Die Angriffsfläche ist mit dem Netzwerk gewachsen
Das Industrielle Internet der Dinge eröffnet neue Wachstumsmöglichkeiten im Hinblick auf die Verbesserung der Effizienz in der Produktion. Die globale Vernetzung intelligenter Produktionsanlagen, Prozesse, Verfahren und Dienstleistungen hat einen erheblichen Einfluss auf die Anforderungen an die technische Infrastruktur. Das Streben nach besserer Interoperabilität und einer zentralisierten Verwaltung der Automatisierungstechnik hat in jüngerer Zeit dazu geführt, dass industrielle Netzwerke, die in der Vergangenheit von der Außenwelt abgeschottet und mithilfe spezialisierter Kommunikationsprotokolle betrieben wurden, nun untereinander vernetzt sind und auf kostengünstigen und weltweit standardisierten Technologien – im Wesentlichen Ethernet und TCP/IP – basieren.
Das hat allerdings die Anzahl neuralgischer Punkte innerhalb einer solchen Infrastruktur signifikant erweitert und damit das Risiko für Betriebsstörungen, Sabotagen, Cyber-Attacken und Datendiebstahl durch Kriminelle, ausländische Regierungen und böswillige Mitarbeiter merklich erhöht. Unternehmen müssen sich daher der Risiken vernetzter intelligenter Maschinen bewusst sein und sich den Herausforderungen stellen, indem sie ein umfassendes Sicherheitskonzept für ihre cyber-physischen Systeme implementieren.
Detection und Prevention im Zusammenspiel
Mit der zunehmenden Verbreitung IP-basierter Kommunikationsprotokolle und dem Industriellen Internet der Dinge wird es für Unternehmen immer wichtiger, den Schutz ihrer Netzwerke gegen Schadprogramme und nicht autorisierte Aktivitäten – wie beispielsweise Manipulationen an der Konfiguration und der Kommunikation von Steuerungssystemen und Feldgeräten – zu verbessern.
Eines der größten Sicherheitsprobleme industrieller Netzwerke und Steuerungssysteme ist es, überhaupt zu erkennen, dass ein Angriff stattfindet, oder zu wissen, wann und wie sie möglicherweise kompromittiert wurden. Ein Intrusion Detection System (IDS) kann verdächtige Vorgänge erkennen und protokollieren und bei Bedarf einen Alarm auslösen. Ein Intrusion Prevention System reagiert automatisch auf verdächtige Aktivitäten, beispielsweise indem die Netzwerkverbindung zu einer Gegenstelle, die durch böswilliges Verhalten auffällt, zurückgesetzt oder komplett blockiert wird.
Im Idealfall arbeiten beide Systeme Hand in Hand, indem neue, noch unbekannte Angriffsmuster, die von den Algorithmen des Intrusion Detection Systems identifiziert wurden, unmittelbar in das Intrusion Prevention System übertragen werden und somit Schutz gegen vergleichbare Angriffe in der Zukunft bieten.
Auf dem Gerät oder im Netzwerk: wo welcher Ansatz trägt
Intrusion Detection und Prevention können entweder direkt auf den einzelnen Geräten – wie Router, Feldgeräte und speicherprogrammierbare Steuerungen (SPS) – implementiert werden, oder indirekt als Teil der Infrastruktur, indem alle Daten und Verbindungen innerhalb des Netzwerks fortlaufend überwacht werden.
Idealerweise sollten beide Verfahren in Kombination zum Einsatz kommen. Allerdings sind viele Steuerungsgeräte und Router nicht leistungsfähig genug, um neben ihren eigentlichen Funktionen auch noch die rechenintensiven Aufgaben für Intrusion Detection zu bewältigen – damit ist die indirekte, netzwerkbasierte Variante oft die einzige praktikable Lösung.
Dies ist vor allem auf lange Sicht der kostengünstigere Ansatz und bietet darüber hinaus deutlich mehr Funktionen und Flexibilität: Datenströme können in vollem Umfang gespeichert werden, was für eine spätere forensische Analyse – beispielsweise in Form einer Post-mortem-Analyse nach einer Störung oder im Rahmen einer Routinekontrolle – von entscheidender Bedeutung ist. Eine Installation kann gegebenenfalls das gesamte Netzwerk überwachen. Wartungsarbeiten für Hardware und Software können deutlich günstiger und sicherer durchgeführt werden, da netzwerkbasierte IDS die bestehenden Systeme nicht beeinflussen. Und schließlich lassen sie sich vergleichsweise einfach in eine bestehende Infrastruktur integrieren, um vorhandene Netzwerke und Geräte nachzurüsten.
Zugeschnitten auf industrielle Protokolle
Obwohl die Technik von industriellen und kommerziellen Netzwerken immer ähnlicher wird, gibt es dennoch erhebliche Unterschiede in Bezug auf Kommunikationsprotokolle: PROFINET, CAN-Bus und EtherCAT sind vorwiegend im industriellen Umfeld und bei eingebetteten Geräten vorzufinden. Bei der Art und Weise der Kommunikation innerhalb des Netzwerks fällt auf, dass der Inhalt der Datenpakete und die Bandbreite verschiedener Kommunikationspartner deutlich weniger Vielfalt aufweist. Daher sind traditionelle IDS-Lösungen, wie sie in Rechenzentren oder in IT-Netzen von Büros zum Einsatz kommen, nur bedingt für das industrielle Umfeld geeignet.
DATATRONiQ entwickelt aktuell eine auf industrielle Netzwerke zugeschnittene Intrusion-Detection-Lösung. Sie wird ein- und ausgehende Datenpakete überwachen und bei Abweichungen vom gelernten Normalverhalten Alarme auslösen. Durch die kontinuierliche Überwachung und gleichzeitige Analyse des Netzwerkverkehrs soll das System mit der Zeit automatisch lernen, wie sich das Netzwerk normalerweise verhält, und damit auch atypisches Verhalten unmittelbar erkennen.
Darüber hinaus sollen Maschinensteuerung und Maschinenzustand fortlaufend mit überwacht werden, so dass Unregelmäßigkeiten dort ebenfalls auffallen. Bei unbekannten oder verdächtigen Veränderungen wird DATATRONiQ in Echtzeit mit der Maschinensteuerung kommunizieren können — entweder, um Alarme anzuzeigen, oder, um direkt Schutzmaßnahmen einzuleiten, etwa das Anhalten einer Maschine, um Schäden an Geräten oder Werkstücken zu verhindern.
Durch die automatische Analyse und Protokollierung verdächtiger Datenflüsse wird DATATRONiQ dabei helfen, die bei einer Störung gewonnenen Erkenntnisse für die Abwehr zukünftiger Angriffe nutzbar zu machen.
Früher erkannt, Schaden kleiner
Jedes vernetzte Gerät – egal wie unscheinbar – kann zum Einstiegspunkt für einen Angriff auf das gesamte Netzwerk werden. Voraussetzung ist, alle angeschlossenen Geräte zu kennen und durch ein Intrusion-Detection- und Prevention-System abzusichern, das auf industrielle Protokolle ausgelegt ist.
Das gesamte Netzwerk ist rund um die Uhr dahingehend zu überwachen, ob gerade ein Angriff stattfindet. Je früher Cyber-Angriffe erkannt werden können, desto einfacher ist es, Schaden abzuwenden und den Verlust sensibler Daten zu vermeiden. DATATRONiQ wird dabei helfen, Auffälligkeiten im Netzwerkverkehr automatisch zu erkennen, tatsächliche Angriffe von unkritischen Anomalien zu unterscheiden, Angriffsmuster aktuell zu halten, zukünftige Angriffe zu verhindern und letztendlich die Mitarbeiter von Routineaufgaben zu entlasten.
