Objekt mit 12 Linien & >300 Geräten angegriffen; 70% der Geräte kaputtprogrammiert

[traxanos]

Portweiterleitungen haben im Jahr 2021 nichts mehr zu suchen. Höchstens noch für einen entsprechend gesicherten VPN Server.

Das ist mir zu Pauschal, auch wenn ich weis wie du das meinst! Die Aussage müsste eher lauten.

Eine Portweiterleitung wird nur für Dienste gemacht, die auch der Öffentlichkeit (z.B. Webseite) zugänglich gemacht werden soll oder durch entsprechende Authorisierungsmöglichkeiten (wie VPN) verfügen. Regelmäßige Updates sind natürlich pflicht!

Die KNX-Installation soll weder der Öffenltichkeit bereitstellt werden, noch verfügt es über eine entsprechende Authorisierungsmöglichkeiten und gehört somit nicht direkt ans Netz angebunden. Auf einem Homeserver bzw. dessen Dienste trifft dies i.d.R. auch zu! Ausnahme z.B. könnte aber der VPN Server sein.

Denkbar könnte zwar die Freigabe mitells KNX Secure sein! Allerdings sollte man immer VPN bevorzugen, da so nur ein Einfallstor exisiert und das Risiko minimiert.

[Uwe!]

die auch der Öffentlichkeit zugänglich gemacht werden

um's ganz klar zu sagen: Öffentlichkeit heißt hier ich lade die ganze Welt und damit jeden Kriminellen herzlich ein bei mir mal im Netzwerk einen Besuch abzustatten. Und viele werden diese Einladung auch tatsächlich annehmen.

Für den nicht-Netzwerk-Profi finde ich daher die Aussage "Grundsätzlich niemale nie eine Portweiterleitung einrichten" völlig ok.
Für die Ausnahmen, wo das doch mal ok sein kann, muss ich soviel wissen, dass ich dann auch weiß, dass ich von der Regel abweichen darf.

[DerStandart]

Eine Portweiterleitung wird nur für Dienste gemacht, die auch der Öffentlichkeit (z.B. Webseite) zugänglich gemacht werden soll oder durch entsprechende Authorisierungsmöglichkeiten (wie VPN) verfügen. Regelmäßige Updates sind natürlich pflicht!

So lange dem Laien hier eine fachgerechte Einschätzung über die Sicherheit der genannten Authorisierungsmöglichkeiten und auch der dahinterstehenden Infrastruktur möglich ist, gebe ich Dir Recht. Ansonsten bleibe ich bei meiner pauschalen Aussage

[Sweeny]

Hi,

ich hatte irgendwie mitbekommen, dass man bei MDT-Geräten das BAU-Passwort gar nicht setzen kann bzw. dieses keine Auswirkungen hat. Habe ich das richtig verstanden?

[delija999]

ich bitte trotzdem um info ob man auch homeserver port für die angelegenheit sperren muss oder nur iprouter port?

[Chris1009]

Wenn der Homeserver auch zum Programmieren genutzt werden kann (iETS) ja.
Generell alle Ports ohne Authentifizierung am besten sperren.

[Klaus Gütter]

bei MDT-Geräten das BAU-Passwort gar nicht setzen kann

BCU1-Geräte kennen überhaupt kein BAU-Passwort (sieht man in der Geräte-Info, wenn die Maskenversion x01x ist - x = irgendwas). BCU1 sieht man aber bei Neugeräten eher nicht mehr.

bzw. dieses keine Auswirkungen hat.

Das kann gut sein. Welche Auswirkungen ein BAU-Passwort hat, oder ob es überhaupt welche hat, ist dem Hersteller überlassen.

[vento66]

auch homeserver port für die angelegenheit sperren muss

Welchen Port? Der HS hat ein paar.....

[delija999]

Welchen Port? Der HS hat ein paar.....

eingenen 13458 (z.b.) für den appzugang 3671 ist geschlossen

[19grad]

Ein schneller Schritt in Bestandsanlagen wäre die IP-Router zur Linienkopplung und/oder für die Kommunikation mit Visualisierungen gegen KNX/IP-Secure Router zu wechseln. Dann ist die KNX Datenkommunikation auf der Netzwerkseite verschlüsselt und von aussen unangreifbar.

Dann muss aber auch die Bestands Visu bzw alle KNX-IP Geräte KNX Secure unterstützen?!
wenn nur ein IP Geräte es nicht kann, wars das?

Gibt es schon irgendwelche open source Projekte die KNX Secure unterstützen?

[Klaus Gütter]

Du wirst doch wohl kaum den Backbone (IP Routing = Multicast) ins Internet bringen.
Also höchstens einen Secure Tunneling Server - dadurch sind andere KNX IP Geräte nicht betroffen, nur Tunneling-Clients.

[traxanos]

dadurch sind andere KNX IP Geräte nicht betroffen, nur Tunneling-Clients

Ja aber das sind idR die meisten.

[Klaus Gütter]

KNX IP Geräte benutzen *immer* Routing. nie Tunneling. Du meinst Visualisierungen oder so was.

[jcd]

Etwas OT, aber die Frage liegt mir seit Seite 1 auf der Zunge: steht BAU für den Bau im Sinne von Baustelle oder ist das ein Akronym für BinaryUserAccess, oder ähnliches?

[hari2]

steht BAU für den Bau im Sinne von Baustelle oder ist das ein Akronym für BinaryUserAccess, oder ähnliches?

bus access unit