Systemintegrität als Kernelement der Industrial Security

In den ersten beiden Teilen der Beitragsreihe wurde die Norm IEC62443 als Basis für eine Verteidigungsstrategie dargestellt und auf Mechanismen und Maßnahmen zur Gewährleistung der Systemintegrität sowie Anforderungen der IEC62443 hinsichtlich des sogenannten Echtheits- bzw. Originalitätsnachweises eingegangen. In diesem Teil befassen wir uns mit diversen Aspekten der proaktiven Erkennung von Angriffen und Abweichungen sowie mit der sogenannten Rückwirkungsfreiheit. Der Beitrag endet mit einem Ausblick auf die künftigen Herausforderungen, bei dem insbesondere auf die sogenannten Schutzlevels zur Gesamtbewertung des Schutzes einer Anlage im Betrieb sowie auf das sog. Holistic Security Concept (HSC) eingegangen wird.

Bild: Siemens AG

---

Bei der Auswahl und der Konfiguration von geeigneten Schutzmechanismen und -maßnahmen, die zur Gewährleistung der Systemintegrität im Kontext der Industrial Security beitragen sollen, ist es wichtig sicherzustellen, dass diese Mechanismen und Maßnahmen (nachweisbar) zu keinen Nebeneffekten führen, d.h. rückwirkungsfrei sind. In der Namur-Empfehlung NE-153 sind die entsprechenden Anforderungen in Abschnitt 2.2 'Definition der Nutzfunktionen für den bestimmungsgemäßen Gebrauch, Rückwirkungsfreiheit von Zusatzfunktion' wie folgt formuliert:

• • "1. Bei der Integration von Komponenten in eine Automatisierungslösung ist sicherzustellen, dass die Anwendung aller aktivierten Nutzfunktionen dieser Komponenten nur in der für die geplante Anwendung vorgesehenen Kombination möglich ist.
• • 2. Durch die Nutzung zulässiger Optionen dürfen keine nicht spezifizierten Funktionsänderungen ausgelöst werden. In jeder Kombination der verfügbaren Optionen muss ein nachvollziehbares deterministisches Verhalten der Nutzfunktionen der Automatisierungskomponente gewährleistet sein."

Im Kontext des Industry SIEM bedeutet dies, dass ein (beispielsweise in einer Anlage) installiertes SIEM-System ausschließlich seine primären Aufgaben erfüllt, d.h. die Erfassung, Auswertung, Anzeige, langfristige Speicherung der Security-Logs/-Events sowie gegebenenfalls die Bereitstellung der Security-Logs und -Events für weitergehende Auswertung durch weitere überlagerte Werkzeuge. Dadurch darf jedoch keine (negative) Rückwirkung auf die Verfügbarkeit und die Performance des zur Übertragung des Events verwendeten Netzwerks sowie auf die einzelnen Anlagenkomponenten, -systeme und die Gesamtanlage entstehen. Bei der Auswahl der zur Erfassung und Übertragung von Security-Logs und -Events zu verwendenden Transportwege sollte man beispielsweise darauf achten, dass für die Nutzung der Transportwege entweder kein oder ein gut kontrollierbarer und transparenter Zugriff auf die Anlagenkomponenten erforderlich ist. Hierzu ist zu beachten, dass unterschiedliche Transportwege unterschiedlichen Konfigurationsaufwand und unterschiedlich komplexe Kontrollmechanismen erfordern. Beispielsweise erfordert die Nutzung des Syslog- bzw. Secure-Syslog-Protokolls als Transportweg zur Übertragung von Security-Logs und -Events keine vorkonfigurierten Zugriffsberechtigungen, während der Zugriff auf eine Datenbank, in der Security-Events abgelegt sind, ohne vorkonfigurierte Zugriffsberechtigungen nicht möglich ist. Um so wichtiger ist es dabei, die Berechtigungen möglichst sorgfältig und genau zu definieren: Ein SIEM-Connector, der die Security-Events aus einer Datenbank oder dem Windows Event Log liest, darf keine System- bzw. Administrator-Rechte erfordern bzw. bekommen. Ein weiterer wichtiger Aspekt im Hinblick auf die Rückwirkungsfreiheit im Kontext des Industry SIEM besteht darin, dass die durch die Übertragung der Events gegebenenfalls gestiegene Kommunikationslast die Performance und Verfügbarkeit des Netzwerks und der Anlage nicht negativ beeinflussen darf. Im Kontext des angestrebten automatisierten Managements von Zertifikaten bedeutet die Rückwirkungsfreiheit insbesondere, dass die Verfügbarkeit der einzelnen Anlagenkomponenten und der Gesamtanlage stets gewährleistet ist, auch wenn ein von einem Gerät oder einer Applikation (beispielsweise für die verschlüsselte Kommunikation oder Authentifizierung) verwendetes Zertifikat für ungültig erklärt wird bzw. erneuert werden muss. Es darf also nicht vorkommen, dass ein Gerät auf eine Anfrage nicht reagiert, bzw. einen erwarteten Messwert nicht liefert, weil sein Zertifikat gerade abgelaufen ist und noch nicht erneuert wurde. Dies setzt voraus, dass alle Szenarien, die sich im Anlagenkontext ereignen können (insbesondere Ausrollen, Erneuerung und Revokation von Zertifikaten, sowie der Gerätetausch), beim Design der adäquaten in Automatisierungsgeräten und -applikationen zu implementierenden Mechanismen genau berücksichtigt werden müssen. Dies impliziert wiederum, dass der Hersteller, der derartige Mechanismen für Automatisierungsgeräte und -applikationen spezifiziert, die Sicht eines Integrators, Servicetechnikers bzw. des Kunden, der diese im Anlagenkontext in Betrieb nimmt bzw. nutzt, möglichst gut kennen muss. Dies verdeutlicht nochmals die Aussage, dass die Sicherstellung der Systemintegrität genauso wie weitere Aufgaben im Kontext der Industrial Security eine enge Zusammenarbeit zwischen Hersteller, Systemintegrator und Anwender erfordert. Zur Gewährleistung der Rückwirkungsfreiheit wird durch die genaue Spezifikation, Dokumentation, Umsetzung und Konfiguration der primären Funktionalitäten der für den Einsatz im industriellen Umfeld anvisierten integrierten und kommerziellen Werkzeuge sowie durch die fundierten, im Vorfeld durchgeführten Verträglichkeitstests beigetragen.