Cyber-physische Systeme im Visier von APT-Gruppen Wie staatlich unterstützte Angreifer OT-Systeme ins Visier nehmen

Anbieter zum Thema

Claroty GmbH

Fsas Technologies GmbH

Staatlich geförderte Angreifer greifen zunehmend industrielle Steuerungs- und OT-Systeme an. Gruppen wie Sandworm oder Volt Typhoon kom­bi­nie­ren politische Ziele mit hochentwickelten Taktiken. Wer kritische In­f­ra­struk­tur­en betreibt, braucht deshalb eine durchgängige Be­dro­hungs­er­ken­nung über IT, OT und IoT hinweg, inklusive klarer Priorisierung, Netz­werk­seg­men­tie­rung und Echtzeit-Transparenz.

Die Zeiten sind vorbei, als staatlich unterstützte Angreifer und Cyberkriminelle nur größere Unternehmen und öffentliche Einrichtungen ins Visier genommen haben. Mittlerweile hat sich nicht nur der Fokus in Bezug auf die Unternehmensgröße erweitert, sondern auch auf die zugrunde liegende Technologie: Mehr und mehr werden auch cyber-physische Systeme (CPS) und Betriebstechnik (OT) erfolgreich angegriffen.

So führte der mit Russland assoziierte Bedrohungsakteur Sandworm im Jahr 2022 einen mehrdimensionalen Angriff auf die kritische Infrastruktur der Ukraine durch, der weitreichende Stromausfälle verursachte. Bei dieser Kampagne kamen vor allem „living-off-the-land“-Techniken zum Einsatz, bei denen die Angreifer Prozesse und Funktionen einsetzen, die bereits in den Systemen des Opfers vorhanden sind. Dies erschwert eine Entdeckung maßgeblich.

Das Aufkommen von staatlich unterstützten Angreifern wie Sandworm, VoltTyphoon und CyberAv3ngers macht eines deutlich: Cyberangriffe haben längst eine politische Funktion. Sie zielen darauf ab, kritische Infrastrukturen zu schwächen, Misstrauen in Regierungen zu säen und Zweifel an der Fähigkeit von Behörden zu wecken, Bedrohungen abzuwenden und für Sicherheit zu sorgen. Dies gilt insbesondere in Krisenzeiten. Daher ist es für Unternehmen wichtiger denn je, über eine robuste Strategie zur Erkennung von Cyber-Bedrohungen zu verfügen.

State of CPS Security 2025

OT-Geräte-Schwachstellen für Cyberwar ausgenutzt

Worauf es bei einer modernen Bedrohungserkennung ankommt

Für eine effektive Bedrohungserkennung muss die komplette digitale Umgebung, also Netzwerke, Endpunkte, Server, Cloud-Ressourcen und Anwendungen, kontinuierlich überwacht werden. Auf diese Weise lassen sich verdächtige Aktivitäten, Schwachstellen und potenzielle Cyberangriffe frühzeitig erkennen, bevor sie größeren Schaden verursachen oder gar die öffentliche Sicherheit gefährden. Darüber hinaus sollte die Bedrohungserkennung auch proaktiv nach Anomalien, Abweichungen vom normalen Netzwerkverhalten und Indikatoren für eine Kompromittierung (Indicators of Compromise, IoCs) suchen.

Der Schutz von Unternehmen vor hochentwickelten Bedrohungen erfordert eine gut durchdachte, kohärente Strategie zur Erkennung von Cyber-Bedrohungen. Diese sollte folgende Komponenten aufweisen:

• Identifizierung und Eindämmung von Cyber-Bedrohungen: An erster Stelle steht eine tiefe Transparenz in das eigene Netzwerk. Dabei wird das Netzwerkverhalten auf granularer Ebene analysiert. Idealerweise sollte die eingesetzte Lösung in der Lage sein, ein breites Spektrum an proprietären Protokollen zu überwachen, für die IT-zentrierte Tools blind sind. Auf diese Weise können Abweichungen des normalen Datenverkehrs identifiziert werden, was insbesondere bei der Abwehr von „living-off-the-land“-Angriffen entscheidend ist.

• Echtzeit-Überwachung und Erkennung von Anomalien: Mit Hilfe von Überwachungs- und Erkennungstools lassen sich ungewöhnliche Muster und Anomalien erkennen, die auf bösartige Aktivitäten hindeuten könnten. SIEM-Plattformen eignen sich hervorragend für die Analyse eingehender Daten in Echtzeit, da sie nach Mustern, Korrelationen und Abweichungen von Normalwerten suchen, die auf böswillige Aktivitäten oder Sicherheitsvorfälle hindeuten könnten. Dies ermöglicht eine frühzeitige Erkennung von Bedrohungen und gibt den Sicherheitsverantwortlichen genügend Zeit, diese zu erkennen und abzuwehren.

• Integration der Bedrohungserkennung: Die Implementierung neuer spezifischer Tools ist für den effektiven Schutz der kritischen Infrastruktur unumgänglich. Allerdings sollten sie sich nahtlos in die bestehende Infrastruktur wie EDR-, SOAR- und SIEM-Lösungen einfügen. Ein Wildwuchs an Lösungen ist in aller Regel kontraproduktiv, wenn sie nicht miteinander arbeiten und sich gegenseitig ergänzen. Eine Silobildung kostet Zeit und Ressourcen und schwächt so die Cyber-Resilienz.

Solarstrom, Router und staatlich gelenkte Hacktivisten

Cyberangriffe auf vernetzte Infrastruk­turen nehmen 2025 rasant zu

Best Practices für die Implementierung

Da kritische Umgebungen außerordentlich sensibel sind, ist es entscheidend, die individuellen Betriebs- und Sicherheitsanforderungen beim Schutz zu berücksichtigen. Dabei kommt es auf folgende Punkte an:

• 1. Priorisieren Sie Asset-Inventarisierung und Transparenz: Implementieren Sie Erkennungstools, die speziell für OT- und ICS-Umgebungen entwickelt wurden. Nur so kann sichergestellt werden, dass alle vernetzten Geräte im gesamten Netzwerk identifiziert und entsprechend umfassende Profile erstellt werden – bis hin zu Betriebssystem und Firmware-Version.

• 2. Segmentieren Sie Ihr Netzwerk: Um die Sicherheit nachhaltig zu verbessern, sollten Sie Ihr Netzwerk intelligent segmentieren. Auf diese Weise werden Barrieren geschaffen, die ein Angreifer überwinden muss. Dadurch kann der Schaden einer Attacke deutlich reduziert werden.

• 3. Erkennen Sie den normalen Netzwerkverkehr: Nachdem alle Assets identifiziert wurden, muss eine Basislinie festgelegt werden, die den „normalen“ Netzwerkverkehr beschreibt. Konzentrieren Sie sich darauf, alle Abweichungen von dieser Basislinie zu identifizieren. Auf diese Weise lässt sich abnormales Verhalten viel leichter erkennen – und bösartige Aktivitäten frühzeitig stoppen.

• 4. Implementieren Sie granulare Alarme und Priorisierung: Stellen Sie sicher, dass alle Alarme und Erkennungsregeln auf OT/ICS-Umgebungen abgestimmt und kontextabhängig sind. Dadurch werden Fehlalarme deutlich reduziert. Sicherheitsverantwortliche können so den kritischen Systemen Priorität einräumen.

In einer sich ständig weiterentwickelnden Bedrohungslandschaft, in der staatlich geförderte Angreifer cyber-physischen Systemen ernsthaften Schaden zufügen, ist es von entscheidender Bedeutung, vorbereitet zu sein. Unternehmen dürfen bei Cybersecurity nicht mehr ausschließlich an IT-Sicherheit denken, sondern müssen auch cyber-physische Systeme wie OT oder IoT in ihre Security-Strategie integrieren.

Über den Autor: Thorsten Eckert ist Regional Vice President Sales Central von Claroty.

Standard-Apps als Angriffsmittel

4 Tipps zur Bekämpfung von „Living-off-the-Land“-Angriffe

(ID:50628378)