Bewertung der IT-Sicherheit von Industriellen Steuerungsumgebungen

Transkript

1 Bewertung der IT-Sicherheit von Industriellen Steuerungsumgebungen Werkzeuge für den leichtgewichtigen Einstieg in industrielle Cyber-Security Michael Gröne Sirrix AG security technologies

2 Zum Unternehmen Ursprünge in der Spitzenforschung Gegründet 2005 als Spin-Off des Instituts für Kryptographie und Sicherheit am DFKI in Saarbrücken Heute High-Tech Produkthaus im IT-Sicherheitsbereich Fokussierung auf Kernziele: Commercial-of-the-Shelf (COTS)-Systeme mit minimalem Aufwand für den behördlichen und den unternehmensweiten Einsatz sicher machen. Standardsysteme nachweisbar vertrauenswürdig machen Sirrix AG heute Internationaler Technologieführer im Bereich Trusted Infrastructures 2013

3 Zum Unternehmen Standorte: HQ in Saarbrücken Gesicherte Entwicklungsbereiche für Entwicklungen bis VS Streng Geheim Niederlassungen in Bochum und Darmstadt Bochum Zentrum für IT-Sicherheit Darmstadt Center for Advanced Security Research (CASED) HQ in Saarbrücken NL in Bochum NL in Darmstadt

4 Geschäftsfeld Industrial Security 2014 ı Sirrix AG security technologies ı Michael Gröne Sichere Plattformen für Industrial Applications Sichere Betriebssystemplattform mit Sicherheitskern, auf Basis von Mikrokern (L4/OKL4/PikeOS), oder Policy-Enforcement (SELinux, SEAndroid) Integrity-Preserving Platforms (mit TPM oder proprietär) M2M-Authentication, Remote-Attestation Management von großen Deployments (> K) Provisioning von Konfigurationen, Key-Deployment und Management (PKI) OTA Update-Management von Firmware Remote-Maintenance, Multi-Homing Networks, VPN bspw. für Intelligente Messsysteme / Smart Meter Gateway / Gateway Management Dienstleistungsangebote Beratung und Entwicklung

5 Agenda 1) Herausforderung 2) BSI-Tool LARS 3) Zielsetzung 4) Methodik 5) Szenarien 6) Bedienoberfläche 7) Reporting 8) Status und Ausblick

6 Herausforderung Standards nur teilweise vorhanden z.b. IEC Compliance schwierig umzusetzen Orientierung: Best Practice für heutige Industrial / ICS Security Quelle: TÜV SÜD, 2014 Vielzahl von Tools verfügbar, z.b. verinice (SerNet; für ISMS; OpenSource) GSTOOL (BSI) Unzulänglichkeiten (insb. KMU) Mächtigkeit (Beratung, Schulung notwendig) Kosten

7 BSI-Tool LARS Light And Right Security Leichtgewichtiger Einstieg, einfache Benutzbarkeit Abdeckung IEC 62443, ISO 27001, IT-Grundschutz, ICS Security Kompendium Als Beta-Version (RC6b) inkl. Handbuch verfügbar Kostenfrei erhältlich

8 Zielsetzung leichtgewichtiger Einstieg in Cyber-Sicherheit gemäß ISO/IEC und IEC keine formelle Risikoanalyse Berücksichtigung der Besonderheiten und Rahmenbedingungen der Prozesssteuerung und Fabrikautomation Hinführung zu einem ganzheitlichen Ansatz zwei Elemente Entwicklung einer Methodik für eine Sicherheitsanalyse Entwicklung eines Tools, das die Methodik umsetzt Adressaten: kleine bis mittelständische Unternehmen schlanker, leicht zu verstehender Ansatz

9 Methodik Methodik baut auf einer Vorbereitungsphase auf Bildung eines Teams im Unternehmen Erstellung Netzwerkplan Sichtung der Dokumentation (Technik, Prozess, Mensch) Ansatz mit Baumstruktur (zur Identifikation von Bedrohungen) Verzicht auf klassische Modellierung und Bedrohungsanalyse Orientierung an VDI/VDE 2182 (Asset-basierter Ansatz) Hinführung zu einem ganzheitlichen Ansatz Baum: Asset-Typ Domäne (Zone) Kategorie Maßnahme

10 Methodik Die Methodik beinhaltet folgende Vereinfachungen (im Vergleich zu klassischen Ansätzen): keine Struktur-, Schutzbedarfs- oder Risikoanalyse durchgeführt über eine Baumstruktur werden im Hintergrund Bedrohungsszenarien identifiziert, denen Sicherheitsmaßnahmen zugeordnet sind auf verschiedenen Ebenen wird Security-Niveau berechnet Priorisierung bei der Umsetzung der Maßnahmen gemäß Security-Niveau Ampel-Funktion zur Anzeige des Security-Niveaus diese Methodik ersetzt natürlich keine detaillierte Schutzbedarfs- und Risikoanalyse von versierten Fachkräften

11 Szenarien (Produktionsbereich) 2014 ı Sirrix AG security technologies ı Michael Gröne Remote Terminal supplier DMZ Supplier Endpoint Remote Terminal logistic DMZ Logistic Endpoint Office Client Remote Terminal vendor DMZ Vendor Endpoint FW Warehouse Perimeter FW Enterprice FW ERP Server MES Server Web server Switch Control Room Printer Switch Warehouse WLAN AP Printer Terminal LVS 1 LVS 2 Data Storage Tablet FW Cell 1 HMI 1 FW Cell 2 HMI 2 Switch Cell 1 Switch Cell 2 Control 1 Control 2 Safety PLC 1 PLC 1 Control System 1 Safety PLC 2 PLC 2 Control System 2

12 Szenarien (Prozessindustrie) Unternehmensebene MES Client / Mitarbeiter PC (kein ICS-Asset-Typ) RAS Server DMZ Perimeter FW ExternesEndgerät1 (RAS Client) ERP Server Enterprise FW MES Server Leitebene Externes Netzwerk DataHistorian1 (History Server) HMI1 (Operator WKS 1) HMI2 (Operator WKS 2) ICS FW Engineering WKS (EWS1) Terminalbus 1 Terminalbus 2 Operator System Server Redundant Engineering Server Redundant (gehört zu EWS1) Systembus 1 Systembus 2 Steuerungsebene IED1 IED2 IED3 IED4 SPS1 Feldebene

13 Bedienoberfläche

14 Reporting Gesamtbericht wie positiv/negativ sich der Zustand des ICS darstellt welche Maßnahmen als nächste anzugehen sind, insbesondere "KO"-Maßnahmen

15 Status und Ausblick LARS erhältlich über Allianz für Cyber-Sicherheit (als Teilnehmer) direkt vom BSI (auf Anfrage) direkt über Sirrix AG (auf Anfrage) Momentan Testphase; Kommentare bis 1.9. (ggf. auch später) gerne an Frei für alle erhältliche Version 1.0 nach Einarbeitung des Feedbacks im November zur SPS IPC Drives Fortführung und Weiterentwicklung danach ist geplant Details hängen unter anderem vom Feedback ab

16 Gibt es noch Fragen? Autor: Michael Gröne, M.Sc. / Senior Project Manager & Consultant m.groene@sirrix.com Unternehmen: Sirrix AG security technologies Lise-Meitner-Allee Bochum? Web: Vielen Dank für Ihre Aufmerksamkeit!