Differenzierung IKT und ICS Klassische IKT Sicherheitsansätze und kritische Infrastrukturen (V6.9.4)

Transkript

1 Helmut Klarer Arbeitsgruppe ICS CYBER SECURITY AUSTRIA Verein zur Förderung der Sicherheit Österreichs strategischer Infrastruktur Differenzierung IKT und ICS Klassische IKT Sicherheitsansätze und kritische Infrastrukturen (V6.9.4)

2 Problemauslöser: idente Technik TCP:????? Dynamische Funktionen (Aufgaben. Mitarbeiter) IEC IEC 61850: Layer2+ Statische Funktionen (Anlagen/Prozesse) IEC IEC heute 2010 IEC IEC IEC IEC Proprietäre Protokolle (Auszug) 1980

3 Konfliktzone: Funktion ICS Systeme benutzen zum Teil IKT Systeme oder idente Hardware, sie funktionieren aber nicht wie ein IKT System! System = Hardware + Funktion IKT = VoIP, Printserver, Mail, IIS, SAP, Handy/Blackberry, Teleworker IDS, Skype, Teamviewer, Urlfilter, Content Filter, ICS = Binäre I/Os, 4-20mA Analogwerte, SPS Funktion, Port 80 gesperrt, kein Internet, Echtzeit-Protokolle, Erkennen der Konfliktzonen

4 Security by Design Quelle: Quelle: IEC Business-IT -- flach -- Business Security vs. ICS-IT -- hierarchisch -- individuelles Zoning Erkennen der Konfliktzonen / Schichtenmodell

5 Business-IT Prozesse in einer Minute Sicherheit vor Funktion Mitarbeiter haben ihre Arbeitsweise an die Security/Rollen anzupassen Quelle: Erkennen der Konfliktzonen

6 ICS / SCADA Prozesse in einer Minute Funktion vor Sicherheit Die Anlage MUSS weiterlaufen -> Die Security wird um definierte Anlagenfunktionen aufgebaut Erkennen der Konfliktzonen / IP Adressen, Hochlauf, Anzahl

7 Unterschiede Verständnis: Schutzzielpriorisierung

8 Funktionsverantwortung Früher Gesamtanlage xyz Automation Funktion x Datenübertragung 0=0V, 1=230V Funktion y Automation Funktion z Bildquellen: links: Siemens AG, rechts: Erkennen der Konfliktzonen

9 Funktionsverantwortung Heute Ändert sich durch die Änderung des Kommunikationsmedium die prozessbezogene Anlagenverantwortung? Gesamtanlage xyz oder??? Automation Funktion x Datenübertragung 0=0V, 1=12V Funktion y Automation Funktion y Bildquellen: links: Siemens AG, rechts: Erkennen der Konfliktzonen

10 Anlagenbetreuung Ausbildung Business-IT /Office-IT ICS Keine Vorschriften und Pflichten Für Ausbildung zur Errichtung, Betrieb und Instandhaltung einer EDV bzw. IT oder Server Anlage. Herstellerspezifische Seminare und Ausbildung (SAP, Oracle, Microsoft, Cisco,..) von Vorteil! Ausbildungen Pflicht (z.b. Innungen) Hochspannungsanlagen Wasserkraftanlagen Medizinanlagen Chemieanlagen Eisenbahnanlagen Fertigungsanlagen Fachwissen und erforderliche Qualifikation (Normen) für die zu steuernden Anlagen muss nachweisbar! vorhanden sein. Ausbildung & Empfehlung

11 Trugschluss Die Aussage: Ich habe schon IT Mitarbeiter. Die sollen die Netzwerkgeräte in der Produktion gleich mit betreuen. ist daher in dieser Form nicht anwendbar. Der Business-IT Spezialist kommt/darf möglicherweise gar nicht in die Nähe der ICS Netzwerkgeräte! Er darf aber mit Sicherheit diese NICHT betreuen! Aber Warum?? Früher hatte Schadsoftware durch die proprietären Geräte keine Angriffsvektoren. Heute jedoch durch die günstigen Netzwerkboxen mit Mio. fach produzierten Standard OS und Chips Ausbildung & Empfehlung

12 Unter dem Strich LCC Gesamtsystemkosten 25 Jahre Hardware Hardware Konfig Konfig Security Security 500 SNMP Box Fernwirksystem , ,60 LCC Gesamtkosten / Invest, Erhaltung, Std Chips

13 Gemeinsam statt einsam CISO & CASO Optimal: Es gibt für die Business-IT (CISO) und für ICS (CASO) je einen Verantwortlichen. Diese stehen hierarchisch auf der selben Ebene. Für KMU s und Kleinbetriebe: Aus wirtschaftlichen Gründen sind CASO + CISO eine Person: Wichtig ist hierbei jedoch: der Mitarbeiter muss sich der beiden unterschiedlichen Funktionen bewusst sein und entsprechend differenziert handeln! Ausbildung & Empfehlung

14 Technische Anforderungen Business-IT Telegrammwiederholung erlaubt Auf Geschwindigkeit getrimmt Zentrale Serverfarmen Großer Traffic durch Media-Files WLAN und DHCP erlaubt Nicht- Echtzeitanwendungen HW+SW Lifecycle: 2-4 Jahre Redundanzen optional STP/RSTP Std. RJ45 Kabel/Stecker Normale Staub und Virbationsbelastungen Bandbreite >100MBit ICS-IT Telegrammwiederholung verboten Bandbreitenbremsen integriert Dezentrale Anlagenstruktur Wenig Traffic - Spontane Übertragung WLAN und WLAN verboten Echtzeitanwendung HW+SW Lifecycle: Jahre Redundanz durch Ringstruktur MRP/Ringprotokolle Erhöhte Staub- und Vibrationsfestigkeit (tw. M12) Bandbreite 56k? (Fernwartung?) Unterschiede

15 Unterschiede by Security Business-IT OS Patches wöchentlich, ungeprüft Alle Geräte/User flach vernetzt Blacklisting Standard IT/OS Systeme Variierende (User-) Anzahl Komplexe ACL Konfigs Sicherheit durch wenige, aber komplexe ACL Dynamische Netze/User BYOD Bring Your Own Device (Handy, Laptop ca ) ICS-IT Patchfreigabe nach Bedarf, getestet Zoning! Trennung nach Funktion Whitelisting Herstellerproprietär Definierte Geräte & Anzahl Einfache ACL Konfiguration Sicherheit durch Kaskadierung einfacher Systeme Statische Systeme Systemrelevante Hardware (ca ) Unterschiede / Fernwartung

16 Verständnis: Safety vs. Security Quelle: Marco Di Filipo, Compass Secuity und Helmut Klarer Unterschiede / Firewall Not-Aus

17 Aufgabenstellung ICS Stuxnet und Nachfolger: Erkennung durch Std. IKT Technologien: nein Lösung: Parametrierungen in der ICS Anlage Klassische IKT Maßnahmen greifen in der ICS Welt nicht... Mai 2013: Zählertelegramm Antwort an Alle Erkennung durch Std. IKT Technologien: nein Lösung: Parametrierungen der ICS Anlage April 2014: TLS/SSL Bug Viele IKT Anlagen betroffen ICS Anlagen großteils nicht betroffen Events

18 Einsatzgebiet ICS Security Sehr langlebige und globale Infrastrukturanlagen Lange LCC Betrachtung (>15 Jahre) und hohen Schadenspotenzial Bildquellen: Oben links: "Flughafen Stuttgart GmbH", Oben rechts: Unten links: (NOK) unten rechts: (NOK) Standard ASDU 101/104 vs. Netzwerkprotokolle, Industrie 4.0 uvm..

19 Erkenntnisse: Unterschiedliche Anforderungen und Funktionen, aber gleiches Wording und keine formale Differenzierung. ICS Systeme sind kein IKT System (trotz teilweiser Nutzung der Hardware) Unterschiedliche Ziele Nicht gegeneinander, nur Miteinander ist das Ziel erreichbar

20 Quelle: