Security 4 Safety. Markus Bartsch, Christian Freckmann

Transkript

1 Security 4 Safety Markus Bartsch, Christian Freckmann

2 Internet der Dinge Samsung und Android Samsung Samsung TÜV Informationstechnik GmbH Member of TÜV NORD Group 1

3 Heise-Meldungen Industrieanlagen schutzlos im Internet 2

4 Cyber-Raum: Industrie 4.0 erste SPS Industrielle Revolution auf Basis von Cyber- Physical Systemen erster mechanischer Webstuhl erstes Fließband Schlachthöfe von Cincinnati Industrielle Revolution Einführung arbeitsteiliger Massenproduktion mit Hilfe elektrischer Energie 3. Industrielle Revolution durch Einsatz von Elektronik und IT Grad der Komplexität 1. Industrielle Revolution Einführung mechanischer Produktionsanlagen (Wasser- und Dampfkraft) Ende 18. Jhdt. Beginn 20. Jhdt. Beginn 70er Jahre 20. Jhdt. heute Zeit TÜV Informationstechnik GmbH Member of TÜV NORD Group 3

5 IT Security und IT Safety Security SECURITY Security Safety SAFETY Safety Bedrohung durch den Menschen Schutz der IT Gefährdungen durch die IT Schutz des Menschen Security4Safety TÜV Informationstechnik GmbH Member of TÜV NORD Group 4

6 BSI: Kritische Infrastrukturen bezüglich: ICS Sectors & Branches Transport / Traffic Energy Production IT & T Aviation Electricity Chemical Telecom Maritime traffic Nuclear power Biologic IT Rail traffic Gas Pharmaceutics Road traffic Oil Defence Finance / Insurance Supply Government Misc. Bank Health care Federal Gov. Media Insurance Rescue service State Gov. R&D Stock exchange Civil protection Municipalities Culture goods & buildings Clearing center Food & Water Defense Disposal Police TÜV Informationstechnik GmbH Member of TÜV NORD Group 5

7 Organisationen und deren Standards IEC Industrial communication networks Network and system security IEC Power systems management and associated information exchange Data and communication security ISO/IEC 2700x Informationssicherheitsmanagementsysteme (ISMS) DIN SPEC Leitfaden für das Informationssicherheits-Management von Steuerungssystemen der Energieversorgung auf Grundlage der ISO/IEC ISA99 Manufacturing and Control Systems Security NERC CIP Cyber Security Standards Critial Infrastructure Protection NIST SP Security and Privacy Controls for Federal Information Systems and Organizations NIST SP Guide to Industrial Control Systems Security NISTIR 7628 Guidelines for Smart Grid Cyber Security Department for Homeland Security VDI/VDE: R 2182 Informationssicherheit in der industriellen Automatisierung NAMUR NA 115 IT-Sicherheit für Systeme der Automatisierungstechnik WIB Process Control Domain-Security Requirements for Vendors CPNI Good Practice Guide Process Control and SCADA Security Firewall Deployment for SCADA and Process Control Networks BDEW-Whitepaper Anforderungen an sichere Steuerungs- und Telekommunikationssysteme VGB S175 IT-Sicherheit für Erzeugungsanlagen IEEE IEEE Standard for Substation Intelligent Electronic Devices (IEDs) Cyber Security Capabilities 6

8 Angriffe auf ICS Gemeldete Sicherheitsvorfälle 01 06/2013: insgesamt % 54% 4% 5% 1% 5% 3% Water 3% 4% 1% 4% Transportation Postal&Shipping Nuclear Info Tech Public Health Government, Facilities Energy Critical Manufacturing Communications Commercial Facilities SQL injection, spear-phishing attacks, watering hole attacks Quelle: ICS-CERT 7

9 Automatisierungsebenen 8

10 Divergierende Schutzziele 9

11 IT-Trends in der Steuerung und Automatisierung Anbindung an andere Netze Commercial off the Shelf-Produkte Standardisierte Internetprotokolle Fernwartungsverbindungen 10

12 Top 10 Bedrohungen für Industrial Control Systems 1. Unberechtigte Nutzung von Fernwartungszugängen 2. Online-Angriff über Unternehmens-IT 3. Angriffe auf eingesetzte COTS-Produkte in der Prozess-IT 4. (D)DoS-Angriffe 5. Menschliches Fehlverhalten und Sabotage 6. Einschleusen von Schadcode über Wechseldatenträger und externe Hardware 7. Lesen und Schreiben von Nachrichten in der Prozess-IT 8. Unberechtigter Zugriff auf Ressourcen 9. Angriffe auf Netzwerkkomponenten 10. Technisches Fehlverhalten und höhere Gewalt TÜV Informationstechnik GmbH Member of TÜV NORD Group 11

13 Ausschreibung ICS Security Kompendium 12

14 ICS Security Kompendium Überblick Titel: Industrial Control Systems Security Kompendium Ziel: Grundlagenwerk zur IT Security von ICS Inhalt: 1. Motivation und Zielsetzung 2. ICS-Grundlagen 3. Grundlagen der ICS-Sicherheit 4. Organisationen, Standards & Normen 5. Best Practice Guide für Betreiber 6. Methodik für Audits von ICS-Installationen 7. F&E-Bedarf und Trends 8. Resümee und Ausblick Zielgruppe: Betreiber Integratoren, Hersteller 13

15 Security4Safety TÜV Informationstechnik GmbH Member of TÜV NORD GROUP Markus Bartsch Christian Freckmann IT Security Langemarckstr Essen, Germany Phone: Fax: URL: TÜV Informationstechnik GmbH Member of TÜV NORD Group 14