Tipps zur Risikominimierung
Einfallstore schließen
Egal ob Stromnetz, Wasserversorgung oder Produktionslinien: In den letzten Jahren ist ein enormer Anstieg von Cyberattacken auf industrielle Steuerungssysteme (engl. Industrial Control Systems, ICS) zu verzeichnen. Was sind die größten Einfallstore für Hacker und wie kann sich ein Unternehmen schützen?
Bild: FireEye IncFehlende Authentifizierung bei ICS-Protokollen
Unternehmen nutzen in der Produktion ICS-Protokolle, die oft über keine Authentifizierungsmöglichkeit verfügen. Fehlt diese Funktion, ist es schwierig festzustellen, ob ankommende Daten aus einer vertrauenswürdigen Quelle stammen. Denn ohne Authentifizierung können von jedem Rechner Befehle gesendet werden, die in der Lage sind, die Produktion zu manipulieren. Fehlerhafte Produkte, Zerstörung von Werkzeugen und Maschinen sowie Verletzungen bei Mitarbeitern sind mögliche Folgen.
Tipp 1:
Um den genannten Manipulationsversuchen zuvorzukommen, sollten im Unternehmen alle Protokolle mit fehlender Authentifizierungsmöglichkeit identifiziert werden. Im Zuge dessen ist es sinnvoll, auch gleich den Schwere- und Verbreitungsgrad der Sicherheitslücken zu ermitteln. Als weitere sicherheitsfördernde Maßnahme empfiehlt sich, herauszufinden, ob die Anlagen Authentifizierungsoptionen unterstützen und diese gegebenenfalls zu implementieren. Im Anschluss sollten Tests durchgeführt werden, ob die Produktionsstätten mit zwischengeschalteten Authentifizierungsoptionen reibungslos laufen. Durch eine Firewall und/oder von Deep Packet Inspection (DPI) lassen sich nicht-authentifizierte Befehle blockieren.
Veraltete Hardware
Oft ist Hardware für Industrieanlagen jahrzehntelang im Einsatz. Diese veraltete Hardware bietet einen begrenzten Funktionsumfang sowie ungenügende Rechenleistung und Speicherkapazitäten, um moderne Cyberbedrohungen zu verhindern. Ein weiteres Sicherheitsrisiko stellt die End-of-Life-Phase von Geräten und Software dar. Hier unterstützen Hersteller beispielsweise Software nicht mehr mit Patches, was zu schwerwiegenden Sicherheitslücken führt.
Bild: FireEye '2016 Industrial Control
Systems (ICS) Vulnerability Trend Report'Tipp 2:
Regelmäßige Upgrades für ältere Geräte, die mit dem Netzwerk verbunden sind und wichtige Funktionen in der Prozesssteuerung inne haben, senken das Sicherheitsrisiko für einen Hackerangriff. Sinnvoll ist es auch, Firewall-Regeln aufzusetzen, um Netzwerkverbindungen zu veralteter Hardware und Software zu sichern.
Schwache Benutzerauthentifizierung
Benutzerauthentifizierungen stellen sicher, dass nur berechtigte Personen oder Personenkreise Zugriff auf Programme haben. Die Authentifizierung erfolgt meist über die Eingabe eines Passwortes. Bei alten Steuerungssystemen sind Kennwörter oft einfach zu knacken, da sie hart codiert sind, in leicht zu entschlüsselnden Formaten abgespeichert oder direkt im Klartext übermittelt werden. Hacker haben hier leichtes Spiel und können nach der Entschlüsselung der Passwörter die Produktionsprozesse beliebig manipulieren.
Tipp 3:
Um das Risiko zu senken, sollte in einem ersten Schritt der interne ICS-Gerätebestand mit der Liste der Geräte, die hart codierte Passwörter haben, abgeglichen werden. In einem weiteren Schritt gilt es, die Geräteprotokolle und den Netzwerkverkehr zu überwachen - so lassen sich passwortbezogene Sicherheitslücken aufspüren.
Unzureichende Integritätsprüfungen
Durch die Integritätsprüfung werden Herkunft und Vollständigkeit von Daten sowie Codes durch kryptografische Überprüfung verifiziert. Doch Industrieanlagen leiden häufig unter folgenden drei Schwachstellen:
- • Unzureichende Überprüfung der Softwaresignaturen: Software-Signaturen geben an, ob eine Software von einer vertrauenswürdigen Quelle stammt. Durch eigene Zertifikate oder externe Zertifizierungsstellen garantieren Anbieter eine Prüfung der Quellen. Sind keine Signaturen vorhanden, haben Hacker die Möglichkeit, über mit Schadcode infizierter Software in die Systeme einzudrignen.
- • Unzureichende Überprüfung der Firmwareintegrität: Firmware wird in der Regel nicht so häufig geändert oder aktualisiert wie Software. Gelingt es einem Hacker durch ungenügende unternehmensseitige Überprüfung schadhafte Firmware hochzuladen, kann er den gesamten Funktionsbereich eines Gerätes übernehmen.
- • Unzureichende Überprüfung der Integrität der Steuerungslogik: Unter Steuerungslogik versteht man ein Programm zur Prozesssteuerung, das von einem programmierbaren Controller, beispielsweise einer SPS ausgeführt wird. Ohne Integritätsüberprüfung der Steuerungslogik übernehmen jedoch SPS-Geräte jede aufgespielte Logik. Angreifer können, nachdem sie in das System gelangt sind, unter anderem Grenz- und/oder Sollwerte manipulieren und die Kontrolle über Werkzeuge, Maschinen und Anlagen übernehmen.
Tipp 4:
Damit Hacker hier kein einfaches Spiel haben, sollte das Betriebssystem so konfiguriert werden, dass nur signierte Codes ausgeführt werden können. Zudem ist es ratsam, Software und Updates jeweils in einer simulierten Umgebung zu testen, bevor sie in den Produktionsbetrieb übergehen.
Bild: FireEye '2016 Industrial Control
Systems (ICS) Vulnerability Trend Report'Einfallstor Windows-Betriebssysteme
Viele Workstations für Produktentwicklung und für die industrielle Produktion laufen mit veralteten Versionen von Windows-Betriebssystemen - mit teilweise bekannten Schwachstellen. Hacker nutzen diese Sicherheitslücken, um Zugriff zu erhalten.
Tipp 5:
Dieses Einfallstor lässt sich durch die Einführung und Pflege einer Bestandsliste der verwendeten Betriebssysteme, die nicht gepatcht sind, beziehungsweise nicht mehr unterstützt werden, schliessen. Zusätzlich müssen regelmäßig Upgrades installiert und/oder Patches während Wartungsarbeiten eingespielt werden. Außerdem sollte man auf ergänzende Lösungen setzen, um bekannte Schwachstellen zu schließen.
Die Krux mit Drittanbietern
ICS-Anwender sind selten über die Abhängigkeiten ihrer ICS-Software von Produkten von Drittanbietern im Bilde. Denn ICS-Anbieter wissen meist nicht im Detail, welche Komponenten sie von Drittanbietern verwenden. So können ICS-Anbieter ihre Kunden auch nur bedingt über Schwachstellen informieren. Findige Hacker kennen diese Abhängigkeiten und nutzen Softwaresicherheitslücken aus, von deren Existenz der Anwender nichts weiß.
Tipp 6:
Unternehmen sollten vom ICS-Anbieter eine Liste anfordern, die die enthaltene Software von Drittanbietern in den Produkten auflistet - so lassen sich erste Schwachstellen entdecken und beheben. Zusätzlich ist es ratsam, regelmäßig nationale und internationale Schwachstellendatenbanken auf Sicherheitslücken in der Software von Drittanbietern zu durchsuchen.
Aus Fehlern lernen und vorbereitet sein
Nur bekannte Schwachstellen lassen sich auch beheben - die Auflistung der größten Einfallstore für Hacker im ICS-Bereich basiert auf Erfahrungswerten und soll dabei helfen, dass Verantwortliche und Entscheider die Gefahrenlage besser erkennen und verstehen.
Egal ob Stromnetz, Wasserversorgung oder Produktionslinien: In den letzten Jahren ist ein enormer Anstieg von Cyberattacken auf industrielle Steuerungssysteme (engl. Industrial Control Systems, ICS) zu verzeichnen. Was sind die größten Einfallstore für Hacker und wie kann sich ein Unternehmen schützen?
Bild: FireEye IncFehlende Authentifizierung bei ICS-Protokollen
Unternehmen nutzen in der Produktion ICS-Protokolle, die oft über keine Authentifizierungsmöglichkeit verfügen. Fehlt diese Funktion, ist es schwierig festzustellen, ob ankommende Daten aus einer vertrauenswürdigen Quelle stammen. Denn ohne Authentifizierung können von jedem Rechner Befehle gesendet werden, die in der Lage sind, die Produktion zu manipulieren. Fehlerhafte Produkte, Zerstörung von Werkzeugen und Maschinen sowie Verletzungen bei Mitarbeitern sind mögliche Folgen.
Tipp 1:
Um den genannten Manipulationsversuchen zuvorzukommen, sollten im Unternehmen alle Protokolle mit fehlender Authentifizierungsmöglichkeit identifiziert werden. Im Zuge dessen ist es sinnvoll, auch gleich den Schwere- und Verbreitungsgrad der Sicherheitslücken zu ermitteln. Als weitere sicherheitsfördernde Maßnahme empfiehlt sich, herauszufinden, ob die Anlagen Authentifizierungsoptionen unterstützen und diese gegebenenfalls zu implementieren. Im Anschluss sollten Tests durchgeführt werden, ob die Produktionsstätten mit zwischengeschalteten Authentifizierungsoptionen reibungslos laufen. Durch eine Firewall und/oder von Deep Packet Inspection (DPI) lassen sich nicht-authentifizierte Befehle blockieren.
Veraltete Hardware
Oft ist Hardware für Industrieanlagen jahrzehntelang im Einsatz. Diese veraltete Hardware bietet einen begrenzten Funktionsumfang sowie ungenügende Rechenleistung und Speicherkapazitäten, um moderne Cyberbedrohungen zu verhindern. Ein weiteres Sicherheitsrisiko stellt die End-of-Life-Phase von Geräten und Software dar. Hier unterstützen Hersteller beispielsweise Software nicht mehr mit Patches, was zu schwerwiegenden Sicherheitslücken führt.
FireEye Inc
Dieser Artikel erschien in Industrial Communication Journal 4 2017 - 08.12.17.Für weitere Artikel besuchen Sie www.sps-magazin.de
