cyberbedrohungen für ics-systeme
Werbung
CYBERBEDROHUNGEN FÜR ICS-SYSTEME SIE MÜSSEN NICHT DAS ZIEL SEIN, UM ZUM OPFER ZU WERDEN CYBERBEDROHUNGEN FÜR ICS-SYSTEME: SIE MÜSSEN NICHT DAS ZIEL SEIN, UM ZUM OPFER ZU WERDEN DIE KEHRSEITE DER DIGITALISIERUNG In den vergangenen Jahrzehnten hat die Automatisierung von industriellen Systemen immer mehr an Bedeutung gewonnen. Angesichts Bestrebungen von Seiten der Industrie, den Produktionsprozess immer effizienter zu gestalten, wächst die Durchdringung durch IT-Systeme und deren Konnektivität beständig. Immer mehr industrielle Einrichtungen werden an Unternehmensnetzwerke angebunden und oft auch per Fernzugriff über diese verwaltet und gesteuert. Zusammen mit ihren Vorteilen haben diese neuen Technologien jedoch auch neue Bedrohungen im Bereich der industriellen Automatisierung mit sich gebracht, mit denen man vorher nicht immer gerechnet hat. Die heutzutage eingesetzten industriellen Steuerungssysteme (ICS) wurden bei ihrer Planung auf eine Lebensdauer ausgelegt, die in Jahrzehnten gerechnet wurde, und bei vielen von ihnen spielte die IT-Sicherheit beim Entwurf keine besondere Rolle. Der zuverlässige Betrieb moderner industrieller Netzwerke könnte nicht nur durch einen Ausfall an einem einzelnen Produktionsstandort oder durch einen Bedienfehler gestört werden, sondern auch durch einen Fehler in der Software, eine unbeabsichtigte Infektion der Workstations mit Malware oder eine vorsätzliche Attacke durch Cyberkriminelle. Trotz Warnungen aus Expertenkreisen basierte das Sicherheitskonzept für ICS-Systeme bis vor kurzem noch auf der Überzeugung, die Isolierung der industriellen Netzwerke reiche aus, um vor allen Arten von Bedrohungen sicher zu sein. Diese Überzeugung wurde durch die berühmtberüchtigte Stuxnet-Attacke endgültig zunichte gemacht: Ein 50 KB großer Computerwurm infiltrierte ein isoliertes Netzwerk per USB-Laufwerk, infizierte speicherprogrammierbare Steuerungen (SPS) und machte die Zentrifugen in einer nuklearen Aufbereitungseinrichtung im Iran mechanisch unbrauchbar. Das Kreisdiagramm unten zeigt die Hauptursachen für Vorfälle in industriellen Netzwerken (Daten wurden bereitgestellt von securityincidents.net): Malware-Angriffe 35 % Softwarefehler 23 % Bedienfehler 11 % Sonstige 12 % Ausfälle in SCADAKomponenten 19 % EIN ISOLIERTES TECHNOLOGIENETZWERK IST KEINERLEI GARANTIE MEHR FÜR DIE SICHERHEIT EINER INDUSTRIELLEN EINRICHTUNG, EGAL OB FÜR DIE IT- ODER DIE PHYSISCHE SICHERHEIT. NICHT NUR STUXNET Stuxnet ist wohl das bekannteste Beispiel dafür, welche potentielle Gefahr Malware für technologische Prozesse darstellt, aber es ist nicht das einzige. Studien von Kaspersky Lab beweisen, dass viele industrielle Computersysteme mit herkömmlichen Schadprogrammen infiziert sind, die Unternehmensnetzwerke auf unterschiedliche Weise infiltrieren. Das Kreisdiagramm unten zeigt die unterschiedlichen Wege, auf denen Schadcode in industrielle Netzwerke eingeschleust wird (die Daten wurden freundlicherweise von securityincidents.net zur Verfügung gestellt): Mobile Geräte 4 % HMI-Panel 8 % Wi-Fi 5 % Über USB-Ports 3 % Per Fernzugriff 26 % Internetzugänge 9 % Externe Vertragspartner 10 % Über Unternehmensnetzwerke 35 % CYBERBEDROHUNGEN FÜR ICS-SYSTEME: SIE MÜSSEN NICHT DAS ZIEL SEIN, UM ZUM OPFER ZU WERDEN In industriellen Netzwerken kann herkömmliche Malware weitaus größeren Schaden anrichten als auf Computern im Büro oder bei uns zu Hause. Sie kann beispielsweise den Betrieb entscheidender Anwendungen stören und so Hardwareausfälle hervorrufen. Die potentiellen Folgen können dabei weit über die eigentlichen Absichten der Malware-Entwickler hinausgehen. So sind Fälle ans Tageslicht gekommen, in denen industrielle Netzwerke mit dem Sality-Virus infiziert wurden, der in einer aktuellen Modifikation das Exploit einer USB-Schwachstelle kopiert, die auch von Stuxnet ausgenutzt wurde. Obwohl Sality keinen zerstörerischen Code zur Infizierung von speicherprogrammierbaren Steuerungen enthielt, führte seine Aktivität zu einer hundertprozentigen Prozessorauslastung von SCADA-Systemen unter Windows®. Ein weiteres Beispiel ist der Conficker-Wurm, der industrielle Netzwerke befiel, in denen Windows nicht rechtzeitig aktualisiert worden war. Der Wurm sendete Millionen von Netzwerkanforderungen aus, wodurch der Betrieb des gesamten industriellen Netzwerks zum Erliegen kam. Selbst CAD-Programme für die rechnergestützte Konstruktion können genutzt werden, um Malware zu verbreiten. So ist ein Fall bekannt geworden, bei dem ein Schadprogramm, das in AutoLisp (AutoCAD) geschrieben wurde, den Schadcode in ein CADBild einfügte. Wurde das Bild dann geöffnet, kam es zu einer großflächigen Vernichtung von Daten. Ausfallzeiten bei industriellen Prozessen aufgrund von Malwareinfizierungen von industriellen Anlagen (Daten wurden bereitgestellt von securityincidents.net): > 24 Stunden 18 % < 4 Stunden 60 % 4 - 24 Stunden 22 % Um die Funktionsfähigkeit und Sicherheit von industriellen Prozessen zu gewährleisten, ist ein zuverlässiger Schutz der zugehörigen ICS-Systeme gegen alle möglichen Risiken und Gefahren – und zu diesen zählen auch Cyberbedrohungen – vonnöten. SELBST EINE UNBEABSICHTIGTE INFEKTION MIT MALWARE KANN SEHR ERNSTE KONSEQUENZEN FÜR EIN INDUSTRIELLES NETZWERK HABEN. ZWEI GEGENSÄTZE Den zuverlässigen, kontinuierlichen und fehlerfreien Betrieb von technologischen Prozessen zu gewährleisten, ist die Hauptaufgabe von industriellen Steuerungssystemen (ICS). Für den einwandfreien, unterbrechungsfreien Ablauf eines technologischen Prozesses zu sorgen – egal ob dieser für die Gewinnung von Energie oder die Aufbereitung von Trinkwasser eingesetzt wird –, ist das Kerngeschäft eines jeden Industrieunternehmens. Wird dieser technologische Prozess gestört oder unterbrochen, kann dies entgangene Gewinne nach sich ziehen oder sogar den Verlust von neuen Aufträgen, von Menschenleben und in einigen Fällen sogar eine technologische Katastrophe bedeuten. Im Zusammenhang mit ICS-Systemen hört man oft die beliebte Daumenregel: „Solange nichts kaputt ist, wird auch nichts repariert“. Dies hat solange funktioniert, wie von stabilen Umgebungen ausgegangen werden konnte. Moderne ICS-Umgebungen sind mittlerweile jedoch alles andere als stabil, sie befinden sich in einer Phase dramatischer Umbrüche. Vertriebspartner behalten sich die Möglichkeit vor, remote auf das ICS zugreifen zu können, um Änderungen in Echtzeit vorzunehmen und Softwareversionen und -konfigurationen zu aktualisieren, wobei die unkontrollierte Nutzung von persönlichen Geräten und Wechseldatenträgern die Situation zusätzlich kompliziert. Für eine umfassende Lösung dieses Problems sind für ICS-Systeme ähnliche Sicherheitsverfahren erforderlich wie für herkömmliche IT-Systeme in Unternehmen, z. B. Auditing, Überprüfung auf Angriffe und Schwachstellen sowie Schulungen für Mitarbeiter. Diese Verfahren sind oft jedoch nicht vorgesehen. Im Gegensatz hierzu steht die Tatsache, dass viele ICS-Systeme über Jahre hinweg formal in demselben Zustand konserviert werden, den sie unmittelbar nach ihrer Inbetriebnahme hatten. Strikte unternehmerische Vorschriften und Normen verhindern Änderungen und Modifikationen an einem einmal zertifizierten System – davon sind selbst Updates für Betriebssystem und Sicherheitssoftware betroffen. ANGESICHTS DER EIGENARTEN VON ICS-SYSTEMEN GIBT ES KEINE EINFACHE LÖSUNG, DIE UMFASSENDEN SCHUTZ VOR BEDROHUNGEN GARANTIERT. CYBERBEDROHUNGEN FÜR ICS-SYSTEME: SIE MÜSSEN NICHT DAS ZIEL SEIN, UM ZUM OPFER ZU WERDEN GEWÄHRLEISTUNG VON ICS-SICHERHEIT? Kaspersky Lab verfolgt einen umfassenden, prozessorientierten Ansatz, um den Schutz von industriellen Systemen vor Cyberattacken zu gewährleisten. Unser Sicherheitskonzept basiert auf einer Kombination aus einzigartigen Schutztechnologien – welche den technologischen Prozess nicht beeinträchtigen – und einem Paket organisatorischer Maßnahmen zur Gewährleistung der IT-Sicherheit. Unser Ansatz bietet Schutz sowohl vor herkömmlicher Malware als auch vor komplexen gezielten Attacken. SCHUTZMASSNAHMEN Kaspersky Lab bietet derzeit die folgenden, speziell für ICSUmgebungen entwickelten Sicherheitstechnologien an: • „Default-deny“ als Standardrichtlinie. Im „Default-deny“Modus befindet sich das ICS in einer geschützten Umgebung, in der nur Programme ausgeführt werden können, die für die Ausführung des technologischen Prozesses erforderlich sind. Alle unbekannten bzw. unerwünschten Programme, darunter auch Schadprogramme, werden blockiert. Auf diese Weise wird eine sichere Ausführungsumgebung mit minimaler Belastung der Systemressourcen geschaffen. • Proaktiver Schutz vor unbekannten Schadprogrammen und automatischer Schutz vor Exploits. Unsere Technologie scannt ausführbare Programmdateien und analysiert die Sicherheit jeder der Anwendungen durch Überwachung ihrer Aktivitäten. • Unsere Technologie für die „Gerätekontrolle“ hilft Ihnen bei der Handhabung von Wechseldatenträgern (USB-Sticks, GPRS-Modems, Smartphones, USB-Netzwerkarten) und bei der Erstellung von Positivlisten für zugelassene Geräte und Benutzer, die darauf zugreifen dürfen. • Eine All-in-one-IT-Sicherheitskonsole ermöglicht die Überwachung und Kontrolle aller IT-Sicherheitslösungen. Mithilfe einer einzigen Verwaltungskonsole kann der Administrator Sicherheitsfunktionen installieren, konfigurieren und verwalten und auf Berichte zugreifen. • Integration mit SIEM (mithilfe spezieller Konnektoren). Gibt Administratoren die Möglichkeit, Informationen über Sicherheitsvorfälle auf geschützten Knoten des Technologienetzwerks in das unternehmenseigene SIEM-System zu exportieren. ORGANISATORISCHE MASSNAHMEN Zur Verbesserung von IT-Sicherheit und ICS-Stabilität bietet Kaspersky Lab das folgende Maßnahmenpaket an: • Ein Audit der industriell genutzten IT-Ressourcen, technologischer Prozesse sowie der vorhandenen Methoden zu ihrem Schutz. • Erstellung von Bedrohungsmodellen für bestimmte industrielle Objekte. • Implementierung technischer Anlagen für die IT-Sicherheit. • Schulungen für Mitarbeiter, um menschliches Fehlverhalten im Fall von Angriffen auf ein Minimum zu reduzieren. • Ein Service für die Untersuchung von Vorfällen und Beseitigung ihrer Konsequenzen. • Empfehlungen für die Entwicklung und Aktualisierung von IT-Sicherheitsvorschriften für industrielle Systeme. Unter Beachtung dieses Ansatzes arbeitet Kaspersky Lab erfolgreich mit Großkunden (darunter auch staatliche Organisationen) auf der ganzen Welt bei der Umsetzung von Sicherheitsprojekten für industrielle Netzwerke zusammen WENN SIE BEI DER VERBESSERUNG DER IT-SICHERHEIT IN IHREM ICS-SYSTEM UNTERSTÜTZUNG BENÖTIGEN, DANN WENDEN SIE SICH UNTER [email protected] AN UNS. © 2014 Kaspersky Lab ZAO. Alle Rechte vorbehalten. Eingetragene Markenzeichen und Handelsmarken sind das Eigentum ihrer jeweiligen Rechtsinhaber. Windows ist eine eingetragene Marke der Microsoft Corporation in den USA und anderen Ländern.
