Passwortschwächen ausgenutzt

IT-DIRECTOR: Herr Yeo, wie schätzen Sie derzeit die Bedrohung für Cyber-Angriffe auf Industrieanlagen bzw. -maschinen von Großunternehmen oder staatlichen Institutionen ein?
J. Yeo: Bis vor einigen Jahren wurde Sicherheit im Bereich Industriesteuerungen als nicht sehr wichtig betrachtet. Traditionell waren diese Systeme mit nichts verbunden. Mittlerweile basieren sie auf weitverbreiteten Betriebssystemen und stützen sich auf gewöhnliche Netzwerkprotokolle (z.B. TCP/IP). Aus diesem Grund war ein Paradigmenwandel nötig. Es ist nicht länger nur der physische Sicherheitsaspekt des System zu beachten, dem zuvor das Hauptaugenmerk galt. Nun muss auch die Sicherheit des Netzwerks und des Systems berücksichtigt werden.

IT-DIRECTOR: Wie gehen Cyber-Kriminelle bei ihren Angriffen vor?
J. Yeo: Wir haben keine detaillierten Daten zu Sicherheitsverletzungen im Bereich Industriesteuerungen. Allerdings können wir feststellen, dass Angreifer häufig Lösungen für Remote-Zugriff attackieren, um in einer Umgebung Fuß zu fassen. Von diesem Ausgangspunkt können dann weitere Angriffe gestartet werden. Häufig werden im ersten Schritt Schwächen wie ein Default-Passwort, einfach zu erratende Passwörter oder fehlende Zwei-Faktor Authentifizierung ausgenutzt. Darauf folgt dann eine schwerwiegendere Attacke. Wie im Trustwave Global Security Report 2013 (https://www2.trustwave.com/2013GSR.html) dargelegt, waren bei 47 Prozent der 450 untersuchten Sicherheitsverletzungen, die wir im Jahre 2012 analysiert haben, Lösungen für Remote-Zugriff die Stelle, an der Angreifer zuerst eindringen konnten. Dies war bei allen untersuchten Arten von Sicherheitsverletzungen festzustellen.

IT-DIRECTOR: Sind nur Anlagen mit IP-Adressen gefährdet? Inwieweit erweisen sich ICS- und Scada-Systeme (Industry Control Systems, Supervisory control and data acquisition) als die größten Schwachstellen?
J. Yeo: Heute sind immer mehr Industriesteuerungen TCP/IP-fähig (verkabelt oder drahtlos). Damit wird eine Angriffsfläche geboten, über die sich Zutritt verschafft wird, die bisher nur schwierig oder überhaupt nicht erreichbar war. Diese Umgebungen sind mittlerweile insbesondere dann gefährdet, wenn sie mit wenigen Schutzmaßnahmen ans öffentliche Internet angeschlossen sind.

Im Rahmen unseres Sicherheitsreports ist ein immer wiederkehrendes Schema zu erkennen. Viele Angreifer sind in der Lage, Systeme am Perimeter (oder an den Endpunkten der Nutzersysteme) anzugreifen. Dann verlagern sie ihren Angriff durch die befallenen Systeme um und erhalten so Zugriff auf ihr endgültiges Ziel. Dies unterstreicht, wie wichtig es für Unternehmen ist, diejenigen Netzwerke in ausreichendem Maße voneinander zu trennen, die nach verschiedenen Stufen an Schutz, Möglichkeiten zur Erkennung von Angriffen und Vertrauen verlangen.

IT-DIRECTOR: Mit welchen Frühwarnsystemen und konkreten Sicherheitsmaßnahmen können die Verantwortlichen solchen Angriffen entgegenwirken?
J. Yeo: Eines der Hauptergebnisse des Reports ist, dass Unternehmen Sicherheitsverletzungen häufig nur schlecht selbst entdecken können. So lag die durchschnittliche Zeit, die Unternehmen vom Eindringen bis zur Behebung des Problems benötigten, bei 210 Tagen. Es dauert damit sogar um 35 Tage länger als im letzten Jahr. Fehlende effektive Kontrollen zur Datenerfassung und zur Überwachung sind einer der häufigsten Gründe, warum Unternehmen Sicherheitsverletzungen nicht rechtzeitig entdecken. Um dies effizient zu erledigen, ist ein kombinierter Ansatz aus Mitarbeiter-Know-how, Prozessen und Technologien nötig, damit Aktivitäten auf Netzwerk und System überwacht und abweichendes Verhalten erkannt werden kann. Es gibt dafür keine alles lösende Geheimwaffe.

IT-DIRECTOR: Welchen Schutz gibt es insbesondere für ICS- und Scada-Systeme?
J. Yeo: Allgemein sind sichere Verbindungen (wenn möglich) mithilfe von Air-Gap-Netzwerken zu realisieren. Netzwerke sollten zumindest minimal voneinander getrennt sein, sobald auf ihnen verschiedene Sicherheitsstufen gelten.

Durch Trennung der Netzwerke kann man einfacher:
1.            Schutzmechanismen am Perimeter einer Hochsicherheitszone durchsetzen, um Systeme wichtiger Industriesteuerungsanlagen zu schützen.
2.      Effektive Zugangskontrolle auf und innerhalb dieser Zone verwalten.
3.      Abweichendes Verhalten innerhalb dieser Zone erkennen und überwachen.
4.      Effektiv Vorgänge innerhalb dieser Zone untersuchen und darauf reagieren.
5.      Eine Datenschutzverletzung eindämmen, sollte sie innerhalb dieser Zone auftreten.
Allerdings gab es natürlich einige prominente Fälle von Scada- und anderen Industriesteuerungsanlagen, die erfolgreich gehackt wurden.

IT-DIRECTOR: Wurde ein Cyber-Angriff auf Anlagen und Maschinen bemerkt – welche Ad-hoc-Maßnahmen sollten sofort in die Wege geleitet werden?
J. Yeo: Alle Unternehmen sollten eine angemessene Strategie für Incident Response festlegen, die ihrer jeweiligen Branche angemessen ist. Eine ausgereifte Incident-Response-Strategie muss mit einer konsequenten Bewertung der Risiken der betroffenen Umgebung einhergehen. Man muss die verschiedenen möglichen Bedrohungen und deren Folgen genau verstehen.

IT-DIRECTOR: Welche Bemühungen existieren auf nationaler wie internationaler staatlicher Ebene, um Cyber-Bedrohungen für Industrieanlagen bzw. -maschinen abzuwehren?
J. Yeo: Dies ist von Land zu Land unterschiedlich. In Großbritannien hat sich über die Jahre hinweg beispielsweise ein komplexes „Ungetüm“ dazu herausgebildet. Das Centre for the Protection of National Infrastructure (CPNI) [http://www.cpni.gov.uk] hat beispielsweise den Auftrag, kritische, nationale Infrastruktur zu schützen. Darüber hinaus gibt es eine übergeordnete Regierungsorganisation, das Office of Cyber Security & Information Assurance (OCSIA) und eine nationale Technikinstitution zur Informationssicherung innerhalb der Government Communications Headquarters (GCHQ), die sich Communications Electronic Security Group (CESG) nennt.

Natürlich unternehmen Regierungsbehörden alles in ihrer Macht stehende und stellen Leitlinien für die Praxis zur Verfügung. Allerdings liegt die Verantwortung letztlich bei Inhabern oder Betreibern der Systeme. Sie müssen die nötige Sorgfalt walten lassen und verstehen, was die nötigen Maßnahmen sind, um ihre Umgebung ausreichend zu schützen, Sicherheitsverletzungen zu erkennen und angemessen darauf zu reagieren. Dem muss ein kontinuierlicher Prozess der Risikobewertung der in Frage kommenden Industriesteuerungsanlage zugrundeliegen.