Verständliche Alarmanzeige
Bild 6: Für Feld Q01 aktivierter Wartungsmodus (Quelle: Omicron Klaus/Österreich)
Neben der Vermeidung von Fehlalarmen ist es von entscheidender Bedeutung, dass die angezeigten Alarmmeldungen für die verantwortlichen Schutz- und Leittechnik-Ingenieure klar verständlich sind. Das ermöglicht schnellere Reaktionszeiten, da Fehlalarme oft von Technikern ausgelöst werden, die in der Anlage oder über Fernzugriff arbeiten. Darüber hinaus können dadurch auch IT-Sicherheitsexperten mit den Schutz- und Leittechnikern bei der Analyse von Alarmmeldungen besser zusammenarbeiten. Damit sich Alarme auch besser zu Feldern und Geräten zuordnen lassen, werden sie in „StationGuard“ nicht nur als Alarmliste, wie man es von Firewalls kennt, sondern auch grafisch, in einem „Zero-Line“-Diagramm – eine Übersichtsdarstellung, die mit Station Scout eingeführt wurde – dargestellt. Bild 4 zeigt einen Screenshot der grafischen Alarmanzeige in „StationGuard“: Der Alarm wird als roter Pfeil zwischen dem Gerät (Prüf-PC), der die verbotene Aktion durchführt, und dem „Opfer“ der Aktion – einem Feldleitgerät im Feld Q01 – angezeigt. Bild 5 zeigt die Details dieses Alarms: Es wurde ein Leistungsschalter mit einer MMS-Steuersequenz geschaltet, was für einen Prüf-PC jedoch nicht erlaubt ist.
Wartungsvorgänge berücksichtigt
Um Fehlalarme weiter zu reduzieren, werden in „StationGuard“ auch routinemäßige Prüf- und Wartungsvorgänge im Systemmodell der Anlage berücksichtigt. Dies bedeutet, dass die Prüfausrüstung, einschließlich der Schutzprüfgeräte, in das Systemmodell einbezogen werden kann. In Bild 6 ist zu sehen, dass der Wartungsmodus für Feld Q01 aktiviert wurde. Nun darf der Prüf-PC aus dem obigen Beispiel mehr tun als zuvor. Es wird beispielsweise kein Alarm ausgegeben, wenn der Prüf-PC den IEC-61850-Test- oder Simulationsmodus des IED -Q1 in diesem Feld schaltet. Es wird allerdings immer noch Alarm ausgelöst, wenn der Prüf-PC einen Leistungsschalter in diesem Feld schaltet, da solche Aktionen für einen Prüf-PC unzulässig sind. Natürlich können diese Regeln geändert werden, wenn die Richtlinien des Unternehmens solche Aktionen zulassen.
Konfiguration des IDS-Systems
Wie bereits erwähnt, ist keine Lernphase erforderlich. Das Erkennen der Anlagenstruktur und Geräte beginnt sofort nach dem Starten des Geräts und kann aus Sicherheitsgründen nicht ausgeschaltet werden. Bis die SCD-Datei der Anlage geladen ist, werden alle IED als unbekannte Geräte dargestellt. Nach dem Laden der SCD-Datei werden die IED und die Anlagenstruktur im „Zero-Line“-Diagramm dargestellt. Die Konfiguration kann auch im Büro vorbereitet und anschließend in einer Anlage nach der anderen schnell in Betrieb genommen werden. Wenn nicht alle IED in einer SCD-Datei zusammengefasst wurden, kann man zusätzliche IED auch einzeln importieren. Nach dem Import hat der Benutzer die Möglichkeit, den verbleibenden unbekannten Geräten Rollen wie „Prüf-PC“ oder „Engineering-PC“ hinzuzufügen.
Was passiert bei einem Alarm?
Es muss beachtet werden, dass „StationGuard“ rein passiv agiert: Ist eine Aktion „nicht erlaubt“, wird ein Alarm ausgelöst. Dieser Alarm kann über das Gateway/RTU (Remote Terminal Unit) an die Leitstelle übermittelt werden. Alternativ können Alarme auch an ein separates System übermittelt werden, das Sicherheitswarnungen sammelt und Security Incident Event Management System (SIEM) genannt wird. Bei der RBX1-Hardwareplattform stehen auch Binärausgänge zur Verfügung, mit denen Alarme unkompliziert an eine RTU weitergegeben werden können. In diesem Fall erfolgt die Alarmmeldung ohne Netzwerkkommunikation und die Alarme können wie jedes andere fest verdrahtete Signal der Anlage in die normale Signalliste der Leitstelle integriert werden.
Cybersicherheit des IDS
In Hollywood-Filmen greifen Einbrecher immer zuerst die Alarmanlage an. Wie steht es also um die Sicherheit dieses Einbruchserkennungssystems? Ein wichtiges Sicherheitsmerkmal ist hier, dass eine eigenständige, sichere Hardware verwendet wird und keine virtuelle Maschine. Beide Hardwarevarianten von „StationGuard“, die 19-Zoll-Variante (RBX1) für die permanente Installation in Schaltanlagen, aber auch die mobile Variante (MBX1), haben dieselbe Plattformhärtung und beide verfügen über einen sicheren Kryptochip nach ISO/IEC 11889. Dadurch wird sichergestellt, dass kryptografische Schlüssel nicht auf dem Flash-Speicher, sondern auf einem separaten Chip gespeichert werden, der vor Manipulationen geschützt ist. Durch die Installation der Zertifikate von Omicron auf diesem Chip, die während der Produktion vorgenommen wird, entsteht eine sichere, sich gegenseitig verifizierende Bootkette. Das bedeutet, dass jeder Schritt im Boot-up-Prozess der Firmware die Signaturen des nächsten zu ladenden Moduls oder Treibers überprüft. So wird sichergestellt, dass nur Software mit einer Signatur von Omicron ausgeführt und installiert werden kann.
Der Gerätespeicher wird mit einem für diese Hardware eindeutigen Schlüssel verschlüsselt, der im Kryptochip geschützt ist. Da niemand (einschließlich Omicron) diesen Schlüssel kennt, ist es unvermeidbar, dass bei der Reparatur (wenn sie mit dem Austausch von Hardware-Komponenten verbunden ist) alle Daten auf dem Gerät verloren gehen. Sie können dann nicht mehr entschlüsselt werden. Weitere Mechanismen sorgen dafür, dass die Prozesse auf dem Gerät nicht angegriffen oder missbraucht werden können, sodass der Ansatz der „Defense in Depth“ auch tief in die auf dem Gerät laufende Software verfolgt wird. Die Behandlung all dieser Mechanismen wäre Thema für einen eigenen Artikel.