Auf 20 Quadratmetern wird aus einem Besprechungszimmer ein Serverraum

CWD-Solution erreicht Umnutzung ohne nennenswerte Eingriffe in bestehende Strukturen

Einsbach/Rethwisch, 19. November 2015 – Die CWD-Solution GmbH entwickelt individuell auf den Kunden zugeschnittene IT-Lösungen. Individuell auf die eigenen Anforderungen zugeschnitten werden sollte auch der neue Serverraum. Das bestehende Rechenzentrum mit seiner technischen Ausstattung entpuppte sich als nicht mehr zeitgemäß. Problematisch war allerdings der fehlende Platz. Doch die als Berater hinzugezogene Conect Kommunikationssysteme GmbH (http://www.conect-online.de/de/warum-conect/) fand eine Lösung: Ein Besprechungszimmer mit 20 qm Grundfläche wurde mit dem IT Compact-System zum modernen Datacenter mit 5.000 virtuellen Servern – inklusive weltweit erster Ankopplung von Microsoft SCOM an das integrierte Monitoring-System.

Starker Kundenzuwachs und die damit einhergehende Notwendigkeit, alle Dienste weiterhin professionell bereitstellen zu können, machten die Einrichtung eines professionellen Serverraums für Test- und Schulungssysteme nebst Hosting von Private Clouds nötig. Außerdem hätten mit dem bestehenden System weder die ISO 27001-Richtlinien eingehalten werden können, noch bestand die gewünschte sach- und fachgerechte Klimatisierung nach Kriterien des Siegels „Blauer Engel“.

Modulprinzip für mehr Individualität

Vier Anbieter verglich Jan Obes, Geschäftsführer und Solution Architect bei CWD-Solution. Ausschlaggebend für die Entscheidung war, dass Conect der einzige Anbieter europaweit ist, der die Dichte der geforderten Racks auf kleinstem Raum erreichen konnte. Außerdem überzeugten die Besonderheiten der verbauten Elektronik, das Design sowie die Installation an sich. Als Standort des neuen RZ schlug Conect einen bisherigen Besprechungsraum vor, da dies kaum Eingriffe in die Räumlichkeiten verlangte und ggf. einen einfachen Rückbau ermöglicht. Ausgestattet wurde der Raum mit dem IT Compact-System von Conect, das auf einem schlüsselfertigen Modulprinzip fußt. So konnte eine auf die vorhandenen Flächen zugeschnittene Lösung entstehen, die die Verteilung der Deckentraglast auf den gesamten Raum ermöglichte.

Die Implementierung nahm weniger als fünf Projekttage in Anspruch, ohne den laufenden Betrieb zu stören. Auf etwa 4,6 x 5,5 Metern entstand der Serverraum mit Kalt- und Warmgang, sechs Racks auf jeweils 660 mm Breite und drei Top-Coolern oberhalb der Racks – eine Eigenentwicklung von Conect. Dieses Kühlsystem spart Platz und erreicht sehr niedrige PUE-/EUE-Werte im Bereich von nur etwa 1,2 bis 1,4. Um diesen Wert noch zu verringern und der gewünschten Umweltfreundlichkeit Rechnung zu tragen, wurden die Fensterflächen umgebaut und isoliert.

Weltpremiere: Alarmmeldungen werden zentral gemeldet

Zwei Besonderheiten weist die Installation auf: Zum einen wurde als weltweit erstes System dieser Art ein Conect-eigenes PS-E-Monitoring in den Microsoft System Center Operations Manager (SCOM) integriert. Durch die erfolgreiche Kopplung werden Alarmmeldungen wie Wassereinbrüche, Stromschwankungen/-ausfälle etc. nun zentral gemeldet. Detaillierte Warnungen, wo welche Störung vorliegt, ermöglichen die weitestgehende Verhinderung von Ausfällen und die Aufrechterhaltung von Services sowie Testumgebungen. Zum anderen erhielt CWD-Solution einen individuell für ihre Belange angefertigten Windschutz für die auf dem Dach angebrachten Rückkühler.

„Die Zusammenarbeit mit Conect war mehr als zufriedenstellend. Von der Planung über die Installation bis zum Support ist alles einwandfrei gelaufen“, lobt Jan Obes. „Aus diesem Grund planen wir eine Ausweitung der Kooperation. Erstens möchten wir unser Schatten-RZ bei Conect abbilden und zweitens ein weiteres Dieselaggregat aufstellen, das die Redundanz der Stromversorgung gewährleistet.“

Weitere Informationen finden sich auf der Conect-Website (http://www.conect-online.de/de/warum-conect/).

Hochauflösendes Bildmaterial kann unter conect@sprengel-pr.com angefordert werden.

Über Conect Kommunikationssysteme GmbH:

Das im Jahr 2000 gegründete Unternehmen Conect mit Sitz in Rethwisch entwirft, plant und realisiert Projekte im Bereich hocheffiziente Datacenterlösungen und Modernisierung von Rechenzentren bzw. Serverräumen – inklusive professioneller Kundenbetreuung. Im Rahmen dessen hat sich Conect auf die Entwicklung kompakter Server-Center-Lösungen spezialisiert. Beispielsweise entwirft Conect schlüsselfertige IT-Serverräume im Kompaktformat entweder als Container oder für die Integration in den vorhandenen Serverraum. Kunden profitieren dabei vor allem von niedrigeren Raum- und Betriebskosten, geringerem technischem Aufwand in Infrastrukturen und einer gesteigerten Verfügbarkeit durch moderne Sicherheits- und Kühlkonzepte. Dabei setzt Conect in vielen Bereichen auf Produkte aus der hauseigenen Fertigung, was wiederum kurze Wege und Reaktionszeiten ermöglicht. Conect verfügt im Unternehmensverbund über Fertigungs-, Planungs- und Konzeptionsmöglichkeit. Damit adressiert das Unternehmen in erster Linie KMU, Konzerne, Verwaltungen und RZ-Betreiber, aber auch Hochschulen, Verwaltungsstellen oder Krankenhäuser. Weitere Informationen unter www.conect-online.de.

Firmenkontakt

Conect Kommunikationssysteme GmbH

Karl-Heinrich Spiering

Königstraße 6a

23847 Rethwisch

+49 (0) 45 39-18 05-0

info@conect.de

www.conect-online.de

Pressekontakt

Sprengel & Partner GmbH

Marius Schenkelberg

Nisterstraße 3

56472 Nisterau

+49 (0)2661-912600

conect@sprengel-pr.com

www.sprengel-pr.com

http://www.pr-gateway.de/media/primage/274691.jpgAuf 20 Quadratmetern wird aus einem Besprechungszimmer ein Serverraum

GAI NetConsult zeigt aktuelle Schwachstellen in der ICS-Sicherheit auf

Der Sicherheits-Spezialist recherchiert als Service für Hersteller und Nutzer von Industrial Control Systems (ICS) aktuelle Schwachstellen und gibt Lösungshinweise.

Berlin, 16.09.2015 – In der aktuellen Ausgabe ihres Security Journals zeigt die GAI NetConsult erneut Schwachstellen in der Absicherung von Steuerungs- und Automatisierungssystemen (Industrial Control Systems – ICS) auf. Aktuell wird auf Schwachstellen in Geräten und Komponenten von Siemens (SICAM MIC, RuggedCom und SIPROTEC), OSIsoft (PI Data Archive) und Schneider Electric (Modicom) hingewiesen.

Die Informationen über Schwachstellen im ICS-Bereich sind nirgendwo zentral abzurufen, weshalb die Verantwortlichen vor enormen Problemen stehen und kaum den Überblick über alle bekannt gewordenen Schwachstellen behalten können. Als Spezialist für ICS-Sicherheit beobachtet und bewertet die GAI NetConsult deshalb seit einiger Zeit aktuelle Schwachstellen, Sicherheitsvorfälle und Nutzerhinweise der ICS-Hersteller. Hierzu werden regelmäßig unter Leitung des anerkannten ICS-Experten Dr. Stephan Beirer viele öffentlich zugängliche Quellen gesichtet und ausgewertet.

In der dezidierten Kolumne „ICS Security News“ ihres Security Journals fasst die GAI NetConsult deshalb für Hersteller und Betreiber von Industrial Control Systems die aus ihrer Sicht wichtigsten Schwachstellen und Neuigkeiten aus dem ICS-Bereich zusammen. Dabei werden die Sicherheitsrisiken nicht nur detailliert beschrieben und erklärt, sondern auch – sofern vorhanden – konkrete Tipps zur Abhilfe angeboten. Den davon betroffenen Betreibern wird nahegelegt, auf diese Hinweise möglichst schnell zu reagieren.

Im aktuellen Security Journal #80 werden folgende Schwachstellen beleuchtet:

Authentisierungs-Schwachstelle in Siemens SICAM MIC

Ein Angreifer mit physischem Zugang zum Netzwerk des Siemens MIC-Controllers (ehem. TM 1703 MIC) kann eine Authentisierung-Schwachstelle in der Webanwendung über Netzwerkport 80 ausnutzen und administrative Funktionen ohne Authentisierung ausführen.

„TLS POODLE“-Schwachstelle in Siemens RuggedCom (ROS-/ROX- basiert)

Trotz der Verwendung von TLS über Netzwerkport 443 sind die betroffenen Produkte anfällig für die POODLE-Schwachstelle, die grundsätzlich für die SSL-Version 3 existiert. Der Grund dafür ist, dass die TLS-Implementierung entgegen der TLS-Spezifikation Füll-Bytes nicht vollständig auf Korrektheit verifiziert und sich somit in diesem Punkt nicht von der SSL-Version 3 unterscheidet. Die Schwachstelle POODLE ermöglicht die teilweise Extraktion von sensiblen Daten einer SSL-Verbindung, z.B. von administrativen Zugangsdaten.

Denial-of-Service-Schwachstelle in Siemens SIPROTEC

Ein Angreifer kann durch speziell präparierte TCP-Netzwerkpakete auf Port 50000/UDP das System zum Stillstand bringen (Denial-of-Service-Angriff).

Mehrere Schwachstellen in OSIsoft PI Data Archive

Es wurden insgesamt 56 Schwachstellen identifiziert, darunter unter anderem: Unzureichende Validierung von Eingabedaten; die Software wird nicht mit minimalen Rechten ausgeführt; Preisgabe sensibler Informationen; Denial-of-Service Schwachstellen/ NULL Pointer Dereference; Schwachstellen im Session Management.

Unbestätigte Schwachstellen in Schneider Electric Modicon M340 PLC Station P34 Modul

Es existieren öffentliche Berichte zu mehreren Schwachstellen in den betroffenen Produkten, die allerdings vom Hersteller Schneider Electric noch nicht bestätigt wurden. Die folgenden Schwachstellen werden genannt: Hartkodierte Zugangsdaten in der Software, so dass ein Angreifer diese auslesen und zur Ausführung von beliebigem Programmcode auf dem betreffenden System nutzen kann; „Local file inclusion“-Schwachstelle, die es einem Angreifer erlaubt, ohne eine Authentisierung auf beliebige Dateien des Systems zuzugreifen (Directory Traversal) oder beliebige Dateien zu manipulieren; „Remote file inclusion“-Schwachstelle, die es einem Angreifer erlaubt, beliebigen Programmcode aus der Ferne auf dem System auszuführen oder das Gerät zum Absturz zu bringen.

Zusammen mit Lösungsempfehlungen sind diese Schwachstellen im aktuellen Security Journal der GAI NetConsult detaillierter beschrieben. Gerne stehen die Experten auch für individuelle Rückfragen zur Verfügung. „Die ständige Beobachtung und Bewertung von Schwachstellen, Sicherheitsvorfällen und Nutzerhinweisen gehören zu unserer täglichen Arbeit“, sagt Detlef Weidenhammer, Geschäftsführender Gesellschafter von GAI NetConsult. „Durch die wachsende Bedrohungslage wird auch mit Blick auf Industrie 4.0 eine schnelle Weitergabe dieser Informationen immer wichtiger. Aus diesem Grund haben wir die Rubrik ICS Security News in unserem kostenlosen Security-Journal ins Leben gerufen.“

Das Security Journal der GAI NetConsult erscheint alle zwei Monate mit aktuellen, sorgfältig recherchierten Informationen aus der Welt der Informationssicherheit. Es bündelt die Erfahrungen aus vielen Security-Projekten in Form von tiefgreifenden Fachartikeln sowie aktuellen Tipps zum Thema Informationssicherheit. In der regelmäßig erscheinenden Kolumne „ICS Security News“ werden wichtige Sicherheitsinformationen speziell aus dem Bereich der Steuerungs- und Automatisierungssysteme weitergegeben. Das Journal kann kostenlos online im Abo bezogen werden. Die Anmeldung erfolgt hier: https://www.gai-netconsult.de/journal

Details zu den Beratungsangeboten der GAI NetConsult bei den Themen Informationssicherheit im Bereich Kritischer Infrastrukturen, sichere Prozessdatenverarbeitung und Industrie 4.0 mit Dienstleistungen wie Sicherheitsaudits, Umsetzung des bdew Whitepapers oder der ISO 27001 sowie ISMS-Einführungen finden Sie hier: https://www.gai-netconsult.de/index.php?id=12

Die GAI NetConsult ist ein unabhängiges Software- und Consulting-Unternehmen mit besonderer Expertise in der Erstellung von umfassenden Lösungen zur Informationssicherheit und der Entwicklung sicherer eBusiness-Anwendungen.

In der Informationssicherheit wird der gesamte „Security Life Cycle“ von der Analyse über Konzeption, Realisierung und Betrieb bis hin zur Überprüfung bestehender Sicherheitsmaßnahmen abgedeckt. Zu den angebotenen Dienstleistungen gehören Sicherheitsaudits (BSI, ISO), Penetrationstests, Notfallmanagement und die ISMS-Einführung nach ISO/IEC 27001. Ein Schwerpunkt liegt in der Sicherung von Kontroll- und Automatisierungssystemen (ICS, SCADA), insbesondere im Bereich Kritischer Infrastrukturen wie z.B. der Energieversorgung. Dabei werden die Anforderungen aus dem BDEW Whitepaper – von der Projektplanung über die Ausschreibung und Systemkonzeption bis zur Abnahme – begleitet. Mitarbeiter der GAI NetConsult gehören zu den Top-Know-how-Trägern für ICS-Sicherheit und arbeiten in Fachgremien wie DIN, ISO maßgeblich an wichtigen Industriestandards wie der DIN ISO/IEC 27019 mit.

Prozessintegration mit modernen EAI- und ESB-Plattformen sowie agile Softwareentwicklung nach Scrum bei Umsetzung des Security Development Life Cycles (SDL) sind die Basis für die kundenindividuellen Integrations- und Branchenlösungen der GAI NetConsult. Diese Lösungen beinhalten auch die Umsetzung der jeweils relevanten Sicherheitsanforderungen, z.B. aus dem Sozialgesetzbuch (SGB) im Gesundheitswesen oder bzgl. der gesicherten Kommunikation, die im eGovernment gefordert ist.

Zum Kundenstamm der GAI NetConsult gehören mittlere und große Unternehmen vorwiegend aus den Branchen Energieversorgung, Finanzdienstleistung, Gesundheitswesen, Chemie/Pharma sowie Öffentliche Verwaltungen. Weitere Informationen über GAI NetConsult finden Sie unter www.gai-netconsult.de.

Firmenkontakt

GAI NetConsult GmbH

Detlef Weidenhammer

Am Borsigturm 58

D-13507 Berlin

+49 30 / 41 78 98 – 0

info@gai-netconsult.de

http://www.gai-netconsult.de

Pressekontakt

bloodsugarmagic GmbH & Co. KG

Bernd Hoeck

Gerberstr. 63

78050 Villingen-Schwenningen

0049 7721 9461 220

GAINetConsult@bloodsugarmagic.com

www.bloodsugarmagic.com

http://www.pr-gateway.de/media/primage/268453.jpgGAI NetConsult zeigt aktuelle Schwachstellen in der ICS-Sicherheit auf

GAI NetConsult veröffentlicht ICS-Schwachstellen

Hersteller und Nutzer von Industrial Control Systems (ICS) erhalten regelmäßig Informationen über Schwachstellen in diesem Bereich sowie Hinweise für deren Behebung.

Berlin, 16.07.2015 – Die Absicherung von Steuerungs- und Automatisierungssystemen (Industrial Control Systems – ICS) ist sowohl bei Kritischen Infrastrukturen, als auch allgemein in der Industrie eine enorme Herausforderung. Den aktuellen Überblick über alle bekannt gewordenen Schwachstellen in diesem speziellen Bereich zu behalten, stellt die Verantwortlichen vor enorme Probleme, da die Informationen hierzu nirgendwo zentral abzurufen sind. Als Spezialist für ICS-Sicherheit beobachtet und bewertet die GAI NetConsult deshalb seit einiger Zeit aktuelle Schwachstellen, Sicherheitsvorfa?lle und Nutzerhinweise der ICS-Hersteller. Hierzu werden regelmäßig unter Leitung des anerkannten ICS-Experten Dr. Stephan Beirer viele öffentlich zugängliche Quellen gesichtet und ausgewertet.

Für Hersteller und Betreiber von Industrial Control Systems fasst die GAI NetConsult nun in der dedizierten Kolumne „ICS Security News“ ihres Security Journals die aus ihrer Sicht wichtigsten Schwachstellen und Neuigkeiten aus dem ICS-Bereich zusammen. Dabei werden die Sicherheitsrisiken nicht nur detailliert beschrieben und erklärt, sondern auch – sofern vorhanden – konkrete Tipps zur Abhilfe angeboten. Den davon betroffenen Betreibern wird nahegelegt, auf diese Hinweise möglichst schnell zu reagieren.

Im aktuellen Security Journal #79 werden folgende Schwachstellen beleuchtet:

Fehlende Authentisierung in Belden Hirschmann HiView

Die Software (HiView Version 02.0.01 und älter) verwendet zur Verwaltung der Netzwerkkomponenten (Router, Switches, Firewalls) der Marke Hirschmann zwar die sicheren Netzwerkprotokolle HTTPS und SSH, verfehlt aber die Prüfung der Authentizität des Kommunikationspartners. Ein Angreifer mit Zugang zum unterliegenden Netzwerk kann beim Verbindungsaufbau mit einem Man-in-the-Middle-Angriff sensible Informationen wie Zugangspasswörter ausspähen.

Directory-Traversal-Schwachstelle in IDS RTU 850

Der integrierte Webserver hat eine Directory-Traversal-Schwachstelle, die es durch eine Manipulation von Pfadangaben in der URL erlaubt, ohne eine Authentisierung auf Dateien des Systems zuzugreifen (Directory Traversal).

Schwachstelle in der Generierung von TCP-Sequenznummern in Wind River VxWorks

Das im Umfeld von Automatisierungs- und Leittechnik weitverbreitete Echtzeit-Betriebssystem VxWorks in der Version 7 (vor 13/02/15) sowie zahlreiche ältere Versionen wählen zum Aufbau einer TCP-Verbindung eine vorhersagbare TCP-Sequenznummer. Dies ermöglicht einem Angreifer mit Zugang zum unterliegenden Netzwerk die TCP-Verbindung zu manipulieren. Beispielsweise kann er gefälschte Datenpakete senden oder die TCP-Verbindung beenden (Denial-of-Service-Attacke).

DLL-Hijacking-Schwachstelle in Schneider Electric OPC Factory Server

Das Öffnen einer manipulierten Bibliotheks-Datei (DLL-Datei) führt zu einem Programmabsturz, der darüber hinaus zum Ausführen von Schadcode ausgenutzt werden könnte. Die Bibliotheks-Datei muss dazu vorher auf das System übertragen werden. Betroffen sind die Version 3.5 vor SP 6 und ältere.

Schwachstelle in der Speicherung von Zugangsdaten in Nova-Wind Turbine HMI

Das Nova-Wind Turbine HMI speichert Zugangsdaten in Klartext. Ein Angreifer kann mit unterschiedlichen Methoden diese Zugangsdaten ermitteln und sich so Zugang zum System verschaffen.

Die genannten Schwachstellen sind zusammen mit Lösungsempfehlungen im aktuellen Security Journal der GAI NetConsult detaillierter beschrieben. Gerne stehen die Experten auch für individuelle Rückfragen zur Verfügung. „Wir unterstützen seit vielen Jahren die Betreiber Kritischer Infrastrukturen und Industrieunternehmen bei der Sicherung von Steuerungs- und Automatisierungssystemen“, sagt Detlef Weidenhammer, Geschäftsführender Gesellschafter von GAI NetConsult. „Mit Maßnahmen wie technischen Audits, Sicherung der PDV-Technik oder der Einführung von Informationssicherheitsmanagementsystemen (ISMS) helfen wir unseren Kunden, den stetig wachsenden Bedrohungen zu begegnen.“

Das Security Journal der GAI NetConsult erscheint alle zwei Monate mit aktuellen, sorgfältig recherchierten Informationen aus der Welt der Informationssicherheit. Es bündelt die Erfahrungen aus vielen Security-Projekten in Form von tiefgreifenden Fachartikeln sowie aktuellen Tipps zum Thema Informationssicherheit. In der regelmäßig erscheinenden Kolumne „ICS Security News“ werden wichtige Sicherheitsinformationen speziell aus dem Bereich der Steuerungs- und Automatisierungssysteme weitergegeben. Das Journal kann kostenlos online im Abo bezogen werden. Die Anmeldung erfolgt hier: https://www.gai-netconsult.de/journal

Details zu den Beratungsangeboten der GAI NetConsult bei den Themen Informationssicherheit im Bereich Kritischer Infrastrukturen, sichere Prozessdatenverarbeitung und Industrie 4.0 mit Dienstleistungen wie Sicherheitsaudits, Umsetzung des bdew Whitepapers oder der ISO 27001 sowie ISMS-Einführungen finden Sie hier: https://www.gai-netconsult.de/index.php?id=12

Über:

GAI NetConsult GmbH
Herr Detlef Weidenhammer
Am Borsigturm 58
13507 Berlin
Deutschland

fon ..: +49 30 / 41 78 98 – 0
web ..: http://www.gai-netconsult.de
email : info@gai-netconsult.de

Die GAI NetConsult ist ein unabhängiges Software- und Consulting-Unternehmen mit besonderer Expertise in der Erstellung von umfassenden Lösungen zur Informationssicherheit und der Entwicklung sicherer eBusiness-Anwendungen.

In der Informationssicherheit wird der gesamte „Security Life Cycle“ von der Analyse über Konzeption, Realisierung und Betrieb bis hin zur Überprüfung bestehender Sicherheitsmaßnahmen abgedeckt. Zu den angebotenen Dienstleistungen gehören Sicherheitsaudits (BSI, ISO), Penetrationstests, Notfallmanagement und die ISMS-Einführung nach ISO/IEC 27001. Ein Schwerpunkt liegt in der Sicherung von Kontroll- und Automatisierungssystemen (ICS, SCADA), insbesondere im Bereich Kritischer Infrastrukturen wie z.B. der Energieversorgung. Dabei werden die Anforderungen aus dem bdew Whitepaper – von der Projektplanung über die Ausschreibung und Systemkonzeption bis zur Abnahme – begleitet. Mitarbeiter der GAI NetConsult gehören zu den Top-Know-how-Trägern für ICS-Sicherheit und arbeiten in Fachgremien wie DIN, ISO maßgeblich an wichtigen Industriestandards wie der ISO/IEC 27019 mit.

Prozessintegration mit modernen EAI- und ESB-Plattformen sowie agile Softwareentwicklung nach Scrum bei Umsetzung des Security Development Life Cycles (SDL) sind die Basis für die kundenindividuellen Integrations- und Branchenlösungen der GAI NetConsult. Diese Lösungen beinhalten auch die Umsetzung der jeweils relevanten Sicherheitsanforderungen, z.B. aus dem Sozialgesetzbuch (SGB) im Gesundheitswesen oder bzgl. der gesicherten Kommunikation, die im eGovernment gefordert ist.

Zum Kundenstamm der GAI NetConsult gehören mittlere und große Unternehmen vorwiegend aus den Branchen Energieversorgung, Finanzdienstleistung, Gesundheitswesen, Chemie/Pharma sowie Öffentliche Verwaltungen. Weitere Informationen über GAI NetConsult finden Sie unter www.gai-netconsult.de.

Pressekontakt:

bloodsugarmagic GmbH & Co. KG
Herr Bernd Hoeck
Gerberstr. 63
78050 Villingen-Schwenningen

fon ..: +49 7721 94 61 220
web ..: http://www.bloodsugarmagic.com
email : GAINetConsult@bloodsugarmagic.com

http://www.prnews24.com/wp-content/uploads/2015/07/icsnews.jpgGAI NetConsult veröffentlicht ICS-Schwachstellen