Security by Design im Industrial IoT

Industrie 4.0 wird durch technologische Neuentwicklungen vorangetrieben. Dies eröffnet die Chance, IT-Sicherheit bereits im Designprozess mit einzubinden. [...]

Der Stuxnet-Wurm kann als Ursprung für die Diskussion um Sicherheit im (I)IoT in der breiten Öffentlichkeit gesehen werden. Die Malware wurde im Juni 2010 entdeckt und offenbarte erstmals das gewaltige Potential von Cyberangriffen auf industrielle Anlagen. Es folgten weitere Fälle von digitalen Sabotageangriffen auf Industrieanlagen, durch die massiver Schaden entstanden ist. Darunter der Angriff auf den Hochofen eines deutschen Stahlwerks aus dem Jahr 2014, der mit vermeintlich banalen Phishing-Mails begann.

Es ist anzunehmen, dass sich Täter, die mutwillige und gezielte Sabotageakte auf Industrieanlagen durchführen, ebenso professionalisieren wie andere Cyberkriminelle. Daher werden wahrscheinblich auch diese Angriffe häufiger auftreten und schadensträchtiger werden. Diese Einschätzung wird vom Bundesamt für Sicherheit in der Informationstechnik (BSI) bestätigt, das über großflächige Attacken auf deutsche Energieversorger berichtete.

Aber auch kleinere Ziele sind gefährdet. Suchmaschinen wie shodan.io, censys oder zoomeye erlauben eine bequeme Suche nach jedermanns Geräten. Unter „Gerät“ kann dabei ein Webserver oder eben auch eine industrielle Benutzerschnittstelle (Human Machine Interface, HMI) verstanden werden. Deshalb muss man inzwischen leider davon ausgehen, dass sämtliche Anlagen, sobald sie vernetzt sind, früher oder später von Angreifern ins Visier genommen werden. Eher früher als später versucht ein Angreifer „mal etwas rumzuspielen“. Selbst dieses nicht zielgerichtete Manipulieren kann schlimme Folgen haben.

Fehlende Sicherheit im industriellen Kontext

Bei der Debatte um mangelnde Sicherheit gilt es, grundsätzlich zwischen zwei Begriffen genau zu differenzieren. Das deutsche Wort „Sicherheit“ kann allgemein sowohl für „Safety“ als auch für „Security“ stehen. Safety bezeichnet die Betriebssicherheit. In diesem Gebiet wissen die jeweiligen Verantwortlichen für Industrieanlagen in der Regel ganz genau, was nötig ist, um den industriellen Alltag sicher zu gestalten. Mit Security ist speziell die Informationssicherheit gemeint und hier gibt es Nachholbedarf. Das hat allerdings nichts mit einer oft fälschlich unterstellten Ignoranz der Verantwortlichen zu tun. Security war im Gegensatz zu Safety in der Vergangenheit kein fester Bestandteil von Normen und Regularien bei der Bewertung von Risiken.

Glücklicherweise hat sich durch Standards wie die IEC 61511-Normenreihe einiges verändert. Sie regelt die Anwendung der funktionalen Sicherheit von Anlagen der verfahrenstechnischen Industrie. Damit ist Security ein elementarer Bestandteil geworden. Nichtsdestotrotz ist IT-Sicherheit im Industrieumfeld kein Selbstzweck, sondern Mittel zum Zweck. Ein Mittel, das im industriellen Kontext dringend benötigt wird.

Bessere Zusammenarbeit zwischen IT und OT

In der Vergangenheit waren IT und Betriebstechnik (Operational Technology, OT) getrennte Bereiche, was zwangsläufig zu Schwierigkeiten bei der Konzeptionierung umfassender Lösungen führte. Um eine bessere Zusammenarbeit zwischen IT und OT zu gewährleisten, ist ein grundlegendes Verständnis für diese beiden Welten nötig. Mit der Zeit haben sie jeweils eigene Begrifflichkeiten und Vorgehensweisen entwickelt. Das bedeutet in der Praxis, dass, auch wenn inhaltlich das gleiche gemeint ist, es doch häufig mit anderen Begriffen und in anderen Kontexten genutzt wird.

Aktuelle Normenreihen wie die IEC 62443 für industrielle Umgebungen sind als eine Art Wörterbuch für solche Begriffe und Konzepte überaus nützlich. Sie helfen der IT, Kontexte und Begrifflichkeiten der OT zu verstehen. Diese Aufgabe ist dabei grundsätzlich der IT zuzuschreiben. Im industriellen Umfeld fungiert diese nämlich als Dienstleister, der die Sprache des Auftraggebers verstehen und lernen muss – nicht umgekehrt!

Entwicklungen für das Industrial IoT

Neu entwickelte Anlagen bieten die Möglichkeit, Security direkt im Entwicklungsprozess einzubetten. Einige Technologien, die den Schutz von Office- oder Endanwender-IT sicherstellen, haben auch im Anlagenumfeld durchaus eine Berechtigung. Man muss dabei aber sehr deutlich zwischen Technologie und Produkt unterscheiden. Nur weil eine Lösung für Endgeräte der Office-IT die Funktion „Firewall“ anbietet, heißt das noch lange nicht, dass es sinnvoll ist, diese Lösung eins zu eins auch auf Industriekomponenten zu übertragen, sofern das überhaupt möglich ist. Immerhin trifft man in solchen Fällen eher selten auf den durchschnittlichen Office-Windows-PC. Embedded-Plattformen auf ARM-Basis mit einem Linux-Derivat wären beispielsweise wahrscheinlicher. Auch andere Prozessor-Architekturen oder Echtzeitbetriebssysteme (Real-Time Operating System, RTOS) wie VxWorks oder FreeRTOS sind durchaus weit verbreitet.

Die allgemeine Zunahme an Prozessorleistung sorgt dafür, dass man heute auf performante Systeme (zum Beispiel 4-Kern ARM CPU, 2 GB RAM und 32 GB Flash) an Stellen trifft, an denen früher eher kleine Micro-Kontroller zu finden waren. Durch den Wegfall der Ressourcenlimitierung eröffnen sich daher ganz neue Möglichkeiten für die Integration anderer Funktionen. Security tritt in Vordergrund.

Entwicklern von Komponenten sollte daher die Möglichkeit eröffnet werden, sich aus einem Pool an Technologien bedienen zu können, um genau die Mischung zu integrieren, die für das jeweilige System auch Sinn macht. Auf dem IT-Markt werden inzwischen solche „Technologie-Baukästen“ angeboten, die dem Entwickler die Freiheit geben, ob und wie er Technologien integrieren möchte.

Management ist ein weiterer Teil solcher integrierten Lösungen. Aus der Office-IT ist man es inzwischen gewöhnt, dass sich alles über eine mitgelieferte zentrale Management-Lösung verwalten lässt. Werden allerdings Security-Funktionen direkt integriert, ist die zentrale Verwaltung nicht mehr ganz so einfach, wie man auf den ersten Blick meinen mag. Allein die Frage, „wer“ denn die Verwaltung übernimmt, führt teilweise zu internen Konflikten. Anbieter solcher Technologien sollten den späteren Integrator deshalb nicht zu sehr einzuschränken. Eine häufig praktizierte Lösung ist die Aufteilung zwischen Technologie- und Verwaltungs-APIs auf der einen und Management-Lösungen auf der anderen Seite. Dadurch hat man die Option, das Gesamtpaket inklusive des Managements nutzen zu können oder aber die Verwaltung selbst beziehungsweise mit anderen Mitteln zu übernehmen.

Ausblick

Cyberkriminelle werden bewährte Angriffsmethoden durch immer ausgefeiltere Elemente noch wirksamer machen und sich der Technologielandschaft permanent anpassen. Vorfälle, die die Sicherheit industrieller Infrastrukturen gefährden, machen deutlich, dass hier Prävention enorm wichtig ist. Fehlende Sicherheit im industriellen Kontext muss von Unternehmensseite ernst genommen und die Kommunikation zwischen IT- und OT-Abteilungen verbessert werden.

Der Pool aus bereits vorhandenen Technologien zum Schutz von Infrastrukturen wird weiterwachsen, was die Verantwortlichen dazu bringen sollte, Sicherheit immer wieder neu zu bewerten und mit den (neuen) nötigen Maßnahmen zu gewährleisten. Schließlich liegt es zu einem großen Teil in der Verantwortung der IT, ob wir unbesorgt in die Zukunft des (I)IoT blicken können.

Udo Schneider ist Security Evangelist bei Trend Micro.