Anlage scannen für die SBOM: PROFINET-, SNMP- und IP-Scan ergeben zusammen die Geräteliste mit Bestellnummer und Firmware

Welche drei Quellen eine SBOM im Anlagenbau speisen, steht im Beitrag zur SBOM-Erstellung: Stückliste, Engineering-Projekt und Netzwerkscan. Der Scan ist die einzige der drei Quellen, die den tatsächlich laufenden Firmwarestand misst, und zugleich die mit den meisten Lücken. Dieser Beitrag behandelt den Scan allein: welches Verfahren welche Geräte erreicht, warum ein Verfahren nie reicht und wie sich das Vorgehen nach der Steuerungswelt der Anlage richtet.

Welche Identifikationsdaten jedes Protokoll preisgibt und wo seine Lücken liegen, steht je Protokoll in einem eigenen Beitrag: PROFINET, EtherNet/IP, EtherCAT, Modbus TCP, OPC UA, SNMP und IO-Link. Was die Hersteller selbst an Advisories und SBOMs liefern, steht im Vergleich SBOM je Hersteller.

Kein verbreitetes Werkzeug liefert Bestellnummer und Firmware für alle Geräte einer Anlage

Eine Anlage aus Fördertechnik, Robotik, Kameras und Netzwerktechnik enthält Geräte, die über fünf oder sechs verschiedene Protokolle Auskunft über sich geben. Jedes Scan-Werkzeug beherrscht einen Teil davon. In der Praxis zeigen sich sechs Lücken:

• PROFINET-Scans erfassen nur PROFINET-Geräte. Access Points, Standard-Switches, Industrie-PCs und Kameras fehlen, obwohl sie Firmware tragen und in Advisories regelmäßig auftauchen.
• Firewall- und Gateway-Lösungen haben Lücken bei Firmware und Gerätename. Sie sehen Verkehr, nicht Identität. Bei vielen Geräten bleibt die Spalte Firmware leer.
• EtherCAT-Teilnehmer sind nur über den Master erreichbar. Beckhoff-Klemmen haben keine IP-Adresse; sichtbar werden sie erst nach einer Freischaltung am Industrie-PC.
• Manche Geräte geben keine Kennung heraus. Einzelne Antriebe melden weder Namen noch Bestellnummer, egal auf welchem Weg man fragt.
• In der Stückliste fehlt die Firmware, im Scan oft die Bestellnummer. Beide Quellen sind einzeln unvollständig und müssen aufeinander abgebildet werden.
• Gescannt wird vor Ort, ausgewertet zentral. Wer je Teilanlage einzeln scannt, führt die Ergebnisse mehrerer Teams am Ende von Hand zusammen.

Die Tiefe der Liste ist dabei kein Problem. Für Maschinen und Anlagen genügt die flache Geräteebene, jedes Gerät mit Hersteller, Bestellnummer und Firmwarestand, ohne die Software-Bestandteile darunter; die Begründung steht im Beitrag zur SBOM-Erstellung. Das Problem ist die Breite: alle Geräte, über alle Protokolle, über alle Teilanlagen.

In einer reinen Siemens- und PROFINET-Welt reichen PRONETA plus SNMP- und IP-Abfrage

Viele mittelständische Anlagenbauer und ein großer Teil der Intralogistik arbeiten durchgängig mit Siemens: S7-Steuerungen, ET 200, SINAMICS-Antriebe, SCALANCE-Switches, PROFINET als Feldbus. Für diese Anlagen ist das Vorgehen überschaubar und braucht zwei Verfahren.

PRONETA für die PROFINET-Geräte. Der PROFINET-Standard schreibt mit den I&M0-Daten vor, was jedes Gerät über sich preisgibt: Hersteller, Bestellnummer, Hardware- und Firmwarestand, Seriennummer. PRONETA fragt diese Daten über PROFINET-DCP ab, ohne Steuerung und unabhängig von der IP-Konfiguration, und exportiert die Liste. Für PROFINET-Teilnehmer ist das die belastbarste Quelle, die es gibt. Zwei Einschränkungen hat sie: DCP arbeitet auf Schicht 2, der Scan erreicht deshalb nur das Segment, an dem der Rechner hängt, und muss je VLAN wiederholt werden. Und alles, was nicht PROFINET spricht, bleibt unsichtbar.

SNMP- und IP-Abfrage für den Rest. Access Points, Switches, Router, Industrie-PCs und Kameras geben ihre Kennung über andere Wege heraus. Die Switch- und Router-Tabellen (ARP, Bridge-MIB) liefern zunächst jedes Gerät am Ethernet mit MAC-Adresse, IP, Port und VLAN, also die Vollständigkeit. Eine SNMP-Abfrage gegen die gefundenen Adressen liefert aus Systemgruppe und ENTITY-MIB Gerätename, Hardware- und Firmwarestand, oft auch die Bestellnummer. Was auf SNMP nicht antwortet, hat meist eine Weboberfläche mit Typenschild, Industrie-PCs zusätzlich eine Windows-Inventur über ein Lesekonto.

Ein IP-Scan heißt hier: Tabellen auslesen und gefundene Adressen in bekannten Protokollen befragen, mit fester Portliste und ohne Schreibzugriff. Port-Probing nach Art eines IT-Schwachstellenscanners ist etwas anderes und gehört nicht in ein Anlagennetz; die Abgrenzung steht im Beitrag zu den SBOM-Tools.

Zusammengeführt werden beide Listen über die MAC-Adresse, die in beiden Verfahren vorkommt. Das Ergebnis ist eine Ethernet-Liste, in der die PROFINET-Geräte mit I&M0-Daten und die Netzwerk- und IT-Geräte mit SNMP-Daten stehen. Für eine Anlage mit einer Steuerungswelt und einer Handvoll VLANs ist das an einem Abnahmetag machbar, mit Werkzeugen, die auf dem Engineering-Notebook ohnehin liegen.

Bei vorgegebenen Steuerungswelten führt ein Scan in drei Stufen zur vollständigen Liste

In Automotive, Energie, Öl und Gas, Chemie und Pharma gibt der Endkunde die Steuerungs- und Netzwerktechnik häufig vor, Werk für Werk unterschiedlich. Der Anlagenbauer baut dann Siemens für den einen Kunden, Rockwell für den nächsten und hat in der Praxis oft mehrere Welten in einer Anlage: eine S7 für die Förderstrecke, ein Beckhoff-IPC für die Roboterzelle, B&R im zugekauften Modul, IO-Link an den Sensoren. Hier reicht PRONETA plus SNMP nicht mehr, weil jede Welt ihre Kennung auf einem anderen Weg herausgibt. Das Vorgehen wird mehrstufig.

Die Reihenfolge der Stufen folgt der Verlässlichkeit der Daten. Die Erfassung beginnt bei PROFINET, weil der Standard die Identifikationsdaten vorschreibt und jedes zertifizierte Gerät sie liefert. Bei EtherNet/IP, Modbus oder OPC UA entscheidet der Hersteller, was ein Gerät herausgibt; die Ausbeute ist hoch, aber nicht garantiert. Die dritte Stufe braucht eine einmalige Freischaltung am jeweiligen Master, etwa eine ADS-Route auf dem Beckhoff-IPC, und damit die Abstimmung mit dem Steuerungstechniker.

Welcher Weg für welche Steuerungswelt in Frage kommt, zeigt die folgende Zuordnung. Sie taugt als Vorlage, um für die eigenen Anlagentypen festzuhalten, welche Stufen nötig sind.

Bis ein Weg im Scan verfügbar ist, kommen die Daten aus dem Engineering-Projekt. In die Anlagen-SBOM gehört jedes Gerät mit Firmware oder digitaler Schnittstelle; rein analoge Sensorik bleibt draußen.

Der Scan läuft vom Wartungs-PC über alle VLANs, ohne zusätzliche Hardware in der Anlage

Die sechste Lücke aus der Liste oben, Scannen vor Ort und Zusammenführen von Hand, löst sich über den Ort des Scans. PROFINET-Scans müssen je Segment laufen, und Firewall- oder Gateway-Lösungen bringen eigene Hardware in jede Anlage. Der Wartungs-PC im zentralen Netzwerkschrank erreicht dagegen über den Router alle Teilanlagen: VLAN 11 mit SPS, ET 200, Antrieben und HMI, VLAN 12 mit dem Beckhoff-IPC und den Scannern, VLAN 13 mit IO-Link-Master, Kamera und Access Point, bei großen Anlagen bis zu 150 Anlagenteile. Alles, was über IP erreichbar ist, wird in einem Lauf erfasst; EtherCAT-Klemmen und IO-Link-Sensoren kommen über ihren Master dazu.

Damit der Lauf im Anlagennetz akzeptiert wird, braucht er vier Dinge:

1. Ein Profil je Anlagentyp, einmal mit der Netzwerkabteilung abgestimmt: welche Protokolle, welche Portliste, welche Lesekonten.
2. Einen Probelauf, der jede Anfrage auflistet, die der Scan senden würde, ohne etwas zu senden.
3. Einen rein lesenden Lauf mit fester Portliste, der in Minuten durch ist.
4. Eine Anlagen-SBOM als CycloneDX mit Deckungsbericht: jedes unidentifizierte Gerät einzeln, mit Port, VLAN und Hersteller aus der MAC-Zuordnung.

Der Deckungsbericht ist der Teil, der in Scan-Ergebnissen üblicherweise fehlt. Eine Liste mit 180 identifizierten Geräten sagt nichts darüber, ob die Anlage 180 oder 230 Geräte hat. Erst die offenen Positionen mit Switch-Port und VLAN machen den Abgleich gegen die EPLAN-Stückliste und das Engineering-Projekt möglich. Ergebnisse anderer Scanner lassen sich daneben legen, so wie das Engineering selbst.

Der Zeitpunkt bleibt derselbe wie für die SBOM insgesamt: FAT oder Inbetriebnahme, solange die Anlage im eigenen Zugriff ist, und danach bei jedem eigenen Serviceeinsatz oder Retrofit. Zwischen diesen Ereignissen ist die Anlage in Betreiberhand; der Scan vom Abnahmetag bleibt der letzte selbst gemessene Stand.

Fragen aus der Praxis

Reicht PRONETA, um eine Anlage für die SBOM zu scannen?

Für die PROFINET-Geräte ja, für die Anlage nein. PRONETA liefert über I&M0 die besten Daten, die ein Scan für PROFINET-Teilnehmer bekommen kann, sieht aber weder Access Points noch Switches, Industrie-PCs oder Kameras und muss wegen DCP je Segment laufen. In einer reinen Siemens-Welt ergänzt eine SNMP- und IP-Abfrage vom Wartungs-PC den Rest; zusammengeführt wird über die MAC-Adresse.

Wie kommen EtherCAT-Klemmen und IO-Link-Sensoren in die Liste?

Nur über den Master. EtherCAT-Teilnehmer haben keine IP-Adresse; ihre Kennung und Firmware liest der Scan über den Beckhoff-IPC aus, nach einmaliger Freischaltung einer ADS-Route. IO-Link-Sensoren liefert der IO-Link-Master über seine Diagnose- oder REST-Schnittstelle, B&R-Steuerungen ihre Teilnehmer über die Systemdiagnose. Was so nicht erreichbar ist, kommt aus dem Engineering-Projekt.

Was passiert mit Geräten, die keine Kennung herausgeben?

Sie stehen als offene Position im Deckungsbericht, mit MAC-Adresse, Hersteller aus der MAC-Zuordnung, Switch-Port und VLAN. So lassen sie sich gezielt aus dem Engineering-Projekt oder der EPLAN-Stückliste ergänzen. Ohne die offenen Positionen lässt sich die Vollständigkeit der Liste nicht beurteilen.

Ob ein aktiver Scan im Anlagennetz riskant ist und warum Claroty, Nozomi und die anderen OT-Monitoring-Plattformen für die Abnahme einer auszuliefernden Anlage das falsche Werkzeug sind, beantwortet der Beitrag zu den SBOM-Tools. Kurz: Anfragen in den Protokollen der Geräte, rein lesend und mit fester Portliste, tun dasselbe wie eine Engineering-Station am Netz; riskant ist Port-Probing nach Art eines IT-Schwachstellenscanners.

Entwicklungspartner erproben die Erfassung an einer eigenen Anlage

Die Verfahren aus diesem Beitrag setzen wir in Werkspilot Scan um, einem eigenständigen Modul von Werkspilot, das die Scan-Verfahren vom Wartungs-PC aus in einem Lauf kombiniert und eine Anlagen-SBOM als CycloneDX ausgibt. Siemens und PROFINET sind ab Stufe 1 abgedeckt, weitere Steuerungswelten folgen in Stufe 2 und 3. Das Modul erproben wir mit wenigen Anlagenbauern an deren eigenen Anlagen, bevor es allgemein verfügbar wird.

• Laufzeit: vier Monate, drei Partner.
• Erprobung: Werkspilot Scan läuft auf einer internen Test- oder Referenzanlage des Partners. Wir oder der Partner scannen sie vom Wartungs-PC aus, die Auswertung erfolgt gemeinsam, und die Erfassung wird Stufe für Stufe um die Steuerungen des Partners erweitert, etwa Beckhoff oder B&R.
• Beitrag des Partners: eine interne Testanlage für die Laufzeit, ein fester Ansprechpartner aus der Netzwerkentwicklung und ein wöchentlicher Abgleich von 30 Minuten.
• Ergebnis für den Partner: eine Anlage seiner Wahl als Anlagen-SBOM, jedes erreichbare Gerät mit Hersteller, Bestellnummer und Firmwarestand, offene Positionen einzeln ausgewiesen, zum Abgleich etwa mit der EPLAN-Stückliste. Danach das Scan-Modul dauerhaft zu Partnerkonditionen.

Platz in der Entwicklungspartnerschaft anfragen →

Werkspilot hält die Geräteliste ausgelieferter Anlagen laufend gegen die Advisories und CSAF-Feeds der Komponentenhersteller. Werkspilot Scan ist ein eigenständiges Modul dafür und befindet sich in der Erprobung mit Entwicklungspartnern. Dieser Beitrag gibt den technischen Stand zum Zeitpunkt der Veröffentlichung wieder.