Anzeige
Anzeige
Anzeige

Bessere Verteidigung gegen industrielle Schadsoftware

Beitrag drucken

Ansatz: Professioneller Umgang mit Schwachstellen

Die Werkzeuge, mit denen Sicherheitsforscher und Hacker gegenüber Industriesystemen auftreten, sind ebenfalls umfangreicher geworden. Viele Programme zur Netzwerkprüfung inkludieren zumindest Module, die Industriesteuerungen am Netzwerk als solche identifizieren und nicht mehr als unbekannte Geräte klassifizieren. Für gängige Hacking-Werkzeuge wie das Metasploit-Framework existieren durchaus auch offensivere Funktionen: Befehle zum Stoppen und Starten von speicherprogrammierenden Steuerungen (SPS) werden nachgebildet oder spezifische Angriffe auf Implementierungs-Schwachstellen bereitgestellt. Automatisierungshersteller haben bereits begonnen, professioneller mit Sicherheitsschwachstellen umzugehen. Die meisten Automatisierungshersteller haben nun endlich die ersten Gehversuche im Umgang mit Sicherheitsschwachstellen hinter sich, in vielen Fällen ist daraus eine eigene Sicherheitsorganisation entstanden. Mitunter ist sogar ein eigenes Geschäftsfeld entwickelt worden, in dem Anlagenbetreibern Zusatzdienste wie Patch- und Update-Management, Risikoanalysen oder der Aufbau von Sicherheitskonzepten angeboten werden. Ein großes Problem liegt weiterhin im Bereich Security Know-how in der Industrie. Die Industrie als Ganzes muss nun lernen, mit Security umzugehen. Security war bisher kein Kernthema der Industrieunternehmen, und wenn dann typischerweise eher den IT-Abteilungen oder -Unternehmen zugeordnet. Durch Industrie 4.0 und eine noch stärkere Durchdringung von Software in Industrieanlagen sowie die stärkere Vernetzung muss Security aber ebenso gut umgesetzt werden. Dies ist nur möglich, wenn das Industriepersonal auch mit dem richtigen Security Know-how ausgestattet ist. Spezialisierte Schulungen und Zertifizierungen zum Thema Industrial Security sind ebenfalls erst in den letzten zwei bis drei Jahren nach Stuxnet entstanden. Besonders hervorzuheben ist beispielsweise die Zertifizierung GIAC Global Industrial Cyber Security Professional (GICSP), für die in Zusammenarbeit mit dem SANS Institute ein Training entwickelt wurde, um Anlagen- und Industrietechniker besser auf Security-Fragestellungen vorzubereiten und IT-Sicherheitsexperten in die Welt der ICS einzuführen. Wichtig ist, dass beide Seiten die gleiche Sprache sprechen und Lösungsansätze zusammen entwickeln, um die Systeme besser zu schützen.

Fazit

Die größte Herausforderung bleibt weiter bestehen: Auch wenn Hersteller begonnen haben, Konzepte wie Security by Design in neue Produkte zu integrieren, läuft der größte Teil von Industrieanlagen noch immer mit der älteren ‚Legacy‘-Technologie nach dem Motto ‚Never Change a Running System‘ (auch bei Updates nicht) und damit eher spärlichem Sicherheitsdesign. Es liegt also in der Verantwortung der Systemintegratoren und Anlagenbetreiber, die Security von bestehenden Anlagen zu verbessern, indem bei entsprechenden Wartungsfenstern auch Sicherheitsmechanismen nachgerüstet werden. Welche Maßnahmen hier am effektivsten für die jeweilige Anlage sind, sollte mit ausreichender Vorbereitung gemeinsam mit internen oder externen Fachleuten in einer Risiko- oder Schwachstellenanalyse geklärt werden. Denn leider belegen die eingangs aufgeführten Bedrohungen, dass sie sich stetig vermehren und immer mehr Angreifer ihre Zeit auf die Weiterentwicklung aufwenden. ICS zu manipulieren, zu sabotieren oder aber in Geiselhaft zu nehmen, bleibt für Angreifer ein lohnenswertes Ziel.


Das könnte Sie auch interessieren:

Ein im September 2019 als Weißdruck erschienener Standard des VDI soll helfen, die Potenziale von Formgedächtnislegierungen bei der Produktentwicklung zu nutzen. Der Hintergrund der neuen Richtlinienreihe VDI 2248 ist, dass feinwerktechnische Systeme immer kleinere leistungsfähigere Antriebe benötigen. Um dem gerecht zu werden, ist oft der Einsatz neuer Aktorprinzipien gefragt.‣ weiterlesen

Mit der neuen Cloud-Lösung Godesys One bietet der Mainzer ERP-Anbieter Godesys AG insbesondere kleineren Unternehmen mit fünf bis 25 Usern eine Einstiegslösung für digitales ERP. Die standardisierten Systemmodule sollen wichtige Funktionen abdecken und sich bedarfgerecht zusammenzustellen lassen.‣ weiterlesen

Das Zusammenspiel von IoT und Blockchain eröffnet neue Möglichkeiten: Mit Smart Contracts können etwa Zustandsdaten einer Maschine sicher an ihren Hersteller übermittelt werden. Und auch hinsichtlich des Energiebedarfs wird die Blockchain für die Industrie interessanter.‣ weiterlesen

Deutschland zählt mit einer Roboterdichte von 338 Einheiten pro 10.000 Arbeitnehmern im internationalen Vergleich zu den am stärksten automatisierten Volkswirtschaften. Nach Singapur und Südkorea rangiert die Bundesrepublik weltweit auf dem dritten Rang.‣ weiterlesen

Teil der Vision Industrie 4.0 ist es, Anlagekomponenten ohne Eingriff in die Steuerung austauschen zu können. Mit dem Konzept einer dienstbasierten Fertigung wollen das Fraunhofer IESE und weitere Projektpartner genau das praxistauglich ermöglichen.‣ weiterlesen

Über V2X-Kommunikation lassen sich Fahrzeuge untereinander und mit der umliegenden Infrastruktur vernetzen. Auf einmal müssen Anwendungsentwickler Komponenten berücksichtigen, deren Funktionalität sie nicht beeinflussen. Die passende Softwarearchitektur hilft, diese Herausforderung im Dschungel sich weltweit entwickelnder Standards zu lösen.‣ weiterlesen

Mit dem SMIT TestKit Shop hat Sven Mahn IT den Zugang zu ihrem Produkt zur Testoptimierung und Qualitätssicherung der ERP-Lösungen Microsoft Dynamics 365 for Finance and Operations und Dynamics AX vereinfacht.‣ weiterlesen

Die CRM-Lösung CAS GenesisWorld von CAS Software steht als Release x11 zur Verfügung. Neu hinzugekommen ist zum Beispiel, dass Anwender die intelligente Suchfunktion Picasso nun auch auf mobilen Endgeräten nutzen können.‣ weiterlesen

Mit dem Industrial Internet of Things steht Produzenten eine neue Infrastrukturebene zur Verfügung, um ihre Abläufe und Fertigungsprozesse zu optimieren. Thorsten Strebel von MPDV schildert, wie die Technologien auf die MES-Welt einwirken und wie der MES-Hersteller darauf reagiert.‣ weiterlesen

Mit dem neuen Geschäftsfeld Maxolution Maschinenautomatisierung adressiert SEW-Eurodrive den Markt mit maßgeschneiderten Systemlösungen. Gemeinsam mit dem Maschinenbauer EMAG hat der Antriebsspezialist nun einen Portalroboter vorgestellt, der ohne Energieführungsketten auskommt und auch anfallende Daten kabellos überträgt.‣ weiterlesen

Anzeige
Anzeige
Anzeige
Anzeige
Anzeige
Anzeige