Smart Factories
IT- und OT-Sicherheit aus einem Guss
Für die IT-Infrastruktur existieren bereits zahlreiche tragfähige Sicherheitskonzepte, die vor Datendiebstahl oder dem Einschleusen von Malware schützen sollen. Verschmelzen in fertigenden Betrieben jedoch Office-IT und die Systeme der produktionsnahen IT, sind neue Lösungen gefragt.
Bild: AirITSystems GmbHIn der Smart Factory sind heute die meisten Fertigungskomponenten dazu fähig, via Internet zu kommunizieren. Sie melden sich etwa, wann die nächste Wartung ansteht oder ob ein Bauteil verschlissen ist. Im Rahmen eines Product Lifecycle Managements lässt sich mit den anfallenden Daten noch viel mehr erreichen. Sie können beispielsweise wichtige Informationen für die Entwicklung neuer Produkte liefern. Die dafür notwendige Vernetzung der Komponenten mit der Office-IT birgt jedoch einige Sicherheitsrisiken. Ein grundsätzliches Problem ist es, die verschiedenen Softwaresysteme miteinander zu verheiraten. Denn die Entwicklung und Implementierung neuer Fertigungssysteme und -anlagen erfolgt häufig durch Automatisierungstechniker. Deren oberste Priorität ist jedoch nicht, die Software an Industriestandards anzugleichen. Zwar versucht die Industrie, ihre IT-Protokolllandschaften an IETF- oder IEEE-Standards zu orientieren, dies geling aber nicht immer. In Bezug auf die Sicherheit solcher Systeme wäre das Einhalten dieser Standards von Vorteil, ermöglichen sie doch das Zusammenwirken heterogener Systeme. Das wiederum erlaubt Security Devices, den Datenfluss zu erfassen. Denn gerade die Schnittstellen bieten Schlupflöcher für Angreifer. Schnell ist - etwa per USB-Stick - Malware eingeschleust, die sich dann ungehindert verbreiten kann.
Security steht hinten an
Besonders bei älteren Fertigungsanlagen ist die Interoperabilität der Systeme häufig nicht gegeben. IT-Verantwortliche stehen deshalb immer wieder vor den gleichen Herausforderungen: Oft erfolgt die Implementierung der Anlagen nicht so, wie es IT-Protokolle vorsehen. Die Verfahren zur Datenübertragung sind demnach genau wie die Interfaces nicht IT-Protokollkonform. Darüber hinaus lassen sich die veralteten Technologien nur schwer patchen. Denn die Anlagen sind dafür ausgelegt, rund um die Uhr zu produzieren. Ein Software Update ist teilweise nur alle sechs Monate vorgesehen, um unproduktive Zeiten auf ein Minimum zu reduzieren. In Anbetracht der aktuellen Schadcode-Zyklen ein deutlich zu langes Intervall. Diese Voraussetzungen führen dazu, dass anomalie- oder signaturbasierte Intrusion Detection Systeme (IDS) im reinen Produktionsumfeld eine besorgniserregende false-positive Rate aufweisen, da sie den Datenfluss als solchen nicht erkennen. Von IT-Verantwortlichen ist in Bezug auf Technologie und Organisation also Kreativität gefragt, um die Anlagen in etablierte IT-Sicherheitsstrukturen des Unternehmens einzubinden. In organisatorischer Hinsicht ist es hilfreich, sich auf höchster Ebene Gehör zu verschaffen. Oft ist es bereits ausreichend den Entscheidern vor Augen zu führen, dass es gesetzliche Vorgaben für die Sicherheit produktionsnaher IT gibt, die unter den ungünstigen Voraussetzungen nicht einzuhalten sind.
Sicherheitslücken erkennen
Auf technischer Seite bildet die exakte Analyse des Ist-Zustands die Grundlage eines Sicherheitskonzeptes. Die wichtigste Frage ist dabei die nach der Verknüpfung von Office-IT und Fertigungsanlagen. Häufig erfolgt sie über das ERP-System. Die meisten Sicherheitslücken entstehen an diesen Schnittstellen. Einmal aufgedeckt, ist das Schließen dieser Lücken jedoch eine Herausforderung. Maßnahmen, die einen Produktionsstillstand erfordern, kommen in der Regel nicht infrage. Eine Option ist in diesem Fall das Bilden von Zonen gleichen Schutzbedarfs. Restriktive Firewall-Regelwerke begrenzen diese Zonen. Der Übergang zwischen ihnen ist ebenfalls reglementiert. Lassen sich diese Schutzbedarfe nur schwer durchsetzen, ist der Einsatz einer eigenen Hardware mit Firewall für jede Komponente der Fabrik eine Option. Aber auch diese Vorgehensweise bietet keinen ganzheitlichen Schutz. Den IT-Verantwortlichen ist diese Tatsache durchaus bewusst, weshalb es oberste Priorität ist, die Schnittstellen zwischen den Komponenten so gering wie möglich zu halten.
Unterschiedliche Systeme
Die Fertigungskomponenten innerhalb einer Fabrik stammen in der Regel von unterschiedlichen Herstellern. Ein Einkäufer hat bei der Beschaffung der Maschinen jedoch nicht die Kompatibilität der Komponenten im Blick, sondern legt Wert auf Durchsatzzahlen und Wirtschaftlichkeit. Dementsprechend wenig Einfluss hat die IT bei der Wahl der Gerätschaften, was den heterogenen Charakter der Anlagen auf die IT ausweitet. Das erschwert das Absichern der Schnittstellen. Diese sind jedoch die häufigste Schwachstelle, über die Malware in ein Unternehmen gelangt - etwa bei der Wartung, bei der über fremde Hardware Schadcode mitgebracht wird. Im schlimmsten Fall führt der Virus zu einem Ausfall der Produktion und gefährdet Menschen sowie Maschinen. Unternehmen können sich helfen, indem sie die Schnittstellen durch Einwahlrouter absichern. Sie umgehen eine direkte Verbindung zwischen externer Hardware und den Fertigungskomponenten.
Gefährdete Unternehmen
Diese etwas umständliche Sicherheitsmaßnahme sind vor allem für KRITIS-relevante Unternehmen sinnvoll, also Einrichtungen, deren Ausfall zu Versorgungsengpässen führen kann. Manche Cyberkriminelle motiviert gerade die mediale Aufmerksamkeit, die ihnen etwa ein flächendeckender Stromausfall verschaffen würde. Um den Sicherheitsrisiken im Bereich der IT adäquat zu begegnen, brauchen Unternehmen neben fachlichem Know-how vor allem ein Risikomanagement. Diese Anforderungen gehen in einer Doppelspitze aus Risikomanager und IT-Spezialisten auf, die direkt der Geschäftsführung unterstehen können. Letztlich ist die IT-Sicherheit auch eine Frage des Bewusstseins der Mitarbeiter. Je besser diese informiert sind, desto weniger Angriffsfläche haben Kriminelle. n
Für die IT-Infrastruktur existieren bereits zahlreiche tragfähige Sicherheitskonzepte, die vor Datendiebstahl oder dem Einschleusen von Malware schützen sollen. Verschmelzen in fertigenden Betrieben jedoch Office-IT und die Systeme der produktionsnahen IT, sind neue Lösungen gefragt.
Bild: AirITSystems GmbHIn der Smart Factory sind heute die meisten Fertigungskomponenten dazu fähig, via Internet zu kommunizieren. Sie melden sich etwa, wann die nächste Wartung ansteht oder ob ein Bauteil verschlissen ist. Im Rahmen eines Product Lifecycle Managements lässt sich mit den anfallenden Daten noch viel mehr erreichen. Sie können beispielsweise wichtige Informationen für die Entwicklung neuer Produkte liefern. Die dafür notwendige Vernetzung der Komponenten mit der Office-IT birgt jedoch einige Sicherheitsrisiken. Ein grundsätzliches Problem ist es, die verschiedenen Softwaresysteme miteinander zu verheiraten. Denn die Entwicklung und Implementierung neuer Fertigungssysteme und -anlagen erfolgt häufig durch Automatisierungstechniker. Deren oberste Priorität ist jedoch nicht, die Software an Industriestandards anzugleichen. Zwar versucht die Industrie, ihre IT-Protokolllandschaften an IETF- oder IEEE-Standards zu orientieren, dies geling aber nicht immer. In Bezug auf die Sicherheit solcher Systeme wäre das Einhalten dieser Standards von Vorteil, ermöglichen sie doch das Zusammenwirken heterogener Systeme. Das wiederum erlaubt Security Devices, den Datenfluss zu erfassen. Denn gerade die Schnittstellen bieten Schlupflöcher für Angreifer. Schnell ist - etwa per USB-Stick - Malware eingeschleust, die sich dann ungehindert verbreiten kann.
AirITSystems GmbH
Dieser Artikel erschien in Dezember+Januar 2017 - 13.12.17.Für weitere Artikel besuchen Sie www.it-production.com
