Industrielle Cyber Security durch SBOMs stärken
Moderne Automatisierungssysteme basieren auf komplexen Software-Stacks, die Komponenten von Drittanbietern und Open-Source-Komponenten umfassen. Um die Sicherheit und die Einhaltung der Vorschriften bei solchen Systemen zu gewährleisten, ist Transparenz erforderlich.
Eine Software-Stückliste (SBOM) bietet genau das: eine vollständige, maschinenlesbare Auflistung aller in einem Produkt verwendeten Softwarekomponenten. Denken Sie an eine Stückliste im Maschinenbau oder an eine Zutatenliste auf einer Lebensmittelverpackung. Es enthält:
- Komponentennamen und Versionsangaben
- Anbieter-Identifikatoren
- Lizenzbedingungen
- Metadaten
Warum SBOMs für die industrielle Automatisierung wichtig sind
Der EU Cyber Resilience Act (CRA) führt verbindliche Anforderungen an die Cyber Security für Produkte mit digitalen Komponenten ein. Für Maschinenbauer und Systemintegratoren sind SBOMs eine Hilfe bei der Erfüllung gesetzlicher Anforderungen, der Bewertung von Sicherheitsrisiken und der Aufrechterhaltung der Compliance über den gesamten Lebenszyklus ihrer Maschinen und Systeme hinweg.
Wie B&R mit SBOMs umgeht
B&R legt großen Wert auf die Einhaltung gesetzlicher Vorschriften und listet die zu diesem Zweck verwendeten Komponenten von Drittanbietern sowie die (Open-Source-)Lizenzen auf. Wir beobachten und analysieren die verschiedenen Empfehlungen, die von internationalen Behörden und Organisationen wie ENISA, CISA und dem BSI herausgegeben werden. B&R bewertet die Vielzahl der Empfehlungen, um eine einheitliche Grundlage für SBOMs zu schaffen, ohne dabei übermäßige Komplexität zu verursachen.
B&R erstellt bereits SBOMs als Teil unseres zertifizierten, sicheren Produktentwicklungszyklus gemäß IEC 62443-4-1. Das bedeutet, dass wir schon lange bevor die CRA die SBOM-Anforderungen verbindlich vorschrieb, darauf vorbereitet waren.
Unser Ansatz
Branchenübliche Formate
Wir verwenden den CycloneDX-Standard, um die Interoperabilität mit gängigen Plattformen zur Schwachstellenanalyse zu gewährleisten.
Abhängigkeiten der ersten Ebene
Die SBOMs von B&R umfassen sowohl die direkten Abhängigkeiten unserer Produkte als auch die Komponenten, die wir integrieren und für die wir verantwortlich sind.
Kontinuierliche Überwachung von Sicherheitslücken
Mithilfe von SBOMs können wir systematisch nach Schwachstellen in Komponenten von Drittanbietern suchen und diese melden.
Transparenz bei Lizenzen
Unsere SBOMs bieten vollständige Transparenz hinsichtlich der Open-Source-Lizenzen, die in B&R-Produkten verwendet werden.
Erstellen von SBOMs für Ihre Maschinenanwendung
Als Maschinenbauer müssen Sie die Softwarekomponenten Ihrer Anwendung dokumentieren. Die Wahl der Werkzeuge hängt von Ihrem Technologie-Stack ab, und die industrielle Automatisierung bringt im Vergleich zu typischen IT-Umgebungen ganz eigene Herausforderungen mit sich.
Heute verfügbare Lösungen
Von der Community entwickelte Tools decken bereits verschiedene Phasen des Maschinenlebenszyklus ab. Zusammen decken diese Tools sowohl die Entwicklungsphase als auch den Ist-Zustand der eingesetzten Systeme ab – ein entscheidender Unterschied für die Einhaltung der Lifecycle-Vorgaben.
SBOM für Automation Studio 6-Projekte (Entwicklungsphase)
Der Python-basierte SBOM-Generator für Automation Studio 6-Projekte scannt Ihre AS6-Projektstruktur und erstellt CycloneDX-JSON-SBOMs für die Konfiguration. Es liest Projektinformationen aus logischen, physikalischen und APJ-Daten aus und verweist dabei auf alle verwendeten B&R-Komponenten.
SBOM aus SDM-Systemauszügen (Laufzeit / Feld)
Ein Toolkit, das SDM-System-Dumps aus Live-Systemen verarbeitet und CycloneDX-SBOMs sowie System-Evidence-Bundles generiert. Es extrahiert Hardware-Informationen (Seriennummern, Firmware-Versionen, Hardware-Varianten), normalisiert Diagnoseprotokolle und kann die Echtheit von SDM-Paketen auch bei Datenübertragungen über USB-Sticks oder andere Medien überprüfen.
Ein Blick in die Zukunft
B&R arbeitet daran, integrierte SBOM-Funktionen in die Entwicklungsumgebung einzubinden. Das Ziel besteht darin, die Erstellung der SBOM zu einem nahtlosen Bestandteil des Entwicklungsworkflows zu machen, um den manuellen Aufwand zu reduzieren und die Konsistenz über den gesamten Projektlebenszyklus hinweg sicherzustellen.
Warum Sie unsere SBOMs nicht verwalten müssen
Jeder Hersteller ist für seine eigene Ebene in der Lieferkette verantwortlich. Was das für Sie bedeutet:
B&R überwacht und behebt Sicherheitslücken
In allen in unseren Produkten verwendeten Komponenten. Du musst einzelne Unterkomponenten innerhalb der B&R-Software weder überwachen noch mit Patches versorgen.
Sie können sich auf Ihre direkten Abhängigkeiten konzentrieren:
Als Maschinenbauer dokumentierst du in deiner SBOM die Komponenten, die du direkt integrierst – einschließlich B&R-Produkten als einzelne Einträge.
Die praktische Realität:
Selbst wenn du vollständigen Einblick in jede verschachtelte Abhängigkeit innerhalb eines B&R-Produkts hättest, hättest du nicht die Möglichkeit, einzelne Unterkomponenten unabhängig voneinander zu reparieren oder zu ersetzen. Diese Verantwortung liegt weiterhin bei B&R.
Mit diesem Ansatz lässt sich die Lieferkette trotz der zahlreichen Schwachstellen, mit denen wir alle konfrontiert sind, überschaubar und skalierbar gestalten.
SBOMs und Einhaltung der CRA-Vorschriften
SBOMs spielen eine wesentliche Rolle beim Nachweis der Einhaltung verschiedener CRA-Verpflichtungen:
Cyber Security von Anfang an
- SBOMs dienen als Nachweis für ein strukturiertes Komponentenmanagement während der Entwicklung.
- Der nach IEC 62443-4-1 zertifizierte Entwicklungsprozess von B&R stellt sicher, dass alle für vollständige SBOMs erforderlichen Informationen von Anfang an erfasst werden.
Umgang mit Sicherheitslücken und deren Meldung
- B&R überwacht Sicherheitshinweise und Schwachstellendatenbanken, um potenzielle Risiken in Softwarekomponenten zu erkennen.
- Aktuelle Sicherheitsinformationen finden Sie auf unserer Seite "Security Advisories".
Dokumentationspflichten
- SBOMs tragen zu einer transparenten technischen Dokumentation und zur Unterstützung während des gesamten Lebenszyklus bei.
- Dies entspricht den Vorschriften der CRA und der Norm IEC 62443.
Den Kreislauf schließen
Während sich die CRA vor allem auf Hersteller konzentriert, kommen SBOMs der gesamten Lieferkette zugute. Moderne Cyber-Security-Programme stützen sich zunehmend auf automatisierte Plattformen zur Schwachstellenanalyse wie Dependency-Track oder ähnliche Lösungen. Diese Systeme nehmen SBOMs als Eingabe und vergleichen sie kontinuierlich mit öffentlichen Schwachstellendatenbanken.
Damit wird der Kreislauf zwischen der Erstellung der SBOM, der Schwachstellenüberwachung und der Sicherheit über den gesamten Produktlebenszyklus hinweg auf jeder Ebene der Lieferkette geschlossen, wobei die Verantwortung hierfür bei der zuständigen Stelle liegt.