IT Security The state of the onion

Transkript

1 IT Security The state of the onion Security-Herausforderungen in Industrie 4.0 und IoT Thomas Bleier B-SEC better secure KG

2 Das Problem [PUBLIC] Thomas Bleier, B-SEC better secure KG 2

3 Die Herausforderung Die Komplexität der IT-Systeme steigt ständig Mondlandung mit Lines of Code Heute: Boeing 787: 6,5 Mio; Mercedes S: 20 Mio; Chevrolet Volt: 100 Mio. Systeme werden immer mehr vernetzt Internet-of-Things, Industrie 4.0, M2M, V2X, etc. Virtuelle Infrastrukturen (Cloud, etc.) Abhängigkeit von den IT-Systemen steigt Smart Grid, Smart Home, Smart City, Smart Phone egovernment, ecommerce, ehealth, emobility [PUBLIC] Thomas Bleier, B-SEC better secure KG 3

4 50 Millionen Benutzer Wie lange hat es gedauert, bis 50 Millionen Benutzer eine Technologie verwendeten? ZEITUNG 100,00 4 Gen. ELEKTRIZITÄT 70,00 3 Gen. AUTOMOBIL 50,00 2 Gen. RADIO FERNSEHEN 13,00 38,00 1 Gen. INTERNET 4,00 SMARTPHONE 2,50 SOCIAL MEDIA 2,00-20,00 40,00 60,00 80,00 100,00 120,00 Quellen: Joseph Webb: Disrupting the Future, 2010, Wikipedia (iphone), [PUBLIC] Thomas Bleier, B-SEC better secure KG 4

5 Security und Technologie-Akzeptanz Beispiel: Datenschutz im Smart Metering [PUBLIC] Thomas Bleier, B-SEC better secure KG 5

6 Was wirklich geschah [PUBLIC] Thomas Bleier, B-SEC better secure KG 6

7 Die Motivation für Angriffe ändert sich Cracker/Script Kiddies Cybercrime State-sponsored Attacks Ideen für Hacking finden sich immer wo ein Markt verfügbar ist Technologisch gesehen sind die Werkzeuge im Prinzip die gleichen [PUBLIC] Thomas Bleier, B-SEC better secure KG 7

8 Cybercrime - Ransomware Quelle: Symantec Internet Security Threat Report [PUBLIC] Thomas Bleier, B-SEC better secure KG 8

9 Die Zukunft der Ransomware?

10 Cyberangriffe haben reale Auswirkungen [PUBLIC] Thomas Bleier, B-SEC better secure KG 10

11 Wie funktionieren solche Angriffe? Angreifer Automatisierungs- Technik (PLC s, etc.) Office-PC s Internet SCADA Systeme Bedienpersonal IT (Office-Netzwerke) OT (Automatisierungsnetzwerke) [PUBLIC] Thomas Bleier, B-SEC better secure KG 11

12 Der Angriff Angreifer Automatisierungs- Technik (PLC s, etc.) Erster Angriffspunkt über Phishing oder Drive-by Download Internet Office-PC s Ausweitung des Zugriffs Übernahme der Kontrolle Sabotage der Anlage SCADA Systeme Bedienpersonal Zugang zu Automatisierungssystemen IT (Office-Netzwerke) OT (Automatisierungsnetzwerke) [PUBLIC] Thomas Bleier, B-SEC better secure KG 12

13 Demo [PUBLIC] Thomas Bleier, B-SEC better secure KG 13

14 Also was tun? Bedrohungs- und Risikoanalyse Sicherheitsaspekte im gesamten Systemlebenszyklus Organisatorische Maßnahmen und Sicherheitsprozesse Technische Sicherheitsmaßnahmen bei Installation und Betrieb Erkennung und Behandlung von Sicherheitsvorfällen [PUBLIC] Thomas Bleier, B-SEC better secure KG 14

15 Good enough Security Economics Ein perfektes Sicherheitssystem ist meistens unnötig o Meist auch nicht machbar bzw. bezahlbar o Zu starke Fokussierung auf einen Bereich vernachlässigen anderer Bereiche ( weakest Link) There are no secure systems, only degrees of insecurity (Adi Shamir) It s all about risk eine gute Risikoanalyse sollte am Beginn jedes Sicherheitskonzeptes stehen Ein absolut sicheres System das nicht benutzbar ist bringt genauso viel wie ein System ohne Sicherheitsmechanismen [PUBLIC] Thomas Bleier, B-SEC better secure KG 15

16 Resilience Was passiert nach einem Angriff? Verhindern von Angriffen (Prevention) alleine reicht nicht Erfolgreiche Angriffe müssen erkannt werden (Detection), um Abwehrmaßnahmen setzen zu können (Reaction) Auch im Falle eines erfolgreichen Angriffes muss ein System danach weiter funktionieren können [PUBLIC] Thomas Bleier, B-SEC better secure KG 16

17 Alles online in der Welt der Zukunft [PUBLIC] Thomas Bleier, B-SEC better secure KG 17

18 Sicherheit kostet etwas Sicherheit Bequemlichkeit Funktionalität Geschwindigkeit Der richtige Mittelweg ist wichtig! [PUBLIC] Thomas Bleier, B-SEC better secure KG 18

19 Thank You! Questions? Contact Thomas Bleier DI MSc CISSP CISA CISM CEH zpm Chief Security Improvement Officer, Managing Director Phone: B-SEC better secure KG