Anomalien erkennen – industrielle Umgebungen schützen

Das Bekanntwerden der strukturellen Schwachstellen „Meltdown“ und „Spectre“ in nahezu allen IT-Systemen der Welt führt zu großer Verunsicherung – nicht zuletzt in der Industrie. Was bleibt, wenn eine Schwachstelle nicht ohne weiteres über ein Update gepatcht werden kann und die Infrastruktur offen bleibt für Angriffe durch Schadprogramme? Insbesondere mit „Spectre“ liegt nun eine Schwachstelle vor, mit der Unternehmen noch eine ganze Weile leben müssen. Damit stehen Sicherheit und Stabilität von Netzwerken langfristig auf dem Spiel.

Das gilt auch für Industrie-4.0-Umgebungen und Kritische Infrastrukturen. Denn selbst, wenn sich bei den im industriellen Umfeld häufig genutzten Prozessoren von ARM die Ausnutzung der Schwachstellen komplexer gestaltet: Unmöglich ist es nicht. Zudem reicht in einer vernetzten Industrie-4.0-Umgebung ein einziges anfälliges Gerät, um Zugang auf das gesamte Netzwerk zu erhalten und Schadsoftware einzuschleusen. Das kann auch der einfache Bürodrucker sein. Sobald ein Angreifer ein einziges Gerät erfolgreich kompromittiert hat, kann er über die Schwachstellen relevante Daten abfragen, um tiefer ins Netzwerk vorzudringen.

Unternehmen brauchen eine sinnvolle Defense-In-Depth-Strategie

In Zukunft werden Unternehmen damit leben müssen, dass die klassischen (abwehrenden) IT-Sicherheitssysteme unterwandert werden. Unternehmen sollten deshalb auf eine Defense-In-Depth-Strategie setzen, die sich nicht nur auf die Absicherung der Grenzanlagen ihrer Netzwerke beschränkt.

„Wenn an der Netzwerkperipherie und auf Endgeräten motiviert durch Spectre und Meltdown ganz legitim Tore geöffnet werden können, erkennt dies weder eine Firewall noch ein Virenscanner“, warnt Martin Menschner, CTO bei Rhebo, einem Unternehmen, das sich auf die Ausfallsicherheit industrieller Steuersysteme mittels Überwachung der Datenkommunikation spezialisiert hat. Die Wächter seien dann blind und taub. Und man könne davon ausgehen, dass in den nächsten Jahren weitere strukturelle Schwachstellen öffentlich würden, die Cyber-Kriminelle und andere Akteure womöglich bereits heute ausnutzten. „Der Level-1-Absicherung durch Firewall und Co. muss ein Sicherheitsnetz hinzugefügt werden, das die Vorfälle erkennt, denen gegenüber diese erste Instanz wirkungslos ist“, fordert Menschner. In industriellen Umgebungen wie der Automatisierungsindustrie, Prozesstechnik, Energie- und Wasserwirtschaft könne eine industrielle Anomalie-Erkennung dieses Sicherheitsnetz bilden.

Denn eine Schadsoftware, die über eine Schwachstelle in das Netzwerk eingeschleust werde, mache sich vor allem durch ihre Kommunikation, beispielsweise in Form von Requests, Port-Scans und Datentransfers, innerhalb des Netzwerks bemerkbar. Eine industrielle Anomalie-Erkennung detektiere diese Kommunikation als Abweichung im Steuernetz und melde sie in Echtzeit an den Administrator. Erfolgreiche, für die Grenzwächter Firewall & Co. unsichtbare Eindringlinge und Veränderungen im Verhalten des Systems würden sichtbar gemacht, bevor sie ernsthaften Schaden anrichten können. „Diese Level-2-Absicherung gewährleistet, dass Betreiber industrieller Steuernetze auf alle Eventualitäten adäquat und effizient reagieren können“, ist Martin Menschner überzeugt. (ig)