Von Edge bis Cloud: Industrielle Netzwerke schützen

Der Einsatz des IIoT wächst unaufhaltsam, und damit die Vernetzung der Geräte. Das den Trend treibende Momentum: die starke Nachfrage von Unternehmen und Anlagenbesitzern, von Betreibern nach verbesserter Betriebseffizienz. Die Betriebseffizienz lässt sich jedoch nicht immer problemlos erzielen. Unternehmen sind gefragt, den Gefahren durch Bedrohungen mit wirkungsvollen Security-Maßnahmen zu begegnen.

Jedes Gerät, das einem Netzwerk hinzugefügt wird, ist ein potenzieller Schwachpunkt – denn es stellt für Angreifer einen möglichen Zugangspunkt zum Netzwerk dar. Die Wichtigkeit, die Unternehmen und sogar Regierungen der Cybersecurity beimessen ist schwerlich zu überschätzen. Im Juli 2016 veröffentlichte das Europaparlament Richtlinien zur Vermeidung von Cyberattacken. Alle Anlagenbetreiber haben gemeinsam, dass sie nach-Lösungen suchen, mit denen sie sichere Geräte und Netzwerke für ihre Industrieanwendungen installieren können.

Was ist der IEC 62443 Standard?

Der IEC 62443 Standard entwickelt sich fortlaufend weiter, um stets aktuelle Sicherheitsrichtlinien und eine Liste von Praxisbeispielen für verschiedene Bereiche des Netzwerks liefern zu können. Sie umfasst auch Informationen für Personen, die verschiedene Verantwortungsbereiche für Netzwerke übernehmen, um diese gegen bekannte Sicherheitslücken und unvorhergesehene Angriffe zu schützen. Das ultimative Ziel des Standards ist es, die Sicherheit von Netzwerken zu verbessern und die Sicherheit von Einstellungen in der Industrieautomation und Steuerung zu erhöhen. Die IEC 62443 Richtlinie definiert vier Ebenen von Sicherheitsbedrohungen. Level 2 ist die Basisanforderung für die Automatisierungsindustrie. Er beschreibt Cyberangriffe durch Hacker, die von Administratoren als meistverbreitet Art des Angriffs beschriebene Variante. Level 1 beschreibt den Schutz gegen versehentliche nicht authentifizierte Zugriffe und die Level 3 und 4 beziehen sich auf die Absicherung gegen den beabsichtigten Zugriff durch Hacker mit spezifischen Fähigkeiten und Werkzeugen.

Es fordern viele Systemintegratoren von Lieferanten, dass ihre Produkte mit dem Unterabschnitt IEC 62443-4-2 des IEC 62443 Standards konform sind. Dieser betrifft speziell die Sicherheit von Endgeräten. Der Unterabschnitt setzt sich aus grundlegenden Anforderungen zusammen, einschließlich der Identifizierungs- und Authentifizierungsprüfung, Einsatzprüfung, Datenintegrität und –vertraulichkeit sowie Back-up für Ressourcenverfügbarkeit.

Das IT-Sicherheitsgesetz

Im Wesentlichen unterscheidet sich das IT-Sicherheitsgesetz vom IEC 62443 Standard durch die Tatsache, dass es zunächst von der deutschen Bundesregierung, dem Bundesamt für Sicherheit in der Informationstechnik, erlassen und primär für die Betreiber so genannter kritischer Infrastrukturen geschaffen wurde, wie Energieversorger, Anbieter von Telekommunikationsdienstleistungen, Telemedienanbieter und Unternehmen in der Atomkraft. Es zielt also in letzter Konsequenz darauf ab, den Endverbraucher im Falle von Cyberangriffen oder Manipulationen zu schützen: „Betreiber Kritischer Infrastrukturen sind verpflichtet, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind.“

Die IT-Sicherheit muss nach aktuellem Stand der Technik umgesetzt werden – wobei Stand der Technik ein nicht allgemeingültig und abschließend definierter juristischer Begriff ist und Sicherheitsvorfälle dem BSI gemeldet werden müssen. Um der Anforderung zu genügen, können Betreiber kritischer Infrastrukturen und ihre Verbände branchenspezifische Sicherheitsstandards erarbeiten. Das BSI prüft diese auf Antrag und erkennt sie bei Eignung im Einvernehmen mit den zuständigen Aufsichtsbehörden an.

Die IEC-Norm ist eine internationale Normenreihe über "Industrielle Kommunikationsnetze - IT-Sicherheit für Netze und Systeme". Sie beschäftigt sich speziell mit sicheren industriellen Automatisierungs- und Steuerungssystemen und der Sicherheit in der Prozess-, Mess- und Leittechnik, wie wir sie gerade hierzulande vielfach vorfinden. Im Fokus des Standards steht einerseits die Tatsache, dass handelsübliche IT–Produkte wegen mangelnder Sicherheitsfunktionen nicht für die Automatisierungsumgebung geeignet sind. Andererseits regelt der Standard die Thematik der Managementsysteme. Über diese gibt es ausreichende Informationen, was sie umfassen sollten, jedoch keine Informationen darüber, wie man dabei vorgehen sollte, ein Managementsystem überhaupt erst einmal zu entwickeln. Hier setzt der Standard an und adressiert die Aspekte der verschiedenen Elemente innerhalb eines Cybersecurity-Managementsystems für industrielle Automatisierungs- und Steuerungssysteme - und gibt Leitlinien zu dessen Entwicklung vor.

Die Sicherheitsrisiken verstehen

Unter Sicherheitsexperten herrscht der Konsens, dass es sechs Haupt-Bedrohungen für interne Netzwerke gibt, darunter nicht-autorisierter Zugriff, unsichere Datenübertragung, unverschlüsselte wichtige Daten, unvollständige Ereignisprotokolle, ein Mangel an Sicherheitsüberwachung und Fehler, hervorgerufen durch menschliche Fehler bei der Einstellung. Es gibt verschiedene Optionen, um diese Sicherheitsrisiken zu neutralisieren.

1) Eindringen und Angriffe verhindern

Der erste Schritt auf dem Weg, nicht autorisierten Zugriff zu verhindern, ist die Einführung einer Passwort-Richtlinie. Während sie bis zu einem gewissen Grad bei steigender Anzahl von Netzwerknutzern effektiv ist, wächst damit auch die Gefahr. Die größte Gefahr sind nicht autorisierte Zugriffe auf industrielle Steuerungssysteme.  Dafür ist ein Passwort ein guter Anfang – aber definitiv besser sichert eine zusätzliche Identifier-Management-Richtlinie ab. Sie umfasst verschiedene Parameter, die sicher stellen, dass Accounts nur von den Anwendern genutzt werden können, für die sie erstellt wurden, und dass Anwender nur Zugriff auf Teile des Netzwerks haben, mit denen sie wirklich arbeiten müssen. Die im Netzwerk installierten Geräte sollten in der Lage dazu sein, User aus Accounts auszuloggen, für die sie keinen Zugang haben sollten, und den Netzwerkadministrator über Zugangsverletzungen zu informieren. 

2) Sensible Daten schützen

Alle Geräte im Netzwerk müssen Datenverschlüsselung unterstützen und umsetzen, wenn Daten übers Netzwerk gesendet werden. Das eliminiert das Risiko des Datendiebstahls während der Übertragung fast vollständig.  Datenintegrität ist wichtig, da diese garantiert, dass Daten akkurat sind und bei Bedarf zuverlässig und sicher verarbeitet und abgerufen werden können. Ist die Datenintegrität nicht abgesichert, kann der Netzwerkadministrator nicht bewerten, ob die Daten wirklich akkurat sind. Kommt es so weit, sind die Daten nutzlos. Noch schlimmer ist es, wenn Daten manipuliert wurden, so dass falsche Informationen geliefert werden. Der Administrator ändert dann möglicherweise Einstellungen oder trifft falsche Entscheidungen, die das Netzwerk noch weiter schädigen. 

Neben den Gerätedaten werden in IIoT-Netzwerken auch Konfigurationsdaten gehostet. Die Konfiguration von Netzwerkgeräten ist immens wichtig – ist sie fehlerhaft oder korrumpierbar kann sie den Netzwerkbetrieb lahmlegen. Das Geräte die Konfigurationsverschlüsselung unterstützen und umsetzen ist wichtig, um dieses Risiko zu reduzieren.

3) Sicherheits-Ereignisse prüfen können

Netzwerke müssen fortlaufen überwacht werden, und jedes Ereignis, das stattfindet, sollte für die eventuell spätere notwendige Analyse aufgenommen werden. Obwohl man zahlreiche Maßnahmen gegen Cyberangriffe einsetzen ergreifen kann, ist ein möglicher Angriff in Echtzeit nur schwer erkennbar. Wenn Datenprotokolle genutzt werden, sind die Administratoren in der Lage nachzuverfolgen, welche Ereignisse vor einem Angriff stattgefunden haben und diese Daten zu analysieren. So kann der Netzwerkadministrator das Problem effektiv in Angriff nehmen. Die wertvollen Informationen aus Datenprotokollen helfen dabei, den Entwurf und die Sicherheit des Netzwerks zu verbessern und zukünftige Störungen zu vermeiden. Weitere Sicherheitsmaßnahmen sind die Möglichkeit, Nutzer auszuloggen, Accounts zu löschen und Geräte neu zu starten.

4) Den Sicherheitsstatus des Netzwerks visualisieren

Software, die das Netzwerk visualisiert, ermöglich t es Administratoren, unübliche oder potenziell schädliche Aktivitäten im Netzwerk zu überwachen. Zusätzlich dazu hilft solche Software dabei, Probleme zu verhindern, bevor sie entstehen: indem die Netzwerkadministratoren auf einen Blick sicherstellen können, dass jedes Gerät die korrekten Einstellungen hat. Ist ein Gerät nicht so abgesichert, wie es sein sollte, lässt sich das Problem identifizieren und das Risiko, welches von der Angreifbarkeit ausgeht, reduzieren. Typische Sicherheitsfunktionen, die dazu eingesetzt werden, sind Passwortrichtlinien, Verschlüsselung, Log-in-Berechtigungsnachweise und die Integrität der Daten.

5) Korrekte Konfiguration

Menschliche Fehler passieren üblicherweise, wenn Netzwerkadministratoren versehentlich falsche Einstellungen vornehmen. Darin liegt großes Potenzial für Probleme wie unvollständige Netzwerkfunktion, Datenverlust oder plötzliche Angreifbarkeit. Sind die Konfigurationen nicht korrekt, kann das Netzwerk von Mitarbeitern manipuliert oder von außen durch nicht autorisierten Zugriff geschädigt werden. Bei Cyberangriffen, die aufgrund menschlicher Fehler erfolgreich sind, wird dem Administrator noch lange Zeit nach dem Verstoß nicht bewusst, dass diese überhaupt passiert sind, wodurch deutliche Schäden am Netzwerk möglich werden. Auf diese Art und Weise wird ein Großteil der Netzwerke beschädigt – also sollte der Tatsache ausreichend Wichtigkeit beigemessen werden.

Die Herausforderungen lösen

Ebenso wie viele andere Sicherheitsexperten in der Industrie glaubt Moxa, dass es der beste Weg ist, Netzwerke zu schützen, indem man mit der Sicherheit der Switches und der seriell-zu-Ethernet-Lösungen beginnt. Moxas Lösungen entsprechen deshalb dem IEC 62443-4-2 Level 2-Standard:

• Die Industrial Ethernet Switches verfügen über die neue Firmware Turbo Pack 3, durch welche sie dem IEC 62443-4-2 Level 2-Standard entsprechen, und sie bieten sowohl MAC-Adress- als auch RADIUS-Authentifizierung.
• Für die seriell-zu-Ethernet-Konnektivität bietet Moxa Industrielle Secure Terminal Server sowie sichere Geräteserver der NPort-Serie und Sicherheits-Gateways der MGate-Serie
• Moxas industrielle Netzwerkmanagement-Suite MXstudio beinhaltet neue Funktionen, die es den Anwendern ermöglichen, den Sicherheitsstatus ihres Netzwerks zu visualisieren, sodass sie Ereignisse überwachen und Massenkonfiguration durchführen können. Die MXstudio Software-Suite beinhaltet Moxas bekannte Netzwerkmanagement-Software MXview sowie zwei neue Werkzeuge, die MXconfig Massenkonfiguration für eine Massen-Erstinstallation und das N-Snap Netzwerk-Schnappschuss-Werkzeug für die schnelle Fehlersuche und –behebung. Mit nur einer einzigen Software-Suite ist der Administrator in der Lage, jede Stufe des Netzwerkmanagement-Lebenszyklus zu bewältigen, einschließlich Installation, Betrieb, Wartung und Diagnose. Zusätzlich dazu können Automatisierungsingenieure dank der intuitiven Benutzerschnittstelle hochverfügbare Netzwerke einfach betreiben und dadurch die Gesamtbetriebskosten senken.

Details zu MXView:

Mit MXview und der mobilen App MXview ToGo, welche den mobilen Zugriff auf den Netzwerkstatus ermöglicht, lassen sich serielle Geräte in Echtzeit jederzeit und von überall überwachen. Das verkürzt im Fall von Störungen die Zeit für die Entscheidungsfindung und optimiert die Betriebseffizienz. MXview sendet Informationen per Push-Ereignisbenachrichtigung direkt an mobile Geräte und ermöglicht Administratoren die sofortige Überprüfung des Netzwerkstatus auf Betrieb, Warnmeldungen oder kritische Situationen.

Die Netzwerkmanagementsoftware MXview von Moxa ist für die Konfiguration, Überwachung und Diagnose von Netzwerkgeräten in industriellen Netzwerken konzipiert. MXview bildet eine integrierte Managementplattform, die in Subnetzwerken installierte Netzwerkgeräte und SNMP/IP-Geräte erkennt. Alle ausgewählten Netzwerkkomponenten können grafisch über Webbrowser verwaltet werden, und zwar sowohl vor Ort als auch im Fernzugriff - jederzeit und überall.

• Die Event-Playback-Funktion registriert Netzwerkereignisse und gibt frühere Netzwerkereignisse wieder
• Erkennt und visualisiert Netzwerkgeräte sowie physikalische Verbindungen automatisch
• Zentrales Management von Konfigurationen und Firmware für Moxa-Geräte
• Unterstützt Geräte anderer Hersteller über MIB-Compiler und MIB-Browser
• Erzeugt umfassende Berichte wie z.B. Bestands-, Datenverkehrs- und Verfügbarkeitsberichte

Erstellt automatisch OPC-2.0-konforme Tags für die Einbindung in SCADA/HMI-Anwendungen