Industrie der ungesicherten Dinge

Klaus Gheri, Vice President und General Manager Network Security bei Barracuda Networks, weist in seinem Gastbeitrag auf die Gefahren und Security-Herausforderungen im IoT-Zeitalter hin. [...]

Ob Bankautomaten, Überwachungskameras, Fahrzeuge oder die smarte Fabrik – mit der rasant fortschreitenden Vernetzung von Geräten wird auch die Angriffsfläche für Cyberattacken immer größer. Das berüchtigte Mirai-Botnet kaperte 2016 weltweit rund eine halbe Millionen IoT-Devices, um sie für DDoS-Angriffe zu missbrauchen. Anfang des Jahres untersuchten die Sicherheitsforscher Alexander Bolshev von IOActive und Ivan Yushkevich von Embedi mobile Apps zur Steuerung von Industrie-Anlagen und -Prozessen In 32 von insgesamt 34 Apps fanden die beiden 147 Schwachstellen. Eine Einladung für Hacker, der diese unter Umständen nur allzu gerne nachkämen. Neben löchrigen Apps sind es vor allem zu viele unsichere Steuerungsanlagen, die immer noch mit Windows XP oder Windows 2000 laufen und deshalb für Hacker höchst interessant sind.

Da es Cyberkriminelle naturgemäß stets dorthin zieht, wo es für sie am meisten zu holen gibt, rücken für erpresserische Angriffe auch mehr und mehr kritische Infrastrukturen in den Fokus: Heute sind Industrial Control Systems (ICS), Heizungs- und Klimaanlagen, Kühlsysteme, Wasser- und Abwasseraufbereitung sowie öffentliche Verkehrsmittel an das Internet angeschlossen. Hier kann eine einzelne Attacke hohen wirtschaftlichen Schaden anrichten und im schlimmsten Fall Menschenleben gefährden.

Seien es Organisationen aus dem Gesundheitsbereich wie der britische National Health Service im Fall der WannaCry-Ransomware-Attacke, Energieversorger, die hunderttausende Haushalte mit Strom beliefern oder vernetzte industrielle Kühlanlagen, bei denen ein Cyberangriff zum Verderb der Waren und eventuell zum wirtschaftlichen Totalschaden führt. Die meisten technischen Sicherheitsprobleme ähneln dabei denen herkömmlicher Server, Workstations und Smartphones. Das bedeutet, dass jedes „Ding“ eine Firewall zum Schutz benötigt. Ohne Firewall werden die vernetzten Geräte leicht zum Ziel von Cyberkriminellen. Sie können die Geräte als Bots für einen DDoS-Angriff verwenden oder das Netzwerk aus anderen Gründen infiltrieren.

Windows XP und Windows 2000 laden zur Kontrollübernahme

Der Einsatz der Betriebssystem-Oldies Windows XP oder Windows 2000 ist aus sicherheitsrelevanten Gründen im Jahr 2018 keine sehr gute Idee mehr. Denn das Industrieumfeld wird für Angreifer immer interessanter, weil veraltete, nicht mehr unterstützte Betriebssysteme bei Industrieanlagen immer noch weit verbreitet sind und ein hohes Sicherheitsrisiko bedeuten. Schafft es ein Angreifer, auf die Web-Konsole eines Geräts zuzugreifen oder sich in das Gerät einzuloggen, ist es für ihn ein Leichtes, das Gerät fortan zu kontrollieren. Für Industriegeräte, deren Hack ein Gefahrenpotenzial für Menschenleben darstellt, ist eine adäquate Security deshalb unabdingbar. Gleiches gilt für Unternehmen, die auf vernetzte Maschinen angewiesen sind, da diese sie zum Ziel für erpresserische Angriffe machen können.

Zwar wird beispielsweise Windows 2000 in der Sicherheitstechnik von Industrieanlagen üblicherweise nicht für sicherheitsrelevante Aufgaben eingesetzt, sondern eher für Bedien- und Beobachtungsfunktionen. Dennoch bleibt das Risiko, dass Kriminelle sensible Daten ausspionieren oder manipulieren. Zumal das Betriebssystem in Industrieanlagen nicht so leicht ausgetauscht wird wie in Büroumgebungen. Handelt es sich etwa um Systeme mit besonderer Branchenzulassung, dann wären die aufwendigen Zertifizierungsprozesse bei einem Wechsel des Betriebssystems erneut zu durchlaufen.

Sicherheitsherausforderungen im Industrieumfeld

In der Regel legen Unternehmen ihr Augenmerk bei der Implementierung von IoT-Geräten mehr auf die Funktionalität als auf die Sicherheit. Die häufigsten Ursachen für IoT-Sicherheitsverstöße entstehen durch eine unzureichende Verschlüsselung und schwache Authentifizierungsschemata. Darüber hinaus lassen sich IoT-Geräte nur schwer remote verwalten oder aktualisieren. Doch bei der Vielzahl an vernetzten Devices ist es logistisch quasi unmöglich, auf jedes einzelne Gerät physisch zugreifen zu wollen. Für die Sicherheit ist eine einfache, zentrale Remote-Verwaltung deshalb enorm wichtig.

Darüber hinaus gibt es hinsichtlich IoT-Security keine einfache Generallösung, sondern sie muss auf den jeweiligen Anwendungsfall sowohl in Hinblick wirtschaftlicher Gesichtspunkte als auch spezifischer Sicherheitskonfigurationen zuschnitten sein. Leider hat dies dazu geführt, dass viele Unternehmen entweder ihr IoT-Netzwerk überhaupt nicht sichern oder nur unzureichende Maßnahmen ergreifen.

Eckpunkte der IoT-Security: Skalierbarkeit und Wirtschaftlichkeit

Besteht das IoT-Netzwerk eines Unternehmens aus hunderten oder sogar tausenden Devices, kann sich die Ausstattung eines jeden einzelnen Geräts mit einer effektiven Sicherheitslösung zu einem logistischen Mammutprojekt entwickeln. Wichtig ist hier, sich im Vorfeld die folgenden drei Fragen zu stellen: Wie wird die Ausstattung eingesetzt? Wie soll der Lebenszyklus gemanagt werden? Und wie werden Sicherheitsregeln implementiert? Dies erleichtert die Einführung einer sicheren IoT-Infrastruktur erheblich.

Weiterhin ist der Preis ein wichtiges Kriterium. Viele der heute erhältlichen Security–Lösungen, die nicht gezielt für IoT-Umgebungen konzipiert wurden, sind schlichtweg zu teuer, sodass deren Einsatz finanziell nicht darstellbar ist. Andere Lösungen wiederum versuchen eine Applikation zur Datenverschlüsselung zu starten. In diesem Fall gibt es keinen DoS-Schutz, so dass die Infrastruktur nicht ausreichend geschützt ist. Mit der steigenden Anzahl an IoT-Implementierungen wächst jedoch auch der Bedarf für Unternehmenslösungen, die spezifisch für diesen Zweck entwickelt wurden.

Was eine IoT-Security-Lösung leisten sollte

Eine IoT-Security–Lösung sollten eine verschlüsselte Kommunikation ermöglichen sowie Sicherheitsrichtlinien einschließlich IPS, Denial-of-Service–Protection, Application Control, URL-Filterung, Virenprüfung bis hin zu Advanced Threat Protection durchsetzen können. Speziell für IoT entwickelte Security–Lösungen ermöglichen zudem die Analyse von Industrieprotokollen. Machine-to-Machine-Kommunikation verwendet zwar eine Vielzahl bekannter Protokolle, jedoch auch viele, die in der Mainstream-IT wenig bekannt sind. Einige dieser Protokolle sind teilweise oder vollständig proprietär und lassen sich mit herkömmlichen Sicherheitslösungen nicht einfach analysieren. Spezielle IoT-Tools unterstützen eine Vielzahl von Protokollen, die in SCADA-Umgebungen wie S7, MODBUS, DNP3 und anderen verwendet werden.

Zudem sollten IoT-Security–Tools ein einfaches Bereitstellungs- und Verwaltungs-Management bieten: Sie müssen hochskalierbar, leicht einzurichten und zentral remote über ein einziges User-Interface verwaltbar sein. Auch muss die Inbetriebnahme und Wartung der zugehörigen Security-Hardware einfach zu handhaben sein und den typischen Anforderungen im Anlagenbereich genügen.

Das Management und die Sicherung der ständig wachsenden Zahl von internetfähigen Remote-Geräten stellt Unternehmen jeder Größe vor neue Herausforderungen. Angesichts der wachsenden Bedrohungslage sollten Organisationen daher IoT-spezifische Tools in ihre Security-Architektur implementieren, um die Sicherheit ihre IoT-Infrastruktur zu gewährleisten.