IT-Security in Transport und Verkehr Schwachstellen-Management im Nahverkehr

Im Personennahverkehr ist die IT-Landschaft im Hintergrund ein attraktives Ziel für Hacker und muss deshalb entsprechend sicher sein. Dabei hilft vorausschauend eingesetztes Vulnerability-Management. Das Beispiel eines Nahverkehrsanbieters zeigt, wie sich ein solches Projekt zum Schwachstellen-Management im ÖPNV umsetzen lässt.

Anbieter zum Thema

Arvato Systems

TXOne Networks

Outpost24 GmbH

Tenable Network Security GmbH

Axians Deutschland

Bus, Bahn und Tram befördern täglich unzählige Menschen auf dem Weg zur Arbeit, zum Einkaufen oder zu Freizeitaktivitäten. Damit sie zuverlässig von A nach B kommen und auch die Kassensysteme funktionieren, ist im Hintergrund eine aufwändige IT-Infrastruktur erforderlich. Eine solche kritische Infrastruktur ist ein attraktives Ziel für Hacker, was eine effektive Absicherung zwingend voraussetzt.

Transportunternehmen wissen jedoch oft nicht, welche Schwachstellen ihre komplexe IT-Landschaft aufweist. Das dafür notwendige Wissen, welche Systeme und Dienste mit welcher Software und in welcher Konfiguration betrieben werden, kann von kleinen Sicherheitsteams meist nicht präzise und dauerhaft aktuell erfasst werden. So auch im Falle eines führenden deutschen Nahverkehrsanbieters. Das Unternehmen verfügt über mehrere Tausend Mitarbeiter, betreibt Reisezugwagen, Lokomotiven, Triebwagen, Straßenbahnen und Busse und hat bundesweit zahlreiche Tochterunternehmen. Mit der Einführung eines Schwachstellen-Managements wollte man nun für mehr Transparenz und Sicherheit sorgen.

Kontinuierliche Inventur und Sicherheits-Checks

Der Nahverkehrsanbieter verfügt über eine heterogene IT-Umgebung mit einer Vielzahl an Servern, Clients und Kassensystemen, auf denen unterschiedliche Betriebssysteme und Software-Lösungen im Einsatz sind. Auch unterschiedliche Patch-Stände boten viel Angriffsfläche. Die fehlende Transparenz in der historisch gewachsenen IT-Struktur erschwerte zudem die Integration neuer IT, beispielsweise bei der Eingliederung von Tochterunternehmen. Für das kleine Security-Team des Nahverkehrsanbieters bedeutete die manuelle Überwachung des komplexen Systems einen großen Aufwand. Was fehlte, war vor allem Unterstützung bei der Priorisierung, um die begrenzten Ressourcen effektiv für den größtmöglichen Sicherheitsgewinn einsetzen zu können.

Im ersten Schritt sollte deshalb eine automatisierte Inventurliste angelegt werden, die genau zeigt, welche IT-Assets im Unternehmen im Einsatz sind. Darauf aufbauend wollte man den Sicherheitsstatus der Systeme überprüfen, um Informationen über mögliche Schwachstellen zu gewinnen und sie zielgerichtet zu beheben. Bisher fehlte eine Lösung, die effiziente Prozesse sowohl für die Inventarisierung als auch für ein durchgängiges Patch-Management ermöglicht.

Die Lösung: ein Schwachstellen-Scanner

Der Nahverkehrsanbieter wurde bereits seit Jahren von der Axians IT Security, beraten und wandte sich deshalb an deren Experten. Nach einer kurzen Evaluierungsphase entschied man sich für die Lösung „SecurityCenter“ des Herstellers Tenable. Der Schwachstellen-Scanner bietet sowohl eine Inventarisierungsmöglichkeit als auch ein umfangreiches Vulnerability Management. Außerdem konnte er durch Funktionsvielfalt sowie flexibel an Kundenbedürfnisse anpassbares Reporting punkten.

Zunächst ging es darum, den Aufbau der IT-Infrastruktur zu analysieren und die Scan-Zonen zu identifizieren. So konnte man feststellen, wie viele Netzwerksegmente zu berücksichtigen waren. Darauf basierend haben die Sicherheits-Berater die Architektur ausgearbeitet und das Security Center bereitgestellt.

Auf technischer Seite benötigte der Nahverkehrsanbieter für die Analyse-Plattform lediglich eine mittelgroße virtuelle Maschine in einer sicheren Zone. Neben den üblichen stationären Scannern in den wichtigsten Netzen führten die Security-Experten einen zusätzlichen mobilen Scanner auf einem Laptop ein, welcher die verbleibenden Netze analysieren kann.

Im Vorfeld wurden der Scan-Umfang – zum Beispiel ob mehrere Netze und auch externe Nutzer berücksichtigt werden sollten –, die Scan-Ziele und die Scan-Informationsflüsse definiert. Informationen über gefundene Schwachstellen sollten zum Beispiel an die Techniker gehen, Reports an den Chief Information Security Officer. Während der gesamten Umsetzungsphase wurden die verantwortlichen Mitarbeiter des Nahverkehrsanbieters von den Sicherheits-Beratern in die neue Lösung eingeführt und konnten von deren umfassendem Know-how profitieren. Nach rund sechs Arbeitstagen vor Ort war das Projekt abgeschlossen.

Hackern die einfachen Angriffswege abschneiden

Seit Mitte 2016 hat der Nahverkehrsanbieter die neue Lösung im Einsatz. Mit kontinuierlicher Netzwerküberwachung sowie Vulnerability Management und -Analytics kann er jetzt die gesamte IT-Umgebung sichtbar machen, um Lücken zu finden und sofort geeignete Maßnahmen zu treffen. Der Schwachstellen-Scanner zeigt genau, welche Software wo im Unternehmen im Einsatz ist und auf welchem Stand sie sich befindet. Er vergleicht dies mit dem maximal Möglichen und identifiziert eventuelle Schwachstellen. Dadurch wird für die Sicherheitsverantwortlichen klar, wo die kritischsten Punkte sind und worauf sie ihre Aufmerksamkeit konzentrieren müssen. Statt ständig eine riesige IT-Landschaft zu überwachen, können sie nun entsprechend priorisieren und sparen sich viel Aufwand.

Das proaktive Schwachstellen-Management bietet effektiven Schutz gegen einen Großteil der gängigen Angriffsszenarien. Da so gut wie keine Sicherheitsvorfälle mehr auftreten, haben sich auch die Reaktionszeiten deutlich verkürzt. Im Falle eines Angriffs kann das Security-Team schneller reagieren. „Einem hochqualifizierten Hacker wird man mit einem Vulnerability Scanner zwar nicht zuvorkommen können, wohl aber Attacken, die mit automatisierten Tools durchgeführt werden, um bekannte Schwachstellen auszunutzen. Sie machen den Großteil der üblichen Cyber-Angriffe aus“, erklärt Sebastian Haas, IT-Consultant bei Axians IT Security. „Entscheidend ist immer, dass der Angreifer im Vergleich zu seinen Erfolgsaussichten einen viel zu hohen Aufwand hat. Mit unserer Lösung haben wir ihm die einfachen Wege abgeschnitten.“

Das Potenzial des Schwachstellen-Scanners ausschöpfen

Derzeit nutzt der Nahverkehrsanbieter nur einen Teil der Möglichkeiten, die das Tenable SecurityCenter bietet. Auch eine passive Netzwerküberwachung wäre möglich oder die Einbeziehung mobiler Geräte, die das Unternehmen verlassen. Neben Schwachstellen kann das Security Center auch Compliance-Verstöße erfassen. Vordefinierte Regelwerke, beispielsweise für BSI Grundschutz oder ISO 27000 liefert das Security Center dabei von Haus aus mit.

Darüber hinaus können aber auch eigene Unternehmensrichtlinien abgebildet und anschließend kontinuierlich überwacht werden. Künftig ist also mithilfe der Axians-Experten ein Ausbau möglich, der noch mehr Sicherheitsfunktionen bietet und die gesamte IT-Struktur des Nahverkehrsanbieters abdecken kann. Um für maximale Sicherheit zu sorgen, sollten Unternehmen ihre Lösungen regelmäßig auf den Prüfstand stellen und an die neuesten Anforderungen anpassen.

(ID:44599998)