- IT&Production - https://www.it-production.com -

Bessere Verteidigung gegen industrielle Schadsoftware

Bessere Verteidigung gegen industrielle Schadsoftware

Seit der Entdeckung von Stuxnet im Jahr 2010 gab es bei industrieller Schadsoftware einige evolutionäre technologische Sprünge, aber auch massive Schäden sowohl bei Unternehmen als auch bei staatlichen Einrichtungen. Malware für ICS (Industriesteuerungen) ist nicht mehr länger eine Waffe, die nur Insidern zur Verfügung steht und die lediglich zur Wirtschaftsspionage genutzt wird.

 (Bild: Limes Security GmbH) [1]

(Bild: Limes Security GmbH)

An aktuellen Beispielen wie LogicLocker (Ransomware), Industroyer aber auch Trisis (Triton/Hatman) lässt sich ablesen, dass Angreifer heute auch Wirtschaftssabotage im Sinn haben. Unterstützt wird die These von den zurückliegenden Vorfällen rund um das ukrainische Stromnetz Mitte Dezember 2015. Leider sind diese Angriffe immer erfolgreicher, was nicht nur daran liegt, dass sie immer ausgefeilter und zielgerichteter erfolgen, sondern auch, weil viele Hersteller und Unternehmen es versäumen in die Sicherheit der Systeme zu investieren.

Sabotage-Malware – ein aktueller Überblick

Am Anfang stand eine Software, die dafür entwickelt wurde, die Urananreicherung in Zentrifugen zu sabotieren. Mit Stuxnet wurde für die Welt der Industriesteuerung im Grunde genommen die Büchse der Pandora geöffnet. Wie einschneidend dieses Ereignis für die Branche war, ist daran erkennbar, dass alle nachfolgenden Bedrohungen mit Stuxnet verglichen werden. Die Malware zeigte, dass Automatisierungssysteme ähnlich durch Softwaremanipulationen gefährdet sein können wie IT-Systeme. Eine direkte Konsequenz war, dass nach dem Aufdecken von Stuxnet, Sicherheitsexperten auf der ganzen Welt begannen, gezielt nach Schwachstellen in Industriesoftware zu suchen. Die Schwachstellenmeldungen stiegen daraufhin sprunghaft an. Eine beliebte Quelle, die auf unsichere, direkt am Internet betriebene Industriesysteme hinweist, ist noch heute die Webseite https://www.shodan.io/explore/category/industrial-control-systems . Die erste Ransomware, die nachweislich auch Industriesteuerungen in Geiselhaft nehmen kann, ist LogicLocker. Diese wurde als Proof-of-Concept entwickelt und ist bisher noch nicht im Feld aufgetaucht, deshalb ist es schwer zu sagen, wie gefährlich diese Bedrohung wirklich ist.

Industroyer

Anders verhält es sich mit Industroyer. Die Schadsoftware löschte alle Registry-Keys, die mit bestimmten System-Services in Verbindung stehen, überschreibt bestimmte ICS-Konfigurationsdateien auf den Festplatten und manipuliert Daten auf Netzwerklaufwerken, die mit einer bestimmten Controller-Software in Verbindung stehen. Darüber hinaus werden auch gewöhnliche Windowsdaten überschrieben. Die Schadsoftware war auch in der Lage eine Konfigurationsdatei auszulesen, stoppte alle Master-Prozesse eines Energieautomatisierungssystems auf dem Host des Opfers, tarnte sich als neuer Master und löste autonom vier Arten von Schalthandlungen aus. Sie scheint außerdem für den Stromausfall in der Ukraine verantwortlich zu sein, Angriffe mit dieser Software auf Stromnetze in Deutschland sind ebenfalls prinzipiell denkbar, da die gleiche IEC-Protokollfamilie auch von deutschen EVUs eingesetzt wird. Bislang zielt sie primär auf kritische Energieinfrastrukturen, sie wurde jedoch auch in anderen Infrastrukturen entdeckt. Triton/Trisis/Hatman stehen für ein und dieselbe Malware, die Ende 2017 auf einem SIS (Safety Instrumented System)-Controller gefunden wurde. Sie modifiziert mit einem py2exe kompilierten Python Script den Speicher der Anwendung auf dem Controller. Allerdings kann das Script noch deutlich mehr. Die erste bekannt gewordene Infektion trat auf einem Windows-PC auf, der mit einem SIS-Gerät verbunden war und die daraufhin das Verhalten des Geräts veränderte. Die Spuren, die dabei hinterlassen werden, können von der Malware wieder gelöscht werden, sodass eine forensische Untersuchung nach der Entdeckung sehr schwierig ist. Wirklich bemerkenswert ist jedoch, dass die Schadsoftware nicht nach Schwachstellen im SIS selbst sucht, sondern sich das Design der Netzwerkarchitektur zunutze macht, um den Angreifern die Möglichkeit zu geben, die Befehle direkt an die Controller zu senden. Das vermutliche Ziel dieser Malware war die kritischen Betriebszustände des primären Automatisierungssystems zu erzeugen und dann zu unterbinden, sodass das Safety System (SIS) das Eintreten dieser Betriebszustände verhindert.

Ansatz: Professioneller Umgang mit Schwachstellen

Die Werkzeuge, mit denen Sicherheitsforscher und Hacker gegenüber Industriesystemen auftreten, sind ebenfalls umfangreicher geworden. Viele Programme zur Netzwerkprüfung inkludieren zumindest Module, die Industriesteuerungen am Netzwerk als solche identifizieren und nicht mehr als unbekannte Geräte klassifizieren. Für gängige Hacking-Werkzeuge wie das Metasploit-Framework existieren durchaus auch offensivere Funktionen: Befehle zum Stoppen und Starten von speicherprogrammierenden Steuerungen (SPS) werden nachgebildet oder spezifische Angriffe auf Implementierungs-Schwachstellen bereitgestellt. Automatisierungshersteller haben bereits begonnen, professioneller mit Sicherheitsschwachstellen umzugehen. Die meisten Automatisierungshersteller haben nun endlich die ersten Gehversuche im Umgang mit Sicherheitsschwachstellen hinter sich, in vielen Fällen ist daraus eine eigene Sicherheitsorganisation entstanden. Mitunter ist sogar ein eigenes Geschäftsfeld entwickelt worden, in dem Anlagenbetreibern Zusatzdienste wie Patch- und Update-Management, Risikoanalysen oder der Aufbau von Sicherheitskonzepten angeboten werden. Ein großes Problem liegt weiterhin im Bereich Security Know-how in der Industrie. Die Industrie als Ganzes muss nun lernen, mit Security umzugehen. Security war bisher kein Kernthema der Industrieunternehmen, und wenn dann typischerweise eher den IT-Abteilungen oder -Unternehmen zugeordnet. Durch Industrie 4.0 und eine noch stärkere Durchdringung von Software in Industrieanlagen sowie die stärkere Vernetzung muss Security aber ebenso gut umgesetzt werden. Dies ist nur möglich, wenn das Industriepersonal auch mit dem richtigen Security Know-how ausgestattet ist. Spezialisierte Schulungen und Zertifizierungen zum Thema Industrial Security sind ebenfalls erst in den letzten zwei bis drei Jahren nach Stuxnet entstanden. Besonders hervorzuheben ist beispielsweise die Zertifizierung GIAC Global Industrial Cyber Security Professional (GICSP), für die in Zusammenarbeit mit dem SANS Institute ein Training entwickelt wurde, um Anlagen- und Industrietechniker besser auf Security-Fragestellungen vorzubereiten und IT-Sicherheitsexperten in die Welt der ICS einzuführen. Wichtig ist, dass beide Seiten die gleiche Sprache sprechen und Lösungsansätze zusammen entwickeln, um die Systeme besser zu schützen.

Fazit

Die größte Herausforderung bleibt weiter bestehen: Auch wenn Hersteller begonnen haben, Konzepte wie Security by Design in neue Produkte zu integrieren, läuft der größte Teil von Industrieanlagen noch immer mit der älteren ‚Legacy‘-Technologie nach dem Motto ‚Never Change a Running System‘ (auch bei Updates nicht) und damit eher spärlichem Sicherheitsdesign. Es liegt also in der Verantwortung der Systemintegratoren und Anlagenbetreiber, die Security von bestehenden Anlagen zu verbessern, indem bei entsprechenden Wartungsfenstern auch Sicherheitsmechanismen nachgerüstet werden. Welche Maßnahmen hier am effektivsten für die jeweilige Anlage sind, sollte mit ausreichender Vorbereitung gemeinsam mit internen oder externen Fachleuten in einer Risiko- oder Schwachstellenanalyse geklärt werden. Denn leider belegen die eingangs aufgeführten Bedrohungen, dass sie sich stetig vermehren und immer mehr Angreifer ihre Zeit auf die Weiterentwicklung aufwenden. ICS zu manipulieren, zu sabotieren oder aber in Geiselhaft zu nehmen, bleibt für Angreifer ein lohnenswertes Ziel.