Ihre Strategie ist falsch

Transkript

1 Praxis ud Aweduge Security i Idustrial Cotrol Systems (ICS) Ihre Strategie ist falsch Prof. Dr. Hartmut Pohl, Geschäftsführeder Gesellschafter softscheck GmbH, Köl Sicherheit i Idustriesteueruge wird zuehmed bedeutsamer allerdigs werde Agriffe betrachtet ud icht die de Agriffe uverzichtbar zugrudeliegede Sicherheitslücke. Ohe Sicherheitslücke laufe alle Agriffe ämlich is Leere. Daher muss die ICS-Security Strategie laute: Sicherheitslücke idetifiziere ud behebe. Erfolgreiche Agriffe auf ICS richte sich gege: SPS (Speicherprogrammierbare Steuerug) Etheret/IP-Protokoll etrachtet ma Agriffe auf Idustrial Cotrol Systems (ICS), stehe meist die eigesetzte offesive Methode im Vordergrud. Dabei wäre es hilfreicher, die ausgeutzte Sicherheitslücke (Vulerabilities) geauer zu betrachte, de eie Vulerability ka vo eier gaze Reihe vo Agriffe ausgeutzt werde. Darüber hiaus ist gege Agriffe, die bisher uveröffetlichte Vulerabilities ausutze, kei Kraut gewachse. We ma icht weiß, wogege ma sich schütze soll, ist auch keie Abwehr möglich. Im Sie vo optimal geschützte Idustrial Cotrol Systeme, ist es also zielführeder, die Vulerabilities zu idetifiziere ud zu behebe, als die Agriffsmethode abzuwehre. Ziel der Agriffe auf ICS ist i erster Liie die Absekug der Verfügbarkeit durch die Maipulatio vo Steuerdate, es geht weiger darum, die Vertraulichkeit zu beeiträchtige, wie i der klassische Dateverarbeitug ud Bürokommuikatio. I Idustrial Cotrol Systems müsse zur Steuerug vo chemische, physikalische ud biologische Prozesse zwei Besoderheite gegeüber der klassische IT berücksichtigt werde: Die Kompoete müsse i Echtzeit miteiader kommuiziere ud es muss ei kotiuierlicher Prozessablauf garatiert werde. Tatsächlich werde bei ICS aber bisher ur die aus der klassische Dateverarbeitug bekate Bedrohuge gesehe, über die Agreifer i die ICS eidrige köe. Ei Beispiel sid Ferwartugsaschlüsse. Diese Aschlüsse a das Iteret ermögliche Dritte, beispielsweise Wartugsuterehme, de Zugriff auf die ICS-Netze. Allerdigs ist der Kreis der Berechtigte oft icht begrezt ud icht ametlich vereibart. a+s zeitschrift für automatio ud security, # 3 / 2012 SecuMedia Verlags-GmbH D Igelheim 24

2 Praxis ud Aweduge Ei ebefalls häufig azutreffeder Fehler ist die fehlede Treug der idustrielle Prozesssteuerug vo de kommerzielle ud öffetliche Webserver sowie vo de Office- ud Eterprise-Netze des Uterehmes. Naturgemäß werde selte proprietäre Software-Eigeetwickluge zur Prozesssteuerug eigesetzt, meist sid es kostegüstige kommerzielle Stadardprodukte (commercial off-the-shelf - COTS). Diese sid für jederma erhältlich oder sogar, beispielsweise als Testversio, kostelos zum Dowload verfügbar. Ugeschützte Protokolle uterstütze ei Mitlese vo (Steuer-)Nachrichte, Updates ud ei Eispiele maipulierter oder euer Steuerbefehle. Breite Auswahl a Agriffs-Tools Zu Probleme ka auch die fehlede oder uter Sicherheitsaspekte ugeügede Idetifizierug, Authetifizierug ud Berechtigugsverwaltug der Beutzer führe. I diesem Fall sid Idustrial Cotrol Systeme vo jeder Art relevater meschlicher Fehler betroffe. Das ka beispielsweise der Eisatz privater oder ubekater Dateträger, Laptops, Notebooks oder Smartphoes sei - ohe sie auf Schadcode überprüft zu habe. Diese Mägel i der Sicherheitsorgaisatio ud der Software ermögliche es Agreifer Date ud Systeme der ICS zu belausche ud zu maipuliere. Tatsächlich stehe im Iteret viele Tools zur Ausutzug besteheder Sicherheitslücke (Exploit Tools) zum etgeltfreie Dowload zur Verfügug. Agreifer köe zur Idetifizierug vo ICS darüber hiaus Suchmaschie wie SHODAN utze. Ma muss allerdigs auch erwähe, dass ICS-Betreiber derartige Tools ud Suchmaschie selbst utze köe, um Vulerabilities zu idetifiziere ud zu behebe. Grudschutz gege ICS- Agriffe Aweder folge meist der ladläufig verküdete Meiug, dass ma sich ur durch klassische Sicherheitsmaßahme schütze ka. Als solche Maßahme werde vorgeschlage: Vireerkeug Verschlüsselug Firewalls Itrusio Detectio ud Prevetio Systeme etc.

3 Praxis ud Aweduge Füf Methode gege Vulerabilities i Software ud Hardware All das ist bereits aus der klassische IT seit lagem bekat. Diese Maßahme sid icht schlecht, köe aber ur de Grudschutz leiste. Tatsächlich wird mit diese Maßahme ur a de Symptome gearbeitet, ämlich die Agriffe zu erkee. Ei erfolgreicher Agriff beötigt aber uverzichtbar eie Sicherheitslücke i der Software des ICS. Ist die Software frei vo solche Fehler oder sid alle Fehler gepatcht, muss die Attacke scheiter. Stuxet, Duqu, Flame ud ähliche aktuelle Schadsoftware stelle eie eue Geeratio vo Agriffe dar, die auf Grud vo zwei Eigeschafte weit wirksamer sid als bisherige Vire ud Würmer. Zum eie greife sie zielgerichtet ei idividuelles System, ei Uterehme, eie Produktiosabteilug oder gleichartige Systeme i verschiedee Uterehme a. Der zweite Uterschied: Sie utze bisher icht erkate Vulerabilities aus, also Zero-Day Sicherheitslücke. Es sollte erwäht werde, dass derartige icht erkebare Agriffe sehr erfolgreich vo de deutsche Sicherheitsbehörde legal zur heimliche Olie-Durchsuchug beutzt werde. alle eigesetzte Betriebssysteme ud Stadardsoftware möglich wohl aber für die Software i de Speicherprogrammierbare Systeme (SPS) ud i de SPS- Beutzerprogramme. We i diese Programme Vulerabilities idetifiziert ud durch eie Patch, eie Fix oder eie Umgehug behobe sid, gehe alle Agriffe is Leere. Weiterhi müsse aturgemäß auch die Vulerabilities i der Firmware vo Geräte idetifiziert (ud gepatcht) werde. Die Suche ach de Sicherheitslücke ist keie eifache Aufgabe, aber auch icht umöglich. Es gibt Tool-gestützte Methode, die bisher icht erkate Vulerabilities i Software ud auch Hardware erfolgreich idetifiziere. Da die Fehlerbehebugskoste im Verlauf des Software- Etwicklugsprozesses stark asteige, empfiehlt sich eie Idetifizierug vo Vulerabilities zu eiem möglichst frühe Zeitpukt spätestes aber bei Ibetriebahme eies ICS. Im ächste Teil des Artikels werde diese wirkugsvolle Methode kurz erläutert.. Es wäre ei Trugschluss zu glaube, dass der Fokus auf die - jedem erfolgreiche Agriff zugrude liegede Sicherheitslücke, das Problem ur verlagert. Vielmehr sid auf eie Sicherheitslücke sehr viele uterschiedliche Agriffe möglich. Wird eie Vulerability idetifiziert ud ausgemerzt, packt ma damit das Übel a der Wurzel. Die eizige Sicherheitsaufgabe besteht also dari, och icht erkate Vulerabilities zu idetifiziere ud zu patche. Dies ist aturgemäß icht flächedecked für a+s zeitschrift für automatio ud security, # 3 / 2012 SecuMedia Verlags-GmbH D Igelheim 26

4 Security i Idustrial Cotrol Systems (ICS) Ihre Strategie ist falsch, Teil II Prof. Dr. Hartmut Pohl, Geschäftsführeder Gesellschafter softscheck GmbH, Köl Die Strategie bei der ICS-Security muss klar darauf abziele, Sicherheitslücke zu idetifiziere ud zu behebe. De ohe Sicherheitslücke laufe alle Agriffe is Leere. Um diese Lücke zu fide, gibt es zuverlässige Methode ud Werkzeuge, vo dee eiige i diesem Artikel vorgestellt werde. ie erfolgreiche Suche ach Sicherheitslücke ist durch Tool-gestützte Methode, die bisher icht erkate Vulerabilities i Software ud Hardware idetifiziere, durchaus möglich. Im Folgede werde diese vier wirkugsvolle Methode kurz erläutert. Doch bevor es a die Aalyse geht, sollte Grudregel Nummer Eis gelte: Die beste Sicherheitslücke werde gar icht erst eigebaut. Etwickler werde dabei durch die Nutzug vo Sicherheitsmechaisme, Suite ud de geerell sorgfältige Umgag mit de Assets uterstützt. 2) Static Source Code Aalysis Aalyse des Quellcodes ohe de Code auszuführe. Es werde drei Tool-Klasse mit verschiedee Wirkugsgrade uterschiede. Nebe eifache Style Checkig Tools komme Sematic Aalysis Tools ud die Deep Flow Static Code Aalysis zum Eisatz. Zusamme köe sie auch komplexe Fehler, die etwa auf Race Coditios, Deadlocks oder falscher Poiterverwedug basiere, idetifiziere. Der Security Aalyst muss die idetifizierte Aomalie auf False Positives überprüfe ud mit False Negatives reche. False Negatives köe och mit dem Verfahre Dyamic Aalysis (Fuzzig) idetifiziert werde. 1) Architecture Aalysis Threat Modelig Etwa die Hälfte aller Software-Fehler geht auf Desigfehler zurück. Threat Modelig uterstützt als heuristisches Verfahre die methodische Sicherheitsüberprüfug eies Systemetwurfs oder eier Sicherheitsarchitektur. Dabei hilft die folgede Vorgehesweise: Idetifizierug der abzusicherde Assets Geerierug eies Architekturüberblicks Zerlegug des Desigs der Zielsoftware Idetifizierug ud Bewertug der idetifizierte Vulerabilities 3) Peetratio Testig mit Explorative ud Maual Testig Fuktiosfähige Uterehmesetzwerke köe icht zu hudert Prozet abgeschottet werde, scho allei weil der uberechtigte Zugriff auch durch Mitarbeiter möglich ist. IT-Systeme ud Netze müsse darum i regelmäßige Abstäde ahad simulierter Agriffe auf bekate ud auf ubekate Sicherheitslücke utersucht werde. Bei diese so geate Peetratio Tests werde potezielle Agriffe vo Ie- ud Außetäter (Itraet, Iteret) simuliert, um Sicherheitslücke zu idetifiziere, sowohl auf techischer, als auch auf orgaisatorischer Seite. Die Vorgehesweise ist klar festgelegt. Kude ud Peetratio-Tester defiiere Ziel-Objekte/-Systeme wie Ser- a+s zeitschrift für automatio ud security, # 4 / 2012 SecuMedia Verlags-GmbH D Igelheim 16

5 Praxis ud Aweduge ver, Workstatios ud Netze, die utersucht werde solle. Je ach Zeitaufwad ud Ausrichtug der Utersuchug ka der Tester zusätzliche Date zur Verfügug gestellt bekomme, die auch ei Ietäter besitzt. Daach werde Iformatioe gesammelt, Agriffsvektore idetifiziert, die idetifizierte Sicherheitslücke bewertet ud teilweise ausgeutzt, um ihre Existez ud Auswirkug zu verifiziere. Ei Abschlussreport fasst die Ergebisse zusamme ud der Auftraggeber erhält i eiem Dokumet alle idetifizierte Sicherheitslücke der Zielumgebug. Der Abschlussbericht ka als Grudlage für das IT-Risikomaagemet verwedet werde. Explorative Testig Die erforderliche Expertise der Security Aalyste, um die Ergebisse der Tool-gestützte Verfahre auszuwerte, wird meist uterschätzt. Dazu ist erhebliches Kow-how im Bereich der sichere Programmierug, vo übliche Programmierfehler ud de aktuelle Agriffstechike otwedig. Dieser mauelle Aufwad muss dabei auf zwei Drittel des Gesamtaufwads zur Idetifizierug ud Verifizierug vo Vulerabilities geschätzt werde. 4) Dyamic Aalysis Fuzzig Ob die utersuchte Zielsoftware robust ist, wird mit zielgerichtete (uvorhergesehee) Eigabedate überprüft. Dabei solle vorhadee Fehler ud Sicherheitslücke ausgeutzt ud ei aomales Verhalte der Zielsoftware provoziert werde. Beispielsweise köe i die Eigabedate Soderzeiche eigestreut, bestimmte Zeiche mehrfach wiederholt oder auch überlage Eigabe geeriert werde, um beispielsweise Buffer Overflows zu erreiche. Die Zielsoftware wird i eiem Testbed etweder i eier virtuelle Maschie oder auf eiem adere Testsystem ausgeführt ud utersucht. Das Verfahre Fuzzig beötigt keie Quellcode soder fuktioiert als Black-Box-Test. Das häufig vorgeschlagee Brute-Force- Verfahre, bei dem alle Eigabeschittstelle mit alle techisch mögliche Eigabe bombardiert werde, führt ur selte zum Erfolg ud beötigt eie überaus hohe Rechezeitaufwad. Daher werde Fuzzer eigesetzt, dee Rahmedate wie ei Protokollaufbau vorgegebe werde oder die aus reguläre Eigabedate lere, die relevate - ud damit die zur Idetifizierug vo Vulerabilities führede - Eigabedate auszuwähle ud eizusetze. Beim Fuzzig-Prozess werde Eigabeschittstelle wie Netzwerkprotokollaufrufe (HTTP, SMTP, SIP, LDAP etc.), RPC, Web Services, File Formats ud Commad Lie Parameters idetifiziert, a die die Date gesedet werde. Im Aschluss aalysiert der Security Experte die vo eiem Moitor bereitgestellte Date. Sie zeige beispielsweise die Reproduzierbarkeit, Ausutzbarkeit aus dem Iteret ud die Schwere vo Sicherheitslücke a. Dies ist der zeitlich aufwedigste Teilprozess des Fuzzig. Trefferquote: Die Wirksamkeit der Methode Wie wirkugsvoll diese Verfahre sid, wurde i eier Zufallsstichprobe vo 40 Projekte ermittelt. Berücksichtigt wurde ausschließlich aus dem Iteret ausutzbare, kritische bisher ubekate, uveröffetlichte (Zero- Day) Vulerabilities: Methode Azahl idetifizierter, Azahl bisher ubekater, eigesetzter Vulerabilities Tools Architecture Aalysis Threat Modelig 15 4 Static Source Code Aalysis 17 5 Peetratio Testig (8) 9 Dyamic Aalysis: Fuzzig Erst der Eisatz aller vier hier geate Methode führt zu optimale Ergebisse bei der Azahl der idetifizierte Vulerabilities. Die zahlemäßig erfolgreichste Methode ist Dyamic Aalysis: Fuzzig. Dies ist ei Black Box-Test, beötigt werde ausschließlich Executables. Die Methode ist uabhägig vo der beutzte Programmiersprache. Je ach Methode müsse allerdigs mehrere, bis zu 60 verschiedee, Tools eigesetzt werde, de jedes Tool fidet adere Vulerabilities. Die Methode lasse sich auf alle Prozessore ud Betriebssysteme eisetze. Nur i weige Fälle ist die Etwicklug eies spezielle Tools otwedig. Gleichermaße lasse sich auch Apps ad Applets for smart & mobile Devices sowie Netzwerk-Protokolle, Embedded Systems (auch Hardware) ud proprietäre Systeme auf Sicherheitslücke utersuche. Naturgemäß wirke die vorgestellte Methode uabhägig vo de eigesetzte Software-Etwicklugsmodelle (Agil, V-Model, Wasserfall etc.). Der Erfolg gibt dem Kozept Recht. Das wird auch vo höchster Stelle bestätigt: Das Budesamt für Sicherheit i der Iformatiostechik (BSI) empfiehlt die hier geate Methode. 17 a+s zeitschrift für automatio ud security, # 4 / 2012 SecuMedia Verlags-GmbH D Igelheim