KONSTRUKTION & ENGINEERING - konstruktion.de

SPEKTRUM • KRIMINALITÄT
AKTUELLES
Der Spion in meiner SPS
Die Bedrohung industrieller Systeme durch Computerschädlinge
ist real. Die richtige Antwort
lautet: Information, systematische und planvolle
Umsetzung einer robusten Architektur sowie ein
gesundes Risikobewusstsein und Wachsamkeit.
Stuxnet hat bewiesen, was Fachleute schon lange befürchten:
Mit dem Einzug eingebetteter Computersysteme
in alle Bereiche der Industrie und des
täglichen Lebens sowie deren vollständiger
Durchdringung ist ein kaum abzusehendes
Risikopotenzial durch Computerschädlinge
entstanden. Beruhigt haben wir
uns damit, dass all diese Systeme zwar Computer
im technischen Sinn sind, aber so anders und speziell,
dass ein Angri� unmöglich oder zu aufwendig
erschien. Leider trügt der Schein: So unterschiedlich sind zum
Beispiel speicherprogrammierbare Steuerungen im Kern gar nicht.
Viele Hersteller greifen auf dieselben Betriebssysteme, Netzwerkstacks
und Bibliotheken zurück. O� wurden vorhandene Architekturen
um die Ethernet oder TCP/IP-Fähigkeit erweitert und
dazu generische Quellen verwendet. Vieles wird unverschlüsselt
übertragen, und die verwendeten Plattformen lassen sich leicht ermitteln.
Angreifer haben ihre Methoden im Wettrüsten mit den
Antivirus-Herstellern in der PC-Welt über Jahre perfektioniert.
Die Andersartigkeit der eingebetteten Computersysteme bildet
nur eine trügerische Sicherheit. Im Gegenteil: Das Fehlen standardisierter
Kanäle und Prozesse zum Nachrüsten von Sicherheitsfunktionen
und Stopfen der Lücken macht diese Systeme in Wahrheit
sehr viel anfälliger.
Im April 2011, also kein Jahr nach der Entdeckung von Stuxnet
im Juni 2010, entdeckte das Laboratory of Cryptography and System
Security in Ungarn (CrySyS) einen neuen Schädling: Duqu.
Wie wir heute wissen ist Duqu, im Gegensatz zu Stuxnet, eher ein
Spion als ein Saboteur, aber Verwandscha� sbeziehungen scheinen
zu bestehen.
Was ist zu tun, um Maschinen und Anlagen und alle Nicht-PC-
Rechnersystem zu schützen? Wer meint, nur solche Hersteller wären
betro� en, deren Produkte bekanntermaßen kompromittiert
werden konnten, irrt. Die Hersteller von Automatisierungsprodukten
und allgemein von eingebetteten Rechnern erkennen ihre
Verantwortung und arbeiten daran, den Schutz und die Robustheit
ihrer Produkte gegen Computer-Angri� e zu verbessern und ähnli-
22
3 / 2012
che Mechanismen zu scha� en, wie sie die PC-Welt schon kennt.
Bei den Betreibern entwickelt sich das Risikobewusstsein leider
nur langsam. Dort ist aber zuallererst anzusetzen. Auch wenn die
vorhandenen Sicherheitsfunktionalitäten bei weitem nicht ausreichend
sind, so werden leider o� nicht einmal diese genutzt. Dazu
gehört zwingend eine Security Policy, eine organisatorische Richtline,
die sicherheitsrelevante Verfahren regelt, zum Beispiel den
Umgang mit Passwörtern. Alle Netzwerkkomponenten sollten
sauber kon� guriert und überwacht werden, sinnvollerweise durch
Einsatz eines � exiblen und leistungsfähigen Netzwerkmanagementwerkzeugs,
mit dem sich auch Veränderungen und Fehler
dokumentieren lassen.
Sind diese Sofortmaßnahmen ergri� en, kann im nächsten
Schritt das Eindringen und vor allem die Ausbreitung von Schadso�
ware durch den Einsatz von Firewalls eingedämmt werden.
Dabei gilt es, sowohl Einfallstore von außen, also vor allem Zugänge
zum Internet oder anderen Netzen zu kontrollieren, also auch
eine horizontale Segmentierung mit Firewalls vorzunehmen. Dabei
werden Netzwerksegmente durch Firewalls getrennt. Diese
Firewalls arbeiten wie Schotte in einem Schi� : Dringt ein Schädling
an einer Stelle ein, so soll er das Segment nicht verlassen können.
Dieses Konzept wird als Defense in Depth bezeichnet und
durch die Standards ISA-99 und IEC 62443 näher de� niert.
Industrielle Anwendungen haben in der Regel den Vorteil, dass
die eingesetzten Protokolle in die Inhalte der Datenpakete hinsehen
können und den Au� au gerade der industriellen Protokolle
kennen. ■
Autor Prof. Dr.-Ing. Peter Fröhlich,
Hirschmann Automation & Control