Supervisory Control and Data Acquisition (SCADA)-Systeme steuern kritische Infrastrukturen auf der ganzen Welt. Dadurch sind sie für Cyberkriminelle überaus attraktiv. Gelingt es ihnen, sich Zugang zu den Systemen zu verschaffen, können sie Informationen sammeln, wie etwa einen Grundriss der Einrichtung, kritische Schwellwerte oder Einstellungen von Geräten. Diese Daten lassen sich dann in künftigen Angriffen nutzen, etwa für eine Unterbrechung des Betriebs oder das Anstoßen von gefährlichen oder gar tödlichen Situationen, wie ein Brand. Einer der häufigen Einfallstore für die Schadsoftware sind Human Machine Interfaces (HMI).
Bedrohungsakteure infiltrieren SCADA-Systeme mit verschiedenen Methoden, wobei eine davon die Ausnutzung von Softwarefehlern in Human Machine Interfaces (HMI) ist. Die Betreiber kontrollieren ein SCADA-System zumeist über das HMI, das häufig in einer Netzwerkumgebung installiert ist. Ein HMI zeigt die Daten der Maschine an und führt Befehle des Betreibers aus, sodass dieser darüber das Monitoring des Systems durchführen kann. Das HMI lässt sich als Hauptangriffsziel innerhalb eines SCADA-Systems ausmachen. Deshalb sollten HMIs nur in einem Air-Gapped oder isolierten vertrauenswürdigen Netzwerk installiert werden.
Die häufigsten Kategorien der HMI-Sicherheitslücken
Das Team der Trend Micro Zero Day Initiative (ZDI) hat den derzeitigen Stand der SCADA HMI-Sicherheit überprüft und dabei alle öffentlich bekannten Schwachstellen in SCADA-Software in Augenschein genommen, die zwischen 2015 und 2016 geschlossen wurden. Es stellte sich heraus, dass die meisten Schwachstellen in den Bereichen der Memory Corruption, eines schwachen Managements der Anmeldedaten, der mangelhaften Authentifizierung/Autorisierung und unsicherer Defaults sowie Code Injection-Fehler lagen. All diese Lücken wären über sichere Praktiken in der Entwicklung vermeidbar gewesen.
Das Team stellte auch fest, dass die Zeitspanne zwischen dem Bekanntwerden eines Fehlers und dem Patch-Release durch den SCADA-Anbieter bis zu 150 Tage betragen kann. Das heißt, es dauert durchschnittlich fünf Monate, bis eine SCADA-Sicherheitslücke geschlossen wird. Diese Zeitspanne ist von Hersteller zu Hersteller unterschiedlich lang.
Eine vollständige Beschreibung der verschiedenen Schwachstellenkategorien, einschließlich von Anwenderszenarien zu angreifbaren SCADA HMIs liefert der Bericht Hacker Machine Interface: The State of SCADA HMI Vulnerabilities. Zusätzlich umfasst er Anleitungen für Schwachstellenforscher, die Lösungen prüfen wollen, um Fehler schneller und effizienter zu entdecken.
