Orientierungshilfe „Systeme zur Angriffserkennung“ Angriffserkennung bei kritischen Infrastrukturen

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Insider Research

Mit der Orientierungshilfe für die Implementierung von Systemen zu Angriffserkennung (SzA) hat das BSI verbindliche Anforderungen für Protokollierung, Detektion und Reaktion auf Cyberangriffe veröffentlicht. Die Vorgaben sind in Kritischen Infrastrukturen und Energieversorgungsnetzen bis Mai 2023 umzusetzen.

Das Bundesamt für Sicherheit in der Informationstechnologie (BSI) hat am 26.09.2022 die finale Fassung der Orientierungshilfe (OH) für die Implementierung von Systemen zu Angriffserkennung (SzA) veröffentlicht. Das 18-seitige Dokument beschreibt verbindliche Anforderungen für Protokollierung, Detektion und Reaktion. Der verwendete Terminus „System“ ist dabei nicht nur im technischen Zusammenhang zu interpretieren – er ist vielmehr als übergeordnetes Rahmenwerk zu interpretieren, dessen Inhalte es in Kritischen Infrastrukturen und Energieversorgungsnetzen bis 01.05.2023 nachweislich (alle 2 Jahre) umzusetzen gilt.

Das BSI fasst in dem Dokument die Anforderungen zusammen, die es für nachweiserbringungspflichtige Organisationen innerhalb der gesetzten Fristen anhand eines Reifegradmodell prüfungsfest umzusetzen gilt. Einleitend wird im Überblick kurz auf die gesetzlichen Grundlagen (BSI-Gesetz § 8a Absatz 1a, Energiewirtschaftsgesetz) eingegangen und die Eignung der Inhalte als Grundlage für die Fortentwicklung weiterer, branchenspezifische Standards (B3S) genannt.

Glossar & referenzierte BSI Bausteine

Vor dem Lesen der Folgekapitel lohnt es sich, vorab einen Blick in das Glossar am Ende der Orientierungshilfe zu werfen. Dabei fällt auf, dass die Verfasser bis auf die genutzte Terminologie NIDS keinerlei konkrete Anforderungen an die Technologien machen, die eingesetzt werden müssen, sollen oder können. Es bleibt vorerst unklar, was sich konkret hinter „Angriffsmuster für technische Vulnerabilitäten“ bzw. „zentrale automatisierte Analyse mit Softwaremitteln“ verbirgt bzw. durch welche Maßnahmen, Ziele erreicht werden. Das Verarbeiten entsprechender Inhalte der im Abschnitt „Weiterführende Informationen“ referenzierten BSI Grundschutzbausteine ist daher ebenfalls zu empfehlen, da erst die darin formulierten „Basis-Anforderungen“ mess- und prüfbare Parameter liefern.

Hervorzuheben sind dabei insbesondere DER.1 und DER2.1. Sehr konkret sind die Inhalte in der OH bezüglich dem Scope, der „informationstechnische Systeme, Komponenten und Prozesse“ beinhaltet, „die für die Funktionsfähigkeit der … beschriebenen Kritischen Infrastrukturen maßgeblich sind.“ Explizit genannt werden dabei „sowohl IT als auch OT, Rechenzentren oder Embedded Systems und schließt weitere Bereiche mit ein“. Dem versierten Leser wird spätestens nun klar, welche Dimension das Planen, Ausrollen und Betreiben entsprechender Systeme zur Angriffserkennung annehmen kann.

Anforderungen und Umsetzungsgradmodell

Diese Punkte sind in der OH formal beschrieben und werden in Kapitel 3 ausgeführt. Die technischen Funktionalitäten werden dabei in die 3 Blöcke „Protokollierung, Detektion und Reaktion“ unterteilt, erstgenannte jeweils zusätzlich in die 2 Unterblöcke „Planung und Umsetzung“. Hinsichtlich der Priorisierung der Anforderungen wird ein 3-stufiges System mit absteigender Priorität angewendet. MUSS-Anforderungen müssen umgesetzt werden, Ausnahmen bei der Anwendung von SOLL-Anforderungen gilt es stichhaltig zu begründen, die Erfüllung von KANN-Anforderungen wird, abhängig vom angestrebten Reifegrad, als nicht zwingend notwendig definiert. Die Muss-Anforderung „Mitarbeitende von Dienstleistern speziell damit zu beauftragen, alle Protokoll- und Protokollierungsdaten auszuwerten“ ist dabei als Verpflichtung zu interpretieren, Dritte aktiv zu integrieren. Neben der Abdeckung der Anforderungen ist die Sicherstellung des Kontinuierlichen Verbesserungsprozesses (KVP) übergreifend sicherzustellen und ebenfalls Teil der Nachweisverpflichtung, die auf Basis der Bewertung des Grades der Erfüllung von Anforderungen letztendlich durch Anwendung eines 5-stufigen Bewertungsgradmodells nachzukommen ist.

Messlatte

Betreiber sollen, so das definierte Ziel des BSI, grundsätzlich den Reifegrad 4 erreichen, um den Nachweis nach BSI-Gesetz zu erbringen. Eine Abweichung nach unten ist nur begründet zulässig. Im ersten Prüfzyklus 2023 ist aber Reifegrad 3 noch erlaubt. Dennoch setzt die Zieldefinition, gepaart mit der oben erwähnten Dimension, ein ambitioniertes Vorgehen voraus – auch vor dem Hintergrund zeitlicher Aspekte (Stichwort 01.05.2023).

Fazit

Das BSI strebt mit den Anforderungen aus der OH SzA an, dass betroffene Organisationen die Implementierung adäquater Maßnahmen für die Einführung von Systemen zur Angriffserkennung, in Form eines „längerfristig angesetzten Prozess“ umsetzen. Insbesondere vor dem Hintergrund der weltpolitischen Lage ist der zeitliche Druck dabei sicher gerechtfertigt – aber sicher auch einer der kritischen Faktoren bei einer Umsetzung.

Über den Autor: Markus Thiel ist Experte in den Bereichen ISMS, SIEM/SOC und Incident Response Management.

(ID:48839062)