Lernfeld 9 · Prüfung Teil 2

Netzwerke und Anlagensicherheit

IP-Adressen, Subnetze, VLAN und Firewall im Anlagennetz erklärt, dazu Grundlagen der IEC 62443 und typische Fehler für die Prüfung.

16 Aufgaben dazu übenKostenlos, ohne Anmeldung, mit Lösungsweg

Darum geht es

Jedes Gerät im Anlagennetz braucht eine eindeutige IPv4-Adresse. Die Subnetzmaske legt fest, welcher Teil die Netzadresse und welcher den Teilnehmer bezeichnet. Die erste Adresse eines Netzes ist die Netzadresse, die letzte die Broadcastadresse; beide darfst du keinem Gerät geben. Geräte in verschiedenen Subnetzen erreichen sich nur über einen Router, das Gateway.

Zum Rechnen schreibst du Adresse und Maske binär oder arbeitest im Oktett, in dem die Maske endet. Bei /24 sind die ersten drei Oktette das Netz, bei /22 umfasst ein Netz vier aufeinanderfolgende Werte im dritten Oktett.

Sicherheit im Anlagennetz folgt dem Prinzip der gestaffelten Verteidigung. VLANs trennen Steuerungs- und Bürogeräte auf demselben Switch logisch. Eine Firewall zwischen Büro- und Anlagennetz lässt nach dem Grundsatz Default Deny nur ausdrücklich erlaubte Verbindungen durch. Fernwartung läuft über gesicherte Zugänge, die nur bei Bedarf freigeschaltet werden.

Die Normenreihe IEC 62443 teilt Anlagen in Zonen und Verbindungen (Conduits) ein und beschreibt Security Level von SL 1 bis SL 4. Je höher der Level, desto fähigere und besser ausgestattete Angreifer muss das System abwehren.

Das solltest du dir merken

Netz- und Broadcastadresse eines Subnetzes darf kein Gerät bekommen.
Ein Subnetz mit Präfix n hat $2^{32 - n} - 2$ nutzbare Adressen.
Zwei Geräte am selben Switch, aber in verschiedenen Subnetzen, sprechen ohne Router nicht miteinander.
Default Deny heißt, alles ist gesperrt, was nicht ausdrücklich erlaubt ist.
Bei einem Angriff im Büronetz trennst du das Anlagennetz ab, statt abzuwarten.

Formeln

Nutzbare Adressen im Subnetz: $n_{Host} = 2^{32 - p} - 2$; $n_{Host}$ Anzahl der Geräteadressen, $p$ Präfixlänge der Subnetzmaske (zum Beispiel 24 bei 255.255.255.0)

Typische Fehler in der Prüfung

Die Broadcastadresse einem Gerät zugewiesen oder mit der Netzadresse verwechselt.
Vergessen, dass zwei Adressen je Subnetz nicht nutzbar sind.
Bei Masken wie /22 nur im letzten Oktett gerechnet.
VLAN mit Verschlüsselung gleichgesetzt; ein VLAN trennt nur logisch.

Tipps aus der Werkstatt

Bei Subnetzaufgaben hilft die Maske: Bei 255.255.255.0 (/24) müssen die ersten drei Zahlengruppen zweier Geräte gleich sein, sonst reden sie ohne Router nicht miteinander. Die Netzadresse ist die, bei der der Host-Teil null ist.
Die IEC 62443 denkt in Zonen und Übergängen: Anlagennetz vom Büronetz trennen, Firewall dazwischen, nur nötige Dienste freigeben, Standardpasswörter ändern, Fernwartung nur über gesicherte Verbindung. Ein einzelnes Virenprogramm auf der SPS ist keine Antwort.

Sitzt das Thema? Teste dich mit echten Prüfungsfragen.

16 Aufgaben zu „Netzwerke und Anlagensicherheit“, falsche Antworten kommen in der Runde noch einmal.

Jetzt üben

Grundlage: KMK-Rahmenlehrplan Elektroniker/-in für Automatisierungstechnik 18.12.2020, Lernfeld 9; IEC 62443 (Industrial Security). Eigene Erklärung, keine Originalaufgaben der Prüfungsausschüsse.