TÜV Süd - Potenzielle Angreifer sind überall

Infrastrukturen und Produktionsstätten werden gezielt ausgeforscht

| Autor / Redakteur: Thomas Drilling / Nico Litzel

Infrastrukturen und Produktionsstätten in Deutschland werden gezielt ausgeforscht
Infrastrukturen und Produktionsstätten in Deutschland werden gezielt ausgeforscht (Bild: TÜV Süd)

Mit seinem Honeynet-Projekt, einer Kombination realer Hardware und Software mit einer simulierten Umgebung eines kleineren Wasserwerks, will TÜV Süd den Nachweis erbracht haben, dass Infrastrukturen und Produktionsstätten in Deutschland gezielt ausgeforscht werden.

Die Industrie 4.0 stellt Unternehmen vor die Herausforderung, ihre Sicherheitsvorkehrungen grundsätzlich zu überdenken. Die zunehmende Digitalisierung und Vernetzung macht Infrastrukturen und Produktionsstätten anfälliger und schafft neue Einfallstore für einen möglichen Missbrauch, von der Spionage bis zur Sabotage.

TÜV Süd hat mit einem High-Interaction-Honeynet nach eigener Aussage wertvolle Erkenntnisse gewonnen, von denen Unternehmen aus unterschiedlichsten Branchen profitieren können. So konnte TÜV Süd im Rahmen der achtmonatigen Laufzeit seines Honeynet-Projekts mehr als 60.000 Zugriffe auf die virtuelle Infrastruktur verzeichnen. Die Zugriffe erfolgten von Servern aus der ganzen Welt und teilweise unter verschleierten IP-Adressen. Damit will TÜV Süd den Nachweis erbracht haben, dass Infrastrukturen und Produktionsstätten gezielt ausgeforscht werden.

Angelockt

Für das aktuelle Honeynet-Projekt hatte TÜV Süd ein Wasserwerk in einer deutschen Kleinstadt simuliert. Den praxisnahen Aufbau des Systems und die Sicherheitsvorkehrungen haben die TÜV Süd-Experten zusammen mit Vertretern der Versorgungswirtschaft entwickelt und umgesetzt.

Dr. Armin Pfoh, Vice President im Bereich Strategie & Innovation von TÜV Süd erklärt dazu: „Ein Honeynet ist ein System, das Angreifer anlocken und die Analyse der Zugriffs- und Angriffsaktionen ermöglichen soll. Dazu haben wir ein sogenanntes High-Interaction-Honeynet eingerichtet, das reale Hardware und Software mit einer simulierten Umgebung kombinierte. Die Sicherheitsvorkehrungen entsprachen dem industrieüblichen Niveau.“

Der Aufbau das Honeynet-Projektes von TÜV Süd
Der Aufbau das Honeynet-Projektes von TÜV Süd (Bild: TÜV Süd)

Ausgeforscht

Laut Dr. Thomas Störtkuhl, Senior Security Experte und Teamleiter Industrial IT Security bei TÜV Süd war das Honeynet insgesamt acht Monate im Netz. Der erste Zugriff erfolgte fast zeitgleich mit dem „Scharfschalten“. Während der Laufzeit verzeichneten die TÜV SÜD-Experten über 60.000 Zugriffe aus mehr als 150 Ländern. Dabei handelte es sich sowohl um weltweite Denial-of-Service-Attacken, aber auch um gezielte Angriffsversuche über unterschiedliche Industrieprotokolle.

Die Top-3-Zugriffsländer nach IP-Adresse waren China, die USA und Südkorea, wobei die IP-Adressen allerdings laut Störtkuhl keine belastungsfähige Aussage über den tatsächlichen Standort des Zugreifenden ermöglichen, zumal die Zugriffe zum Teil über verdeckte bzw. verschleierte IP-Adressen erfolgten.

Interessant sei nach Ansicht von Störtkuhl auch die Erkenntnis, dass die Zugriffe nicht nur über Standardprotokolle der Büro-IT, sondern auch über Industrieprotokolle wie Modbus TCP oder S7Comm erfolgten. Demnach waren die Zugriffe über Industrieprotokolle zwar deutlich seltener, kamen aber ebenfalls aus der ganzen Welt. Damit ist für den Sicherheitsexperten Störtkuhl klar, dass Lücken in der Sicherheitsarchitektur von Steuerungsanlagen entdeckt werden und dass die Systeme für einen möglichen Angriff anfällig seien. Dies könne entweder ein genereller Angriff auf bestimmte Strukturen und Devices oder ein gezielter Angriff auf ein ausgewähltes System sein. Laut Störtkuhl habe man damit zweifelsfrei nachgewiesen, dass selbst eine relativ unbedeutende Infrastruktur im Netz wahrgenommen und ausgeforscht werde.

Warnsignal für Unternehmen

Die Ergebnisse des Honeynet-Projekts seien nach Ansucht von Störtkuhl ein deutliches Warnsignal nicht nur für die Betreiber von Infrastrukturen, sondern auch für produzierende Unternehmen. Auch kleine oder unbekannte Firmen würden entdeckt oder wahrgenommen, weil ständig Ausspäh-Aktionen im Internet liefen, so Dr. Thomas Störtkuhl. Damit könnten diese Firmen zu Opfern einer Angriffswelle werden, auch wenn sie nicht gezielt ausgesucht wurden. Geraten Unternehmen durch Ausspäh-Aktionen erst einmal auf den Monitor von potenziellen Angreifern, so der Sicherheitsexperte, werde dadurch auch ein gezielter Angriff zu einem späteren Zeitpunkt erleichtert.

Monitoring ist Basis für die Entwicklung von Schutzmaßnahmen

Die wichtigste Erkenntnis aus dem Honeynet-Projekt von TÜV Süd: ohne das Anpassen ihrer Sicherheitsvorkehrungen fahren Unternehmen und Betreiber von Infrastrukturen ein hohes Risiko. Um die Gefährdungslage realistisch einschätzen und wirkungsvolle Schutzmaßnahmen entwickeln können, müssen Unternehmens daher gezielt auf Überwachungssoftware setzen. Nach den Erfahrungen aus dem Honeynet-Projekt müsste das Monitoring zwingend auch Industrieprotokolle erfassen, weil potenzielle Angreifer diese Protokolle kennen und nutzen.

Kommentar zu diesem Artikel abgeben

Schreiben Sie uns hier Ihre Meinung ...
(nicht registrierter User)

Kommentar abschicken

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 43535307 / Industrie 4.0)