vgbe energy journal 5 (2022) - International Journal for Generation and Storage of Electricity and Heat

Cyberwar in der Energiewirtschaft: Der aktuelle Stand
Gedanken darüber machen, wie man die
neueste Version eines Mobilfunkgerätes
schützt, aber die Cybersecurity der Automatisierungstechnik
sträflich vernachlässigt.
Auf der 2022er PWN2OWN, einem vom 19.-
21.4.2022 auf der Sicherheitskonferenz
CanSecWest stattfindenden Wettbewerb,
wurde aufgezeigt, wie einfach es ist, innerhalb
von kürzester Zeit OPC UA zu knacken.
Open Platform Communications United Architecture
(OPC UA) ist mittlerweile der
klassische Standard für den Datenaustausch
als plattformunabhängige service-orientierte
Architektur.
Es gelang den Sicherheitsexperten gleich
mehrfach, die Authentifizierung zu umgehen,
so dass es möglich wäre, lesend und
schreibend zu agieren. Für den nächsten hybriden
Krieg könnte dieser Sachverhalt
kriegsentscheidend sein. Aber wie sieht es
heute aus.
Wir wissen, dass viele Systeme mit Malware
kompromittiert sind. Die Kompromittierung
mit Malware reicht sicherlich aus,
um einzelne Entitäten der Energiewirtschaft
kurz- oder langfristig auszuschalten,
aber diese Kompromittierung alleine
reicht derzeit(!) noch nicht aus, um das ganze
System zum Einsturz zu bringen. Und
dies sei an einem einfachen Beispiel offenbart:
Habe ich auf x Stromerzeugungsentitäten
eine Software y installiert, die es mir ermöglicht,
eine Anlage herunterzufahren, so
führt dies nur dann zu einem Zusammenbruch
des Gesamtsystems, wenn annähernd
zeitgleich die Software ausgeführt wird.
Hierzu bedarf es einer zeitintensiven (zum
Teil jahrelangen) Vorplanung, wie dies bei
Stuxnet der Fall war, oder man muss sicherstellen,
dass man permanenten (Online-Zugriff)
auf die Ausführung der Software y
hat. Die Planung eines Cyberangriffes auf
Jahre im Voraus können nur wenige Staaten
realisieren (Staaten wie Nordkorea oder
Iran wären hierzu gar nicht erst in der Lage,
wahrscheinlich ist auch Russland hier nur in
beschränktem Umfang dazu in der Lage)
und der Fall des permanenten Online-Zugangs
für alle Entitäten der Stromwirtschaft
wäre ohnehin ein Kardinalfehler, den man
sich derzeit kaum vorstellen kann. Somit
mag vielleicht der Angriff auf das eine oder
andere Kraftwerk durch einen staatlichen
Akteur erfolgreich sein, aber ein Blackout
für das ganze Land ist durch eine solche Attacke
eher auszuschließen.
Sehr viel problematischer ist jedoch der Umstand,
dass sich staatliche Gruppen Zugang
zu Informationen verschafft haben, welche
Entitäten der Netze oder der Erzeuger man
„ausschalten“ muss, um einen gezielten
Blackout zu erreichen. Warum ein Kraftwerk
angreifen, wenn das relevante Umspannwerk
nur durch einen Gartenzaun „geschützt“
ist?
Command, Control, and Data Exfiltration using
DNT Implant Communications Protocol (typical)
PC
PC
PC
PC
PC
PC
PC
Typical Target
Firewall or Router
MPU / CPU
Operating System
System BIOS
PERSISTENCE
IMPLANT
DNT paylead
Target Network
(TSIISI//REL) SOUFFLETROUGH Persistence Implant Concept of Operations
Bild 1. Fotostrecke Spähwerkzeuge bei Routern
Quelle: NSA, veröffentlicht spiegel.de am 30.12.2013(!).
ROC
R&T Analyst
ARKSTREAM
Survey
SNEAKERNET
Deutschland fehlt das Know
How in Sachen Cyberwar und
Cyberdefense
Durch den Fall Edward Snowden sollte uns
bekannt sein, dass die Mittel für eine Cybersabotage
vollumfänglich gegeben sind.
Um keinen Geheimnisverrat zu begehen,
werden hier nur Fotos aufgelistet (zu finden
auf den Internetseiten des Spiegel), die belegen,
was seit 2013 allgemeines Wissen hätte
sein müssen. Da hier „alte“ Tools der NSA
gezeigt werden, sei ausdrücklich darauf verwiesen,
dass es die NSA aus Sicht des Autors
derzeit ist, die Deutschland hilft, den Cyberwar
einigermaßen zu überleben. Gleichwohl
können nur diese Bilder veröffentlicht
werden und nicht Bilder von Angriffstools
der aus unserer Sicht gegnerischen Seite, da
hieraus von diesen der Schluss gezogen werden,
was bekannt ist.
\\Targets
OPS Projects
Interactive OPS Console
Bild 2. Fotostrecke Spähwerkzeuge bei Routern
(TS//SI//REL) SWAP Extended Concept of Operations
Quelle: NSA, veröffentlicht spiegel.de am 30.12.2013(!)
Internet
NSA
Remote Operations Center
Post Processing
lnternet
TUNING FORK
Target
Systems
Infiltration von Firewalls:
Ein Beispiel hierfür ist Halluxwater. Halluxwater
soll ein Backdoor für Huawei Eudemon
Firewalls in Form eines Software-Implantats
sein, welches im Boot-ROM verborgen
ist [10] (B i l d 1 ).
Infiltration von Servern:
Das Software Implantat DEITYBOUNCE ist
das Beispiel für ein Implantat, welches sich
im BIOS von DELL PowerEdge Servern versteckt
und das Gerät für Zugriffe von außen
öffnen kann [11] (B i l d 2 ).
Passivausspähen eines Bildschirms
Bild 3. Fotostrecke Spähwerkzeuge bei
Bildschirmen
Quelle: NSA, veröffentlicht spiegel.de am
30.12.2013(!)
34 | vgbe energy journal 5 · 2022