Prozess ohne Lernphase

Für IEC-61850-Anlagen wird das gesamte Automatisierungssystem mit allen Geräten, den Datenmodellen und den Kommunikationsmustern in einem standardisierten Format beschrieben, der SCL (Substation Configuration Language). In solchen Dateien sind auch Informationen über primäre Betriebsmittel enthalten und für eine Vielzahl von Anlagen ist sogar das Einlinienersatzschaltbild der Schaltanlage ­beschrieben.

Auf Basis dieser Informationen ist es möglich, einen ­völlig anderen Ansatz für das Erkennen von Cyberangriffen zu verwenden: Das Monitoring-System kann ein vollstän­diges Systemmodell des Automatisierungssystems und der Schaltanlage erstellen und jedes einzelne Paket im Netzwerk mit dem Live-Systemmodell vergleichen. Sogar die in den Telegrammen (Goose, MMS, SV) enthaltenen Datenwerte lassen sich anhand der aus dem Systemmodell abgeleiteten Erwartungen bewerten. Dieser Prozess ist ohne Lernphase und allein durch die Konfiguration der SCL möglich. Im neuen funktionalen Sicherheitsüberwachungssystem „Station­Guard“ wird genau dieser Ansatz umgesetzt.

Funktionale Sicherheitsüberwachung

Im Wesentlichen führt „StationGuard“ eine detaillierte funktionale Verifikation des gesamten Datenverkehrs durch, um Cyberbedrohungen im Netzwerk zu erkennen. „Station­Guard“ nutzt ein detailliertes Modell der gesamten erwarteten Kommunikation und vergleicht damit die tatsächlichen Netzwerkpakete. Aufgrund der kontinuierlichen inhaltlichen Überprüfung des Datenverkehrs werden nicht nur Bedrohungen für die IT-Sicherheit, wie unzulässige Pakete und Steuervorgänge erkannt, sondern auch Kommunikations­fehler, Probleme mit der Zeitsynchronisation und damit auch verschiedene Arten von Fehlfunktionen in der Schaltanlage. Da das IDS-System auch das Schaltbild der Anlage kennt und die Messwerte in der MMS-Kommunikation (oder auch in Sampled Values) beobachtet werden, sind die Möglich­keiten für die Überwachungstiefe nahezu grenzenlos.

Ein Beispiel: Allein für Goose hat „StationGuard“ aktuell 33 verschiedene Alarmcodes, die auftreten können. Sie ­reichen von einfachen Status- und Sequenznummer-Störungen bis hin zu komplexeren Problemen, wie zu langen ­Übertragungszeiten von Telegrammen. Letzteres wird durch das genaue Messen der Differenz zwischen dem Entry-Time-Zeitstempel im Telegramm und der Ankunftszeit bei „Station­Guard“ erkannt. Ist die Übertragungszeit des Netzwerks für eine Trip-Goose gemäß IEC 61850-5 länger als 3 ms, deutet dies auf ein Problem im sendenden IED, im Netzwerk oder zumindest bei der Zeitsynchronisation hin.
Wie steht es um die MMS-Kommunikation? Aus dem Systemmodell (aus der SCL) ist bekannt, welche logischen Knoten welche Betriebsmittel steuern. Somit kann zwischen korrekten/nicht korrekten beziehungsweise kritischen/nicht kritischen Aktionen unterschieden werden. Das Schalten eines Leistungsschalters und das Schalten des IEC-61850-Testmodus nutzen dieselbe Sequenz im MMS-Protokoll (Select-before-Operate). Die Auswirkung in der Anlage ist jedoch eine ganz andere. Schaltet der Prüf-PC aus Bild 1 den IEC-61850-Testmodus eines Relais um, kann dies eine gerechtfertigte Aktion während einer Schutzprüfung sein. Höchstwahrscheinlich wäre es aber nicht erlaubt, wenn der Prüf-PC einen Leistungsschalter schaltet. In den folgenden Abschnitten wird auf dieses Beispiel näher eingegangen.

Mit Schutz- und Leittechnikern entwickelt

Die Forschung zu diesem Ansatz begann bei Omicron 2010. Erste Umsetzungen dieses Konzepts, die 24/7-Überwachung von Sampled Values, Goose und der PTP-Zeitsynchroni­sierung, sind seit 2015 in einem dezentralen und hybriden Analysegerät verfügbar, dem Daneo 400 von Omicron. Daraus ergab sich, dass das Unternehmen von Ingenieuren der Centralschweizer Kraftwerke AG (CKW) angesprochen wurden, die nach einer passenden Sicherheitslösung für ihre Schaltanlagen suchten.
Die Techniker der CKW kannten die Nachteile kommerziell verfügbarer IDS-Systeme. Deshalb war eines ihrer ­Ziele, dass das IDS von Schutz- und Leittechnikern einfach ­bedient werden kann. Daraus entwickelte sich eine gute ­Zusammenarbeit zwischen Ingenieuren der CKW und dem Entwicklungsteam von „StationGuard“. Es war hochinteressant zu sehen, welche große Rolle IT-Sicherheit im Design der nächsten Schaltanlagen-Projekte der CKW spielt und dass dort auch Intrusion Detection in Schaltanlagen vorgesehen ist.

Mittlerweile flossen durch mehrere andere Proof-of-­Concept-Installationen auch Erfahrungen von vielen anderen Energieversorgern weltweit in die Entwicklung von „Station­Guard“ ein. 2018 wurde eine der ersten Proof-of-Concept-Installationen in einer 110-kV-Schaltanlage der CKW integriert und in Betrieb genommen. Bild 3 zeigt die Installation der mobilen Variante von „StationGuard“ auf der MBX1-Plattform im unteren Bereich der Abbildung. In dieser Installation wurde der gesamte Datenverkehr des Haupt-Netzwerkswitches auf „StationGuard“ gespiegelt. Dadurch wird sichergestellt, dass die Kommunikation vom Gateway zu und von allen IED überwacht wird. Da durch diesen Switch auch Fernwartungs-Verbindungen gehen, überwacht „Station­Guard“ selbst diesen Verkehr. Darüber hinaus sind auch alle Goose-Nachrichten von allen IED für „Station­Guard“ sichtbar, weil die Goose-Kommunikation mittels Multicast auch auf diesem Switch auftaucht.