Sicherheit in der Operational Technology (OT) Die digitale industrielle Revolution absichern

Die Digitalisierung und die Integration fortschrittlicher Technologien in Produktions­umgebungen und kritische Infrastrukturen nehmen immer mehr Fahrt auf. Und es scheint, als käme hier die Sicherheit nicht hinterher.

Anbieter zum Thema

Arvato Systems

TXOne Networks

Keeper Security EMEA Ltd.

Unsere Städte, Fabriken, Stromnetze und Verkehrssysteme werden immer leistungsfähiger, „intelligenter“ und effizienter, aber diese neue Vernetzung und Interoperabilität macht sie gleichzeitig angreifbarer und anfälliger für versehentliche Betriebsunterbrechung und -ausfälle als je zuvor.

Die neue Realität: IT, OT und IoT

Als industrielle Prozesse vor Jahrzehnten erstmals automatisiert wurden, war die Cybersicherheit verständlicherweise noch kein großes Thema. Die industriellen Kontrollsysteme (ICS), die diese Prozesse regeln, wurden nicht vernetzt, so dass es bis auf physische Sabotage oder Naturkatastrophen kaum Bedrohungen gab. Sicherheit wurde primär durch Zäune, Tore und den Wachschutz gewährleistet.

Heute sind die Steuerungssysteme und die Operational Technology (OT), also die speziell für die Industrieautomatisierung entwickelte Soft- und Hardware, stark vernetzt, um Prozesse zu optimieren und den Datenaustausch innerhalb des Unternehmens und mit Partnern (wie Zulieferern) zu ermöglichen. Das Internet der Dinge ist mittlerweile in nahezu jedes industrielle Ökosystem in allen Sektoren vorgedrungen. Die Nachfrage nach Echtzeitdaten und -analysen, um die Verfügbarkeit zu gewährleisten und eine bessere Entscheidungsfindung zu ermöglichen, hat eine ganz neue Realität für produzierende Unternehmen und Betreiber kritischer Infrastrukturen entstehen lassen. Eine Realität, in der Informationstechnologie (IT), OT und IoT-Geräte zusammenwachsen und ein hochgradig interoperables Ökosystem bilden – von der Produktionsstraße über die Verwaltungsbüros bis in die Cloud.

Systembedingte Risiken

Technologien sind verwundbar, und ICS/OT-Geräte bilden da keine Ausnahme. Auch hier vergeht kaum ein Tag, an dem nicht irgendein Bug oder Hardware-Fehler bekannt wird. Allerdings sind Soft- und Hardware-Schwachstellen nur ein kleiner Teil eines wesentlich größeren, eher systembedingten Risikos, das es nur in OT-Umgebungen in dieser Weise gibt.

Während sich IT-Verantwortliche bei Unternehmensnetzwerke den Luxus erlauben können, außerhalb der Bürozeiten Wartungsarbeiten durchzuführen, Patches aufzuspielen und Schwachstellen zu beseitigen, sind Produktionsanlagen und kritische Infrastrukturen auf einen permanenten Betrieb rund um die Uhr ausgelegt. Die einfache Aufgabe, eine Workstation für ein Software-Update neu zu starten, kann zu einem kostspieligen, möglicherweise sogar gefährlichen Betriebsstopp führen. Dementsprechend wägen viele Unternehmen das Risiko angreifbarer Systeme auf der einen und die Kosten einer Betriebsunterbrechung auf der anderen Seite ab.

Ein anderer Punkt, der das Schwachstellen-Management in diesem Bereich erschwert, sind die langen Lebenszyklen von durchaus 20 bis 30 Jahren der eingesetzten Geräte und Maschinen, die in aller Regel auf proprietärer Software und veralteten Betriebssystemen laufen. Eine reihenweise Erneuerung dieser teuren Maschinen noch vor Ende ihrer Laufzeit ist für die meisten Unternehmen schlicht und einfach zu kostspielig.

Gezielte Angriffe und Kollateralschäden

Vor gar nicht allzu langer Zeit verfügten nur wenige gut ausgestattete Armeen und Geheimdienste über die Möglichkeiten, ICS/OT-Systeme gezielt anzugreifen. Jedoch waren sie durch eine Vielzahl wirtschaftlicher und diplomatischer Faktoren ausreichend abgeschreckt, diese Werkzeuge tatsächlich auch einzusetzen. Dank der Verbreitung von bösartigem Code, des einfachen Zugangs zu Netzwerkintelligenz und der Automatisierung von Cyber-Delivery-Systemen ist die Anzahl der Akteure, die in der Lage sind, die industrielle Infrastruktur zu stören, über eine Handvoll Länder hinaus auf deutlich mehr Nationalstaaten und sogar nichtstaatliche Akteure angewachsen.

Allerdings gehen Gefahren für die Infrastrukturen nicht nur von gezielten Angriffen aus: Vor allem die Ransomware-Wellen wie NotPetya und WannaCry haben deutlich gemacht, dass man nicht unbedingt das Ziel eines Angriffs sein muss, um zum Opfer zu werden. Durch Spillover-Effekte können Angriffe, die weit gestreut auf IT-Systeme ausgelegt sind, auch auf Produktionsstätten überspringen, die dann so etwas wie Kollateralschäden darstellen. Letztlich ist es aber egal, ob es um gezielte Angriffe oder eher um zufällige Treffer handelt: Da sich die Angriffsfläche wesentlich vergrößert hat, müssen Maßnahmen zur Abwehr sämtlicher Attacken getroffen werden.

Im Gegensatz zu IT-Systemen, die auf vom Menschen erzeugte Befehle reagieren und daher von Natur aus unvorhersehbar sind, sind ICS/OT-Geräte so programmiert, dass sie automatisch auf Befehle von anderen programmierten Maschinen reagieren. Diese Befehle korrelieren mit einer sorgfältig kuratierten, wiederholbaren und damit höchst vorhersehbaren Logik, die den Betrieb von Industrieanlagen steuert. Was in der IT-Welt als verdächtige Anomalie erscheinen mag, ist in vielen Fällen ein Mensch, der sich unvorhersehbar, aber völlig harmlos verhält. In der OT-Welt korrelieren Anomalien jedoch fast immer mit Bedrohungsaktivitäten. Traditionell mangelt es OT-Infrastrukturen jedoch an Transparenz und tiefen Einblicken, um Anomalien oder verändertes Verhalten überhaupt zu erkennen.

Transparenz als Voraussetzung einer Angriffserkennung

Auch wenn jeder OT-Angriff andere Charakteristika aufweist, haben sie alle eines gemeinsam: Der Angreifer muss direkt oder indirekt auf mindestens ein ICS/OT-Asset zugreifen und dessen Logik manipulieren. Wie wir gesehen haben, muss dies nicht zwangsläufig mit einer besonders ausgeklügelten Malware geschehen. Sobald er sich Zugang zu einem ICS/OT-Gerät verschafft hat, kann er native Befehle ausgeben, die oftmals schwer von den Sicherheitsverantwortlichen zu entdecken sind. In einigen Fällen, wie beispielsweise bei einem kürzlichen Angriff auf eine Chemiefabrik, setzten Angreifer ein ausgeklügeltes Malware-Framework ein, um dauerhaften Zugriff auf eine industrielle Steuerung zu erhalten, um offensichtlich automatische Sicherheitskontrollen zu deaktivieren. Diese Taktik ist dem berühmten Stuxnet-Angriff von 2010 nicht unähnlich: Hier wurden die die Arbeiter der Urananreicherungsanlagen getäuscht, indem die auf den Monitoren angezeigten Daten manipuliert wurden. Hier wurde der Angriff erst entdeckt, als der Schaden längst entstanden war.

Wie kann man sich nun vor Cyberbedrohungen schützen? Letztlich kann man nur das schützen, das man kennt und sieht. Daher kommt einer umfassenden und tiefen Transparenz in die OT-Infrastruktur und vor allem auch die entsprechenden Netzwerkaktivitäten eine Schlüsselrolle zu. Die Grundlage ist das Verständnis, welches Verhalten eines ICS-Assets „normal“ ist. Hierbei müssen die spezifischen Protokolle, Befehle, Konfigurationen, Kommunikationsflüsse und andere Identifizierungsmerkmale der Geräte berücksichtigen werden. Ohne menschliche Eingriffe oder Machine Learning-Applikationen bleiben diese Attribute unverändert. Kommt es jedoch zu Änderungen, etwa durch einen neue (irgendwo heruntergeladene) Konfiguration, oder kommuniziert plötzlich eine Maschine, die eigentlich nur mit einem bestimmten anderen Gerät kommunizieren darf, mit einem anderen, möglicherweise unbekannten Gerät, ist die Wahrscheinlichkeit eines Angriffs hoch. In diesem Zusammenhang sind auch subtile Abweichungen kritische Indikatoren für eine Kompromittierung.

Die technologischen, ökonomischen und geopolitischen Entwicklungen der letzten zehn Jahre haben die Eigentümer und Betreiber von Produktionsanlagen und kritischen Infrastrukturen gezwungen, ihre Sichtweise auf Risiken für ihren Betrieb, ihren Ruf und ihr Geschäftsergebnis grundlegend zu überdenken. Einst praktisch vor Cyberbedrohungen geschützt, sind diese Systeme heute ein zugängliches und geschätztes Ziel für politisch und ideologisch motivierte Akteure, die in der Lage sind, Industriebetriebe zu stören und sogar die Infrastruktur zu schädigen. Aber auch weniger versierte Angreifer können eine ernstzunehmende Bedrohung für die Anlagen sein, indem Infektionen der IT-Infrastruktur auf die OT-Infrastruktur übergreifen. Denn eines ist sicher: Unsere Gesellschaft wird immer vernetzter und interoperabler. Die Frage dabei ist jedoch: Wird sie auch sicherer sein? Derzeit ist das industrielle Ökosystem für Angreifer weitaus transparenter als für diejenigen, die es betreiben und die es verteidigen sollen. Wollen wir die Frage mit „ja“ beantworten, müssen wir hier umdenken.

Über die Autorin: Galina Antova ist Mit-Gründerin und Chief Business Development Officer von Claroty.

(ID:46213425)