Industrielle Produktions- und Steueranlagen werden immer stärker vernetzt. Das Ergebnis sind effizientere Abläufe, aber auch erhöhte Angreifbarkeit – intern wie extern. Die bewährten Sicherheitssysteme wie Virenscanner und Firewall kommen dabei an ihre Grenzen und können in Steuernetzen oft nicht eingesetzt werden. Ein vielversprechender Ansatz sind intelligente Überwachungssysteme auf Basis der Deep Packet Inspection-Technologie.

Bild: Rhebo AG

Wie bei allen IT-Systemen, macht die Vernetzung von Steueranlagen diese auch zum Ziel für Angriffe aus dem Internet – oft nur zufällig aufgrund ihrer öffentlichen Erreichbarkeit. Zwischen 2012 und 2014 untersuchte die Forschergruppe von Infracritical mit dem Projekt Shine, wie viele Steuersysteme aus dem Internet erreichbar sind. Am Ende fanden sie 2,2 Millionen Steuersysteme, die über das Internet auffindbar und potentiell zugänglich waren – oftmals ohne Wissen ihrer Betreiber. 15 Prozent der gefundenen Steuerungen befanden sich in Deutschland. Aber auch nicht ans Internet angeschlossene Hardware ist potentiell gefährdet, wie der BSI-Bericht ‚Industrial Control System Security: Top 10 Bedrohungen und Gegenmaßnahmen‘ von 2014 aufzeigt:

  • privat genutzte (Wartungs-)Laptops

  • gezielte Spear Phishing-Attacken

  • Zugriff auf das WLAN in Produktionshallen per Richtantenne

  • Fernwartung per häufig ungesichertem Virtual Private Network (VPN)

  • unzufriedene oder gutgläubige Mitarbeiter, die durch Social Engineering
    zur Datenweitergabe motiviert werden

  • unbedacht verwendete Fremd-Laufwerke wie USB-Sticks.

ANZEIGE

ORDAT 365csm schließt funktionale Lücke in MD365 Finance & SCM
Supply Chain 4.0: EDI – automatisiert

Kostspielige Fehler durch manuelle Datentransfers können Microsoft Dynamics 365 Finance & SCM-Nutzer künftig vermeiden. Eine Neuentwicklung aus der AppSource senkt Fehlerquoten durch automatisierte Gutschriftenverfahren, Behältermanagement und Nachrichtenverarbeitung.‣ weiterlesen

Alte Gefahren

Selbst eine vollkommen isolierte Anlage bietet keine absolute Sicherheit vor netzwerkbedingten Störungen. Mit steigendem Grad der Konnektivität von Maschinen und Steuerungen untereinander erhöht sich die Komplexität und damit die Wahrscheinlichkeit eines Ausfalls. Zudem kann es – anders als bei busbasierten Systemen – bei paketorientierter Kommunikation zu Überlastzuständen kommen. So kann etwa das tägliche Hochladen von Logdaten auf einen FTP-Server eine erhebliche Last verursachen, die zu Störungen führen kann, wenn zeitgleich zeitkritische Kommunikation auf dem Medium läuft. Problemen dieser Art auf die Spur zu kommen, ist mit herkömmlichen Tools nahezu unmöglich, da die üblichen Industrie-Protokolle von gängiger Netzwerkdiagnose-Software kaum unterstützt werden. Industriespezifische Protokoll-Analyzer wiederum sind nicht hinreichend auf das Auswerten von Informationen der unteren Protokollschichten (Ethernet und IP) ausgerichtet.

Zwei Schwächen

Aktuell wird für den Netzwerkschutz auf Virenscanner und Firewalls zurückgegriffen. Diese weisen zwei entscheidende Schwächen auf: Erstens erkennen sie nur bereits bekannte Anomalien (sogenannter ‚Black Listing‘-Ansatz). Bei täglich rund 17.000 neuen Bedrohungen (Quelle: viruslist.com) kommt keine dieser Lösungen hinterher. Zweitens überwachen sie nur die externen Schnittstellen. Wie der BSI-Bericht zeigt, erfolgt die Mehrzahl der Angriffe mittlerweile jedoch von intern oder über authorisierte Schnittstellen (zum Beispiel über VPN-Clients). Die Situation wird durch die Nutzung von Betriebssystemen verschärft, für die teils keine Sicherheits-Updates mehr bereitgestellt werden, wie seit 2014 für Windows XP. Auch werden in Steuerungen immer wieder Lücken gefunden. Die Open-Source Vulnerability Database (OSVDB) weist einen achtfachen Anstieg zwischen 2009 und 2014 aus.

Auf einen Blick

Angesichts der zunehmenden Komplexität und der sich entwickelnden Bedrohungslage sind neue Lösungen gefordert. Industrial Protector der Firma Rhebo verfolgt deshalb einen neuartigen Ansatz, der eine lückenlose Unterscheidung zwischen erlaubter und nicht erlaubter Netzwerkaktivität ermöglicht. Grundlage für die Funktion sind die deterministischen Prozesse, die in einer Produktionsanlage geplant laufen und folglich in einer deterministischen Kommunikation im Netzwerk resultieren. Industrial Protector erlernt diesen erlaubten Kommunikationsprozess, um Abweichungen – oder Anomalien – davon jederzeit und unmittelbar zu erkennen und zu melden. Diese Meldungen machen alle Probleme im Steuernetz, die zu einer Beeinträchtigung des Betriebs führen können, direkt sichtbar. Darunter fallen unter anderem Fehlkonfigurationen oder Fehlfunktionen einzelner Komponenten, Überlastungen und Kommunikationsausfälle, aber auch gezielte und ungezielte Angriffe von innen oder außen.

Kommunikation erlernen

Das Erlernen des normalen Kommunikationsverhaltens erfolgt mittels einer vollständigen Überwachung, Erkennung und Dekodierung des Datenverkehrs. Dabei werden die Fernwirk- und Feldbusprotokolle bis auf Befehlsebene mittels Deep-Packet-Inspection-Technologie analysiert und validiert. Jeder Befehlsaustausch zwischen Komponenten im Steuernetz (zum Beispiel Steuerungen, Sensoren, Aktoren) wird von Industrial Protector in der Lernphase als Normverhalten registriert. Jede Abweichung von diesem Normverhalten erzeugt im späteren Betrieb eine Meldung. Damit wird zum Beispiel erkannt:

  • ob ein nicht authorisiertes Gerät auf das Netzwerk zugreift

  • ob über ein neues oder unbekanntes Protokoll kommuniziert wird

  • ob ein Wartungslaptop auf eine Steuerung zugreift, mit der er zuvor noch
    nicht kommuniziert hat

ANZEIGE

IP67-HMI/PLCs mit Cloud-Anbindung

Turcks HMI/PLC-Serie TX700 ermöglicht schaltschranklose Bedien- und Montagekonzepte im Betriebstemperaturbereich von -20 bis +55 °C. Die ultrarobusten Geräte können als HMI, PLC, Edge Controller oder IIoT Cloud Gateway eingesetzt werden. ‣ weiterlesen

  • ob eine Malware das Netz scannt

  • ob die Rate zyklischer Ereignisse sich verändert oder

  • auf ein Gerät schreibend zugegriffen wird, wo zuvor nur lesend zugegriffen
    wurde

Kurz: Alle Anomalien im Netzwerk werden unmittelbar angezeigt – inklusive aller für die Auswertung notwendigen Daten. Unbekannte Aktivitäten können so umgehend bewertet und als ‚gefährlich‘ blockiert oder als ‚unbedenklich‘ freigegeben werden. Die Sicherheitslösung blockiert dabei nicht automatisch alle unbekannten Vorgänge, sondern überlässt dem Betreiber die Entscheidung und Netzwerkhoheit. So lassen sich Ausfallzeiten drastisch reduzieren und in vielen Fällen ganz vermeiden. Überwacht werden MAC- und IP-Adressen, das Anwendungsprotokoll (zum Beispiel Profinet, Ethercat, Modbus, S7, aber auch SNMP oder NTP sowie etwa 50 weitere industriespezifische und Standardprotokolle), der Nachrichtentyp (Synchronisation, Authentisierung, Datenübertragung, Fehlermeldungen und so weiter) und die daraus resultierenden Kombinationen.

Zwei Komponenten

Industrial Protector besteht aus zwei Komponenten: Einem zentralen Server und optional mehreren Sensoreinheiten, die zum Beispiel im Schaltschrank an der Hutschiene montiert werden können und dort mittels Netzwerk-Tap oder Spiegelport vollkommen passiv Daten abgreifen. Installationsaufwand und Wartung sind minimal. Die Anlernphase dauert oft nur wenige Minuten bis Stunden, die Konfiguration ist automatisiert und im Normalbetrieb ist nicht mit Fehlalarmen zu rechnen. Installationen von Industrial Protector im Umfeld der deutschen Automobilindustrie konnten ohne Produktionsunterbrechnung umgesetzt werden. Erste Ergebnisse zeigen ein reibungsloses und effizientes Kommunikationstracking.

Die Anforderungen steigen

Betreiber kritischer Infrastruktur wie Energieversorger oder Wasser- und Abwasserbetriebe werden durch das neue IT-Sicherheitsgesetz angehalten, sich angemessen nach aktuellem Stand der Technik vor Angriffen zu schützen und darüber hinaus erhebliche IT-Sicherheitsvorfälle zu melden. Aber auch in produzierenden Betrieben ist damit zu rechnen, dass entsprechende Anforderungen steigen, sei es durch konzerninterne Richtlinien oder Auflagen von Versicherern. Hier können Deep-Packet-Inspection-Technologien wie Rhebo Industrial Protector sinnvolle Dienste leisten, denn sie machen Sicherheitsvorfälle unmittelbar sichtbar und liefern die zur forensischen Analyse eines Angriffs oder einer Störung notwendigen Daten im PCAP-Format gleich mit.

Das könnte Sie auch interessieren:

KI-Tool Aivis als kostenlose Basisversion

PerfectPattern hat die kostenlose Basisversion von Insights App vorgestellt. Mit der Software können Prozessingenieure, Produktionsexperten und Datenwissenschaftler die von PerfectPattern entwickelte KI-Technologie Aivis nutzen, um Einblicke in Produktionsprozesse zu erhalten.‣ weiterlesen

ERP-Wechsel bei der Buss-Gruppe
80 Mandanten in 14 Wochen

Die Buss-Unternehmensgruppe ist in vielen unterschiedlichen Geschäftsfeldern tätig. Eine Herausforderung, stand doch ein Wechsel des ERP-Systems ins Haus - mit mehr als 80 Unternehmen innerhalb der Gruppe. Gemeinsam mit dem IT-Dienstleister Sven Mahn IT gelang es, das Projekt innerhalb von 14 Wochen umzusetzen.‣ weiterlesen

Neue Technologien am Arbeitsplatz
Junge Mitarbeiter wünschen sich Transparenz

Werden neue Technologien wie beispielsweise künstliche Intelligenz Teil des Arbeistalltages wünscht sich ein Großteil der unter 31-Jährigen, darüber informiert zu werden. Dies geht aus einer Studie des IT-Security-Anbieters Kaspersky hervor. Auch ein menschliches Antlitz könnte laut Studie für mehr Akzeptanz sorgen.‣ weiterlesen

Geschäftsklima im Juli
Aktuelle Lage gut, Ausblick verschlechtert sich

Schlechtere Stimmung als noch im Juni. Geschäftsklima-Index des Ifo Instituts hat in der aktuellen Erhebung im Vergleich zum Vormonat nachgegeben.‣ weiterlesen

Der Accelerated-Discovery-Ansatz
KI, Cloud und Quantenrechner als Turbo für Entdeckungen

Die Sprints zu Covid19-Impfstoffen zeigen den Leistungsdruck, unter dem die Technologieentwicklung steht. In kürzester Zeit sollen Forscher und Ingenieure Lösungen für die kritischen Probleme unserer Zeit finden. Der Accelerated-Discovery-Ansatz soll helfen, Forschungs- und Entwicklungsprozesse mit KI, Hybrid Cloud und schließlich Quantencomputern um das zehn- bis hundertfache des heute Möglichen zu beschleunigen.‣ weiterlesen

Process Mining
Partnerschaft zwischen Trebing + Himstedt und Celonis

Trebing + Himstedt hat die Partnerschaft mit Celonis bekanntgegeben. Die Unternehmen wollen zukünftig beim Thema Process Mining zusammenarbeiten.‣ weiterlesen

Smart Factory-Lösungen
Crate.io und Zühlke arbeiten zusammen

Im Rahmen einer Partnerschaft wollen Crate.io und Zühlke zukünftig gemeinsam an Smart Factory- und Industrie 4.0-Lösungen arbeiten.‣ weiterlesen

Visual-Components-Addon für Lean Manufacturing

Die Dualis GmbH IT Solution hat für Lean-Manufacturing-Aufgabenstellungen ein Add-on zur 3D-Simulationsplattform Visual Components entwickelt. Basierend auf Process Modelling können damit automatisch branchengängige Standardized Work Sheets generiert werden.‣ weiterlesen

Visualisierungskonzepte
In drei Schritten zum Dashboard

Um verschiedene Daten aufzubereiten und den Mitarbeitern nutzenbringend bereitzustellen, ist nicht immer ein großes IT-Projekt nötig. Wer schnell Daten für die Beschäftigten visualisieren möchte, sollte sich einmal näher mit Dashboards befassen.‣ weiterlesen

Virtuelle Inbetriebnahme
Fehler und Schäden mit Simulation vermeiden

Die Simulation am digitalen Zwilling macht die Inbetriebnahme von Anlagen und Maschinen mit automatisierten Bewegungen sicherer. Fehler fallen früher auf und können behoben werden, bevor die Anlage aufgebaut ist. So lassen sich Schäden und Verzögerungen vermeiden. Auch als Schulungstool für Bediener und Programmierer ist die digitale Maschine hilfreich.‣ weiterlesen

Neues aus dem VDI
14. Offizielle GAMP 5 Konferenz:Digitaler Wandel imregulierten Umfeld

ISPE, APV, Concept Heidelberg und die VDI/VDE Gesellschaft Mess- und Automatisierungstechnik richten am 30. November bis zum 1. Dezember 2021 im Dorint Kongresshotel in Mannheim die 14. Offizielle GAMP 5 Konferenz aus.‣ weiterlesen