Verbesserung des Sicherheitsniveaus
Bild 05: Die Eintrittswahrscheinlichkeit für einen Hackerangriff, konnte von ursprünglich 76 % auf aktuell 31 % reduziert werden. (Quelle: Videc GmbH)
Im zweiten Szenario entsteht die Gefährdung durch den Anschluss einer infizierten Engineering-Workstation (EWS): den Laptop eines Dienstleisters, eines USB-Speichersticks, über die Fernwartungszugänge der Maschinenlieferanten oder vergleichbarer Schnittstellen.
Zur Verhinderung dieser Gefährdung dient hier eine weitergehende Netzwerksegmentierung der einzelnen Netzwerke (vgl. Beispiel Scada-Netz 100 zu Steuerungsnetz 22). Wie auch im ersten Szenario kommen mögliche Konfigurationsänderungen der Router (NAC, VLAN) zum Einsatz oder zusätzliche Firewalls an den Übergängen der Segmente. Voraussetzung für die ergänzende Implementierung von Funktionen IDS/IPS ist wiederum, dass die eingesetzten Systeme die genutzten IT-/OT- Protokolle vollumfänglich verstehen.
Auch in diesem Szenario alarmiert Irma als spezialisiertes passives OT-Monitoringsystem mit Anomalieerkennung bei außergewöhnlichen Veränderungen im Netzwerk. Beim Einsatz einer zusätzlichen IPS-Funktionalität ist zunächst in der Risikoanalyse abzuwägen, welche Auswirkungen auf den Produktionsprozess bei sogenannten „false positives“ toleriert werden können. Eine rückwirkungsfreie Angriffsdetektion und automatisierte Alarmierung ermöglichen es, umgehend geeignete Gegenmaßnahmen zu ergreifen. Durch diese Maßnahmen verändert sich das gemessene Risiko, also die Eintrittswahrscheinlichkeit für einen Hackerangriff, von ursprünglich 76 % auf aktuell 31 % (Bild 5).
Diese Verbesserung ist darauf zurückzuführen, dass der Angreifer nun gezwungen ist, deutlich mehr Aufwand zu investieren, da er sich in den Netzwerken der Produktionsanlage nicht mehr frei bewegen kann. Ein Hackerangriff auf das Büronetzwerk hat somit keinen unmittelbaren Einfluss mehr auf die Produktion.
Durch die Segmentierung verändern sich über das Risiko hinaus auch die Wege, die ein Angreifer ausnutzen kann. Diese haben die Kritikalität von wichtigen Produktionsnetzen gemildert. Die neu eingeführte Netzwerksegmentierung ist unmittelbar Teil der aktuellen Angriffsvektoren.
Trotz dieser nennenswerten Verbesserungen gibt es weitere Risiken, die weiter minimiert werden können, um die Gesamtinfrastruktur sicherer zu machen. Beim Design neuer Abwehrmechanismen ist darauf zu achten, dass die neu eingeführten Maßnahmen nicht nur risikominimierend sind. Sie müssen potenziellen Gefahren auch möglichst lange standhalten.
Mithilfe von alternativen Infrastruktur-Modellen ermöglicht Securicad den Vergleich von Maßnahmen bereits vor der technischen Umsetzung. Anhand der Eintrittswahrscheinlichkeit lässt sich quantitativ belegen, welchen Mehrwert die Maßnahme für die aktuelle Infrastruktur bringt. Entscheidungen lassen sich auf Basis der Risiko-Minimierung treffen und dokumentieren.