werden. Gelten für alle Benutzerkonten dieselben Geräteregeln, sind
Benutzergruppen nicht sinnvoll. Gelten für mindestens ein Benutzerkonto die Geräteregeln nicht, muss eine Benutzergruppe festgelegt werden.
___________________________________________________________________________________________
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 110/134
Folgende Beschränkungen sind gerätespezifisch und in der Datei SAT.Constraints.xml gespeichert:
Regeln /
Beschränkungen
Benutzername
Passwort
Pfeiltastenpasswort
Länge min.
Länge max.
Zulässige
Zeichen
Länge min.
Zulässige
Zeichen
Länge max.
Pfeiltasten erf.
ab Länge
Deaktiviert
Aktiviert /
Länge min.
Aktivert / Länge max.
SAT
4
16
ASCII
[33,122]
Abhängig von Passwortkomplexität
50
MiCOM
Easergy
P40
4
16
ASCII
[33,122]
1
ASCII
[33,122]
32 n. z.
0
1
8
16
0
1
8
MiCOM
Easergy
P30
4
20
ASCII
[33,122]
1
ASCII
[33,122] n. z. n. z.
0
1
8
Easergy
P5
Geräte
MiCOM
Easergy
C264
4 4
16 16
ASCII
[33,122]
ASCII
[33,122]
1
ASCII
[33,122]
50 n. z.
0
1
8
1
ASCII
[33,122]
18 n. z.
0
1
8
EcoSUI Gateway
4
16
ASCII
[33,122]
1
ASCII
[33,122]
32 n. z. n. z. n. z. n. z.
4
16
ASCII
[33,122]
1
ASCII
[33,122]
32 n. z. n. z. n. z. n. z.
Maximale Anzahl Benutzer
255 15 unbegrenzt
255
20 (getestet) erweiterbar
255 255
Abbildung 59: Geräteregeln – Beschränkungen für Benutzernamen und Passwörter
8.3.1 W ÄHLEN VON B ENUTZERGRUPPEN
Für den Bereich und jeden in der Datei SAT.Constraints.xml definierten Gerätetyp (bzw. die zugehörige Firmware) müssen Benutzergruppen gewählt werden.
Zum Wählen einer Benutzergruppe gehen Sie wie folgt vor:
•
Navigieren Sie über die Schaltfläche zur Registerkarte
Device Rules
.
•
Wählen Sie den Bereich (
Scope
) aus der Drop-down-Liste
Select Scope
.
•
Wählen Sie den gewünschten Gerätetyp (Firmware) aus der Drop-down-Liste
Select device type
.
•
Ziehen Sie dann mit der Maus den ersten gewünschten Benutzer aus dem linken ins rechte Fenster oder markieren Sie ihn und klicken Sie auf
>
.
•
Sie können dies so oft wiederholen, bis die maximale Anzahl von Benutzern erreicht ist.
___________________________________________________________________________________________
Anmerkung
Die Benutzergruppe muss einen Benutzer mit Admin-Rechten für das SAT enthalten (z. B.
SecurityAdmin
).
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 111/134
Hinzufügen von
Benutzern
Liste der gewählten Benutzer
Die Liste enthält nur Benutzer, deren Passwörter den für den gewählten Geräteyp definierten
Beschränkungen entsprechen.
•
Klicken Sie auf
Save
, um Ihre Einstellungen zu speichern.
Für weitere Details siehe Abschnitt 7.7 Pushen von Konfigurationen; Fall 3 beschreibt die Erstellung
einer Benutzergruppe.
___________________________________________________________________________________________
8.4 I
MPORTIEREN UND
E
XPORTIEREN DER
SAT-D
ATENBANK
8.4.1 I
MPORTIEREN EINER
D
ATENBANK
SAT erlaubt den Import von XML-Dateien in die Datenbank. Damit kann z. B. die Datenbank aus einem Backup wiederhergestellt oder aktualisiert werden.
Imports können nur mit der Rolle SECADM vorgenommen werden.
HINWEIS
PASSWORT BEI DATENEXPORT/-IMPORT
Mit Hilfe der Export-Funktion können Backups aller SAT-Daten erstellt werden, einschließlich der Passwörter. Nach dem Import des Backups sind dieselben Passwörter weiterhin gültig und müssen erinnert werden.
Die Nichtbefolgung dieser Anweisung kann dazu führen, dass das SAT nicht mehr gestartet werden kann.
Zum Importieren einer Datenbank gehen Sie wie folgt vor:
•
Klicken Sie in der SAT-Menüleiste auf oder öffnen Sie die Registerkarte
Security Configuration
und
• wählen links die Option .
Klicken Sie auf
Browse
und navigieren Sie zu der XML-Datei, die Sie importieren möchten.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 112/134
Abbildung 60: Importieren von Datenbanken
•
Klicken Sie dann auf
Import
, um den Importvorgang zu starten.
8.4.2 E XPORTIEREN DER D ATENBANK
Mit dem SAT können alle sicherheitsrelevanten Daten in eine XML-Datei exportiert werden, z. B.
• alle Benutzer,
• alle Rollen,
• alle Berechtigungen auf Datenbankebene,
• alle Berechtigungen auf Geräteebene.
Diese Funktion wird ist durch eine Berechtigung im SAT selbst geschützt.
Werksseitig ist eingestellt, dass Exports nur mit der Rolle SECADM durchgeführt werden können.
Zum Exportieren der SAT-Datenbank gehen Sie wie folgt vor:
•
Klicken Sie in der SAT-Menüleiste auf oder öffnen Sie die Registerkarte
Security Configuration
und wählen links die Option
Import/Export
. Klicken Sie auf
Export
.
Im Fenster
Save as
machen Sie folgende Eingaben:
• den Speicherort für die XML-Datenbankdatei,
• den Dateinamen
• und klicken Sie auf
Save
.
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 113/134
9. ANHANG
9.1 S
ICHERHEITSPROTOKOLLE
Welche Sicherheitsprotokolle aufgezeichnet werden, wird durch Sicherheitsstandards vorgegeben. Die folgende
Tabelle enthält die gemäß den Sicherheitsstandards verfügbaren Sicherheitsprotokolle.
Protokoll-ID Zusätzliches Feld Erläuterung
CONNECTION_SUCCESS
CONNECTION_FAILURE
CONNECTI-
ON_FAILURE_AND_BLOCK
CONNECTI-
ON_FAILURE_ALREADY_BLOCKE
D
Das zusätzliche
Feld enthält den
Issuer der Verbindung: LOCAL,
MMS, FTP, NET-
WORK
Verbindung hergestellt
X X X X X
Verbindung fehlgeschlagen (falsche Anmeldedaten)
Verbindung fehlgeschlagen (falsche Anmeldedaten), Sperrung des Kontos auf dem IED wird ausgelöst
X X X X X
X X X X X
Verbindung fehlgeschlagen wegen gesperrter Benutzer-ID auf diesem IED
X X X X X
DISCONNECTION
DISCONNECTION_TIMEOUT
CONTROL_OPERATION
CONFIGURATION_DOWNLOAD
CONFIGURATION_UPLOAD
Typ und Daten des Befehls
Version
Version
Trennen der Verbindung ausgelöst durch
Peer / Benutzer
X X X X X
Trennung der Verbindung ausgelöst durch
Timeout
X X X X X
Verfolgen und Steuern / Überschreiben der realen Daten eines Peers
Download der Konfigurationsdatei (CID) vom
Gerät
X
X
Upload einer neuen Konfigurationsdatei
(CID) in das Gerät
X
FIRMWARE_UPDATE
Version (alte und neue)
Upload einer neuen Firmware in das Gerät
X
RBAC_OR_POLICY_UPDATE
SEC_LOGS_RETRIEVAL
TIME_CHANGE
REBOOT_ORDER
PORT_MANAGEMENT
NET-
WORK_PORT_STATUS_CHANGE
Version
NETWORK_TOPOLOGY_CHANGE Port, Grund
AUTHORIZATION_REQ
Version
Neue und alte
Uhrzeit
Keine
Port, Handlung
(Aktivieren / Deaktivieren)
Port, Status,
Grund
Handlung, Objekt
Update des RBAC-Caches oder der Sicherheitsstrategien im IED
Abrufen der Sicherheitsprotokolle des IED
Änderung der Uhrzeit des IED
X X
X
X
Neustart-Befehl an IED gesendet
X X
Aktivierung / Deaktivierung eines Ports, physisch (seriell, USB) oder logisch (Telnet,
FTP)
X
Statusänderung eines physischen Netzwerk-
Ports. Kann der einfache Status eines
Ethernet-Ports oder Informationen des
RSTP-/HSR-/PRP-Algorithmus redundanter
Systeme sein
X X
Von RSTP-/HSR-/PRP-Algorithmen erfasste
Topologieänderung redundanter Systeme
X
An den CS-Brick gesendete Autorisierungsanfrage
X X X
Tabelle 1: Sicherheitsprotokolle
BENUTZEROBERFLÄCHE SAT/DE HI/D32
SAT Seite 114/134
9.2 SAM-S
ICHERHEITSPROTOKOLLE
Der SAM erstellt seine eigenen Sicherheitsprotokolle. Die folgende Liste enthält die Standard-Protokolle, die vom
SAM unterstützt werden.
Anmerkung
: Der SAM wird vorkonfiguriert mit den Standards BDEW , E3 und IEC 1686 geliefert.
Protokoll-ID Unterstützt Beschreibung
CONNECTION_SUCCESS
CONNECTION_FAILURE
CONNECTION_FAILURE_AND_BLOCK Ja
CONNECTI-
ON_FAILURE_ALREADY_BLOCKED
DISCONNECTION
DISCONNECTION_TIMEOUT
CONTROL_OPERATION
CONFIGURATION_DOWNLOAD
CONFIGURATION_UPLOAD
FIRMWARE_UPDATE
RBAC_OR_POLICY_UPDATE
SEC_LOGS_RETRIEVAL
TIME_CHANGE
REBOOT_ORDER
PORT_MANAGEMENT
NETWORK_PORT_STATUS_CHANGE
NETWORK_TOPOLOGY_CHANGE
AUTHORIZATION_REQ
Ja
Ja
Ja
Ja
Ja
Kein Objekt
Kein Objekt
Kein Objekt
Nicht unterstützt
Ja
Kein Objekt
Nicht unterstützt
Ja
Nicht unterstützt
Kein Objekt
Verbindung zu SAM-Webseiten oder via SAT hergestellt
X X X X X
Verbindung zu SAM-Webseiten oder via SAT fehlgeschlagen (falsche Anmeldedaten)
X X X X X
Verbindung fehlgeschlagen (falsche Anmeldedaten), Sperrung des Kontos auf dem SAM (Sicherheitsadministratoren sind nicht betroffen)
X X X X X
Verbindung fehlgeschlagen wegen gesperrter
Benutzer-ID auf dem SAM (Sicherheitsadministratoren sind nicht betroffen)
X X X X X
Trennen der Verbindung ausgelöst durch Peer /
Benutzer
X X X X X
Trennung der Verbindung ausgelöst durch Timeout. Beispiel: Keine Aktivitäten auf der Website seit 10 Minuten. Aktualisieren der Tabelle der
Sicherheitsprotokolle stellt eine Aktivität dar.
X X X X X
Nur IEC 61850
X
Nur IEC 61850
X
X
Nur IEC 61850
Upload einer neuen Firmware in das Gerät mit der
SAM-Upload-Webseite
Update des RBAC-Caches oder der Sicherheitsstrategien im IED
X
X X
Abrufen / Export der Sicherheitsprotokolle des
SAM ist nicht möglich
X
Uhrzeit kann über Konsole geändert werden, wird aber nicht aufgezeichnet
X
Der SAM startet oder startet neu aufgrund von
Befehl über Webseite, Watchdogs oder Stromausfall
X X
Port kann über Konsole deaktiviert werden, wird aber nicht aufgezeichnet
X
Keine Änderungen physischer Ports am SAM
X X
Kein Objekt
Ja
Der SAM enthält keine Topologiealgorithmen wie
RSTP / HSR / PRP
X
An den SAM gesendete Autorisierungsanfrage
(Webseiten oder SAT)
X X X
Tabelle 2: Sicherheitsprotokolle des SAM
CYBER SECURITY SAT/DE CS/D32
SAT Seite 115/134
CYBER-SECURITY (CS)
CYBER SECURITY SAT/DE CS/D32
SAT Seite 117/134
INHALT
Gegenstand und Zielsetzung ............................................... 119
Weiterführende Dokumentation ........................................... 119
Maßnahmen zur Cyber-Security ........................................... 119
CYBER SECURITY SAT/DE CS/D32
SAT Seite 119/134
1. GEGENSTAND UND ZIELSETZUNG
Dieses Dokument beschreibt Maßnahmen und Werkzeuge zur Minimierung der Gefahr von Angriffen und zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit, Authentifizierung und Nachweisbarkeit.
2. WEITERFÜHRENDE DOKUMENTATION
Dokumentenkennung
Position
PACiS CS-SCS_EN_TG_D30 PACiS System Cyber Security (SCS) User Guide
PACiS CS-HARDENING_EN_AN_D30 PACiS HARDENING Application Note
Tabelle 3: Weiterführende Dokumentation
3. MAßNAHMEN ZUR CYBER-SECURITY
3.1 V
ERSCHLÜSSELUNG
Dieses Produkt enthält eine Cyber-Security-Funktion zur Verschlüsselung von Daten (vor allem Konfigurations- und Prozessdaten), die über verschiedene Kommunikationskanäle übertragen werden und dabei vor Datenkorruption und Cyber-Angriffen geschützt werden sollen. Dieses Produkt kann der Kontrolle durch Zollbehörden unterzogen werden; hierbei muss ggf. die besondere Erlaubnis der Behörden zum Export/Import eingeholt werden. Bei technischen Fragen zur Verschlüsselung kontaktieren Sie bitte das Schneider Electric Customer Care Center
( www.schneider-electric.com/CCC ).
3.2 P
ASSWORT
Zum Erteilen von Befehlen oder Einstellen von Parametern muss ein Passwort eingegeben werden (entweder am
Vor-Ort-Bedienfeld oder über eine PC-basierte Anwendung). Dazu wählt der Benutzer ein Profil, das zu der beabsichtigten Tätigkeit passt.
Sobald der Sicherheitsadministrator das Passwort festgelegt hat, wird ohne Eingabe des korrekten Passworts der
Zugriff verweigert.
___________________________________________________________________________________________
Anmerkung
Für Informationen über die Passwortkonfiguration, siehe Kapitel Benutzeroberfläche (HI).
___________________________________________________________________________________________
3.2.1 R ECHTE UND S TANDARD -P ASSWORT
___________________________________________________________________________________________
Anmerkung
Siehe Dokument PACiS System Cyber Security (SCS) User Guide , Kapitel FT, Abschnitt „RBAC Definition with SAT“ für einen Überblick über RBAC und Kapitel HI für Details zu Passwörtern.
___________________________________________________________________________________________
CYBER SECURITY SAT/DE CS/D32
SAT Seite 120/134
3.2.2
S ICHERHEITS -P OLICY
Die Sicherheits-Policy umfasst alle Sicherheitsparameter des Systems. Diese Parameter werden vom Sicherheitsadministrator mit Hilfe des SAT eingestellt.
___________________________________________________________________________________________
Anmerkung
Für Informationen über die Voreinstellung von Sicherheitsparametern in SAT, siehe Kapitel HI.
___________________________________________________________________________________________
3.3 S
ICHERHEITSPROTOKOLLE
Die von der Anwendung erstellten Sicherheitsprotokolle werden im SAM archiviert. Sie können mit einem Viewer für Sicherheitsprotokolle angezeigt werden. Der Viewer ermöglicht das Sortieren der Protokolle nach verschiedenen Kriterien (ID, Sicherheitsstufe und Uhrzeit).
Abbildung 61: Anzeigen von SAM-Protokollen
___________________________________________________________________________________________
Anmerkung
Für Details, siehe die Dokumente SAM User Guide , Abschnitt „Display Substation Security Logs“ und PACiS
System Cyber Security (SCS) User Guide , Abschnitt „Security Log Management“.
___________________________________________________________________________________________
3.4 A
NTIVIRUS
-S
OFTWARE
Windows-Rechner sind grundsätzlich verwundbar gegenüber Viren und Schadsoftware.
Rechner, auf denen die nicht-zeitkritische Anwendung SAT läuft, können jedoch kontinuierlich von einer Antivirus-
Software überwacht werden.
CYBER SECURITY SAT/DE CS/D32
SAT Seite 121/134
___________________________________________________________________________________________
Anmerkung
Für Informationen zur Rechnerüberwachung mit Antivirus-Software, siehe das Dokument PACiS System
Cyber Security (SCS) User Guide , Abschnitt „Hardening PC based solution“.
___________________________________________________________________________________________
3.5 H
ÄRTUNG
Die Härtung mit dem SAT umfasst Maßnahmen zur
•
Härtung des Betriebssystems Microsoft Windows Server 2008 R2
•
Härtung des Microsoft Windows Server 2008 R2 SP2 Enterprise Edition
Ob eine Härtung erforderlich ist, richtet sich nach der für die jeweilige Anwendung geltende Sicherheits-Policy. Zur
Sicherung der Datenbankplattform beachten Sie ebenfalls die jeweils geltende Sicherheits-Policy.
___________________________________________________________________________________________
Anmerkung
Ist das SAT Teil der PACiS Lösung, siehe Dokument PACiS HARDENING Application Note , Abschnitt „Installation“ für die Vorgehensweise der Härtung des SAT, und Dokument PACiS System Cyber Security
(SCS) User Guide , Abschnitt „Device Hardening“, für einen Überblick.
___________________________________________________________________________________________
FEHLERBEHEBUNG SAT/DE TG/D31
SAT Seite 123/134
FEHLERBEHEBUNG (TG)
FEHLERBEHEBUNG SAT/DE TG/D31
SAT Seite 125/134
INHALT
................................................................... 127
Probleme und Lösungen ...................................................... 127
FEHLERBEHEBUNG SAT/DE TG/D31
SAT Seite 127/134
1. EINLEITUNG
Dieses Kapitel listet die am häufigsten bei der SAT-Software auftretenden Probleme auf, sowie mögliche Fehlerursachen und ihre Abhilfe.
2. PROBLEME UND LÖSUNGEN
2.1 N
ETZWERKKONFIGURATION DES
B
ETRIEBSSYSTEMS
Problem
Problem
Netzwerkkonfiguration des Betriebssystems
Beim Klicken auf
Refresh
in der
Network Device List
kann es zu folgendem unerwarteten Verhalten kommen:
•
Die Anzeige der IED-Liste baut sich nur sehr langsam auf.
•
Die IED-Liste ist leer.
•
In Spalte
Ied Name
wird dauerhaft eine Warten-Meldung angezeigt.
Mögliche Ursachen
Überprüfen Sie Folgendes:
Ursache 1: Inhalt der Routing-Tabellen ist nicht aktuell
Durch bestimmte Handlungen können die Routing-Tabellen (Verknüpfungen von IP- und MAC-Adressen) desynchronisiert werden. An einem Rechner mit 2 Ethernet-Ports kann beispielsweise das Umstecken der Kabel von Port 1 zu Port 2 zu dieser Situation führen.
Ursache 2: Verwendung virtueller Netzwerk-Ports
Je nach der auf dem Rechner installierten Software/Hardware nutzt das Betriebssystem ggf. virtuelle Netzwerk-Ports.
Beispiele für Software/Hardware mit virtuellen Netzwerk-Ports:
• virtuelle Maschinen
•
VPN-Verbindungen
•
USB/Ethernet-Adapter
FEHLERBEHEBUNG SAT/DE TG/D31
SAT Seite 128/134
Abhilfe
Empfehlung
Vorgehensweise bei Ursache 1
•
Schließen Sie das SAT, um die Routing-Tabellen zurückzusetzen (oder wenden Sie eine andere geeignete Vorgehensweise zum Zurücksetzen an).
•
Starten Sie das SAT neu und klicken Sie in der
Network Device List
auf
Refresh
.
Vorgehensweise bei Ursache 2
•
Deaktivieren oder deinstallieren Sie die Software-/Hardware-Komponenten, die virtuelle Netzwerk-Ports verwenden.
•
Starten Sie das SAT neu und klicken Sie in der resh
.
Network Device List
auf
Ref-
Um Kommunikationsstörungen zwischen dem SAT und Geräten zu vermeiden, sollte die Verbindung zwischen dem SAT und den Geräten über eine Punkt-zu-Punkt-
Ethernetverbindung realisiert werden.
GLOSSAR SAT/DE LX/D31
SAT Seite 129/134
GLOSSAR (LX)
GLOSSAR SAT/DE LX/D31
SAT Seite 131/134
Benennung
Benutzer
Beschreibung
Berechtigung
Benutzern sind Konten zugewiesen, über die einzelnen Personen oder Gruppen der Zugriff auf das System beschränkt werden kann. Für die Anmeldung eines
Benutzers am System sind Benutzername und Passwort erforderlich.
Zugriffsrecht für Systemelemente. Ein Benutzer, dem eine Rolle zugewiesen ist, die die entsprechende Berechtigung enthält, kann auf das Systemelement zugreifen.
Bereich Die Knoten in der Rollenhierarchie der RBAC werden als Bereiche (Scopes) betrachtet und können unabhängig voneinander gesichert werden. Jeder Knoten kann mehrere in der Tool Suite definierte Rollen und Benutzerkonten enthalten und bestimmte Sicherheitsstrategien festlegen.
Business-Service-Schicht Diese Schicht koordiniert die Anwendung, verarbeitet Befehle und führt gemäß den
Business-Regeln logische Entscheidungen und Berechnungen durch.
Datenschicht
ETS
HMI
IED
LAN
Logs
PACiS
RBAC
Rolle
SAM
Besteht aus den domänenbezogenen Objekten und ihren Beziehungen, die vom
Benutzer in Interaktion mit der Software beeinflusst werden.
Zu sichernde Einheit (Element To Secure, ETS)
Eine zu sichernde Einheit (ETS) ist ein Tool, ein Dienstprogramm oder ein Anwendungsfunktionsblock, das bzw. der in der Tool Suite geschützt werden kann. Sie enthält eine Liste mit Berechtigungen und deren Werten. Diese Liste ist vordefiniert und kann nur durch den Sicherheitsadministrator geändert werden.
Dieselbe ETS kann mehreren Rollen mit unterschiedlicher Autorisierung zugewiesen werden.
Benutzeroberfläche (Human Machine Interface)
Intelligentes elektronisches Gerät (Intelligent Electronic Device)
Komponenten in der Automatisierungstechnik, der Energieversorgung und in Smart
Grids; Prozessor-basierter Controller für die Energiesysteme (z. B. einen Leistungsschalter, Transformator etc.).
Lokales Netzwerk (Local Area Network)
Alle sicherheitsrelevanten Vorgänge (Herstellung der Verbindung, Konfiguration etc.) werden automatisch als Ereignisse erfasst und protokolliert; so hat der
Sicherheitsadministrator zu jedem Zeitpunkt einen Überblick über alle Aktivitäten und Handlungen.
Protection, Automation and Control integrated Solutions
Rollenbasierte Zugriffskontrolle (Role Based Access Control)
Authentifizierungs- und Autorisierungsmechanismus, der auf Rollen basiert, die
Benutzern zugewiesen sind. Rollen bestehen aus Handlungen, die an Objekten ausgeführt werden dürfen. Die Handlungen eines Benutzers sind je nach Rolle autorisiert oder nicht autorisiert.
Festgelegte Anzahl von Berechtigungen, die bestimmten Benutzern zugewiesen werden.
Eine Rolle ist die logische Darstellung der Aufgabe einer Person. Diese Aufgabe autorisiert zu oder verbietet Handlungen in der Tool Suite; festgelegt wird dies über
Berechtigungen, die der Rolle zugewiesen werden. Eine Rolle muss mit einem
Benutzerkonto verbunden sein, um einen Zweck erfüllen zu können.
Security Administration Manager
Für das Sicherheitsmanagement in einem Ethernet-Netzwerk zuständiger Rechner
GLOSSAR SAT/DE LX/D31
SAT Seite 132/134
SAT
Sicherheitsadministrator Für das Sicherheitsmanagement im System zuständiger Benutzer
Sicherheits-Policy Sicherheits-Policys umfassen für das gesamte System geltende Sicherheitsparameter. Sie basieren meist auf Standards und definieren die sicherheitsrelevanten
Konfigurationen, die für alle Geräte gemeinsam gelten. Beispiele für Sicherheits-
Policys: Protokollierung sicherheitsrelevanter Ereignisse gemäß BDEW-Standard,
Passwörter gemäß NERC-CIP
SNMP
Security Administration Tool
Software zur Konfiguration und Implementierung von Sicherheitskonzepten in Stationsautomatisierungssystemen
Syslog
System
Das Simple Network Management Protocol (SNMP) ist ein Internet-
Standardprotokoll zur Überwachung und Steuerung von Geräten in IP-Netzwerken.
Standard zur Übermittlung von Protokoll-Meldungen in einem Rechnernetz
TAT
TLS
In diesem Dokument bezeichnet der Begriff „System“ ein digitales Steuerungssystem für die Stationsautomatisierung.
Transfer Administration Tool
Transport Layer Security: Verschlüsselungsprotokoll zur sicheren Datenübertragung im Internet
TSF
UA
Tool Suite Foundation (Framework von Schneider Electric)
Benutzerkonto (User Account).
Ein Benutzerkonto ist eine logische Darstellung einer Person mit konfigurierbaren
Parametern. Es enthält Informationen über die Identität des Benutzers sowie die
Anmeldedaten, mit denen er von der Tool Suite erkannt wird.
Einem Benutzerkonto können Rollen zugewiesen werden, die den Benutzer zu bestimmten Handlungen autorisieren.
Customer Care Centre
http://www.schneider-electric.com/CCC
Schneider Electric
35 rue Joseph Monier
92506 Rueil-Malmaison
FRANCE
Phone: +33 (0) 1 41 29 70 00
Fax: +33 (0) 1 41 29 71 00 www.schneider-electric.com Publishing: Schneider Electric
Publication: SAT/DE M/D32
07/2016
advertisement
Related manuals
advertisement