Vielschichtige Abwehrsysteme aufbauen

IT-DIRECTOR: Herr Steer, wie schätzen Sie derzeit die Bedrohung für Cyber-Angriffe auf Industrieanlagen bzw. -maschinen von Großunternehmen oder staatlichen Institutionen ein?
J. Steer: Derartige Attacken sind seit einigen Jahren eine wachsende aber auch bekannte Bedrohung, spätestens seit Stuxnet groß in den Schlagzeilen war – wobei ich davon ausgehe, dass ein derartiges Angriffsszenario bereits seit mehr als zehn Jahren als möglich erachtet wird. Gerade Angriffe auf staatliche Infrastrukturen sind eine reale Gefahr geworden und erfordern eine verstärkte Beachtung und Planung von Seiten der verantwortlichen Stellen. Regierungsorganisationen bauen deshalb gerade ihre Cyber-Strategie aus, um das Risiko eines solchen Angriffs zu minimieren und die Sicherheit ihres Landes zu gewährleisten.

IT-DIRECTOR: Wie viele und welche Attacken auf solche Anlagen sind 2012 ans Licht gekommen?
J. Steer: Die genaue Zahl ist unbekannt – bisher machen wenige Stellen diese Angriffe öffentlich, weshalb die tatsächliche Zahl wohl weit größer als angenommen ist. Im schlimmsten Fall kennen wir nur die Spitze des Eisbergs und die Zahl wird in den kommenden Jahren noch ansteigen. Dabei sind auch weiterhin Wasser- und Stromversorgung sowie die Luftfahrtkontrolle die wahrscheinlichsten Ziele.

IT-DIRECTOR: Sind nur Anlagen mit IP-Adressen gefährdet? Inwieweit erweisen sich ICS- und SCADA-Systeme (Industry Control Systems, Supervisory control and data acquisition) als die größten Schwachstellen?
J. Steer: Nein – es besteht überall ein Risiko, wo ein PC verwendet wird, egal ob dieser direkt mit dem Internet verbunden ist. Selbst der Einsatz von „Air Gaps“ – also der bewussten Nichtvernetzung bestimmter Systeme – schließt Angriffe nicht vollends aus, da in solchen Fällen – wie sie häufiger zum Schutz von beispielsweise Scada-Systemen eingesetzt werden – spezielle Attacken verwendet werden, die solche Air Gaps umgehen. Ich denke, dass der Wechsel vieler Scada-Systeme von proprietären Betriebssystemen zu Windows o.ä – meist um Kosten zu sparen – das Risiko für Angriffe noch erhöht hat, insbesondere weil es für Angreifer leichter ist, eine Methode mit nur kleinen Anpassungen wiederzuverwenden. Ein prominentes Beispiel ist hierbei Stuxnet – der Exploit ging hierbei von einer Schwachstelle in Windows aus. Naturgemäß sind ICS- und Scada-Systeme ein größeres Ziel und müssen daher besser geschützt werden – die Folgen eines erfolgreichen Angriffs sind heutzutage einfach viel weitreichender für ein Land oder eine Gesellschaft, mit Stromausfällen, Wasserknappheit oder einem Zusammenbruch des Verkehrswesens nur als Beispiele.

IT-DIRECTOR: Mit welchen Frühwarnsystemen und konkreten Sicherheitsmaßnahmen können die Verantwortlichen solchen Angriffen entgegenwirken?
J. Steer: Um das Risiko so weit wie möglich zu minimieren, muss man sein Abwehrsystem aus mehreren Komponenten aufbauen. Dazu gehören beispielsweise:
- SIEM-Systeme, um Korrelationen zwischen den Informationen verschiedener Sicherheitssysteme (IPS, FW, AV etc.) herzustellen
- Eine erstklassige Lösung zur Abwehr von APTs
- Malware-Analyse-Tools, um Schadsoftware, die versucht ins System einzudringen, zu erkennen und ihre Wirkungsweise zu analysieren
- Umfassende forensische Analysesysteme, um USB-Sticks und andere Speichermedien zu scannen, die zur Überbrückung von „Air Gaps“ verwendet werden können.

IT-DIRECTOR: Welchen Schutz gibt es insbesondere für ICS- und Scada-Systeme?
J. Steer: Bis vor ungefähr fünf Jahren waren meines Wissens die meisten Systeme nicht mit einem größeren Netzwerk verbunden. Dies hat sich inzwischen geändert, meist um Management und Monitoring der Systeme leichter und günstiger zu gestalten. Das große Problem daran ist aber, dass viele Systeme ursprünglich nicht darauf ausgelegt waren, in ein Netzwerk eingebunden zu sein – was schließlich zu Sicherheitslücken führt, die Angriffe auf die Systeme für Kriminelle einfacher machen. Dies wird durch den zuvor schon erwähnten Wechsel zu allgemeinen Betriebssystemen wie Windows bei vielen Scada-Systemen noch verstärkt. Insgesamt kann man also sagen, dass in vielen Fällen Kostensenkung und Vereinfachung des Systemmanagements zu Lasten der Sicherheit erreicht wurden.

IT-DIRECTOR: Wurde ein Cyber-Angriff auf Anlagen und Maschinen bemerkt – welche Ad-hoc-Maßnahmen sollten sofort in die Wege geleitet werden?
J. Steer: Leider werden die meisten Angriffe erst gar nicht registriert. Für den Fall aber, dass sie entdeckt werden, hat die Minimierung des weiteren Risikos oberste Priorität. Das bedeutet, dass man das infizierte System vom Netzwerk trennt und nachvollzieht, wie die Attacke abgelaufen ist. Hierzu gehören Schritte, wie:
- Analyse von Logs und forensischen Daten aus dem System, um den Tathergang zu rekonstruieren
- Sicherstellen von Schadcodes, die während des Angriffs eingesetzt wurden, um das System gegen diese Art Malware in Zukunft sichern zu können
- Aus unserer Sicht zusätzlich empfehlenswert ist es, alle gesammelten Informationen mit der IT-Security-Community zu teilen – nur, durch das Teilen und Verbreiten von Informationen können wir alle nachhaltig an einem erhöhten Sicherheitslevel für kritische Infrastruktur arbeiten.

IT-DIRECTOR: Welche Bemühungen existieren auf nationaler wie internationaler staatlicher Ebene, um Cyber-Bedrohungen für Industrieanlagen bzw. -maschinen abzuwehren?
J. Steer: Die Zahl an Angriffs- und Spionageversuchen auf dieser Ebene ist über die letzten Jahre rasch angewachsen, ebenso wuchs aber auch die Aufmerksamkeit, die staatliche Stellen der Thematik entgegenbringen. Je mehr den Staaten die möglichen Folgen für Bevölkerung und Wirtschaft bewusst werden, umso mehr werden Diskussionen und Planungen zu nationalen und internationalen Abwehrmaßnahmen vorangetrieben. In Europa arbeitet zum Beispiel Interpol mit der EU zusammen an Strategien, die sowohl Unternehmen als auch Individuen vor Angriffen über das Internet schützen sollen. Ebenso hat die EU gerade ein Cybercrime-Zentrum eingerichtet, das dem Schutz kritischer Infrastruktursysteme gegen Cyber-Angriffe dienen soll.