Dennis Paul, Bereichsleiter IoT-Projekte bei der mdex GmbH in Tangstedt
1. Den Datenverkehr kontrollieren 2. Der tiefe Blick in die Datenkommunikation 3. Ablauf einer Infektion
Schreckensszenarien durch Cyberangriffe sind leider keine theoretischen Ideen mehr. Der Netzwerkübergang zwischen der Office-IT und dem Produktionsnetzwerk (OT) stellt ein Einfallstor für Cyberkriminelle dar. So können beispielsweise Würmer, Trojaner oder andere unerwünschte Programme von der herkömmlichen Infrastruktur aus in die Produktionsumgebung gelangen und dort den Produktionsprozess erheblich beeinträchtigen. Stuxnet, WannaCry und Emotet sind dafür bekannte Beispiele. Doch wie kann die Gefahr durch solche Bedrohungen minimiert werden, ohne auf die zahlreichen Vorteile einer durchgängigen Vernetzung zu verzichten? Schließlich sind ohne sie viele innovative Konzepte gar nicht realisierbar, angefangen von Fernwartung und Remote-Zugriffe zur Produktionssteuerung bis hin zu Production on Demand oder Pay per Use. Hundertprozentigen Schutz wird es für OT-Systeme allerdings genauso wenig geben wie für IT-Systeme. Für einen bestmöglichen Schutz lassen sich aber verschiedene Maßnahmen miteinander kombinieren.
Den Datenverkehr kontrollieren
Im ersten Schritt gilt es, den Datenverkehr zu kontrollieren, beispielsweise durch eine Firewall, die idealerweise nicht nur die internen IT-Systeme vom Internet trennt, sondern auch von den eigenen OT-Systemen. Hier kann nicht nur sehr fein geregelt werden, welche IT-Systeme mit welchen OT-Systemen kommunizieren dürfen, sondern auch welche Protokolle sie dafür verwenden dürfen. Wenn ein IT-System also beispielsweise ausschließlich über eine HTTPS-Verbindung mit einem OT-System kommunizieren soll ist es sinnvoll, die Kommunikation auf genau dieses Protokoll einzugrenzen. Damit sind dann Angriffe, die z.B. auf dem SMB-Protokoll basieren, nicht mehr möglich. Genauso kann es gegebenenfalls sinnvoll sein, die Kommunikationsrichtung einzuschränken, wenn ein OT-System immer nur Daten an ein IT-System sendet, z.B. für Dokumentationszwecke. Zugriffe aus der Ferne gilt es natürlich ebenfalls abzusichern. Der bloße Schutz durch die Kombination aus Passwort und Benutzername genügt hier keineswegs. Verschlüsselte Verbindungen, z.B. per VPN (Virtual Private Network), sind hier eine bessere Wahl. Diese Überlegungen zeigen bereits, dass es keine universelle Sicherheitslösung gibt, die für alle Betriebe passt, sondern dass die entsprechenden Maßnahmen immer auf die betrieblichen Erfordernisse abzustimmen sind. Nur so ist ein sinnvoller Schutz gewährleistet. Darauf hat sich mdex spezialisiert und bietet alles für eine sichere, verschlüsselte Datenanbindung für Maschinen und Anlagen. Dazu gehört auch die sogenannte Anomalie-Erkennung, die heute zunehmend wichtiger wird. Das Erkennen von Angriffen auf ein System wird immer schwieriger, vor allem angesichts der immer komplexer werdenden Attacken. Deshalb gilt es auch, bereits erfolgreich durchgeführte Angriffe zu erkennen und wirksame Gegenmaßnahmen zu ergreifen.
