ELHA 的网络安全

本页已自动翻译。

现代机床已实现联网：它们为状态监测和生产计划提供数据，接收更新，并支持远程维护。这不仅提高了生产效率，同时也对安全性提出了新的要求。针对机床控制系统的攻击不仅可能导致数据泄露，还可能导致生产停滞或危及人身安全。因此，网络安全已成为我们产品开发过程中不可或缺的一部分。

我们的方法

在开发我们的机器、控制系统和软件时，我们从一开始就将安全要求纳入考量。这包括建立安全可靠的开发流程、保护控制程序免受未经授权的访问和篡改，以及定期检查所用软件组件是否存在已知漏洞。一旦发现安全漏洞，我们会为受支持的产品提供更新，并通过安全公告通知受影响的客户。

作为运营商，您可以采取哪些措施

安全是制造商和运营商共同的责任。我们建议将设备部署在与办公网络分离的生产网络中，仅允许通过安全且必要时才启用的连接进行远程访问，修改默认密码，并及时安装提供的更新。我们的服务团队很乐意协助您将机器安全地集成到您的IT环境中。

发现安全漏洞了吗？

如果您发现我们某款产品或服务中可能存在安全漏洞，请向以下地址报告： cra@elha.de. 如需发送机密信息，您可以使用我们的PGP密钥：

说明： https://elha.de/.well-known/pgp-key.txt
指纹：55C84D85E8E2DBAE9ADCEFEC5853F383B89F50CE

关于我们如何处理漏洞报告以及对报告者的期望，请参阅我们的《安全漏洞报告指南》。此外，我们的联系方式还以机器可读格式收录在我们的 security.txt. 我们感谢所有以负责任的方式帮助我们提升产品安全性的人士。

随着《网络弹性法案》（CRA）的出台，欧盟针对含有数字组件的产品制定了具有约束力的网络安全要求。我们通过多种措施将这些要求落实到产品中，包括建立完善的漏洞处理流程、在长达10年的支持期内提供安全更新，以及在规定时限内向主管部门报告正在被积极利用的漏洞。

您可以在此处查阅公开的 ELHA 安全公告。

我们机器、软件和在线服务的安全性对ELHA-MASCHINENBAU而言至关重要。我们欢迎安全研究人员、客户和合作伙伴提供反馈，这些反馈有助于我们发现并修复安全漏洞。

适用范围：本指南适用于ELHA机床及其控制系统中的软件和固件、我们的工业物联网（IIoT）软件，以及elha.de网站及其子域下的网络服务。第三方制造商的产品（例如供应商提供的控制组件）不在此范围内；请直接向相关制造商报告此类问题。如有疑问，仍欢迎向我们报告，我们将代为转达。

如何报告漏洞：请将您的报告发送至 cra@elha.de，请尽可能使用我们的PGP密钥进行加密（https://elha.de/.well-known/pgp-key.txt). 请提供受影响的设备或软件及其版本号、漏洞描述及其可能造成的影响、复现步骤，以及您的联系方式（如您希望被公开提及）。

您可以期待我们提供以下服务：我们将在5个工作日内确认收到报告，对报告进行评估，并告知您后续处理流程。我们将随时向您通报进展情况，并与您协商发布时间。通常情况下，我们力争在收到报告后90天内发布；对于已投入实际使用的设备，更新分发可能需要更长时间，届时我们将与您协商一个合理的期限。对于正在被积极利用的漏洞，我们将根据法律义务向主管部门报告。

请注意：请勿在处于生产运行状态的机器上进行测试，尤其是客户现场的机器。对机器控制系统的干预可能会危及人身安全并造成财产损失。请勿进行拒绝服务攻击、社会工程学攻击、网络钓鱼及物理攻击。仅在验证漏洞所必需的范围内访问数据，并在测试完成后删除所获取的数据。在与我们协商一致后，方可公布详细信息。

法律保证：如果您本着善意并遵守本指南行事，我们将不会对您采取任何法律行动。

奖励：我们目前未开展漏洞赏金计划，也不会对提交的漏洞报告提供奖励。