Risikoanalyse als fortlaufender Prozess Kontext-bezogenes Risikomanagement

Anbieter zum Thema

Asvin

FTAPI Software GmbH

Ganzheitliches Risikomanagement für Operational Technology in der Industrie – darauf zielt das Cybersecurity-Konzept Risk by Context ab. Anders als heutige Industriestandards nutzt diese Analysevariante angereicherte Kontextinformationen, um einen Risikoindex zu berechnen.

„Komplexen Sicherheitsbedrohungen begegnen Unternehmen idealerweise mit einem Perspektivwechsel“, empfiehlt Rohit Bohara, Technologiechef beim Stuttgarter Cybersecurity-Spezialisten Asvin. „Mit prädiktiver Risikovorhersage können CISOs heute sehr präzise Aussagen über Gefährdungspotenziale treffen und Gegenmaßnahmen priorisieren“. Risk by Context erkennt Bedrohungen und sicherheitsrelevante Zusammenhänge in der digitalen Lieferkette, visualisiert die betroffenen Elemente der Operational Technology und empfiehlt die fürs Unternehmen aktuell dringendsten Gegenmaßnahmen.

Ansätzen, die sich vorwiegend mit dem Common Vulnerability Scoring System (CVSS) abgleichen, ist die Analyse nach der Methode Risk by Context deutlich überlegen, wie Bohara an einem Beispiel erläutert: „Bekommt eine Maschine in der CVSS-Analyse den niedrigen Risiko Score von 4,5, reicht diese Information alleine nicht aus, um die wahre Bedrohung einzuschätzen. Läuft diese Maschine nämlich in einem Produktionsnetz, kann ein erfolgreicher Angriff darauf auch andere Maschinen gefährden und möglicherweise das gesamte Netzwerk lahmlegen.“ In der Software wäre der Risikoscore demnach deutlich höher. Umgekehrt sei ein hoher CVSS-Wert von 9,5 möglicherweise weniger kritisch, wenn die jeweilige Maschine in einem abgeschotteten Netzwerk ohne Kontakt nach außen läuft, oder wenn es sich um ein reines Testsystem handelt.

Erst im Kontext wird das Risiko sichtbar

Der Kontext macht also bei der Risikobeurteilung den großen Unterschied. Traditionelle Security-Ansätze erfassen keinen Kontext und greifen zudem aus anderen Gründen zu kurz, wie ein zweites Beispiel zeigt: Ein typischer Schwachstellen-Check in einer industriellen Umgebung findet laut Bohara rasch 4000 bis 5000 Sicherheitslücken. Hier geht schnell die Übersicht verloren. Zudem dauert es Studien zufolge bis zu 260 Tage, bis ein Softwarehersteller einen Patch für eine kritische Lücke entwickelt hat. Somit ist es gar nicht möglich, sämtliche erkannten Sicherheitslücken kurzfristig zu schließen.

Die Plattform arbeitet mit einer eigenen Risiko­modellierungs-Engine. Ihre Daten erhält der funktionale Kern der Software entweder aus einem Asset Management System, einem Directory Service, einem Business Continuity Plan oder aus einer zuvor erstellten Software Bill of Materials (SBOM). Hierbei gilt: Je mehr Informationen über sämtliche Elemente der OT-Infrastruktur, desto besser. Auf Basis dieser Informationen erstellt ein am am MIT entwickeltes Verfahren ein Graphenmodell der Kundenumgebung. Das Analyse-Ergebnis zeigt die Verbindungsarten zwischen allen Elementen der OT-Infrastruktur und erstellt anschließend einen Risk-Index basierend auf vom Kunden definierten Metriken. Dies können zum Beispiel die Netzwerksegmentgröße, interne oder externe Verbindungen, oder die Entfernung zu bekannten Risiken sein. Jede Metrik hat dabei drei Merkmale: Sichtbarkeit, Schwellenwert und Relevanz. Anwender können damit die Lösung optimieren und an die Anforderungen ihrer OT-Umgebung anzupassen.

Graphen beschreiben Beziehungen zwischen Elementen

Die Graphentheorie betrachtet als Teilgebiet der diskreten Mathematik und der theoretischen Informatik die Eigenschaften von sogenannten Graphen, also Mengen von Knoten und Kanten, sowie deren Beziehungen zueinander. Im hier eingesetzten Graphenmodell sind OT-Geräte, Netzwerksegmente, Benutzer, Standorte usw. die Knoten, während die Kanten zwischen ihnen ihre Beziehung definieren. Mit Algorithmen aus der Graphentheorie lässt sich beispielsweise die kürzeste Route zwischen zwei Orten in einem Straßennetz bestimmen, starke Zusammenhangs­komponenten bestimmen, oder die kürzeste Rundreise eines Handlungsreisenden ermitteln, der alle Orte in einem Straßennetz einmal besuchen will. Da sich viele algorithmische Probleme auf Graphen zurückführen lassen und andererseits beim Lösen graphentheoretischer Probleme Algorithmen zum Einsatz kommen, eignet sich die Graphentheorie sehr gut dazu, Sicherheitsrisiken in komplexen industriellen Systemen darzustellen.

Risk by Context ermittelt zunächst die Beziehungen und Abhängigkeiten zwischen OT Geräten und Netzwerksegmenten. Im nächsten Schritt priorisiert die Graphen-Analyse Schwachstellen und Sicherheitsrisiken in sieben Dimensionen. Betrachtet werden:

• 1. der Kontext über den Angriffspfad,

• 2. Kontext über die Netzwerkverbindungen und

• 3. die vorhandenen Netzwerksegmente,

• 4. die Verbindungen zur Außenwelt,

• 5. die Distanz zu bekannten Risiken,

• 6. das Health Safety Environment und

• 7. die operationale Bedeutung einer Maschine.

„Laufen in einer Produktionsumgebung hundert Maschinen und Computer im gleichen Netzwerk, dann besteht bei einer Sicherheitslücke an einer Stelle ein sehr hohes Risiko“, erklärt Bohara. „Bei Maschinen im operativen Betrieb bekommen Schwachstellen einen sehr hohen Score, weil dadurch im Extremfall die Produktion stillstehen kann.“ Die Dimension Health Safety Environment geht noch einen Schritt weiter und berücksichtigt Folgeschäden, die entstehen, wenn beispielsweise ein kompromittierter Roboter in der Fertigung anders arbeitet als vorgesehen und damit Mitarbeitende gefährdet.

Zufallsvariablen simulieren unbekannte Risiken

Geht es um die Distanz einer Maschine zu bekannten Risiken, kommen in der Analyse die oben beschriebenen Algorithmen zum Einsatz. Auch die Distanz zu unbekannten Risiken lässt sich laut Bohara berechnen: „Wir nutzen ein wahrscheinlichkeitstheoretisches Modell mit Zufallsvariablen, um zu simulieren, welche Auswirkungen dieses Ereignis hat und mit welcher Wahrscheinlichkeit es eintritt.“

„Die Graphenanalyse zeichnet die Verbindung zwischen allen Elementen nach, ermittelt einen Health-Safety-Kontext und einen Risk-Index, der Sicherheitslücken und die erforderlichen Gegenmaßnahmen priorisiert“, erläutert Bohara die Funktionsweise. Mit Risk by Context können Sicherheits­verantwortliche trotz schmaler Ressourcen die richtigen Entscheidungen treffen, um Cyberangriffe abzuwehren. Sie können beispielsweise die Frage beantworten, ob sie mit einem Budget von 100.000 Euro lieber neue Hardware anschaffen, sämtliche Rechner auf die jüngste Betriebssystem-Version aktualisieren oder die Netzwerk-Segmentierung verändern.

Cybersecurity für Kritische Infrastrukturen

Die Entwicklungen zum Einsatz der Graphentheorie in der Cybersicherheit erforscht der Security-Spezialist in Kooperation mit dem Massachusetts Institute of Technology (MIT). „Unsere Forschungsarbeit konzentriert sich auf den Einsatz von Cybersecurity Knowledge Graphs in Kombination mit Künstlicher Intelligenz“, erläutert Prof. Dr. Raphael Yahalom, MIT-Fellow und leitender Sicherheitsforscher der Asvin Labs. „Wir untersuchen Cyberrisiken und Schwachstellen und Gefahren bezüglich der Manipulation von Daten und Prozessen. Die Cybersecurity Mesh Architektur eröffnet uns die Möglichkeit, Cyberresilienz herzustellen.“

Im Mai letzten Jahres hatte der Stuttgarter Security-Spezialist mit dem Konsortium MANTRA von der Agentur für Innovation in der Cybersicherheit (Cyberagentur) des Bundes einen Millionenschweren Auftrag zur Schaffung eines resilienten Frameworks zum Echtzeit-Austausch von Cyber-Angriffsmustern und deren Risiko-Management erhalten. „Ähnlich wie die USA oder Israel baut nun auch Deutschland die technologische Kompetenz für Cybersicherheit aus“, berichtet Asvin-Gründer und Geschäftsführer Mirko Ross. Im Rahmen von MANTRA einsteht eine Sicherheitslösung für kritische Infrastrukturen. Mitte August entschied sich eine von der Cyberagentur gestellte Jury dafür, zwei Wettbewerbs-Konsortien in die letzte Runde des HSK-Wettbewerbs zu schicken. Gemeinsam mit seinen Projektpartnern eruiert asvin derzeit Möglichkeiten der Weiterverwertung von Zwischenergebnissen aus dem MANRA-Projekt.

Risikoanalyse als fortlaufender Prozess

Cybersecurity ist ein sehr bewegliches Ziel. Unternehmen müssen daher die Analyse der Risiken als fortlaufenden Prozess anlegen, der immer startet, wenn neue Maschinen hinzukommen oder das Unternehmen eine Security-Maßnahme abgeschlossen hat. „Wenn unsere Kunden ihre Infrastruktur um zusätzliche OT-Elemente erweitern, berechnen wir mit Risk by Context einen neuen Risikoindex und geben Empfehlungen ab, mit welchen Maßnahmen die Unternehmen das zusätzliche Risiko im Zaum halten“, erläutert Bohara.

Bei der Betriebsvariante von Risk by Context haben die Unternehmen die Auswahl zwischen einem Cloud-Service und einer On-Premises-Installation. „In der Variante Software-as-a-Service nutzen wir Amazon Web Services, die Google Cloud-Plattform oder Microsoft Azure“, erklärt Bohara. „Die Kunden erstellen dann über ihren Browser ein Konto und teilen uns ihre Datenquellen mit. Alle Analysen laufen dann in der Cloud.“ Die zweite Möglichkeit besteht darin, das Security-System auf der IT-Plattform des Kunden in Containern zu betreiben. Dann verlassen keine Daten das hauseigene Rechenzentrum des Kunden.

Partner implementieren die nötigen Vorsysteme

Die Analysen im Rahmen von Risk by Context arbeiten nicht solo, sondern nutzen Daten der vorhandenen Software- und Sicherheitslösungen im Unternehmen. Das Konzept erweitert und vervollständigt damit die bereits investierte Vorarbeit von CISOs, Cybersicherheitsabteilungen und Security Operation Centers (SOCs). Den Input aus vorhandenen Systemen nutzt die Analyse-Engine, um einen Risiko-Index zu berechnen. Unternehmen, die noch keine derartigen Systeme nutzen oder bestehende Lösungen orchestrieren wollen, können sich an Asvin-Partner wenden, um eine Beratung bei der Auswahl von Nebenprodukten und Hilfe bei der Implementierung zu erhalten.

(ID:50151614)