Isolation der Infrastruktur reicht nicht aus

IT-DIRECTOR: Herr Preuß, wie schätzen Sie derzeit die Bedrohung für Cyber-Angriffe auf Industrieanlagen bzw. -maschinen von Großunternehmen oder staatlichen Institutionen ein?
M. Preuß: Die größte Gefahr sind Angriffe auf Hardware- und Softwaresysteme, welche technologische Prozesse kontrollieren. Die zweitgrößte Gefahr geht von kriminellen Gruppen aus, die auf die Integrität von Informationen in Industrieanlagennetzwerken abzielen. Beide Bedrohungen kann man als Gefahren von außen klassifizieren, obwohl diese Attacken ihren Ursprung sowohl im Internet als auch innerhalb des geschützten Netzwerks haben können.

Interne Bedrohungen für Industrieanlagen entstehen gewöhnlich durch Mängel oder Unkenntnis administrativer Sicherheitsmaßnahmen. Eine solche Attacke könnte durch einen infizierten USB-Stick oder durch das Ausnutzen netzinterner Mechanismen ausgelöst werden. Schadsoftware kann sich beispielsweise verbreiten, indem gemeinsam genutzte Ordner oder Schwachstellen in Netzwerkdiensten missbraucht werden. Darüber hinaus führen ineffiziente Sicherheitsrichtlinien häufig dazu, dass Anlagenbetreiber zu sorglos agieren oder beispielweise Scada-Knotenpunkte direkt mit dem Internet verbunden werden, vermutlich um bequemere Remote-Control-Funktionen einsetzen zu können. Leider sind solche großen Sicherheitsprobleme in diesem Bereich sehr typisch.

IT-DIRECTOR: Sind nur Anlagen mit IP-Adressen gefährdet? Inwieweit erweisen sich ICS- und Scada-Systeme (Industry Control Systems, Supervisory control and data acquisition) als die größten Schwachstellen?
M. Preuß: Wir sind der Meinung, dass sogenannte „Security through obscurity“-Ansätze oder die Isolierung einer kritischen Infrastruktur allein nicht effizient genug sind. Stuxnet war das erste und prominenteste Beispiel dafür, dass die Isolation einer kritischen Infrastruktur ausgehebelt werden kann – vor allem durch zu wenige effiziente Sicherheitsrichtlinien, da das Schadprogramm die anvisierten Anlagen vermutlich via USB-Stick infiziert hat. Ein weiteres Beispiel ist die kürzlich enthüllte „Operation Roter Oktober“. Dabei handelte es sich um eine Cyberspionage-Kampagne, bei der sehr komplexe Malware eingesetzt wurde. Ein Bestandteil des Schadprogramms konnte sich selbstständig ausbreiten, indem USB-Laufwerke und lokale Netzwerkressourcen ausgenutzt wurden, nachdem der externe Sicherheitsperimeter umgangen wurde.

Scada-Systeme wiederum sind bekanntermaßen angreifbar. Auch wenn entsprechende Fixes verfügbar sind: Es gibt keine Garantie, dass sie auch lückenlos und zeitnah angewendet werden. Die Lebensdauer von Industrieanlagen kann deutlich über zehn Jahre hinausgehen, was bedeutet, dass diese oft von veralteter Hard- und Software gesteuert werden, inklusive bekannten und öffentlich verfügbaren Informationen über kritische Schwachstellen. Insgesamt denken wir, dass wir aufgrund des ineffizienten Ansatzes „Security through obscurity“ und der Unmöglichkeit, veraltete Scada-Systeme schnell ersetzen zu können, neue Schutzmethoden benötigen – wie zum Beispiel das von Kaspersky Lab entwickelte Betriebssystem für kritische Industrieanlagen.

IT-DIRECTOR: Mit welchen Frühwarnsystemen und konkreten Sicherheitsmaßnahmen können die Verantwortlichen solchen Angriffen entgegenwirken?
M. Preuß: Die essentielle Herausforderung hinsichtlich kritischer Industrieanlagen ist ein zuverlässiges Monitoring. Betreiber solcher Systeme müssen präzise Informationen über ihre Systemknotenpunkte haben, wie beispielsweise die Telemetrie von bestimmten Kontrollsystemen. Dies allein kann Attacken nicht vermeiden, allerdings können die Ursachen von Vorfällen erkannt und Gegenmaßnahmen eingeleitet werden. Wenn die Angreifer in der Lage sind, das Monitoring zu verfälschen, kann die Attacke allerdings nicht erkannt werden. Der Ansatz eines eigenen sicheren Betriebssystems für kritische Industrieanlagen, den Kaspersky Lab erforscht und entwickelt hat, löst dieses Problem durch ein zusätzliches, stark geschütztes und vollkommen zuverlässiges Kontrolllevel. Kombiniert mit traditionellen Sicherheitstechnologien wie exakten Risiko-Evaluationsystemen, Entwicklung von Säuberungsfunktionen, der Einführung von Sicherheitsrichtlinien sowie zeitnahen Software-Updates bietet ein solches Betriebssystem einen effektiveren Schutz für kritische Infrastruktursysteme.

IT-DIRECTOR: Wurde ein Cyber-Angriff auf Anlagen und Maschinen bemerkt – welche Ad-hoc-Maßnahmen sollten sofort in die Wege geleitet werden?
M. Preuß: Bekämpfungstechniken bei kritischen Infrastrukturen sind im Vergleich zu gewöhnlichen Computerumgebungen komplett unterschiedlich. Wird eine Attacke innerhalb eines normalen Unternehmensnetzwerk entdeckt, ist die beste Option, um sich vor weiteren Konsequenzen zu schützen, eine Isolation oder das zeitweilige Abschalten der betroffenen Kontenpunkte. Allerdings können Industrieanlagen nicht ohne weiteres isoliert oder abgeschaltet werden. Insgesamt gibt es leider keine Universalantwort auf diese Frage. Auf alle Fälle müssen die Verantwortlichen sichergehen, dass keine kritischen Ausfälle entstehen, ungeachtet von möglichen Angriffen von außen.