Angreifer in die Zonen weisen

Angreifer in die Zonen weisen!

Es gibt momentan viele Schlagwörter, die allesamt neue Herausforderungen für Industrieunternehmen definieren. Doch bei dem steigenden Grad der Vernetzung sowie der zunehmenden Abhängigkeit von Daten ist es geradezu leichtsinnig, sicherheitsrelevante Aspekte außer Acht zu lassen. Denn insbesondere Produktion und Fertigung sind momentan beliebte Ziele für kriminelle Angreifer, weil hier das Schutzniveau insgesamt vielfach noch sehr unzureichend ist. Eine unnötig offene Flanke, denn mit der richtigen Vorgehensweise – festgelegt in einem maßgeschneiderten Sicherheitskonzept – können Unternehmen effizient gegen Hacker-Angriffe vorgehen.

In der Transformation zur Industrie 4.0, beziehungsweise zur „Integrated Industry“, nimmt die IT eine tragende Rolle in der Produktions- und Wertschöpfungskette ein. Effizienzsteigerungen sind unter anderem realisierbar, indem sich Produktionsabläufe digital simulieren lassen oder Stillstände in der Fertigung durch vorausschauende Wartung minimiert werden. Die Basis hierfür ist eine durchgängige Vernetzung, sowohl intern als auch extern, beispielsweise mit Zulieferern. Aber genau da liegt die Krux. Mittlerweile haben sich bestimmte Angreifer darauf spezialisiert, unverzüglich nach Sicherheitslücken zu suchen, sobald Produktionsanlagen mit dem Internet – also in einem TCP/IP Netz – verbunden sind, Aufgrund von unzureichenden Schutzmaßnahmen werden sie dann häufig relativ schnell fündig.

Dass dies keine theoretische Gefahr ist belegen diverse Studien – im Jahr 2016 erfolgte jeder vierte Cyberangriff auf industrielle Systeme. Dafür gibt es verschiedene Gründe: Der Datentransfer zwischen den Systemen der Produktion läuft oft über offene Standards, zur Absicherung sind jedoch grundsätzlich nahezu keine Standardlösungen einsetzbar. Zudem erfordert jede weitere Anbindung von Applikationen sowie Vernetzung von Geräten und Systemen neue Schnittstellen, die per se ein Risiko darstellen – hier werden ständig neue Schwachstellen entdeckt.*

Die Ausführung der zumeist systematischen Attacken erfolgt mit beständig aktualisierten Angriffsmethoden; hierfür gibt es unter anderem Standardwerkzeuge, die mittlerweile auf speziellen Plattformen freizugänglich im Internet zur Verfügung stehen.

Ein realer Vorfall und die Folgen

Ein Unternehmen aus der Zulieferer-Industrie, das im 24/7-Betrieb fertigt, wird mit einem Verschlüsselungstrojaner angegriffen. Diese gezielte Attacke infiziert auch den Produktionssteuer-Rechner, was unmittelbar zum Stillstand der Produktion führt. Die Ursache für die rasche Ausbreitung liegt darin bedingt, dass keine Trennung zwischen Produktions- und Office-Netz bestand.

Die Auswirkung dieses Angriffs kann als ‚Flächenbrand’ bezeichnet werden, da das Unternehmen aufgrund des Abteilungs-/Standortübergreifenden Schadsoftware-Befalls erst nach 3 Tagen in der Lage war, den Produktionsbetrieb wieder aufzunehmen. Als Konsequenz daraus resultierte ein hoher fünfstelliger Umsatzverlust sowie zusätzlich Strafzahlungen aufgrund des Lieferverzugs. Hinzu kam, dass durch diesen Vorfall die Reputation des Unternehmens stark beschädigt wurde.

Was ist hier konkret zu tun?

Warum ist dieses Szenario kein Einzelfall, sondern ein allgemein weit verbreiteter Angriff? Weil diese Vorgehensweise relativ erfolgsversprechend ist, da ein typisches Unternehmensnetzwerk oftmals eine flache Netzwerkarchitektur mit einer zentralen Gateway-/Firewall-Lösung aufweist. Innerhalb dieses IP-Netzwerkes wird die Kommunikation zumeist nicht reglementiert, wodurch alle Teilnehmer innerhalb des definierten Bereiches berechtigt sind, miteinander zu kommunizieren. Dies ermöglicht einem Angreifer, nach Überwinden des zentralen Gateways – beispielsweise realisierbar mit Hilfe einer gezielten Phishing-Attacke –, auf das gesamte Netzwerk zugreifen zu können. Zur Abwehr dieser Angriffe greifen hier – als sehr wirksame Schutzmaßnahme – Netzwerkzonen-Konzepte. Der Grundgedanke des Konzepts basiert darauf, eine Netzwerkarchitektur in verschiedene Bereiche zu segmentieren und dann die einzelnen Zonenübergängen mittels technischer Maßnahmen, wie etwa Firewalls, gegen unerwünschte Zugriffe abzusichern. Die Entwicklung des Konzepts verläuft in fünf Schritten (siehe Kasten): Angefangen bei der Inventarisierung aller eingesetzten IT-Systeme über die Gestaltung einer Matrix in der alle, in die Kommunikation eingebundenen, Systeme sowie auch deren individueller Schutzbedarf definiert wird bis hin zur technischen Umsetzung der Zonen. Insgesamt lassen sich so Reichweite und Auswirkung von Angriffen stark reduzieren.

Die fünf Schritte zur Umsetzung des Netzwerkzonen-Konzepts
1. Inventarisierung aller IT-Systeme
2. Entwurf einer Kommunikationsmatrix
– Schutzbedarf der Systeme ermitteln
– Vertrauen gegenüber Systemen ermitteln
– Notwendige Kommunikation zwischen Systemen ermitteln
3. Definition der Zonen
– Beschreibung
– Zonenbesitzer
– Klassifizierung und Schutzbedarf
– Notwendige(s) Sicherheitselement(e) an Zonenübergängen
– Segmentierungsart: physisch oder logisch
– Erlaubte Kommunikationsflüsse
4. Anschaffung und Einsatz von entsprechender Hardware
5. Technische Umsetzung der Zonen

Idealerweise: Physische Trennung der Netzwerke
Alternativ: Logische Trennung mittels VLAN (kein Tagged VLAN)
Dedizierte Firewall-Regeln für jedes IP-Netz erstellen und umsetzen
Weitere Sicherheitsmaßnahmen in Verbindung mit Firewall an Zonenübergängen etablieren wie IDS, IPS oder WAF

Schutzmaßnahmen im Detail

Zukünftig verabschieden müssen sich die Verantwortlichen in den Unternehmen von der Vorstellung, dass allein mittels Standardlösungen ein ausreichendes Sicherheitsniveau geschaffen werden kann. Diese Annahme ist aus dem Grund hinfällig, da die Angriffsmethoden und -szenarien extrem vielfältig sind. Aus diesem Grund bedarf es für die Ausarbeitung der Sicherheitsstrategie einer detaillierten Auseinandersetzung mit dem Schutzbedarf aller Unternehmensbereiche. Die anschließende Risikoanalyse ermöglicht es dann, Schwachstellen zu identifizieren und die detektierten Risiken zu bewerten. Hierbei muss differenziert die Kompromittierbarkeit des Unternehmens analysiert werden: Der Ansatz dabei ist, angefangen bei dem Mitarbeiter – der mittels Social Engineering angreifbar ist – bis hin zu technischen Analysen, möglichst alle Bedrohungsszenarien ganzheitlich zu erfassen. Daraus lässt sich ein angepasstes Sicherheitskonzept für die Anforderungen des Unternehmens oder die der einzelnen Anlagen ableiten.

Dieses sollte, neben dem Netzwerkzonen-Konzept, auch ein ausgereiftes Patch-Management enthalten. Die Notwendigkeit, alle Rechner in der Produktion mittels Updates immer auf dem neuesten Stand zu halten ergibt sich unter anderem daher, weil es keine Garantie gibt, dass Hersteller ihre Geräte und Komponenten tatsächlich mit einer aktuellen fehlerfreien Software-Version ausliefern. Hierin steckt ein hohes Risikopotential für die Unternehmen, denn veraltete Programme und Betriebssysteme – dies gilt insbesondere für die gängigen Produkte – stellen häufig ein Eingangstor für Angreifer dar.

Weitere essentielle Bestandteile sind ein funktionelles Rollen-Rechte-Konzept, die nötige Systemhärtung von IT-Systemen sowie die Erarbeitung eines Notfallmanagements.

Fazit

Sicherheit im Kontext des Digitalisierungsprozesses stringent einzuführen bedeutet, dass sich die Verantwortlichen aus Produktion und IT an einen Tisch setzen müssen, um ein gemeinsames Verständnis für die Anforderungen zu entwickeln. Denn, unter anderem stehen beispielsweise den kurzlebigen Innovationszyklen der IT – und letztendlich auch die der industriellen Steuerungssysteme – die Langlebigkeit der Anlagen entgegen. Die daraus resultierenden gegensätzlichen Anforderungen ist einer der essentiellen Faktoren, den es bei der Erstellung eines unternehmensweit durchgängigen Sicherheitskonzepts zu berücksichtigen gilt. Nicht zuletzt, weil sich daraus die Schutzmaßnahmen ableiten und umsetzen lassen müssen.

Generell sind dabei jedoch einfache Standardlösungen, um die Produktionsumgebung optimal abzusichern, Stand heute, weder momentan noch zukünftig verfügbar, sondern eher ein bestmöglicher Kompromiss, der sich stark an der Gefährdungslage orientiert. Somit kann ein Sicherheitskonzept niemals als ein statisches Regelwerk gesehen werden, da die Entwicklung der Industrie 4.0 ein fließender Prozess ist.

*Eine Übersicht zu den aktuellen Schwachstellen bietet zum Beispiel die Webseite des Industrial Control Systems Cyber Emergency Response Team (ICS-CERT) https://ics-cert.us-cert.gov/alerts