Einführung
Es ist seit langem bekannt, dass die Sicherheit in Industrieanlagen entscheidend ist. Unternehmen, die Roboter, Maschinen, Produktionslinien und verschiedene Arten von Industrieanlagen liefern, legen großen Wert auf die Sicherheit der Bediener und Benutzer. Die Gesundheit und das Leben der Menschen sind unbezahlbar, und es werden erhebliche Investitionen in Lösungen getätigt, die die Menschen vor möglichen Schäden schützen sollen. Es wurden auch große Anstrengungen unternommen, um Standards, Vorschriften und Gesetze zu schaffen, die die Umsetzung angemessener Sicherheitsmaßnahmen in industriellen Umgebungen vorschreiben.
In letzter Zeit ist das Bewusstsein für eine andere Art von Bedrohung, die für das bloße Auge unsichtbar ist, in Bezug auf die Cybersicherheit deutlich gestiegen. Der Trend deutet darauf hin, dass industrielle Geräte zunehmend mit der IT-Welt integriert werden. Diese Geräte werden mit Protokollen und Lösungen ausgestattet, die für die traditionelle IT-Infrastruktur typisch sind. Es wird nun erwartet, dass diese Geräte über einen Standard-Webbrowser konfiguriert werden können, Lösungen für die Speicherung von Daten in SQL- und NoSQL-Datenbanken bieten und eine nahtlose Integration mit Cloud-Technologien ermöglichen, die eine Fernüberwachung und -steuerung von Anlagen von jedem Ort der Welt aus erlauben. Diese neuen Möglichkeiten erhöhen jedoch auch das Risiko und erweitern die potenzielle Angriffsfläche für Bedrohungen, die immer häufiger auftreten und schwerwiegende Folgen haben können.
Dieser kurze Artikel gibt eine Einführung in das breite Thema der ICS- und OT-Sicherheit. Ziel ist es, die Leser mit einigen der wichtigsten Konzepte und Begriffe vertraut zu machen und ihnen wichtige Ressourcen an die Hand zu geben, um dieses faszinierende Gebiet zu erforschen.
Was ist ICS?
Industrielle Kontrollsysteme (ICS) sind integrierte Hardware- und Softwaresysteme, die zur Überwachung und Steuerung industrieller Prozesse eingesetzt werden. Diese Systeme sind wichtige Komponenten in Sektoren wie Fertigung, Energie, Wasseraufbereitung und Transport. ICS umfasst verschiedene Technologien wie Supervisory Control and Data Acquisition (SCADA)-Systeme und Speicherprogrammierbare Steuerungen (PLC). Diese Systeme ermöglichen automatisierte Abläufe, Datenerfassung und Echtzeit-Kontrolle und sorgen so für einen effizienten und sicheren Betrieb von Industrieprozessen.
Abbildung 1 Ein Beispiel für ein industrielles Kontrollsystem. Es enthält ein SCADA-System (in der Regel ein Server mit einer fortschrittlichen Visualisierung der industriellen Prozesse), zwei SPS-Steuerungen und industrielle Geräte mit integrierten Steuereinheiten, die direkt von den SPS-Programmen gesteuert werden. Dies ist ein winziges System – ein echtes System kann Tausende von Geräten enthalten.
Was ist OT?
Operative Technologie (OT) – programmierbare Systeme oder Geräte, die mit der physischen Umgebung interagieren oder Geräte verwalten, die mit der physischen Umgebung interagieren. Diese Systeme/Geräte erkennen oder verursachen eine direkte Veränderung durch die Überwachung und Steuerung von Geräten, Prozessen und Ereignissen. Beachten Sie, dass der Begriff OT weiter gefasst ist als der Begriff ICS und dass OT auch ICS einschließt. Neben industriellen Kontrollsystemen kann die OT-Infrastruktur auch aus Gebäudemanagementsystemen, Brandschutzsystemen und physischen Zugangskontrollmechanismen bestehen. [1]
Abbildung 2 Der Begriff Operational Technology ist weiter gefasst als der Begriff Industrial Control Systems. Die OT umfasst ICS.
NIST-Leitfaden für die Sicherheit von Betriebstechnologien (OT)
Die NIST Special Publication 800-82 Revision 3 mit dem Titel Leitfaden zur Sicherheit von Betriebstechnologien (OT)bietet umfassende Richtlinien für die Sicherung von OT-Umgebungen, einschließlich industrieller Kontrollsysteme. Dieses Dokument bietet einen detaillierten Überblick über die Sicherheitsherausforderungen im Zusammenhang mit OT-Systemen. [2]
Der Leitfaden beschreibt bewährte Verfahren für die Implementierung robuster Sicherheitsmaßnahmen in OT-Umgebungen und geht dabei auf Bereiche wie Risikomanagement, Systemschutz, Reaktion auf Vorfälle und Systemwiederherstellung ein. Er unterstreicht die Notwendigkeit eines Defense-in-Depth-Ansatzes, bei dem mehrere Ebenen von Sicherheitskontrollen zum Schutz vor verschiedenen Bedrohungen – von Insider-Bedrohungen bis hin zu ausgeklügelten Cyberangriffen – integriert werden. Außerdem wird die Bedeutung der Zusammenarbeit zwischen IT- und OT-Teams hervorgehoben, um kohärente Sicherheitsstrategien zu entwickeln, die den einzigartigen Eigenschaften von OT-Systemen Rechnung tragen.
Insgesamt dient der Leitfaden als wichtige Ressource für Unternehmen, die die Sicherheit ihrer OT-Infrastruktur verbessern wollen. Er enthält praktische Empfehlungen und Rahmenwerke für die Bewertung, Verwaltung und Minderung von Sicherheitsrisiken in komplexen industriellen Umgebungen.
Beachten Sie, dass das oben genannte Dokument ein Nachfolgedokument ist: Leitfaden für die Sicherheit von industriellen Kontrollsystemen (ICS), NIST Special Publication 800-82. [3] Schon der Name des Dokuments deutet darauf hin, dass es von einem Thema, das sich mit IKS befasst, zu einem Thema, das sich mit OT befasst, verallgemeinert wurde, was dem beobachteten Trend entspricht.
Die Einleitung des Dokuments enthält eine Liste von Sicherheitsvorfällen, für die die OT-Infrastruktur potenziell anfällig ist. Sie sind in der folgenden Tabelle zusammengefasst.
Tabelle 1 Potenzielle Sicherheitsvorfälle, die die OT-Infrastruktur betreffen können [2]
| Vorfall Typ | Beschreibung |
|---|---|
| Blockierter oder verzögerter Informationsfluss | Unterbrechung des OT-Betriebs, was zu einem Verlust der Übersicht oder Kontrolle über Prozesse führt. |
| Nicht autorisierte Änderungen | Änderungen von Anweisungen, Befehlen oder Alarmschwellen, die Geräte beschädigen, Umweltschäden verursachen oder die Sicherheit von Menschen gefährden könnten. |
| Ungenaue Informationen für Operatoren | Irreführende Daten, die an die Betreiber gesendet werden, können zu unangemessenen Aktionen und negativen Auswirkungen auf den Betrieb führen. |
| Modifizierte OT-Software oder Malware-Infektion | Änderungen an der OT-Software oder Konfiguration oder Malware-Infektionen, die zu Betriebsstörungen führen. |
| Geräteschutzsystem Interferenz | Manipulationen an Schutzsystemen, die teure und schwer zu ersetzende Geräte beschädigen können. |
| Störung des Sicherheitssystems | Störung von Sicherheitssystemen, die das Leben von Menschen gefährden können. |
Auf dieser Grundlage werden die Ziele formuliert, die bei der Implementierung einer sicheren OT-Infrastruktur aus Sicht der Cybersicherheit verfolgt werden sollten. Sie sind auch in der Tabelle zusammengefasst.
Tabelle 2 Sicherheitsziele bei der Implementierung einer sicheren OT-Umgebung [2]
| Zielsetzung Sicherheit | Beschreibung |
|---|---|
| Logischen Zugriff einschränken | Implementieren Sie unidirektionale Gateways, DMZ-Architekturen mit Firewalls, getrennte Authentifizierung und eine mehrschichtige Netzwerktopologie, um den Zugriff zwischen Unternehmens- und OT-Netzwerken zu kontrollieren. |
| Beschränken Sie den physischen Zugang | Verwenden Sie physische Kontrollen wie Schlösser, Kartenleser und Wachen, um unbefugten physischen Zugriff auf OT-Geräte und Netzwerke zu verhindern. |
| Schützen Sie OT-Komponenten vor Ausbeutung | Setzen Sie Sicherheits-Patches rechtzeitig ein, deaktivieren Sie ungenutzte Ports/Dienste, schränken Sie die Benutzerrechte ein, verfolgen Sie Prüfpfade und verwenden Sie Sicherheitstools wie Virenschutz und Dateiintegritätsprüfungen. |
| Unbefugte Datenänderung einschränken | Schützen Sie Daten in allen Zuständen (im Ruhezustand, bei der Übertragung, bei der Verwendung) und kontrollieren Sie den Datenfluss über Netzwerkgrenzen hinweg, um unbefugte Änderungen zu verhindern. |
| Sicherheitsereignisse und Vorfälle erkennen | Überwachen Sie ausgefallene Komponenten, nicht verfügbare Dienste und erschöpfte Ressourcen, um potenzielle Bedrohungen zu erkennen, bevor sie zu Zwischenfällen eskalieren. |
| Aufrechterhaltung der Funktionsfähigkeit unter widrigen Bedingungen | Entwerfen Sie Systeme mit Redundanz und stellen Sie sicher, dass die Komponenten zuverlässig ausfallen, um Kaskadenprobleme zu vermeiden; unterstützen Sie Betriebsmodi von vollständiger Automatisierung bis hin zu manueller Steuerung. |
| Wiederherstellen und Wiederherstellen nach einem Vorfall | Entwickeln und implementieren Sie einen Plan zur Reaktion auf Vorfälle, um eine schnelle Systemwiederherstellung zu ermöglichen und die betriebliche Stabilität nach einem Vorfall aufrechtzuerhalten. |
Wir empfehlen Ihnen natürlich, das NIST-Dokument zu lesen. Sein Umfang mag zunächst überwältigend sein, aber es ist in einer sehr freundlichen Sprache geschrieben und erfordert keine besondere Ausbildung in OT-Sicherheit. Eine Person, die mit den Grundlagen der Steuerung von Industrieanlagen und den Grundlagen der IT-Branche vertraut ist, sollte in der Lage sein, das Dokument zu interpretieren. Um sich ein allgemeines Bild über den Bereich der OT-Sicherheit zu machen, ist dies ein idealer Ausgangspunkt, da viele Quellen auf diesem Dokument basieren. Die ersten beiden Kapitel des Dokuments enthalten bereits viele hilfreiche Informationen und ermöglichen es Ihnen, die wichtigsten Ideen im Zusammenhang mit der OT- und ICS-Sicherheit zu verstehen.
ICS MITRE ATT&CK Rahmenwerk
Das ICS MITRE ATT&CK Framework [4] ist eine Erweiterung des MITRE ATT&CK Frameworks, das speziell für die besonderen Herausforderungen bei der Sicherung industrieller Kontrollsysteme entwickelt wurde. Es bietet eine umfassende, strukturierte Sammlung von Taktiken, Techniken und Verfahren (TTPs), die von Angreifern zur Kompromittierung von ICS-Umgebungen verwendet werden. Das Framework ist auf die spezifischen Merkmale und Anforderungen von OT-Systemen zugeschnitten und berücksichtigt die Sicherheits-, Zuverlässigkeits- und Betriebsbeschränkungen, die sie von traditionellen IT-Umgebungen unterscheiden.
Das ICS MITRE ATT&CK Framework deckt verschiedene Phasen eines Angriffs ab, darunter den anfänglichen Zugriff, die Ausführung, die Persistenz, die Ausweitung von Privilegien, die Umgehung der Verteidigung und die Auswirkungen. Es kategorisiert Techniken wie das Ausnutzen von technischen Arbeitsplätzen, die Manipulation von Steuerlogik und die Unterbrechung kritischer Prozesse. Durch die Nutzung dieses Rahmens können Unternehmen ein tieferes Verständnis potenzieller Angriffsvektoren erlangen und ihre Verteidigungsstrategien durch proaktive Bedrohungsmodellierung, Erkennung und Abschwächung speziell für ICS-Umgebungen verbessern. Es dient als wertvolle Ressource für Cybersicherheitsexperten, um die Sicherheitslage ihrer industriellen Betriebe zu bewerten und zu stärken.
Lassen Sie uns ein Beispiel für die in diesem Rahmen beschriebenen Taktiken untersuchen: T0813 Verweigerung der Kontrolle. Jede Taktik hat eine eindeutige Kennung (in diesem Fall T0813) und einen Namen. Die Taktik ist wie folgt definiert:
Angreifer können eine Kontrollverweigerung herbeiführen, um Bediener und Ingenieure vorübergehend daran zu hindern, mit den Prozesskontrollen zu interagieren. Ein Angreifer kann versuchen, den Zugriff auf die Prozesssteuerung zu verweigern, um einen vorübergehenden Verlust der Kommunikation mit dem Kontrollgerät zu bewirken oder den Bediener an der Einstellung der Prozesssteuerung zu hindern. Ein betroffener Prozess kann während der Zeit des Kontrollverlusts noch in Betrieb sein, aber nicht unbedingt in einem gewünschten Zustand. [4]
Unter der Beschreibung finden Sie einen Abschnitt Verfahrensbeispiele, in dem reale Beispiele von Vorfällen aufgelistet sind, bei denen Angreifer diese Taktiken verwendet haben. Die in diesem Fall besprochene Taktik wurde beispielsweise bei einem Angriff auf das ukrainische Stromnetz im Jahr 2015 eingesetzt. Der nächste Abschnitt enthält eine Beschreibung von Verfahren, die das Risiko eines Angriffs mindern können. Die Abhilfemaßnahmen sind ebenfalls klassifiziert und mit Bezeichnungen versehen.
Wir empfehlen Ihnen, sich mit den verschiedenen Taktiken vertraut zu machen. Diese Beschreibungen spiegeln die Arten von Angriffen wider, die von Angreifern in realen Szenarien verwendet werden. Die Durchsicht dieser Taktiken und die Lektüre von Abhilfemaßnahmen kann Ihnen viele Ideen liefern, wie Sie Ihre Infrastruktur sicherer machen können.
Zusammenfassung
Der Bereich der ICS- und OT-Sicherheit ist noch relativ jung, hat aber im letzten Jahrzehnt einen deutlichen Aufschwung erlebt. Sicherlich werden mehr Ressourcen in diese Branche investiert werden. Das Bewusstsein für die Risiken in diesem Bereich wächst, und das ist auch gut so. Eine hoch entwickelte ICS- und OT-Sicherheit ist eine der Garantien für eine sichere Zukunft.
Bibliographie
[1] NIST, “operational technology,” [Online]. Verfügbar: https://csrc.nist.gov/glossary/term/operational_technology.
[2] NIST, “Guide to Operational Technology (OT) Security,” [Online]. Verfügbar: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-82r3.pdf.
[3] NIST, “Leitfaden für die Sicherheit von industriellen Kontrollsystemen (ICS)”, [Online]. Verfügbar: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-82r2.pdf.
[4] M. ATTACK, “ICS-Techniken”, [Online]. Verfügbar: https://attack.mitre.org/techniques/ics/