Anzeige
Anzeige
Beitrag drucken

Neue Schädlingsbekämpfer

Scada-Systeme mit verhaltensbasiertem Malware-Schutz

Um die Produktion zu schützen, sollten zwei Szenarien betrachtet werden: Die Gefahr durch gezielte Manipulation beziehungsweise Hacking und die Störung durch ungezielte Streuattacken wie Ransomware. Ein hohes Schutzniveau im Scada-Umfeld lässt sich durch Segmentierung der Netze und den Einsatz der neusten Generation von Malware-Schutzsoftware erreichen.

Scada-Systeme mit Malware-Schutz

Bild: IT-Cube Systems GmbH

Immer wieder zeigt sich, dass Malware neuralgische Punkte unserer Gesellschaft bedrohen kann. Ob Bahnverkehr oder die Produktion im Pharmazeutischen Bereichen: Alle waren von Malware in Form von Verschlüsselungstrojanern beziehungsweise Ransomware betroffen. Wird ein Unternehmen attackiert, entsteht mitunter Schäden in Millionenhöhe. Vor allem mittelständische Firmen tun sich schwer, das abzufedern. Steht die Produktion still, kann das schnell zu einer finanziellen Schieflage führen.

Neue Angriffe – alte Probleme

Die neue Generation von Malware wie WannaCry, NotPetya oder Petwrap nutzt so genanntes ‚lateral movement‘, also die Ausbreitung ohne Nutzerinteraktion. Ist die Malware einmal ins Netzwerk gelangt, kann sie sich sehr schnell auf angeschlossenen Systemen ausbreiten. Wie können kritische Workstations in Produktionsumgebungen ausreichend davor geschützt werden? Diese Frage sorgt bei Verantwortlichen für schlaflose Nächte. Was in der Office-IT heute selbstverständlich ist, führt im Bereich Operational Technology (OT) schnell zu Problemen: Der Virenscanner. Betreiber von Anlagen werden hier mit grundsätzlichen Problemen konfrontiert. Ein herkömmlicher AV-scanner benötigt zum Beispiel regelmäßige Signaturupdates, um zuverlässig zu funktionieren. Dazu wird ein eigener AV-Management-Server oder direkter Onlinezugang benötigt. Hinzu kommt der oft unkalkulierbare Ressourcenbedarf eines Virenscanners, besonders während eines erkannten Malwarebefalls. Bei den meisten herkömmlichen Lösungen ist dabei Vollauslastung die Regel. Vor allem letzteres kann im wahrsten Sinne des Wortes zum Showstopper werden: Wird eine Malware entdeckt, steigt die Systemauslastung häufig derart stark an, dass auch die eigentliche Steuerungsanwendung ihre Input/Output-Last nicht mehr bewältigen kann. Das zieht gegebenenfalls Störungen bis hin zum Stillstand oder der Beschädigung einer Anlage nach sich. Doch auch das Gegenteil ist ein Problem: Was, wenn der Scanner bei Befall nicht reagiert? Auch das kann passieren, denn ein weiteres Manko der klassischen AV-Scanner ist deren teils katastrophale Erkennungsrate.

Maschinen helfen Maschinen

In einschlägigen Tests zeigt sich der Nachteil von traditionellen signaturbasierten Virenscannern. Viele klassische Scanner bieten weniger Schutz als sogenannte Next-Generation-Endpoint-Lösungen. Vor allem bei der Erkennung von Zero-Day-Exploits oder mutierter Malware, die veränderte digitale Fingerabdrücke (Hashes) produziert, besteht häufig eine Lücke in der Erkennungen. Einen vielsprechenden neuen Ansatz zeigen neue Lösungen. Statt auf signaturbasierte Erkennung setzen sie auf maschinelles Lernen und künstliche Intelligenz (KI). Diese Lösungen benötigen keine Signaturen zur Erkennung, sondern analysieren verdächtige Dateien gezielt auf Kerntechniken von Malware. Diese Algorithmen sind prinzipbedingt bei Malware vorhanden und nur schwer zu verschleiern, da sie die eigentliche schädliche Funktionalität beinhalten. Return oriented Programming (ROP) oder Heap Spray sind beispielsweise zwei dieser Kerntechniken. Wird der assoziierte Programmcode durch die Next-Gen-Lösung erkannt, wird die Datei sofort blockiert. Die KI erkennt Malware durch Untersuchung von Binärdateien und Dynamic Link Libraries (dlls), ohne sie ausführen zu müssen (pre-execution und predictive). Zusätzlich nutzen solche Lösungen Schutzmodule wie Script Control zum Schutz vor VBA-Scripts oder Excel-Makros, die häufig bei der Verbreitung von Ransomware eingesetzt werden. Die Erkennungsquote ist so in der Regel signifikant höher als bei klassischen Antivirenlösungen. In Tests unter Realbedingungen wurden Erkennungsquoten von über 98 Prozent erreicht.

Getrimmt auf Performance

KI und maschinelles Lernen klingt im ersten Moment nach einer Anwendung für Supercomputer. In Wahrheit sollen Next-Gen-Lösungen deutlich weniger Ressourcen als traditionelle Ansätze beanspruchen: Der Bedarf an Arbeitsspeicher beträgt rund 100 Megabyte. Bei Malwareerkennung steigt die CPU-Last nicht über zehn Prozent. Auch ältere Betriebssysteme wie Windows XP oder Windows Server 2003 werden noch unterstützt, ein wichtiger Fakt für viele Produktionsumgebungen. Zudem sind Anlagen häufig durch Segmentierung vom Unternehmensnetzwerk getrennt und verfügen nicht über die Möglichkeit, Antivirensignaturen direkt oder über einen Management Server herunterzuladen. Wenn ein Scanner ohne Signaturen auskommt, ist diese Verbindung auch nicht mehr erforderlich. So lässt sich eine Segmentierung des Netzwerks konsequent umsetzen und gleichzeitig leistungsfähiger Malwareschutz einrichten. Werden Wartungen an Steuerrechnern durchgeführt – häufig durch Personal eines Maschinenherstellers – kann Malware sich etwa durch infizierte USB-Sticks selbst auf Inselsystemen verbreiten. Dieser Problematik begegnen entsprechende Lösungen dadurch, dass die Intelligenz zur Erkennung der Malware im Agenten integriert ist und unabhängig agieren kann.


Das könnte Sie auch interessieren:

Seit gut eineinhalb Jahren betreibt Simus Systems eine Online-Plattform, auf der Auftraggeber und Auftragnehmer die Metallbearbeitung von Bauteilen kalkulieren - und das Interesse am Tool ist rege. Anwender laden ihr CAD-Modell hoch und erhalten eine valide Vorkalkulation des geplanten Bauteils.‣ weiterlesen

Erst die Interoperabilität von Maschinen und Anlagen ermöglicht Unternehmen die Teilhabe an neuen digitalen Strukturen und ist Grundvoraussetzung für neue digitale Geschäftsmodelle. Durch interoperable Schnittstellen können neue Maschinen effizienter integriert werden. Die VDMA-Studie ‘Interoperabilität im Maschinen- und Anlagenbau‘ zeigt die Relevanz von interoperablen Schnittstellen und dazugehörigen Standards in den Unternehmen.‣ weiterlesen

Im Gewerbebau gehört ein differenziertes Zutrittsmanagement zum Standard der meisten Ausschreibungen. Für Betriebe lohnt es, sich mit dem Thema zu beschäftigen. Denn die Infrastruktur sollte später neue Anforderungen im Besuchermanagement ohne hohe Mehrkosten abbilden können.‣ weiterlesen

Die Vor- und Nachteile von SQL-, NoSQL- und Cloud-Datenbanken in Produktionsumgebungen werden noch immer diskutiert. Es wird höchste Zeit für ein Datenbankmanagement-System, das die Stärken aller drei miteinander verbindet.‣ weiterlesen

Predictive Maintenance, oder auch vorausschauende Instandhaltung, bildet einen der primären Anwendungsfälle im Spektrum der Industrie 4.0. Doch noch sind viele Unternehmen von den Ergebnissen enttäuscht, nachdem ihnen die technische Umsetzung gelungen ist. Eine planvolle Roadmap beugt dem vor, indem ein vorteilhafter Rahmen um das Werkzeug gezogen wird.‣ weiterlesen

Das Systemhaus Solid System Team wird von einer Doppelspitze geleitet. Neben Werner Heckl ist seit 1. April auch Torsten Hartinger mit der Geschäftsführung betraut.‣ weiterlesen

Materialise erwirbt Kaufoption von MES-Anbieter Link3D. Mögliche Übernahme könnte den Weg zum cloudbasierten Zugriff auf die 3D-Druck-Software-Plattform von Materialise ebnen.‣ weiterlesen

Ist die IoT-Infrastruktur in der Fertigung erst einmal installiert, müssen die erfassten Daten analysiert und in Nutzen überführt werden. Dabei kommt Event-Streaming-Technologie vor allem dann in Frage, wenn Anwender ihre Daten echtzeitnah verarbeiten wollen.‣ weiterlesen

Frank Possel-Dölken (Phoenix Contact) ist neuer Vorsitzender des Lenkungskreises der Plattform Industrie 4.0. Er übernimmt das Amt von Frank Melzer (Festo).‣ weiterlesen

Anzeige
Anzeige
Anzeige
Anzeige
Anzeige
Anzeige