Prosoft bietet intelligente Hard- und Software für OT-Netzwerke

Elektrische Angriffe

Der fehlende Überspannungsschutz führt zu weiterem Misstrauen gegenüber USB-Schnittstellen, da diese einfach alles, was angeschlossen wird, mit Strom versorgen. Dieses Verhalten hat den sogenannten USB-Killer erst möglich gemacht. Das Gerät verwendet die von der Schnittstelle bereitgestellte Energie zum Aufladen und entlässt dann die kumulierte elektrische Last über den USB-Port zurück in den Host. Dies verursacht eine Überspannung und häufig einen vollständigen elektrischen Ausfall des Host-Rechners. Der USB-Killer ist vergleichbar mit einem Schraubenschlüssel, der in eine sich bewegende Maschine geworfen wird. Er verwendet jedoch den USB-Anschluss und hinterlässt dabei weniger Spuren. Das Endergebnis ist ein defekter Roboter ohne wirklich erkennbare Ursache.

USB Jumping Malware

Wie kann man ein Offline-Netzwerk böswillig beeinflussen? Für die noch unbekannten Entwickler der Malware Stuxnet war die Antwort einfach: Infiziere so viele USB-Laufwerke wie möglich, und irgendwann findet die Malware ihr industrielles Zielsystem, ganz gleich, ob dafür zehn oder tausend Anläufe benötigt werden. Stuxnet wartete geduldig, bis eines Tages ein passendes Ziel erreicht wurde: Der Arbeitsplatz-PC eines Ingenieurs mit Zugriff auf die SPS-Geräte in der iranischen Uran-Anreicherungsanlage Natanz. Bei dem Angriff wurden schätzungsweise 1.000 Zentrifugen zerstört. Der Stuxnet-Angriff und die dazu verwendete Technologie brachten weitere ICS-spezifische Bedrohungen hervor, z. B. Trisis. Trisis, manchmal auch als Triton oder Hatman bezeichnet, ist in der Lage, eine Fehlfunktion im Triconex Safety Instrumented System (SIS), einer häufig eingesetzten Logiksteuerung von Schneider Electric, zu erzwingen. Diese Steuerungen werden in erster Linie zur Verwaltung der Anlagen in Kernkraft-, Öl- und Gasproduktionswerken sowie Papierfabriken eingesetzt. Diese Angriffe können außergewöhnliche Folgen haben, wie 2019 im Technology Review des MIT berichtet wurde: „Die Schadsoftware kann Sicherheitssysteme, die entwickelt wurden, um katastrophale Industrieunfälle zu verhindern, außer Kraft setzen. Sie wurde im Nahen Osten entdeckt, doch die Hacker, die dafür verantwortlich sind, haben es jetzt auch auf Unternehmen in Nordamerika und anderen Teilen der Welt abgesehen.“ Dies veranlasste MIT Technology Review, sie als „die mörderischste Malware der Welt“ zu bezeichnen. Der Grund dafür ist ein aufsehenerregender Angriff, den TechCrunch als Versuch, „eine saudische petrochemische Fabrik in die Luft zu sprengen“, zusammenfasste.

Die allgemein gültige PLC/SPS-Schwäche, die bei diesen Angriffen ausgenutzt wird, ist die fehlende Verifizierung auf der Basis von kryptografischen Signaturen, da die Geräte mehr oder weniger das verarbeiten, was ihnen angeliefert wird − vorausgesetzt, das Format ist korrekt. In diesem Zusammenhang sollte ebenfalls beachtet werden, dass alle normalen Desktop-Computer in OT-Netzwerken natürlich mit Standard-Malware-Angriffen infiziert werden können. Ein Beispiel ist die Anfang 2020 entdeckte Ransomware Spora, die sich über generische USB-Laufwerke ausbreiten kann.

USB-Sicherheitslösungen für industrielle Umgebungen

Der Umgang mit der Sicherheit in einer ICS-Umgebung erfordert im Allgemeinen einen mehrschichtigen Ansatz, wie er vom NIST (National Institute of Standards and Technology) im Guide to Industrial Control Systems (ICS) Security empfohlen wird. USB-Schutzmaßnahmen sind dabei nur ein Teil eines komplexen Schutzkonzeptes. Speziell für die Verwendung von USB-Laufwerken hat das ICS-CERT, das National Cybersecurity and Communications Integration Center, einen Leitfaden herausgegeben, der Benutzern empfiehlt, strenge Richtlinien für Unternehmens- und ICS-Netzwerke zu erstellen. Wie diese Richtlinien gestaltet werden, hängt von der jeweiligen Organisation ab.

Das physische Layout von Anlagen und OT-Netzwerken kann sich stark unterscheiden: Von der einzelnen Industrieanlage bis hin zum weitverzweigten Netzwerk eines Stromnetzbetreibers.

Nachstehend ist ein genereller Lösungsvorschlag zu finden, der die erforderlichen Kriterien erfüllt:

Standardisierte USB-Geräte im OT-Netzwerk

Es sollten physische Sicherheitskontrollen vorhanden sein, um zu gewährleisten, dass nur ausgewählte, vertrauenswürdige, verwaltete und sichere USB-Geräte zur Verwendung im OT-Netzwerk zugelassen werden. Dadurch wird die Bedrohung durch bösartige Hardware-Angriffe und vor allem ein elektrischer Angriff ausgeschlossen. Einige OT-Netzwerke sind in Bezug darauf, welche Geräte physischen Zugang haben dürfen, schwieriger zu kontrollieren, sodass diese Vorgehensweise oft unterstützende Maßnahmen benötigt, um wirksam zu sein.

USB-Sticks mit alphanumerischem Tastaturfeld

Ein Beispiel, um OT-Netzwerke besser abzusichern, sind USB-Sticks mit alphanumerischem Tastaturfeld. Denn diese Tastaturgeräte können vollständig verwaltet und auch überwacht werden. Werden diese Geräte an Client PCs angeschlossen, können diese jedoch auch als Wechselmedium mit kontrollierter, eigenständiger Authentifizierung eingesetzt werden. Die Fähigkeit zum eigenständigen Entsperren ist entscheidend, damit SPS- und IoT-Geräte Daten lesen und schreiben können. Die Geräte bieten auch die Möglichkeit, die Medien mithilfe einer kryptografischen Löschung zu bereinigen. Dies ist entscheidend, um die Anforderungen unterschiedlicher Netzwerke zu erfüllen. Eine kryptografische Löschung kann auch Teil einer gesetzlichen Anforderung sein, um sicherzustellen, dass vertrauliche Daten nach Abschluss eines Projektes zerstört werden.

Einrichtung von Bereichs-Schutzgrenzen

Eine weitere Schutzmaßnahme sind Kiosksysteme bzw. Wechseldatenträgerschleusen. Der Zweck dieser, auch White Stations genannten Systeme besteht darin, eine Zugangskontrolle zwischen dem IT- und dem OT-Netzwerk zu implementieren. Dadurch wird für alle Daten, die in das OT-Netzwerk eingebracht werden, ein bestimmtes Sicherheitsniveau erreicht. Die White Station soll so konzipiert sein, dass sie der Wächter und das einzige Gerät ist, das den Bedrohungen von außen begegnet. Es gibt eine Vielzahl von Möglichkeiten, einen Desktop-Computer als White Station einzurichten. Im Allgemeinen sollte das Gerät über eine aktuelle Anti-Malware-Engine und einen regelmäßigen Wartungsplan für Betriebssystem-Updates verfügen. Die Standardhardware kann beispielsweise auch durch einen ESD (Electrostatic Discharge) geschützten USB-Hub ergänzt werden, der eine Überspannung ausschließt. Es wird außerdem empfohlen, nur eine HID-Tastatur zuzulassen, um die meisten BadUSB-Gefahren umgehend zu eliminieren.

Optionale Dateityp-Beschränkungen

Durch die Kombination unterschiedlicher Technologien ist es je nach Richtlinie möglich, eine oder mehrere White Stations einzurichten. Der USB-Stick kann so konfiguriert werden, dass ein integrierter Malware-Schutz sicherstellt, dass über USB eingebrachte Malware sofort gestoppt wird. Bei der Verwaltung des Sticks ist es auch möglich, mithilfe einer Dateibeschränkungsrichtlinie vorzugeben, welche Dateitypen für das OT-Netzwerk zugelassen werden. Kombiniert man das Gerät bei der Installation mit einer USB-Port-Kontrollsoftware auf einem Desktop, kann ein weiterer Schutz erreicht werden. Die Software kann dann so konfiguriert werden, dass ausschließlich Lesevorgänge von Geräten an der White Station zugelassen werden.

Kontrolle der USB-Ports zu jeder Zeit

Nach Möglichkeit sollte zudem der Zugang zu USB-Anschlüssen an SPS- und Computergeräten durch abschließbare Schränke oder physische USB-Schlösser, wenn diese nicht mit einer USB-Port-Kontrollsoftware ausgestattet werden können, beschränkt werden. Für jedes Standardbetriebssystem sollte eine Port-Kontrollsoftware installiert werden. Die Logik hinter diesem Schutz vor Bedrohungen ist ganz einfach: Durch die Beschränkung des Zugangs zum USB-Port wird die Bedrohung durch nicht zugelassene USB-Geräte ausgeschlossen. Die USB-Port-Kontrollsoftware sollte auf allen kompatiblen Computern im OT- und IT-Netzwerk installiert werden, um sicherzustellen, dass nur die autorisierten Geräte als USB-Massenspeicher verwendet werden können.

Datenbereinigung von Speichergeräten

Eine weitere sinnvolle Maßnahme, um die Verbreitung von Schadsoftware zu verhindern, besteht darin, die verwendeten Speichermedien regelmäßig zu bereinigen. Dies gewährleistet saubere Kontrollpunkte im Betrieb und kann auch Teil der Einhaltung von Vorschriften sein, um nachzuweisen, dass sensible Daten niemals unbegrenzt auf Wechselmedien gespeichert werden können. Normale USB-Laufwerke können auch als Datenhortungsgeräte bezeichnet werden, da sie so konstruiert sind, dass sie eine maximale Lebensdauer des Geräts gewährleisten. Das bedeutet, dass die Datensektoren nur dann überschrieben werden, wenn es absolut notwendig ist und unabhängig davon, ob die Dateizuordnungstabelle (FAT) ein sauberes Gerät anzeigt. Bei einem regulären USB-Laufwerk wiegt sich der Anwender in Sicherheit, doch die Daten können von jedermann einfach wiederhergestellt werden.

Hardware-verschlüsselte Laufwerke lösen das komplizierte Bereinigungsproblem, indem sie eine Methode namens ‚Kryptografische Löschung‘ verwenden. Kurz gesagt handelt es sich dabei um die Zerstörung des bisherigen sowie die Generierung eines neuen AES-Schlüssels. Dieser Prozess stellt sicher, dass die Medien sauber sind und den NIST 800-88-Richtlinien für die Medienbereinigung (Media Sanitization) entsprechen. Die meisten Länder haben ähnliche Standards wie das NIST, da eine vollständige kryptografische Löschung die schnellste und effektivste Löschung darstellt.

Anti-Malware und Datenauthentizität

Die White Stations und alle kompatiblen Endpunkte im OT-Netz sollten mit mindestens einer Malware-Schutzschicht ausgestattet sein, um insbesondere die Malware zu bekämpfen, die sich über USB ausbreitet. Darüber hinaus sollten alle Daten, die für SPSen/PLCs oder Maschinen bestimmt sind und die selbst nicht in der Lage sind, die Daten zu validieren, auf den White Stations vorverifiziert werden. Diese Vorverifizierung kann durch die Überprüfung der kryptografischen Signaturen oder der Hashwerte erfolgen, welche vom Softwarehersteller bereitgestellt werden. Dieser Schritt stellt sicher, dass die übertragenen Daten die exakte Kopie derjenigen Daten sind, die der Softwareentwickler ursprünglich angeliefert hatte. Empfohlen wird daher ein USB-Stick mit sowohl integriertem Malware-Schutz als auch Dateitypbeschränkungen. So ist es einem Administrator möglich, den MD5-Hashwert aller auf dem Gerät gespeicherten Daten zu überprüfen, um sicherzustellen, dass nur die korrekten Daten auf die SPS übertragen werden.

Eine sichere USB-Hardware-Lösung bietet das Unternehmen DataLocker mit dem Sentry K350, der seit November 2021 erhältlich ist. Die extrem hohen Datenübertragungsraten des Sticks werden durch die USB 3.2 Gen 1 (USB-A) Kompatibilität und die verbaute Speichertechnologie erreicht. Es handelt sich beim Sentry K350 um eine Micro-SSD im USB-Stick-Format mit Speicherkapazitäten bis 256 GB. Durch die integrierte PIN-Tastatur, die alphanumerische Passwörter und Sonderzeichen unterstützt, sowie den Akku kann das Passwort auch vorab eingegeben werden. Damit kann der DataLocker Sentry K350 im Prinzip an allen Geräten mit USB-Anschluss genutzt werden, die externe Speichergeräte zulassen. Sentry K350 kann optional mit der zentralen USB-Managementlösung SafeConsole verwaltet werden, um die erwähnten, erweiterten Leistungsmerkmale (Dateitypbeschränkung, Datenbereinigung, Anti-Malware-Scanner, sowie die zentrale USB-Port-Kontrolle für Windows- und Mac-Clients, u. v. m.) zu ermöglichen. (ge)