VGB POWERTECH 10 (2019)

8 >
Umschlag S-175-00-2014-04-DE_A3q.indd 1 15.04.2014 08:07:52
VGB PowerTech 10 l 2019
Bedrohungslage Cyber-Security in der Energiewirtschaft: Insider-Betrachtungen 2019
fin-det man die Standardpasswörter weltweit
zu 53.382 Servern (B i l d 5 ).
Das folgende Beispiel mag hier erschreckendes
zu Tage treten lassen:
Zum guten Schluss aber auch einige Daten,
wie viele Server mit Standardpasswörtern
nach dem o.g. Schema am 11.10.2019
07:42 in anderen Ländern gefunden werden
konnten:
––
Deutschland: 940
––
Großbritannien: 918
––
Frankreich: 837
––
Spanien: 2.122
––
Italien: 690
––
Niederlande: 312
––
Russland: 1.192
––
Nordkorea: 0
––
Norwegen: 52
––
Finnland: 40
––
Estland: 0
––
Iran: 2.495
––
Indien: 1.310
Diese Stichtagsaufnahme zum 11.10.2019
verdeutlicht, wie wenig ernstgenommen in
Deutschland selbst einfachste IT-Sicherheitsregeln
in Sachen Standardpasswörter
werden.
Der Grund, warum Administratoren in
Nordkorea so darauf achten, dass man keine
Standardpasswörter nutzt, kann man
sich leicht vorstellen. Für viele mag es aber
überraschend sein, dass auch in Estland,
einem Land mit sehr hoher Digitalisierung
keine Server mit Standardpasswort gefunden
wurden. Hier hilft ein Rückblick in die
Geschichte:
Am 26. April 2007 begannen Internetangriffe
auf Estland, die mehrere Wochen andauerten
und sich gegen staatliche Organe,
Banken und Medien richteten. Estland
hat aus dieser Machtdemonstration gelernt,
andere Ländern der EU müssen wohl
erst noch diese Erfahrung machen.
Nun mag es einige Menschen geben, die
einen Internetausfall oder Stromausfall
über Wochen vielleicht für wünschenswerte
Nostalgie halten. Diesen Personen sei die
2011er Studie „Was bei einem Blackout geschieht“
des Büros für Technologie-Abschätzung
des Deutschen Bundestages
empfohlen.
Quelle:
https://www.tab-beim-bundestag.de/de/
pdf/ publikationen/buecher/petermannetal-2011-141.pdf
Fazit
Durch die permanenten Veröffentlichungen
von Institutionen wie BSI oder BKA ist
jedem bewusst, dass Cyber-Attacken zum
Alltag gehören. Hatten wir bis zur Snowden-Affäre
jedoch noch gehofft, dass unser
großer Bruder in Übersee uns vor allem
schützt und treu zur Seite steht, so haben
wir seither eine gewisse gesunde Vorsicht,
die zur Erkenntnis geführt hat, dass
wir eigentlich etwas tun müssten in Sachen
Cyber-Security. Außer Lippenbekenntnissen
tun wir aber so gut wie nichts und
die bisherigen Strafen gemäß BSI-Gesetz
können von den betroffenen Unternehmen
in der Regel aus der Portokasse bezahlt
werden.
Es ist derzeit mehr als einfach und erfordert
noch nicht einmal die Nutzung des
Darknets, um alle Tools kostengünstig zu
beschaffen, um ganze Serverlandschaften
zu zerstören oder die komplette kritische
Infrastruktur Deutschlands durch eine gezielte
Cyber-Attacke über einen längeren
Zeitraum lahm zu legen. Vergegenwärtigt
man sich dann noch, dass im so genannten
Darknet noch viel gefährlichere Tools zu
finden sind, so lässt sich erahnen, wie groß
die Gefahrensituation derzeit wirklich ist.
Zumindest die folgenden Sofort-Aktionen
könnten helfen, die Gefährdungen ein wenig
abzumindern:
––
Umgehendes Patchmanagement in allen
IT- und OT-Bereichen
––
Sicherstellung, dass nirgends mehr Standardpasswörter
verwandt werden
––
Umgehendes Sichten und Überprüfen
der Warnmeldungen von BSI und NSA
und Überprüfung, ob diese Aspekte im
eigenen Unternehmen gegebenenfalls
relevant sein könnten
––
Awareness-Schulungen bzgl. des Gefahrenpotentials
durch MS-Office-Produkte,
insbesondere Awareness in Hinblick
auf Makros und HTML-Modus
––
Sperrung von USB-Schnittstellen, wo
immer dies möglich ist
––
Überprüfung der eigenen Schwachstellen
und offenen Ports durch shodan.io
oder vergleichbare Tools
––
Flächendeckender Einsatz von DDoS-
Schutz-Mechanismen als MUSS.
––
Flächendeckender Einsatz von Antiviren-
und/oder Firewall-Lösungen zur
Reduktion von Malware-Befall
––
Verpflichtende Prüfung der selbst entwickelten
oder spezifischen Software
durch Tools wie GHIDRA
––
Wenn möglich Kauf von IT-sicherheitszertifizierten
Produkten anstatt billige
No-Name-Produkte ohne Sicherheit l
VGB-Standard
IT-Sicherheit für Erzeugungsanlagen
Ausgabe/edition 2014 – VGB-S-175-00-2014-04-DE
DIN A4, 73 Seiten, Preis für VGB-Mit glie der* € 190,–, für Nicht mit glie der € 280,–, + Ver sand kos ten und MwSt.
DIN A4, 73 Pa ges, Pri ce for VGB mem bers* € 190,–, for non mem bers € 280,–, + VAT, ship ping and hand ling.
Der VGB-Standard VGB-S-175-00-2014-04-DE zeigt die relevanten Bedrohungen und Fehlerquellen
für den Betrieb der Erzeugungsanlagen. Daraus abgeleitet werden organisatorische und technische
Anforderungen zur Absenkung der Auswirkungen auf ein zu akzeptierendes Niveau, ergänzt durch
Handlungsempfehlungen und weitere Informationsquellen.
In Fachgesprächen mit namhaften Herstellern und dem BSI wurden die wesentlichen Inhalte diskutiert
und seitens der Hersteller die Akzeptanz und die grundsätzliche Umsetzbarkeit bestätigt.
Mithilfe des VGB-S-175-00-2014-04-DE können die die IT-Sicherheit betreffenden organisatorischen
und technischen Strukturen und Prozesse bewertet und Hinweise für Erweiterungen und Neuinvestitionen
abgeleitet werden. Eine unternehmensinterne Anpassung und Präzisierung ist dabei unverzichtbar.
* Für Ordentliche Mitglieder des VGB ist der Bezug von eBooks im Mitgliedsbeitrag enthalten.
VGB PowerTech Service GmbH
Verlag technisch-wissenschaftlicher Schriften
VGB PowerTech e.V.
Klinkestraße 27-31
45136 Essen
Fon: +49 201 8128 – 0
Fax: +49 201 8128 – 329
www.vgb.org
VGB-Standard
IT-Sicherheit für
Erzeugungsanlagen
VGB-S-175-00-2014-04-DE
Deilbachtal 173 | 45257 Essen | P.O. Box 10 39 32 | Germany
Fon: +49 201 8128-200 | Fax: +49 201 8128-302 | E-Mail: mark@vgb.org | www.vgb.org/shop
43