Cybersecurity für kritische Infrastrukturen

Der bekannteste Cyber-Angriff auf kritische Infrastrukturen fand 2015 in der Ukraine statt, als Hacker erfolgreich in das SCADA-System des Stromversorgers eindrangen. Wichtige Schutzschalter wurden ausgelöst und das SCADA-System wurde „gebrickt“, was zu einem systemweiten Stromausfall führte. So hatten mitten im Winter fast eine Viertel Million Menschen bis zu sechs Stunden lang keinen Strom. Kritische Infrastruktur ist weltweit weiterhin gefährdet.

Im vergangenen Oktober bestätigten Berichte aus Indien nach mehreren Dementis, dass Hacker das größte Atomkraftwerk des Landes in Kudankulam im südlichen Bundesstaat Tamil Nadu infiltriert hatten. Nach Angaben der Viren-Scanner-Website VirusTotal gelang es den Hackern, mindestens einen Computer mit der Spyware Dtrack zu infizieren, bevor der Angriff bemerkt wurde. Kriminelle hatten zuvor die DTrack-Spyware in Indien bei Geldautomaten eingeschleust, um Kreditkartennummern und andere personenbezogene Informationen (PII) zu stehlen. Es wird befürchtet, dass die Täter unter Umständen eine große Menge an Daten vom Kernkraftwerk gewonnen haben, die für schädliche Zwecke, wie etwa Sabotage oder Diebstahl radioaktiven Materials, an Terroristen verkauft werden könnten.

Berichten zufolge befindet sich unterdessen mindestens eine Ölanlage unter den Opfern einer neuen Art von Ransomware. Wie zu erwarten, funktioniert die Ekans-Schadsoftware so, dass sie Daten verschlüsselt und eine Lösegeldforderung hinterlässt. Die 2015 gegen koreanische Fertigungsanlagen eingesetzte Duuzer-Schadsoftware funktionierte auf ähnliche Weise. Was die Ekans-Schadsoftware neuartig und gefährlicher macht, ist die Tatsache, dass sie vor allem industrielle Steuersysteme zum Ziel hat. Spezielle IACS-Softwareprozesse werden, was verhindert, dass Betreiber Betriebsabläufe überwachen oder steuern. Die Konsequenzen könnten für menschliches Leben und die Umwelt verheerend sein.

IEC 62443: Die internationale Normenreihe für Cybersecurity in der Industrieautomatisierung

Die internationale Normenreihe IEC 62443 befasst sich mit der Cybersecurity von „Industrial Automation and Control Systems" (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller.

Viele Kraftwerke und Industrieanlagen haben diesen Bedrohungen nichts entgegenzusetzen.

Ein großes Problem besteht laut einem aktuellen IEC-Technologiebericht darin, dass Cybersecurity allzu häufig nur in Bezug auf IT (Informationstechnik) verstanden wird. Diejenigen, die für Sicherheit verantwortlich sind, übersehen allerdings häufig die betrieblichen Einschränkungen in Bereichen wie Energieversorgung, Herstellung, Gesundheitswesen oder Transport. Das Wachstum angeschlossener Geräte hat die Konvergenz der einst getrennten Bereiche IT und Betriebstechnik beschleunigt.

Aus Sicht der Cybersecurity besteht die Herausforderung darin, dass IACS – im Gegensatz zu Unternehmenssystemen – tatsächlich dahingehend ausgelegt sind, den Zugang aus verschiedenen Netzwerken zu erleichtern.

Das liegt daran, das industrielle Umgebungen verschiedenen Arten von Risiken ausgesetzt sind. Während die IT-Sicherheit den Fokus zu gleichen Teilen auf den Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Daten legt, der sogenannten „C-I-A-Triade“, ist in der Welt der OT Zuverlässigkeit von größter Wichtigkeit.

Prioritäten für OT-Umgebungen legen den Schwerpunkt auf Gesundheit, Sicherheit und den Schutz der Umwelt. Im Notfall ist es zum Schutz des Personals oder zur Minimierung der Auswirkungen von Naturkatastrophen daher von entscheidender Bedeutung, dass die Betreiber rechtzeitig genaue Informationen erhalten und schnell geeignete Maßnahmen ergreifen können, wie zum Beispiel die Abschaltung der Stromversorgung oder die Verlagerung auf Ersatzgeräte.

CERT@VDE – Die erste IT-Sicherheitplattform in Deutschland für Industrieunternehmen

Digitalisierung und Industrie 4.0 eröffnen große Chancen und Wertschöpfungspotenziale. Zugleich steigt mit der fortschreitenden Vernetzung der Produktionssysteme das Risiko von Cyber-Angriffen.
Während große internationale Unternehmen und Institutionen über eigene Computer Emergency Response Teams (CERTs) verfügen, mangelt es vielen Industrieunternehmen an Ressourcen für spezialisierte Notfallteams. Die Lösung dieses Problems hat sich CERT@VDE zum Ziel gesetzt. CERT@VDE unterstützt alle Unternehmen im komplexen Bereich der Automatisierungsindustrie.

SCADA-Systeme, die der Überwachung von Stromnetzen sowie Anlagen und Maschinen in industriellen Installationen dienen, stützen sich oft auf „Sicherheit durch Unklarheit“, was die tief verwurzelte Denkweise widerspiegelt, dass niemand ihre Kommunikationssysteme oder Daten kennt oder sich um sie kümmert und man sie daher nicht schützen muss.

SCADA-Systeme können heute jedoch über weit verbreitete Kommunikationsnetze verfügen, die zunehmend direkt oder indirekt Tausende von Einrichtungen erreichen, wobei zunehmende Bedrohungen (sowohl absichtlich als auch versehentlich herbeigeführt) möglicherweise ernsthafte Schäden an Menschen und Geräten verursachen können. Die Nachrüstung geeigneter und effektiver Sicherheitsmaßnahmen ist für diese SCADA-Systeme recht schwierig geworden. In der IT-Welt stehen beispielsweise Systeme zur Erkennung und Verhinderung von Eindringen (IDPSs) bei der Verteidigung gegen Schadsoftware an vorderster Front.

IDPS sind üblicherweise Softwareanwendungen, die den Netzwerkverkehr abhören. Je nachdem, wie sie konfiguriert sind, können IDPS alles tun – von der Berichterstattung über Einbruchsversuche bis hin zu Maßnahmen, die darauf abzielen, die Auswirkungen von Verstößen zu verhindern oder abzuschwächen. Die Herausforderung bei SCADA-Systemen besteht darin, zwischen normalen Daten und möglicherweise eindringenden Daten, die Schäden verursachen könnten, zu unterscheiden.

„Falls der Eindringling ordentlich formulierte Protokollmeldungen verwendet, erkennt das IDPS dies unter Umständen nicht als Eindringen“, erklärt Frances Cleveland, Cybersecurity-Expertin für Smart Grids und Initiatorin von IEC/TC 57/WG 15. In dieser Arbeitsgruppe wird die Normenreihe IEC 62351 für den Betrieb von Energieversorgungssystemen entwickelt.

„Die beste Lösung besteht für SCADA-Systeme in der Anwendung von Sicherheit bei ihren Kommunikationsprotokollen“, erläutert Cleveland weiter. „Sicherheit bedeutet nicht unbedingt die Verschlüsselung von Meldungen, aber mindestens das Hinzufügen von Authentifikation und Autorisierung sowie von Überprüfung der Datenintegrität, während weiterhin die Paketüberprüfung der Meldungen ermöglicht wird, die IDPS bei der Bestimmung, ob ungültige Daten weitergeleitet werden, unterstützt.“

Kommunikation und Datenaustausch in der Energieversorgung – aber sicher!

Die VDE SPEC 90002 greift unter anderem folgende Fragen auf:

• Ist eine sicherere Kommunikation erforderlich?
• Sind die etablierten Kommunikationsprotokolle sicher?
• Wie kann die IEC-Normenreihe 62351 angewendet werden?

Internationale Normen bieten basierend auf weltweit bewährten Verfahren Lösungen für viele dieser Herausforderungen.

Die internationale Normenreihe IEC 62443 zielt beispielsweise darauf ab, den Betrieb von OT-Systemen aufrechtzuerhalten. Die Normenreihe kann auf jede industrielle Umgebung angewendet werden, einschließlich kritischer Infrastruktureinrichtungen, wie etwa bei Stromversorgern oder in Kernkraftwerken, aber auch in den Bereichen Gesundheitswesen und Transport.

Das für die Industrie ausgelegte Cybersecurity-Programm der IECEE – das IEC-System von Konformitätsbewertungsprogrammen für elektrotechnische Geräte und Komponenten – prüft und zertifiziert Cybersecurity im Bereich der industriellen Automatisierung. Das IECEE-Konformitätsbewertungsprogramm umfasst ein Programm, das Zertifizierungen nach Normen aus der Normenreihe IEC 62443 bietet.

In einer idealen Welt wären Kraftwerke und andere kritische Infrastrukturen bereits durch ihr Design sicher. Zusätzlich zu den Sicherheitsstandards für die wichtigsten Kommunikationsprotokolle bietet IEC 62351 Anleitungen für Sicherheit in Systemen und Operationen durch ihr Design vor ihrem Aufbau, anstatt Sicherheitsmaßnahmen nach der Implementierung der Systeme anzuwenden. Die Denkweise dahinter ist, dass die nachträgliche Einbringung von Sicherheit durch Patches im besten Fall nur eine schnelle Behebung sein kann und im schlechtesten Fall zu spät kommt, um Schäden zu verhindern.

Mit dem DKE Newsletter sind Sie immer am Puls der Zeit! Monatlich ...

• fassen wir die wichtigsten Entwicklungen in der Normung kurz zusammen
• berichten wir über aktuelle Arbeitsergebnisse, Publikationen und Entwürfe
• informieren wir Sie bereits frühzeitig über zukünftige Veranstaltungen

Ein kürzlich veröffentlichter IEC-Bericht zu Cybersecurity empfiehlt, der Widerstandsfähigkeit Vorrang vor traditionellen Cyberverteidigungsansätzen zu geben. Der Bericht erläutert, dass es bei der Erreichung von Widerstandsfähigkeit darum geht, Risiken zu verstehen und zu mindern, aber auch Sicherheitsereignisse zu erkennen und zu bewältigen, wenn sie passieren. Es gibt keine Möglichkeit, sie komplett zu verhindern. Selbst Systeme, die durch ihr Design sicher sind, müssen kontinuierlich und umfassend überwacht werden, obwohl sie sicherer sind. IEC-Normen betonen die Bedeutung davon, den richtigen Schutz an den richtigen Stellen im System anzuwenden und dabei die Sicherheit und die Zuverlässigkeit der Prozesse zu beachten.

Es ist wichtig, dass dieser Prozess eng mit den Organisationszielen abgestimmt ist, da Entscheidungen zur Ergreifung von Maßnahmen zur Risikominderung schwerwiegende Auswirkungen auf den Betrieb haben können. „Widerstandsfähigkeit ist nicht nur ein technisches Problem“, warnt der Bericht, „sondern muss einen ganzheitlichen Geschäftsansatz beinhalten, der IT-Sicherheitstechniken mit Systemtechnik und -betrieb kombiniert, um sich auf veränderte Bedingungen vorzubereiten und sich an diese anzupassen sowie Störungen zu überstehen und sich schnell davon zu erholen.“

Redaktioneller Hinweis

Der englischsprachige Originalartikel erschien erstmals auf etech.iec.ch in der Ausgabe 02/2020.
Zu finden unter: https://etech.iec.ch/issue/2020-02/cyber-security-for-critical-infrastructure

Die im Text aufgeführten Normen können Sie im VDE VERLAG erwerben.

Die starke Vernetzung unserer Infrastrukturen ruft einige Bedrohungen der Informationssicherheit und des Datenschutzes bei Systemen hervor. Innerhalb der DKE werden im Arbeitsfeld Cybersecurity wichtige Sicherheitsfragen behandelt, die sich über die gesamte Laufzeit eines Systems bzw. einer Systemkomponente erstrecken. Ein Hauptziel aus Normungssicht ist dabei, Cybersecurity als Innovationsthema zu verstehen und in den relevanten Bereichen ganzheitlich zu adressieren.