Industrielle Netzwerke
Ursachen für das Sicherheitsdefizit bei SCADA-Systemen
Warum industrielle Netzwerke immer noch stark gefährdet sind
Bei den beiden massiven Cyber-Attacken der letzten Wochen (WannaCry und Petya/NotPetya), kann man eigentlich nur von Glück reden, dass nicht mehr lebensnotwendige industrielle Steuerungssysteme betroffen waren. Man denke dabei an mögliche „Blackout-Szenarien“ bei kritischen OT-Infrastrukturen wie Stromnetze, Wasserversorgung, Pharmazie oder Öl- und Gas-Pipeline-Steuerungen. Ganz zu schweigen von medizinischen Geräten in Krankenhäusern. Wie schmal der Grat zu einem Alptraum-Szenario sein kann, hat der WannaCry-Angriff gezeigt, der bereits bei Gesundheitseinrichtungen in Großbritannien zu partiellen Schließungen der Notaufnahme geführt hatte. Glücklicherweise war dieser Angriff überwiegend Profit-orientiert und nicht auf den Shutdown lebenserhaltender medizinischer Geräte ausgelegt.
Vom Cyber Crime zum Cyber War
Erst im Dezember 2017 wurde durch eine gezielt eingeschleuste Malware, die Steuerungszentrale eines Energieversorgers in Kiew außer Kraft gesetzt und die Stromversorgung für die Bevölkerung unterbrochen. Dieser Angriff forderte echte Menschenleben, die aufgrund der Winterkälte in der Ukraine erfroren sind. Der Einfallsreichtum und die Raffinesse dieser Malware namens „Crash-Override“ erschreckte dabei viele Experten.
Dieser Malware Code, den man durchaus als Cyber Weapon betrachten kann, hatte es gezielt auf die Überwachung und Datenerfassung der ICS-Steuerungssysteme abgesehen. Solche Angriffe erfahren meistens nicht diesen Medien-Hype wie Ransomware-Attacken, die überwiegend durch Cyberkriminelle zur Beschaffung von Geld verwendet werden. Hier bewegen wir uns bereits im Cyber War. Also unausgesprochene, staatlich geförderte und gezielte Angriffe auf andere Staaten.
Was macht ein SCADA-System so anfällig?
Die meisten Systeme entstanden zu einer Zeit, in denen das notwendige Sicherheitsbewusstsein für die heutigen Bedrohungslandschaften nicht vorhanden war. Aus Kosten- und Bequemlichkeitsgründen sind daher viele dieser Legacy-Systeme oft mit weniger sicheren Netzwerken verbunden, die beispielsweise nicht vom Internet isoliert sind und dadurch das Risiko einer erfolgreichen Sabotage deutlich erhöhen. Ein Umbau von industriellen Steuerungssystemen ist neben dem enormen Aufwand und Komplexität, begleitend von mangelndem Security-Know-how, eine sehr kostspielige Angelegenheit, die das Budget einiger Betreiber durchaus sprengen könnte.
Die SCADA-Betreiber sind natürlich bemüht ihre Systeme, zumindest partiell, auf ein entsprechendes Sicherheitsniveau hochzuschrauben, um gegen moderne Angriffsvarianten bestehen zu können. Trotzdem befürchten einige Experten nach wie vor das Schlimmste. Es wird vermutet, dass gerade ältere Systeme bereits durch sog. “Schläfer-Malware“ infiziert wurden und die Schadsoftware darauf wartet, zu einem bestimmten Zeitpunkt über Fernbefehle, aktiviert zu werden. Was also tun?
Die Problematiken bei der Absicherung von SCADA-Systemen
Unterschiedliche Netzwerktypen
SCADA-Systeme bestehen in der Regel aus einer Kombination von unterschiedlichen Netzwerken mit spezialisierten Komponenten: Unternehmens-/Managementnetzwerk, Steuerungs-/Kontrollnetzwerk und dem Prozessnetzwerk. Daher ergeben sich eigentlich drei Zonen, die eine differenzierte Sichtweise verlangen und zu unterschiedlichen Sicherheitspraktiken führen.
Das Unternehmensnetzwerk kann man überwiegend mit den gleichen Kontroll- und Sicherheitspraktiken absichern, die man im Bereich der allgemeinen Network-Security findet. Die beiden anderen Netzwerke (Steuerungs- und Prozessnetzwerk) bestehen meist aus spezialisierten Devices, beispielsweise speicherprogrammierbare Steuerungen (SPS), A/D-Wandler und Datenerfassungssteuerungen (DAC) für Analog-Digital-Wandler, die zur Kommunikation proprietäre Protokolle verwenden. Dies erfordert eine andere Herangehensweise zur Härtung und Absicherung des Netzwerkes. Somit unterscheiden sich die Verfahren zum Schutz von Infrastruktur-, Daten- und Kommunikationsverbindungen mit den notwendigen Verfahren zum Schutz von SCADA-Systemen.
Mehrere Spezialisten notwendig
Das hat zur Folge, dass die Security-Mitarbeiter einerseits auf die unterschiedlichen Netzwerke hin ausgebildet und spezialisiert werden müssen, sich aber in Hinblick auf die möglichen Sicherheitsbedrohungen perfekt ergänzen sollten. Eine Anforderung, die mit umfangreichen und kostenintensiven Schulungen und Weiterbildungen einhergehen. Bei dem heutigen Fachkräftemangel mit Sicherheit eine echte Herausforderung.
Zudem benötigen SCADA-Umgebungen die Unterstützung von Dritt-Anbietern, um die permanente Aufrechterhaltung und Aktualisierung der Bedienelemente wie SPS und der physikalischen Prozesshardware gewährleisten zu können.
Physikalische und logische Zugriffsabsicherung
Die Bedrohungswahrnehmung, die mit Angriffen auf SCADA-Netzwerke verbunden ist, ist im Vergleich zu Nicht-SCADA-Umgebungen oft höher, da Cyberattacken auf SCADA-Systeme das Potenzial haben, im Vergleich zu herkömmlichen Cyberattacken, die in der Regel auf Profit abzielen, wirkliche direkte/indirekte physische Auswirkungen auf das Leben und Eigentum zu erzielen.
Daher benötigen geschäftskritische SCADA-Umgebungen ausreichende physikalische und logische Schutzmaßnahmen, einschließlich der Zugangskontrolle und Überprüfung, um einen Cyber- oder kinetischen Angriff, oder sogar einen Cyber-kinetischen Hybridangriff zu verhindern.
Härtung der Komponenten
Während verschiedene Gremien wie z.B. das Nationale Institut für Normen und Technologien (NIST) umfassende Leitlinien veröffentlicht haben, um Unternehmen dabei zu helfen, die typischen Komponenten eines Unternehmensnetzes zu härten, gibt es für SCADA-Systeme vergleichsweise wenig Unterstützung zur Härtung von Kontrollsystemen.
Darüber hinaus erfahren die SCADA-Betreiber oft einen Mangel an einer doppelten Qualitätssicherung. Es fehlt oft an einer zweifachen Garantie für die Ausrüstungskomponenten, heißt: die Ausrüstung macht erstens, das was sie tun soll und zweitens, nie das was sie nicht tun soll. Es besteht also nach wie vor ein Misstrauen in der SCADA-Hardware, die in hochsensiblen Umgebungen wie kerntechnischen Anlagen, Luftfahrt- und Stromerzeugungs- und Verteilungssystemen installiert ist.
Das Fuzzing von Hardware, Software und Kommunikationsprotokolle, um entsprechende Schwachstellen proaktiv erkennen zu können, ist in vielen Fällen oft nicht möglich oder kann nur eine sehr begrenzte Schwachstellenanalyse bieten.
Überwachung und Pflege des Systems
Viele, wenn nicht alle sensiblen SCADA-Installationen leiden unter dem Legacy-Hardware- und Softwareproblem. Viele dieser Systeme wurden vor langer Zeit auf mittlerweile veralteten Plattformen wie Windows NT oder XP aufgesetzt. Aktualisierungen oder Patches wurden oder konnten über Jahre hin nicht durchgeführt werden.
Die Betriebssysteme und die Hardware sind teilweise so veraltet, dass moderne Security Tools für z.B. die Erkennung von Malware oder inakzeptabler Ressourcen-Overheads nicht mehr greifen. Darüber hinaus sind einige Installationen so extrem empfindlich, dass der Betreiber zögert diese zu aktualisieren – aus Angst das System könnte kollabieren. Nach der Devise „Never touch a running system.“
Trotz der negativen Erbschaft von alter Hard- und Software, die teilweise in hochempfindlichen SCADA-Umgebungen installiert ist, wäre es wichtig zumindest die Komponentensysteme zu pflegen, um einen angemessenen Schutz gegen Cyberattacken zu haben. Wenn direkte Aktualisierungen der Hardware, Betriebssysteme und Software auf die neuesten Versionen nicht mehr möglich sind, sollten zumindest Kompensationskontrollen angewendet werden, um mögliche Bedrohungen zu erkennen und darauf reagieren zu können. Man sollte zumindest intelligente und verhaltensbasierte Erkennungssysteme einsetzen und stärkere und restriktivere Firewall- und Netzwerksegmentierungs- bzw. Isolationsrichtlinien aufsetzen, die zu einer besseren Überwachung und Absicherung der kritischen ICS-Bereiche führen.
Weitere Informationen über den komplexen SCADA-Themenbereich finden Sie beispielsweise im aktuellen Trustwave Global Security Report 2017 , oder bei dem Sicherheitsanbieter CyberX , der sich auf die umfassende Absicherung von industriellen Netzwerken spezialisiert hat.
