KRITIS
Die Modernisierung kritischer Infrastrukturen erfordert eine Umgestaltung der IT-Sicherheit
Palo Alto Networks erläutert Sicherheitsanforderungen in Sachen Technik und Konzept
Das laufende Jahr hat sich bereits als ein Jahr der Angriffe auf kritische Infrastrukturen erwiesen. Die erfolgreichen Cyberangriffe auf Colonial Pipeline, JBS USA Holdings Inc. und die Wasseraufbereitungsanlage in Oldsmar/Florida haben dazu geführt, dass sich Betreiber kritischer Infrastrukturen weltweit in erhöhter Alarmbereitschaft befinden, um ihren laufenden Betrieb zu schützen. Darüber hinaus erwarten sie eine Verschärfung der gesetzlichen Vorschriften, wie Palo Alto Networks berichtet.
Die Absicherung der heutigen kritischen Infrastrukturen, in Deutschland definiert als KRITIS laut Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, und Betriebstechnologie (OT) ist von größter Bedeutung. Führungskräfte müssen das Sicherheitsrisiko im Zusammenhang mit der nächsten Welle von Infrastrukturen beachten, die in Planung sind oder bereits online sein könnten. Obwohl die digitale Transformation (DX) im Bereich KRITIS/OT nicht so schnell voranschreitet wie im IT-Bereich, wird der Wandel von zwingenden geschäftlichen Faktoren bestimmt, wie z. B. der Verbesserung der Serviceverfügbarkeit und Sicherheit sowie der Senkung der Betriebskosten. Betriebs-, IT- und Sicherheitsteams haben in der Vergangenheit bei OT-Projekten vielleicht nicht zusammengearbeitet, aber jetzt ist es unerlässlich, dass sie eng zusammenarbeiten, um sicherzustellen, dass die Sicherheit bereits im Planungsprozess der digital transformierten KRITIS/OT berücksichtigt wird, anstatt zu versuchen, sie nachträglich einzubauen.
Palo Alto Networks geht der Frage nach, warum eine erfolgreiche digitale Transformation von KRITIS/OT die Zusammenarbeit der Führungsebene erfordert, um sicherzustellen, dass die Sicherheitstransformation im Einklang mit der OT-Modernisierung erfolgt. Außerdem stellt Palo Alto Networks die Konzepte Zero Trust und den Plattformansatz für die KRITIS/OT-Sicherheit vor und erläutert, warum sie für die Gewährleistung erfolgreicher Geschäftsergebnisse von zentraler Bedeutung sind.
Kritische Infrastrukturen sind hochattraktive Ziele
Die zunehmende Häufigkeit von Angriffen auf KRITIS/OT sollte nicht überraschen, wenn man bedenkt, welche potenziell lähmenden Auswirkungen diese Cyberangriffe auf Versorgungsunternehmen, Betreiber von Energieleitungen, Schifffahrtsunternehmen oder Hersteller haben können. Die Angreifer wissen, welchen Einfluss sie hier ausüben können. So haben Cyberkriminelle beispielsweise erkannt, dass sie von ihren Opfern beträchtliche Lösegelder erpressen können, und Nationalstaaten können rivalisierende Länder durch die Demonstration ihrer Fähigkeiten im Bereich der Cyberkriegsführung effektiver einschüchtern. Bei den Angriffen auf Colonial und JBS wurden zusammen 15 Millionen US-Dollar Lösegeld gezahlt. Die Angreifer haben es nicht nur zunehmend auf KRITIS/OT abgesehen, sondern investieren auch verstärkt in die Verbesserung ihrer Fähigkeiten, diese Organisationen zu kompromittieren. Palo Alto Networks hat Fälle beobachtet, in denen KRITIS/OT-spezifische Angriffe, wie Crash Override und Triton, entwickelt wurden.
Auf der anderen Seite der Angriffe steht die Verwundbarkeit unserer kritischen Infrastruktur. Dies ist ein wichtiger Aspekt bei der Risikokalkulation. Es gibt viele Quellen für Schwachstellen, darunter die typischerweise nicht segmentierten Netzwerke, offene Richtlinien und die Softwareschwachstellen in den oft ungepatchten/unpatchbaren Altsystemen selbst (z. B. HMI, PLC, ICS, SCADA, DCS, MES). Häufig mangelt es auch an der Zusammenarbeit zwischen IT- und OT-Personal, was zu schwachen, unkoordinierten Sicherheitsprogrammen, unzureichender Finanzierung und geringem Risikobewusstsein führt. In Anbetracht der Tatsache, dass viele Angriffe auf KRITIS von der IT ausgehen und dann auf OT übergehen, kann ein mangelndes Bewusstsein nicht ignoriert werden. Zusammenfassend lässt sich sagen, dass die zunehmende Zahl von Angriffen und die historisch schlechte Sicherheitslage von KRITIS die Verantwortlichen für den Schutz der heutigen kritischen Infrastrukturen vor immer größere Herausforderungen stellt.
Der potenzielle blinde Fleck bei der digitalen Transformation von KRITIS/OT
Fairerweise muss man sagen, dass in den letzten Jahrzehnten viel geschehen ist, um die Lücken in der KRITIS-Sicherheit zu schließen. Dabei handelte es sich in erster Linie um eine Nachrüstung, bei der bessere Sicherheitsvorkehrungen an Stellen getroffen wurden, an denen nur minimale oder gar keine Sicherheitsvorkehrungen vorhanden waren. KRITIS-spezifische Vorschriften und Standards (z. B. NERC CIP, NIST Cybersecurity Framework, die NIS-Richtlinie und ISA 62443) wurden ebenfalls zum Schutz kritischer Infrastrukturen eingeführt, und es werden wahrscheinlich noch weitere hinzukommen, wenn weitere Ereignisse eintreten. Darüber hinaus lernen IT- und OT-Teams, besser zusammenzuarbeiten, während eine stärkere Sensibilisierung der Führungsebene zu einer besseren Governance führt.
Diese Bemühungen um die Beseitigung der Unzulänglichkeiten der OT in der Vergangenheit sind nach Meinung von Palo Alto Networks durchaus bewundernswert, aber bei der Erfüllung der Sicherheitsanforderungen der entstehenden und zukünftigen OT-Infrastruktur kommt es auch zu Unstimmigkeiten. Viele KRITIS-Organisationen haben damit begonnen, die nächste Erweiterung ihrer Infrastruktur als Teil ihrer digitalen Transformationsinitiativen zu implementieren, die Namen wie Industrie 4.0, Smart Grids und Digital Oilfields tragen. Diese intelligenten Infrastrukturen sollen die Vorteile von industriellen Automatisierungstechnologien der nächsten Generation wie IoT-Sensoren und Robotik, Cloud, Digital Twins, 5G und SD-WAN voll ausschöpfen und gleichzeitig die Lieferketten weiter integrieren.
Die Unternehmen sind oft sehr schnell dazu übergegangen, Pilotprojekte und sogar Produktionsimplementierungen zu starten, ohne die Sicherheitsteams einzubeziehen. Sicherlich sind die geschäftlichen Vorteile dieser Technologien überzeugend genug, um die Zeit bis zum ROI zu verkürzen. Die Einführung dieser neuen Technologien und die zunehmende Konnektivität mit der Cloud und Drittanbietern könnte jedoch viele Schwachstellen mit sich bringen, wenn sie nicht richtig verwaltet werden. Ironischerweise besteht ein sehr reales Risiko, dass die Fehler der Vergangenheit, als OT ohne Rücksicht auf die Sicherheit gebaut wurde, sich wiederholen könnten.
Digitale Transformation kritischer Infrastrukturen erfordert Transformation der Sicherheit
Palo Alto Networks hält es für unerlässlich, dass Eigentümer und Betreiber kritischer Infrastrukturen die Bemühungen zur Umgestaltung von KRITIS nicht von der Cybersicherheit abkoppeln. Das Risiko, dass diese neuen Angriffsflächen unkontrolliert bleiben, ist zu hoch. Ein Schlüsselbereich der Sicherheitstransformation ist der organisatorische Bereich, in dem sich die Rahmenbedingungen dafür ändern müssen, wie IT-, OT- und Sicherheitsteams zusammenkommen können, um einen gemeinsamen Plan zu diskutieren und zu erarbeiten. Immer häufiger gibt es Konflikte zwischen diesen Teams aufgrund von „Schatten-OT“, wenn das Unternehmen eine Infrastruktur einrichtet, die nicht von anderen Interessengruppen wie IT und Sicherheit beeinflusst wurde. Auf der anderen Seite kann das Unternehmen das Gefühl haben, dass die IT/Sicherheit den Kernbetrieb bedroht und die Kernaufgabe, nämlich die Bereitstellung von Dienstleistungen und/oder die Steigerung der Einnahmen, nicht unterstützt. Die Motive der Unternehmensleiter mögen gut gemeint sein, aber die Risiken des unkontrollierten Einsatzes dieser fortschrittlichen Technologien sind zu hoch. Ein Teil des erforderlichen Wandels liegt daher in der Art und Weise, wie Unternehmen zusammenarbeiten, um sicherzustellen, dass die Modernisierung von KRITIS/OT auch die RACI-Stakeholder einbezieht, insbesondere Sicherheit und IT.
Ein weiterer wichtiger Aspekt der erforderlichen KRITIS/OT-Sicherheitsumstellung liegt in der Denkweise. Viele Unternehmen betrachten OT als eine von der IT abgeschottete Umgebung, und alles hinter dieser Mauer ist vertrauenswürdig. Vielleicht betrachten sie auch jeden Benutzer, der sich erfolgreich für den Zugang zu OT authentifiziert hat, als vertrauenswürdig. Dieses Vertrauensmodell hat sich als fehlerhaft erwiesen. Man kann bis zum Stuxnet-Angriff im Jahr 2010 zurückgehen, als ein wirklich abgeschottetes System durch einen kompromittierten Anbieter angegriffen wurde. Stattdessen müssen Unternehmen eine Zero-Trust-Mentalität und -Architektur einführen, die nicht von Vertrauensstufen ausgeht, sondern zusätzlichen Kontext innerhalb des Netzwerkverkehrs erfasst und dann auf der Grundlage dieser Informationen Entscheidungen darüber trifft, was erlaubt oder verweigert werden soll. Zero Trust hat zwar seine Wurzeln in der IT, lässt sich aber auch auf CI/OT übertragen und bietet enorme Vorteile bei der Verbesserung der Transparenz und der Verringerung von Cyberrisiken in Infrastrukturen wie Anlagen und Kontrollzentren.
Darüber hinaus beinhaltet die Umgestaltung der Sicherheit von KRITIS/OT die Verbesserung der Effektivität und Effizienz von Sicherheitsmaßnahmen durch einen Plattformansatz. Es sind nach Meinung von Palo Alto Networks neue Fähigkeiten erforderlich, um modernisierte Anlagen zu sichern, die über IoT, Robotik und Verbindungen mit 5G und SD-WANs zu Cloud-Anwendungen wie Historians und Predictive Maintenance verfügen können. Ein neuer Sicherheits-Stack ist nötig, um die Funktionalität zur Sicherung dieser neuen Infrastruktur zu adressieren.
Anstatt dies durch das Hinzufügen von punktuellen Lösungen zum Sicherheits-Stack zu lösen, müssen Unternehmen einen Sicherheitsplattform-Ansatz in Betracht ziehen, bei dem die Sicherheitsfunktionen als Dienste in einer Firewall-Plattform bereitgestellt werden, die das Netzwerk über die erweiterte KRITIS hinweg sichern kann. Unternehmen sollten nach Plattformen Ausschau halten, die diese Netzwerksicherheitsinformationen mit Cloud- und Endpunktdaten korrelieren können, so dass maschinelles Lernen zur Automatisierung des Erkennungs- und Behebungsprozesses eingesetzt werden kann. Im Idealfall ist die Plattform in der gesamten IT und OT allgegenwärtig. Es gibt konsistente Sicherheitsansätze, gemeinsame Sicherheitsinformationen und unternehmensweite betriebliche Effizienz. Die Kehrseite sind unzusammenhängende Einzellösungen, die Informationssilos und manuelle Prozesse aufweisen. Diese reichen nicht aus, um mit den ausgeklügelten Angriffen Schritt zu halten, die nur noch ausgeklügelter werden dürften, da Angreifer beginnen, sich die Cloud, KRITIS und Automatisierung zunutze zu machen.
