Schutz kritischer Infrastrukturen MELANI

Transkript

1 Schutz kritischer Infrastrukturen MELANI Melde- und Analysestelle Informationssicherung Dr. Ruedi Rytz Leiter MELANI Informatikstrategieorgan Bund Friedheimweg 14 CH-3003 Bern Telefon +41-(0) Fax +41-(0) Informatikstrategieorgan Bund Unité de stratégie informatique de la Confédération Organo strategia informatica della Confederazione Organ da strategia informatica de la confederaziun Inhalt Was sind kritische Infrastrukturen? Beispiele von Vorfällen in kritischen Infrastrukturen Zweck, Aufgaben und Organisation von MELANI Beispiele der Arbeit von MELANI Aktuelle Lage / Trends 2

2 Kritische Infrastrukturen Systeme, die für das Funktionieren der Gesellschaft kritisch sind: Energieversorgung Telekommunikation Finanz- und Versicherungswesen Transport und Logistik Notfall- und Rettungswesen Gesundheitswesen (inkl. Wasserversorgung) Regierung und öffentliche Verwaltungen Im Informationszeitalter hängen diese immer mehr von der IT ab! 3 Beispiel 1: 14. August 2003 Blackout in den USA/Kanada 1/3 Donnerstag Nachmittag: New York, Detroit, Ottawa und Toronto ohne Strom Dramatische Auswirkungen auf (Berufs)verkehr (Leitsysteme, U- Bahnen, ) Flughäfen (Check-In) Wasserversorgung (elektrische Pumpen) Zusammenbruch der Telefonie (Festnetz und Mobil) 4

3 Beispiel 1: 14. August 2003 Blackout in den USA/Kanada 2/3 Ursache: Überlastung eines Kraftwerks bei den Niagara-Fällen nach einem Blitzschlag? Anschliessend gehen 21 Kraftwerke vom Netz ( Domino Effekt). Stromnetze müssten sich bei Überlast entkoppeln. Diese Entkopplung geschieht Computer gesteuert ( SCADA-System). 5 Beispiel 1: 14. August 2003 Blackout in den USA/Kanada 3/3 Stromnetze müssten sich bei Überlast entkoppeln. Diese Entkopplung geschieht Computer gesteuert ( SCADA-System). SCADA-System setzt OLE for Process Control (OPC) ein. OPC basiert auf Microsofts COM/DCOM- Modell. Am 12. August ist der Blaster Wurm ausgebrochen; er nutzte Sicherheitslücken in COM/DCOM. 6

4 Beispiel 2: 25. Januar 2003 Davis-Besse Kernkraftwerk, Ohio 1/2 Am 25. Januar 2003 dringt der Slammer Wurm ins LAN des KKW ein. vermutlich über die ungesicherte Verbindung eines Vertragpartners (an der Firewall vorbei!) Patch für MS-SQL Verwundbarkeit ist nicht eingespielt worden (obwohl man 6 Monate Zeit gehabt hätte). Sicherheitsüberwachungssystem fällt für 5 Stunden aus. Kühlsystem, Reaktortemperatur, Radioaktive Strahlungswerte 7 Beispiel 2: 25. Januar 2003 Davis-Besse Kernkraftwerk, Ohio 2/2 Der Vorfall verläuft glimpflich: KKW ist zu diesem Zeitpunkt in Revision Analoges System (noch) vorhanden 8

5 Beispiel 3: 2. Oktober 2004 DDoS auf Worldpay (Royal Bank of Scotland) DDoS-Attacke führt zum fast vollständigen Erliegen der Finanztransaktionen Geschäfte in 70 Ländern sind betroffen. Einige erleiden Umsatzeinbussen zwischen 50 80% während 2 3 Tagen. 9 Partnerschaft zwischen Verwaltung und Wirtschaft (PPP) Staatsaufgabe: Artikel 2, Absatz 2 der Bundesverfassung [ ] die gemeinsame Wohlfahrt Mitarbeit der Wirtschaft unerlässlich Public Private Partnership (PPP) 10

6 Schutz kritischer Informationsinfrastrukturen in der Schweiz Krise Vorfälle Tagesgeschäft 11 Organisation von MELANI: Funktionalitäten Kooperationspartner Nachrichtendienstliche Funktion Dienst für Analyse und Prävention (DAP) Fachstelle für politisch motiviertes Hacking, Computerkriminalität und Staatsschutz Etablierte Zusammenarbeit mit der Wirtschaft, Kontaktnetz CERT-Funktion Swiss Education & Research Network (SWITCH) Mehrjährige Erfahrung im Betrieb eines CERT Einbettung in weltweites CERT-Netzwerk (FIRST,...) Leitung und Fachfunktion Informatikstrategieorgan Bund () 12

7 Organisationsmodell FEDPOL SWITCH Chef SONIA Jürg Römer Leiter MELANI Ruedi Rytz MELANI Information Leiter Lagezentrum Marc Henauer Leiter SWITCH-CERT Christoph Graf MELANI Analytiker Wissenschaftliche MA 13 Kundenkreise 1/2 Kundenkreis Mitglieder Geschlossen SWITCH-CERT Lagezentrum ausgewählte Betreiber kritischer Infrastrukturen Offen Lagezentrum KMU Bürger Anzahl Im Jahr 2005: 30 bis 60 Personen unbeschränkt Vertrauen starkes Vertrauensverhältnis unpersönlich Aufbau des Vertrauens MELANI (Treffen, MELANI-Net) Medien, WWW, Präsenz an Ausstellungen (z.b. Cybernetguard) KMU: Branchenverbände 14

8 Kundenkreise 2/2 Kundenkreis Geschlossen SWITCH-CERT Lagezentrum Offen Lagezentrum Kontakt admin.ch MELANI-Net admin.ch MELANI-Net admin.ch Fax, Telefon Fax, Telefon (7/24 Erreichbarkeit) 15 Offener Kundenkreis (OK): Dienstleistungen (für KMU und Bürger) Bedeutung für die Wirtschaft (> 95% KMU) Wissensdefizit vor allem im Bereich IT- und Internet- Sicherheit Gefährdung anderer Netzteilnehmer inklusive kritischer Infrastrukturen Jeder einzelne kann zur Sicherheit beitragen Kein attraktives Publikum für kommerzielle Anbieter ( kritische Masse) Fokus auf Internet-Sicherheit und Prävention Warnung vor Verletzlichkeiten ( Viren, Würmer) 16

9 Offener Kundenkreis (OK): bietet 1/3 Prävention: Informationen zum Schutz von PC und Daten Grundschutz (Beschreibung der Massnahmen) Informationen zu gängigen Gefahren und Risiken Linkliste mit Tools, Software, usw. Schritt-für-Schritt-Anleitungen (wie z.b. zum sicheren ebanking, Sicherheitseinstellungen für Betriebssysteme wie Windows XP, Mac OS X) (Schweizerische Bankiervereinigung publizierte ihr Merkblatt Sicherheit im Zahlungsverkehr u.a. auch auf MELANI) Demonstrationen und Lernprogramme 17 Schritt-für-Schritt-Anleitungen am Beispiel Windows XP 18

10 Offener Kundenkreis (OK): bietet 2/3 Meldungen zu aktuellen Gefahren und Risiken Wahlweise über -dienst (Newsletter) oder RSS-Feed Nur wenn durch Grundschutz nicht abgedeckt keine Flut von Warnungen vor Viren, Würmern, usw. Bezug zur Schweiz (z.b. Phishing-Attacken auf Bankinstitute wie in der MELANI-Warnung vom 18. März 2005) 19 Offener Kundenkreis (OK): bietet 3/3 Meldemöglichkeit von vorgefallenen Attacken oder Ereignissen über ein Meldeformular Kostenlose Beratung Bis heute ca. 300-mal genutzt Hat in einzelnen Fällen zur Aufnahme von Ermittlungsverfahren geführt 20

11 wird referenziert von PostFinance Raiffeisenbanken Kantonalbanken (Zürich, Nidwalden, Zug, Aargau, ) Fachzeitschriften (PCTipp, InfoWeek, Computerworld, Netzwoche, ) Datenschutzbeauftragte (Luzern, Basel Land, ) Bundesamt für Sicherheit in der Informationstechnik BSI (D) und andere mehr 21 Geschlossener Kundenkreis (GK): Grundsätze zur Mitgliedschaft Nur Firmen / Organisationen aus den kritischen Infrastrukturen können Mitglied von MELANI sein. Die Firma / Organisation bestimmt maximal zwei Personen, welche die Firma / Organisation bei MELANI vertreten. Diese Personen können bei MELANI je einen Stellvertreter anmelden. Weiter sind gewisse Verhaltensregeln zu befolgen (z.b. betreffend die Weitergabe von klassifizierten Informationen). Um die Pflichten / Verhaltensregeln verbindlich zu machen, ist ein Non-Disclosure Agreement (NDA) zu unterschreiben. 22

12 Geschlossener Kundenkreis (GK): Mitglieder (Oktober 2005) Kritische Infrastruktur # Firmen Telekommunikation: 4 Energieversorgung: 2 Finanzwesen: 7 (1) Transport und Logistik: 2 Öffentliche Verwaltung: 2 (1) Total: 17 (2) 23 Kritische Infrastrukturen MELANI Opfer GK: Dienstleistungen 1) Unterstützung Suche nach Ursprung und Funktionsweise von Attacken Abwehrmassnahmen und Prävention Rechtsberatung, usw. M Netzwerk: CERTs Nachrichtendienste Kunden (S 1 S n ) 2) Alarm S 1 S 2 S n 3) Lage: Netzwerk & kritische Infrastrukturen (nicht auf IT beschränkt) Effizienzsteigerung, Eindämmung durch Früherkennung, Kooperation 4) Lessons Learned Strategien zur Risikovermeidung und Schadensminderung 24

13 MELANI: Die Nationale Anlaufstelle Betreiber kritischer Infrastrukturen MELANI Schweiz CIIP-Netzwerk / Entscheidträger () Nachrichtendienst (FEDPOL: DAP) Strafverfolgung (FEDPOL: KOBIK) CERT (SWITCH) Weltweite Kooperation Bundesamt für Sicherheit in der Informationstechnik (BSI) National Infrastructure Security Co-ordination Centre (NISCC) Department of Homeland Security (DHS) Club de Berne Internationale Zusammenarbeit von Partnerdiensten High Tech Crime Units Europol, Interpol Konvention gegen Cyberkriminalität (Europarat) European Government CERTs (EGC) Task Force CSIRT in Europa (TF-CSIRT) Forum of Incident Response and Security Teams (FIRST) 25 Fallbeispiel 1: Stakkato 1/5 SWITCH-CERT erfährt aus den USA von einem Einbruchversuch in einen Hochleistungsrechner von der Schweiz aus. Auf dem Rechner in der Schweiz wurde ein Root-Kit installiert. Weitere Institutionen in S und GB sind auch betroffen. Recherchen von SWITCH-CERT ergeben: Arbeit eines Profis Ermittlung einer statischen IP-Adresse in GB als Ausgangspunkt für den Einbruchversuch in einen weiteren Rechner in den USA. 26

14 Fallbeispiel 1: Stakkato 2/5 Weltweit sind Tausende von Hochleistungsrechnern (mit entsprechender Bandbreite des Internet-Anschlusses) in der Hand des Hackers. Grosses Angriffspotential muss vermutet werden. Ziel des Hackers ist unbekannt. Mögliche Bedrohung für kritische Infrastrukturen. SWITCH- CERT meldet den Vorfall ans Lagezentrum MELANI. Nachforschungen bei KOBIK (ohne Angabe der Informationsquelle!) ergeben, dass in den USA und S im Fall Stakkato bereits Strafverfahren eröffnet wurden. Ein Rechtshilfeersuchen von den USA wurde bereits durch die lokalen Behörden erledigt. 27 Fallbeispiel 1: Stakkato 3/5 MELANI arbeitete mit den zuständigen Stellen in GB, um mehr über die vom SWITCH-CERT gefundene statische IP-Adresse (und die Absichten des Hackers) zu erfahren. Internationale Zusammenarbeit (unter Beteiligung von MELANI) führte zur Identifikation der Täterschaft (Gruppe Jugendlicher & ein erfahrener Hacker?). Auf die Warnung des geschlossenen Kundenkreises konnte verzichtet werden. 28

15 Fallbeispiel 1: Stakkato 4/5 29 Fallbeispiel 1: Stakkato 5/5 30

16 Fallbeispiel 2: Phishing-Attacke 1/3 Eine Attacke gegen ein Mitglied des GK wird am Sonntag an MELANI gemeldet. In einer ersten Reaktion nimmt ein MELANI-Mitarbeiter im Fernsehen zu Phishing im Allgemeinen Stellung. Bereits seit Stunden ist das SWITCH-CERT dabei, die einzelnen Redirect- Server vom Netz zu nehmen. Entsprechend dem Wunsch des betroffenen GK-Mitglieds fragt das Lagezentrum bei weiteren Mitgliedern der GK an, ob die Phishing-Mails mittels Filtern geblockt werden könnten, was im Verlauf des Tages auch geschieht. 31 Fallbeispiel 2: Phishing-Attacke 2/3 MELANI kann zuständige Person bei der Strafverfolgung vermitteln und diese mit den bereits gemachten Nachforschungen und Ergebnissen versorgen. Zwei Tage nach der Phishing-Attacke wird durch einen Kontakt des SWITCH-CERT gemeldet, dass der Haupt-Redirect-Server vom Netz genommen werden konnte. Ein Abschlussbericht und die Nachbesprechung wird von MELANI verfasst und die Lessons Learned werden dem GK zur Verfügung gestellt. Ein Security Advisory zur verwendeten, äusserst kritischen Art des Angriffes wird ebenfalls an Mitglieder des Sektors Finanz im GK versandt. 32

17 Fallbeispiel 2: Phishing-Attacke 3/3 33 Fallbeispiel 3: Industriespionage Bezug zur Schweiz? 1/3 Im Rahmen eines Falles der Industriespionage mit einem individualisierten Trojanischen Pferd in Israel klärt MELANI einen möglichen Bezug zur Schweiz ab. Faktenlage: Zwei israelische Staatsbürger wurden als Programmierer und Vertreiber des Trojaners verhaftet. Weiter wurden 7 CEOs und CSOs israelischer Firmen unter dem Verdacht der Spionage verhaftet. Die Trojaner rapportierten auf verschiedene FTP-Server in den USA, Deutschland und Israel. Involviert sind Interpol, NHTCU (GB), LKA (D) sowie die israelische Polizei. 34

18 Fallbeispiel 3: Industriespionage Bezug zur Schweiz? 2/3 Involviert sind Interpol, NHTCU (UK), LKA (D) und die israelische Polizei. Der Bezug zur Schweiz beschränkt sich auf einen Scheidungsfall ohne weitere Implikationen für den GK. Eine Kopie des verwendeten Trojanischen Pferdes wird im Moment von MELANI untersucht, resp. ausgewertet. Erkenntnisse werden gegebenenfalls an den GK weitergegeben. 35 Fallbeispiel 3: Industriespionage Bezug zur Schweiz? 3/3 36

19 Lage / Trends 1/2 Industriespionage per Malware Der Fall in Israel, sowie die aufgedeckten Fälle der Spionage in GB und den USA durch eine vermutlich chinesische Tätergruppe zeigen diesen Trend auf. Die eingesetzte Malware (Trojanische Pferde) ist massgefertigt und wird über Social Engineering in kleinen Zahlen verbreitet ( Erkennung durch Virenscanner schwierig). Vor allem im Falle der Spionage gegen die GB- und US- Behörden ist davon auszugehen, dass die Täterschaft nicht alleine und nicht losgelöst von staatlichen Interessen handelte. Aufgrund der hohen Innovationsdichte in der Schweiz sind solche Angriffe seitens Regierungen und Konkurrenten nicht auszuschliessen, sondern zu erwarten. 37 Lage / Trends 2/2 Professionalisierung des Cybercrime Die Zeiten, in denen ein einsamer Hacker nur sozialen Kontakt zum Pizzakurier pflegte, sind vorbei. Die Hacker teilen sich die Arbeit gegenseitig auf, d.h. arbeiten zusammen. Vertreter der organisierten Kriminalität verschaffen sich Zugang zum Hacker-Know-How (durch Bezahlung, Erpressung, usw.) und wissen dieses für sich zu nutzen. Verfügbar ist grundsätzlich alles von massgeschneiderter Malware bis zu schlagkräftigen Botnetzen. Grundsätzlich gilt: Money meets Skills. 38