Penetrationstests von vernetzten landwirtschaftlichen Robotern und Maschinen

Vor dem Service: Sie entwickeln eine vernetzte KI- oder Roboterlösung für die Landwirtschaft oder Lebensmittelproduktion, wissen aber nicht, wie gut sie einem Cyberangriff standhalten würde. Kunden, Investoren und neue EU-Vorschriften fragen zunehmend, wie das Produkt geschützt ist, und Sie haben keine unabhängigen Testergebnisse zu zeigen. Nach dem Service: Sie erhalten dokumentierte Befunde zu den innerhalb des vereinbarten Testumfangs identifizierten Schwachstellen, wie gravierend diese sind und in welcher Reihenfolge diese behoben werden können. Ein Penetrationstest kann nicht zeigen, dass ein Produkt frei von Schwachstellen ist; es zeigt, was innerhalb des vereinbarten Umfangs und Zeitrahmens gefunden wurde. Sie verfügen über einen unabhängigen Testbericht von RISE, den Sie in Ihrer Entwicklungsarbeit, in Ihrer Risikobewertung und in Gesprächen mit Kunden und Partnern einsetzen können. Je nachdem, welche Vorschriften für Ihr Produkt gelten, können die Ergebnisse auch nützlich sein, wenn Sie sich auf Cybersicherheitsanforderungen wie die in der EU vorbereiten. Maschinenverordnung (EU) 2023/1230, die ab dem 20. Januar 2027 gilt, und Cyberresilienzverordnung (EU) 2024/2847, deren Berichtspflichten für Hersteller ab dem 11. September 2026 gelten und deren Hauptanforderungen ab dem 11. Dezember 2027 gelten. Das frühzeitige Auffinden und Beheben von Schwachstellen spart Geld im Vergleich zum Umgang mit einem Vorfall im Feld. Bitte beachten Sie, dass der Dienst das Produkt nicht zertifiziert oder bestätigt, dass es den Vorschriften entspricht. Compliance-Unterstützung finden Sie in den zugehörigen Diensten unten.

Der Penetrationstest wird mit einem RISE-Verfahren auf Basis des Penetration Testing Execution Standard (PTES) in drei Schritten durchgeführt: · Planung: Gemeinsam vereinbaren wir, was getestet werden soll, welche Art von Test, Testfenster, Sicherheitsvorkehrungen und welche Informationen und Zugriffe Sie bereitstellen. · Prüfung: RISE simuliert realistische Angriffe auf die vereinbarten Teile Ihres Produkts, sowohl mit automatisierten Tools als auch mit manuellen Tests. · Berichterstattung: Sie erhalten einen schriftlichen Bericht mit den Ergebnissen und Empfehlungen. Dauer: Der anfängliche Projektaufbau, einschließlich der Vorbereitung der Testumgebung, dauert in der Regel ein bis zwei Tage. Die wichtigsten Testaktivitäten sind in der Regel innerhalb weniger Tage abgeschlossen und mögliche Folgetests danach. Nachdem alle Testaktivitäten abgeschlossen sind, dauert das Verfassen und Überprüfen von Berichten in der Regel etwa zwei Wochen. Insgesamt dauert der Service in der Regel drei bis fünf Wochen von der Projektinitiierung bis zur Auslieferung des Abschlussberichts, abhängig von der Komplexität des Produkts und dem Umfang der Tests. Ort: Die Tests werden bei Ihnen vor Ort oder gegebenenfalls aus der Ferne durchgeführt, sofern der erforderliche Zugang zur Verfügung steht. Abhängig von Kundenpräferenzen, Produktgröße, Komplexität und anderen praktischen Erwägungen können Tests auch teilweise oder vollständig in RISE-Testlabors durchgeführt werden. Gegebenenfalls kann das gesamte System oder bestimmte Teile des Systems in einer RISE-Prüfeinrichtung bewertet werden. Welche Kunden den Service innerhalb von agrifoodTEF erhalten können, folgt den Förderfähigkeitsregeln des Projekts. Zeitplan: Das Testen digitaler Systeme ist in der Regel nicht an die Vegetationsperiode gebunden. Wenn für die Bewertung Maschinen in einer Feldumgebung benötigt werden, wird der Prüfplan gemeinsam mit Ihnen auf der Grundlage der Maschinenverfügbarkeit und der betrieblichen Anforderungen geplant. Was Sie zur Verfügung stellen: · Zugriff auf das zu prüfende Produkt (Maschine, Roboter oder ein repräsentatives Testsetup), einschließlich seiner Netzwerkschnittstellen, Apps und der in den Anwendungsbereich fallenden Cloud-Dienste · Technische Dokumentation, wie Systemarchitektur, Schnittstellen, Softwareversionen und Konfiguration · Testkonten und alle für die vereinbarten Tests erforderlichen Anmeldeinformationen · Ansprechpartner, der die Tests auf Ihrer Seite koordiniert · Berechtigung von Drittanbietern, deren Systeme in den Test einbezogen sind, z.B. Cloud- oder Telekommunikationsdienste · Unterstützung bei der Installation und Einrichtung des Systems · Quellcode in bestimmten Fällen Was erhalten Sie: ein schriftlicher Bericht, der Folgendes enthält: · Der vereinbarte Testumfang, die getesteten Produktversionen und die Einschränkungen des Tests · Die identifizierten Schwachstellen und wie schwerwiegend sie sind (zum Beispiel mit CVSS bewertet) · Praktische Empfehlungen zur Behebung dieser Schwachstellen in der Reihenfolge ihrer Priorität · Einblicke in die Reaktion des Produkts auf die simulierten Angriffe Wiederholungen: Nachdem Sie die Sicherheitsanfälligkeiten behoben haben, kann ein erneuter Test separat vereinbart werden, um zu bestätigen, dass die Korrekturen funktionieren.

Der Service ist an Ihr Produkt und Ihre Bedürfnisse angepasst. Beispiele für Optionen: Was zu testen · Die Maschine selbst: Steuergeräte, interne Maschinennetzwerke (z.B. CAN-basierte Netzwerke), Service- und Diagnoseports sowie Firmware. · Drahtlose Kommunikation: Wi-Fi, Bluetooth, Funkverbindungen und Fernbedienungen. Apps, Webportale und Cloud-Dienste, die zur Steuerung der Maschine oder zum Umgang mit Farmdaten verwendet werden, einschließlich ihrer Schnittstellen (APIs). Vernetzte Sensoren und IoT-Geräte, die Teil der Lösung sind. Wie tief zu testen · Vulnerability Scanning: eine schnellere Überprüfung auf bekannte Schwachstellen. Sogar das Scannen kann sich auf Steuerungssysteme und Kommunikation auswirken, so dass mögliche Auswirkungen auf die Maschine während der Planung bewertet werden. · Vollständiger Penetrationstest: realistische Angriffsszenarien, einschließlich manueller Tests und Versuche, die gefundenen Schwachstellen auszunutzen. · Grau- oder White-Box-Tests: Der Tester muss vor dem Test über einige oder vollständige Kenntnisse des Systems, z. B. Dokumentation und Quellcode, verfügen. Kombination mit anderen Diensten · Der Penetrationstest kann mit den Diensten von RISE für die Einhaltung von Cybersicherheitsstandards und -vorschriften (S00400), die Konformitätsbewertung für Robotermaschinen (S00009) und die Prüfung von GPS/GNSS-basierten Produkten (S00372) und mit 4G/5G verbundenen Geräten (S00374) kombiniert werden. Einschränkungen und was Sie im Voraus wissen sollten · Produktreife: Das Produkt muss entweder in Betrieb oder in einem realistischen Prüfaufbau arbeiten. Prototypen können getestet werden, aber die Einschränkungen werden im Voraus vereinbart. · Sicherheit: Tests, die dazu führen könnten, dass sich eine Maschine bewegt oder ihr Verhalten ändert, werden nur unter vereinbarten Sicherheitsvorkehrungen durchgeführt, beispielsweise in einem geschlossenen Bereich ohne Menschen oder Tiere in der Nähe. · Drittsysteme: Cloud-, Telekommunikations- und andere Dienste von Drittanbietern werden nur getestet, soweit der Anbieter dies zulässt. · Proprietäre Protokolle: hochgradig kundenspezifische Systeme oder proprietäre Kommunikationsprotokolle können mehr Vorbereitungszeit erfordern. · Operative Einschränkungen: Informieren Sie uns frühzeitig über Einschränkungen wie begrenzte Testfenster oder Zeiten, in denen die Maschine nicht gestört werden darf. · Nicht enthalten: Behebung der Schwachstellen, Zertifizierung oder Bestätigung, dass das Produkt einer Verordnung entspricht. Der Bericht gibt Empfehlungen, wie das Gefundene behoben werden kann.