IT-Sicherheit im Prozessnetzwerk von Energieversorgern

Transkript

1 IT-Sicherheit im Prozessnetzwerk von Energieversorgern Erfahrungsbericht Frankfurt am Main, Cyber-Sicherheits-Tag der Allianz für Cyber-Sicherheit

2 Agenda 1. Managed Services für KRITIS 2. Aktuelle Lösungen und Probleme? Seite 2

3 Referent Peter Schreieck Teamleiter Communication & Network prego services GmbH Franz Zang-Straße Ludwigshafen Mail: peter.schreieck@prego-services.de Internet: Seite 3

4 prego services auf einen Blick Gesellschafter Personal Informationstechnologie Materialwirtschaft & Einkauf PFALZWERKE AG, Ludwigshafen VSE AG, Saarbrücken Energiewirtschaftliche Services Kennzahlen 527 Mitarbeiter 73 Mio. Umsatz in 2013 mehr als Personalabrechnungen über Endverbraucherabrechnungen mehr als Server in eigenen Rechenzentren 200 Mio. Einkaufsvolumen ISO zertifizierter IT- Dienstleister 12 Jahre Erfahrung im Planen und Betreiben von kritischen Infrastrukturen Seite 4

5 1. Managed Services für KRITIS Überwachte Infrastrukturen Beratung NOC Seite 5

6 Schnittstelle ISMS ISMS Schutzbedarfsfeststellung Risikobewertung Beratung Secure by Design Realisierung und Betrieb von KRITIS Seite 6

7 Schutzbedarf der Informationen bewerten Risikobetrachtung der Betriebsabläufe Beispiel einer Risikobewertung

8 Wo bringen wir uns ein? Dienstleisterkette Fernwirktechnik Netzleitstelle NOC IT - Managed Services Carrier Anlage OT Kompetenz Büro IT Internet IT Kompetenz Seite 8

9 Network Operations Center - NOC ITIL organisiertes Incident- und Chance Management Überwachung der Infrastruktur Security Information und Event Management Qualifizierung Sicherungsvorfall Seite 9

10 z.b. Managed Service IP Weitverkehrsnetz Weitverkehrsnetz dient zur Netzführung inkl. TRA, Störwerterfassung, Schutzdatenfernauslesung, Fernwirk- und Funkparametrierung Fernwirkprotokoll IEC Neue Anforderungen durch EEG (Einspeisemanagement ESM) Managen einer komplexen Sicherheitsthematik gegen Cyberangriffe Fernwartungszugang und Netzübergang Büro Netzwerk IT / OT Erfahrung im Betrieb von KRITIS seit 2002 Seite 10

11 z.b. Managed Service Prozessnetzwerk erneuerbare Energien Prozessnetzwerk für Gasturbinen, Heizwerken und Windparks Gemeinsame Leitstelle und Trennung vom Büro Netzwerk Sicherheitsbewusstsein bei Hersteller eher verhalten Managen von zahlreichen Fernwartungszugängen Erfahrung im Betrieb seit 2009 Seite 11

12 z.b. Managed Service: Security und Event Management Sofortige Reaktion auf Events und Abstimmung mit der Fernwirktechnik Überwachung und Qualifizierung der Sicherheitsmeldungen Bewerten von Sicherheitsvorfällen Management Tageszusammenfassung, Lagebild Seite 12

13 2. Aktuelle Lösungen und Probleme? Impressionen Probleme Hindernisse Seite 13

14 Best Practices mind. Maß an IT-Sicherheit? EVU meets www Netzautomation Einspeisemanagement Kommunikation Büro IT (GIS) Fernzugriffe Dienstleister Weitverkehrsnetz Umspannwerke Seite 14

15 Best Practices Sicherheitszonen einer Burg Rückzug in die innere Burg Ausguck Parole Mauern Toranlage Wassergraben Annäherungshindernisse Seite 15 Urheber: Memorator Eigenes Werk

16 Sicherheitszonen im KRITIS-Prozessnetzwerk RTU: Ortsnetzstation VPN- Router VPN Defense in Depth & Minimal-Need-To-Know Prinzip Sicherheits- Zone 1 Sicherheits- Zone 2 Sicherheits- Zone n physikalischer & organisatorischer Schutz Gateway zertifikatbasierter Verbindungsaufbau Firewall abgeschottetes Netzleitsystem RTU: Schaltstelle Gateway VPN ADSL keine Backdoors Internet Netzleitsystem RTU: Messstelle Gateway VPN SDSL private Leitungswege Event- Manager SIEM-Lösung Seite 16

17 Aufbau eines EEG-Schrank

18 Secure by Design Kann ein Drittanbieter wirklich alle IT Security-Anschlussbedingungen erfüllen? Seite 18

19 Zusammenspiel mehrerer Beteiligten Leitstelle Windparkbetreiber Internet Netzbetreiber Windpark Windcontroller mit Vorangschaltung Seite 19 Direktvermarkter

20 Zusammenspiel mehrerer Beteiligten Leitstelle Windparkbetreiber Dienstleister Überwachung Dienstleister Parkbetrieb Internet Dienstleister vom Parkbetrieb Eigentümer Gesellschaft Netzbetreiber Windpark Windcontroller mit Vorangschaltung Seite 20 Direktvermarkter

21 Zusammenspiel mehrerer Beteiligten Leitstelle Windparkbetreiber Internet Unübersichtliche Zugriffe Dienstleister Überwachung Dienstleister Parkbetrieb Gemeinsam genutzter Internetzugang für alle Beteiligten - Wegen Kostendruck - Dadurch keine Redundanz Dienstleister vom Parkbetrieb Eigentümer Gesellschaft Ist die Industrie sensibilisiert? gemeinsames Verständnis eines Mindestmaß an IT Sicherheit vorhanden? Kann der Netzbetreiber die IT Policy Netzbetreiber vorschreiben? Rechtliche Unterstützung? Windpark Windcontroller mit Vorangschaltung Seite 21 Direktvermarkter

22 Security Eventmanagement Folge von Meldungen Ausguck erzeugt Aufmerksamkeit verschafft Zeit behindert regulären Service nicht Hartes Abschalten blockiert Service lädt zu Sabotage ein (Überreaktion) Seite 22 Bildquelle: istock

23 Früherkennung von unüblicher Aktivität Aktion Meldungen Service Angreifer PC wird mit Router verbunden Link-Up Meldung?? PC baut Verbindung zum Router auf MAC-Filter-Meldung bekannt keine Meldung MAC kann man fälschen Anmeldung am Webinterface Passwortfehler (Browser versucht es immer erst ohne Passwort) 2. Versuch okay jeder Versuch erzeugt eine Meldung Konfiguration geändert Meldung geplante Arbeit Gefahr alles okay Angreifer aussperren! Seite 23

24 Management Report Überblick Sicherheitsmeldungen Seite 24

25 Sicherheitsmeldungen Alle Sicherheitsmeldungen der letzten 24 Stunden Ausgrenzung innerhalb der Wartungsfenster Wartungsfenster Seite 25

26 Alarme Sicherheitsmeldungen eines Geräts Wird eine Alarm-Stufe erreicht, erfolgt eine sofortige Reaktion, z.b. per Mail mit den auslösenden Events. Seite 26

27 Netzwerk Charakteristik Baseline der Log-Meldungen Anomalieerkennung Seite 27

28 Verfügbarkeit Up/Down im Zeitstrahl (1 = Up) Seite 28

29 Kommunikationsbeziehungen zur Leitstelle Fernwirkgerät kommuniziert mit der Leitstelle Fernwirkprotokoll IEC Steuerbefehl Seite 29

30 Cyberangriffe von Außen Prüfung der Quell-IP-Adressen auf Status bei RIPE potentieller Angreifer Registrierte Angreifer- IP- Adresse Seite 30

31 Cyberangriffe von Außen Kartendarstellung von angreifenden IP-Adressen innerhalb 60 min. 20 Systeme haben ein Verbindungsversuch gestartet Seite 31

32 Excellence-in-M2M: Qualifizierte Partnerbasis Forderung: Kommunikation/Dialog zwischen Hersteller und Kunde Mit dem Hersteller INSYS- ICOM sehr gute Erfahrungen Austausch mit Fachhochschulen und Technische Universitäten Seite 32

33 Und was kommt noch? Horizontale Kommunikation (GOOSE) in Umspannwerken und Schaltanlagen z.b. Leistungsschalter für die Primärverteilung mit integrierten Sensoren, Schutz- und Steuerfunktionen => Safety und Security in einem Gerät Wir fordern mehr Sicherheit von den Hersteller: Best Practices für Hersteller, Betreiber und Integratoren Bessere Integration/Vereinbarkeit von Safety und Security Weitere Entwicklung von Defense-in-Depth-Strategien Quelle: Seite 33

34 Sicherheitszonen einer Burg SIEM-Lösung abgeschottetes Netzleitsystem zertifikatbasierter Verbindungsaufbau Firewall keine Backdoors Organisatorischer Schutz Physikalischer Schutz Seite 34 Urheber: Memorator Eigenes Werk

35 Herzlichen Dank für Ihre Aufmerksamkeit prego services GmbH Kontakt Neugrabenweg Saarbrücken Franz-Zang-Straße Ludwigshafen Fon: +49 (0) Fax: +49 (0) Internet: info@prego-services.de