Moderne Prozessortechnologien für hohe Systemsicherheit
Weit weit weg
Die Intel Core-Prozessoren der zweiten Generation bieten dank der innovativen Virtualisierungstechnologie von Intel neue Möglichkeiten zur zentralisierten Verwaltung und Fernwartung von komplexen Rechnern. DSM Computer nutzt diese Vorteile in ihren neuen hochleistungsfähigen Embedded-Systemen, 19-Zoll-Industrie-PCs und Slot CPUs.
Die Sicherheit und Zuverlässigkeit von im industriellen Umfeld eingesetzten Rechnersystemen ist heutzutage für viele Unternehmen ein wichtiges Thema. In zahlreichen Anwendungen ist ein hohes Maß an Ausfallsicherheit unabdingbar, da eine Fehlfunktion hohe Wartungs- und Stillstandskosten zur Folge haben kann. Doch bei jahrelangem Einsatz in harter Umgebung kann auch die beste Hardware versagen, wenn beispielsweise der zulässige Bereich der Umgebungstemperatur überschritten wird, das Betriebssystem streikt oder die Applikationssoftware abstürzt. Mit den Intel Core-Prozessoren der zweiten Generation ergeben sich nun dank der erweiterten Virtualisierungstechnologie von Intel neue Möglichkeiten. Bislang konnten schon unterschiedliche Betriebssysteme und Applikationen parallel, in gegenseitig voreinander geschützten Speicherbereichen ablaufen, jetzt wird sogar die Virtualisierung von I/O-Schnittstellen und Laufwerken machbar. Damit ist die Voraussetzung geschaffen, um im Prozessor und im dazu gehörenden Intel-Chipsatz innovative Sicherheits- und Verwaltungsfunktionen zu implementieren. Der IPC-Spezialist DSM Computer hat bereits High-end-Industrierechner vorgestellt, die diese fortschrittlichen, Hardware-basierten Technologien unterstützen. Das Embedded-System N1-QM67 von DSM Computer ist der erste Vertreter der NanoServer-Familie der zweiten Generation. Der hochleistungsfähige Industrierechner integriert einen aktuellen Intel Core-Prozessor und den Strom sparenden Mobile-Chipsatz Intel QM67. Neben der Standardvariante mit Intel Core i5-2510E Prozessor mit zwei Cores, ist der NanoServer N1-QM67 optional noch mit der High-end Intel Core i7-2710QE CPU, die ebenfalls zwei Cores bietet, lieferbar. Alternativ wird auch ein N1-System mit Intel Core i3-2330E mit zwei Prozessorkernen angeboten. Der mit Abmessungen von 204x226x79mm³ kompakte IPC verfügt über einen freien PCI Express x16-Steckplatz, z.B. zur Erweiterung mit einer zusätzlichen Grafikkarte oder einen Framegrabber, und einen internen Mini PCI Express x1 Slot. Zum Anschluss von hochauflösenden Displays sind die drei digitalen Display-Schnittstellen HDMI, DVI-I, DVI-D vorhanden, die drei unabhängige Bilder auf drei verschiedenen Monitoren ermöglichen. Im robusten Industriegehäuse finden zwei 2,5″ Hard Disk Drives (HDDs) 24/7 (SATA II 300) oder Solid State Drives (SSDs) Platz. Der 19-Zoll-Industrierechner Infinity 96M1594-ATXQ67 von DSM Computer basiert auf einem industriellen ATX Mainboard mit Intel Q67-Chipsatz. Für höchste Rechenleistung bei dennoch geringem Leistungsverbrauch sorgt ebenfalls ein Intel Core-Prozessor der zweiten Generation. Neben der Variante mit Intel Core i3-2120 Prozessor (3,3GHz, 3MB Cache), der zwei Cores integriert, sind optional noch leistungsfähigere Systeme mit Intel Core i7-2600 (3,4GHz, 8MB Cache) bzw. mit Intel Core i5-2400 (3,1GHz, 6MB Cache) erhältlich. Diese beiden Prozessoren verfügen über vier Rechenkerne. Zur Leistungssteigerung sind die Grafikcontroller Intel GPUs HD3000 bzw. HD2000 direkt auf dem Die integriert. Auch auf einem Intel Core-Prozessor der zweiten Generation mit Chipsatz Intel Q67 basiert die PICMG 1.3 Industrie Slot CPU 96M4361o von DSM.
Sichere Verwaltung der IPCs
Die Intel Core-Prozessoren der zweiten Generation und die dazu gehörenden Intel-Chipsätze ermöglichen dank der verbesserten Intel-Virtualisierungstechnik eine Hardware-basierte Virtualisierung und damit die zentralisierte Verwaltung und Administration des Rechners. Die integrierte Intel vPro-Technologie verfügt über Kontroll-, Management- und Sicherheitsfunktionen zur Erhöhung der Systemsicherheit. Mit Intel vPro sind Benutzer und IT-Mitarbeiter in der Lage, schnell Sicherheits-Patches auf dem PC anzuwenden, entfernt verschlüsselte Laufwerke freizugeben und Sicherheitseinstellungen der Daten zu verwalten. Der PC kann durch Funktionen wie KVM Remote Control vollständig überwacht werden. Darüber hinaus lassen sich aufgetretene Fehler leicht finden und sofort beheben. Da die Zahl der mobilen Nutzer steigt, ist die Einhaltung von Sicherheitsvorschriften wichtiger, aber auch schwieriger als je zuvor. Ein Bestandteil der Intel vPro-Technologie ist deshalb die Ver- und Entschlüsselung der Daten mit der Verschlüsselungsanweisung Intel AES News Instructions (Intel AES-NI), mit der sich der bislang schon weit verbreitete Advanced Encryption Standard (AES)-Algorithmus verbessern und die Datenverschlüsselung beschleunigen lässt. Intel AES-NI sorgt aufgrund der durchgehenden Verschlüsselung für einen schnelleren, kostengünstigen Datenschutz und für eine höhere Systemsicherheit. Wichtig wird dies vor allem in Anwendungen, bei denen Daten in einen Cloud ausgelagert werden und somit außerhalb des Sicherheitsbereichs der bestehenden IT-Umgebung liegen. Die wichtigsten Verschlüsselungskomponenten sind in einem geschützten Flash-Speicher untergebracht, getrennt von den von ihnen geschützten Daten. Damit lässt sich die Sicherung sensibler Daten vereinfachen, jedoch der unbefugte Zugriff auf sie erschweren. Die implementierte Intel Anti-Theft-Technik trägt zur Verhinderung von Rechnerdiebstahl bei, da der Computer unverzüglich lahm gelegt und für Diebe nutzlos wird. Damit lässt sich der unbefugte Zugriff auf sensible Daten vermisster Rechner verringern. Wird der gestohlene Computer wieder aufgefunden, können alle Daten in kurzer Zeit vollständig wiederhergestellt werden. Die in die Hardware eingebetteten Funktionen der Intel vPro-Technologie werden in einer Pre-Boot-Umgebung vom Festplattenlaufwerk, dem Betriebssystem und von den Softwareanwendungen getrennt angesprochen und verwaltet. So ist das Management weniger anfällig und der Zugriff auf den PC ist unabhängig von Energiemodus oder Betriebssystemstatus möglich.
Remotezugriff
Im Management Engine Controller des neuen Chipsatzes implementiert ist die Intel Active Management Technology (AMT). Intel AMT umfasst das Remote PC-Management, Sicherheitsfunktionen, das Power Management und Remote-Konfigurationsmöglichkeiten. Dank dieser Hardware- und Firmware-basierten Technologie kann die Funktion des Rechners aus der Ferne verwaltet und überwacht werden. Zusätzlich lassen sich Updates und Upgrades durchführen. Das Hardware-basierende PC-Management arbeitet auf einer anderen Ebene als die Softwareapplikation und nutzt einen unterschiedlichen Kommunikationskanal. Mit der Kommunikation über den Out-Of-band-Kanal, der auf dem TCP/IP Firmware Stack basiert, ist die Systemverwaltung unabhängig von dem Status des Betriebssystems, vom Zustand des Power-Status, der Verfügbarkeit eines lokal installierten Management-Agents und dem Zustand weiterer Hardware-Komponenten, wie z.B. die HDDs und der Speicher. Einige Funktionen können nur angezeigt werden, wenn der Rechner sich im eingeschalteten Zustand befindet, z.B. das Neustarten der Tastatur via Serial over LAN, das Testen des Zustands des Agents und das Filtern des Netzwerkverkehrs. Die Kommunikation zwischen der Intel Active Management Technology und der Bedienkonsole ist durch Zertifikate, einen Schlüssel oder ein Passwort geschützt.
Unterstützung von Managementaufgaben:
– An- und Abschalten des Rechners mit unterschiedlichen Power-Zyklen aus der Ferne.
– remotes Booten des PCs von einem neuen Boot Device, z.B. einer CD-ROM oder einer DVD, unabhängig von einem lauffähigen Betriebssystem.
– Wiedereinrichten der Aus- und Eingänge des Systems via Serial over LAN; Damit ist eine Fehlerbehebung, die Reparatur des Systems, Software Upgrades usw. möglich.
– Zugriff auf die BIOS Settings, unabhängig davon, ob der PC in Betrieb ist, das Betriebssystem läuft oder die Hardware ausgefallen ist. Umfassende BIOS Upgrades werden unterstützt.
– Aufspüren von verdächtigem Netzwerkverkehr, um ein- und ausgehende Threats in einem Netzwerkpaket-Header zu erkennen. Zusätzlich lassen sich über spezielle Filter unbekannte Threats, z.B. Computerviren, im Netzwerkverkehr identifizieren. Der Netzwerkverkehr wird noch vor dem Aktivieren des Betriebssystems und des Ladens der Softwareapplikation geprüft.
– Blockweise begrenzter Netzwerkverkehr, falls der Verdacht auf einen Computervirus oder unerwünschte Threats besteht. Möglich wird dies durch einer in der Intel AMT basierten Isolationsschaltung, die manuell oder automatisch aktiviert werden kann.
– Steuerung der Hardware-Paketfilter im on-board Netzwerkadapter.
– Automatische Out-Of-Band-Nachricht, wenn ein kritischer Software Agent aufgrund eines aufgetretenen Problems seine vorgeschriebene Meldung an den programmierbaren Timer verpasst.
– Meldung bei fehlerhaftem Betrieb des Betriebssystems oder das fehlerhafte Eingeben des Passwortes.
– Erstellen eines detaillierten Zustandverlaufs, der in einem besonders beschützten Speicher abgelegt wird.
– Erstellen einer Liste der auf dem PC verfügbaren Hardware und Software inklusive der Zugangsrechte.
Der Update der Intel AMT erfolgt über die Software. Neue Releases sind hardwaremäßig auch jeweils im aktuellen Intel-Chipsatz enthalten.
