Security Testing als Teil der Automatisierung Software-Sicherheit in der Industrie
Autor / Redakteur: Prof. Dr. Hartmut Pohl / Reinhard Kluger
Der fehlerbehaftete Ablauf von Software birgt das Risiko eines Schad-Angriffs. Security Testing beugt dem vor, Sicherheitslücken werden systematisch aufgedeckt. Der Nutzen: höheres Sicherheitsniveau eines Industrial Control Systems.
Die Nachfrage nach Technologien und Lösungen zur Verbesserung der IT-Sicherheit wächst.
(Bild: BITKOM)
Prof. Dr. Hartmut Pohl, Geschäftsführender Gesellschafter der Softscheck GmbH. (Bild: Softscheck)
Seit Stuxnet (*2006) und dessen mehr als 10 Nachfolgern und Derivaten sind Angriffe auf Industriesteuerungen in aller Munde – aber es gibt noch viele Punkte zu bedenken, um zukunftssichere Lösungen zu erreichen. Allerdings wäre es völlig falsch, nur die aggressiver werdenden Angriffe zu analysieren. Die Untersuchung von Angriffen ist sogar völlig überflüssig! Richtig ist vielmehr, Security Testing einzusetzen, um insbesondere die von den Angriffen ausgenutzten Sicherheitslücken (insbesondere die noch nicht veröffentlichten Zero-Day-Vulnerabilities) zu identifizieren und zu beheben (zu patchen): Ohne Sicherheitslücke ist nämlich kein einziger Angriff mehr erfolgreich!
Über Netze in elektronische Systeme eindringen
Derzeit werden längst nicht alle Sicherheitslücken veröffentlicht – noch nicht einmal die den Herstellern bekannten – und sie werden z.T. über Jahre nicht behoben (gepatcht)! Gerade die selbst den Herstellern (noch?) nicht bekannten Sicherheitslücken stellen ein erhebliches Risiko dar, weil sie von Kriminellen und Nachrichtendiensten erfolgreich zur Spionage und Sabotage ausgenutzt werden (können).
Tests und Prüfungen der funktionalen Sicherheit sind Stand der Technik. Bedingt durch die stark zunehmende Vernetzung – auch schon vor der Industrie 4.0 – wird aber tatsächlich über Netze in programmierbare elektronische Systeme eingedrungen.
Dies gilt für Maschinensteuerungen, Produktionsanlagen, Leitstellen, Leittechnik und modernes Gebäudemanagement und auch Fernwartungs- und Fernsteuerungsanlagen, Wartungsplattformen, Router, Gateways und auch für sicherheitsgerichtete elektrische und elektronische Systeme und generell für Fernzugriffe – auch über VPN und andere Sicherheitssoftware und Sicherheitshardware wie z.B. industrielle Firewalls.
Damit werden Programme und Steuerdaten ausgelesen (Spionage) und Daten so manipuliert, dass die implementierten Safety-Maßnahmen ausgehebelt werden. Um die funktionale Sicherheit von Systemen (Safety) sicherzustellen, ist daher Security unverzichtbar. Notwendig ist hier ein Tool-gestützter Security Testing Process wie er in der ISO 27034 als Stand der Technik formuliert wird mit den folgenden vier Methoden: Threat Modeling, Static Source Code Analysis, Penetration Testing und insbesondere Dynamic Analysis Fuzzing.
Gezielte Angriffe auch ohne Internet-Anschluss
Die Risiken liegen im fehlerhaften Ablauf der Software, (leicht) fahrlässiger Bedienung der Software bis hin zu gezielten Angriffen aus dem Unternehmen und auch aus dem Internet. Ein Internetanschluss ist aber für einen erfolgreichen Angriff gar nicht notwendig – wie die Angriffe auf Industriesteuerungen mit dem Wurm Stuxnet usw. ebenfalls gezeigt haben.
Sicherheit ist also schon lange nicht nur ein theoretisches Problem. Tatsache ist, dass nicht nur weit entfernte Uran-Zentrifugen angegriffen werden, sondern unsere eigenen Prozesssteuerungen, unsere Abfüllanlagen, unsere Wartungsplattformen usw. – Missbrauchsfälle sind hinreichend bekannt. Security Testing ist eine Notwendigkeit für die Automatisierung.
Dieser Beitrag stammt ursprünglich aus unserer Schwesterpublikation Elektrotechnik.de.
Aufklappen für Details zu Ihrer Einwilligung
Stand vom 30.10.2020
Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.
Einwilligung in die Verwendung von Daten zu Werbezwecken
Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von redaktionellen Newslettern nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.
Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.
Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden.
Recht auf Widerruf
Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://support.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung, Abschnitt Redaktionelle Newsletter.