Was soll man davon halten, wenn eines der sensibelsten Netzwerke des Landes nach dem Stand der gängigen IT-Security gesichert ist und Frank Rieger, Sprecher des Chaos Computer Clubs, auf Heise darauf nur mit einem »Aber der ist insgesamt nicht gut.«, reagiert?

Laut aktueller Erkenntnisse waren über Monate Hacker in Teilen des Regierungsnetzes aktiv und konnte Daten stehlen. Dass die Angreifer überhaupt Zugang zum Netzwerk erhielten, ist schon schlimm genug und zeigt, dass die Perimeterbarrieren wie Firewalls & Co. längst nicht mehr für Sicherheit sorgen können. Entscheidender ist jedoch, dass die Hacker über einen sehr langen Zeitraum im Netzwerk unentdeckt bleiben konnten.

Das lag neben anderen professionellen Angriffsstrategien unter anderem daran, dass die Hacker aus dem Angriff auf den Bundestag 2015 gelernt hatten. Anstelle große ‒ und damit auffällige ‒ Datenmengen im Gigabyte-Bereich aus dem Netz zu senden, hielten sie die Datentransfers beschränkt. Damit konnten sie unter dem Radar der üblichen Detektionsmechanismen der Sicherheitssysteme laufen.

Das Problem liegt jedoch tiefer. Es offenbart den grundlegend falschen Denkansatz der gängigen IT-Sicherheit: die Grenzen werden mit starren Regeln geschützt, während im Netzwerk Narrenfreiheit herrscht.

Wissenschaftsjournalist mit Schwerpunkt IT-Sicherheit Peter Welchering warnt im Deutschlandfunk deshalb ganz zurecht: »Nicht nur das Regierungsnetz ist angreifbar, wie jetzt geschehen. Nicht nur im Kommunikationsnetz des deutschen Bundestags tummeln sich die Spione. Nein, unsere gesamten sogenannten kritischen Infrastrukturen, Stromversorgung, Wasserversorgung, Telekommunikation sind leicht anzugreifen und deshalb hochgradig gefährdet.«.

Diese Gefährdung ist, unserer Meinung nach, längst reeller Status Quo in Kritis-Fernwirksystemen. Dort finden sich immer wieder Kommunikationsmuster, die auf Kompromittierungen hinweisen. Und die wenigsten Betreiber wissen darüber Bescheid. Das zumindest können wir aus unseren Monitoringprojekten sowie Stabilitäts- und Sicherheitsaudits bei Industrieunternehmen, Netzbetreibern und Energieunternehmen bestätigen.

Fallbeispiel 1: Kommunikation mit Servern in Asien

Bei den Audits und Langzeit-Monitoringprojekten kommt eine industrielle Anomalieerkennung zum Einsatz, die rückwirkungsfrei und passiv die gesamte Kommunikation innerhalb eines Steuerungsnetzes bzw. innerhalb der Netzleittechnik dekodiert und analysiert. Anstelle also ausschließlich die Perimeter eines Netzsegments zu sichern, wird das Innenleben vollständig überwacht. Die Anomalieerkennung lernt kürzester Zeit die gängigen, erlaubten Kommunikationsmuster und Vorgänge. Auf dieser Basis meldet die industrielle Anomalieerkennung jegliche Abweichung (bzw. Anomalie). Diese kann technischer Natur sein, oder eben eine Sicherheitslücke darstellen.

So fanden sich bei Netzbetreibern wiederholt Verbindungen einzelner Workstations, die ungehindert mit Servern im Ausland (u.a. Russland, China) kommunizierten, um Domainnamen in IP-Adressen aufzulösen. Den Netzwerkadministratoren war diese Kommunikation stets unbekannt ‒ und selbstverständlich unerwünscht. In einem Fall wurde eine Schadsoftware auf einer Workstation gefunden, die für die verdächtige Kommunikation verantwortlich war. Vermutlich handelte es sich beim angefragten DNS-Server im Ausland um einen Command&Control-Server, der die Schadsoftware steuerte.

Fallbeispiel 2: Konfiguration für Anlagenstörungen

In einem anderen Fall eines Energienetzbetreibers entdeckten wir zwei Switches, die immer wieder versuchten, DHCP-Anfragen zu versenden. Das Kommunikationsprotokoll DHCP ermöglicht, neue Teilnehmer ohne manuelle Konfiguration der Netzwerkschnittstelle in ein bestehendes Netzwerk einzubinden. Nötige Informationen wie IP-Adresse, Netzmaske, Gateway, Name Server und weitere Einstellungen werden automatisch vergeben.

In dem Steuerungsnetz hat eine automatische Vergabe dieser Einstellungen im Regelfall nichts zu suchen. Sollte aus irgendeinem Grund ein DHCP-Server ins Netz eingebracht werden ‒ unabsichtlich (z. B. durch einen Wartungslaptop) oder absichtlich durch einen Angreifer ‒ erhalten die Geräte dadurch IP-Adressen, die unter Umständen mit bereits vergebenen Adressen kollidieren. Dadurch ist dann ein anderes Gerät im Netz nur eingeschränkt erreichbar. Die Einschränkung der Kommunikation kann so zu Störungen in Teilbereichen der Energieversorgung bis hin zu Ausfällen der gesamten Infrastruktur führen. Durch die Neukonfiguration der Switches konnte eine fehlerhafte Kommunikation unterbunden werden.

Hacks und Störungen bereits im Ansatz entlarven

In beiden Fallbeispielen hatte die industrielle Anomalieerkennung die Kompromittierung erkannt, weil die jeweilige Kommunikation nicht zum standardmäßigen Muster in der Netzleittechnik gehörte. Dabei war unerheblich, wie umfangreich der Datentransfer war oder ob das verdächtige Kommunikationsmuster bereits als schadhaft bekannt war oder nicht. Entscheidend bei der Funktionalität der Anomalieerkennung ist, dass ein analysiertes Datenpaket schlichtweg nicht zum spezifischen Kommunikations- bzw. Verhaltensmuster des jeweiligen Netzwerks gehört.

Die Aktivitäten eines Hackers wie beim Bundes-Hack werden mit diesem lückenlosen Monitoring somit umgehend sichtbar ‒ und können direkt unterbunden werden.

Das Jahr 2017 hatte für die rasant fortschreitende Digitalisierung jeglicher Prozesse, Systeme und Geschäftsmodelle mit den Schadprogrammen »Industroyer«, »WannaCry«, »NotPetya« und »Reaper« bereits einiges an Störpotential in petto. Mit den neu bekannt gewordenen Schwachstellen »Meltdown« und »Spectre« steht die Entwicklung neuer digitaler Konzepte z.B.  für Industrie 4.0-Anwendungen oder Smart Citites nun vor noch größeren Herausforderungen. Denn während »Meltdown« über Software-Updates geschlossen werden kann, liegt bei »Spectre« eine Schwachstelle vor, mit der Unternehmen noch eine ganze Weile leben müssen. Sie kann nur durch multiple Patches unter signifikanter Reduzierung der Hardwareperformance oder durch einen umfassenden Hardwarewechsel behoben werden. Damit stehen Sicherheit und Stabilität von Netzwerken langfristig auf dem Spiel.

»Meltdown« & »Spectre« are here to stay

Das Problem mit »Meltdown« und »Spectre« lässt sich folgendermaßen zusammenfassen: Beide Schwachstellen erlauben das umfassende und tiefgreifende Auskundschaften von IT-Systemen und damit die Etablierung weit aufgerissener Zugangstore, durch die sensible Daten (z. B. Passwörter) direkt aus dem System abgefragt werden können – ohne Gegenwehr der Peripheriesicherungen wie Firewalls und Virenscanner. »Meltdown« und »Spectre« selbst stellen damit nicht die einzige Gefahr dar. Es sind die Schadprogramme, die in nächster Zukunft diese Lücken ausnutzen, Daten stehlen und Prozesse stören werden. Die Hersteller der Betriebssysteme für Windows, MacOS, IOS und Linux haben zwar bereits mit Patches geantwortet, jedoch stehen insbesondere Unternehmen vor vier Problemstellungen:

1. Nur wer absolute Transparenz über sein Netzwerk besitzt, kann auch sicherstellen, dass alle Komponenten auf dem aktuellen Stand sind.
2. In vielen Netzwerken finden sich Komponenten, auf denen noch immer Betriebssystemversionen laufen, die nicht mehr unterstützt werden.
3. Insbesondere in industriellen Steuernetzen und in der Fernwirktechnik sog.  Kritischer Infrastrukturen ist ein zeitnahes Update oftmals nicht möglich, ohne Betriebsunterbrechungen in Kauf zu nehmen.
4. Die Schwachstelle »Spectre« ist softwareseitig nur sehr schwer und partiell patchbar. Diese Schwachstelle wird auch in Zukunft aktiv sein und das Ziel von Schadprogrammen sein.

Auch Industrie 4.0 und KRITIS sind betroffen

Dabei ist es unerheblich, ob ein Unternehmen vor allem IT-Netzwerke aufweist oder vernetzte Steuerungssysteme betreibt. Auch ob im Netzwerk Komponenten zum Einsatz kommen, die nicht anfällig für »Spectre« und »Meltdown« sind, ist nicht relevant. Im Fertigungsbereich finden sich z. B. mehrheitlich ARM-Prozessoren, bei denen sich die Ausnutzung der Schwachstellen komplexer (aber nicht unmöglich) gestaltet.

Eine Garantie für Sicherheit ist das dennoch nicht. Denn in einer vernetzten Industrie-4.0-Umgebung reicht ein einziges anfälliges Gerät, um Zugang auf das gesamte Netzwerk zu erhalten und Schadsoftware einzuschleusen. Das kann auch der einfache Bürodrucker sein. Sobald ein Angreifer ein einziges Gerät erfolgreich kompromittiert hat, kann er über die Schwachstellen relevante Daten abfragen, um tiefer ins Netzwerk vorzudringen.

Mit Defense-In-Depth gegen Effekte von Exploits absichern

Was bleibt Industrieunternehmen also angesichts von »Meltdown« und »Spectre«? In Zukunft werden Unternehmen damit leben müssen, dass die klassischen (abwehrenden) IT-Sicherheitssysteme unterwandert werden können. Unternehmen sollten deshalb auf eine Defense-In-Depth-Strategie setzen, die sich nicht nur auf die Absicherung der Grenzanlagen ihrer Netzwerke beschränkt. Denn wenn an den Grenzen der Netzwerke und auf Endgeräten motiviert durch »Spectre« und »Meltdown« ganz legitim Tore geöffnet werden, hilft keine Firewall und kein Virenscanner. Die Wächter sind dann blind und taub. Und wir können davon ausgehen, dass in den nächsten Jahren weitere strukturelle Schwachstellen öffentlich werden, die Cyberkriminelle (und staatliche Akteure) womöglich bereits heute ausnutzen.

Der Level-1-Absicherung durch Firewall und Co. muss deshalb ein Sicherheitsnetz hinzugefügt werden, das die Vorfälle erkennt, denen gegenüber die Level-1-Absicherung wirkungslos ist. In industriellen Umgebungen wie der Automatisierungsindustrie, Prozesstechnik, Energie- und Wasserwirtschaft kann eine industrielle Anomalieerkennung dieses Sicherheitsnetz bilden.

Eine automatische industrielle Anomalieerkennung überwacht als System für ein kontinuierliches Network Condition Monitoring die gesamte Kommunikation innerhalb eines Steuernetzes. Sie schafft damit nicht nur vollständige Transparenz über alle Akteure und Kommunikationsflüsse im Netzwerk. Sie erkennt und meldet auch jede neuartige oder veränderte Kommunikation, die im Steuernetz auftaucht. Eine Schadsoftware, die über eine Schwachstelle in das Netzwerk eingeschleust wurde, macht sich vor allem durch ihre Kommunikation, z. B. in Form von Request, Port-Scans und Datentransfers, innerhalb des Netzwerks bemerkbar. Eine industrielle Anomalieerkennung detektiert diese Kommunikation sofort als Abweichung im Steuernetz und meldet sie in Echtzeit an den Administrator.

Ist die Anomalieerkennung als rückwirkungsfreies, passiv Monitoringsystem in das zu überwachende Netzwerk integriert, ist es dabei selbst nicht von einer möglichen Kompromittierung des Netzwerkes betroffen.

Der Fokus bisheriger Netzwerksicherheitsstrategien, Bedrohungen bereits an den Grenzen abzuwehren, wird mit einer automatischen Anomalieerkennung somit um einen weiteren Aspekt ergänzt: Erfolgreiche, für die Grenzwächter Firewall & Co. unsichtbare Eindringlinge und Kommunikationsänderungen im System werden ausfindig und sichtbar gemacht, bevor sie ernsthaften Schaden anrichten können. Diese Level-2-Absicherung gewährleistet, dass Betreiber industrieller Steuernetze auf alle Eventualitäten adäquat und effizient reagieren können. Es ist an der Zeit, umzudenken.

Mit dem »Reaper« nimmt die nächste Malwarekampagne Fahrt auf. Bisher sind ausschließlich IoT-fähige Geräte betroffen, doch der Übergang zum IIoT (Industriellen Internet der Dinge ) ist fließend und die Angreifer zeigen sich äußerst agil. Bei einer Attacke könnten somit auch Steuernetze, Fernwirknetze und vernetzte Produktionen betroffen sein. Mit einer Anomalieerkennung werden solche schleichenden Übernahmen frühzeitig erkannt.

Am 20. Oktober berichtete der IT-Analyst yegenshen der Chinesischen Cybersicherheitsfirma Netlab 360 von einem neuen Botnetz, das gezielt IoT-fähige Geräte ins Visier nimmt. Yegenshen bezeichnete das Botnet deshalb als »IoT_reaper«. Mittlerweile hat sich die Kurzform »Reaper« etabliert.
Der Analyst sprach von rund 10.000 befallenen Geräten, die bereits fünf Tage später auf 28.000 angestiegen waren. Zusätzlich werden mindestens zwei Millionen IoT-Geräte in einer Warteschleife vermutet, die vom Botnetz auf eine Nutzung im Botnetz geprüft und nachfolgend infiziert werden sollen.

Was im ersten Moment an das letztjährige »Mirai«-Botnet erinnert, wird in der Detailanalyse als weitaus potentere Malware identifiziert. Mirai hatte 2016 zirka 500.000 IoT-Devices kompromittiert, die für wiederholte DDoS-Attacken (Distributed-Denial-of-Service) genutzt wurden. Unter anderem wurde der DNS-Serviceanbieter Dyn attackiert, so dass eine Reihe dort gehosteter Webseiten wie Twitter, Netflix und Reddit für längere Zeit nicht erreichbar waren. Auch für den Hackerangriff auf DSL-Router der Telekom am 27. November 2016 wurde das Mirai-Botnet genutzt.

Unterschiede von Reaper und Mirai

Der Angriffsvektor verlief (und verläuft nach wie vor) bei Mirai über die Nutzung der Defaultpasswörter, die vom Hersteller in den IoT-Devices gesetzt werden – und vom Nutzer häufig nicht geändert wurden. Das neue Botnetz Reaper mag auf dem Code von Mirai aufbauen, es unterscheidet sich jedoch sehr klar von diesem Vorgänger – sowohl in der Ausführung als auch im möglichen Störpotential:

1. Der Angriffsvektor läuft gezielt über Schwachstellen (Vulnerabilities oder Exploits) bestimmter Geräteanbieter wie D-Link, Netgear, JAWS u.a. Auf die Ausnutzung von Defaultpasswörtern der Hersteller wird verzichtet, so dass eine Detektion bzw. Abwehr noch unwahrscheinlicher ist.
2. Die Autoren reagieren sehr flexibel auf Änderungen. So wurde die Schwachstelle der IP-Überwachungssysteme vom Typ Vacron NVR nur wenige Tage nach Bekanntwerden in das Botnetz integriert. Das spricht für eine sehr aktive Betreuung des Botnetzes.
3. Die bisherige vergleichsweise langsame Ausbreitung von Reaper spricht für ein sehr sorgfältiges Vorgehen der Autoren. Höchstwahrscheinlich versuchen sie weiterhin die Funktionalität zu testen.
4. Die Malware ist in einer LUA-Umgebung integriert. LUA ist als einfache und zugleich äußerst mächtige Skriptsprache bekannt, die für komplexe und effiziente Programmierung genutzt wird. Das erhöht das Potential, mit Reaper ebenso komplexe, agil entwickelte Attacken durchzuführen, die weit über die DDoS-Attacken von Mirai hinausgehen.

Warum Reaper auch fürs IIoT gefährlich werden kann

Diese Punkte verdeutlichen das Potential von Reaper, auch im Industriellen Internet der Dinge Störungen herbeizuführen. Bisher sind zwar ausschließlich IoT-Devices betroffen, die keine direkte Anwendung in der industriellen Umgebung haben. Ein Übergreifen ist aus verschiedenen Gründen jedoch nicht nur möglich, sondern auch wahrscheinlich.

Der wahrscheinlichste Weg läuft über das Ausnutzen von Schwachstellen (Exploits) von IIoT-Devices. Die Autoren von Reaper arbeiteten bisher sehr agil. Sie reagierten umgehend auf neu bekannt gewordene Exploits und fügten diese den bisherigen Angriffsvektoren hinzu. Es scheint, dass sie nur darauf warten, neue Schwachstellen in Erfahrung zu bringen. Aktuell sind noch keine IIoT-Geräte direkt betroffen. Dies mag daran liegen, dass den Autoren bislang die Exploits für die entsprechenden Geräte fehlen. Sobald jedoch neue Schlupflöcher bekannt (oder im Darknet verfügbar) werden, könnte sich das schnell ändern.

Ein weiterer Einfallsweg läuft über die Betriebssystembasis. Reaper greift mehrheitlich Linuxbasierte Geräte an. Das Botnetz nutzt infizierte Geräte, um das Netzwerk auf weitere Devices zu scannen und zu infizieren. Dementsprechend können neben den gerätespezifischen Exploits auch generische Linux-Schwachstellen als Einfallstor genutzt werden. Das erlaubt den Autoren eine Ausweitung der Gerätetypen und Hersteller.

Der dritte Weg läuft über die IoT-Devices als Mittelsmann. Reaper greift auf eine mächtige LUA-Umgebung zurück. Es ist daher nicht ausgeschlossen, dass über die infizierten IoT-Devices eine komplexe Malware in die Systeme geschleust wird, die auf »dahinter liegende« Devices zielt. Da IoT-Devices, Office-Devices und IIoT-Devices längst miteinander verbunden sind, könnte eine Netzwerkdurchdringung ganzheitlich erfolgen.

Bislang kann nur gemutmaßt werden, was genau die Autoren von Reaper planen. Alles deutet darauf hin, dass sie das Botnetz aktuell in Stellung bringen und testen. Die potentielle Gefahr offenbart sich vor allem im agilen Anpassen der Malware durch die Autoren und in der potentiellen Reichweite des Reaper.

Die beste Sicherheit sind Transparenz und Echtzeit

Wie schon WannaCry und NotPetya wird der Reaper zu den Advanced Persistent Threats gezählt. Während Mirai noch per Passwort-Hack die Vordertür benutzte, gelangt Reaper bequem durch die Hintertüren der einzelnen Herstellergeräte. Dort übernimmt er kurzerhand die Kontrolle über das Gerät und führt sein aktuell gesetztes Programm um. Das bedeutet auch, dass er von Sicherheitsprodukten wie Firewall und Co. nicht erkannt wird.

Sicherheitsexperten verweisen zwar darauf, dass die Aktualisierung der Firmware die Gefahr bannt. Jedoch vergessen sie dabei zwei entscheidende Punkte:

1. Der Autor sucht aktiv nach Sicherheitslücken und integriert diese fortwährend (und schneller als jedes Update) in seine Malware. Es ist somit nur eine Frage der Zeit, bis die nächste Hintertür im Gerät genutzt wird oder weitere angreifbar werden.
2. Industrieunternehmen können aufgrund von Kompatibilitätsproblemen und Verfügbarkeitsanforderungen häufig nicht ad hoc ihre Komponenten aktualisieren. Die Geräte laufen somit in der Regel über einen längeren Zeitraum mit alten Sicherheitseinstellungen, bleiben infiziert und damit angreifbar.

Kurz: Das gängige und von vielen Sicherheitsdienstleistern vorgeschlagene Sicherheitskonzept hinkt dem Reaper immer mindestens einen Schritt hinterher.

Wer seine Geräte schützen und insbesondere die Ausbreitung im eigenen Netzwerk verhindern möchte, muss in Echtzeit über einen möglichen Angriff informiert werden. Das ist derzeit maßgeblich und ausschließlich über eine Anomalieerkennung realisierbar. Die Anomalieerkennung überwacht dabei kontinuierlich alle Aktivitäten im eigenen Netzwerk und meldet jede Auffälligkeit. Dazu gehören Passwort- und Autorisierungsänderungen genauso wie bislang unbekannte Statusabfragen anderer Devices und verdächtige Kommunikationspakete, die zum Beispiel externen Servern Informationen übermitteln oder von diesen Befehle erhalten.

Advanced Persistent Threats ist nur durch ein Maximum an Netzwerktransparenz beizukommen. Es sollte allen Akteuren bewusst werden, dass die erste Verteidigungslinie von Firewall & Co. gegenüber den neuen Angriffsvektoren blind und somit machtlos ist. Umso wichtiger ist es, als zweite Verteidigungslinie des IT-/OT-Sicherheitskonzepts genauestens zu wissen, was im eigenen Netzwerk passiert. Nur so können Netzwerkverantwortliche schnell reagieren und Störungen verhindern.

Ein kontinuierliches Steuernetzmonitoring mit Anomalieerkennung kann die Brücke schlagen zwischen Leitstand, MES sowie SIEM und Firewall. Zudem erlaubt es ein detailliertes Mapping der IIoT-Umgebung sowie eine Risikobewertung aller Vorfälle im Steuerungssystem.

Hinter der Idee der vernetzten Produktion steckt der Aufbau intelligenter, sensorgestützter und vor allem selbststeuernder Produktionssysteme. Diese Autonomie der Fertigung bedarf jedoch einer starken Integration aller Unternehmenssysteme sowie eines zuverlässigen Monitorings. Schließlich müssen auch in einer vernetzten Produktion die Qualitätssicherung und Cybersicherheit gewährleistet werden. Zusätzlich soll über das kontinuierliche Monitoring der Anlagen- und Kommunikationsparameter die Predictive Maintenance realisiert werden.

Aktuell steht das Industrielle Internet der Dinge (IIoT) bei der Erreichung seiner Ziele noch vor einigen Herausforderungen:

• Es gibt fast keine Integration der vernetzten Produktion in die Cybersicherheitsstrategie der Unternehmen.
• Die Anlagenkommunikation im Steuerungssystem wird nicht für das Monitoring und die Maßnahmenableitung in Bezug auf Qualitätssicherung und Predictive Maintenance genutzt.
• Es fehlt ein effektives Netzwerkmanagement, das auf einem transparenten Network Mapping und einer detaillierten Risikolandkarte basiert.
• Es fehlt das Fachpersonal, um sowohl Cybersicherheit als auch das Netzwerkmanagement in der vernetzten Produktion sicherzustellen.

• Es fehlt eine klare Risikobewertung (»Risk Scoring«) für Anomalien und Vorfälle im Steuernetz der vernetzten Produktion, um Maßnahmen effektiv zu priorisieren und das Risiko somit abschätzbar zu machen.

Vernetzung bedeutet auch Integration

Bislang waren Unternehmens-IT und Fertigungs-IT (im englischsprachigen Raum hat sich der Begriff der Operational Technology oder OT eingebürgert) mehrheitlich eigenständige Netzwerke in einem Unternehmen, die über die Automationspyramide zusätzlich in ein klar hierarchisches Verhältnis gesetzt wurden. Dementsprechend wurden auch die Technologien voneinander getrennt. Insbesondere die Technologien für Netzwerkmonitoring und Cybersicherheit sind noch immer vornehmlich auf die Unternehmens-IT zugeschnitten. Im Fertigungssteuernetz funktionieren sie in der Regel nicht.

Für die Realisierung einer selbststeuernden vernetzten Produktion wird diese Trennung und Hierarchie aufgebrochen. OT und IT werden ineinander integriert. Die Automationspyramide flacht vertikal und horizontal zusehends ab.

Deshalb werden Brückenfunktionen zwischen Leitstand, MES, SAP und den eingesetzten IT-Sicherheitstechnologien wichtiger. Gerade bei den aktuell immer stärker in den Fokus strebenden Themen Cybersicherheit, Anlagenverfügbarkeit und Effektivität im IIoT sollten Ansätze realisiert werden, die nicht eine weitere Insellösung in das ohnehin komplexe Netzwerk einbringen.

Ein Steuernetzmonitoring mit Anomalieerkennung kann hierbei als Brücke zu mehreren Systemen dienen:

• Lieferung detaillierter Daten zu Sicherheitsvorfällen und Anomalien an eine Firewall, ein Intrusion Detection System (IDS) oder ein Security Information and Event Management System (SIEMS);
• Lieferung detaillierter Daten zu Veränderungen der Anlagenkommunikation sowie Anlagendaten Richtung Leitstand für die Realisierung der Predictive Maintenance und Sicherstellung der Produktivität;
• Integration der Daten zur Steuernetzkommunikation in übergeordnete Systeme wie MES oder SAP zur Steigerung der Produktivität sowie Optimierung der Geschäfts- und Fertigungsprozesse;
• Network Mapping für die lückenlose Bestandsaufnahme und kontinuierliche Aufzeichnung aller sicherheitsrelevanten Anlagen.

Grundsätzlich liest die integrative Systemlösung für diese Funktionen die gesamte Kommunikation in einem Steuernetz mit. Die Analyse erfolgt auf Inhaltsebene, so dass eindeutige Aussagen zu den Vorgängen innerhalb des Steuernetzes gemacht und entsprechend spezifische Maßnahmen abgeleitet werden können.

Über eine individuell konfigurierbare Data-Filtering-Richtlinie können die Betreiber zusätzlich definieren, welche Daten und Meldungen an die anderen Systeme (SIEM, MES etc.) weitergeleitet werden. Die Übertragung erfolgt in Echtzeit, so dass z. B. im Fall einer negativen Veränderung im Steuernetz umgehend auf die Anomalie reagiert werden kann. So können Störungen vermieden und die Produktivität sichergestellt werden.

Diese Integration bedeutet auch, dass die bereits im Unternehmen aufgebaute IT-Workforce das Management der Produktions-IT betreuen kann. Unternehmen umgehen so den aktuell eklatanten Fachpersonalmangel. Zugleich bleibt die generelle, sinnvolle Trennung der IT und OT-Infrastrukturen erhalten.

Wissen, wo es brennt und darauf reagieren können

Je vernetzter eine Produktion ist, desto komplexer wird sie auch. In der Konsequenz bedeutet dies, dass sowohl das Datenvolumen als auch die Anzahl der Meldungen über Vorgänge im Steuernetz zunehmen. Die Betreiber stehen vor der Herausforderung, Meldungen aus dem Monitoring des Steuernetzes schnell zu sichten, einzuschätzen und entsprechende Maßnahmen abzuleiten.

Ein effektives »Risk Scoring« hilft, diese Aufgabe zu bewältigen. Dazu identifiziert und analysiert die Monitoringlösung alle Komponenten und Verknüpfungen im Steuernetz (Network Mapping) sowie die Standardkommunikation im Steuernetz.

Anschließend werden den Ergebnissen Risikoklassen zugeordnet, die folgende Fragen beantworten: wie relevant ist die Komponenten für die Fertigungsprozesse und welche Form der Kommunikationsänderung im Steuernetz hat eine große Auswirkung auf die Prozesse und Produktivität.

Entsprechend dieser Klassifizierung werden Anomalien bzw. Veränderungen im Steuernetz sogenannten Risikoklassen zugeordnet. So wird z. B. eine Änderung der Autorisierungen bei einer sehr relevanten Fertigungskomponente mit einem sehr hohen Risikopotential gemeldet. Über die Data-Filtering-Richtlinine kann diese Hochrisikomeldung in Echtzeit z. B. an das SIEMS gesendet werden. Die Verantwortlichen im Leitstand und im Cybersicherheitsteam erhalten somit eine priorisierte Meldung und können umgehend auf den Vorfall reagieren.

Ein so integriertes Steuernetzmonitoring gewährleistet erstmals eine vollständige Transparenz im Steuernetz, wie sie bereits von der Unternehmens-IT bekannt ist. Die Einbindung operativer Daten an den relevanten IT- und OT-Schnittstellen erlaubt darüber hinaus eine effektive Entscheidungshoheit für die Verantwortlichen einer vernetzten Produktion im Unternehmen.