Risiken in der intelligenten Fertigung Angriffe auf die Industrie 4.0

Anbieter zum Thema

Disy Informationssysteme GmbH

Sinequa

Insider Research

TREND MICRO Deutschland GmbH

Die Intelligente Fertigung steht für die Zusammenführung von Automatisierung und Informationstechnologie (IT) in der Industrie 4.0. Der Gedanke, dass industrielle Systeme wahrscheinlich Ziel von Cyberangriffen sein werden, ist nicht neu. Es ist dabei jedoch wichtig, die technischen Aspekte zu verstehen, die die Voraussetzungen für ein erhöhtes Risiko schaffen.

Wir sind an einem Punkt angelangt, an dem die Herstellung eines Produkts vollständig automatisiert ist, sodass nur noch wenig oder gar kein menschliches Eingreifen mehr erforderlich ist. Basierend auf dem Forschungsbericht „Attacks on Smart Manufacturing Systems – A Forward-Looking Security Analysis“ von Trend Micro Research beleuchtet dieser Beitrag die Technologien, die ein intelligentes Fertigungssystem antreiben, sowie die nötigen Sicherheitsmaßnahmen.

Security-Insider Podcast – Folge 19

Vorschau auf die Black Hat USA 2020

Die Maschinen hinter dem Prozess

In einem intelligenten Fertigungssystem gibt es drei bedeutende Verantwortungsbereiche mit entsprechenden Rollen: den Systemoperator, den MES-Operator und den Maschineningenieur. Die Rolle des Systemoperators besteht darin die Produktion zu überwachen, Warnmeldungen zu überprüfen und bei Bedarf die fertigen Waren zu entladen. Der Zuständigkeitsbereich des MES-Operators bezieht sich dabei auf den Entwurf der Arbeitsvorlagen. Die Aufgabe des Maschineningenieurs besteht darin, die Low-Level-Logik zu entwerfen und in spezifischen Maschinen zu integrieren, wodurch die High-Level-Befehle in Aktor-Anweisungen übersetzt werden.

Der Produktionsprozess wird durch das Produktionsleitsystem (Manufacturing Execution System, MES) koordiniert, bei dem es sich um eine komplexe Logikschicht auf einer Datenbank handelt. Das MES fungiert dabei als Schnittstelle zwischen dem Enterprise-Resource-Planning-System (ERP- System) und der eigentlichen physischen Anlage. Durch die variable Einsetzbarkeit des MES wird das Schreiben von „Konzepten“, die die Produktionsschritte spezifizieren, ermöglicht. Während der Ausführung erhält das MES Rückmeldungen von den Stationen, stellt sicher, dass die Reihenfolge der Anweisungen im Arbeitsauftrag eingehalten wird und ergreift bei Bedarf Korrekturmaßnahmen.

Sicherheitsanalyse

Was würde passieren, wenn beispielsweise ein Angreifer in der Lage wäre, sich als legitimer Netzwerkverkehr oder normale Host-Aktivität auszugeben? Was würde ein solcher Angreifer tun, um beständig Zu bleiben? Gibt es Angriffsmöglichkeiten, die derzeit übersehen werden und vielleicht außerhalb des Netzwerkperimeters liegen? Unternehmen sollten in der Lage sein, Antworten auf diese Fragen zu finden, um ihre Industrie-4.0-Systeme vor Angriffen zu bewahren. In einem Beispiel wird gezeigt welche Angriffsmöglichkeiten sich durch die vielen Daten- und Software-Abhängigkeiten ergeben.

In einem intelligenten Fertigungssystem sind herkömmliche Angriffe als unerwartete Muster im Netzwerk oder in der Host-Aktivität sichtbar und können mit aktuellen Gegenmaßnahmen, wie Netzwerk- und Endpunktschutzlösungen, erkannt und blockiert werden.

Folgende Abbildung visualisiert die vielen Abhängigkeiten im Software- und Daten-Umfeld, die sich in einem intelligenten Fertigungssystem befinden. Die in der Entwicklungsphase abgebildeten Software-Add-Ins und digitalen Zwillinge sowie die anderen Komponenten wie HMI, MES und SPS sorgen für die Funktionalität der Automatisierungslogik. Die Übersetzungen der Daten werden in das ERP-System oder eine andere Datenbank geschrieben und bestimmen die vom MES geplanten Aktionen, bevor es zur Definition, der von der SPS ausgeführten Automatisierungsroutinen kommt. Im unteren linken Teil der Abbildung sind die indirekten Auswirkungen der Software-Lieferkette in den endgültigen Automatisierungsaktionen zu sehen.

Die nächste Abbildung veranschaulicht die Angriffsmöglichkeiten in den Daten- und Software-Abhängigkeiten. Ein Angriff, der sowohl durch die Kompromittierung über ein bösartiges industrielles Add-In als auch mittels der „Trojanisierung“ eines kundenspezifischen IIoT-Geräts geschieht, führt unmittelbar zur Beschädigung von Softwarekomponenten. Die meist komplexen Versorgungsketten tragen zur Entstehung von zahlreichen Schwachstellen bei. Der Angriff mit einem anfälligen mobilen HMI zeigt, wie durchgesickerte Informationen in einem mobilen HMI ausgenutzt werden können, um Zugang zu der von diesem HMI gesteuerten Maschine zu erhalten. In dem folgenden Beispiel handelt es sich dabei um einen Industrieroboter. Der Angriff mit Daten-Mangling auf das MES zeigt, wie sich jede Manipulation von Daten auf der ERP-System- oder Datenbankebene später auf die Automatisierung auswirken kann. Der Angriff mit der anfälligen oder böswilligen Automatisierungslogik in einer komplexen Fertigungsmaschine ist von Natur aus raffinierter, weil er Schwächen in der Automatisierungslogik ausnutzt.

Insbesondere fortschrittliche Angreifer bewegen sich im industriellen Umfeld, wo sie mithilfe von genügend Ressourcen und Fähigkeiten mindestens eine Maschine, die direkt oder indirekt mit dem intelligenten Fertigungssystem verbunden ist, kompromittieren können. Dabei sind sie in der Lage Fehlfunktionen zu verursachen, die Anlagen zu beschädigen oder den Arbeitsablauf so zu verändern, dass fehlerhafte Produkte hergestellt werden.

Schutz vor Cyberangriffen

Zur Unterstützung relevanter Operational Technology (OT)-Protokolle und zur Erkennung von anomalen Nutzlasten („Telegrammen“), ist es von Vorteil eine Deep Packet Inspection auf der Netzwerkebene zu implementieren. Nicht nur sollten bei Endpunkten regelmäßige Integritätsprüfungen durchgeführt werden, um über geänderte Softwarekomponenten benachrichtigt zu werden, es ist ebenso wichtig, dass IIoT-Geräte einer zusätzlichen Code-Signierung unterzogen werden.

Ein weiteres wichtiges Element einer Sicherheitsstrategie ist das Miteinbeziehen der Automatisierungssoftware in die Risikoanalyse. Während sich die Risikobetrachtung im Industriebereich in der Vergangenheit vor allem auf die Safety (funktionale Sicherheit) und einzelne Sicherheitsmechanismen zu ihrer Sicherstellung konzentriert hat, muss heute auch die Software mit analysiert werden. So wird beispielsweise bei Kollaborativen Robotern die Safety durch Software (auf Firmware-Ebene) implementiert, was deren Bedeutung für die Risikoanalyse deutlich vergrößert.

Als grundsätzliche Formel gilt daher „über den Tellerrand hinauszudenken“. Grundlegende und unkonventionelle Angriffsvektoren setzen eine ebenso unkonventionelle Auseinandersetzung mit geeigneten Sicherheitsmaßnahmen und angemessenen Reaktionen voraus.

Zudem bietet TXOne, ein Joint-Venture zwischen Moxa und Trend Micro, Kunden einen einfachen, aber dennoch wirkungsvollen Schutz cyberphysikalischer Systeme. TXOne spezialisiert sich dabei auf den Schutz von Netzwerk-basierten Industriekomponenten sowie auf die Sicherung von PCs im Produktionsumfeld. Die Absicherung des Netzwerkes ist vor allem im Produktionsumfeld von massiver Bedeutung, da diese Netzwerke oftmals ohne jegliche Segmentierung sind. Dadurch, dass die verbauten Komponenten unverschlüsselt kommunizieren, kann ein Angriff das gesamte Netzwerk lahmlegen und die Produktion beeinträchtigen. Mit EdgeIPS und EdgeFire ermöglicht TXOne es Kunden, kritische Systeme in individuellen Segmenten laufen zu lassen, so dass sich ein Angriff in dem jeweiligen Segment eindämmt. Abhängig von der Netzwerkinfrastruktur haben Kunden die Wahl zwischen EdgeIPS zur transparenten Absicherung eines Segments oder EdgeFire zur Absicherung mehrerer Segmente.

Ebenfalls für den Schutz im industriellen Umfeld optimiert sind Portable Security und SafeLock. Portable Security, im Formfaktor ähnlich einem USB-Speicherstick, bietet die Möglichkeit, beliebige Systeme auf Malware-Befall zu überprüfen und bei Gelegenheit auch zu bereinigen. Am System selbst müssen keine Software-Installationen vorgenommen werden. Windows-Systeme können sogar direkt vom Stick aus ohne Shutdown geprüft und bereinigt werden. Im Vergleich zu normalen Speichersticks ist der Portable Security nicht beschreibbar und kann demnach nicht zur Verbreitung von Malware verwendet werden.

SafeLock ist eine Application Safelisting/Lockdown-Lösung. Nach abgeschlossener Konfiguration verhindert SafeLock die Ausführung unbekannter Programme. Somit stellt es einen wirkungsvollen Schutz gegen Schadsoftware bei gleichzeitig deutlich geringerer Systembelastung als ein normaler Virenscanner/Endpunktschutz.

Über den Autror: Udo Schneider ist IoT Security Evangelist Europe bei Trend Micro.

(ID:47023335)