安全地存储敏感数据 建议 操作单元上保存的敏感数据包括比如：访问数据、项目数据和包含公司秘密的机密数据。在将敏感数据保存到操作单元时，务必确保这些数据的安全保存。 为尽量减少风险，请采取以下安全措施： •每次都根据规定的文档安全分级方式标记文档的保密等级。 • 只在操作单元或网络驱动器上加密保存敏感数据。 •为加密的存储地点设置保护，防止被未经授权的访问和操纵。 •定期对敏感数据进行备份。妥善保护好备份数据，防止未经授权的访问、数据丢失和操纵。安全传输敏感数据 建议为尽量减少风险，请采取以下安全措施： • 只有在juedui必要时才发送敏感数据。仅使用加密签名的电子邮件或具备加密功能的存储介质。用于发送数据的存储介质（例如 U 盘或外部硬盘）必须定期杀毒。 •仅通过具备加密功能的存储介质传输敏感数据。用于传输数据的存储介质（例如 U 盘或 外部硬盘）必须定期杀毒。安全密码 建议 注意数据滥用可导致组件损坏 密码设置的不安全，很容易导致数据被滥用。攻击者可以用获得的访问数据登录系统并操纵驱动的行为。从而导致组件损坏。 • 制定更新密码的准则。准则应遵循国家安全和信息技术机构的要求。 •制定处理访问数据的准则。确保这些准则在所使用的工程组态工具中得到一致的执行。 •始终保持访问数据的机密性，并确保只有经授权的一群人可以访问这些数据。 在分配新密码时需遵循以下准则： •不得分配易于猜测的密码，例如：单词、容易被猜到的按键组合。 • 密码必须始终包含大写字母、小写字母、数字和特殊字符。PIN码必须是无规律的一串数 字。 • 分配的密码要符合规定的Zui小长度。 •在设置密码时还要遵循公司的现行规定，比如：各个公司自己的密码管理政策。 密码管理程序可以根据可配置的规则生成、存储和管理密码和 PIN码。
杀毒软件 说明反病毒程序和杀毒软件是检测、阻止和消除已知的计算机病毒、计算机蠕虫和木马和其他恶意软件的应用程序。因此，杀毒软件不能防止所有的恶意软件，只能作为一般安全措施的补 充。 建议 杀毒软件不得干扰生产设备的运行。如果关闭受污染的操作单元会导致失去对生产过程的控制，请不要关闭。 为尽量减少风险，请采取以下安全措施： • 不使用在线杀毒软件：在使用在线杀毒软件时，机密数据可能会被非授权人员窃取。因此，一般不要使用在线 杀毒软件。 • 更新病毒定义：确保杀毒软件数据库中的病毒定义始终是Zui新的。 • 避免安装多个杀毒软件： 请避免在一个系统上同时安装多个杀毒软件。 • 连接生产网络：仅使用防病毒操作单元连接生产网络。允许清单 说明 允许清单是检查期间受信任的应用和应用程序的目录。这些目录用于决定可以在操作单元上执行哪些应用和应用程序。因此，它们提供保护，防止： • 恶意软件 •擅自更改已安装的应用程序和可执行文件。产品安全公告 建议 网络安全威胁多种多样，且不断变化。敬请访问以下网站，及时了解网络安全Zui新动态，查看是否有和产品相关的新安全公告：“工 业在线支持 ”。请遵循产品安全公 告中的说明。西门子 ProductCERT 应急响应小组是负责处理西门子产品和解决方案安全事件的中央部门。西门子 ProductCERT为研发部门提供咨询和服务支持。ProductCERT 可提供Zui新安全威胁和薄弱环节方面的信息 以及相应的应对措施。Windows补丁管理 说明 注意 操作系统中的安全漏洞导致数据操纵 对于< Windows 10的操作系统，微软不提供自动安全更新、服务包和热补丁。操作系统上 因此可能有潜在的安全漏洞。 • 如果使用的操作系统低于Windows 10 版本，请采取其他措施来保护操作系统。 • 如果可能，请始终将您操作单元上的操作系统升级到Zui新版本。对于 Windows 操作系统，可以使用微软提供的系统功能 WSUS（Windows Server Update Services）。WSUS 是一种更新服务，可协助系统管理员在大型局域网中发布 Microsoft 更新包。WSUS 会 自动下载更新包，并将其发布给Windows 客户端安装。自动更新过程可确保在 Windows 客户端上安装Zui新的系统更新和安全更新。在安装系统更新和安全更新之前，请考虑以下事项： • 执行系统备份。 •系统管理员必须确保系统和安全更新不会影响生产设备的可操作性。 • 不要直接网络连接到 WSUS服务器！确保安全的连接环境，并设置中间层（比如：DMZ 网络、防火墙、SCALANCE S 模块等）。 更多信息有关网络隔离的更多信息请参阅“网络隔离 (页 28)”一章。TIA 博途中的程序更新 说明如果您已在操作单元（测试设备/个人计算机、笔记本电脑）上安装了 TIA 博途，则可以随 时在 TIA博途中开始搜索程序更新。将显示各个 TIA 博途应用程序的新版本并可安装。安装 新版本还可以修复安全漏洞。此外，打开自动通知以接收有关可用程序更新的信息。 在安装系统更新之前，请考虑以下事项： • 不要直接网络连接到 TIA博途更新服务器！确保安全的连接环境，并设置中间层（比如： DMZ 网络、防火墙、SCALANCE S 模块等）。 更多信息有关网络隔离的更多信息请参阅“网络隔离 (页 28)”一章。数据损坏和由此导致的系统故障特性在自动化和驱动系统以及控制系统组件上，一些比如备份、程序等数据可以从外部设备导入。这些数据会影响系统特性，因此，须妥善加以保护，防止未经授权的修改。 备份、程序和 Technology Extension等数据同样可以保存和存档。系统目前不提供任何功 能或手段来确保程序、备份和 Technology Extension 的完整性。您必须自行采取一些措施，来保证备份、Technology Extension 或者其他一些保存的数据 的完整性： •采取西门子工业综合安全方案：西门子工业综合安全方案 • 使用电子签名来保护数据。 • 确保充分的访问保护： –适当限制访问权限，比如：设置对数据保存目录 / Sharepoint 的访问权限 – 所有电子邮件都加密发送或签名发送数据完整性指数据正确、完好无损，系统正常工作。因此，确保数据完整性是信息安全的一个重要目标。数据完整性保护不同于数据机密性保护，两者不应混淆。通信接口 简介通讯接口位于显眼的位置，很容易受到攻击，如何保护通讯接口以及与其相关的数据和服务因此极其重要。为此要针对接口采取有效的安全措施，确保只有授权人员和设备才能访问通 讯接口，并防止敏感的企业数据被未经授权访问。1)服务接口与 PROFINET 接口的 IP 地址不允许位于同一子网中。无论变频器通过网络与哪一个节点相连，都必须实施变频器的物理保护措施：“物理保护措施 (页 27)”。 服务接口 X127服务接口 X127 变频器可通过服务接口 X127 连接一个操作单元。其中： • 该接口设计用于调试和诊断，要保证它始终便于操作。 •SINAMICS 智能无线通（可选产品）可以在变频器的服务接口 X127 和操作单元之间建立 无线连接。 •只允许在闭合控制柜中进行本地联网。安全属性 • 在出厂设置中，通过 HTTPS 传输数据处于激活状态。 • 在出厂设置中，通过HTTP 传输数据处于禁用状态。 警告 因修改参数设置引起机器故障 HTTP 协议以不保护的方式传输数据。使用 HTTP协议传输数据会使得敏感数据（比如： 登录数据）更容易被窥探。未经授权的人员可借此访问变频器并操纵数据。参数设置错误可导致机器出现故障，从而导致人员重伤或死亡。 • 将访问方式限定为通过 HTTPS 协议，从而确保所有数据以受保护的方式传输。 •该接口默认情况下允许工程配置工具 Startdrive 和/或网络服务器访问。 可在这些工具安全向导中的“保护 &安全”页面中配置该访问。PROFINET 接口 X150 PROFINET 接口 X150 变频器可通过 PROFINET 接口X150 连接不同组件（例如：一个操作单元或一台上位控制器）。 安全措施 PROFINET 接口 X150上的网络必须位于一个保护单元内。必须采取一些措施防止有人擅自 操作电缆和打开的端口，比如：将设备装入控制柜内。关于网络安全中“单元保护方案”的更多信息，可查看章节“网络隔离 (页 28)”。通信关系 简介变频器与组件或操作单元之间的数据传输使用不同的通信协议。下图为可能的连接和通信关 系的简化图。更多信息有关用于变频器通信的协议和接口以及固件默认设置的更多信息，请参阅“端口和协议的Zui 低功能 (页 72)”一章。安全设置 说明本章不仅概括介绍了如何配置针对 Startdrive 中工程配置过程的安全设置，也介绍了如何在 Startdrive和网络服务器中配置针对驱动的安全设置。针对 TIA Portal 项目以及针对驱动的安全设置对于理解安全功能而言，区分两类安全功能配置至关重要： • 针对 Startdrive 中工程配置过程的安全功能配置 •针对驱动的安全功能配置（可以通过 Startdrive 或网络服务器进行）针对 Startdrive 中工程配置过程的安全设置适用范围 功能 说明 适用于所有项目的设 置 用户身份验证 在 Startdrive 中启动项目时用户登录的标准方法更多信息可查看以下章节： • 用户管理和访问控制 (UMAC) (页 49) • 用户身份验证 (页 91)会话超时时锁定项目 更多信息可查看以下章节： • 用户管理和访问控制 (UMAC) (页 49) • 项目锁定(页 92) 安全向导 安全向导的标准设置 更多信息可查看章节“显示驱动安全向导的设置 (页 96)”。适用于单个项目的设 置 项目保护 该功能可为工程配置过程激活身份验证和访问控制。 更多信息可查看以下章节： • 项目保护(页 53) • 激活项目保护 (页 107) 密码规则 为工程配置过程和支持的设备配置密码规则更多信息可查看以下章节： • 用户管理和访问控制 (UMAC) (页 49) • 密码规则 (页 55) •配置密码规则 (页 109) 用户管理和访问控制 (UMAC) 为工程配置过程和支持的设备配置用户和访问控制更多信息可查看以下章节： • 用户管理 (页 110) • 访问控制 (页 117)