Erkennung von Angriffen und Vorbereitung für den Ernstfall
Bei der Kompromittierung von Geräten hinterlassen Angreifer Spuren. Es bleiben beispielsweise Registry-Einträge, Angriffs-Programme und Dateien zurück, es werden verdächtige Prozesse auf den Systemen gestartet oder Systemkonfigurationen, wie Antivirus- und Firewall-Einstellungen, verändert. „All diese Dinge finden sich in den Ereignisprotokollen der kompromittierten Geräte wieder. Betrachtet man die Protokolle aller Geräte, so ergibt sich ein umfassendes Bild sämtlicher Aktivitäten im industriellen Netzwerk“, erklärt Prof. T. Heer.
Die Ereignisprotokolle und Verkehrsmuster stellen einen großen Schatz an verwertbaren Security-Informationen dar. „Leider wird dieser Schatz oftmals nicht gehoben, da der Umgang mit ihm schwierig ist“, weiß er weiter zu berichten. Zum einen sei bereits die zentrale Sammlung der Informationen von hunderten Geräten ohne ein dafür geeignetes Verwaltungssystem (ein Log-Management-System) nicht leistbar. Zum anderen handle es sich um Unmengen an kleinteiligen Informationen, aus denen Angriffe nicht einfach erkennbar seien. „Um im Bild des Schatzes zu bleiben, sind dies Tonnen von 1-Cent-Münzen, unter denen sich auch ein erheblicher Teil an Falschgeld befindet. Das Falschgeld sind in diesem Sinne Informationsfragmente, die zwar nicht zu einem Angriff gehören, jedoch trotzdem als solcher aufgefasst werden können“, sagt Prof. T. Heer. Normale Wartungsarbeiten an einer Anlage, die etwa das Starten neuer Programme, Softwareaktualisierungen und das Öffnen von Netzwerk-Ports erfordern, nennt er als Beispiele für solche Aktivitäten. „Es stellt sich also nicht nur das Problem, Cybersecurity-Bedrohungen in der Unmenge von Protokolleinträgen zu erkennen, sondern auch Falscherkennungen, sogenannte False Positives, zu vermeiden“, lautet sein Fazit. Neben der Möglichkeit zur Auswertung großer Mengen an Log-Daten bieten SIEM-Systeme auch Möglichkeiten zur automatischen Erkennung von Angreifern. Diese Systeme werdenals Intrusion Detection Systems (IDS) bezeichnet. Sie analysieren nicht nur Log-Einträge, sondern auch den Netzwerkverkehr zwischen den Geräten im industriellen Netzwerk.