Cybersicherheit Wenn die Maschine von Vertrauen träumt

Anbieter zum Thema

Asvin

Klinkhammer Intralogistics GmbH

Renishaw GmbH

COSCOM Computer GmbH

Maschinen mit Bewusstsein würden Verlässlichkeit ebenso schätzen wie Vernetzung. Menschen besitzen beides, doch ein Extra an Technologie ist nötig für vollkommene Sicherheit. Kontext-basierte Risikoanalyse in Produktionsumgebungen bietet diese Sicherheit für Mensch und Maschine.

Allein, dass Operational Technology in der Fertigung heute das Zusammenspiel heterogener und hochgradig vernetzter Systeme orchestrieren muss, macht Prozessverantwortlichen schon arg zu schaffen. Durch neue geopolitische Herausforderungen, Ressourcenknappheit und politisch-ökonomische Instabilitäten kommt jetzt noch die zusätzliche Aufgabe hinzu, sich dringend um Cybersicherheit zu kümmern. In Produktionsumgebungen lohnt sich daher der Blick auf die Software-Lieferketten der OT, die hinter jedem Beschaffungsprozess, jedem Materialfluss oder jedem Fertigungsablauf stecken.

Angriff über Dritte

Inzwischen ist erwiesen, dass insbesondere Baugruppen und deren Software von kleineren Zulieferern für Angreifer als Einstieg in die ansonsten meist gut geschützte OT dienen. Vermehrt geraten dadurch die Lieferketten von Unternehmen in den Fokus der Hacker. Attacken erfolgen über vertrauenswürdig eingestufte Komponenten und IT Services Dritter – und sind daher von Anwendern schwierig zu verhindern.

Als Einstieg in die Beherrschbarkeit der Lieferkette empfehlen Cybersicherheitsexperten die Einführung eines Cybersecurity-Management-Systems, das auch Lieferanten mit einbezieht. Dazu gehören beispielsweise die Führung einer Software-Bill-of-Material (kurz: SBOM) sowie Prozesse und Verfahren zum Software-Schwachstellen-Management. Doch besagte SBOM liefert zwar alle Elemente der Lieferkette, stellt OT-Sicherheitsverantwortliche damit aber zunächst nur vor eine Reihe zusätzlicher Fragen: Welche Bereiche sind betroffen oder bedroht? Welche Vulnerabilitäten sind kritisch und sollten priorisiert behoben werden?

Wer diese Fragen beantworten kann, minimiert Risiken. Beispiel Challenger-Katastrophe 1986: Sie hätte verhindert werden können, wenn damalige Technologie bereits in der Lage gewesen wäre, die durchaus vorhandenen Parameter in Beziehung zu setzen, stichhaltige Rückschlüsse zu ziehen und Konsequenzen abzuleiten. Alle Umstände und kritische Einflussfaktoren, beispielsweise die Außentemperatur auf der Startrampe, die zur Explosion führten, waren vor dem Start bekannt. Weil aber niemand ihre tödliche Kombination im Zusammenspiel bekannter kritischer Einzelfaktoren erkennen konnte, wurde die Startfreigabe erteilt. Der Dichtungsring an einer Booster-Rakete versagte am Starttag. Mit verheerenden Folgen für die Crew und das gesamte Shuttle-Programm der Nasa.

Die Risk-by-Context-Methode im Überblick

Die Risk-by-Context-Methode erstellt ein Gewichtungsmodell, welches das individuelle Risiko eines Assets bestimmt. Dabei können Risiken von verbundenen Assets oder ganzen Segmenten vererbt werden. Dies erlaubt es, auch für OT Systeme mit Assets, die weitestgehend unbekannte Eigenschaften haben, eine Risiko-Einschätzung zu erstellen – beispielsweise durch Zero-Day-Exploits. Der dabei ermittelte Risk-by-Context-Index basiert auf mathematischen Verfahren der Graphen-Analyse und der Topologie-Lehre.

Heute lassen sich diese Kontext-Informationen betrachten, Beziehungswege abbilden, und Abwehrmuster herstellen. Software für kontext-basierte Risikoanalyse versetzt das Prozess- und Cybersicherheitsmanagement in die Lage, verschiedenste Risiken, die erkannt wurden, zusammenzuführen und deren Zusammenhang beispielsweise für die Aufrechterhaltung der Produktion zu verstehen. Die Asvin-Methode Risk by Context (kurz: RBC) ermöglicht hierbei neue Verfahren zur Erfassung, Bewertung und Aufbereitung von Cybersicherheitsrisiken in komplexen Fertigungsumgebungen. Sie bietet eine optimale Entscheidungsgrundlage zur Priorisierung von Maßnahmen für Risiko-Minimierung und liefert Möglichkeiten zur Simulation von Entscheidungen und deren Auswirkungen auf die Sicherheit von Assets.

Kontextualisierte Risikobewertung

Risk by Context betrachtet das Potenzial von Cyberrisiken im Zusammenhang von operativen Gefährdungen und Zielen. Die Methodik nutzt Verfahren der Graphen-Mathematik, um Risiken in deren Kontext mit kritischen Faktoren bewerten zu können. Diese Vorgehensweise wurde gemeinsam mit Forschen am MIT in Boston und den Asvin Labs in Stuttgart entwickelt. Nicht zuletzt bringt ein solches Kontext-bezogenes Cyber-Lagebild zwei immense Vorteile in der hochautomatisierten Fertigung: Erstens eine bessere Datenbasis zur Priorisierung von Entscheidungen. Und zweitens verlässliche Aussagen für die Planung und Zuweisung von Ressourcen in der Cyberabwehr. Allein hierdurch sparen Unternehmen mehr als die Hälfte ihrer Kosten. In Zeiten des Fachkräftemangels mach sich auch bezahlt, dass sie den Workload mit bestehendem Personal abarbeiten können.

Wichtig ist insgesamt der Blick auf den Kontext von Bedrohungssituationen. Wer neben dem Befall einzelner Komponenten auch deren Umfeld, also die Vernetzung und Interaktionsweise mit betrachten und auf Befall-Wege oder Inkubationszustände analysieren kann, ist im Vorteil. Ob das Unternehmen betroffen ist, lässt sich schon im Keim erkennen: Hatte das kritische Bauteil das erforderliche Update bekommen? Verhält es sich minimal anders als gewünscht? Interagiert es öfter als geplant oder mit nicht eingestellten Komponenten? Auf diese Weise lassen sich Angriffe oft schon im Keim ersticken.

Software Bills of Materials

Wie Stücklisten die Sicherheit der Software-Supply-Chain erhöhen

Nicht zuletzt bietet gute RBC-Software zahlreiche individuelle Anpassungsmöglichkeiten im Hinblick auf Kritikalität, Umgebungsparametern oder Auswertungsverfahren. Lieferketten haben branchenspezifische Ausprägungen mit sehr unterschiedlichen Anforderungen. Über eine variable Schnittstellen-Architektur können Daten aus den verschiedenen Systemen genutzt und für die Risk-by-Context-Analyse herangezogen werden: Vulnerablity Scans, Asset Management, Netzwerk-Traffic, MES Wertströme und Health-Safety-Environment-Daten. Asvin-RBC hat einen absolut sicheren funktionalen Kern, das sogenannte Data-Science-Modul, das alle Transaktionen anonym, fälschungssicher und dennoch eindeutig durchführt. Das macht RBC flexibel einsetzbar, Angriffe auf Lieferketten lassen sich einfacher beherrschen.

* Konrad Buck arbeitet als Pressesprecher der Asvin GmbH.

(ID:49692450)