Vortrag zum Thema: Industrie 4.0 Spannungsfeld zwischen Dateninformation und Sicherheit

Transkript

1 Vortrag zum Thema: Industrie 4.0 Spannungsfeld zwischen Dateninformation und Sicherheit Rexroth Info Day, Baden Mittwoch, 4. November 2015 Beat Kämpfer Managing Director bfa solutions ltd

2 Einleitung Vortrag zu Industrie 4.0 Motivation für Industrie 4.0 und dem Vortragsthema Einleitung Thema Industrie 4.0

3 Einleitung Vortrag zu Industrie 4.0 Die Schlagwörter zum Thema Industrie 4.0 sind vielfältig und nicht selbsterklärend. Insbesondere, wenn man sich mit dem Thema nicht eingehend befasst. Vertikale Integration Smart Factory Horizontale Integration Big Data OPC UA Steuerung aus der Cloud

4 Industrial Control Systems (ICS) Top 10 Bedrohungen Infektion mit Schadsoftware über Internet und Intranet Einschleusen von Schadsoftware über Wechseldatenträger und externer Hardware Social Engineering (Manipulation von Mitarbeitern z.b. Phishing) Menschliches Fehlverhalten und Sabotage Einbruch über Fernwartungszugänge Internetverbundene Steuerungskomponenten Technische Fehlverhaltung und höhere Gewalt Kompromittierung von Smartphones im Produktionsumfeld Kompromittierung von Extranet und Cloud-Komponenten (D)DoS Angriffe

5 Beispiele von Angriffen Zielgerichtete Angriffe auf industrielle Anlagen sind zunehmend professioneller vorbereitet und durchgeführt. Phishing: Unter Phishing versteht man Versuche über gefälschte Webseiten, s oder Kurznachrichten an persönliche Daten eines Internet-Benutzers zu gelangen und damit Identitätsdiebstahl zu begehen. Kryptolocker: Verschlüsselung der Daten des befallenen PC s und Freigabe durch Zahlung eines «Lösegelds». Schwachstelle Historians: Unzulänglichkeiten im Backup- / Recoverykonzept und in der Notfallvorsorge.

6 Industrial Control Systems (ICS) Beispiel Primärgefahr Hacken der Webseiten von Herstellern von Industriekomponenten und versehen der Firmware-Updates mit Schadsoftware. Integrator bzw. Anlagenhersteller wird beim Download infiziert und ausspioniert VPN Zugangsdaten Gespeicherte Passwörter Scan von Industriekomponenten Mitlesen der OPC Kommunikation Zugang über Safety Steuerung

7 Industrial Control Systems (ICS) Beispiel Folgeangriffe Auslesen von Zugangsdaten zur Rechteerweiterung bei IT-Standardkomponenten wie Betriebssysteme, Apple-Server oder Datenbanken Unberechtigterer Zugriff auf weitere interne Systeme, Dienste oder Komponenten, welche keine hinreichende Authentisierung und Autorisierung nutzen Industrial Control Systems (ICS) Top 10 Bedrohungen Eingriff in die Feldbus-Kommunikation, da die meisten Steuerungskomponenten über Klartextprotokolle und somit ungeschützt kommunizieren Manipulation von Netzwerkkomponenten

8

9 Absicherungskonzept Industrie 3.x (HEUTE) Sichere Projektierung und Programmierung durch Einsatz eines sicheren Kanals für die Kommunikation (digitale Signatur) was zu einem erhöhten Kopierschutz des SPS Codes führt Schrittweises Umsetzen von Gegenmassnahmen unter Einführung eines ganzheitlichen Sicherheitsmanagements, welche aus den Top 10 Bedrohungen hervorgerufen werden Für KMU eine Herausforderung, welche nur über die Sensibilisierung der Mitarbeiter erfolgen kann. Mit dem Ziel, dass dies im Endeffekt ein Bestandteil der Unternehmenskultur wird.

10 Hilfsmittel Absicherungskonzept Vom BSI Bundesamt für Sicherheit in der Informationstechnik wurde die Empfehlung Top 10 Bedrohungen und Gegenmassnahmen 2014 publiziert. Ebenfalls vom BSI wird eine Software «Ligth and Right Security ICS» für den Einstieg in die industrielle Cyber-Security unter Einbezug folgender Normen beigestellt ISO Information Security Management IEC62443 Industrial Communication Networks Absicherungskonzept Industrie 3.x (HEUTE) Start Software LARSLARS

11 Big Data und Cloud-Computing BIG DATA AND CLOUD-COMPUTING

12 Firewall Firewall Firewall Geheimhaltung vertraulicher Daten Zentrale Speicherung und Analyse der Daten Anlagenetz A Internet / Mobilfunknetz Produktionsanlage A Cloud Anlagenetz B Produktionsanlage B Anlagenetz C Produktionsanlage C

13 Lösungsansätze Architektur rollenbasierter Zugriffssystemen Gehört in der Business-IT seit langem zum Standard und die Konzepte sind ausgereift. Übertragung auf Cloud System bedarf jedoch gemeinsames Verständnis von der Bedeutung der Rollen und damit verbundenen Aufgaben.

14 Lösungsansätze Sicherstellung der Datenintegrität durch sichere Hardwaremodule Der Client z.b. eine Produktionsanlage möchte mit einem Server in einer internen Unternehmensnetzwerk bzw. in Cloud kommunizieren. Durch Integritätsmessungen wird belegt, ob sich die SW und HW in einem vertrauenswürdigen Zustand befindet.

15 Lösungsansätze Erhöhung der Verfügbarkeit und Integrität von Daten in der Cloud Parallel zur Datenübertragung erfolgt über einen Audit Service eine regelmässige Compliance Überprüfung. Zusätzlich zu Daten wird eine Versionsnummer gespeichert um die Aktualität der Daten überprüfen zu können, als auch eine Checksumme um Speicherfehler zu erkennen.

16 Lösungsansätze Produkt- und Know-how Schutz Um die Gefahr des Nachbaus und des Diebstahls zu erschweren wird in Forschungsarbeiten eine spezielle Schutzfolie entwickelt. Die Folie verschliesst als elektronisches Siegel das Gehäuse und alle kritischen Teile. Bei Siegelbruch wird die Funktionalität deaktiviert. Dabei ist der Schutz auch ohne Stromzufuhr voll funktionsfähig Durch die HW-basierte Verschlüsselung und der Firmware-Verschlüsselung wird ein sehr hohes Sicherheitsniveau erreicht

17 Lösungsansätze Beschränkung von Datenzugriffen in der Cloud Der öffentliche Schlüssel wird von einer dritten Instanz ausgestellt (Private Key Generator). Mit diesem Schlüssel werden die Daten verschlüsselt. Der Empfänger kann die Daten nur entschlüsseln, wenn dieser die für die Entschlüsselung notwendigen Attribute hat.

18 Lösungsansätze Suchen in verschlüsselten Datenbeständen Die Daten und Suchanfragen werden vom Anwender selbst lokal verschlüsselt und auf dem Server abgelegt. Nachteil beim Suchen ist eine Kombination von mehreren Schlüsselwörter wird nicht vollständig unterstützt.

19 Quellenangaben / Literatur Bundesamt für Sicherheit in der Informationstechnik (BSI) Fachberichte aus Datenschutz und Datensicherheit (DuD) Industrie 4.0 in Produktion, Automatisierung und Logistik Quellenangaben

20 Vielen Dank für Ihre Aufmerksamkeit!