Belden HIRSCHMANN HiOS-2A - Page 56

Index
56
UM Security BRS-2A
Release 8.7 05/2022
C
Capability security level (introduction) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14
Choice of a secure installation location . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
Configuration
Access through EtherNet/IP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
Access through IEC 61850-MMS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
Access through Modbus TCP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
Access through OPC UA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
Access through PROFINET . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
Adapt session timeouts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
Advanced device security . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
Advanced user authentication . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
Assign a local IP address for the device management . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
Assign a static IP address for the device management . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
Dedicated HTTPS certificate . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
Dedicated login banners . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
Dedicated SNMPv3 authentication and encryption password policy . . . . . . . . . . . . . . . . . . . 35
Dedicated SSH host key pair . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
Dedicated user account login policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
Dedicated user account password policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
Dedicated user accounts and roles for device management . . . . . . . . . . . . . . . . . . . . . . . . . 34
Disable automatic device software update from external memory . . . . . . . . . . . . . . . . . . . . . 31
Disable booting from an external memory . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
Disable insecure management protocols . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
Disable loading configuration profile from external memory . . . . . . . . . . . . . . . . . . . . . . . . . 31
Disable loading configuration profile without valid fingerprint . . . . . . . . . . . . . . . . . . . . . . . . 32
Disable logical access to Digital Input . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
Disable logical access to Signal Contact . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
Disable logical access to unused ports and SFP slots . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
Disable writing unencrypted configuration profile to external memory . . . . . . . . . . . . . . . . . . 31
Hardware Modifications for security . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
HTTPS certificate . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
IP access restrictions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
Local IP address for the device management . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
Logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
PoE power budget . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
Possible hardware modifications for security . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
Power over Ethernet power budget . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
Security . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
SNMPv3 authentication and encryption password policy . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
SSH host key pair . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
Static IP address for the device management . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
Synchronize the time . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
User account login policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
User account password policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
User accounts and roles for device management . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
VLAN dedicated to management access . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
Configure a dedicated management VLAN (network) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 48
Configure logging (network) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53
Configure time synchronization . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35