Wie Sie industrielle Steuerungssysteme schützen können
Industrielle Systeme müssen sich auf neue Anwendungsformen einstellen, welche die Angriffsfläche erheblich vergrößern:
>Umfangreichere Konnektivität im Rahmen von Fernzugriffsanforderungen (Eingriffe aus der Distanz im Rahmen von Bereitschaftsdiensten, Fernzugriff von Drittanbietern, Fernaktivitäten von Lieferanten usw.), insbesondere wenn die verwendeten Konten über besondere Privilegien verfügen (Administratorrechte, Softwareaktualisierung usw.).
>Weltweit operierende Wartungsteams.
>Breit verteilte Infrastrukturen.
>Breit gefächerte Tools für den Fernzugriff auf die OT-Systeme (durch Anbieter, Tochtergesellschaft/Standort usw.).
Zum Zweck der Leistungsverbesserung und für Einsparungen wird zunehmend auf IT-Komponenten zurückgegriffen, die jedoch anfällig sein können. Heutzutage basieren die meisten Industrieprotokolle auf TCP/IP, und selbst speicherprogrammierbare Steuerungen (SPS), Remote-Terminal-Einheiten usw. laufen auf Betriebssystemen aus der IT-Welt (Windows, Linux).
Gleichzeitig war die Cyber-Bedrohung noch nie so präsent wie heute, vor allem durch die Zunahme und Professionalisierung der Cyber-Kriminalität (Ransomware, Würmer usw.).
Die Folgen können massive Auswirkungen in der realen Welt haben.
Im Unterschied zu administrativen Unternehmensnetzwerken, die Informationen verwalten, verwalten ICS physische Betriebsprozesse.
Ein Cybervorfall könnte folgende Auswirkungen haben:
>Produktionsplanung wird unmöglich.
>Blockierung oder Unterbrechung der Produktionskette.
>Lieferung und Rechnungsstellung wird unmöglich.
>Vorsorgliches Abschalten von Industriesystemen.
Abgesehen von den betrieblichen Auswirkungen können auch die finanziellen Auswirkungen zu erheblichen Verlusten führen.
Fallstudie: Änderung der Parameter einer Wasseraufbereitungsanlage
In seinem Cybersicherheits-Leitfaden für Industriebetriebe berichtet der Verband CLUSIF über den folgenden Fall:
Im Jahr 2021 gelang es einem Angreifer, über TeamViewer Zugriff auf das Industrienetzwerk einer Wasseraufbereitungsanlage in einer Stadt in Florida zu bekommen. Der Angreifer verschaffte sich daraufhin Zugang zu einer Mensch-Maschine-Schnittstelle (HMI), um die Konzentration des von der Anlage verwendeten Natriumhydroxids zu steuern. Er erhöhte diese Konzentration von 100 Partikeln pro Million auf 11.100 Partikel pro Million. Bei dieser Konzentration hätte das Wasser für jede Person, die damit in Berührung kommt, gefährlich werden können.
Die folgenden Maßnahmen hätten diesen Angriff verhindern können:
>Vermeidung der Offenlegung eines Zugangsprotokolls zum Internet.
>Verhinderung direkter Verbindungen zwischen dem Internet und dem OT-Netz.
>Einrichtung eines sicheren Fernzugriffsmechanismus, falls eine Fernsteuerung erforderlich sein sollte.
>Sensibilisierung der Betreiber für die Notwendigkeit einer Authentifizierung von Personen, die Zugang zu den Arbeitsplätzen wünschen.
>Überwachung der Vorgänge auf den kritischsten Ressourcen.
Fallstudie: Colonial Pipeline – Ausfall der Verwaltung von Zugangsdaten
Der Fall der Colonial Pipeline hat für Schlagzeilen gesorgt. Im Mai 2021 wurde der amerikanische Öltanker Colonial Pipeline von einer Ransomware angegriffen, die einen Benzinmangel verursachte und Autos und Flugzeuge lahmlegte. Joe Biden rief den Notstand aus und das Unternehmen zahlte ein Lösegeld von vier Millionen Dollar.
Die Kontaminierung war möglich, weil ein Angestellter dieselben Passwörter für seine privaten und beruflichen Aktivitäten verwendet hatte.
Die folgenden Maßnahmen hätten diesen Angriff verhindern können:
>Verhinderung direkter Verbindungen zwischen dem Internet und dem OT-Netz.
>Vermeidung der Offenlegung von Anmeldeinformationen durch deren Verwaltung in einem Tresor und Gewährleistung einer Rotation mit kontrollierten Verwaltungsrichtlinien.
Auf dem Weg zu Zero Trust ist es von grundlegender Bedeutung, die Identität des Benutzers zu kontrollieren. Den gleichen Stellenwert sollte aber auch die Überwachung der Aktivitäten der Administratoren in den IT/OT-Netzwerken der Verwaltung haben.
Wertschöpfung für das Unternehmen durch Rechenschaftspflicht
Wie lässt sich die individuelle Verantwortlichkeit für die bei der Wartung von OT-Systemen durchgeführten Aktionen gewährleisten?
Traditionelle ICS-Komponenten sind eher auf Zuverlässigkeit als auf Sicherheit ausgelegt:
>Keine Authentifizierung
>Keine Integration in ein Verzeichnis
>Direkte Verbindung.
Wie kann die Verantwortung für Aktionen in einem industriellen Umfeld zugewiesen werden, ohne dass eine Benutzerauthentifizierung erforderlich ist?
Nur jede zweite Organisation ist mit einer PAM-Lösung ausgestattet
Genau hier entfaltet das Privileged Access Management seinen ganzen Nutzen!
Indem es als Proxy fungiert, authentifiziert es Administratoren mit einem persönlichen Konto und bei Bedarf mit Multi-Faktor-Authentifizierung (MFA) und gibt ihnen nur Zugriff auf die Geräte und SCADA, für die sie autorisiert sind (am wenigsten privilegierter Zugriff).
Nach der Authentifizierung können alle Aktionen geprüft und aufgezeichnet werden, wobei die Protokolle in eine SOC/SIEM-Lösung exportiert werden.
Die Passwörter werden in einem Tresor gespeichert, für den Richtlinien festgelegt werden können.
Was wäre, wenn Sie eine einzige Lösung für den IT- und OT-Zugriff, sowohl für den internen (innerhalb des Netzwerks) als auch den externen (Internet-) Zugriff hätten? PAM für OT und IT sind gar nicht so verschieden.
Unsere Vorschläge zur Sicherung von industriellen Steuerungssystemen
Sie können nicht schützen, was Sie nicht kontrollieren.
Die folgenden Maßnahmen können zum Schutz von Industrieanlagen ergriffen werden:
>Löschen oder Deaktivieren der Konten von Administratoren, die nicht mehr am industriellen System arbeiten
>Überprüfen der Zugriffsrechte von Drittanbietern auf OT-Systeme
>Sicherstellen, dass Aktionen mit hohen Privilegien eine Authentifizierung zusammen mit einer starken Authentifizierung (MFA) erfordern
>Einteilen der privilegierte Konten in Stufen, um sie je nach Bedarf zu trennen (Stufe 1, 2, 3; z. B. Trennen der Administrationskonten von Wartungskonten)
>Kontrollieren des externen Zugriffs auf Industriesysteme mit starker Authentifizierung und lokalen Validierungs- und Genehmigungsworkflows
>Überwachen von Sitzungen, um anormale Verhaltensweisen zu erkennen
>Den meisten komplexen Übergriffen gehen Aufklärungsphasen voraus. Die Kontrolle des Betreibers über legitime Aktionen in seinem Industrienetz muss es ihm ermöglichen, anormale Aktivitäten zu erkennen.
PAM zur Absicherung von industriellen Steuerungssystemen erleichtert die Einhaltung von Vorschriften durch Sicherheit, Transparenz und Berichterstattung
Wir, wie auch die wichtigsten nationalen Sicherheitsbehörden (CISA, NCSC, ANSSI, BSI), empfehlen, den Weg zu Zero-Trust durch die Verwaltung von Identitäten und die Implementierung einer PAM-Lösung so früh wie möglich zu beginnen, sei es für IT- oder OT-Netzwerke und -Infrastrukturen.
PAM-Projekte sind keine Plug & Play-Projekte. Aber die neuen PAMaaS-Lösungen der nächsten Generation beschleunigen die Time-to-Value und ermöglichen es, schnell ein positives Sicherheits-Kosten-Verhältnis zu erreichen.