CISA-Empfehlungen zur OT-Absicherung Fünf Angriffsmethoden auf OT- und ICS-Systeme

Am 22. September 2022 hat die US-amerikanische Cybersicherheitsagentur CISA in ihrem „Alert (AA22-265A)“ einige grundlegende Hinweise veröffentlicht, die die Grundlage für den Schutz von OT/ICS-Systemen und -Komponenten bilden sollten. Der folgende Beitrag analysiert die dort dargestellten Angriffsmethoden und Empfehlungen zur Absicherung von OT- und ICS-Systeme und führt diese aus.

Zunächst stellte die Cybersecurity and Infrastructure Security Agency (CISA) im „Alert (AA22-265A)“ fest, dass OT-Komponenten zunehmend mit der Informationstechnologie (IT) und dem Internet verbunden sind. Der Missbrauch der IT dient darüber hinaus als Dreh- und Angelpunkt für die Kompromittierung der OT und hat teils zerstörerische Auswirkungen. Viele installierte und genutzte OT-Anlagen und Steuerungssysteme sind überaltert und werden ohne ausreichenden Support betrieben. Für den Missbrauch von IT- und OT-Systemen steht eine Vielzahl von Malware zur Verfügung. Infolgedessen ist eine Risikoanalyse von domänenübergreifenden Verbindungen (z. B. IT-OT, Internet-zu-OT) und für alle derzeit angeschlossenen OT-Anlagen empfohlen.

Ohne direkte Maßnahmen zur Härtung von OT-Netzwerken und -Steuerungssystemen gegen das Eindringen von Angreifern, sind Eigentümer und Betreiber von OT-Systemen Cyberrisiken ausgesetzt. Aus Sicht der CISA gibt es beim Angriff auf ICS- oder OT-Systeme die folgenden fünf beachtenswerten Methoden:

Methode 1: APT-Akteure oder staatlich geförderte Akteure versuchen Chaos zu stiften. Zu diesem Zweck nehmen sie kritische Anlagen innerhalb kritischer Infrastrukturen ins Visier, z. B. Kontrolleure in Seehäfen, Energieerzeugungs- und -verteilungspunkte sowie gut sichtbare Ziele, bei denen eine Störung Schaden anrichten, Misstrauen hervorrufen oder psychologische oder soziale Auswirkungen auf eine Gemeinschaft haben kann. Umgekehrt sind Cyberkriminelle auf der Suche nach einer Belohnung und finden gerne hochwertige Ziele innerhalb einer Organisation, um deren Besitzer zu erpressen. In der Vergangenheit mag es eine große Kluft gegeben haben, aber die Fähigkeiten, der Rückhalt und die Ausbildung zwischen den beiden Gruppen werden immer geringer.

Empfehlungen: Unternehmen sollten ihre kritische „Attack Surface“ definieren. Nicht alle Systeme und Komponenten sind gleich. Die kritischsten Oberflächen müssen identifiziert und im Laufe der Zeit um zusätzliche gefährdete Oberflächen erweitert werden. In der Betriebsorganisation kann dies eine Reihe von Windows-Rechnern sein, die den Fernzugriff auf ein SPS-Segment ermöglichen, in dem laterale Verbindungen zu Drittanbietern für Wartung und Support hergestellt werden. Innerhalb der IT kann es sich um Nord-Süd-Assets handeln, die ein Pivoting von der IT in die OT ermöglichen, insbesondere wenn IT-Verbindungen zum Internet vorhanden sind.

Kritische Prozessgeräte und ihre Abhängigkeiten sollten in Grenzen gruppiert werden, indem Sie die Funktionen von „Sites“ und „Boundaries“ nutzen. IT-Sicherheitsverantwortliche sollten mithilfe der Funktionen „Verbindungen“ und „IP-Verbindungen“ alle Verbindungen in und aus diesen Schutzbereichsgrenzen identifizieren und verfolgen, um sowohl autorisierte als auch nicht autorisierte Verbindungen und deren Benutzer zu identifizieren. Sie sollten unautorisierte oder nicht benötigte Verbindungen blockieren und den Wert, das Risiko und die potenziellen Kosten dieser grenzüberschreitenden Verbindungen bewerten.

Methode 2: Sammlung von Informationen über das Zielsystem: Es ist allgemein bekannt, dass Informationen über OT-Systeme und IT-Technologien im Internet auffindbar sind. Öffentlich zugängliche Dokumentationen zu IT- und OT-Systemen und -Komponenten lassen sich einfach auffinden, darunter auch die Standard-Administrator-Anmeldedaten.

Empfehlungen: Standard-Administrator-Anmeldeinformationen sollten nicht auf einer Anlage verbleiben, sondern sichere Passwörter verwendet werden und diese sollten außerdem ständig ausgetauscht werden. Risikofaktoren wie Warnhinweise, Zertifikatsstatus, abgelaufene Kennwörter, ungültige Anmeldedaten, Standard-Anmeldedaten, abgefangene Kennwörter und Klartext-Anmeldedaten sollten ständig überprüft werden. IT-Sicherheitsverantwortliche sollten auch auf laterale (Ost-West-)Bewegungen und Insider-Bedrohungen achten. Sie können nach nicht autorisierter Erkennungssoftware wie Nmap oder anderen nicht zugelassenen Anwendungen suchen. Ebenfalls zu empfehlen ist die Suche nach Schwachstellen mit aktiven Exploits, die bereits bei anderen Unternehmen aufgetaucht sind. Darüber hinaus sollten alle Systeme auf den aktuellen Stand gebracht und bekanntgewordene Schwachstellen gepatcht werden. An vielen Anlagen ist das aus verschiedenen Gründen nicht möglich, deshalb empfiehlt es sich Aktivitäten auf den Systemen mindestens zu monitoren.

Methode 3: Entwicklung von Techniken und Tools: Angreifer können recht einfallsreich sein, vor allem mit leicht verfügbaren Tools im Dark Web. Die Annahme, Geräte seien sicher, weil sie mit proprietären Protokollen arbeiten, ist ein Nullsummenspiel. Tools zur Ausnutzung von IT- und OT-Systemen sind leicht verfügbar. APT-Akteure haben auch Tools entwickelt, um bestimmte Schneider Electric PLCs, OMRON Sysmac NEX PLCs und Open Platform Communications Unified Architecture (OPC UA)-Server zu scannen, zu kompromittieren und zu kontrollieren.

Empfehlungen: Unternehmen müssen sich der Gewissheit stellen, dass eigenständige, isolierte Netze selten sind, „Security by Obscurity“ sollte nicht vorausgesetzt werden. Die Anwendungsnutzung und der ICS-Verkehr sollten genutzt werden, um den Zugriff autorisierter Benutzer und Verhaltensanomalien zu erfassen. IT-Sicherheitsverantwortliche sollten nach gängigen Mapping-Tools wie Nmap, SolarWinds und Spiceworks suchen. Es sollte eine Richtlinie erstellt werden, die vor der Einführung dieser gängigen Netzwerk-Mapping-Tools in die Umgebung bzw. vor ihrer Verwendung warnt.

Methode 4: Initialen Zugriff erhalten: Die meisten modernen Steuerungssysteme verfügen über Fernzugriffsfunktionen, die es Drittanbietern und Integratoren ermöglichen, auf die Systeme zuzugreifen. Oftmals sind diese Zugangspunkte zum Netzwerk Angriffsvektoren für Cyberkriminelle. Drahtlose Zugangspunkte sind ein weiterer möglicher Einfallspunkt für Angreifer.

Empfehlungen: Alle Zugriffe Dritter sollten überprüft werden. Darüber hinaus sollte eine Netzwerksegmentierung die wichtigsten Geräte und Anlagen herausgefiltert haben. Sie sollten für Dritte nicht erreichbar sein. VLAN-Technologien bieten Vorteile, indem sie Geräte, die in das Netzwerk eingeführt werden, vor der Einführung in das Produktionsnetzwerk in einem sicheren Bereich unterbringen und überprüfen. Hier empfiehlt sich nach Geräten mit mehreren NICs zu suchen, die an verschiedene Netzwerke angeschlossen sind und Brücken von A nach B bilden. IT-Sicherheitsteams sollten wiederum nach gängigen Mapping-Tools wie Nmap, SolarWinds und Spiceworks Ausschau halten. Sie sollten eine Richtlinie erstellen, die bei der Einführung dieser gängigen Netzwerk-Mapping-Tools in die Umgebung oder bei ihrer Verwendung warnt. Sie sollten eine Richtlinie erstellen, die eine Warnung ausgibt, wenn sich neue Geräte mit einem kabelgebundenen oder drahtlosen Netzwerk verbinden. Darüber hinaus empfiehlt es sich weitere Richtlinien zu erstellen, die vor bösartigen IPs und Domänen einschließlich Shodan und vor allem aber vor Portscans warnen.

Methode 5: Die Störung, Deaktivierung oder Verschlüsselung des Systems, um Lösegeld zu erzielen oder aber Anlagen zu beschädigen. Dies kann die Beeinträchtigung der Überwachung eines Zielsystems (Manipulation der Ansicht [T0832]) des Betriebs des Kontrollsystems (Manipulation der Kontrolle [T0831]), die Beeinträchtigung des SCADA-Systems (Blockierung von Meldungen [T0804], Verweigerung der Ansicht [T0815]), die Verweigerung der Kontrolle (Verweigerung der Kontrolle [T0813]) oder der Diebstahl von Betriebsinformationen (Diebstahl von Betriebsinformationen [T0882]) umfassen.

Empfehlungen: Industrielle Steuerungsbefehle und anomale Verhaltensweisen sollten kontrolliert werden. Vor allem müssen die Befehle und Zugriffe kontrolliert werden, die von unbefugten Maschinen und unbefugten Benutzern ausgehen. Befehle außerhalb der Änderungskontrolle und mehrfache Zurücksetzungen, Fehler und Modus-Änderungen in kritischen Infrastrukturen sind ebenfalls zu monitoren. In Asset Management-Systemen wie Armis lassen sich diese Aktivitäten und Aktivitätstypen wie eingeschränkte Verbindungen, Anwendungsnutzung, Anmeldeinformationen, SPS-Bearbeitungen, Modbus-Verbindungen sowie Aktivitäten und Befehle des Industrieprotokolls monitoren. Darüber hinaus lohnt sich ein Blick in die MITRE ATT&CK ICS-Framework Policy Library.

Fazit

Systemeigentümer und -betreiber können nicht verhindern, dass ein böswilliger Akteur die Systeme ins Visier nimmt. Es ist nur eine Frage der Zeit, wann ein Angreifer, ganz gleich mit welcher Absicht auf die Systeme aufmerksam wird und sie versucht zu übernehmen. Die Akzeptanz, dass etwas dagegen getan werden muss, ist das A und O der Verteidigung. Aus der Erfahrung lässt sich inzwischen gut ableiten, wie die Angreifer vorgehen und daraus lassen sich Sicherheitsmaßnahmen zum präventiven Schutz der OT-Systeme ableiten. Alles beginnt mit der Identifizierung des ursprünglich kompromittierten Systems und aller seiner Unterkomponenten innerhalb einer Schutzfläche.

Über den Autor: Keith Walsh ist OT Security & Operations Director bei Armis.

(ID:48670587)