Sicherheit für kritische Infrastrukturen (KRITIS) Systeme zur Angriffs­erkennung in der Leit- und Fernwirk­technik

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Eye Security GmbH

Mit der Einführung des IT-SiG 2.0 rückt die Erkennung und der Umgang mit Cyberangriffen in der Leit- und Fernwirktechnik von Energie- und Wasserversorgern immer mehr in den Vordergrund. Das Verständnis über Werkzeuge, Prozesse und Betriebsleistungen ist dabei ein entscheidender Faktor.

Für große Versorgungsunternehmen ist es ein leichtes adäquate Überwachungswerkzeuge im eigenen Security Operations Center zu betreiben. Anders geht es dabei mittelständischen Betrieben, welche oft weder über die finanziellen Mittel noch über das nötige Fachpersonal verfügen. Ein angemessenes Sicherheitssystem zu etablieren, stellt solche Betreiber schnell vor eine große Herausforderung. Unglücklicherweise nutzen findige Softwarehersteller diesen Umstand nur zu gern aus.

Ein System zur Angriffserkennung ist…

Bis Mai 2023 (BSIG §8a Abs. 1a, EnWG §11 Abs 1f) verlangen das BSIG (§2 Abs. 9b, §8a Abs 1) und EnWG (§11 Abs. 1e) von Betreibern Kritischer Infrastrukturen und Energieverteilungsnetzen ein System zur Angriffserkennung (SzA). Es ist ein System aus Werkzeugen, Prozessen und Spezialisten. Geeignete Betriebsparameter sollen mit angemessenem Aufwand nach Stand der Technik automatisiert untersucht werden. Auf diese Weise können Cyberangriffe nicht nur erkannt, sondern auch behandelt werden. Das schafft einen eindeutigen Sicherheitsmehrwert].

Die nach BSIG (§8a) zertifizierten Versorgungsunternehmen haben einen zeitlichen Vorteil. Sie müssen den Nachweis erst im nächsten regulären Audit erbringen, welches dem Termin des 01.05.23 nachfolgt. Ein entsprechendes Sicherheitssystem rechtzeitig in Betrieb zu nehmen, ist dennoch unerlässlich. Besonders im Hinblick auf die Frage der Haftung müssen sich Energie- und Wasserversorger unbedingt absichern.

Alle anderen Unternehmen, welche die in der KRITIS-V festgelegten Schwellenwerte unterschreiten, unterliegen bislang noch nicht den gesetzlichen Vorgaben. Es ist jedoch die nationale Umsetzung der europäischen NIS2-Richtlinie für 2024 abzusehen. Die Gruppe der KRITIS Betreiber wird sich dadurch bedeutend vergrößern. Grund dafür sind die in der Richtlinie vorgegebenen Kennwerte, wie Umsatz und Mitarbeiterzahl. Durch die steigenden Anforderungen müssen sich nun noch mehr Versorgungsunternehmen dem Thema SzA in der Zukunft dringend annehmen.

Bei der Planung eines funktionierenden SzA muss man sich zunächst über die erforderlichen Bestandteile im Klaren sein. Mit der Beschaffung und Installation von Software für Intrusion Detection (IDS) und oder Logmanagement bzw. Security Information & Event Management (SIEM) können die Anforderungen eines SzA nur teilweise erfüllt werden. Zur Vermeidung solcher Missverständnisse definiert die Orientierungshilfe (OH) des BSI die Auslegung genauer.

Bestandteile eines Systems zur Angriffserkennung

Ein System zur Angriffserkennung kann in die folgenden Bestandteile aufgeteilt werden:

Datenerfassung (Protokollierung)

• Die Erfassung relevanter Protokolldaten der betreffenden Systeme und Netzwerke, die Aufschluss über einen Cyberangriff geben können

Detektion

• Die Durchsuchung der Protokolldaten nach geeigneten Hinweisen auf sicherheitsrelevante Ereignisse, wie mögliche Angriffe oder Schwachstellen

Reaktion

• Der angemessene Umgang mit entdeckten sicherheitsrelevanten Ereignissen

Wie geht man so ein Thema an?

Bei der Planung eines Systems zur Angriffserkennung ist der Umfang nicht zu unterschätzen. Die technischen Werkzeuge sind nur ein Bestandteil, der berücksichtigt werden muss. Der Startpunkt der Planung sollte die Festlegung der genauen Anforderungen sein. Die Suche nach geeigneten Werkzeugen und deren Betriebsmodell erfolgt dann auf Basis dessen im nächsten Schritt.

Ratsam ist es auch sich zu Beginn der Planung einen Überblick über bereits vorhandene Protokollierungs- und Erkennungsmaßnahmen zu verschaffen. Auf diese kann später aufgebaut werden. Dies gibt schon viel Aufschluss darüber, welche Optionen beim Betrieb eines solchen Systems in Frage kommen und welches Know-how extern besorgt werden muss.

Vorgehensweise einer Planung

• Prüfung aller relevanten Datenquellen (Systeme und Netzwerke) und zu erfassenden Daten anhand des Risikomanagements (Angriffsvektoren, Eintrittswahrscheinlichkeiten, Schadenshöhen) und der Netzwerkstrukturpläne

• Prüfung der zentralen Auswertbarkeit der Daten (Datenformate, verfügbare Hard- und Softwareschnittstellen)

• Festlegung von geeigneten Speicherdauern und resultierenden Speichervolumen

• Beachtung der DSGVO und BetrVG Anforderungen

• Festlegung der Erkennungsmethoden anhand der Angriffsvektoren

• Festlegung eines Prozesses für die systematische und regelmäßige Erfassung und Integration von Angriffsdaten in die Erkennungsmethodik

• Festlegung des gewünschten Betriebsmodells (Leistungen selbst erbringen oder zukaufen). Bei der Nutzung von Dienstleistern, Definition der Schnittstellen

• Prüfung und ggf. Ergänzung vorhandener Notfallmanagement Prozesse

Vorgehensweise Umsetzung

• Abhängig vom Betriebsmodell, Auswahl der Werkzeuge bzw. Dienstleister

• Aufbau der erforderlichen Personalorganisation

• Implementierung der Prozesse

• Implementierung eines KVP – Ein System zur Angriffserkennung erfordert im Betrieb eine kontinuierliche Verbesserung, um effizient und wirksam zu funktionieren

• Durchführung von Übungen zur Feststellung und Verbesserung der Wirksamkeit

Make-or-Buy Entscheidung

Abhängig von der Auslastung des eigenen Informationssicherheitsbeauftragten (ISB), kann es eine große Hilfe sein, einen externen Berater in die Planung mit einzubeziehen. Bei der Auswahl eines externen Dienstleisters sollte man besonders auf Erfahrung und entsprechendes Hintergrundwissen (ISMS für Betreiber des entsprechenden Sektors) wert legen.

Besonders in kleinen und mittelständischen Unternehmen sind die Mitarbeiter oft vielen verschiedenen Aufgaben verpflichtet. Daher bietet sich an dieser Stelle der Einsatz eines externen Dienstleisters an. Dieser kann durch sein Know-how und seine zusätzliche Verfügbarkeit die Mitarbeiter geeignet ergänzen. Für Versorgungsbetriebe mit überschaubarer Größe bietet sich dadurch eine gute Alternative zu dem zeit- und kostenintensiven Aufbau einer, eigens für das SzA gedachten, Personalorganisation.

Will man einen Dienstleister verpflichten, muss man sich überlegen, welches Betriebsmodell für das eigene Unternehmen am sinnvollsten ist. Zunächst gibt es die Möglichkeit dem Dienstleister nur den unmittelbaren Betrieb der Überwachungssysteme zu überlassen. Hierbei wird sich allein um die Verfügbarkeit und Aktualität aller Komponenten gekümmert. Darüber hinaus kann der Dienstleister auch mit der Datenanalyse betraut werden. Das bedeutet, er erbringt eine ganzheitliche Leistung. Der Vorteil dabei ist, dass es klare Verantwortlichkeiten für die Leistungserbringung gibt und lästige Schnittstellendiskussionen vermieden werden.

Ein weiterer wichtiger Punkt ist der Verarbeitungsort aller erhobenen Daten. Demnach sollten Datenverarbeitung und Datenhaltung innerhalb derselben Infrastruktur stattfinden. Der Dienstleister absolviert seine Aufgabe über einen sicheren Fernzugriff mit geeigneten Verschlüsselungs- und Authentisierungsverfahren. Diese Maßnahmen beugen einer ungewollten Verbreitung von sensiblen Daten vor und reduzieren das Risiko bei einer Kompromittierung des Dienstleisters erheblich.

Weitere Details zu Komponenten und der Umsetzung sind in Angriffserkennung in Leit- und Fernwirktechnik als Dienstleistung im vgbe energy journal 09/2022 beschrieben

Fazit

Der Aufbau eines Systems zur Erkennung von Cyberangriffen in der Produktionsumgebung eines Versorgungsunternehmens ist nicht nur sinnvoll, sondern auch notwendig. Erst ab einer ausreichenden Unternehmensgröße ist es für einen Betreiber wirtschaftlich möglich, diese Anforderungen aus eigener Kraft autark zu bewerkstelligen. Dazu kommt die Aufgabe geeignetes Personal zu finden und dauerhaft zu halten. Kleine- und mittelständische Unternehmen sind besser beraten, sich mit passenden Dienstleistern auszustatten.

Veränderungen der Produktionsumgebungen sind im Rahmen der Digitalisierung immer häufiger erforderlich. Umso mehr ist ein Partner auf Augenhöhe und mit ausreichend Flexibilität erforderlich. Hohe Investitionskosten und langfristige Bindungen sind hier eher hinderlich. Diese Anforderungen verlangen einen Paradigmenwechsel im Vergleich zu früheren Systemeinführungen.

Eingehendere Informationen zum Nachweisverfahren finden sich im Folgeartikel „Aktueller Stand zum Nachweis für Angriffs­erkennungs­systeme“.

Über den Autor: Sascha Jäger ist Geschäftsführer und Gesellschafter bei der ausecus GmbH. Von 1996 bis 2013 war er in unterschiedlichen Positionen bei dem IT-Security Spezialisten Integralis/NTT in Deutschland, Österreich, Schweiz und Frankreich tätig, zuletzt als Geschäftsführer. Anschließend war er bei Fujitsu für den Aufbau des Bereichs Cybersecurity (Security Operations Center) in Zentraleuropa verantwortlich und leitete diesen bis zu seinem Start bei ausecus im Januar 2021.

(ID:49223071)