Fast 30 000 SPSen angreifbar Aus Stuxnet nichts gelernt?

Die Sicherheitskonferenz Black Hat 2015 ging neben vielen anderen Themen auch die Angriffsmöglichkeiten industrieller Produktionsanlagen ein. Mit erschreckenden Zahlen: 28 000 Steuerungen sind direkt über das Internet zugänglich. Das haben laut IT-Magazin c't die beiden Sicherheitsforscher Johannes Klick und Stephan Lau der Freien Universität Berlin ermittelt. Sie bedienten sich dabei einer spezialisierten Suchmaschine. Die Zahl der ungeschützt zugänglichen SPSen hat sich von 2013 bis 2015 verdreifacht.

Die beiden Forscher der Arbeitsgemeinschaft sichere Identität demonstrierten auf der Konferenz, wie ein Angriff mit dem Ziel, die dahinterliegende Infrastruktur zu identifizieren, auf ein solchermaßen ungesichertes System ablaufen kann. Zunächst wurde Schadcode auf eine Siemens-PLC S7-300 hochgeladen – sie stand stellvertretend für alle möglicherweise angreifbare Steuerungen. Mittels eines Open-Source-Tools konnten Klick und Lau den Hauptprogrammblock auslesen. Diesem fügten sie einen weiteren Funktionsaufruf hinzu und schrieben das Programm wieder zurück. Bei der Ausführung des veränderten Programmcodes wurde der Schadcode aufgerufen und ein Netzwerkscanner aktiviert. Darüber bekamen die Angreifer alle nötigen Informationen zu verwendeten IP-Adressen, Subnetz-Konfigurationen und Software-Versionen der verwendeten PLCs. Im nächsten Schritt nutzten die Forscher diese Informationen, um auf der angegriffenen Steuerung einen Proxy-Server einzurichten, der Kommandos getunnelt in das Netzwerk einschleuste und darüber per DoS-Attacke eine zweite SPS zum Absturz brachte.

Um den Angriff demonstrieren zu können, hatten sie den Passwortschutz deaktiviert – der für echte Angreifer allerdings keine allzu große Hürde darstellt. Nach Angaben der Forscher wird er in der Praxis auch nur selten genutzt. Aktuellere Versionen der Siemens-PLCs sind bereits besser gegen Zugriffe von außen geschützt als die S7-300, wie im Beitrag Sicherheit im Gesamtpaket dargelegt. Ebenso muss erwähnt werden, dass die DoS-Attacke auf einem Bug beruhte, für den Siemens seit März 2015 ein Update bereitstellt.

Wie der Angriff im Detail funktioniert, ist in der Präsentation und dem zugehörigen Whitepaper auf der Black-Hat-Seite dokumentiert. Die Sicherheitsforscher Johannes Klick und Stephan Lau sehen nur eine Möglichkeit, die Angriffe wirksam zu parieren: SPSen dürfen nicht direkt aus dem Internet zugänglich sein. Die beiden empfehlen, die Steuerungen auf jeden Fall durch eine Firewall nach außen zu schützen und die Remote-Zugriffe über einen VPN-Tunnel zu leiten. Der beste Schutz sei es jedoch nach wie vor, wenn eine SPS offline betrieben wird.