Industrie 4.0 - Cybersecurity
Wie man IT, OT, ICS & SCADA unter einen Hut bekommt
Palo Alto Networks erläutert effektive Cybersicherheit in der Industrie
Es ist keine drei Jahre her, da wurde NotPetya zum verheerendsten Cyberangriff der Geschichte: ein Ransomware-Code, der sich schnell von seinem ursprünglichen Ziel, der Ukraine, auf den Rest der Welt verbreitete und wahllos Regierungen, den internationalen Versand und Krankenhäuser lahmlegte. Jeder oder alles mit einer Internetverbindung konnte getroffen werden.
„Es waren nicht nur der unterbrochene Geschäftsalltag oder die finanziellen Verluste in Milliardenhöhe. Die NotPetya-Angriffe ließen die bisherige Annahme, dass die durch Air-Gapping geschützte Schwerindustrie weitgehend immun gegen Cyberattacken sei, wie ein Kartenhaus in sich zusammenfallen“, erklärt Sergej Epp, Chief Security Officer, Central Europe Region, bei Palo Alto Networks . „NotPetya schaltete ganze Unternehmenssysteme aus und zwang Maschinen und Produktionsanlagen, offline zu gehen. Dies legte die Cyberverwundbarkeit so großer Sektoren wie Energie, Öl und Gas, verarbeitende Industrie, Pharma und Automobilindustrie offen.“
Früher gingen Cyber Security-Experten davon aus, dass der Schwerpunkt der Angriffe auf Daten lag, da Kriminelle Datenbanken für persönliche Informationen und Kreditkartendaten plünderten. Doch NotPetya zeigte, dass auch die grundlegenden Systeme von Unternehmen lahmgelegt werden können. Palo Alto Networks erläutert, wie vor diesem Hintergrund effektive Cybersicherheit in der Industrie möglich ist, und wie IT, OT und ICS sicher unter einen Hut gebracht werden können.
NotPetya machte überdeutlich, dass Cyberangriffe nicht nur auf IT-Systeme abzielen können, sondern auch auf die kritischen Systeme der operativen Technologie (OT), die Sensoren, Geräte und Software verwalten, die in industriellen Betrieben eingesetzt werden. Selbst wenn ein OT-System durch Air-Gapping isoliert ist, also durch einen „Luftspalt“ physisch getrennt von unzureichend geschützten IT-Umgebungen, kann es einer Malware wie NotPetya zum Opfer fallen.
Das Problem mit Air-Gapping und SCADA
Die Annahme, dass OT-Umgebungen mittels Air-Gapping geschützt werden können, um all diese Probleme zu vermeiden, war eigentlich schon immer eine Wunschvorstellung. Es gibt mehrere Argumente dafür, dass die Umsetzung von Air-Gapping bei OT-Systemen nicht einfach ist:
- Air-Gapping ist oft nicht wirklich Air-Gapping. Es bedarf immer noch Administratoren, um die OT-Umgebung zu verwalten, und diese verbinden sich oft von Ihrer IT-Umgebung aus. NotPetya hat bewiesen, dass Unternehmen diesen Aspekt nicht ernst genug nehmen.
- Eine überwachungsfähige Umgebung erfordert einen ständigen Datentransfer von innen nach außen. Dies kann über technische Steuerungen wie Datendioden oder zugelassene mobile Speichergeräte wie USB-Laufwerke verwaltet werden. Die Kosten für die Implementierung dieser Kontrollen sind so massiv, dass die meisten Unternehmen es gar nicht erst versuchen.
- Eine explodierende Anzahl von OT-Komponenten erfordert eine Cloud- oder Machine-to-Machine-Konnektivität. Air-Gapping wird in OT-vernetzten Umgebungen in naher Zukunft wahrscheinlich praktisch unmöglich werden.
Selbst nachdem der STUXNET-Wurm im Jahr 2010 entdeckt wurde, haben nur wenige Unternehmen ihre SCADA-Systeme (Supervisory Control and Data Acquisition) ordnungsgemäß geschützt. SCADA-Mechanismen überwachen und steuern OT-Systeme und -Ausrüstungen in der Schwerindustrie und zeigen den Fachkräften in der Fabrikhalle in Echtzeit auftretende Störungen an.
Aufgrund mangelnder Erfahrung mit Cyberrisiken und starkem Wettbewerbsdruck wird SCADA-Software jedoch oft ohne Rücksicht auf die Sicherheit entwickelt. Jahrzehntelang gefährdete dies die OT-Infrastrukturen, so dass die Zentrifugen von Kernkraftwerken oder die Robotergeräte der Hersteller als anfällig für Angriffe gelten, da sie ungepatcht sind und nicht von IT- oder Sicherheitsexperten verwaltet werden.
All diese Schwachstellen werden aufgrund der sich entwickelnden Bedrohungslandschaft immer kritischer. Die Verlagerung von Privatanwendern hin zu Unternehmen als Angriffsziel und von Datenspionage zu Ransomware sind die beiden wichtigsten Trends, die sofortige und wirksame Gegenmaßnahmen erfordern. Wenn die OT für ein Unternehmen kritisch ist, stellen sich zwei einfache Fragen: Wie viele OT-Sicherheitsspezialisten im Vergleich zu IT-Spezialisten sind angestellt, und wie viele Anwendungsfälle für die Überwachung gibt es in OT und IT?
„Unternehmen müssen sich mehr auf die Cybersicherheit von OT-Netzwerken, SCADA- und Informations- und Kommunikationstechnologie-Systemen konzentrieren. Die Entwicklung sicherer Software und das Patchen von Schwachstellen wäre der beste Weg, um dies zu erreichen. Es gibt bereits eine Reihe Initiativen, wie das Siemens Charter of Trust, um ein Bewusstsein und Engagement für dieses Thema zu schaffen“, erläutert Sergej Epp von Palo Alto Networks. „Derzeit wird jedoch nur eine von zehn Schwachstellen in Unternehmen gepatcht, und diese Statistik wird sich angesichts der explodierenden Zahl von OT- und IoT-Geräten in der Welt wahrscheinlich nicht erheblich ändern. Wie lässt sich daher dieses Problem aus der Sicht der Betriebs- und Architektursicherheit angehen?“
Zero Trust: Reduzierung der Angriffsfläche
Der Begriff „Zero Trust“ fällt aufgrund seiner zunehmend strategischen Rolle in der Cybersicherheit immer wieder. Das Zero-Trust-Konzept ist tatsächlich von entscheidender Bedeutung, aber nicht, weil es sich um eine Technologie handelt, das ist es nicht. Es ist vielmehr eine Sicherheitsstrategie und -philosophie, die jedes Unternehmen verfolgen sollte, wenn es digitale Assets aufbaut oder eine digitale Infrastruktur betreibt. Es geht darum, die Angriffsfläche und die Risiken zu reduzieren. Hierzu werden die wichtigsten Ressourcen innerhalb einer scharf kontrollierten „Zone des Vertrauens“ vorgehalten. Generell ist kein Benutzer vertrauenswürdig und der gesamte Datenverkehr muss immer überprüft und protokolliert werden.
Warum sollte ein Unternehmen von seinem Cybersicherheitsbudget fünfmal so viel für die Sicherung seiner IT-Systeme ausgeben wie für die Sicherung seiner OT-Umgebung? Und warum sollten kritische OT-Assets und IT-Systeme mehrere vertrauenswürdige Beziehungen miteinander teilen?
NotPetya zeigte die Risiken eines zu großen Vertrauens zwischen den IT-Ressourcen auf, indem es die Schwachstelle eines einzigen Servers in der Ukraine ausnutzte, um in nur sieben Minuten lebenswichtige Ressourcen wie IT, OT, Backups und sogar Cybersicherheitssysteme zu zerstören. In diesem Fall und in vielen anderen Fällen führte zu viel Vertrauen zu einem kompletten Stromausfall. Jedes Mal, wenn in einer „Zone des Vertrauens zusätzliche Komponenten wie OT-Technologie oder IoT-Geräte hinzugefügt werden, erhöht sich das Risiko. Sind die kritischsten Ressourcen in einem Zero-Trust-Netzwerk (ZTN) segmentiert, kann der Rest des Betriebs auf sichere Weise wachsen. Nur Geräte und Komponenten, die kritische Vermögenswerte darstellen, müssen in ein ZTN aufgenommen werden.
Sichtbarkeit und Durchsetzung von Gegenmaßnahmen
Für den Fall, dass ein Zero-Trust-Netzwerk ausfällt, benötigt der CISO die Sichtbarkeit des gesamten Datenverkehrs und eine Möglichkeit zur Durchsetzung von Gegenmaßnahmen in OT- und ICS-Netzwerken (Industrial Control Systems). Diese Sichtbarkeit kann nur erreicht werden, wenn die Sicherheitskontrollen und -teams die Sprache kennen, in der SCADA und ICS kommunizieren. Dies ermöglicht es dem Sicherheitsteam, böswillige Kommunikationen zu erkennen. In den meisten Situationen ist Netzwerküberwachung (wie z.B. periodische Schwachstellen-Scans und Echtzeit-Traffic-Überwachung) die einzige Möglichkeit, Sichtbarkeit herzustellen und Gegenmaßnahmen durchzusetzen, die böswilligen Verkehr von Geräten blockieren.
Auf der anderen Seite ist es von Vorteil, Cybersicherheit innerhalb der OT-Infrastrukturen zu installieren. Diese Ansätze neigen dazu, auf sehr statische und deterministische Weise zu arbeiten, daher ist jede ungewöhnliche Aktivität leicht zu bemerken. Eine dieser Methoden, Behaviour Whitelisting, erlaubt eine bestimmte Liste von Aktionen, blockiert aber alle anderen. Whitelisting und ähnliche Sicherheitsmaßnahmen sind ein Muss.
Wie viel ist dem Unternehmen die Cyber-Resilienz wert?
Cyberkinetische Angriffe, die zur physischen Zerstörung von OT-Infrastrukturen führen, wie bei den Versuchen von Shamoon, Triton und BlackEnergy zu sehen war, sind keine Science-Fiction. Unternehmen brauchen eine Strategie der Widerstandsfähigkeit, die im Falle eines Cyberangriffs zum Tragen kommt.
Die Verantwortlichen im Unternehmen müssen sich den folgenden Fragen stellen:
- Berücksichtigt der Business-Continuity-Plan die Zerstörung von OT-Systemen?
- Gibt es einen Backup-Plan, um die Systeme wieder in Betrieb zu nehmen oder sie sogar komplett zu ersetzen?
- Wie lange wird das dauern?
- Gibt es einen gut durchdachten Kommunikationsplan?
- Was sind die Kosten, wenn die OT-Systeme für eine Stunde – oder länger – heruntergefahren werden müssen?
Die Antworten auf diese Fragen müssen bekannt sein und in einen umfassenden Plan einfließen.
NotPetya als der Wendepunkt
NotPetya war nicht die erste Art von Cyberbedrohung, die es auf die OT abgesehen hat, und war nicht einmal dafür gedacht, OT-Infrastrukturen anzugreifen. Es traten wiederholt eine Reihe anderer Bedrohungen auf, die speziell dafür entwickelt wurden, die Sicherheit der Mitarbeiter und Unternehmen zu gefährden.
„NotPetya war jedoch der Wendepunkt! Danach erkannten die meisten Unternehmen die Risiken, die durch systematische Abhängigkeiten zwischen IT und OT verursacht werden. Sie erkannten auch die Auswirkungen solcher Angriffe auf die Geschäftskontinuität und, wie wichtig es ist, eine Katastrophe infolge eines einmaligen Ereignisses zu überstehen“, fasst Sergej Epp von Palo Alto Networks abschließend zusammen. „Letztendlich ist es für Führungskräfte wichtig, sich vor Augen zu halten, dass der Schutz von OT und IT gar nicht so unähnlich ist. Unternehmen müssen die OT-Sicherheit mit mindestens der gleichen Priorität wie in der IT angehen und ihr gemeinsame und organisatorische Schwerpunkte und Ressourcen widmen.“
