Warum industrielle Anlagen gegen Cyberangriffe geschützt werden müssen und wie die Absicherung gelingt
Warum industrielle Anlagen gegen Cyberangriffe geschützt werden müssen und wie die Absicherung gelingtIndustrieanlagen im Fokus der AngreiferMit der stetig zunehmenden Vernetzung industrieller Anlagen und dem massiven Einsatz von Komponenten und Technologien aus der Standard-IT haben die aus der konventionellen Informationstechnik bekannten Schwachstellen und Bedrohungen auch Einzug in Fabrikautomation und Prozesssteuerung gehalten. Wie aber laufen solche Angriffe ab? Und wie lassen sich industrielle Anlagen dagegen absichern? Im Jahre 2010 wurde durch einen Cyberangriff das Atomprogramm im Iran kompromittiert. Eine ausgefeilte Schadsoftware, die unter dem Namen Stuxnet bekannt wurde, manipulierte dabei die Steuerungskomponenten für Zentrifugen, was letztlich einen signifikanten physischen Schaden an der Anlage verursachte. Stuxnet war der erste Angriff auf eine industrielle Anlage, der eine flächendeckende mediale Präsenz bekam. Dabei war dies nicht der erste Cybersicherheitsvorfall im industriellen Umfeld. Schon vor zehn Jahren haben verschiedene nicht zielgerichtete Würmer massive Produktionsausfälle in den unterschiedlichsten Branchen verursacht. Noch sehr viel früher als diese Kollateralschäden hat es Fälle von Innentätern gegeben, die nach Ausscheiden aus dem Unternehmen Manipulationen vorgenommen haben. Aktuelle Angriffskampagne Zielgerichtete Angriffe auf industrielle Anlagen werden zunehmend professioneller vorbereitet und durchgeführt. Ein prominentes Beispiel aus 2014 ist die Schadsoftware Havex. Hierbei handelte es sich um eine modular aufgebaute Schadsoftware, die insbesondere auch Anlagen in Deutschland zum Ziel hatte. Zunächst wurde Havex über Spear Phishing verbreitet – einzelne Mitarbeiter beim angegriffenen Unternehmen erhielten eine E-Mail, die recht authentisch wirkte und den Empfänger zum Klicken auf einen Link verleiten sollte oder die teilweise auch direkt mit Schadsoftware behaftet war. Später kam mit sogenannten Waterhole Attacks ein weiterer Verbreitungsweg hinzu. Dabei wurden die Webseiten von Herstellern von Industriekomponenten gehackt und die darauf zum Download angebotenen Softwarepakete bzw. Firmware-Updates für Industriekomponenten mit dem Schadcode versehen. Jeder Anlagenbetreiber oder Integrator, der anschließend einen entsprechenden Download vornahm, wurde somit infiziert. Was tut eine Industrieschadsoftware? Havex spionierte anschließend die auf den befallenen Systemen gespeicherten Zugangsdaten, Verbindungsdaten für VPN-Zugänge und weitere sensible Daten aus – vermutlich zur Vorbereitung von schwerwiegenden und umfassenden Folgeangriffen. Zudem wurde ein Scan nach verschiedenen Industriekomponenten durchgeführt. Hierzu gehörte auch das Mitlesen der Kommunikation auf Basis des industriespezifischen Protokolls OPC. Im industriellen Umfeld verfügen die meisten Kommunikationsprotokolle über keine kryptografischen Sicherheitsmechanismen und sind solchen Angriffen daher schutzlos ausgeliefert (vgl. Abb.1). Zu diesem Zeitpunkt versuchte Havex noch, möglichst nicht entdeckt zu werden, sodass weitere Schadroutinen später nachgeladen werden könnten. Jedoch war die Implementierung des OPC-Protokolls fehlerhaft, was dazu führte, dass verschiedene Industriekomponenten mit OPC-Unterstützung plötzlich abstürzten und den Dienst verweigerten. Havex richtete also bereits Schaden an, ohne dass dies beabsichtigt war. Havex ist ein Musterbeispiel dafür, wie Angriffe auf Industriekomponenten ablaufen. Auch repräsentativ ist die Tatsache, dass viele Unternehmen längere Zeit infiziert waren, ohne dies selbst zu bemerken.
Abb.1 Schematische Darstellung meist ungeschützter Kommunikationsbeziehungen in industriellen Anlagen.
Start small Mit Blick auf die aktuelle Bedrohungslage muss es das Ziel eines Anlagenbetreibers sein, die Eintrittswahrscheinlichkeiten und die Schadensfolgen von verbreiteten Angriffsarten zu minimieren. Anlagenbetreiber müssen sich von der Vorstellung eines sicheren „Plug & Produce“ lösen. Für den Einstieg eignen sich insbesondere die „ICS Top 10 Bedrohungen“ [1], die das BSI unter dem Eindruck vielfältiger Erfahrungswerte erstellt hat. Hier werden nicht nur die zehn kritischsten Angriffsvektoren beschrieben, sondern auch geeignete Gegenmaßnahmen aufgezeigt. Bei den betrachteten Bedrohungen liegt der Schwerpunkt auf den Angriffen, mit denen ein Täter in das Unternehmen eindringt und so einen Brückenkopf errichtet, um weitere Folgeangriffe durchzuführen. Die Gegenmaßnahmen zielen aber nicht nur auf einen Schutz am Perimeter ab, sondern auf ein mehrschichtiges „Defense-in-Depth“-Konzept (vgl. Abb.2). Die „ICS Top 10 Bedrohungen“ beinhalten auch eine Checkliste für Betreiber und Integratoren. Intention dieser Checkliste ist nicht die Ermittlung einer konkreten Maßzahl für das aktuelle Sicherheitsniveau. Vielmehr wird es die Beantwortung dieser Fragen erfordern, dass eine Diskussion und ein Austausch im Unternehmen stattfindet. Dies deckt häufig schon erste Unzulänglichkeiten und Regelungslücken auf und setzt so einen Startpunkt für weitere Sicherheitsbemühungen.
Abb.2 Zusammenhang von Primär- und Folgeangriffen.
Keep on growing Nur durch kontinuierliche Überprüfung und Umsetzung von Sicherheitsmaßnahmen seitens der Betreiber kann ein hinreichendes Sicherheitsniveau gewährleistet werden. Bei diesen Maßnahmen handelt es sich nicht nur um technische Maßnahmen, denn Cyber-Sicherheit kann man nicht als ein fertiges Produkt kaufen. Vielmehr spielen gerade organisatorische Maßnahmen – beispielsweise im Bereich Sicherheitsmanagement, Sensibilisierung oder Notfallvorsorge – eine zentrale Rolle. Mit einer geeigneten Kombination aus organisatorischen, architekturellen und technischen Maßnahmen kann einer Vielzahl von Bedrohungen effektiv begegnet werden. Da viele Unternehmen nicht gleich auf einen der komplexen Standards für das Sicherheitsmanagement aufsetzen können, hat das BSI mit dem ICS-Security- Kompendium [2] die wichtigsten Vorgehensweisen und Methoden zusammengefasst. Ergänzend wird mit dem kostenfreien Tool „Light and Right Security for ICS“ (LARS ICS) ein Werkzeug angeboten, das die wichtigsten Maßnahmen auf eine Referenzarchitektur abbildet und so den leichtgewichtigen Einstieg in das Sicherheitsmanagement ermöglicht. Think big Ziel eines Anlagenbetreibers muss es sein, langfristig ein ganzheitliches Informationssicherheitsmanagementsystem (ISMS) zu etablieren. Dabei sollte auf ein bewährtes ISMS wie IT-Grundschutz oder IEC 62443 aufgesetzt werden, ohne jedoch die Anforderungen und Beschränkungen des eigenen Unternehmens zu vernachlässigen. Ergänzend dazu muss der Dialog mit Herstellern und Integratoren bezüglich der gegenseitigen Anforderungen geführt werden. Grundlagen hierfür liefern beispielsweise die vom BSI erstellten „Anforderungen an netzwerkfähige Industriekomponenten“ [3], die Anlagenbetreiber verwenden können, um die von ihnen erwarteten Sicherheitsanforderungen zu beschreiben. Herausforderung Industrie 4.0 Während für Bestandsanlagen eine meist überschaubare Menge an Sicherheitsmechanismen genügt, um ein hinreichendes Sicherheitsniveau zu erreichen, müssen für Industrie 4.0 neue Konzepte erarbeitet werden. In erster Linie gilt es, die mit einer Industrie 4.0 aufgrund der starken Vernetzung einhergehende Komplexität der Systeme beherrschbar zu machen. Die klassische Herangehensweise der Segmentierung und minimalen Kopplung von unterschiedlichen Teilnetzen in der Automatisierungspyramide wird dabei nicht mehr funktionieren. Zudem sehen viele Szenarien für Industrie 4.0 eine unternehmensübergreifende Vernetzung entlang der gesamten Wertschöpfungskette vor. Dies macht es erforderlich, umfassende und dezentralisierte Konzepte für das Management von Identitäten, Rollen und Berechtigungen zu etablieren. Ein händisches Etablieren statischer Vertrauensbeziehungen wird mit Industrie 4.0 nicht mehr praktikabel sein. So werden Technologien für die Bildung von Vertrauensankern in Industrie 4.0 eine wichtige Rolle spielen. Sicherheit darf auch nicht zu kostspielig für den Anlagenbetreiber werden, weshalb das Thema „Security by Design“ zur Bewältigung von Herausforderungen wie der Patch-Problematik in Industrieanlagen von besonderer Relevanz ist. Auch bedarf es neuer Basistechnologien zur sicheren und vertrauenswürdigen Kommunikation. Neue, mit sicherheitsspezifischen Funktionen angereicherte Standards wie beispielsweise OPC UA werden hier zukünftig unabdingbar sein.
Literatur Bild: © istockphoto.com|higyou |
C&M 6 / 2014Das komplette Heft zum kostenlosen Download finden Sie hier: zum Download Der Autor:Weitere Artikel online lesenNewsAhlborn GmbH: Hochgenaue Temperaturmessung mit digitalen FühlernBei über 80 % aller industriellen Messaufgaben werden Temperaturen gemessen. Wichtig ist das Zusammenspiel von Messgerät und Fühler sowie die verwendete Technologie. Aus der Präzisionsschmiede, der Firma Ahlborn aus Holzkirchen bei München, kommt jetzt ein Messsystem für hochgenaue Temperaturmessung, das nicht nur im Labor verwendet werden kann.© Ahlborn Mess- und Regelungstechnik GmbH |