Cyber-Security-Audit für Industriekomponenten

Für die Digitalisierung der Prozesse im Rahmen von Industrie 4.0 werden immer mehr vernetzte Industriesysteme eingesetzt. Dazu gehören eingebettete Steuerungen, Sensoren, Cloud-Anbindungen und andere Komponenten des Internet of Things (IoT). Aber wie können Anwender sicher sein, dass die eingesetzten Produkte kein IT-Sicherheitsrisiko darstellen? Die ProtectEM GmbH bietet ein spezielles Cyber-Security-Audit für Industriekomponenten an. Klassische IT-Audits nach der ISO 27000 sind nicht auf die Domäne der Industrieautomation zugeschnitten und erfassen nicht die besonderen Risiken und Randbedingungen industrieller Anlagen. Der Audit-Prozess für Industriekomponenten überprüft daher die Konformität zur neuen Norm IEC-62443. Teil 4-2 beschreibt die IT-Security-Anforderungen für industrielle Komponenten und Teil 3-3 die für integrierte Systeme. Beide Teile werden für den Audit-Prozess herangezogen, ebenso Teile des BSI-IT-Grundschutzkatalogs sowie die OWASP Top 10 Security Risks.

Der Auditprozess besteht aus den drei Teilen Konzept-, Komponenten- und Systemaudit. Im ersten Teil, dem Konzeptaudit, werden die dokumentierten Eigenschaften des Produkts auf Konformität geprüft. Die IEC-62443 sieht für die unterschiedlichen Merkmalsklassen („Foundational Requirements“) sogenannte Security Levels (SL) von 1-4 vor. Angestrebt wird grundsätzlich Security Level 2. „Für die meisten Produkte ist Security Level 2 bereits ambitioniert, aber machbar. Security Level 3 kann in aller Regel mit aktuellen Produkten nicht realisiert werden“, so Prof. Dr.-Ing. Andreas Grzemba, technischer Geschäftsführer der ProtectEM GmbH. Aus dem IT-Grundschutzkatalog werden die Teile „Industrielle IT“ (IND) sowie „Netze und Kommunikation“ (NET) herangezogen. Wenn eine Web-Oberfläche vorhanden ist, wird außerdem auf die OWASP Top 10 geprüft. Für die Architektur wird eine Bedrohungsanalyse durchgeführt. Die Lücken zur Erreichung des angestrebten Security-Levels können direkt im Anschluss an diese erste Auditphase vom Hersteller bearbeitet und geschlossen werden.

Innerhalb des zweiten Teils, dem Komponentenaudit, werden alle Teile des Produkts oder des Systems Labortests zur Erkennung von Schwachstellen unterzogen. Hierzu werden eine Reihe von Werkzeugen für Penetrationstests eingesetzt:

  • Schwachstellen-Scanner für Endgeräte
  • Schwachstellen-Scanner für web-basierte Oberflächen
  • Gängige Angriffs-Tools
  • Ethernet-Fuzzer

Durch diese Prüfungen werden vor allem Defizite der konkreten Implementierung aufgedeckt. Nicht nur Sicherheitslücken können dabei entdeckt werden, sondern auch Schwachstellen, die im Betrieb zu instabilem Verhalten führen können. „Manche Geräte können bereits dadurch zum Absturz gebracht werden, dass man ihnen nicht protokollkonforme Daten schickt“, so Martin Aman, der das Testlabor bei ProtectEM leitet, „Robustheit und Zuverlässigkeit sind die wichtigsten Anforderungen in der Industrieautomation.“ Die rigorosen Prüfungen führen zur Härtung der Geräte sowohl gegen Cyber-Attacken als auch sporadische Ausfälle durch Fehler. Zusätzlich findet eine Analyse der verwendeten kryptographischen Protokolle und Chiffren statt. Dies ermöglicht den Herstellern, schwache oder falsch implementierte Protokolle auszubessern und damit Sicherheit bei Verschlüsselung und Signierungen. Die vom Hersteller eingesetzten Softwaremodule werden anhand der Common Vulnerabilites und Exposures (CVE) Datenbank überprüft. Das Komponentenaudit wird durch individuelle Test ergänzt, um mögliche gerätespezifische Schwachstellen abzuprüfen. Aus dem Komponentenaudit werden die erforderlichen Nachbesserungen und weitergehende Handlungsempfehlungen abgeleitet. Im dritten Teil, dem System Audit, findet eine Analyse der Netzwerkverbindungen und weiterer Interaktionen zwischen mehreren Komponenten im Systemverbund statt. Dazu gehören die korrekte Kommunikation zwischen Netzwerkkomponenten und das Handling von Zertifikaten. Hierbei soll erkannt werden, ob schützenswerte Daten, insbesondere natürlich Passwörter, bei der Übertragung korrekt verschlüsselt werden. Ebenso sollen anhand der Metadaten ungewollte Kommunikationsverbindungen aufgedeckt werden. Über die durchgeführten Prüfungen und die dadurch nachgewiesene Konformität zur IEC 62443 wird ein Zertifikat erstellt, das von einer ausführlichen Dokumentation begleitet wird. Für die Hersteller haben solche Produktaudits den Vorteil einer Standortbestimmung und objektiven externen Bestätigung der umgesetzten Security-Maßnahmen und des erreichten Security-Levels. Gerade beim Erstaudit liegt ein bedeutender Gewinn im eigenen Kompetenzaufbau. Vielfach schließt sich an das erste durchgeführte Projekt auch eine Aktivität zur Umsetzung der IEC 62443-4-1 im Unternehmen ein, mit der „Security by Design“ im Entwicklungsprozess umgesetzt wird. Zur IEC 62443 konforme Komponenten bieten für Anwender von Automatisierungskomponenten, also Maschinen- und Anlagenhersteller sowie Betreiber, die Basis für durchgängige Security-Architekturen. Nur eine solch ganzheitliche Betrachtung, bei der Hersteller und Anwender entlang der ganzen Wertschöpfungskette harmonierende Security-Konzepte umsetzen, wird die Betriebssicherheit langfristig gewährleisten können. Die IEC 62443 liefert dafür ein verlässliches Rahmenwerk, das die verschiedenen Perspektiven bis hin zum Endanwender berücksichtigt.

Autor: Prof. Dr.-Ing. Peter Fröhlich und Martin Aman, ProtectEM GmbH

09.04.2018

Diese Veranstaltungen könnten Sie auch interessieren

Tagung
Logo_AUTOMATION

30.06. - 01.07.2020
Baden-Baden

Die "Automation 2020" ist der Branchetreff für die Mess- und Automatisierungstechnik. Erfahren Sie alles zu neuen Trends und erweitern Sie Ihr berufliches Netzwerk.

Informieren & Buchen

Konferenz
2. VDI- Konferenz Künstliche Intelligenz 2019

23.10. - 24.10.2019
Berlin

Die VDI-Konferenz gibt Ihnen einen Überblick über den aktuellen Stand und die Zukunftsperspektiven künstlicher Intelligenz. Mit praktischen Anwendungsbeispielen.

Informieren & Buchen

Der für Sie ausgewählte Bereich

  • Automation