Malware-Schutz für SCADA-Systeme

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Avast Deutschland GmbH

Traffic scannen und Malware entfernen

Der klassische Schutz-Ansatz besteht darin, das Kommunikationsaufkommen zum Produktionsnetz bzw. zu den einzelnen Maschinen mittels Firewalls zu beschränken und so das Infektionsrisiko zu verringern. Malware-Infektionen können aber selbst schärfste Restriktionen nicht verhindern, da auch die Daten eines zugelassenen Transfers Schadcode enthalten können.

Ergänzend werden deshalb Intrusion Prevention-Systeme (IPS) eingesetzt, die direkt in den Datenstrom eingeklinkt werden und den Traffic zwischen Office- und Produktionsnetz überwachen. Aber auch hiermit lassen sich Malware-Infektionen nicht verhindern, sondern lediglich eindämmen, denn IPS können Schadcode zwar erkennen, aber nicht immer entfernen.

Erschwerend kommt hinzu, dass IPS von Switches, Routern, Netzwerkkarten unterstützt werden müssen, um den vollen Funktionsumfang nutzen zu können. Das Verfahren eignet sich daher in erster Linie für Netze, die für den Einsatz von IPS konzipiert sind und ihn von vorne herein berücksichtigen, für neuere Netze also bzw. für solche, die kontinuierlich erneuert werden.

Produktionsmaschinen und Steuerungssoftware erreichen allerdings ohne weiteres einen Lebenszyklus von 20 Jahren. Aus Nutzersicht besteht keine Veranlassung, bestehende, teure Produkte vor Ablauf ihrer Lebenszeit auszutauschen oder ein funktionales und bewährtes Gesamtsystem ohne Not zu ändern bzw. für nicht produktive Ergänzungen wie den Malwareschutz umzubauen. Auch die durch Stuxnet angestoßenen Bestrebungen, sicherere Software zu entwickeln, kommen für diese Systeme zu spät.

Eigene Hardware für den Malware-Schutz

Gut angepasst an die spezifischen Voraussetzungen, die der Malware-Schutz von Produktionsumgebungen erfordert, sind Inline-Detection-Lösungen. Als echter Virenschutz erkennen sie Schadcode und entfernen ihn aus dem Netzwerkverkehr. Entscheidend ist, dass die Scan-Einheit mitsamt ihren Prozessen auf eine externe Hardware-Komponente ausgelagert ist. Dort sind der Ressourcenbedarf und die Update-Zeitpunkte für die zu schützenden Systeme völlig unerheblich.

Der Datenverkehr wird über zwei Netzwerk-Schnittstellen ohne IP-Adresse durch den Scanner geleitet und in beiden Fließrichtungen auf Malware geprüft, so dass sich auch bisher unerkannte Infektionen des Produktionssystems aufspüren lassen. Mit der Auslagerung der Scansoftware erledigt sich auch das Problem der Herstellergarantien, das durch lokalen Virenschutz oder durch Updates und Patches auf produktionsnahen Systemen entstehen kann.

(ID:37464640)