Auf Cyberangriffe vorbereitet

Selbstverteidigung für die vernetzte Industrie

Als Teil des Internets der Dinge (IoT) soll die Vernetzung von Produktionssystemen die industrielle Automation in Deutschland Realität werden lassen. Viele Unternehmen schließen dafür Fabriken zusammen und verbauen in Maschinen und Anlagen ­intelligente Steuergeräte, die Daten aggregieren und an der Edge verarbeiten können. Die zunehmende Vernetzung hat jedoch ihren Preis. Im Falle eines Cyberangriffs ­können ganze Produktionslinien zum Stillstand kommen.

Selbstverteidigung

Cyberangriffe haben besonders auf vernetzte Anlagen oft verheerende Auswirkungen. Eine gute Abwehr ist das A und O.

Werden Anlagen und vernetzte Maschinen für die industrielle Fertigung angeschafft, so bleiben diese Systeme durchaus 20 Jahre und mehr in Betrieb. Ihre Funktionsweise mag dabei stets die gleiche bleibe, doch die Angriffsstrategien von Cyberkriminellen wandeln sich mit der Zeit. Und selbst wenn Hersteller oder Kunden ausgenutzte Schwachstelle schnell identifizieren, dauert das Schließen der Sicherheitslücke auf allen Geräten häufig zu lange, sodass Angreifer viel Zeit haben, sich auszubreiten.

Klassische Sicherheitslösungen, wie man sie aus der konventionellen IT kennt, lassen sich nicht ohne weiteres auf das IoT übertragen. Während herkömmliche IT-Systeme systematisch auf Schwachstellen gescannt werden und man mit Firewalls auf Basis von Signaturen versucht, Angriffe abzuwehren, ist das bei Embedded Systems in der Regel nicht möglich. Nicht nur da die Geräte weder über ausreichend Rechenleistung noch Speicherplatz verfügen, sondern auch weil die Häufigkeit von Updates auf diesen Geräten gering ist und Hackern somit große Zeitfenster bleiben, um diese Geräte anzugreifen.

Der Druck auf die Hersteller steigt

Neben der drohenden Rufschädigung im Falle einer bekannt gewordenen Schwachstelle sehen sich Zulieferer und Hersteller von vernetzten Geräten zunehmend auch dem Druck der Öffentlichkeit und der Regulierungsbehörden ausgesetzt. Weltweit werden immer mehr Vorschriften und Gesetze erlassen, die Hersteller dazu zwingen sollen, vernetzte IoT-Geräte, Industrie-Controller und Kfz-Steuergeräte abzusichern. Beispiele sind das kalifornische Gesetz SB-327 und das NIST-Framework für Cybersecurity, aber auch Vorgaben der europäischen Behörden ENISA, ETSI oder der ISO Standard 21434. Diese Vorschriften stellen die Hersteller vor eine Herausforderung, da ihre R&D-Abteilungen die Cybersicherheitsanforderungen in die bestehenden Entwicklungsprozesse integrieren müsste. Diese Prozesse zu ändern, würde jedoch die fein abgestimmten Prozesse stören und damit Markteinführungen spürbar verzögern.

Bei der Auswahl einer Sicherheitslösung sollten Unternehmen daher darauf achten, dass diese die Arbeit der Entwickler, die an eingebetteten Systemen arbeiten, nicht erschwert. Unternehmen können dabei stark vom deterministischen Charakter eingebetteter Systeme profitieren. Steuergeräte, FPGAs und andere industrielle Steuerungen sind in der Regel so konzipiert, dass sie nur bestimmte Befehle ausführen, die in den Werkseinstellungen definiert sind. Genau diese Tatsache machen sich Sicherheitslösungen für eingebettete Sicherheitssysteme zu Nutze, indem sie einen präventiven Sicherheitsansatz verfolgen. Deswegen beruhen deterministische Lösungen, wie auch Karamba Security sie anbietet, auf dem Konzept der „Control Flow Integrity“: Dieser Ansatz gleicht die Vertrauenswürdigkeit von Funktionsaufrufen und Funktionsrückgaben automatisch mit dem bekannten Idealzustand (known good state) des Funktionsaufrufgraphen des Programms ab. Wenn eine Abweichung vom „known good state“ erkannt wird, wird der Befehl automatisch verhindert und gemeldet.

Integrierter Schutz

Ein solch deterministischer Ansatz ist nicht ganz neu, und Unternehmen wie Google haben ihn beispielsweise in ihrem mobilen Android-Betriebssystem implementiert. Solch einen Ansatz nachträglich in bestehenden Code zu integrieren, steht für die meisten Hersteller jedoch nicht zur Debatte, da die Ressourcen der internen Entwickler dafür schlicht nicht ausreichen. Das ist aber auch nicht zwangsläufig notwendig. Denn es gibt Sicherheitsansätze für industrielle IoT-Controller oder Steuergeräte in Fahrzeugen die sich auch nachträglich nahtlos in den Entwicklungsprozessen integrieren lassen. Security-Anbietern ist bewusst, dass Hersteller ihre bestehenden Entwicklungsprozesse nach Möglichkeit nicht antasten möchten.

Dies ist ein Artikel aus unserer Print-Ausgabe 04/2020. Bestellen Sie ein kostenfreies Probe-Abo.

Der regulatorische Druck auf Industrieunternehmen wird sich in naher Zukunft verstärken. Um ihre Führungsrolle im industriellen IoT-Markt fortzusetzen, müssen deutsche Unternehmen prüfen, wie sie Schutzmechanismen in ihre Geräte einbetten. Eine nahtlose Integration dieser Mechanismen in bestehende Systeme ist dafür der ressourcenschonendste Weg. Hersteller können ihre R&D-Teams diesbezüglich schulen und ihnen Lösungen dafür an die Hand geben. Denn die eigentliche Aufgabe der R&D-Abteilungen ist die Bereitstellung neuer Funktionen mit hoher Qualität.

Bildquelle: Getty Images / iStock / Getty Images Plus

©2020Alle Rechte bei MEDIENHAUS Verlag GmbH

Unsere Website verwendet Cookies, um Ihnen den bestmöglichen Service zu bieten. Durch die weitere Nutzung der Seite stimmen Sie der Verwendung zu. Weitere Infos finden Sie in unserer Datenschutzerklärung.

ok