Industrial Control Systems und SCADA-Netzwerke Bedrohungen für kritische Infrastrukturen

Angriffe auf kritische Infrastrukturen können fatale Folgen haben, SCADA-Netzwerke sind dabei besonders bedroht. Doch wo genau liegen die technischen und organisatorischen Schwachstellen? Und wie lassen sich wichtige Dienste innerhalb der SCADA-Komponenten und industriellen Kontrollsysteme schützen?

Anbieter zum Thema

Arvato Systems

TXOne Networks

Keeper Security EMEA Ltd.

Cyber-Angriffe auf kritische Infrastrukturen werden für Unternehmen und Regierungen in aller Welt zunehmend bedrohlicher. Stromerzeugungsanlagen, Verkehrskontrollsysteme in Großstädten, Wasseraufbereitungssysteme und Fabriken waren jüngst von einer Reihe von Netzwerkeinbrüchen, Datendiebstählen und Denial-of-Service-Aktivitäten betroffen.

Schwachstellen gibt es in diesen Systemen zuhauf. Sie reichen von einfachen Problemen wie fehlenden Kennwörtern oder nicht geänderten Standardpasswörtern bis hin zu Konfigurationsproblemen und Softwarefehlern. Sobald ein Angreifer in der Lage ist, Software auszuführen, die Zugriff auf einen Controller hat, ist die Wahrscheinlichkeit eines erfolgreichen Angriffs sehr hoch.

Angriffe können von Einzelpersonen gestartet werden. Im Jahr 2001 wurde ein Australier zu einer Gefängnisstrafe verurteilt, nachdem er für schuldig befunden wurde, ein computerisiertes Abfallmanagementsystem gehackt zu haben. Infolge der Attacke waren Abermillionen Liter ungeklärtes Abwasser in die örtlichen Parks und Flüsse gelangt.

Meist gehen die Angriffe aber auf das Konto organisierter Banden und Behörden. Bei dem Stuxnet-Angriff 2010 wurde eine Zentrifugen-Anlage zur Anreicherung von nuklearem Material im Iran durch einen gezielten Computervirus angegriffen. 2012 traf eine Cyber-Attacke den deutschen Energieversorger 50Hertz. Im Rahmen dieses ersten „Überfalls“ auf einen europäischen Netzbetreiber wurden dessen Internet-Kommunikationssysteme komplett offline geschaltet.

Erst im Jahr 2014 verkündete das U.S. Department of Homeland Security (Ministerium für Heimatschutz), dass der sogenannte Havex-Trojaner möglicherweise industrielle Kontrollsysteme angegriffen habe. Man kündigte an, 1.000 Energieunternehmen in ganz Europa und in Nordamerika auf potenzielle Schadcode-Infektionen hin untersuchen zu wollen.

Will man Sicherheitsstrategien entwickeln, muss der Unterschied zwischen industriellen und traditionellen IT-Umgebungen klar sein. Einen Teil des Know-hows und der Technologien, die in den vergangenen 20 Jahren zum Schutz der Computernetzwerke entwickelt wurden, kann man aber natürlich wiederverwenden.

Hintergrundinformationen zu SCADA-Systemen

Ob Elektrizität, Öl, Gas, Wasser oder Abfall: Kritische Infrastrukturen sind hochgradig abhängig von elektrischen, mechanischen, hydraulischen sowie anderen Anlagen. Dieses Equipment wird von speziellen Computersystemen kontrolliert und überwacht, in der Regel bekannt als Controller oder Sensoren. Solche Systeme sind wiederum mit Management-Systemen verbunden

Alle Komponenten zusammen bilden Netzwerke, die auf SCADA-Lösungen (Supervisory Control and Data Acquisition) und industrielle Kontrollsysteme (Industrial Control System, ICS) zurückgreifen. Sowohl ICS als auch SCADA ermöglichen das effiziente Sammeln und Analysieren von Daten. Außerdem helfen sie, das Equipment (bspw. Pumpen, Ventile und Relais) automatisiert zu kontrollieren.

SCADA/ICS-Netzwerke und -Geräte sind auf maximale Zuverlässigkeit ausgelegt, sie lassen sich innerhalb der kritischen Infrastrukturen über einen langen Zeitraum hinweg einsetzen. Vor allem die älteren Systeme verfügen demnach nicht über Mechanismen, um unbefugte Zugriffe oder Schadcode-Einbrüche zu vermeiden.

Gewohnte Umgebungen, gewohnte Lücken

Ihr Einsatz ist zwar oft proprietär, doch sind SCADA-Controller im Wesentlichen kleine Computer. Sie nutzen Standard-Computerelemente wie Betriebssysteme – oftmals integrierte Windows oder Unix, Software-Anwendungen, Accounts und Logins sowie Kommunikationsprotokolle.

Einige der Management-Umgebungen nutzen ebenfalls standardmäßige Computing-Umgebungen wie Windows- und Unix-Workstations. Auch sie sind demnach anfällig für Schwachstellen und Exploits. Ein weiteres Problem im Zusammenhang mit ICS und SCADA-Systemen: Die Systeme arbeiten in Umgebungen, die möglicherweise physisch schwer erreichbar sind oder niemals offline gehen können.

Spezielle SCADA-Schwachstellen

Im Allgemeinen wird davon ausgegangen, dass ICS und SCADA-Netzwerke physisch von IT-Netzwerken des Unternehmens getrennt sind. Das mag insofern stimmen, da manche Unternehmen getrennte LANs betreiben oder ihre Kontroll- und Firmennetze voneinander trennen. In anderen Fällen nutzen Unternehmen die gleichen LANs und WANs, verschlüsseln aber ihren ICS- und SCADA-Traffic über eine gemeinsame Infrastruktur.

Häufiger allerdings erfordern Netzwerke ein bestimmtes Maß an Interkonnektivität, um operativen Input von externen Drittanbieter-Systemen zu erhalten oder Daten dorthin zu exportieren. SCADA-Netzwerkgeräte weisen bestimmte Merkmale auf, die ganz anders sein können als die regulärer IT-Systeme:

• Sie sind oft an Orten installiert, die physisch schwer zugänglich sind, beispielsweise auf Türmen, einer Ölplattform oder in Industriemaschinen. Außerdem trotzen sie stärkeren Umweltbelastungen als reguläre IT-Systeme, ob Wind, extreme Temperaturen, Vibrationen und erfordern meist spezielle Eingangsspannungen und Montagebedingungen.

• Sie nutzen oft unternehmenseigene Betriebssysteme, die keiner Absicherung unterzogen wurden.

• Ihre Software kann aufgrund von Zugriffsbeschränkungen, Bedenken wegen Stillstand oder einer erneut erforderlichen Zertifizierung nicht oft aktualisiert oder gepatcht werden.

• Sie nutzen proprietäre oder spezielle Protokolle.

Diese Unterschiede in der Umgebung schaffen Probleme: Fehlende Authentifizierung oder Verschlüsselung sowie schwache Passwortspeicherung können es ermöglichen, unberechtigten Zugang zum System zu erhalten. Die meisten SCADA/ISC-Netzwerke verfügen mit Segmentierung und Firewalling über einen bestimmten Grad an Perimeterschutz.

Mögliche Einfallstore ins Industrienetz

Angreifer suchen deshalb stets nach alternativen Wegen, um einzudringen – zum Beispiel durch ein Gate, das offen gelassen wird oder durch das Auslösen von Operationen aus dem Inneren des Unternehmens, wodurch ein Kommunikationskanal nach außen geöffnet wird. Zu den typischen Taktiken gehören:

• Verwendung eines Remote-Zugriffs-Ports, den der Lieferant zur Wartung nutzt.

• Hacken eines rechtmäßigen Kanals zwischen IT- und ICS/SCADA-Systemen.

• Einen internen Nutzer dazu bringen, einen URL-Link in einer E-Mail von einer Workstation aus anzuklicken, die sowohl mit dem ICS/SCADA-Netzwerk als auch mit dem Internet verbunden ist.

• Infizieren von Laptops und/oder Wechselmedien, während sie sich außerhalb des ICS/SCADA-Netzwerks befinden, und die dann später, wenn sie zum Erheben von Daten oder zur Aktualisierung von Controller-/Sensorsoftware wieder mit dem Netzwerk verbunden werden, interne Systeme infizieren.

• Ausnutzung von Konfigurationsfehlern in der Sicherheit oder bei angeschlossenen Geräten.

Sobald ein Hacker in das SCADA-Netzwerk eingedrungen ist, hat er die Möglichkeit, bösartige Befehle an die Geräte zu senden. So kann er deren Aktivitäten stoppen, das System zum Absturz bringen oder in bestimmte kritische Prozesse eingreifen, um z.B. Ventile zu öffnen und zu schließen.

SCADA zum Schutz kritischer Infrastrukturen sichern

Um das für industrielle und kritische Netzwerke erforderliche Maß an Schutz zu erreichen, muss sich die Sicherheit zu einem effektiven Geschäftsprozess entwickeln. Eine wirksame Strategie muss unnormales Verhalten erkennen, Angriffe abwehren und dem Unternehmen forensische Daten liefern, um Sicherheitsvorfälle, wenn sie auftreten, untersuchen zu können.

Die Sicherheitsstrategie sollte gewährleisten, dass alle Aktivitäten extern, also unabhängig vom ICS- bzw. SCADA-System, protokolliert werden. Dabei empfiehlt es sich, eine unterstützende Richtlinie für „normales“ Verhalten an SCADA-Geräten zu entwickeln. Vor diesem Hintergrund sollte vorab definiert werden, was erlaubt und was nicht, beziehungsweise welche Aktivitäten als verdächtig gelten.

Zusätzlich muss das Unternehmen natürlich das gesamte IT-Netzwerk absichern, um die SCADA-Geräte zu schützen. Sicherheitsvorfälle in der Vergangenheit zeigen, dass die mit dem Internet verbundene IT-Umgebung als Einfallstor in die industrielle Umgebung dienen kann. Gangbare Mechanismen sind Anwendungskontrolle, Identitätserkennung sowie Bedrohungsprävention – einschließlich Firewall, Intrusion Prevention, Antivirus sowie Threat Emulation und Threat Intelligence.

* Oded Gonda ist Vice President Network Security Products bei Check Point Software.

(ID:42936960)