Stormshield - Cybersicherheit für industrielle Systeme im Zeitalter von Industrie 4.0

Die Industrie 4.0 floriert. Aber wie können wir die Gesamtsicherheit in einem Bereich gewährleisten, der zunehmend industrielle Systeme, das Internet der Dinge, die Cloud und Big Data miteinander verbindet? Spoiler: Es dreht sich nicht alles um Sensoren.

Sie haben wahrscheinlich die Geschichte von der mit dem Internet verbundenen Kaffeemaschine gehört, die dazu führte, dass Ransomware in ein petrochemisches Industrieunternehmen geschleust wurde. Diese Geschichte verdeutlicht die Herausforderung beim Schutz einer zunehmend vernetzten Industrie 4.0 - nämlich die Sicherung einer immer größer werdenden Angriffsfläche. Durch die schrittweise Einführung von intelligenten Sensoren und/oder Cloud-Anbindungen entstehen neue Verbindungen mit der Außenwelt. Diese sind wiederum potenzielle Sicherheitslücken in der Industrie, einem Sektor, der bereits im erheblichen Maße Ziel von Cyberangriffen ist.

Operational Technology: Eine vielschichtige Umgebung

In der Praxis bestehen industrielle Systeme aus physischen Maschinen innerhalb einer Fabrik (Motoren, Pumpen, Ventile und Sensoren), die von Steuerungssystemen (SPS und SCADA-Anwendungen) und IT-Systemen (zur Datenanalyse) verwaltet werden. "Was wir heute als [Industrie] 4.0 bezeichnen, ist ein Konzept, das auf der Digitalisierung der Industrie basiert, mit dem Ziel, eine kontinuierliche Verbesserung zu erreichen", betont Thierry Hernandez, Stormshield Account Manager und OT-Sicherheitspezialist. Dieses Konzept basiert auf mehreren Faktoren, darunter Veränderungen bei Werkzeugen und Ressourcen (Robotik, FTS, Augmented-Reality-Software uvm.) und Technologien (Telekommunikationsprotokolle, Sensoren und vernetzte Gegenstände zur Datenversorgung). All dies ist heutzutage in einer Fabrik miteinander verbunden. Der Endzweck ist die Einspeisung von Daten in ein Cloud- oder Edge-Computing-System, das Lösungen mit umfangreichen Berechnungskapazitäten auf der Grundlage modernster Algorithmen hostet. Die Hauptaufgabe ist es, betriebliche Exzellenz durch Energieeffizienz, Zeitersparnis, reduzierten Materialverbrauch oder vorausschauende Wartung zu bieten.

"Vereinfacht gesagt, ist die Produktion in vier Schichten organisiert", erklärt Thierry Hernandez. "Die erste Schicht besteht aus den SPS, welche alle Aktoren und Ventile steuern. Die zweite Schicht ist das SCADA (die Überwachungs- und Erfassungssoftware, die auf den gelieferten Daten basiert, um einen reibungslosen Betrieb sicherzustellen). Die dritte Schicht ist das Management mit dem MES, welches alle Prozesse der Produktionsverfolgung und -planung abwickelt. Die vierte Schicht schließlich ist das ERP-System, das u.a. die Produktionsaufträge ausgibt". Diese Softwarepakete ermöglichen es, alle Prozesse des Unternehmens zu steuern, und sind damit ein wichtiger Faktor, der im Rahmen der gesamten Cyber-Schutz-Strategie nicht außer Acht gelassen werden sollte.

Wie kann Industrielle Cybersicherheit gestaltet werden?

Schon jetzt muss die Cybersicherheit für industrielle Systeme mit einem gewissen Maß an "Altlasten" kämpfen. Und genau das kann das Problem sein. "In Frankreich hat ein industrielles System im Durchschnitt eine Lebenserwartung von etwa 15 Jahren. Das ist das Durchschnittsalter der Produktionsmaschinen. Bei Zügen und Metrosystemen reicht diese Lebenserwartung bis zu 30 oder 40 Jahren. Und wenn wir noch kritischere Systeme wie den Nuklearbereich betrachten, haben die Kraftwerke eine Lebenserwartung von 60 Jahren. Natürlich sind diese zum Teil sehr alten Systeme verwundbar", ergänzt Jean-Christophe Mathieu, Leiter der Cybersecurity Orange Cyberdefense.

"Historisch gesehen ist diese Infrastruktur oft planlos eingeführt worden. Mit anderen Worten: Sie wurde je nach Bedarf entworfen und automatisiert, wobei die Leute die Dinge so verkabelt haben, wie sie wollten", erklärt Stéphane Prévost, Product Marketing Manager bei Stormshield. "Infolgedessen wurden alle diese automatisierten Systeme in einem "flachen" Netzwerk installiert. Um sie heute abzusichern, ist es notwendig, sie zu segmentieren". Die Segmentierung des IT-Systems hat sich daher als Möglichkeit herauskristallisiert, die sensibelsten Assets von den anderen zu isolieren und zu schützen. Das Ergebnis ist, dass Cyber-Bedrohungen eingedämmt werden und die Leistung für die verschiedenen Geräte optimiert wird. In einer Zeit, in der immer mehr Sensoren, Maschinen und Produktionsabläufe in Fabriken miteinander vernetzt werden, bietet die Segmentierung ein wesentliches Bollwerk für die Industrie 4.0.

Warum ist ein "OT-first"-Ansatz wichtig?

Diese "4.0"-Probleme wird nicht mehr nur vom operativen Personal einer Fabrik bewältigt. "Wir stellen immer noch fest, dass in viel zu vielen Unternehmen die IT- und OT-Teams nicht effektiv miteinander kommunizieren. Es gibt immer noch erhebliche kulturelle Unterschiede und kleinliche Streitereien. Es ist jedoch unmöglich, ein Gesamtkonzept für die Sicherheit zu erreichen, wenn die Leute nicht miteinander reden und gescheige denn zusammenarbeiten", betont Jean-Christophe Mathieu.

Für die IT-Aktivitäten bedeutet dies, dass sie ihren Cyber-Ansatz anpassen müssen, um die Herausforderungen der OT mit einzubeziehen. "Die OT-Leute haben die Hauptbesessenheit, alles am Laufen zu halten. Deshalb ist es wichtig, das richtige Gleichgewicht zwischen dem Schutzsystemen und der Notwendigkeit, die Produktions- und Geschäftskontinuität sicherzustellen, zu finden", erklärt Thierry Hernandez. Das bedeutet, dass eine Firewall nur einzusetzten ist, wenn sie in der Fabrik nichts behindert.

Mit anderen Worten: Der IT-Schutz darf nicht zu Lasten der Produktion gehen. "Die Sicherheit muss auf eine Art und Weise gewährleistet werden, welche die Verfügbarkeit des Systems sicherstellt", betont Stéphane Prevost. Diese Schlüsselanforderung hat zu einem neuen Ansatz geführt, zu dem auch die Entstehung der industriellen Cybersicherheit gehört, die auf dem besten Weg ist, eine eigene Disziplin zu werden. Mit zunehmend spezialisierten Dienstleistern, zu denen auch Stormshield gehört, die transparente Lösungen für bestehende Systeme vorschlagen können. "Diese Transparenz muss während der Integrationsphase, aber auch später, wenn eventuelle Hardwarefehler auftreten, vorhanden sein, um die Produktion nicht zu beeinträchtigen", ergänzt Stéphane Prevost. "Die industriellen Firewall-Lösungen von Stormshield sind alle mit mehreren Garantien ausgestattet, um die Betriebssicherheit zu untermauern, bspw. mit Bypass- und Safe-Mode-Funktionen oder redundanten Stromversorgungen".

Wie geht man mit Cloud- und Edge-Computing um?

Die Datenrückmeldung ist eine Schlüsselkomponente von Industrie 4.0. "Es ist wichtig, die perfekte Integrität der von den Sensoren ankommenden Informationen zu gewährleisten und diese Daten schnell an das ERP-System und die Cloud weiterzuleiten", erklärt Thierry Hernandez. "Der Schutz der unteren Schicht des Betriebsnetzwerks ist ein wichtiges Ziel, das es ermöglicht, diese Informationen an der Quelle zu sichern, bevor sie weiter oben verwendet werden".

"Das Edge-Computing, einschließlich all dessen, was mit der Berechnung des Energieverbrauchs zusammenhängt, wird an einem Punkt zurückgeführt, der sich so nah wie möglich am Betriebsnetz befindet, das direkt mit der Cloud-Infrastruktur verbunden ist", ergänzt Stéphane Prevost. "Dies führt zu einer weiteren Vernetzung und macht das betriebliche System anfälliger für Cyber-Bedrohungen".

Die Industrie 4.0 muss daher einen umfassenden Überblick über ihre Sicherheit haben. Mit der Identifizierung und dem Mapping sensibler Assets, der Segmentierung (oder sogar Mikro-Segmentierung für das IIoT), um jedes Teil von den anderen zu isolieren und die Ausbreitung eines Angriffs zu verhindern. Das setzt aber nach Ansicht von Jean-Christophe Mathieu voraus, dass alles hochorganisiert funktioniert. "Wir müssen wissen, wer was, wann und wie macht, begleitet von einer umfassenden Rückverfolgbarkeit, um zu verhindern, dass jemand auf das System zugreift. Oder, wenn jemand darauf zugreift, um genau zu wissen, wer das ist und was er dort macht."

Die Sicherheitslösungen, die in den Fabriken eingesetzt werden, müssen dies nachvollziehen können. "Bei Stormshield gehen wir so weit, dass wir die Nachrichten überprüfen, die das Befehls- und Kontrollsystem an die Maschinen sendet", erklärt Stéphane Prévost. "Wenn ein Engineering-Arbeitsplatz eine Einstellungsänderung an eine SPS übermittelt, muss überprüft werden, dass es sich um den richtigen Arbeitsplatz mit der richtigen Person handelt und dass der gesendete Befehl autorisiert ist". Mit dieser Meldungskontrollfunktion kann auch überprüft werden, ob die Werte, die an die SPSen gesendet werden, vollständig mit dem Betriebsprozess konform sind. "Wir können feststellen, ob ein Wert ein bestimmtes Niveau überschreitet, in einer Art und Weise, die geeignet ist, ein Gerät zu gefährden oder zu zerstören oder sogar eine Bedrohung für das gesamte Produktionssystem darzustellen".

Industrie: ein Hauptziel für Hacker

Wie so oft im Bereich der Cybersicherheit bieten Normen eine wichtige Orientierungshilfe für den Einsatz von "Sicherheitsnetzen". Im Fall von Industriesystemen ist die Norm IEC 62443 die Referenz in diesem Bereich. Jeder Sektor geht nach seinen eigenen spezifischen Merkmalen vor, insbesondere in Branchen, die als KRITIS (Kritische Infrastrukturen) eingestuft sind und sehr hohe Sicherheitsniveaus erfordern.

Trotz dieser Standards bleiben industrielle Systeme dennoch verwundbar. Vor allem, weil physikalische Geräte (SPS, Steuerungen, Regler, etc.) für ganz unterschiedliche Zwecke eingesetzt werden und in vielen Systemen eine zentrale Rolle einnehmen. So finden wir beispielsweise die gleichen Arten von SPSen für die Verwaltung eines Gebäudes (Heizung, Lüftung, Klimaanlage) und in einer Produktionslinie für die Herstellung von Autos. Sobald eine Schwachstelle in einem dieser weit verbreiteten Geräte entdeckt wird, müssen alle diese Systeme als gefährdet angesehen werden. "Wir finden sehr viele Analogien zwischen den verschiedenen Branchen", bemerkt Thierry Hernandez. "Ein Kosmetikunternehmen kann mit einem Unternehmen aus der Pharmabranche verglichen werden, da die verwendete IT-Infrastruktur ähnlich sein kann. Aber der Grad der Sicherheit hängt von der Governance ab."

Und diese Bedrohungen sind sehr real. Neben Datendiebstahl und Industriespionage gehören nun auch SPS zu den Zielen der Hacker und bedrohen das Produktionssystem mit einem großen Ransomware-Ereignis. Dies birgt auch die Gefahr, dass es zu Betriebsstörungen oder Produktionsstillstand kommen kann. "Unabhängig von den Folgen einer böswilligen Handlung oder eines internen Fehlers geht die größte Gefahr von einem Produktionsstillstand aus. Die wirtschaftlichen Kosten sind enorm", fügt Thierry Hernandez hinzu. So beziffert die Reederei AP Moller-Maersk die Cyber-Attacken, die sie 2017 erlitten hat, auf 300 Millionen US-Dollar.

Angriffe können sich gegen Lieferketten richten, die immer komplexer, umfangreicher und vernetzter werden. Ein Sensor, der von einem Cyber-Kriminellen "umkonfiguriert" wird, kann beispielsweise dazu führen, dass sich ein Ventil weiter öffnet, als es eigentlich sollte. Im Falle eines Wasserturms könnte dies dazu führen, dass das gesamte Gebiet überflutet wird.

Wie wir gesehen haben, sind IIoT-Lösungen und industrielle Systeme nur unzureichend auf den Betrieb in einer vernetzten Umgebung vorbereitet und damit anfälliger für Cyber-Attacken. Die Informationen, die diese verbundenen Elemente sammeln und weitergeben, sollten nicht direkt mit dem Kernsystem interagieren. "Falls doch, müssen sie ausreichend gefiltert werden, um sicherzustellen, dass sie nur nach außen und nicht in das Herz des Systems gelangen", warnt Jean-Christophe Mathieu. "Es ist wichtig, sicherzustellen, dass der Systemkern vom Rest isoliert ist."

Original Blog-Artikel von Khobeib Ben Boubaker, Head of Industrial Security Business Line, Stormshield

Kürzungen und sonst. Korrekturen: Simon Schmischke