Verbesserung des Sicherheitsniveaus
Die Empfehlung verschiedener Maßnahmen zur Verbesserung des Sicherheitsniveaus durch Securicad erfolgt auf Basis der wahrscheinlichsten Angriffswege. In diesem Fallbeispiel sind die beiden risikobehafteten Netze das Internet und das Netz 100. Daraus leiten sich zwei wesentliche Angriffsszenarien ab. Das erste ist die Infektion von außen bzw. dem Office-Netz. Als erstes Szenario ist ein kompromittiertes System im Büronetzwerk als „Außen“-Angreifer zu berücksichtigen. Ein möglicher Ansatzpunkt kann deshalb die Verbesserung der Sicherheit an den Übergängen von Büro- und Produktions- bzw. OT-Netzwerk sein.
Um diese Betrachtung zu untersuchen, wurde ein alternatives Modell erstellt, welches die bestehenden Netzwerkübergänge durch verbesserte Netzwerksegmentierung erweitert. Diese Segmentierung erfolgt durch Konfigurationsänderungen der Router (NAC, VLAN) oder durch den Einsatz zusätzlicher Firewalls an den Übergängen der Segmente. Weiterhin sind auch ergänzende Funktionen möglich, wie Intrusion Detection/Intrusion Prevention System (IDS/IPS) – unter der Voraussetzung, dass die eingesetzten Systeme (FW, IDS, IPS, ...) die genutzten Protokolle verstehen.
Irma als zusätzliches Monitoringsystem mit Anomalieerkennung alarmiert bereits mit Installation für die OT- Netzwerkerkennung bei außergewöhnlichen Veränderungen im Netzwerk bzw. unterbricht diese entsprechende Verbindung (Kopplung Monitoringsystem zu Firewall/Routern). Durch diese automatisierte Alarmierung können umgehend entsprechende Gegenmaßnahmen etabliert werden. Dadurch verändert sich das gemessene Risiko, also die Eintrittswahrscheinlichkeit für einen Hackerangriff deutlich. Die Risikomatrix zeigt, dass sich die Eintrittswahrscheinlichkeit von ursprünglich 62 % auf aktuell 18 % verändert hat. Die Priorität der Scada-Systeme hat sich durch diese Maßnahme nicht verändert.
Die Verbesserung resultiert daraus, dass der Angreifer nun gezwungen ist, erheblich mehr Aufwand zu investieren, um das Firewallsystem zu umgehen und eine Verbindung zur Industrieanlage aufzubauen. Dies betrifft zwei Firewallsysteme, zum einen die im Office-Bereich und zum anderen die innerhalb der Industrieanlage. Aufgrund der Änderungen an den Firewallsystemen verändern sich auch die Wege, die ein Angreifer wahrscheinlich nutzt. Insgesamt hat die Verbesserung der Firewallsysteme dazu geführt, dass die Router weniger interessant für Hackerangriffe geworden sind.
Die Kritikalität der Netze ist jedoch gleichgeblieben, da sich am Aufbau der Infrastruktur nichts verändert hat. So ist das Internet nach wie vor ein hoch riskantes Netzwerk, da aus diesem der Angreifer heraus agiert. Parallel ist dasNetz 100 nach wie vor hoch riskant, da alle Scada-Systeme im gleichen Netzwerk betrieben werden und so ein erfolgreicher Angriff auf das erste Scada-System einen potenziell ebenfalls erfolgreichen Angriff auf weitere Scada-Systeme bedeutet. Eine sinnvolle Erweiterung der Systemsicherheit kann deshalb eine Netzwerksegmentierung im Bereich der Scada- und Steuersysteme sein, um redundante Netzwerke aufzubauen, sofern die Produktionsumgebung dies erlaubt.