操作说明的用途在安装和连接 SCALANCE XM-400产品组设备时，这些操作说明可以为您提供支持。本操作说明中没有介绍如何在网络中组态和集成设备。操作说明的有效性本操作说明适用于以下设备：•SCALANCE XM408-4C• SCALANCE XM408-8C• SCALANCEXM416-4C除非另外提及，否则这些操作说明中的说明适用于上述关于有效性的部分中 SCALANCEXM-400产品组的所有设备。使用的标识分类 说明 使用的术语产品系列此产品系列包含所有产品组的所有设备和设备变型。如果信息适用于此产品系列的所有产品组，那么将使用术语SCALANCEX-400。SCALANCE X-400产品组 如果信息适用于产品组中的所有设备和设备变型，那么将使用术语SCALANCEXM-400。SCALANCE XM-400设备 如果信息与特定设备相关，则使用设备名称。 SCALANCEXM408-4CSCALANCE XM408-8CSCALANCEXM416-4C附加文档此外，请注意扩展器和可插拔收发器的操作说明。与端口扩展器 PE408PoE 结合使用时，请注意 PoE 电源SCALANCE PS9230 PoE 和 SCALANCEPS924 PoE 的文档。SCALANCE XM-400操作说明,02/2023, C79000-G8952-C306-13 5补充文档可以在以下位置找到：• 一些产品随附的数据介质中：– 产品CD/产品 DVD– SIMATIC NET 手册集• Siemens 工业在线支持 的Internet 页面使用功能扩展器 BUSANALYZER Agent XM-400 时，请注意西门子工业在线支持网站上的 BUSANALYZER Agent XM-400文档：组态文档可在下列组态手册中找到有关组态设备的详细信息：• SCALANCE XM-400/XR-500 Web BasedManagement• SCALANCE XM-400/XR-500 Command LineInterface这些组态可在以下位置找到：• 一些产品随附的数据介质中：– 产品 CD/产品 DVD– SIMATIC NET手册集• Siemens 工业在线支持更多文档在系统手册《工业以太网/PROFINET 工业以太网》和《工业以太网/PROFINET无源网络组件》中，可以找到有关可在工业以太网网络中与该产品系列的设备一起使用的其它 SIMATICNET产品的信息。其中还包含安装所需的通信伙伴的光学性能数据。系统手册可在以下位置找到：• 一些产品随附的数据介质中：– 产品CD/产品 DVD– SIMATIC NET 手册集• Siemens 工业在线支持的 Internet 页面：–《工业以太网/PROFINET 工业以太网》SIMATIC NET 手册用户可在以下位置找到 SIMATIC NET 手册：•Siemens 工业在线支持SIMATIC NET 词汇表对于本文档中所用的许多专业术语，SIMATIC NET词汇表部分都给出了解释。用户可在以下位置找到 SIMATIC NET 词汇表：• SIMATIC NET 手册集或产品 DVD该DVD 随一些 SIMATIC NET 产品一起提供。• Internet 上的以下地址安全性信息Siemens为其产品及解决方案提供了工业信息安全功能，以支持工厂、系统、机器和网络的安全运行。为了防止工厂、系统、机器和网络受到网络攻击，需要实施并持续维护先进且全面的工业信息安全保护机制。Siemens的产品和解决方案构成此类概念的其中一个要素。客户负责防止其工厂、系统、机器和网络受到未经授权的访问。只有在有必要连接时并仅在采取适当安全措施（例如，防火墙和/或网络分段）的情况下，才能将该等系统、机器和组件连接到企业网络或Internet。关于可采取的工业信息安全措施的更多信息，Siemens不断对产品和解决方案进行开发和完善以tigao安全性。Siemens强烈建议您及时更新产品并始终使用Zui新产品版本。如果使用的产品版本不再受支持，或者未能应用Zui新的更新程序，客户遭受网络攻击的风险会增加。要及时了解有关产品更新的信息，请订阅Siemens 工业信息安全 RSS源固件/软件支持的说明定期检查新固件/软件版本或安全更新并加以应用。新版本发布后，先前版本不再受支持，也不再进行维护。目录可以在以下目录中找到Siemens 相关产品的部件编号：• SIMATIC NET 工业通信/工业标识，目录 IK PI• 用于全集成自动化和小型自动化的SIMATIC 产品，目录 ST 70• Industry Mall -自动化和驱动技术的目录和订购系统，在线目录设备故障如果故障无法消除，请将设备送至西门子代表处进行维修。不提供现场维修服务。解除调试正确关闭设备，以防止未经授权的人员访问设备内存中的机密数据。为此，需要恢复设备的出厂设置。还要恢复存储介质的出厂设置。该产品的污染物含量低，可以回收利用并且符合WEEE 指令 2012/19/EU对电子电气设备的处置要求。请勿将产品丢弃在公共场所。为了使旧设备的回收和处置更符合环境要求，请联系一家经认证的电子废料处理公司或联系西门子的联系人使用设备时针对Hazardous Locations (HazLoc)的安全注意事项如果在危险位置条件下使用设备，除了防爆通用安全注意事项外，还必须遵守以下安全注意事项：此设备仅适合在 I 类，2分区，A、B、C 和 D 组或无危险位置使用。此设备仅适合在 I 类，2 区，IIC 组或无危险位置使用。网络安全相关建议3注意信息安全在运行设备之前，连接设备并更改出厂时设置的用户“admin”和“”的标准密码。为防止设备和/或网络受到未经授权的访问，请遵循以下安全建议。
•定期检查设备，以确保遵守这些建议和/或其它内部安全策略。• 评估位置安全性，并将单元保护机制与适当的产品 配合使用。•断开内部和外部网络时，攻击者无法从外部访问内部数据。因此请仅在受保护的网络区域内运行该设备。•对于在非安全基础架构中的操作，Siemens 不承担任何产品责任。• 使用 VPN 进行加密和验证与设备进行的通信。•对于通过非安全网络进行的数据传输，使用加密的 VPN 隧道（IPsec、OpenVPN）。• 正确单独连接（WBM、SSH 等）。•查看与设备一起使用的其它 Siemens 产品的用户文档，以获取更多安全建议。•通过远程记录，可确保将系统协议转发到中央记录服务器。确保服务器位于受保护的网络内，并定期检查协议是否存在潜在的安全违规情况或漏洞。物理访问•应将该设备限制为仅允许合格人员进行物理访问。– 存储卡或 PLUG（C-PLUG 和KEY-PLUG）中包含可读取和修改的敏感数据，如证书、密钥等。– 使用该按钮，可将设备复位为出厂默认设置。•如果设备支持公开访问，则使用软件禁用按钮功能。• 锁定设备上不使用的物理端口。不使用的端口可用于对工厂进行禁止的访问。SCALANCEXM-400操作说明, 02/2023, C79000-G8952-C306-13 13软件（安全功能）•保持固件为Zui新。定期检查设备的安全更新。有关这方面的信息，请参见工业安全网站。• 请持续关注由 Siemens ProductCERT出版的安全建议。• 仅激活使用设备所需的协议。• 通过访问控制列表 (ACL) 中的规则限制对设备管理的访问。• VLAN结构化选项可针对 DoS 攻击和未经授权的访问提供保护。请检查该功能在您的环境下是否实用或有效。•通过中央记录服务器对更改和访问进行记录。在受保护的网络区域内运行记录服务器，并定期检查记录信息。可访问性风险 -数据损失风险请勿丢失设备的密码。只能通过将设备复位为出厂设置（这会完全删除所有组态数据）来恢复对设备的访问。•使用设备之前，请更换所有用户帐户、访问模式和应用程序（如适用）的默认密码。• 定义密码分配规则。•使用密码强度高的密码。避免使用密码强度弱的密码（如，password1、123456789、abcdefgh）或重复字符（如，abcabc）。此建议也适用于对设备组态的对称密码/密钥。•确保密码受保护且只透露给授权的人员。• 请勿对多个用户名和系统使用相同的密码。• 将密码存储在安全位置（非在线），以便在丢失时使用。•定期更改密码以tigao安全性。• 如果已知或者疑似有未经授权的人员知道了密码，则必须更改密码。• 通过 RADIUS执行用户验证时，请确保所有通信均在安全环境中进行或均受到安全通道的保护。• 注意在端点之间不提供自身验证的链路层协议，例如 ARP 或IPv4。攻击者可利用这些协议中的漏洞来攻击连接到您的第 2 层网络的主机、交换机和路由器，例如，通过操纵子网中系统的 ARP缓存或使其中毒并随后拦截数据liuliang。对于非安全第 2层协议，必须采取适当的安全措施，以防对网络进行未经授权的访问。对本地网络的物理访问可以是安全的，也可以使用更高层的协议。证书和密钥•设备中有一个密钥长度为 2048 位的预设 SSL/TLS (RSA)证书。将此证书替换为用户生成的含密钥高质量证书。使用由可靠外部或内部认证机构签署的证书。可通过 WBM（“System >Load and Save”）安装证书。• 使用密钥长度为 4096 位的证书。• 使用认证机构，包括密钥撤销与管理，来签署证书。•确保用户自定义的私人密钥都受到保护，未授权人员无法访问。• 如果存在可疑的安全违规，请立即更改所有证书和密钥。• 使用“PKCS#12”格式的具有密码保护的证书。• 基于服务器和客户端侧的指纹验证证书，避免“中间人”攻击。为此，请使用第二条安全传输路径。•将设备送至 Siemens进行维修之前，请使用临时的一次性证书和密钥替换当前证书和密钥，这些证书和密钥在设备返厂时会被销毁。安全/非安全协议和服务•应避免使用或禁用非安全协议或服务，例如，HTTP、Telnet 和TFTP。由于历史原因，这些协议可用，但并不适用于安全应用。请慎重对设备使用非安全协议。• 检查是否有必要使用以下协议和服务：–未验证和未加密的端口– MRP、HRP– IGMP 监听– LLDP– DCP– Syslog– RADIUS– DHCP 选项66/67– TFTP– GMRP 和 GVRP• 以下协议具有安全备选方法：– HTTP → HTTPS– Telnet →SSH– SNMPv1/v2c → SNMPv3检查是否有必要使用 SNMPv1/v2c。SNMPv1/v2c的分类为非安全协议。使用阻止写访问的选项。设备会为您提供适合的设置选项。如果 SNMP已启用，请更改团体名称。如果不需要不受限制的访问，请通过 SNMP 限制访问。使用 SNMPv3 的验证和加密机制。– TFTP →SFTP– NTP → NTPsecure• 在物理保护措施未阻止设备访问时使用安全协议。•如果需要非安全协议和服务，请仅在受保护的网络区域内运行该设备。• 将可用于外部的服务和协议限制到Zui少。• 如果使用 RADIUS来管理对设备的访问，需激活安全协议和服务。接口安全性• 禁用不使用的接口。• 使用 IEEE 802.1X 进行接口认证。•使用“锁定端口”(Locked Ports) 功能阻断未知节点的接口。• 使用接口的配置选项，例如“边缘类型”(EdgeType)。• 组态接收端口，以便丢弃所有无标记帧（“jinxian带标记的帧”(Tagged FramesOnly)）。可用协议以下列表概要介绍了打开的协议端口。该表包括以下列：• 协议• 端口• 默认端口状态–打开端口的出厂设置为“打开”。– 关闭端口的出厂设置为“关闭”。• 可组态端口– ✓端口状态可更改。– --端口状态不可更改。•验证指定是否对通信伙伴进行验证。•加密指定传输是否已加密。以下是所有可用服务及其端口的列表，通过这些服务和端口可对设备进行访问。该表包括以下列：• 服务设备支持的服务•默认端口状态此为交付状态（出厂设置）下的端口状态。• 可组态端口/服务指示是否可通过 WBM/CLI 组态端口号或服务。