Suchen

SCADA-Schutz Infrastrukturen und Industrie im Kreuzfeuer

Autor / Redakteur: Christian Vogt* / Stephan Augsten

SCADA-Systeme und Industrial Control Systems sind bedroht, diese Erkenntnis hat sich seit 2010 durchgesetzt. Stuxnet, Duqu und Flame haben bewiesen, dass sich Industrieanlagen durch Malware und Hackerangriffe manipulieren lassen. Aber wie ist der Bedrohung konkret zu begegnen?

Firmen zum Thema

Kritische Infrastrukturen, darunter Energie- und Wasserversorgung, werden immer häufiger über das Internet angegriffen.
Kritische Infrastrukturen, darunter Energie- und Wasserversorgung, werden immer häufiger über das Internet angegriffen.
(Bild: Archiv)

SCADA-Systeme und -Netzwerke (SCADA = Supervisory Control and Data Acquisition) haben für Industrie- und Infrastrukturanlagen eine zentrale Bedeutung. Sie stehen in Kontakt mit industriellen Kontrollsystemen (Industrial Control System, ICS), die dem Betrieb und der Automatisierung industrieller Prozesse dienen.

Durch die Kommunikation mit dem ICS stellt das SCADA-System Schlüsseldaten für die Überwachung und nötigenfalls Steuerung von Anlagen durch das zuständige Personal bereit. Diese Strukturen finden sich in vielen Bereichen industrieller Abläufe, von der Fertigungsindustrie über Logistik und Transport bis hin zur öffentlichen und privaten Energie- und Wasserversorgung.

Aufgrund ihrer zentralen Bedeutung für die Wirtschaft und die Versorgung der Bevölkerung mit Waren, Dienstleistungen, Energie und sauberem Wasser wäre es fatal, hier keinen wirksamen Schutz vorzuhalten. Unterstrichen wird diese Notwendigkeit durch dokumentierte Beispiele dafür, dass reale Angriffe auf solche Systeme gefahren werden.

Konkrete Gefahrenmomente

Ziel der eingangs erwähnten Angriffe waren beispielsweise Installationen von Projektierungs- und Visualisierungssoftware, unter anderem in nukleartechnischen Anlagen. Nicht nur der direkte Angriff auf ein ungeschütztes Steuersystem, beispielsweise von Pumpen, Pressen oder Produktionsanlagen, kann versorgungstechnisch, wirtschaftlich oder ökologisch zu katastrophalen Ereignissen führen.

Forscher haben beispielsweise ein Tool entwickelt, das Passwörter in speicherprogrammierbaren Steuerungen knacken kann. Gelingen kann das zwar nur, wenn Zugang zum (ungeschützten) SCADA/ICS-Netzwerk besteht. Dann aber sind tief gehende, schwer zu entdeckende Eingriffe mit unabsehbaren Folgen kein Problem mehr.

Übrigens: Man sollte bei Bedrohungen dieser Art nicht von Einzeltätern ausgehen, sondern von organisierter (Cyber-)Kriminalität: Es gibt durchaus spezielle Suchmaschinen, die Listen mit Begriffen zum Auffinden verwundbarer Systeme anbieten.

Wer glaubt, dass die Sicherung des Unternehmensnetzwerks auch die Automatisierungs- und Produktionstechnologie schützen kann, ist leider im Irrtum. So bleiben die meisten SCADA/ICS-Systeme angreifbar. Die daraus erwachsenden Sicherheitsbedrohungen stellen für die betroffenen Unternehmen und ihre Entscheider ein reales Problem dar.

Der Vergleich mit dem Risikopotenzial der mobilen Kommunikation ist durchaus berechtigt: Schließlich sieht das Bundesamt für Sicherheit in der Informationstechnik (BSI) ein zunehmendes Gefährdungspotenziale bei Mobilkommunikation, SCADA, Schnittstellen und Speichermedien.

Beispiele für Angriffsmöglichkeiten

Um die Brisanz des Themas noch einmal ganz konkret zu machen: zu den Anlagen und Systemen, die in den oben erwähnten Suchmaschinen zu finden sind, gehören unter anderem:

  • eine Autowaschanlage, die sich ein- und ausschalten ließ,
  • eine Eishockey-Spielfläche, die mit einem Klick in den „Abtaumodus“ geschaltet werden kann,
  • das komplette Verkehrskontrollsystem einer Stadt, das sich in den „Testmodus“ versetzen ließ.

Das stellt nur einen kleinen Einblick in die Bandbreite von beeinflussbaren Systemen dar – mit großer Wirkung: Am oberen Ende der Skala befinden sich aber nun mal auch Fertigungsstraßen, Chemie-Anlagen, Logistiksysteme, Wasserwerke – und schlimmstenfalls die bereits erwähnten nukleartechnischen Anlagen.

Leider werden SCADA-Systeme trotz ihrer zentralen Rolle für die Beherrschung von Produktionssystemen jeder Art – wenn überhaupt – häufig nur mit Passwörtern geschützt, die unverschlüsselt zu den Fernsteuerungsterminals (Remote Terminal Unit, RTU) übertragen werden. Das öffnet selbst einfach gestrickter Malware Tür und Tor für den Abgriff dieser ‚Sicherung’.

Die Cyber-Waffen, mit denen SCADA-Systeme heute kompromittiert werden, zeichnen sich durch eine wachsende Komplexität sowie Kompetenz der Angreifer aus. Einfaches Patch-Management der internen Systeme oder die einstufige Zugangssteuerung und -protokollierung, wie eben beschrieben, reichen längst nicht mehr aus. Einzig akzeptabel ist hier ein in Echtzeit greifender, nicht aushebelbarer Schutz inklusive Intrusion Prevention.

Konkrete Schutzmaßnahmen

SCADA-Systeme sollten mithin nicht direkt über das Internet erreichbar sein, da direkt nach solchen Systemen gesucht wird. Außerdem sollten sie per Firewall geschützt und selbst vom Firmennetz isoliert werden. Auch der Fernzugriff – in Zeiten von Mobility und BYOD selbst bei prozesskritischen Systemen durchaus nichts Ungewöhnliches – sollte absolut nur über sichere Methoden wie VPN möglich sein.

Um seinen Schutz gewährleisten zu können, sollten sämtliche Verbindungen des SCADA-Netzwerks zu anderen Netzen auf ihr Risikopotenzial bewertet und mit Schutzmechanismen ausgestattet werden. Zu diesem Zweck sollten beispielsweise Netzwerk-Appliances von vornherein sorgfältig konfiguriert und auf keinen Fall mit den Werkseinstellungen betrieben werden, die – weil in der Regel weitläufig bekannt – leicht angreifbar sind.

Vorgehensweise

Proaktiv sollte das SCADA-System auch auf Schwachstellen getestet werden, um diese sofort ausmerzen zu können. Mögliche und wichtige Maßnahmen zum Erhöhen des Sicherheitsniveaus sind beispielsweise

  • das Patchen von Betriebssystemen, Anwendungen und SCADA-Komponenten,
  • die Überwachung der Kommunikation zwischen Anwendungen im SCADA-Netz mit anderen Netzen,
  • die Überwachung der Interaktion von Menschen mit SCADA-Netz und -System,
  • die genaue Überwachung aller Netzwerke und Reaktion auf Virenbefall und Angriffe in Echtzeit.

Nun können SCADA-Systeme aufgrund ihrer Bedeutung für den Betrieb für einen Patch nicht „mal eben“ angehalten werden. Hier hilft eine mehrstufige Verteidigungsstrategie nach dem Prinzip „Wall und Graben“. Dabei wird mithilfe spezieller SCADA-Sicherheits-Appliances für jeden Layer – also auf RTU- und Netzwerk-Level – eine eigene Sicherheitsstufe eingerichtet. Das erfordert ein konsolidiertes Security-System mit stark integrierten Erkennungsmechanismen einschließlich

  • anwendungsspezifischer Firewalls, die für jede Verbindung nur explizit „erlaubte“ Datenpakete akzeptieren,
  • Virus-Erkennung mit automatischen Updates und Signaturdatenbank inklusive bereits bekannter SCADA-Gefährdungen (Exploits),
  • Anwendungssteuerung,
  • Webfilter,
  • Virtual Private Network (VPN),
  • DDoS- und DoS-Abwehr,
  • Datenbankschutz,
  • Schutz von Webanwendungen.

Vorteile

Die geschäftlichen Vorteile des SCADA-Schutzes mithilfe der gebotenen Sorgfalt in Sachen Netzwerkbetrieb und einer SCADA-Security-Appliance liegen auf der Hand: Produktionssteuerungssysteme, die nicht von außen kompromittier- und manipulierbar sind, sorgen zum Beispiel für Kontinuität im Geschäft, ein positives Image bei Geschäftspartnern und Kunden sowie – nicht ganz unwichtig – gute Voraussetzungen dafür, sich bei der Beschaffung von Kapital ein gutes Rating der angefragten Finanzierungspartner mit allen dazugehörenden Vorteilen zu sichern.

Checkliste: Anforderungen an den Schutz von SCADA-Systemen

  • Das Bewusstsein für die Bedrohungslage von SCADA‐Systemen muss im Unternehmen vorhanden sein.
  • Bei Bedrohungen dieser Art sollte man nicht von Einzeltätern, sondern von organisierter (Cyber-)Kriminalität ausgehen.
  • Das Bundesamt für Sicherheit in der Informationstechnologie bewertet die Gefährdungspotenziale bei Mobilkommunikation, SCADA, Schnittstellen und Speichermedien als steigend.
  • Die Cyber‐Waffen, mit denen SCADA‐Systeme kompromittiert werden, zeichnen sich durch eine wachsende Komplexität sowie Kompetenz der Angreifer aus.
  • Einzig akzeptabel ist ein in Echtzeit greifender, nicht aushebelbarer Schutz inklusive Intrusion Prevention.
  • Wenn im Unternehmen auch nur einer der hier genannten Punkte nicht „im Blick“ ist, sollte man aktiv werden.

* Christian Vogt ist Regional Director Germany bei Fortinet.

(ID:43350128)