4 grundlegende Konzepte, die Sie für die Sicherheit Ihrer Industrieanlage kennen sollten
Die industrielle Digitalisierung ist im vollen Gange. Zusammengefasst unter Begriffen wie Industrie 4.0 und Smart Factory ziehen immer mehr Themen wie Big Data, künstliche Intelligenz, IoT oder Predictive Maintenance in die Produktions- und Automatisierungsnetze ein.
Damit gehen jedoch zahlreiche Herausforderungen einher. Vor allem durch die Vielzahl an veralteten Bestandssystemen, die aktuell durch neue „IoT-Lösungen“ miteinander verbunden werden, lassen sich bestehende Firewall- und Sicherheitsarchitekturen oftmals umgehen. So entstehen zahlreiche neue Angriffsziele für Schadsoftware und Angreifer. Dies merkt man auch an der stetig ansteigenden Zahl an Sicherheitsvorfällen, die mittlerweile auch im Industriebereich publik werden. So musste beispielsweise die Maersk Gruppe im Jahr 2017 durch die Auswirkungen einer Ransomware eine Schadenssumme von über 300 Millionen US Dollar verzeichnen. Vorfälle wie diese unterstreichen die steigende Wichtigkeit von industriellen IT-Schutzmaßnahmen.
Für Verantwortliche, welche die Security der Anlage unter sich haben, kann es jedoch eine Herausforderung sein, die wichtigen Ansätze aus den vorhandenen Normen und Best Practices auszuwählen und zwischen der Fülle an Marketingbotschaften die richtigen Entscheidungen zu treffen. Aus diesem Grund erläutert dieser Artikel die grundlegenden Konzepte, die in den meisten Industrial Security Projekten Anwendung finden sollten.
1. Business-Impact-Analyse und Risikoanalyse
Ein guter Start beginnt oftmals mit einer Business-Impact-Analyse in Kombination mit einer Risiko-Analyse. Das Ziel besteht darin, die wichtigen bzw. essenziellen Prozesse & Systeme (Assets) für den physischen Prozess zu ermitteln. Am Ende sollte klar werden, wo sinnvollerweise in Schutzmaßnahmen investiert werden sollte.
Hier können folgende Fragen als erste Hilfestellung dienen:
- Was sind meine essentiellen bzw. kritischen Prozesse?
- Welche Systeme stellen die Funktionalität dieser Prozesse sicher?
- Gibt es einzelne Systeme, die bei Ausfall den Prozess zum Stehen bringen können und damit ein Single-Point-of-Failure sind?
- Wie ist der IST-Zustand dieser Systeme (z.B. Software-/Patch-Stand, Konfiguration)?
- Wie gefährdet ist dieses System?
- Wie hoch wäre ein verursachter Schaden bei Einschränkung bzw. Stillstand des kritischen Prozesses?
Diese und weitere Fragen zeigen im Rahmen von Business Impact Analyse und Risikoanalyse recht schnell in welche Richtungen gedacht und sinnvollerweise investiert werden sollte.
Der Grundsatz sollte immer sein:„Wählen Sie wirtschaftlich sinnvolle Maßnahmen und setzen Sie diese zielgerichtet ein!“
Letzten Endes gilt vor allem die Devise, irgendwo einmal anzufangen. Weder die willkürliche Auswahl von Einzelmaßnahmen noch das endlose Streben nach einem “perfekten” ganzheitlichen Ansatz sind zielführend.
2. Aufteilung des Automatisierungsnetzes in funktionale Gruppen
Die Aufteilung von Assets in funktionale Gruppen ermöglicht es, bestimmte Dienste zu isolieren und die Kommunikation zu angrenzenden Systemen zu kontrollieren. Das Filtern aller unnötigen Dienste und Ports ist eine der einfachsten Methoden, um Angriffsflächen zu reduzieren und eine Vielzahl an Schwachstellen auszuhebeln. Hierbei ist insbesondere das Konzept der “Zones und Conduits” aus der IEC 62443 erwähnenswert. Zonen beschreiben Bereiche der Automatisierungslösung mit einem bestimmten Sicherheitsniveau. Technisch können solche Zonen mit einer Segmentierung des Netzes und dazwischen platzierten Schutzmaßnahmen wie Firewalls realisiert werden (wobei ein Netzwerksegment nicht zwangsläufig mit einer Sicherheitszone übereinstimmen muss).
3. Defense in Depth – Mehrschichtige Schutzmaßnahmen
Übersetzt als “Tiefgestaffelte Verteidigung” beschreibt das ebenfalls aus der IEC 62443 entnommene Konzept den Einsatz vieler unterschiedlicher Maßnahmen. Meist reicht eine Einzelmaßnahme nicht aus, um kritische Komponenten hinreichend abzusichern. So ist beispielsweise der Einsatz einer Firmen-Firewall durchaus sinnvoll, bietet jedoch in den wenigsten Fällen einen allumfassenden Schutz. Die Kunst besteht darin, die kritischen Systeme (und Zonen) mit einem Mix aus mehreren Schichten von Schutzmaßnahmen mit personellen (Awareness-Training, Security-Verantwortliche), technischen (Monitoring, Firewalls, Datenschleusen) und organisatorischen (Policies, Rollenverwaltung, User-Rechte) Mitteln umzusetzen. So muss sich nicht auf eine Einzelmaßnahme verlassen werden, sondern es kann auf mehrere nacheinander greifende Schichten und unterschiedliche Schutzmittel zurückgegriffen werden. Insbesondere im industriellen Kontext ist dieser Ansatz wichtig, da viele bekannte Schutzmaßnahmen aus der IT-Sicherheit sich nur bedingt für einen Einsatz im Umfeld von Produktionsnetzen und Anlagen eignen.
4. Zugangs- und Zugriffskontrollen
Eine richtig umgesetzte Zugriffskontrolle gehört zu den schwierigsten und doch wichtigsten Herausforderungen der IT-Security im Allgemeinen. Je mehr die Zugriffswege der Nutzer eingeschränkt werden können, desto schwieriger wird es dem Angreifer gemacht, seinen Angriff auszuführen und sich im Netz zu verbreiten. Es existieren hierfür zwar zahlreiche etablierte Methoden und Technologien, jedoch sollte die Komplexität dessen, wie Nutzer mit Ressourcen interagieren, nicht unterschätzt werden. Hierzu gehören die Kontrolle und Verwaltung von Identitäten und deren Authentifizierung und Autorisierung. Im industriellen Kontext sorgen hier insbesondere auch Fernwartungszugänge für Probleme.
Hier gilt: Betrachtet man nicht nur die Autorität des jeweiligen Nutzers, sondern zieht auch seine jeweilige funktionale Rolle hinzu, können Zugriffsrechte feiner gegliedert und so Angriffswege drastisch eingeschränkt werden. Beispiel: Der Login in eine HMI (Human Machine Interface) wird erst erlaubt, nachdem sich der Mitarbeiter erfolgreich beim Eingang in den Kontrollraum ausweisen konnte. Insbesondere hier gilt es, dass Zugriffskontrollen sinnvoll und vor allem auch praktisch handhabbar umgesetzt werden. Zielführend ist oftmals ein direkter Dialog mit den Anwender/innen, um Arbeitsprozesse zu verstehen und eine Lösung zu ermitteln, die diese berücksichtigt.
Weitere Konzepte
Industrial & IoT Security muss, genau wie die IT-Security, im gesamten Unternehmen verankert werden. Dies betrifft u.a. den gesamten Anlagenzyklus und die darin enthaltenen Rollen (Projektierung, Einkauf, Inbetriebnahme, Fernwartungszugriff, Lieferanten, Betrieb, Instandhaltung, …).
Tritt ein Störfall im Automatisierungsnetz auf, helfen Monitoringlösungen dabei, Anomalien zu erkennen und Gegenmaßnahmen einzuleiten. Im Grundsatz hilft jedoch vor allem die Umsetzung des Minimalprinzips (Least-Privilege). Durch „Whitelisting“ werden dabei ausschließlich die erforderlichen Rechte und Verbindungen freigeschaltet.
Ein konkreter Incident Response Plan bzw. Notfallplan sorgt dann im Ernstfall dafür, dass die richtigen Abwehr- und Wiederherstellungsmaßnahmen eingeleitet werden können.
Am Ende steht der Mensch im Mittelpunkt
Bei all den genannten Schutzkonzepten darf die zentralste Komponente nicht vergessen werden: Der Mensch. Denn die beste Alarmanlage ist immer noch ein Mitarbeiter, der sensibilisiert ist, sorgsam handelt und vor allem Auffälligkeiten umgehend meldet.
„Für eine sichere vernetzte Welt muss Wissen zu Industrial & IoT Security leicht verfügbar sein!“
Abseits vom Marketing-Bingo und unverständlichem Technik-Kauderwelsch bietet Max Weidele praxisorientierte Inhalte, die in der realen Welt funktionieren. Darüber hinaus nennt er als Speaker und Moderator die Herausforderungen der vernetzen Industrie direkt beim Namen und fördert den Austausch zwischen den Anwendern. Als Initiator der Wissensplattform www.sichere-industrie.de sowie Geschäftsführer der Industrial Security Beratung bluecept GmbH arbeitet er an Lösungen, welche die industrielle IT-Sicherheit anwendbar und handhabbar machen.
