BSI-Orientierungshilfe zu Protokollierung, Detektion & Reaktion BSI-Anforderungen konkret umsetzen

Anbieter zum Thema

FTAPI Software GmbH

Das Bundesamt für Sicherheit in der Informationstechnologie stellt mit der Veröffentlichung der Orientierungshilfe für die Implementierung von Systemen zu Angriffserkennung (OH-SzA) ein Rahmenwerk mit Anforderungen, die für Betreiber kritischer Infrastrukturen und Energieversorgungsnetzen seit 01.05.2023 verbindlich umsetzen. Aber welche Herausforderungen kommen durch die Anforderungen auf eingesetzte Technologien zu?

Wie bereits im Artikel „Angriffserkennung bei kritischen Infrastrukturen“ zum Aufbau der BSI-Orientierungshilfe beschrieben, ist der Begriff „System“ dabei nicht exklusiv im technischen Zusammenhang zu interpretieren. Vielmehr steht „System“ für einen „längerfristig ausgelegten Prozess“, dessen unterschiedlichste Elemente ein Ineinandergreifen sicherstellen müssen. Im Fokus stehen Anlagen, die zur Erbringung kritischer Dienstleistungen relevant sind. Eine weitere Differenzierung, z. B. OT/IT, findet nicht statt.

Orientierungshilfe „Systeme zur Angriffserkennung“

Angriffserkennung bei kritischen Infrastrukturen

Grundlagen schaffen

Spätestens bei der damit geforderten, konsolidierten Betrachtung von IT- und OT-Assets werden die Herausforderungen, beide „Welten“ adäquat betrachten zu müssen, offensichtlich. In der IT-Welt existiert eine Vielzahl etablierter Technologien und Methoden zur aktiven Inventarisierung relevanter Assets durch Software und/oder aktive Scanner, deren Einsatz mit geringen Risiken möglich sind. Der Einsatz passiver Scanner hat den zusätzlichen Nutzen, den Netzwerkverkehr zu analysieren um so auch „blind spots“ und „shadow it“ identifizieren zu können. Die Ergebnisse kommen dem Ziel einer vollständigen Erfassung - bezogen auf IT - relativ nahe. Aktive Scanner können hingegen beim Einsatz in OT-Umgebungen bis hin zum „Umfallen“ der gescannten Komponenten, und damit dem Ausfall der Produktion (Gefahr für Leib und Leben, Umsatzausfall, Reputation, …), führen. Darüber hinaus besteht das mögliche Risiko veralteter Betriebssysteme und der dadurch fehlenden Option, moderne Software-Agenten einsetzen zu können. Einzige Option bleibt daher vielfach der Einsatz von Technologien aus dem Bereich Network Detction and Response (NDR) oder Network Intrusion Detection Systeme (NIDS). Über Span- und/oder Mirror-Ports werden dabei Netzwerkverkehrsdaten in Echtzeit erhoben, die eine Erst-Analyse ermöglichen.

NIDS-Technologie isoliert betrachtet

Die in der OH-SzA als MUSS-Kriterium geführte „fortlaufenden Auswertung“ kann durch Einsatz der NIDS-Technologie sichergestellt werden, sofern der Anwender oder vom Anwender beauftragte Dienstleister den sicheren und zuverlässigen Betrieb und die fortlaufende Maintenance (Anforderung „technische, organisatorische und personelle Rahmenbedingungen“) dauerhaft sicherstellen kann. Die Technologien befähigen deren Anwender, Anomalien (Botnet/TOR-Aktivitäten, Portscans, interne Reconnissance) im Netzwerkverkehr erkennen zu können. Darüber hinaus können genutzte Software (BIOS, Firmware, Appliances) und OT-Protokolle lokalisiert sowie Paketinhalte extrahiert werden.

Anforderungen an Protokollierung

Die OH-SzA fordert aber darüber hinaus, diese „Protokoll- und Protokollierungsdaten … zu speichern und für eine Auswertung bereitzustellen“. Integriert man daher die Anforderungen der in der OH-SzA referenzierten BSI-Dokumente, z. B. den „Mindeststandard des BSI zur Protokollierung und Detektion von Cyber-Angriffen“, wird rasch klar, dass beispielsweise die geforderte Speicherfrist von 90 Tagen bei der isolierten Betrachtung der NIDS-Technologie nur unzureichend realisiert werden kann. Andere (sektorspezifische) aufsichtliche Anforderungen schreiben Speicherfristen vor, die weit über 90 Tage hinausgehen. Auch praktisch betrachtet stellen die 90 Tage lediglich ein Minimum der Vorhaltezeit dar, da insbesondere effektives Threat-Hunting ein entsprechendes Datenfundament voraussetzt. Darüber hinaus fehlen NIDS-Technologie die Möglichkeiten der Weiterverarbeitung von Informationen zu Schwachstellen, so wie in der OH-SzA gefordert („Aufbau zentralisierter Profokollierungsinfrastruktur“). Explizit verlangt diese die „Protokoll- und Protokollierungsdaten … zentral zu speichern … damit sie ausgewertet werden können“.

Korrelation und Reaktion

Um, bezogen auf beispielsweise vorliegende Informationen über eingesetzte Software, eine adäquate Möglichkeit („zentrale Detektion und Echtzeitüberprüfung von Ereignismeldungen“) der Korrelation mit Daten additiver Quellen (Schwachstellendatenbank, „Angriffsmuster für technische Vulnerabilitäten“) dauerhaft sicherstellen zu können, bedarf es daher einer weiteren technischen Ebene, beispielsweise eines Security Information and Event Management (SIEM). Neben dem Soll-Ist-Abgleich vorhandener Daten müssen auch Asset-Informationen (z. B. Mapping business-/primary assets – supporting assets im Sinne der ISO/IEC 27005) zuverlässig integriert werden, um die eine Reaktion bzw. Priorisierung in der Behandlung von Sicherheitsvorfällen auch nur ansatzweise und angemessen zu ermöglichen. Technologien der beschriebenen Meta-Ebene müssen daher eine Vielzahl unterschiedlichster Informationen verarbeiten, in Echtzeit korrelieren und vorhalten, um auf diese Art und Weise ein Faktenfundament für aufbauende Analysen darzustellen.

Kontinuierlicher Verbesserungsprozess

Neben technologischen und prozessualen Anforderungen an Protokollierung, Detektion und Reaktion, zielt die OH-SzA auch darauf ab, einen definierten bzw. gemanagten Reifegrad des Kontinuierlichen Verbesserungsprozess aktiv einzufordern. Um auf diese Anforderung adäquat einzahlen zu können, ist die Etablierung einer übergreifenden Technologie zur Nachverfolgung individueller, organisationsspezifischer KPIs empfohlen. Informationssicherheitsziele haben meist einen nicht-technischen Charakter (z. B. Reduzierung der Information-Security-Incidents mit Priorität 1 um 20 Prozent im nächsten Kalenderjahr) und bedürfen daher ebenfalls einer übergeordneten Betrachtung auf Basis objektiv ermittelter, technisch orientierter Basisinformationen und deren Verarbeitung/Veredelung in darauf aufbauenden Technologien und Prozessen. Auch dahingehend unterstützt der Einsatz von SIEM-Technologie dabei, die Aufbereitung von Informationen sowohl technisch orientiert, aber auch Managementboard-tauglichen Reports und Dashboards darzustellen und Trendanalysen ermöglichen.

Fazit

Die Inhalte der OH-SzA definieren lediglich den Einsatz von „NIDS-Systemen an Netzwerkübergängen“ als verpflichtend einzusetzende Technologie. Bei der gewissenhaften Recherche bzw. strenger Auslegung der Anforderungen aus Hauptdokument, weiteren BSI-Anforderungen/-Bausteinen und Praxiswissen, wird aber rasch klar, dass weit mehr Technologien notwendig sind, um die geforderten Reifegrade zuverlässig zu erreichen.

Über den Autor: Markus Thiel unterstützt Organisationen bei Fragestellungen zu ISMS, SIEM, SOC und Incident Response Management.

(ID:49516443)