Cyberkriminalität Cybersicherheit für Industrieanlagen: So lassen sich alle Angriffe von außen abwehren

Anbieter zum Thema

Schneider Electric GmbH

Getac Technology GmbH

HOPPE Unternehmensberatung

CyProtect Internet Security

Industrielle Systeme und Anlagen müssen vor der zunehmenden Cyberkriminalität geschützt werden. Allerdings ist es nicht einfach möglich, Sicherheitskonzepte und -strategien der IT-Welt in die Industrie zu übertragen. Abhilfe schafft eine neue Hard- und Software-Sicherheitslösung.

Angriffe auf die Wirtschaft haben sich auch laut einer Untersuchung von Bitcom im vergangenen Jahr weiter in den digitalen Raum verlagert. Insbesondere digitale Attacken beunruhigen laut dieser Analyse die Wirtschaft. 39 Prozent haben in den vergangenen zwölf Monaten erlebt, dass Cyberattacken auf ihr Unternehmen stark zugenommen haben, 45 Prozent meinen, sie haben eher zugenommen. Vor allem Betreiber kritischer Infrastrukturen erleben einen Anstieg der Angriffe: Hier sagen 49 Prozent, die Attacken haben stark zugenommen, und 38 Prozent, sie haben eher zugenommen. Die Sorgen vor den Folgen einer Cyberattacke wachsen: 45 Prozent der Unternehmen meinen, dass Cyberattacken ihre geschäftliche Existenz bedrohen können – vor einem Jahr lag der Anteil bei gerade einmal neun Prozent.

Angesichts dieser Entwicklung ist klar, dass die Industrie ihre vernetzten Fabriken und Anlagen vor Cyberangriffen von außen zuverlässig und sicher schützen muss. Allerdings stellen industrielle Netzwerke ganz besonders hohe Anforderungen an die Cybersicherheit, denen man mit den in der IT üblichen Techniken alleine nicht beikommt. Denn die IT kann die Sicherheit mit erneuerten Systemen immer aktuell auf den neusten Stand bringen, in der OT muss zusätzlich noch eine hohe Priorität der langfristigen Verfügbarkeit beachtet werden. Es ist nicht selten, dass Anlagen in der OT spezielle Software oder Erweiterungskarten benötigen, die nur mit veralteten Versionen von Windows wie Win 7 oder XP arbeiten und weder Aktualisierungen noch den Einsatz von Virenscannern erlauben. Besitzen solche Systeme direkte Netzwerkverbindungen, sind sie leicht zu hacken. Speicherprogrammierbare Steuerungen sind ein gutes Beispiel dafür.

Bildergalerie

Industrietaugliche Sicherheitslösung

Ziel der Entwicklung des Cybersicherheitssystems Semis von Sematicon ist es, für die Industrie einen vollständigen Schutz vor Cyberattacken aufzubauen. Durch die Integration in industrielle Anlagen auf Basis modernster IT-Sicherheitsstandards werden diese, ohne sie durch zusätzliche Software oder Updates zu verändern, vor Cyberangriffen geschützt. Die Semis-Gesamtlösung basiert auf einem digitalen Wartungsbuch, das sämtliche Anlagen, Änderungen und Zugriffe dokumentiert und damit ein lückenloses Protokoll erstellt. Zudem werden die Anforderungen nach IEC-62443 berücksichtigt. Die neuartige Architektur folgt dabei auch der Zero-Trust-Architektur nach Empfehlung des deutschen Bundesamtes für Informationssicherheit (kurz: BSI), um die besonders sensiblen Industrienetze nahezu wartungsfrei zu schützen. Diese umfassen die Trennung der Zuständigkeiten (kurz: SoD), den Zugriff mit den geringsten Privilegien, die Mikrosegmentierung, eine mehrstufige Authentifizierung, den Just-in-time-Zugriff sowie das Auditing und die Nachverfolgung. Die vollständige Isolation der Zugriffe ist darin nicht definiert, wird aber von Semis beigesteuert.

NIS 2

Cybersicherheit: Deutsche Unternehmen müssen den Turbo einlegen

Sämtliche Fernzugriffe dokumentieren

Der Semis-Manager ist die Kernkomponente der Plattform. In ihr konfigurieren die Anwender sämtliche Wartungsbücher für Maschinen und Anlagen sowie die dazu notwendigen Berechtigungen. Das digitale Wartungsbuch, das sämtliche Fernzugriffe auf die angeschlossenen Systeme und Anlagen dokumentiert, agiert als zentrales Element. Dabei ist die Integration und Anbindung an Identity-Provider mithilfe von OpenID-Connect, neben LDAP und lokalen Nutzern, wichtig. Es können mehrere externe Datenquellen eingerichtet und kombiniert werden. So lassen sich nur Benutzer berechtigen, die sowohl im internen LDAP als auch in einem externen IDP wie Azure AD angelegt wurden. Daher ist Semis beim Berechtigungsmanagement sehr flexibel an die Bedürfnisse großer Unternehmen anpassbar. Die Zugriffe erfolgen über ein Berechtigungsmodell mit unterschiedlichen Rollen und Benutzergruppen, das exakt definiert, wer wann und wie lange auf ein Zielsystem zugreifen darf. Damit können interne Mitarbeiter auch befristete Wartungssitzungen für externe Techniker freischalten. Auf Wunsch wird dann nicht nur protokolliert, wann und wie lange die Benutzer mit dem Zielsystem verbunden waren, sondern es kann über Videoaufnahme und erstelltem Protokoll der ausgeführten Befehle auch detailliert nachvollzogen werden, welche Aktionen ausgeführt wurden.

Anforderungen – Auswirkungen – Lösungen

NIS-2 – die neue EU-Richtlinie für Ihre Cybersecurity

Benutzerfreundliches Web-Interface

Das Gesamtsystem wird im internen Netz betrieben und ist im Idealfall das einzige System mit indirektem Zugriff auf das isolierte Maschinennetzwerk. Der Semis-Manager kann auch in der Cloud oder vollständig auf einem lokalen System außerhalb des isolierten Maschinennetzwerks installiert werden. Die komplette Lösung wird als digitaler Container vorinstalliert und vorkonfiguriert ausgeliefert. In der Standardkonfiguration ist auch bereits eine interne, zuverlässige Datenverwaltung vordefiniert. Die Bedienung und Konfiguration des Gesamtsystems erfolgen über ein schlankes, benutzerfreundliches Web-Interface. Steht ein Update an, wird lediglich der Container getauscht, Daten und Konfiguration bleiben davon unberührt. Das optionale Semis-Access-Gateway erlaubt es externen Benutzern aus dem Internet auf das System zuzugreifen, ohne dass aus dem internen Netz heraus die Firewall geöffnet werden muss. Der ebenfalls optionale Semis-Connector ermöglicht über eine indirekte Verbindung einen sicheren Zugriff aus dem IT-Netz in das Maschinennetzwerk, oder er unterstützt dabei, die Cloud mit der Maschine zu verbinden. Der Zugriff auf Semis sowie alle Daten sind kryptografisch gegen Manipulation und Fremdzugriff geschützt. Die Verschlüsselung aller Daten und Verbindungen sowie die Anforderungen der IEC-62443 sind dabei ebenso gewährleistet wie eine sichere Anmeldung über Einmalpasswort-App (kurz: OTP) oder hardwarebasierter Krypto-Schlüssel. Außerdem kann das System durch seine Modularität an die vielfältigen Bedürfnisse der jeweiligen Industrieanlagen maßgeschneidert angepasst werden.

Future of Industrial Usability - Conference & Expo

Usability in der Industrie – Einfachheit ist Trumpf!

Die industrielle Zukunft ist benutzerfreundlich – Future of Industrial Usability weist den Weg, und dient als Plattform, auf der Expertinnen und Experten von neusten Entwicklungen berichten und echter Austausch möglich ist – branchenübergreifend und praxisnah. Neben Neuigkeiten zu Trends und Entwicklungen lernen die Teilnehmer Methoden, Vorgehensweisen und Techniken des Usability Engineerings kennen, kommen mit Vertretern aus unterschiedlichen Industrien zusammen und finden im Austausch Antworten auf aktuelle Herausforderungen.

Jetzt informieren

Sichere Anlagenwartung

Für die sichere Wartung von Anlagen und kritischen Systemen ist Semis flexibel und ohne zusätzliche Komponenten auf nahezu jeder Virtualisierungsplattform oder auf der Hardware von Drittherstellern wie Routern oder Edge-Gateways einsetzbar und isoliert das sensible Anlagennetz zuverlässig vom IT-Netzwerk. Soll oder muss der Semis-Connector diese Aufgabe übernehmen, ist er aufgrund seiner kompakten Maße von 150 mm x 52,3 mm x 105 mm und Form besonders für die Montage im Schaltschrank oder an der Maschine geeignet. Dafür stehen diverse Montagerahmen für die horizontale oder vertikale Installation an der Maschine oder eine DIN-Schiene für den Einbau auf einer Hutschiene direkt an der Maschine zur Verfügung. Sein maximaler Betriebstemperaturbereich von – 25°C bis 60°C und seine Feuchteresistenz von zehn bis 95 Prozent nicht kondensierend eignen ihn auch für raue Industrieumgebungen. Der Semis-Connector lässt sich mit verschiedenen Modulen erweitern. Das IO-Modul erlaubt die direkte Steuerung der Maschine durch elektrische Signale und verträgt an den jeweils vier Ein- und Ausgängen Spannungen von 5 bis 48 V, wie sie in der Industrie vorkommen. Das Display-Port-Modul erweitert den HDMI-Anschluss um einen zweiten Monitorausgang. Damit lassen sich weitere Bildschirme oder Anzeigetafeln anbinden. Das LAN-Modul ermöglicht den Anschluss optionaler KVM-Extender-Module, über die zusätzlich die Einbindung älterer Maschinen oder Maschinen-Netzwerke möglich ist.

Produktionsoptimierung

Effizienz des Fertigungsprozesses aus der Ferne steigern

SPS-Kommunikation überprüfen

Speicherprogrammierbare Steuerungen (kurz: SPS) sind aufgrund ihres Designs besonders anfällig für Angriffe von außen. Oftmals reicht eine Netzwerkverbindung, um die SPS anzuhalten oder Programmteile zu verändern. Für den Betrieb wichtige Funktionen wie etwa Softwareänderungen im Betrieb oder das Device-Discovery können aber auch missbräuchlich dazu verwendet werden, um dem System zu schaden. Semis unterstützt durch seine IP-Funktion den Schutz jeder Art von SPS, sofern diese über das Netzwerk konfiguriert und programmiert werden kann. Das Audit-Log speichert in diesem Fall aber lediglich den Netzwerk-Verkehr zur späteren Analyse ab. Der optional lizenzierbare PLC-Guard erlaubt den Eingriff in die SPS-Kommunikation und die Überprüfung des Quellcodes, bevor dieser die SPS erreicht. Die Prüfung erfolgt dabei unabhängig vom Techniker-PC direkt im Semis-Manager. Gemäß dem Zero-Trust-Prinzip ist der Techniker-PC per Definition eine Gefahr. War dieser einmal mit dem Internet verbunden, besteht die Gefahr einer Kompromittierung durch Schadsoftware.

Kontinuierliche Anlagenüberwachung

Die Software AG, Partnerunternehmen von Sematicon, stellt mit der Cumulocity-IoT-Cloud ein Werkzeug bereit, um Daten von Anlagen und Steuerungen sicher zu erheben, anzuzeigen und intelligent zu verarbeiten. Neben der einfachen Darstellung von Daten in Zero-Code-Dashboards wurde für die IoT-Cloud eine nahtlose Integration in Semis bereitgestellt. Somit lassen sich Maschinen rund um die Uhr sicher überwachen. Cumulocity bietet eine Vielzahl an Möglichkeiten, um Anomalien zu erkennen. Das beginnt bei einfachen Tresholds bis hin zu Laufzeit-Umgebungen für komplexe Machine-Learning-Modelle. Über die IoT-Cloud kann auch direkt auf Störungen der SPS reagiert werden. Wird eine Störung erkannt, kann diese auf sicherem Wege an Semis übertragen werden. Dabei hat Cumulocity keine Kenntnis über den zuständigen Techniker oder Details über die Maschine. Diese Informationen sind im Wartungsbuch von Semis vorhanden. Wenn eine Störung erkannt wird, wird der berechtigte Techniker oder die Vertragsfirma automatisch verständigt. Der Zugriff auf die Anlage wird mit Hilfe eines Wartungsauftrags Just-in-time mit den minimal notwendigen Rechten zur Problemlösung zur Verfügung gestellt. Kompromittierung durch Schadsoftware.

IT-SiG 2.0: Vorschriften einhalten

Bisher betraf das 2015 eingeführte IT-Sicherheitsgesetz die Unternehmen der sogenannten kritischen Infrastruktur (Kritis). Diese wurde nun um den Bereich der Siedlungsabfallentsorgung erweitert. Gänzlich neu sind in der Version 2.0 (IT-SiG 2.0) spezielle Pflichten auch für sogenannte „Unternehmen im besonderen öffentlichen Interesse“. Darunter fallen Unternehmen, die nach Ansicht des Gesetzgebers von „erheblicher volkswirtschaftlicher Bedeutung für die Bundesrepublik Deutschland sind oder die für solche Unternehmen als Zulieferer wegen ihrer Alleinstellungsmerkmale von wesentlicher Bedeutung sind“ (§ 2 Abs. 14 S. 1 Nr. 2 BSI-Gesetz neu). Damit weitet der Gesetzgeber den Anwendungsbereich deutlich aus. Während sich dieser bisher vor allem an der Zugehörigkeit eines Unternehmens zu einem bestimmten Unternehmenssektor orientierte, betrifft die Regelung nun grundsätzlich alle Unternehmen ab einer bestimmten Wichtigkeit für die deutsche Volkswirtschaft und deren Zulieferer. Auch Unternehmen, die keinem der in § 2 Abs. 10 BSI-Gesetz aufgezählten Sektoren angehören, sollten deshalb sorgfältig prüfen, ob sich für sie aus dem IT-Sicherheitsgesetz 2.0 neue Pflichten ergeben können. Die inhaltliche Erweiterung des Gesetzes verlangt, dass sich Betreiber kritischer Infrastrukturen unmittelbar beim BSI registrieren. Seit dem 01. Mai 2023 müssen diese zudem Systeme zur Angriffserkennung einsetzen.

Referenzen:

1. Dr. Christian Knermann, „Wartungsfenster“, IT Administrator, 10/2022, Seiten 24 bis 29

2. André Neumann, „Gut autorisiert, isoliert und dokumentiert“, Security Insider, 8/2021. https://www.security-insider.de/sicheres-remote-management-von-industrieanlagen-a-1036888/

3. Michael Walser, „Fit für Industrie 4.0“ atp magazin, 2/2022, Seiten 44 bis 47

4. Interview mit Michael Walser, Computer & Automation, 12/2022 https://www.computer-automation.de/steuerungsebene/safety-security/die-schwachstellen-der-ot-security.200991.html

5. Julian Häcker, Mareike Fischer, https://www.ensecur.de/neues-it-sicherheitsgesetz-2-0/

* Corinna Weiss verantwortet die Pressearbeit bei Cyprotect.

(ID:49643524)