Honeynet-Experiment TÜV Süd: Niemand ist vor Angriffen gefeit

Anbieter zum Thema

Arvato Systems

TXOne Networks

Keeper Security EMEA Ltd.

Ob kleine oder große Infrastruktur beziehungsweise Produktionsstätte, scheint für Hacker keine Rolle zu spielen. Das zumindest ist das Ergebnis eines Honeynet-Experiments, in dessen Rahmen der TÜV Süd über acht Monate hinweg ein Wasserwerk in einer bundesdeutschen Kleinstadt simulierte. Damit will der Dienstleister den Nachweis erbracht haben, dass auch unbedeutende Systeme ausgespäht werden.

Die Industrie 4.0 stellt Unternehmen vor die Herausforderung, ihre Sicherheitsvorkehrungen grundsätzlich zu überdenken. Die zunehmende Digitalisierung und Vernetzung macht Infrastrukturen und Produktionsstätten anfälliger und schafft neue Einfallstore für einen möglichen Missbrauch, von der Spionage bis hin zur Sabotage.

TÜV Süd hat mit einem High-Interaction-Honeynet nach eigener Aussage wertvolle Erkenntnisse gewonnen, von denen Unternehmen aus unterschiedlichsten Branchen profitieren können.

So konnte TÜV Süd im Rahmen der achtmonatigen Laufzeit seines Honeynet-Projekts mehr als 60.000 Zugriffe auf die virtuelle Infrastruktur verzeichnen. Die Zugriffe erfolgten von Servern aus der ganzen Welt und teilweise unter verschleierten IP-Adressen. Damit will TÜV Süd den Nachweis erbracht haben, dass Infrastrukturen und Produktionsstätten gezielt ausgeforscht werden.

Virtuelles Wasserwerk

Für das aktuelle Honeynet-Projekt hatte TÜV Süd ein Wasserwerk in einer deutschen Kleinstadt simuliert. Den praxisnahen Aufbau des Systems und die Sicherheitsvorkehrungen haben die TÜV Süd-Experten zusammen mit Vertretern der Versorgungswirtschaft entwickelt und umgesetzt.

Dr. Armin Pfoh, Vice President im Bereich Strategie & Innovation von TÜV Süd erklärt dazu: „Ein Honeynet ist ein System, das Angreifer anlocken und die Analyse der Zugriffs- und Angriffsaktionen ermöglichen soll. Dazu haben wir ein sogenanntes High-Interaction-Honeynet eingerichtet, das reale Hardware und Software mit einer simulierten Umgebung kombinierte. Die Sicherheitsvorkehrungen entsprachen dem industrieüblichen Niveau.“

Über 60.000 Zugriffe aus mehr als 150 Ländern

Laut Dr. Thomas Störtkuhl, Senior Security Experte und Teamleiter Industrial IT Security bei TÜV Süd war das Honeynet insgesamt acht Monate im Netz. Der erste Zugriff erfolgte fast zeitgleich mit dem „Scharfschalten“.

Während der Laufzeit verzeichneten die TÜV SÜD-Experten über 60.000 Zugriffe aus mehr als 150 Ländern. Dabei handelte es sich sowohl um weltweite Denial-of-Service-Attacken, aber auch um gezielte Angriffsversuche über unterschiedliche Industrieprotokolle.

Die Top-3-Zugriffsländer nach IP-Adresse waren China, die USA und Südkorea, wobei die IP-Adressen allerdings laut Störtkuhl keine belastungsfähige Aussage über den tatsächlichen Standort des Zugreifenden ermöglichen, zumal die Zugriffe zum Teil über verdeckte bzw. verschleierte IP-Adressen erfolgten.

Angreifer nutzen Lücken in der Sicherheitsarchitektur

Interessant sei nach Ansicht von Störtkuhl auch die Erkenntnis, dass die Zugriffe nicht nur über Standardprotokolle der Büro-IT, sondern auch über Industrieprotokolle wie Modbus TCP oder S7Comm erfolgten. Demnach waren die Zugriffe über Industrieprotokolle zwar deutlich seltener, kamen aber ebenfalls aus der ganzen Welt.

Damit ist für den Sicherheitsexperten Störtkuhl klar, dass Lücken in der Sicherheitsarchitektur von Steuerungsanlagen entdeckt werden und dass die Systeme für einen möglichen Angriff anfällig seien. Dies könne entweder ein genereller Angriff auf bestimmte Strukturen und Devices oder ein gezielter Angriff auf ein ausgewähltes System sein. Laut Störtkuhl habe man damit zweifelsfrei nachgewiesen, dass selbst eine relativ unbedeutende Infrastruktur im Netz wahrgenommen und ausgeforscht werde.

Auch kleinere Firmen geraten ins Visier

Die Ergebnisse des Honeynet-Projekts seien nach Ansucht von Störtkuhl ein deutliches Warnsignal, nicht nur für die Betreiber von Infrastrukturen, sondern auch für produzierende Unternehmen. Auch kleine oder unbekannte Firmen würden entdeckt oder wahrgenommen, weil ständig Ausspäh-Aktionen im Internet liefen, so Dr. Thomas Störtkuhl. Damit könnten diese Firmen zu Opfern einer Angriffswelle werden, auch wenn sie nicht gezielt ausgesucht wurden.

Geraten Unternehmen durch Ausspäh-Aktionen erst einmal auf den Monitor von potenziellen Angreifern, so der Sicherheitsexperte, werde dadurch auch ein gezielter Angriff zu einem späteren Zeitpunkt erleichtert.

Unternehmen sind gefordert, ihre Sicherheitsstrategie zu überdenken

Die wichtigste Erkenntnis aus dem Honeynet-Projekt von TÜV Süd: ohne das Anpassen ihrer Sicherheitsvorkehrungen fahren Unternehmen und Betreiber von Infrastrukturen ein hohes Risiko. Um die Gefährdungslage realistisch einschätzen und wirkungsvolle Schutzmaßnahmen entwickeln können, müssen Unternehmens daher gezielt auf Überwachungssoftware setzen.

Nach den Erfahrungen aus dem Honeynet-Projekt müsste das Monitoring zwingend auch Industrieprotokolle erfassen, weil potenzielle Angreifer diese Protokolle kennen und nutzen.

(ID:43613842)