Dass Unternehmensnetzwerke ähnlich wie ein Bürorechner eines Schutzes vor Viren, Trojanern und gezielten Angriffen durch Hacker bedürfen, steht seit vielen Jahren außer Frage. Doch lange war der sogenannte Air-Gap-Ansatz üblich. Man bewies Mut zur Lücke, indem man einfach davon ausging, dass ein Unternehmensnetzwerk sicher genug ist, wenn darauf nicht direkt über das Internet zugegriffen werden kann.
Doch heute – vor dem Hintergrund der weiten Verbreitung des Internets – können und müssen die zuvor isolierten Industrieanlagen mit der Außenwelt kommunizieren. Das hat unterschiedliche Gründe: Drittanbieter (Hardware- und Softwareanbieter sowie -integratoren) müssen ihre Ausstattung regelmäßig warten und können das zum Beispiel per Fernzugriff über das Internet tun. Aber auch Angestellte schließen ihre Geräte zu persönlichen Zwecken an das Industrienetzwerk an. Diese Verbindungen zur Außenwelt stellen die vermeintliche Sicherheit des Air-Gap-Ansatzes vor neue Herausforderungen, denn er ermöglicht Hackern einen einfachen Zugang.
Wie die kürzlich von Kaspersky Lab entdeckte Schadsoftware „Fanny“ beweist, werden die Methoden der Angreifer immer ausgeklügelter. Die Malware konnte die Air-Gap überwinden und so Informationen aus einem vermeintlich isolierten und unzugänglichen System stehlen. In einem anderen Fall, der Ende vergangenen Jahres vom Bundesamt für Sicherheit in der Informationstechnik veröffentlicht wurde, führte eine Attacke auf ein deutsches Stahlwerk zu massivem Schaden an einem der Stahlöfen.
Diese Beispiele zeigen, wie angreifbar automatisierte Fertigungssysteme sein können und wie hoch der Schaden eines einzigen Angriffs sein kann. Industrieanlagen sollten sich daher auf den Schutz kritischer Infrastrukturen innerhalb einer vernetzten Welt und die damit einhergehenden Schwachstellen des industriellen Netzwerks fokussieren.
Angriff auf deutsches Stahlwerk
Folgendes fiktives Szenario steht exemplarisch für die Funktionsweise zahlreicher komplexer und schwer zugänglicher Industrieanlagen: Angenommen es handelt sich um ein automatisiertes Wasserreinigungssystem – eine Aufbereitungsanlage, die eine ganze Stadt mit Trinkwasser versorgt. Um die Anforderungen der modernen Zivilisation zu erfüllen, müssen die Anlagen rund um die Uhr an 365 Tagen im Jahr arbeiten. Die Ausstattung in einer solchen Anlage muss regelmäßig gewartet werden. Daher sind Informationen über den physischen Zustand der Geräte notwendig.
Online-Sensoren und -Regler geben Aufschluss über den Zustand. Auf diesem Weg kommen moderne Technologien ins Spiel, die eine Kommunikation zwischen den physischen Geräten und der Außenwelt herstellen und damit Analysen über den Zustand der Ausstattung ermöglichen. Hier wird allerdings nicht einfach nur ein Computer mit dem Internet verbunden, um diesen per Fernzugriff zu verwalten und zu kontrollieren. Es handelt sich um physische Ausstattung, bei der ein realer, physischer Prozess online zugänglich gemacht wird.
Unternehmen können mit dieser Vorgehensweise Einsparungen in Millionenhöhe erreichen. Allerdings handelt es sich dabei um ein zweischneidiges Schwert, denn ein Cyberangriff – ermöglicht durch die vorhandenen Internetverbindungen – hätte im oben genannten Beispiel weitreichende Folgen: kein Wasser in der gesamten Stadt, Überflutungen oder eine großflächige Wasserverschmutzung.
Der Air-Gap-Ansatz kann heutzutage kritischen Infrastrukturen keine lückenlose Sicherheit mehr bieten. Industrieanlagen müssen diese Schwachstelle mithilfe verlässlicher IT-Sicherheitsmaßnahmen schließen. Zahlreiche Anlagen wurden vielleicht schon angegriffen oder haben unzureichend geschützte Netzwerke. Eine Sicherheitsprüfung hilft dabei, das Problem zu verstehen, Schwachstellen auszumachen und ein Bedrohungsmodell zu entwerfen. So kann nach einer Risikobewertung mithilfe des Bedrohungsmodells ein Sicherheitsplan erstellt werden, mit dem die richtigen Sicherheitslösungen für die kritischen Bereiche ausfindig gemacht und angewendet werden können.
Es gibt keine Sicherheitslösung von der Stange, aber es ist zwingend erforderlich, dass Industrieanlagen sich künftig nicht mehr auf den Air-Gap-Ansatz verlassen. Eine robuste Lösung sollte aus verschiedenen Stufen für jeweils spezielle Bereiche bestehen – Schutz vor Schadsoftware und Phishing, Spam-Filter für E-Mails, Abwehr von Netzwerkattacken und so weiter. Wichtig ist auch, dass Betriebssysteme und Software mithilfe von Updates auf dem aktuellsten Stand gehalten werden. Im Idealfall sollte die Lösung verschiedene Automatisierungsstufen erlauben, vom konventionellen Unternehmensnetzwerk bis hin zum Geräte verknüpfendem Netzwerk. Vor allem aber sollte Sicherheit als fortwährender Prozess verstanden werden, der ständige Bemühungen erfordert, um den Cyberkriminellen immer voraus zu sein.
Um sicherzustellen, dass der Sicherheitsprozess so robust wie möglich ist, sollte auch die Schwachstelle Mensch in Betracht gezogen werden. Selbst die besten Spam-Filter, Anti-Virus- und Anti-Phishing-Tools bieten keine 100-prozentige Sicherheit in einer sich ständig weiterentwickelnden Bedrohungslandschaft. Kriminelle werden immer neue Wege finden, um die Sicherheitslösungen zu überwinden. Sich allein auf Technologien zu verlassen, reicht heute nicht aus. Vielmehr sollten Angestellte im industriellen Umfeld geschult und ein Bewusstsein geschaffen werden, um das Risiko von Social Engineering zu minimieren.
Kaspersky bietet Lösungen und Schulungen zum Schutz kritischer Infrastruktursysteme.
Sicherheitsfaktor Mensch
Kaspersky Lab und Sysgo präsentierten dieses Jahr auf der internationalen Industriemesse Embedded World in Nürnberg eine Lösung zum Schutz sicherheitskritischer Aufgaben und Infrastrukturen. Das innerhalb des Echtzeitbetriebssystems PikeOS von Sysgo eingebettete Kaspersky Security System ist eine spezielle Schutzlösung für Informationssysteme, die erweiterte Sicherheit erfordern. Die Plattform ist als eingebettete OEM-Komponente für Anbieter umfassender IT-Lösungen verfügbar. Dazu zählen beispielsweise ERP- und elektronische Dokumentenmanagementsysteme, intelligente Stromnetze (Smart Grids), das Internet der Dinge sowie darüber hinaus kritische Infrastruktursysteme.
