Grundlagen Cybersecurity So werden Industrielle Steuerungssysteme sicher gegen Angriffe

Anbieter zum Thema

PFLITSCH GmbH & Co. KG

MicroControl GmbH & Co. KG

SMC Deutschland GmbH

Vogel Communications Group GmbH & Co. KG

Cyberangriffe bedrohen längst nicht mehr nur reine IT-Systeme – Angriffe auf industrielle Steuerungssysteme (ICS) können ganze Industrieanlagen lahmlegen. Die wichtigsten Grundlagen im Überblick.

Cyberangriffe auf industrielle Anlagen und kritische Infrastrukturen können ernste Folgen haben. Cyberbedrohungen dieser Art lassen sich nicht einfach durch IT-Sicherheitsmaßnahmen, wie sie bei Anwendungen in Büro und Verwaltung üblich sind, abwenden. Automatisierungs-, Prozesssteuerungs- und Prozessleitsysteme, im Englischen als Industrial Control Systems (ICS) bezeichnet, werden in nahezu allen Infrastrukturen eingesetzt, die physische Prozesse abwickeln. Hier müssen Risiko und Schadenspotenzial von gezielten und mit erheblichem Aufwand durchgeführten spezifischen Cyberangriffen gegen industrielle Steuerungssysteme berücksichtigt werden. Für Betreiber solcher Anlagen ist es angesichts zunehmender Sicherheitsrisiken und Schwachstellen unerlässlich, sich mit der Cybersicherheit dieser Systeme zu befassen.

Der Unterschied zwischen Information Technology (IT) und

Operational Technology (OT)

Historisch gesehen, haben die Technologien in den Bereichen OT und IT sich in getrennten organisatorischen Silos entwickelt und werden bis heute in vielen Industrieunternehmen auch so verwaltet. Während die industriellen Steuerungssysteme den Ingenieuren in diesen Sektoren sehr wohl bekannt sind, gibt es nur begrenztes Verständnis außerhalb dieser hoch spezialisierten Umgebungen.

Aus diesen Unterschieden zwischen IT und OT lässt sich ableiten, dass aufgrund der unterschiedlichen Rahmenbedingungen nicht die gleichen Lösungsmöglichkeiten und Schutzmaßnahmen in beiden Anwendungsbereichen angebracht sind. Im Folgenden soll daher insbesondere auf Lösungsmöglichkeiten im OT-Umfeld eingegangen werden.

Zunächst sollten sich Industrieunternehmen hauptsächlich auf die ersten Rangfolgen der Cybergefährdungen und deren Abwehr konzentrieren.

Was ist ein primärer Angriff?

Ein primärer Angriff bezeichnet einen Angriff, mit dem der Angreifer sich den initialen Zugang zur industriellen Anlage bzw. in das Unternehmen verschafft. Anschließend hat er die Möglichkeit, weitere Folgeangriffe auf interne Systeme durchzuführen.

Die Abbildung verdeutlicht eine mögliche Kombination aus Primär- und Folgeangriffen auf eine typische ICS-Infrastruktur: Als Primärangriff in diesem Fall werden mittels Social Engineering angepasste Phishing-E-Mails an Mitarbeiter der IT-Domäne (Office) gesendet. Über angehängte Malware erlangt der Angreifer Zugang zum PC des Mitarbeiters. Sind IT- und OT-Netz nicht voneinander isoliert, kann der Angreifer sich in die OT-Netze ausbreiten, Informationen sammeln und letztendlich Schadsoftware bis auf Feldebene verteilen. Hat der Angreifer es bis auf die Feldebene geschafft, kann er in vielen Fällen die Kontrolle über die dort eingesetzten Systeme (z.B. SPS-en) erlangen und beliebige Angriffe ausführen.

Bevor einige Grundbegriffe der Cybersicherheit eingeführt werden, sollen noch die Begriffe Security und Safety, im Deutschen leider häufig jeweils unter dem Begriff Sicherheit genutzt, abgegrenzt werden.

Schutzziele definieren

Da funktionale Sicherheit eine elementare und häufig auch gesetzlich vorgeschriebene Anforderung an Systeme und Anlagen im ICS-Umfeld ist, muss insbesondere auch die Security von Safety-Funktionen sichergestellt werden.

Um IT-Security umzusetzen, werden typischerweise Schutzziele definiert, die dann mit Hilfe von technischen oder organisatorischen Sicherheitsmechanismen erreicht bzw. eingehalten werden.

Das sind klassische Schutzziele für IT-Security:

• Vertraulichkeit der übertragenen Daten: Die übertragenen Daten dürfen lediglich für berechtigte Personen, Systeme oder Prozesse lesbar sein;

• Integrität und Authentizität der übertragenen Daten: Die übertragenen Daten dürfen nicht unbemerkt veränderbar sein (Integrität) sowie der Ursprung der Daten muss überprüfbar sein (Authentizität);

• Authentizität von Systemen und Nutzern: Die Identität von Systemen und Nutzern muss nachweisbar und überprüfbar sein;

• Autorisierung für den Zugriff auf Daten und Systeme: Der Zugriff (Lesen, Schreiben oder Verändern) auf Daten und Systeme darf nur für Nutzer und Systeme möglich sein, die hierfür berechtigt sind;

• Verfügbarkeit von Systemen und Anlagen: Die von Systemen und Anlagen zur Verfügung gestellte Funktionalität muss zu jeder Zeit nutzbar sein;

• Zuverlässigkeit von Systemen und Anlagen: Systeme und Anlagen verhalten sich zu jedem Zeitpunkt wie erwartet.

Bevor Sicherheitsmechanismen sinnvoll ausgebracht werden, muss eine Risikoanalyse durchgeführt werden. Der Risikobegriff kann je nach Anwendungsgebiet unterschiedlich aufgefasst werden, etwa in Bezug auf Bedrohungen. Eine Risikoanalyse bietet einen systematischen Weg, das Risiko für Cyberangriffe auf ICS-Systeme zu bewerten, um im Anschluss gegebenenfalls Schutzmaßnahmen einzuführen, die das vorgefundene Risiko minimieren.

Eine Übersicht über typische Angreifermodelle mit unterschiedlichen Eigenschaften:

Im Rahmen der Risikoanalyse wird häufig gefordert, Annahmen über die Fähigkeiten und die Motivation eines potenziellen Angreifers zu tätigen, die dann in einem Angreifermodell festgehalten werden. Während bei sogenannten „Script Kiddies“ davon ausgegangen wird, dass keine gezielten Angriffe mit hohem Ressourcenaufwand betrieben werden, kann bei erfahrenen Angreifern oder Hackern davon ausgegangen werden, dass erhebliche Mittel eingesetzt werden, um das Angriffsziel zu erreichen. Das angenommene Angreifermodell hat erhebliche Auswirkungen darauf, welche Sicherheitsmaßnahmen eingesetzt werden müssen, um ein vorhandenes Risiko für ICS-Systeme zu verringern.

Systemsicherheit für industrielle Steuerungssysteme

Industrielle Steuerungssysteme in den Bereichen der Fertigungs- und Prozessautomatisierung sind in allen Betriebsmitteln zur Durchführung physischer Prozesse im Einsatz. Sie sichern dadurch die betriebliche Leistungserstellung, und Betreiber müssen sich angesichts erhöhter Risiken vorrangig der Thematik des Schutzes vor möglichen Cyberangriffen widmen. Externe Angriffe sind sehr viel schwerer zu erkennen als beispielsweise physische Eingriffe in Betriebsmittel oder deren Prozesse und Abläufe. Bis ein erfolgreicher Angriff auf ein System erkannt wird, kann durchaus Zeit von mehreren Monaten bis zu einem Jahr verstreichen. Nach der Erkennung des Problems beginnt dann die mühsame Suche nach den betroffenen Geräten, Maschinen und Anlagen. Im schlimmsten Fall müssen diese sogar sicherheitshalber vorübergehend stillgelegt werden.

So erarbeitet man ein Sicherheitskonzept:

• 1. Um ein Sicherheitskonzept zu erarbeiten, beginnt man mit der Identifikation der relevanten Assets. Hierbei wird festgelegt, welche Systeme, Maschinen oder Anlagen durch das Sicherheitskonzept geschützt werden sollen. Die Menge der Assets sollte dabei neben den physischen Objekten auch alle IT-spezifischen Anwendungen, Dienste und Kommunikationsnetze umfassen, die für den geregelten Betrieb des Unternehmens notwendig sind.

• 2. Im nächsten Schritt werden die Bedrohungen analysiert, die für die vorher identifizierten Assets vorhanden sind. Hierbei kann es auch sinnvoll sein, nach bekannten Schwachstellen in den vorhandenen Assets zu suchen. Weiterhin gilt es zu untersuchen, welche Möglichkeiten eines Missbrauchs bei einem Angriff sich für die zu untersuchenden Assets ergeben.

• 3. Anschließend ist für jedes Asset festzulegen, welche Schutzziele vorhanden sind und im Rahmen des Sicherheitskonzepts umgesetzt werden sollen. Für unterschiedliche Systeme und Anlagen können durchaus unterschiedliche Schutzziele relevant sein. Beispielsweise sind nicht alle ausgetauschten Daten vertraulich, unter Umständen sind die Integrität der Daten sowie die Authentizität des Absenders ausreichend. Dies ist für jedes Asset einzeln zu entscheiden.

• 4. Im Rahmen der jetzt notwendigen Risikoanalyse ist systematisch für alle Assets das vorhandene Risiko zu bewerten. Hierfür ist zu bewerten, wie wahrscheinlich es ist, dass eine vorhandene Bedrohung von einem Angreifer in einen konkreten Angriff umgesetzt wird, und wie die Auswirkung auf den Betrieb innerhalb des Unternehmens ist. Dies kann anhand von monetären Ausfällen oder auch anderen Kriterien bewertet werden.

• 5. Sind die vorhandenen Risiken bewertet und wurde festgelegt, dass das vorhandene Risiko zu hoch ist, sind mögliche Schutzmaßnahmen zu sammeln und zu bewerten. Generell gilt es die Frage zu beantworten: Welche geeigneten Maßnahmen können der Bedrohung entgegenwirken und die Restrisiken minimieren? Als Schutzmaßnahmen kommen sowohl technische als auch organisatorische Maßnahmen in Betracht.

• 6. Für jede Schutzmaßnahme ist es sinnvoll, das Restrisiko zu ermitteln, das nach dem Einsatz der Schutzmaßnahme für das Asset noch vorhanden ist. Auf Basis der Analyse unterschiedlicher Schutzmaßnahmen sind dann geeignete Schutzmaßnahmen auszuwählen und umzusetzen.

• 7. Ist auf dieser Basis ein Sicherheitskonzept implementiert worden, müssen die eingesetzten Maßnahmen kontinuierlich überwacht und die Aktualität des Sicherheitskonzepts sichergestellt werden. Aufgrund von äußeren Einflüssen, beispielsweise neu bekannt gewordene Bedrohungen und Schwachstellen in den eingesetzten Systemen, kann es notwendig sein, das Sicherheitskonzept neu aufzusetzen. Auch externe Audits oder Ergebnisse aus einem durchgeführten Penetrationstest können Auslöser hierfür sein. Eine erneute Durchführung des Prozesses ist dann notwendig.

Überblick: Diese Normen gibt es

Generell lassen sich die Maßnahmen zur Steigerung des Sicherheitsniveaus in Steuerungssystemen in organisatorische und technische Maßnahmen untergliedern. Für industrielle Steuerungssysteme gibt es bereits nationale wie internationale Richtlinien und Normen. Ein Überblick:

Eine zentrale Rolle für die Sicherheit im Bereich Industrielle Steuerungssysteme stellt die Normenreihe „IEC 62 443 Industrielle Kommunikationsnetze – IT-Sicherheit für Netze und Systeme“ dar. Sie ist umfangreich und komplex und adressiert ganzheitliche Lösungen zum Schutz der Assets. Es wird ein Sicherheitsmanagementsystem mit bewährten Vorgehensweisen definiert. Ausgehend von einer Risikoanalyse werden Prozesse und Verfahren zur Erhöhung und stärkeren Sensibilisierung der Sicherheit illustriert. Notwendige Gegenmaßnahmen zum Erhalt von Sicherheitslevels werden vermittelt sowie die Durchführung von Weiterbildungsmaßnahmen und Audits definiert.

Die Richtlinienreihe „VDI/VDE 2182 Informationssicherheit in der industriellen Automatisierung – Allgemeines Vorgehensmodell“ umreißt, wie die Informationssicherheit von industriellen Steuerungssystemen – basierend auf einem Anforderungszyklus – durch die Umsetzung eines Vorgehensmodells erreicht werden kann. Funktionen und Verantwortungsbereiche der Mitarbeiter werden dargelegt. Eine einheitliche und praktikable Vorgehensweise über den gesamten Lebenszyklus bildet die Grundlage, zudem enthält die Reihe zwei vollständigen Anwendungsbeispielen.

Die North American Electric Reliability Corporation (NERC) ist eine amerikanische Non-Profit-Organisation. Ihre Richtlinienreihe „Critical Infrastructure Protection – Cyber Security (CIP)“ stellt ein Rahmenwerk für die Stromversorgung dar und dient dem Schutz von Betriebsmitteln. Neben der Bewertung der Assets durch risikobasierte Abschätzungen wird der Aufbau eines Sicherheitsmanagements erläutert. Die Entwicklung des Systems mit Themen wie Testszenarien, sichere Benutzerverwaltung durch Rollenkonzepte sowie Konfigurations- und Änderungsmanagement werden beschrieben. Auch Notfallwiederherstellungspraktiken werden in den Dokumenten berücksichtigt.

Sicherheitsmaßnahmen, um industrielle Steuerungssysteme sicher zu machen

Organisatorische Maßnahmen

Das Fundament und somit auch die Grundlage für ein zeitgemäßes Sicherheitskonzept bilden die organisatorischen Maßnahmen eines Industrieunternehmens. Einer der wichtigsten Startpunkte ist die Etablierung einer unternehmensinternen Sicherheitsorganisation, in der die für die Planung und Umsetzung des Sicherheitskonzepts verantwortlichen Personen angesiedelt sind.

Die Sicherheitsorganisation sollte Sicherheitsrichtlinien und -prozeduren entwickeln. Hierzu ist es notwendig, auch Konformitätsanforderungen an Richtlinien und Prozesse zu definieren und innerhalb des Unternehmens zu verteilen. Da sich die Bedrohungslage durch neue Angriffe und Verwundbarkeiten ständig ändert, ist es notwendig, Sicherheitsrichtlinien und -prozeduren regelmäßig zu überprüfen und gegebenenfalls auch Aktualisierungen vorzunehmen.

Ein Teil der Richtlinien sollte ein Geschäftskontinuitätsplan sein. Das Unternehmen sollte sich hierbei mit der Fragestellung beschäftigen, was während und nach einem erfolgreichen Angriff auf das Unternehmen an konkreten Schritten durchzuführen ist, um wieder in einen geregelten Betrieb zurückkehren zu können.

Ein wichtiger Teil der organisatorischen Maßnahmen ist die Erarbeitung eines Programms zur Mitarbeiterschulung und zur Vermittlung des Sicherheitsbewusstseins. Eine wichtige Maßnahme zur Vermittlung des Sicherheitsbewusstseins können regelmäßige Awareness-Veranstaltungen sein, bei denen beispielsweise aktuelle Angriffe oder Verwundbarkeiten an industriellen Steuerungen demonstriert werden.

Weitere organisatorische Maßnahmen betreffen die Personalsicherheit sowie die physische und umweltbezogene Sicherheit. So können beispielsweise schon in Arbeitsverträgen Sicherheitsanforderungen an das Personal formuliert und das erwartete sicherheitsspezifische Verhalten und die jeweiligen Pflichten dokumentiert werden. Neben informationstechnischen Aspekten kann es sinnvoll sein, auch physische Schutzbereiche innerhalb der industriellen Anlage zu definieren und an den internen Bereichsübergängen physische Zugangskontrollen einzurichten. Dies kann insbesondere Innentätern den Zugang zu kritischen Systemen und Anlagen erschweren.

Zusammenfassend lässt sich feststellen, dass effektive administrative Schutzmaßnahmen das Sicherheitsniveau in industriellen Unternehmen signifikant erhöhen können.

Technische Maßnahmen

Neben den organisatorischen Maßnahmen spielen die technischen Maßnahmen eine entscheidende Rolle in der Umsetzung von Sicherheitskonzepten. Technische Sicherheitsmaßnahmen bilden das Fundament der Abwehr von Angreifern und können je nach Bedrohungsart verschieden ausgelegt werden. Drei wichtige Themenfelder konnten dabei identifiziert werden:

• Netzwerksegmentierungen,

• Inspektionstechnologien auf der Anwendungsschicht,

• integrierte Cybersicherheits-Plattformen.

Bei der Netzwerksegmentierung erfolgt die Segmentierung der industriellen Steuerungssysteme und der eingesetzten Kommunikationsnetze in einzelne Sicherheitszonen. Der Übergang zwischen Zonen unterschiedlichen Schutzniveaus muss durch technische Maßnahmen abgesichert und kontrolliert werden – beispielsweise, indem der Datenverkehr durch ein Segmentierungs-Gateway geschleust wird. Der Zugriff auf Systeme wird mit geringstmöglichen Privilegien für einzelne Benutzer und Benutzergruppen, basierend auf dem Rollenkonzept der Benutzerverwaltung, geregelt. Dieser Ansatz verringert die Korrelation von Benutzer und Bedrohung und reduziert die Anzahl möglicher Angriffsvarianten erheblich.

Inspektionstechnologien auf der Anwendungsschicht dienen zur Steigerung der Transparenz des Gesamtsystems. Das Überwachen detaillierter Informationen von Anwendungen, deren Inhalte und Benutzer gibt einen tiefen Einblick in das System und ermöglicht Anomalien frühzeitig zu identifizieren. Um die Kommunikation zwischen den einzelnen Betriebsmitteln zu überwachen, ist eine detaillierte Sichtbarkeit der Protokollinformationen in industriellen Steuerungssystemen notwendig. Diese Informationen werden mit den Benutzerinformationen kombiniert und auf potenziell schädliche Inhalte untersucht.

Integrierte Cybersicherheits-Plattformen für industrielle Steuerungssysteme konsolidieren viele Funktionen in einer zusammenhängenden Plattform. In den nächsten Jahren werden sie vorhandene isolierte Lösungen ohne übergreifende Kommunikationsmöglichkeiten sukzessive ersetzen und in ein kohärentes Sicherheitssystem überführen. Alle anfallenden Informationen können dann durch intuitive Benutzeroberflächen flexibel korreliert werden und sind einfach und zentral zu verwalten. Dieser verbesserte Zugang zu kritischen Bedrohungsdaten ermöglicht schnellere Reaktionen zur Identifizierung auftretender Angriffe. Die Lösungen bieten auch Sicherheit für virtuelle Umgebungen sowie mobile Erweiterungen.

* Dr.-Ing. Christian Haas leitet seit 2015 die Gruppe «Sichere vernetzte Systeme» in der Abteilung «Informationsmanagement und Leittechnik» am Karlsruher Institut für Technologie (KIT).

* Dipl.-Ing. Thomas Schulz ist verantwortlich für das Mittelstands- und Partnergeschäft in Mittel- und Osteuropa im Bereich GE Digital im Unternehmen General Electric (GE).

(ID:46452856)