IoT-Security Wie Ransomware Produktionsumgebungen lahmlegen kann

Anbieter zum Thema

Arvato Systems

Moxa Europe GmbH

TXOne Networks

Tripwire

Haben Hacker gelernt, wie sie Verschlüsselungs-Trojaner auf Produktionsmaschinen schleusen können? Müssen sie nicht, weil viele Anlagen ohne unterstützende Server binnen kürzester Zeit aktionsunfähig sind. Wie moderne IT-Schutzsysteme dagegen helfen können.

Mitunter mutet es überraschend an, wie eine langjährige Diskussion selbst ausgefuchste Security-Spezialisten auf falsche Wege führen kann. Was die Sicherheit von Produktionsanlagen betrifft – meist unter Labeln wie ‚OT‘ für Operational Technology, ‚ICS‘ für Industrial-Control-Systems und ‚IIoT‘ für Industrial Internet of Things – warten viele Experten gebannt auf den Tag der Ankunft exotischer Malware und Angriffsszenarien in ihren Betrieben, die direkt in die Welt der Maschinensteuerungen und ihre besonderen Protokolle eingreifen (könnten). Entsprechend viel Aufmerksamkeit genießen passive Netzwerk-Monitoring-Systeme, die Anomalien in typischen Industrie-Protokollen erkennen und die Auffälligkeiten als Sensoren an SIEM-Systeme (Security-Information-and-Event-Management) weiterleiten.

Ziele für Cyberkriminelle

Ungepatchte Software-Schwachstellen sind hoch gefährlich

Kriminelle greifen OT via IT an

Schaut man sich konkrete Beispiele aus der jüngeren Vergangenheit an, liegen wahrscheinlichere Wege zum Ausschalten ganzer Produktionsstraßen aber nicht im Bereich der ureigenen OT-internen Kommunikation der Maschinen, Roboter und speicherprogrammierbaren Steuerungen (SPS). Kaum eine Produktionsstraße mit ihrer hoch speziellen, zuweilen auch historischen internen Kommunikation kommt heute noch ohne zugeordnete Server aus der IP-Welt aus, die unter Linux, zumeist aber unter Windows laufen. Und genau die stellen eine Plattform dar, auf die Cyber-Kriminelle mit ihrem Arsenal an technischen und organisatorischen Ransomware-Werkzeugen und -Methoden zugreifen können.

Die Server, so sehr sie vom Prinzip her den IT-Business-Servern aus den Office-Umgebungen ähneln, bilden dabei obendrein noch eine ganz eigene Welt mit vielen Besonderheiten, die eine Einbindung ins Informationssicherheits-Management typischer Unternehmen erschweren:

• Es kommt vor, dass die Server von den Maschinenbauern mitgeliefert werden, und dann unterliegen sie den gleichen Restriktionen wie die Produktionsanlagen selbst: Echtzeit-Timing exakt auf die Produktionsschritte abgestimmt, kein bisschen Leistung zu viel, Updates und aktives Scannen untersagt, keine Agenten für Security-Tools installierbar.

• •Oder die Anwender setzen die unterstützenden Server selbst auf. Allerdings sind sie dann häufig gezwungen, über lange Jahre gewachsene Kommunikations- und Verwaltungssysteme darauf zu installieren, deren Komponenten ebenfalls gern einmal moderne Update- und Sicherungspraktiken aushebeln. Ein typischer Stolperstein sind beispielsweise längst veraltete Versionen von Datenbanksystemen, die in die Verwaltungssoftware integriert sind und die bestimmte (natürlich ebenfalls ältere) Windows-Versionen voraussetzen. Die Update-Frequenzen der Software-Abteilungen von Maschinenbauern halten eher selten mit denen von Microsoft Schritt.

Die entsprechenden Systeme sind also tendenziell verwundbarer als klassische IT-Server, übernehmen aber unglücklicherweise extrem kritische Aufgaben. Typischerweise stellen sie etwa die Brücke zu Warenwirtschaftssystemen her, von denen sie die Produktionsaufträge entgegennehmen und an die Maschinen weiterleiten, sie melden Fortschritte im Fertigungsprozess und Verbrauchsdaten an die Warenwirtschaftssysteme zurück, über sie laufen die Fernwartungszugänge und sie dokumentieren regulierte Aktionen wie korrekte Schweiß- oder Schraubvorgänge in der Automobilindustrie.

Ohne ‚Schnittstellen-Systeme‘ läuft nicht viel

Wie schnell ein Herstellungsprozess in Bedrängnis geraten kann, wenn ein Server wegfällt, lässt sich besonders gut anhand von automatischen Lagersystemen zeigen. In vielen Herstellungsprozessen werden beim Erreichen bestimmter Fertigungsziele Komponenten aus den vorgelagerten Fertigungsschritten in ein Lager übernommen, aus dem die Teile dann für die Endfertigung abgerufen werden. Die OT dieser Lager besteht typischerweise aus einer Kette von Robotern und Förderbändern, von denen aus Einlagerungsgeräte die Komponenten auf Paletten oder Trägern in möglich platzsparend gebaute Hochregale überführen und Auslagerungsgeräte die Teil dann wieder abholen. Welche Komponente wo abgelegt ist, weiß nur die Datenbank auf dem zugeordneten Server, und der ist mit hoher Wahrscheinlichkeit ein Windows-System mit Schnittstelle zur Office-IT.

IT-Sicherheit in der Industrie 4.0

Tipps zur Risikominimierung: Sicherheitskonzepte fürs IIoT

Fällt der Server nun wegen einer Ransomware-Attacke aus, kann das Lager binnen kürzester Zeit keine Teile mehr entgegennehmen. Komponenten, die zu diesem Zeitpunkt zum Beispiel in einem Lackier- oder Pulverbeschichtungsprozess stecken, können beschädigt werden. Die Teams vor Ort und die Endfertigung wissen nicht mehr, was wo liegt. Und für einen Notfall-Übergang zu manuellem Ein- und Auslagern fehlt in den meisten modernen Werkshallen schlicht der Platz.

Jetzt kommt es darauf an, wie schnell der Server neu aufgesetzt werden kann. Mit etwas weniger Glück ist mit seinem Versagen auch der Fernwartungszugang verloren, sodass Spezialisten des Anlagenzulieferers erst einmal anreisen müssen, was unter den aktuellen Bedingungen gern deutlich länger dauert als in den durchaus bestehenden Notfall-Plänen vorausberechnet. Was die Bestände betrifft, so entscheidet die zeitliche Lücke zwischen dem letzten „sauberen“ Backup und dem Tag X darüber, wie lange die manuelle Aktualisierung der Lagerpositionen dauert. Nicht selten beansprucht allein diese Tätigkeit mehrere Tage. Auch die Kunden des Herstellers sind dann, vor allem wenn beide Parteien durch einen Just-in-Time-Prozess verbunden sind, binnen kürzester Zeit betroffen. Nur der Vollständigkeit halber: Die OT-interne Maschine-zu-Maschine-Kommunikation ist zu diesem Zeitpunkt noch immer intakt und könnte als ‚Störung‘, nur das Wegbrechen der Verbindung zum Server und gegebenenfalls die Notabschaltung vermelden.

Vor dem Hintergrund derartiger Szenarien warnen die Sicherheitsspezialisten derzeit davor, Sicherheitsmaßnahmen für die Windows- und Linux-Systeme in den Randbereichen der Produktion zu vernachlässigen. Soweit die Systeme es irgendwie zulassen, sollten sie in die für typische IT-Systeme getroffenen Vorkehrungen eingebunden werden. Ein prominentes und inzwischen weithin bekanntes Beispiel, in dem eine Ransomware-Attacke auf eine IT-Umgebung eine OT-Umgebung nachhaltig schädigen konnte, ist Colonial Pipeline.

#experte

Cybersecurity

Wie CISOs die IT-OT-Sicherheitslücke schließen können

Risiken senken ist kein Hexenwerk

Bei der bekannten Attacke auf Colonial Pipeline wurde der erste Einbruch über ein SonicWall-VPN mit Hilfe einer SQL-Injektion durchgeführt, wobei entweder Anmeldeinformationen gestohlen oder Rechte erweitert wurden. Ein klassisches Vorgehen. Das MITRE-ATT&CK-Framework hätte den Betroffenen dann Hinweise darauf gegeben, was in ihrem Netz vorgeht, weil es typische ‚Kill-Chains‘ von Angreifern mit ihren Einzelschritten listet. So wurden Verzeichnisse erstellt, Informationen heruntergeladen und/oder Dateien gesendet oder kopiert – ebenfalls Hinweise, die auch Sicherheitslösungen erkennen, nicht zuletzt, weil sie sich an MITRE-ATT&CK orientieren.

Prävention mit IT-Mitteln für typische, durch Standard-Ransomware verwundbare Systeme ist also etwas, auf das auch die OT-Security großen Wert legen sollte. Eben weil die Angreifer diesen Königsweg in die Werkshallen nur allzu gerne nutzen. Unternehmen wie Tripwire kennen inzwischen die Besonderheiten der Netze und Systeme rund um die Maschinen und können ihre Kunden dahingehend gezielt beraten. Noch schöner wäre es, wenn auch die Maschinenhersteller den Risiken gemäß handeln würden: Dadurch, dass sie ihre Software-Produktion den aktuellen Bedingungen gemäß aktualisieren, und dadurch, dass sie für den harten OT-Rand-Einsatz geeignete Server mit Leistungsreserven für Updates und Security-Tools entweder mitliefern oder zumindest unterstützen.

* Maximilian Gilg arbeitet bei Tripwire.

(ID:47898465)