Erkennung von Angriffen und Vorbereitung für den Ernstfall

Weitergedacht ist nach der Erkennung eines Angriffs auch die automatische Ausführung einer Gegenmaßnahme denkbar: IPS (Intrusion Prevention Systems) können teilweise erfolgreiche Angriffe unterbrechen und weiteren Schaden verhindern. Sie haben in industriellen Anlagen allerdings einen schlechten Ruf, da sie bei unbedachtem Einsatz zu Ausfällen, Standzeiten und schwer zu behebenden Funktionsfehlern führen können – selbst wenn kein Angriff vorliegt, sondern nur eine harmlose Aktivität als Angriff fehlerkannt wurde. „Dieser schlechte Ruf rührt daher, dass IPS in der Vergangenheit oftmals mit zu aggressiven Sperren in einem Angriffsfall reagiert haben. Ganze Netzwerkteile oder Geräte wurden pauschal bei einem gegebenenfalls fehlerkannten Angriff zum Schutz vom Netzwerk getrennt. Die Folge sind weitreichende Funktionsausfälle“, lautet die Erfahrung von Prof. T. Heer. Heute sei es möglich, IDS zielgenauer zu verwenden. „So kann auch im Angriffsfall eine Steuerung ihre Aufgaben fortsetzen, während die für den Angreifer­ interessante­ Konfigurationsschnittstelle­ durch­ das­ IPS­ vom Netzwerk getrennt ist. Durch eine solche Teilisolation lässt sich im Angriffsfall der Betrieb von essenziellen Geräten fortsetzen, während die Ausbreitung eines Angriffs trotzdem unterbunden wird“, nennt er als Vorteil.

Ernstfall proben, Mitarbeiter mitnehmen

Bei einem erkannten Vorfall muss schnell und effektiv reagiert werden. Um solch eine Reaktion vorzubereiten, müssen sowohl die zur Analyse erforderlichen Daten umfassend und aussagekräftig im Log-Management-System vorliegen als auch­ qualifizierte­ Mitarbeiter­ vorhanden­ sein.­ „Die­ bereits­ angesprochenen Log-Management- und SIEM-Systeme leisten hier einen wichtigen Beitrag, da sie die Informationen in leicht und­ effizient­ durchsuchbarer­ Form­ bereithalten.­ Da­ bei­ einer­ umfassenden zentralen Protokollierung oft gigabyteweise Log-Daten anfallen, gestaltet sich die Erkennung eines Angriffswegs – und damit die Feststellung, welche Systeme vom Angriff betroffen sind – wie die Suche nach der Nadel im Heuhaufen. Außerdem ist das Ganze aufgrund der extremen Datenmengen auch technisch nicht einfach“, gibt er zu bedenken. Wer rechtzeitig ein effektives System für den Ernstfall aufbaue, könne im Fall eines Angriffs schnell reagieren.