Integrationserfahrungen, Risiken und Maßnahmenvorschläge für hochsichere und gekapselte IP-Netzwerkinfrastrukturen

Transkript

1 17. VDE-Symposium Untertitel Netzleit-, Zähler- & Informationstechnik Integrationserfahrungen, Risiken und Maßnahmenvorschläge für hochsichere und gekapselte IP-Netzwerkinfrastrukturen Dipl.-Ing. René Fiehl controlnet - Automation. IT. Sicherheit. Senior Professional - Network & Security Analysis info@controlnet.de Dipl.-Ing. René Fiehl Senior Professional - Network & Security Analysis rene.fiehl@controlnet.de Weimar, 03. und 04. September 2014

2 Hochsichere Netzwerke Inhalt, Schwerpunkte Gefahren und aktuelle Bedrohungen der IT, Probleme Spezifische Gefahrenlage Kritische Infrastrukturen Betrachtungen und Empfehlungen zur Gestaltung hochsicherer Infrastrukturen für die Prozeß-IT Ausblick - 2 -

3 Hochsichere Netzwerke Ziel des Vortrags An die Hand geben von IT- und Prozeß-Werkzeugen für: sichere, stabile und standardisierte Energiedienste Informationskaskaden Systemdienstleistungen Datensicherheit Grundlagen ISMS-Zertifizierung - 3 -

4 1988 EDV 1994 EVU-Carrier EVU-ISP 2008 controlnet Systemhaus mit Integrationskompetenz und zwei Kerngeschäftsfeldsäulen Netze, Serversysteme, Virtualisierung, Storage, Softwarerollout, Client-Mgmt. Bild Systemhaus IT- Systeminfrastrukturen CIT, PIT Planung, Implementierung und Betrieb Softwareentwicklung, DevOps Monitoring, Analyse, Audit f g h i j k l m n I J K L M N O P Q IT- Sicherheitslösungen Planung, Implementierung und Betrieb Monitoring, Analyse, Audit, Penetration Lösungsentwicklung u.a. mit eigenen Technologien IT-Recht und Datenschutz Marktfokus: Ver- und Entsorgungsunternehmen, Industrieunternehmen

5 Einführung Wichtige Begriffe, Definitionen CIT Commercial IT PIT Process IT Malware Schadprogramm Threat Bedrohung APT, Advanced Persistent Threat Andauernde Bedrohung // Stuxnet, Havex Vulnerability Schwachstelle // Heartbleed (CVE ) Exploit Schwachstelle ausnutzen // Internet Explorer (MSA ) AV Antivirus Web-Technologien ausschließliche Anwendung im Internet - 5 -

6 Gefahren und aktuelle Bedrohungen der IT, Probleme - 6 -

7 die Welt ist mehr bedroht durch die, welche das Übel dulden oder ihm Vorschub leisten Hommage an Pau Casals 30. März

8 Internet-Nutzungsraum Gesamtanzahl aller Internetnutzer 2,9 Mrd. User TB/Tag = PB/Tag Quelle:

9 Internet-Nutzungsraum Bedrohungen und Gefahrenlage Ungezielte Angriffe (Grundrauschen) Ziel: Finanzbetrug, kleinkriminelle Aktionen, Austesten, Hobby, Spaß Malware: Viren, Würmer, Spyware, Trojaner, Botnetze, (Baukästen), Gezielte Angriffe (hoch spezialisiert) Ziel: Spionage, Sabotage, Diebstahl, Erpressung Distributed Denial of Service (DDoS) Strategic web compromise (SWC) Quelle: Checkpoint Security Report Advanced persistent threats (APTs) - 9 -

10 Aktuelle Gefahren in der IT Extremer Anstieg von Unbekannte Malware / APTs völlig neue Formen von Malware täglich neue Malware-Programme entdeckt Umgeht Proxy-Lösungen und Malware-Erkennung mit klassischen Anti-Virus und Intrusion-Technologie nur bedingt zu erkennen Weniger als 10% der Anti-Virus-Engines erkennen Unbekannte Malware APTs basieren auf hoch spezialisierten, komplexen Funktions- und Codestrukturen AV-Hersteller bisher fokussiert auf Massenmarkt Mehr als 33% der Organisationen mit Enterprise-grade IT registrierten Schadcodebefall in den letzten Wochen. Quelle: Checkpoint Security Report Quelle:

11 Aktuelle Gefahren in der IT Anatomie eines Angriffs mit Unbekannter Malware (APT) Jeder Internet-Nutzer wird nahezu täglich, mehrfach penetriert

12 Aktuelle Gefahren in der IT Microsoft Windows OS - Bereitstellung von Patches Am 26. April 2013 war Windows 8 ein halbes Jahr auf dem Markt. Bis dahin wurden rund 100 Mio. Lizenzen verkauft und mehr als 700 Patches ausgeliefert. (Quelle: chip.de) Updateanzahl pro Monat Zeit

13 Aktuelle Gefahren in der IT Angriffsvektor singulär Multipel gezielt ungezielt Angriffsklassifizierung Entwicklung der Angriffsvektoren nach 2010 vor 2010 niedrig Auswirkung hoch

14 Aktuelle Gefahren in der IT Angriffsklassifizierung und Beispiele ungezielt gezielt Netz Portscans SYN-Flood ARP/DNS-Spoofing Angriffe gegen Funktionsprotokolle DDoS DNS-Reflective Server Anlagen SQL-Injection CSRF [4,5 Mio. Router 2012] Carna Botnet APT-Malware [ Systeme 2012] VAX-Tojaner [Shady RAT , Cross Site Scripting [NASA-Hack 1987] Stuxnet , Aurora , Ransomware Flame 2012, Havex 2014] [Cloudspace 2014] Clients CyberVor Datenbank [1,2 Mrd. Anmeldedaten 2014] SpyEye [1,4 Mio. Systeme ] APT-Malware [Adobe Flash CVE RSA Hack 2011] SWC Identity Misuse

15 Herausforderungen für die IT-Sicherheit Neuartige Technologien: Problemfelder, Unsicherheiten Ursache: Mensch Social Media Cloud Juristische Fallstricke Social Media Cloud Cloud Internet of Things (IoT) Datenabfluß Smartphone-Nutzung, Bring Your Own Device (BYOD) Kompromittierung Virtualisierung Security-Schwachstellen (Vulnerabilities) Stabilität, Verfügbarkeit Ursache: Technik

16 Spezifische Gefahrenlage Kritische Infrastrukturen

17 Kritische Infrastrukturen im Fadenkreuz Elementare Abhängigkeit Sektoren Abhängigkeiten Staat u. Verwaltung Notfall- u. Rettungsdienste, Katastrophenschutz Gesundheit Transport u. Verkehr Staat u. Verwaltung, Polizei, Militär Finanzsystem IuK-Infrastruktur Energie- u. Wasserversorgung Quelle: Fortschreibung_Gesamtdokument.html

18 Kritische Infrastrukturen im Fadenkreuz Angriffsziele Unternehmensnetzwerke Leitstellen-Netzwerke Stationsleittechnik-Netzwerke Hohe Komplexität der betriebenen Systeme Enorme Auswirkungen bei Ausfall oder Fehlfunktionen Carrier-Netzwerke, City-Netzwerke ISP-Ressourcen Smart-Meter-Infrastrukturen Smart-Grid-Infrastrukturen Smart-Home-Infrastrukturen / Internet of Things Durch notwendige Netzkopplungen und Datenaustausch erhöhte Eintrittswahrscheinlichkeit von Penetrationen und Schadcode

19 Kritische Infrastrukturen im Fadenkreuz Erhöhter Schutz notwendig, Aktivitäten Bundesrepublik 2005 BMI - Schutz Kritischer Infrastrukturen Basisschutzkonzept 2007 Verabschiedung Umsetzungsplan KRITIS 2009 BMI - Nationale Strategie zum Schutz Kritischer Infrastrukturen 2011 BMI - Cyber-Sicherheitsstrategie für Deutschland 2011 Smart Meter-White Paper, BSI-TR UP KTITIS - Öffentlich-Private Partnerschaft z. Schutz krit. Infrastrukturen BMI - Entwurf IT-Sicherheitsgesetz Digitale Agenda, u.a. Schutz Kritischer Infrastrukturen Unternehmen sind in erster Linie eigenverantwortlich!

20 Kritische Infrastrukturen im Fadenkreuz Auszug von Schwachstellen in Automationslösungen RuggedCom-L2-Switch, Multiple Security Vulnerabilities -- Patches ROS3.7.9, ROS3.8.5, ROS3.9.3, ROS Emerson-ROC800 RTU Multiple Security Vulnerabilities CVE CVE Patches available Schneider Elect. Quantum Ethernet Module Multiple Security Vulnerabilities CVE Patches available ADVANTECH WebAccess RPC Vulnerabilitiy, -- Patch V SIMATIC WinCC Vulnerabilities (SSA ) -- Patch WinCC V SIMATIC S CPU DoS-Vulnerabilitiy (SSA ) -- Patch FW S V

21 PIT-Infrastrukturen Wohin kommunizieren Prozeßnetzwerke, Beispiele Quelle Ziel Anwendung Leitsystem Leitsystem Beobachten, Bedienen (lokaler Verkehr) Stationsleittechnik Leitsystem Meldungen, Meßwerte Leitsystem Stationsleittechnik Steuern (Befehle) Leitsystem CIT-Netzwerk Datenaustausch z.b. z. ERP-System Leitsystem EEG-Mgmt.-Netz EEG-Einspeise-Management ZFA-Netz ERP-System Datenaustausch, Zählerdaten zur Abrechnung Smart Meter-Netz ERP-System Zählerdaten zur Abrechnung, Verbrauchsprofile Ein Inselbetrieb von Leitsystemumgebungen, ohne Datenaustausch, ist heute kaum praktizierbar

22 PIT-Infrastrukturen Auswahl häufiger Konzept-Defizite (Organisation, allgemein) Sicherheit ist unterrepräsentiert (Unkenntnis, keine Zeit, zu viel zu tun ) Kapitulation vor Komplexität ( keine Leute ) Keine schlüssigen Projektdefinitionen Unvollständige Budgetplanung Ungenügende Zusammenarbeit der Bereiche PIT & CIT Meiden von Schnittstellen, Abschottung Defizite d. Systemhersteller in der Gesamtsichtweise von Prozessen u. Techniken beim VU

23 PIT-Infrastrukturen Auswahl häufiger Konzept-Defizite (Umsetzung) 1/2 Historisch gewachsene Infrastrukturen ohne grundlegenden Redesign-Ansatz Fehlende Sicherheits- u. Design-Richtlinen Keine eindeutig definierten Prozesse, ungenügende Dokumentation Trivialpassworte Keine Passwortänderungen CIT und PIT werden als ein Netzwerk betrieben

24 PIT-Infrastrukturen Auswahl häufiger Konzept-Defizite (Umsetzung) 2/2 Leitstellennetz nicht entkoppelt vom Stationsnetz Nicht Policy-konforme Wartungszugänge (ISDN, GSM, DSL) Keine End-to-End-Verschlüsselung bei Security-Policy-Zonen-Übergängen Kein Monitoring wesentlicher System- und Sicherheitsparameter Netzwerkdienste (Reports, Audits, Log-File-Analyse, Risikoanalysen) Keine stringente Richtlinienvorgabe für Parametriergeräte (eigene u. Dienstleister) Veraltete Softwarestände

25 Betrachtungen und Empfehlungen zur Gestaltung hochsicherer Infrastrukturen für die Prozeß-IT

26 Everything should be made as simple as possible but not simpler

27 Hochsichere Netzwerke Simplifizierung durch Vertrauen auf Produkte & Module? Cisco ASA 5500 Multiple Vulnerabilities in Firewall Services Module cisco-sa fwsm Checkpoint UTM-1 Automatischer Reboot aller UTM-1, weltweit sk56641 GateProtect CC v3.0.1 Memory Corruption Vulnerability NTP Reflection <=V4.2.7p25 CVE Open Source Apache, Cisco, Compumatica, Sophos, Fortigate, Juniper, Heartbleed-Bug CVE CVE CVE CVE Dell SonicWALL Security Virtual App CVE Einzelne Produkte, Module können Schwachstellen aufweisen. Ein mehrstufiges Funktionskonzept bietet erhöhten Schutz

28 Hochsichere Netzwerke Aktives Security-Management Der Weg zur Zertifizierung 1. IT-Security-Katalog BSI 2. SM TR BSI EnWG 11, 29( 1) ITIL-angelehnte Prozesse (insb. Problem-, Incident- und Change-Management) Prozeß- und Richtliniendefinition mittels ISMS auf Basis ISO27001 Zentral geführte Systemauswahl und Integration Kerngeschäft Zyklisches Berichtswesen Regelmäßige Auditierung Rechtliche Vorgaben Existenz Stabilität Kosten IT

29 Einführung Aktives Security-Management IT-Sicherheitsmanagementsystem (ISMS) Strukturierung aller IT-Sicherheitsprozesse nach dem Plan-Do-Check-Act -Modell (PDCA): Definition der Ziele und Sicherheitsrichtlinien für das Unternehmen Implementierung und Etablierung laufender Überwachungsfunktionen zur Identifikation von Sicherheitsrisiken Überwachung der Wirksamkeit und Effektivität des ISMS Kontinuierliche Prüfung und Weiterentwicklung des ISMS

30 Einführung Aktives Security-Management Beispielmodell Security-Policy-Zonen (SPZ) - Projekt Einordnung der Netze in Security Policy Zonen (SPZ) Entscheidung über einzusetzende Architekturen und Sicherheitstechniken Anwendung 0 Unsichere Netze Unsicher 1 Vertrauenswürdige Netze Niedrig Internet, Integration/Abspaltung von Unternehmensstrukturen, Netzwerke von Geschäftspartnern DMZ, Gast-WLAN, Integration/ Abspaltung von Unternehmensstrukturen, Netzwerke von Geschäftspartnern, Sondernetzwerke, IP-Carrier-Netzwerke 2 Sichere Netze Standard Internes Netzwerk (CIT) 3 Höher gesicherte Netze Höher als Standard Server-Netzwerk (CIT), Leitstelle (PIT), SLT

31 Einführung Aktives Security-Management Security-Policy-Zonen (SPZ) SPZ definieren stufenweise die Vertrauenswürdigkeit von Systemen und Netzen und damit den Umfang der Sicherheitsanforderungen für die Integration Netzwerke müssen vor Bau und Inbetriebnahme entsprechenden Security-Policy- Zonen zugeordnet werden Der Transit von Informationen zwischen den Netzwerken muß eindeutig definiert und den entsprechenden Geschäftsvorfällen zugeordnet werden (Protokollierung) Das Zonenkonzept ( Tiering ) stellt die Betriebs- und Informationssicherheit her und gibt eindeutige Handlungsanweisungen zu Verfahrensweisen und zur Umsetzung Ein Verstoß gegen das Zonenkonzept ist unzulässig und umgehend im Rahmen des ISMS der Leitung, Geschäftsführung anzuzeigen

32 Hochsichere Netzwerke Orientierungshilfe: Organisatorisches Projekt (CIT & PIT) 1. Übergeordnetes, unternehmensweites Security- und Risiko-Management 2. Umsetzung einer praktikablen, nachhaltigen und protokollierbar ausgelegten Prozeßorganisation ITIL-Framework, Version 2 3. Durchgängige Zusammenarbeit zwischen PIT & CIT 4. Kritische Herstellerund Systemauswahl Sicherung der Infrastruktur Security (Informationssicherheit) Safety (Technische Sicherheit) Quelle: Zarnekow, Serviceorientiertes IT-Management, Springer Verlag

33 Hochsichere Netzwerke Orientierungshilfe: Technisches Projekt - allgemein 1. Segmentierung von Netzen und Funktionsbereichen (SPZ) 2. Zentrales Management und Policierung aller Server- und Clientsysteme 3. Client-Verkehr in und aus Hochsicherheitsnetzwerken verboten für: Web-Surfing Social Media, Instant Messaging Transfer auf mobile Datenträger Hochsicherheit erfordert harte Beschränkungen und stetige Kontrolle

34 Hochsichere Netzwerke Orientierungshilfe: Technisches Projekt - PIT 1. Keine direkte Anbindung von Leitstellen-Netzwerken an Außenfirewalls 2. Trennung von Leitstellen-, Transport- und Stationsnetzwerken 3. Kein Datenaustausch aus Hochsicherheitsnetzen ohne Proxy-Lösung 4. End-to-End-Verschlüsselung (VPN) beim Transit über niedrigere SPZ 5. Perfect Forward Secrecy (PFS) bei allen VPN- und SSL-Verbindungen 6. Netzzugangsmanagement mittels RADIUS/NAP (802.1x) 7. Vermeidung von WLAN-Kommunikation, wenn notwendig dann EAP/RADIUS 8. Keine Smartphone/Tablet-Systeme an Leitsystem- u. SLT-Umgebungen ohne Proxy 9. Starke Passwortrichtlinie, besser 2-Faktor-Authentifizierung Praxistip für sichere Passworte: z.b. durch Bildung von Sätzen wie,,früher ging ich immer mit Mutti um 5 zum Konsum!" -> FgiimMu5zKonsum!

35 Hochsichere Netzwerke Soll-Kann-Szenario Verantwortung CIT Internet Internet- Firewall CIT-Transit- Firewall Leitstellen- Firewall Leitsystem PIT-Transit- Firewall SLT Verantwortung PIT

36 Hochsichere Netzwerke Soll-Kann-Szenario: Problem Gesamtverantwortung Unternehmenssicherheit = CIT+ PIT+(Aktives Security-Monitoring) Verantwortung CIT Internet Internet- Firewall CIT-Transit- Firewall Leitstellen- Firewall Leitsystem PIT-Transit- Firewall SLT Verantwortung PIT

37 Hochsichere Netzwerke Lösungsvorschlag Aktives Security-Monitoring controlnet Practical Security Monitoring Verantwortung CIT Internet Internet- Firewall CIT-Transit- Firewall Leitstellen- Firewall Leitsystem PIT-Transit- Firewall SLT Verantwortung PIT * Unterstützte Hersteller: Checkpoint, Cisco ASA, Sophos UTM, Dell Sonicwall

38 Ausblick Schutzkonzepte für komplexe, hochsichere IT-Umgebungen Sandbox-Systeme zur Malwareerkennung Ausbruchsdetektionssysteme Risiko-Management-Lösungen (Vulnerability, Security) Log-Management und -Analyse Big Data -Datenanalyse (Data Monitoring) Software Defined Networking (SDN), Software Defined Security Infrastructure, Software Defined Protection

39 Zusammenfassung Hochsicherheitsumgebungen 1. Stärken Sie mit Aufwand Ihr Fundament und Ihre Tragwerke. 2. Überwachen Sie deren Zustände dauerhaft, organisiert und akribisch, ohne Kompromisse. 3. Es ist nicht genug zu wissen, man muß auch anwenden. Es ist nicht genug zu wollen, man muß auch tun

40 Kontakt Dipl.-Ing. René Fiehl Senior Professional - Network & Security Analysis controlnet - Automation. IT. Sicherheit. Geschwister-Scholl-Strasse 5, Weimar, Germany Phone: +49 (0) info[at]controlnet.de IT-Security & Compliance Administration Monitoring Client Mgmt