Industrieunternehmen wollen ihre Fabrikhallen weiter digitalisieren, um effizienter zu werden. Das vergrößert jedoch auch die Angriffsfläche für Cyberattacken. © Gerd Altmann/Pixabay
Im Zuge der Digitalisierung der Industrie kollidieren zwei Welten miteinander: Informationstechnologie und Operational Technology. Genau das macht ihren Reiz aus und eröffnet neue Chancen ...
... sorgt aber auf der anderen Seite auch für ein enormes Risikopotenzial.
Je digitaler die Industrie wird, desto größer werden auch die digitalen Gefahren. Allein 2019 fanden Experten des Cybersicherheitsunternehmens Kaspersky 103 neue Sicherheitslücken in industriellen Kontrollsystemen (Industrial Control Systems, ICS), die für Angriffe ausgenutzt werden könnten. Die Anzahl der gefundenen Sicherheitslücken hat sich damit im Vergleich zu 2018 – damals waren es 61 – fast verdoppelt. Bei einer Untersuchung der am häufigsten verwendeten Automatisierungssoftware-, Industriesteuerungs- und Internet-of-Things-Systeme wurden 34 Sicherheitslücken in Remote-Verwaltungstools, 18 in SCADA, zehn in Sicherungssoftware sowie weitere in IoT-Produkten, Lösungen für smarte Gebäude, SPS und anderen industriellen Komponenten gefunden.
Je mehr die Systeme von Informationstechnologie (IT) und Operational Technology (OT) zusammenwachsen, desto größer werden auch die Risiken. Aber auf der anderen Seite ist es genau dieses Zusammenspiel, dass den Unternehmen auch große Chancen, Wettbewerbsvorteile und Synergien eröffnet – ist es doch die Basis der Digitalisierung und von Industrie 4.0.
Spannungsfeld zwischen IT und OT
Genau mit diesem Spannungsfeld beschäftigt sich auch eine Studie des Cybersecurity-Experten Fortinet in Zusammenarbeit mit Forrester Consulting. Sie kommt zu dem Ergebnis, dass Industrieunternehmen ihre Fabrikhallen weiter digitalisieren wollen, um effizienter zu werden und mithilfe gesammelter Daten tiefere Einblicke in ihre Produktionsprozesse zu gewinnen. 66 Prozent der Befragten geben an, dass ihre Fertigung über IP-verbundene Netzwerke läuft und sie bereits Echtzeitdaten für Geschäftsentscheidungen nutzen. Diese Netzwerke bringen jedoch auch neue Sicherheitsrisiken mit sich. Bei 73 Prozent der Befragten hat sich laut eigenen Angaben die Angriffsfläche ihres Unternehmens dadurch vergrößert. Nur die Hälfte ist der Meinung, dass ihr Maschinenpark Angriffe abwehren kann. Im Umkehrschluss bedeutet das: Die Hälfte der Maschinen ist nicht gegen Cyberangriffe gerüstet. Zudem planen 55 Prozent der Befragten entweder gar nicht, Cybersicherheitstechnologien einzusetzen, oder sie planen die Implementierung erst innerhalb der nächsten zwölf Monate.
Ein weiteres wichtiges Ergebnis der Studie: Die mangelnde Zusammenarbeit von IT- und OT-Teams gefährdet die Sicherheit von ICS. 51 Prozent der Befragten gaben an, dass sie isoliert voneinander arbeiten. Das bedeutet: Das OT-Team verwaltet wichtige Industrieanlagen und deren Cybersecurity, während das IT-Team für die Sicherheit der Informationstechnologie zuständig ist. Ein Viertel bis über ein Drittel der Befragten wusste zudem nicht, wer die Hauptverantwortung für Cybersecurity-Lösungen wie Prozess-, Steuerungs- und Automatisierungssysteme trägt – oder sogar für die Geschäftsplanung und Logistik. Allerdings sind 91 Prozent der Meinung, dass IT und OT gemeinsam für die Sicherheit des Maschinenparks verantwortlich sein sollten. 58 Prozent sagen zudem, dass sich beide Teams regelmäßig über die Vernetzung von IT und OT austauschen sollten.
Unternehmen können von der Verbindung von IT und OT und der engen Zusammenarbeit zwischen den verantwortlichen Teams enorm profitieren. Die Mehrheit der Befragten (66 Prozent) führt hier den Zugang zu Echtzeitdaten aus dem Fertigungsbetrieb an. Für 59 Prozent sind bessere Einblicke in Produktionsdaten, um neue Geschäftsmodelle zu entwickeln, ein wichtiger Vorteil. Darüber hinaus lassen sich dadurch zahlreiche Effizienzsteigerungen erzielen: 43 Prozent der Befragten gaben an, dass sie Redundanzen bei Prozessen und Arbeitsabläufen verringern und zudem mehr Transparenz schaffen konnten, um Cyberbedrohungen abzuschwächen.
Christian Vogt, Senior Regional Director Germany bei Fortinet, ist überzeugt: „Industrieunternehmen müssen sich auf der operativen Ebene verändern, um den Graben zwischen IT- und OT-Umgebungen zu überbrücken. Es gilt, Vertrauen zwischen den zuständigen Teams aufzubauen, um eine erfolgreiche Vernetzung zu gewährleisten. Die Angriffsflächen werden immer größer, daher müssen IT- und OT-Teams zusammenarbeiten, um die Transparenz zu verbessern und sich gegen Cyberbedrohungen zu verteidigen. Aus diesem Grund investieren wir bei Fortinet viel Zeit und Ressourcen in die Forschung und Entwicklung von ICS-Cybersicherheitslösungen.“
Auch Hacker werden smarter
Wie wichtig diese Zusammenarbeit ist und in Zukunft sein wird, zeigt ein Forschungsbericht eines weiteren Cybersecurity-Unternehmens. Das Papier mit dem Namen „Smart Manufacturing Systems: A Forward-looking Security Analysis“ hat deutlichen Praxisbezug, wurde es doch von Trend Micro zusammen mit dem Politecnico di Milano (Polytechnische Universität Mailand) erstellt.
Das dortige Industrie-4.0-Labor ist mit echten Fertigungsanlagen verschiedener branchenführender Hersteller ausgestattet, die den Forschern als Versuchsobjekte dienten. Im Rahmen der Forschung konnten sie zeigen, wie böswillige Akteure vorhandene Funktionen und Sicherheitsmängel in IIoT-Umgebungen (Industrial Internet of Things, industrielles Internet der Dinge) ausnutzen können, um daraus finanziellen Gewinn zu schlagen.
„In der Vergangenheit wurde bei Cyberangriffen auf Produktionsanlagen vor allem herkömmliche Malware verwendet, die durch übliche Netzwerk- und Endpunktschutzlösungen gestoppt werden kann. Es ist jedoch wahrscheinlich, dass fortgeschrittene Angreifer zukünftig Operational-Technology-spezifische Angriffe entwickeln, die dann unter dem Radar fliegen“, so Udo Schneider, IoT Security Evangelist Europe bei Trend Micro. „Wie unsere Untersuchungen zeigen, gibt es mehrere Vektoren, die für solche Bedrohungen offen sind. Erfolgreiche Angriffe darauf könnten zu erheblichen finanziellen und Reputationsschäden für betroffene Industrie-4.0-Unternehmen führen. Die Antwort ist IIoT-spezifische Sicherheit, die speziell dafür entwickelt wurde, um ausgeklügelte, gezielte Bedrohungen auszuschalten.“
Proprietär und doch IT
Kritische intelligente Fertigungsanlagen basieren in erster Linie auf proprietären Systemen, verfügen jedoch über die Rechenleistung herkömmlicher IT-Systeme. Sie sind deshalb zu weit mehr in der Lage, als nur die Aufgaben zu erfüllen, für die sie in der Regel eingesetzt werden. Angreifer können dies einfach ausnutzen. Die Computer verwenden vor allem herstellerspezifische Sprachen zur Kommunikation, aber genau wie bei IT-Bedrohungen können die Sprachen dazu verwendet werden, bösartigen Code einzugeben, sich innerhalb des Netzwerks zu bewegen oder vertrauliche Informationen zu stehlen, ohne entdeckt zu werden.
Obwohl intelligente Fertigungssysteme so konzipiert und eingesetzt werden, dass sie isoliert sind, schwindet diese Abschottung mit der zunehmenden Konvergenz von IT und OT. Aufgrund der eigentlich beabsichtigten Trennung arbeiten die Systeme mit einem erheblichen Maß an Vertrauen und verzichten weitgehend auf Integritätsprüfungen, um böswillige Aktivitäten fernzuhalten.
Zu den gefährdeten Systemen und Maschinen, die genutzt werden könnten, gehören das Manufacturing-Execution-System (MES), Mensch-Maschine-Schnittstellen (HMIs) und individuell anpassbare IIoT-Geräte. Diese sind potenziell schwache Glieder in der Sicherheitskette und könnten ausgenutzt werden, um produzierte Güter zu beschädigen, Fehlfunktionen zu verursachen oder Arbeitsabläufe zu ändern, um fehlerhafte Produkte herzustellen.
Der Bericht von Trend Micro zählt unter anderem die folgenden empfohlenen Verteidigungs- und Eindämmungsmaßnahmen auf:
• Deep-Packet-Inspection, die OT-Protokolle unterstützt, um anomale Payloads auf der Netzwerkebene zu identifizieren
• Regelmäßige Integritätsprüfungen auf Endpunkten, um geänderte Software-Komponenten zu identifizieren
• Code-Signierung auf IIoT-Geräten zur Einbeziehung von Abhängigkeiten wie Bibliotheken von Drittanbietern
• Ausdehnung von Risikoanalysen, um über die physische Sicherheit (Safety) hinaus auch Automatisierungssoftware mitzuberücksichtigen
• Vollständige Chain of Trust für Daten und Software in intelligenten Fertigungsumgebungen
• Erkennungswerkzeuge zur Erkennung verwundbarer oder bösartiger Logik für komplexe Fertigungsmaschinen
• Sandboxing und Privilegientrennung für Software auf Industriemaschinen
Auch das noch!
Fügt man nun der Mixtur aus klassischer IT und OT weitere Ingredienzien hinzu – die Cloud und IoT zum Beispiel –, fängt die Industrie-4.0-Suppe noch stärker zu brodeln an. „Durch die Integration von Cloud und IoT dehnt sich das Sicherheitsrisiko auf eine weitere Angriffsfläche aus. Die Sicherheitsherausforderungen in der Cloud betreffen die unbefugte Offenlegung von Daten, Datenverlust, schwache Zugriffskontrollen, die gemeinsame Verantwortung von Nutzern und Betreibern sowie die Gewährleistung der Compliance in sich ständig ändernden Cloud-Umgebungen. Das Internet der Dinge ist gefährdet durch schlecht geschützte Endpunkte. Diese Sicherheitslücken gilt es zu schließen“, so Martin Schauf, Senior Manager Systems Engineering bei Palo Alto Networks.
Denn es ist nun einmal so: Daten sind heute allgegenwärtig und überall verteilt, sei es im lokalen Rechenzentrum, in der Cloud, im IoT, auf mobilen Geräten und in Zweigniederlassungen von Unternehmen. Gleichzeitig wird die Bedrohungslandschaft immer anspruchsvoller. Neben Cyberangriffen, die einfach auszuführen sind, gibt es auch anspruchsvollere Bedrohungen mit großem Schadenspotenzial. Das Spektrum reicht von bekannten Bedrohungen, evasiver Malware und Zero-Day-Angriffen bis hin zu Fileless-Angriffen, gezielten Angriffen und Insider-Bedrohungen.
Schauf weist auf grundlegende Unterschiede hin, die in der Herangehensweise der IT- und OT-Abteilungen hinsichtlich des IoT vorherrschen:
• In der IT-Abteilung dreht sich alles um die Sicherheits- und Risikoprüfung. Dies bedeutet die Erfassung und Sichtbarkeit von IoT-Geräten, proaktive Sicherheit (ohne agenten- und signaturbasierte Lösungen) sowie kontextbewusste Regeldurchsetzung.
• In der OT-Abteilung steht die geschäftliche Effizienz und Kontinuität im Vordergrund, mittels Trackings des IoT-Geräteparks, Nutzungsüberwachung sowie betrieblicher Effizienz und Zuverlässigkeit.
Das Internet der Dinge sorgt Schauf zufolge für verschiedene Sicherheitsrisiken. Hierzu zählen nicht gepatchte Schwachstellen, cloudbasiertes Management und damit Anfälligkeit für Exploits und Brute-Force-Angriffe auf Zugangsdaten, schwache Authentifizierung und ein Mangel an Host-basierter Sicherheit. IoT- und OT-Umgebungen sind oft nur durch eine Firewall geschützt. Das Netzwerk selbst wird jedoch nicht überwacht, OT-Netzwerke sind oft nicht einmal geschützt, und es mangelt an Endpunktsicherheit und auch -sichtbarkeit, da keine Agents eingesetzt werden können.
Dies erfordert einen ganzheitlichen Ansatz, denn es gilt alles zu schützen: das Netzwerk, die Geräte, die Daten und die Cloud. Für IoT-Sicherheit ist eine neuartige Lösung nötig, denn die künftigen IoT-Umgebungen werden unterschiedlich und heterogen sein, mit spezifischer Hardware, auf die es jeweils spezielle Malware abgesehen hat. „Der reaktive Ansatz erweist sich hier nicht als effektiv“, so Schauf.
Die Sicherheit von IoT-Geräten könne laut dem Experten durch maschinelles Lernen mittels einer KI-Engine in der Cloud gewährleistet werden. Dies erfolgt erstens durch IoT-Sichtbarkeit zur Erkennung und Klassifizierung von nicht verwalteten Geräten und das aktive Management dieser Geräte. Zweitens ist eine IoT-Personalisierung erforderlich, durch Verhaltensmodelle und Deep Learning. Drittens erfolgt die Umsetzung der IoT-Sicherheit durch eine Sicherheitshaltung, Risikoprüfung und intelligentes Whitelisting.
There’s an app for that
Der erste Schritt auf dem Weg zur Besserung ist es immer, sich seines Problems bewusst zu werden. Doch wo anfangen? Zumindest in einer Hinsicht kann man beruhigt sein: Die Cybersecurity-Experten haben die Problematik erkannt und bieten ihre Unterstützung an. Aber natürlich gibt es auch aus dem Umfeld der Industrie-Anbieter ausreichend Hilfe. So hat beispielsweise Rockwell Automation eine neue App auf den Markt gebracht, die Betriebsmanager, Werksleiter und IT/OT-Experten dabei unterstützt, das Risiko ihrer vernetzten Infrastrukturen besser zu bewerten. Sie trägt den Namen „Assessment Hub“, erfasst Netzwerke, Automatisierungstechnologie und Cybersecurity-Maßnahmen und wurde dazu entwickelt, das Bewusstsein von Managern hinsichtlich des erhöhten Risikoniveaus, das mit der zunehmenden Verbreitung vernetzter Arbeitsplätze und einer intelligenten Fertigung verbunden ist, zu stärken.
Sie fängt auf der ersten Stufe der Bewusstseinsbildung an und stellt dem Nutzer eine Reihe einfacher, intuitiver Fragen, die zudem zum Nachdenken anregen. Im Anschluss wird eine Einschätzung des betrieblichen Risikos innerhalb der Anlage abgegeben, die im Vergleich zu Best Practices in der Branche, niedrig, mittel oder hoch ausfallen kann.
Marc Baret, EMEA Regional Director, Customer Support und Maintenance bei Rockwell Automation, führt dazu aus: „Moderne Fertigungsbetriebe sind darauf angewiesen, dass ihre Anlagen und die gesamte vernetzte Infrastruktur robust und sicher arbeiten – wenn es an irgendeinem Punkt eine Schwachstelle gibt, sind erhebliche betriebliche Risiken die Folge. Während Produktionsstandorte sich immer weiter vernetzen und zu einem Connected Enterprise zusammenwachsen, ist es entscheidend, über alle vernetzten Geräte und Anlagen genau Bescheid zu wissen und den Überblick darüber zu behalten, welche potenziell negativen Auswirkungen durch Probleme oder den Ausfall dieser Geräte auf den Geschäftsbetrieb drohen.“
„Wir haben diese App entwickelt, um einen Ausgangspunkt für eine gründliche Bewertung von Anlagen zu ermöglichen“, erklärt Baret weiter. „Aufgrund unserer umfangreichen Erfahrung aus Projekten auf der ganzen Welt wissen wir, dass einfache Probleme innerhalb einer Anlage ein Indikator für weitreichendere, komplexe Schwierigkeiten sein können, die man selten vorhersagen oder durch Analyse aufdecken kann.“
Risiken und Schwierigkeiten hin oder her. Die Kollision der beiden Welten IT und OT ist nicht aufzuhalten. Es ist besser, man bereitet sich darauf vor und begegnet den Gefahren offenen Auges. Dann ist man auch in erster Reihe wenn es darum geht, die Früchte dieser Verbindung zu ernten. (RNF)