Gerade für Unternehmen im Industrial-Electronics-Kontext, die kritische Infrastruktur bereitstellen, bringt die aktuelle Bedrohungslandschaft besondere Risiken mit sich. Angriffe bergen das Potenzial, sowohl das Unternehmen selbst als auch seine Kunden auf riskante Weise zu schädigen: Häfen werden blockiert, Versorgungsketten für Lebensmittel oder Medikamente unterbrochen, Flüge landen verspätet, Trinkwasser wird nicht länger ausreichend aufbereitet, die Lichter einer Stadt gehen auf einen Schlag aus. Solche Worst-Case-Szenarien stellen glücklicherweise die Ausnahme dar. Doch die Frequenz der Attacken gegen den Industriesektor nimmt zu, ebenso wie ihre Raffinesse.
Während ein Großteil der Cyberangriffe weiterhin IT-Netzwerke ins Visier nimmt, können auch Systeme der Betriebstechnologie (OT) in umfassender Weise getroffen werden. Die entsprechenden Systeme verwalten und kontrollieren unter anderem die industriellen Steuerungssysteme (ICS) im Produktionsablauf, wodurch Angriffe zu folgenschweren Störungen führen können. Hinzu kommt, dass Embedded-Systeme in Industrieelektronik immer komplexer werden und Hersteller ihre Systeme mit IIoT-Funktionen, Remote Monitoring oder Remote-Wartung für Techniker und Elektronik-Spezialisten modernisieren. Doch diese neue Konnektivität und Konvergenz von IT- und OT-Systemen bringt auch neue Angriffsflächen oder Sicherheitslücken mit sich.
Sicherheit muss in allen Aspekten eines Embedded-Systems berücksichtigt werden. Doch viele Angriffe nehmen ihre Anfänge im Software-Kontext, etwa mit der Ausnutzung eines Memory Buffer Overflow oder dem Einschleusen von Schadcode. Entsprechend sollten Industrieunternehmen, die ihre OT-Systeme bestmöglich absichern wollen, ein besonderes Augenmerk auf ihre Embedded-Software legen und bereits im Entwicklungsprozess für ein Maximum an Sicherheit sorgen.
Mehr Code-Sicherheit dank statischer Analyse
Auch ein großer weltweiter Energietechnikkonzern war sich des Risikos bewusst, dass jede fehlerhafte Code-Komponente in seinen kritischen Systemen potenziell von Dritten ausgenutzt werden könnte – sei es als Einfallstor für cyberkriminelle Banden, die sich bereichern wollen, oder gar im Rahmen eines terroristischen Angriffs. Eine besondere Herausforderung stellten für den Konzern in diesem Zusammenhang die vielen unterschiedlichen Tools und Vorgehensweisen verschiedenster Reifegrade dar, die durch diverse Akquisitionen Teil des Unternehmens geworden waren.
Der Energietechnikspezialist beschloss, seine gesamten Software-Tools, -Trainings und -Abläufe einer umfassenden Prüfung zu unterziehen. Auf dieser Basis ergab sich der erste Schritt, um Unternehmens-Assets besser abzusichern: Etablierte Vorgehensweisen, Abläufe und genutzte Tools sollten standardisiert werden. Ein Mittel hierzu war die Nutzung eines einheitlichen Tools zur statischen Code-Analyse, ein Ansatz, der sich für das Unternehmen als essenziell erwies.
Statische Code-Analyse ermöglicht es, Quellcode automatisch und in Echtzeit zu prüfen, ohne diesen dafür ausführen zu müssen. Vielmehr sorgt die Technologie unter anderem per Dataflow-Analyse dafür, dass alle möglichen Pfade durch das gesamte System untersucht und auf Fehler hin geprüft werden. So können selbst komplexe oder schwer zu findende Probleme identifiziert werden. Dies ermöglicht es Entwicklern, bereits während des Entwicklungsprozesses sicherzustellen, dass ihr Code keine Sicherheitslücken aufweist und im Einklang mit relevanten Branchenstandards steht.
Durch die genutzte Lösung ist der Energietechnikspezialist heute in der Lage, problematische Stellen im Code unmittelbar zu entdecken und auszubessern, noch bevor der Quelltext den Rechner des Entwicklers verlässt. Gleichzeitig reduzierte sich die Rate der False Positives, sodass der Entwicklungsprozess effizienter ablaufen kann.
Best Practices für den Industrieelektroniksektor
Den Fokus auf eine möglichst hohe Softwarequalität zu legen, ist ein zentraler Aspekt einer jeden Modernisierung von IT- und OT-Systemen im Industrieelektroniksektor – denn die Software ist die treibende Kraft hinter den vernetzten Systemen von heute. Basierend auf Szenarien wie dem des Energietechnikspezialisten hat sich eine Reihe von Best Practices in der Praxis bewährt, um Sicherheit effektiv zu erhöhen:
Zum einen sollte die Software-Entwicklung sicheren Coding-Standards folgen. Besonders relevant im Branchenkontext ist IEC 62443, der Security-Standards für die sichere Entwicklung von industriellen Automatisierungs- und Kontrollsystemen (IACS) beinhaltet. Zu diesem Zweck kommen fünf verschiedene Security-Level zum Einsatz, die das Cybersecurity-Risiko für jedes einzelne System bemessen. Für höhere Level gelten dann strengere Compliance-Anforderungen. Tools zur statischen Code-Analyse können die Compliance mit IEC 62443 oder ähnlichen Security-Standards prüfen und dabei unterstützen, sie einzuhalten.
Darüber hinaus ist die unternehmensweite Standardisierung der genutzten Security-Tools ein wichtiger Baustein im Sicherheitsgebäude. Wichtig ist hierbei vor allem, die Entwicklungs-Teams dahingehend zu schulen, ausschließlich auf dieses zentrale Toolset zurückzugreifen. Die Nutzung einheitlicher Lösungen vereinfacht es, Zugriffe zu kontrollieren und entdeckte potenzielle Sicherheitslücken zu verwalten und dann auch zu schließen.
Zu guter Letzt sollte Sicherheit auch über die Entwicklungsabteilung hinaus in jedem Bereich des Unternehmens eine zentrale Rolle spielen. Es empfiehlt sich, Security-Awareness-Trainings für alle Geschäftseinheiten, Teams und Unternehmensrollen anzubieten. Dies fördert eine auf Sicherheit bedachte Unternehmenskultur und erhöht das Bewusstsein der Mitarbeitenden für potenzielle Sicherheitsrisiken.
Die Durchführung einer Risiko-Analyse, die Isolierung kritischer Systeme von nicht-kritischen Netzwerken und die Überwachung der Netzwerkaktivitäten sowie regelmäßige Sicherheits-Evaluierungen können ebenfalls einen entscheidenden Teil dazu beitragen, Cyberbedrohungen effektiv einzudämmen beziehungsweise sogar zu verhindern.
Gerüstet für die Anforderungen der Zukunft
Durch die Implementierung von statischer Codeanalyse und die Berücksichtigung branchenrelevanter Best Practices gelang es dem Energietechnikkonzern, seine Software bereits früh im Entwicklungsprozess abzusichern und so Fehler und Sicherheitslücken von vornherein zu vermeiden, die später für schädliche Zwecke hätten ausgenutzt werden können.
Die Optimierung kam dabei für das Unternehmen zum idealen Zeitpunkt: Aufgrund des anhaltenden KI-Booms sehen sich dessen Versorgungsnetze derzeit mit bislang ungekannten Anforderungen konfrontiert, Rechenzentren effizient mit Energie zu versorgen. Denn die intelligenten Lösungen erfordern mehr Rechenleistung als klassische Cloud-Computing-Funktionen. Die Absicherung der Rechenzentren und der Kommunikation der Geräte, die sich mit diesen verbinden, erhält dadurch eine völlig neue Dimension – für die der Energietechnikkonzern dank seiner Vorkehrungen ebenfalls eine sehr gute Ausgangslage geschaffen hat.
