Selbstlernende Anomalieerkennung Keine Chance für Industroyer & Co.

Kurz vor Weihnachten 2016 gingen in Kiew an mehreren Tagen für Stunden die Lichter aus. Der Verantwortliche heißt "Industroyer". Firewalls oder Intrusion-Detection-Systeme sind stumpfe Waffen gegen derart ausgefeilte Malware. Abhilfe schafft ein auf Anomalieerkennung ausgelegtes Sicherheitskonzept.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

TXOne Networks

Eigentlich ist Weihnachten das Fest des Lichts. Nicht so 2016 in der ukrainischen Hauptstadt Kiew. An mehreren Tagen in der Weihnachtszeit gab im vergangenen Jahr es für Stunden einen Blackout - das heißt, es fiel die Stromversorgung aus. Schuld daran war offenbar das Schadprogramm "Industroyer", auch "CrashOverride" genannt.

Malware "lernt" die Sprache der Anlage

Nach Erkenntnissen von IT-Experten gelang es Industroyer wochenlang in den Steuerungssystemen der jeweiligen Umspannwerke auszuharren, um die dort gängigen Abläufe auszuhorchen. Über das TOR-Netzwerk wurden die Informationen nach außen weitergegeben. Durch die gesammelten Informationen war es dem Programm möglich, sich die Sprache des jeweiligen Systems anzueignen. Oberflächlich sahen die Schadbefehle der Malware dann so aus wie die normale Kommunikation der Anlagen untereinander.

Das Fatale daran: Viele der verwendeten Protokolle sind nach Einschätzung von Fachleuten alles andere als taufrisch und stammen aus einer Zeit, in der energietechnische Anlagen noch isoliert vom Internet arbeiteten. Sicherheitsaspekte blieben deshalb bei der Entwicklung weitgehend außen vor. Deshalb müssen Hacker auch keine Softwareschwachstellen ausnutzen, sondern sie müssen ihrem Schädling lediglich beibringen, so zu "sprechen" wie die Protokolle der Anlagensteuerung.

Aufgrund seiner hohen Anpassungsfähigkeiten lässt sich Industroyer in verschiedenen Systemen Kritischer Infrastrukturen einsetzen. Anders als der berühmte-berüchtigte Stuxnet-Virus, der nur dazu ausgelegt war, die Siemens-Simatic S7-Steuerung für Frequenzumrichter zu manipulieren, um so iranische Urananreicherungsanlagen zu beschädigen, ist Industroyer wesentlich flexibler. Er beinhaltet anpassungsfähige Module zur individuellen Beschädigung mehrerer gängiger Anlagenarten- und Zusammensetzungen.

Gegen Vorkommnisse unbekannter Art wappnen

"Diese Schadsoftware zeigt erneut eindeutig, dass Kritische Infrastrukturen vor Angriffen unbekannter Art nicht ausreichend geschützt sind", stellt Klaus Mochalski, Geschäftsführer der Rhebo GmbH, fest. "Es ist eine Illusion, dass Firewalls, Virenscanner und Intrusion-Detection-Systeme ganz allein die Steuernetze Kritischer Infrastrukturen absichern können. Herkömmliche Strategien schützen nur vor bereits bekannten Angriffsarten. Die Einfallweisen ändern sich jedoch stetig. Meist ist der Eindringling erst erkannt, wenn es schon längst zu spät ist." Für Mochalski ist es deshalb unabdinglich, sich auch gegen Vorkommnisse unbekannter Art abzusichern.

Die Steuerkommunikation in Stromnetzen ist für gewöhnlich sehr stabil. Wenn sie dazu noch überwacht wird, können ganz einfach Abweichungen von den

üblichen Kommunikationsmustern – sogenannte Anomalien – erkannt, registriert und gemeldet werden. "Ein auf Anomalieerkennung ausgelegtes

Sicherheitskonzept erkennt und meldet neue Kommunikationsverbindungen im Steuernetz, die potentiell gefährlich sein könnten. Industroyer hätte keine Chance gegen diese umfassende Sicherheitsstrategie", ist erläutert der Rhebo-Geschäftsführer.

IT-Sicherheitsgesetz wurde verschärft

Auch das Bundesministerium für Sicherheit in der Informationstechnologie (BSI) bezeichnete die selbstlernende Anomalieerkennung auf der Hannover Messe 2017 als eine zentrale Sicherheitsstrategie für das Industrielle Internet der Dinge. Mit dem seit Juli 2015 geltenden IT-Sicherheitsgesetz müssen alle Störungen in Steuernetzen Kritischer Infrastruktur an das BSI gemeldet werden. Eine Verschärfung im Sinne einer Erweiterung auf weitere Industriegruppen wurde vor einigen Tagen beschlossen. Die umfassende Beobachtung und Aufzeichnung aller verdächtigen Vorgänge im jeweiligen System ist dafür entscheidend.

Die Rhebo GmbH ist ein Technologieunternehmen, das sich auf die Ausfallsicherheit industrieller Steuersysteme mittels Überwachung der Datenkommunikation spezialisiert hat.

Dieser Beitrag erschien ursprünglich auf unserem Partnerportal Industry of Things.

(ID:44748398)