Herausforderungen bei der Sicherheit von Unterstationsdaten angehen

Die von Unterstationen generierten Betriebsdaten sind anfällig für Abfangversuche durch unbefugte Akteure, was für Energieunternehmen eine besondere Herausforderung darstellt. Einerseits müssen sie betriebliche Einschränkungen ausbalancieren, andererseits ausreichende Sicherheitsmaßnahmen sicherstellen, um Eindringen oder Datenexfiltration zu vermeiden.

In unserem heutigen Blogbeitrag werfen wir einen tiefen Blick auf das Problem, seine verschiedenen Auswirkungen und empfehlen einige wirksame Abhilfemaßnahmen.

Bevor Sie fortfahren, empfehlen wir Ihnen, sich unseren vorherigen Blogbeitrag anzusehen, der spezifische IEC 62443-3-3-Kontrollen für OT-Betreiber ausführlich behandelt, hier.

Jetzt zurück zu unserem heutigen Beitrag.

Hintergrund

Verschiedene Datenarten werden von Unterstationen während des Routinebetriebs erzeugt. Dazu gehören Betriebsdaten, Kommunikationsdaten und andere nicht betriebsbezogene Daten. Diese Daten fließen in verschiedene betriebliche Aspekte wie Anlagensteuerung, Wartung, betriebliche und Sicherheitsüberwachung und Netzverwaltung ein. Wenn diese Daten anonymisiert und gesichert sind, verringern Unterstationen das Risiko jeglicher Form unerwünschter betrieblicher Eingriffe, Anlagen- oder Datenmanipulation oder Datenexfiltration. Da diese Daten sowohl innerhalb der Unterstation als auch darüber hinaus genutzt werden, kann ein solcher Eingriff auch die Netzstabilität beeinträchtigen.

Hauptherausforderungen in der OT-Sicherheit von Unterstationen

Die Sicherung von Daten in OT-Umgebungen in Unterstationen stellt einzigartige Schwierigkeiten dar, die sich grundlegend von allen Arten traditioneller IT-Sicherheit unterscheiden:

Verbreitung von Altsystemen 

• Anfälligkeit: Viele Unterstationen nutzen ältere, proprietäre oder maßgeschneiderte Steuerungssysteme und IEDs mit extrem langen Betriebslebenszyklen (oft Jahrzehnte). Diese Altsysteme wurden nicht mit Cybersicherheit im Blick entwickelt.

• Auswirkung: Sie können oft nicht einfach gepatcht (oder in einigen Fällen sogar überwacht) werden, reagieren nicht auf neuere Sicherheitskontrollen, haben keine modernen Authentifizierungsmechanismen und sind empfindlich gegenüber aktiven Sicherheitsüberprüfungen, die kritische Operationen stören können. Darüber hinaus sind viele solcher Systeme möglicherweise nicht einmal inventarisiert, und ihre Anwesenheit kann unbemerkt bleiben. Datenlecks, die durch solche Altsysteme entstehen könnten, werden möglicherweise nicht entdeckt.

Vorrang der Verfügbarkeit gegenüber Vertraulichkeit

• Kernauftrag von OT: In einer OT-Umgebung sind Verfügbarkeit (der Strom muss anbleiben und Systeme müssen funktionieren) und Integrität (die Steuerbefehle müssen korrekt sein) von größter Bedeutung, sogar über der Vertraulichkeit. Ein schlecht geplanter Patch oder das Versagen eines Netzwerksicherheitsgeräts könnte zu einem Systemausfall und zu einem Stromausfall führen.

• Konflikt: Traditionelle IT-Sicherheitspraktiken, die möglicherweise häufige Patches und hohe Vertraulichkeit priorisieren, können direkt im Widerspruch zu OT's Bedürfnis nach Stabilität und Sicherheit stehen. Mangelnde pünktliche Patches können solche Systeme nicht nur auf Asset-Ebene, sondern auch auf Netzwerkebene für Datenlecks öffnen.

Das Risiko der IT/OT-Konvergenz

• Die Brücke: Die Integration des Unternehmens-IT-Netzwerks (E-Mail, Internetzugang) mit dem OT-Netzwerk der Unterstation, oft für Fernzugriff oder Datenaggregation, schafft eine gefährliche Brücke.

• Bedrohung: Ein häufiges IT-Angriffsvektor, wie ein Phishing-Angriff oder Malware-Injektion im Unternehmensnetzwerk, kann jetzt der Einstiegspunkt für einen Angreifer sein, um in den sensiblen OT-Bereich einzudringen.

Spezialisierte Protokolle und Sichtbarkeitslücken

• Einzigartige Sprache: OT-Systeme kommunizieren über spezialisierte industrielle Protokolle (wie IEC 61850, DNP3, Modbus). Die meisten herkömmlichen IT-Sicherheitstools (wie Firewalls und IDS) können den Inhalt dieser Protokolle nicht „verstehen“ oder inspizieren.

• Blinde Flecken: Dieses Fehlen einer tiefgehenden Paketinspektion führt zu Sichtbarkeitslücken, die es schwierig machen, ausgeklügelte Angriffe zu erkennen, die legitime OT-Befehle missbrauchen (z. B. die Industroyer-Malware).

Menschlicher Faktor und unzureichende Ausbildung

• Personenrisiko: Unzureichend geschultes Personal oder die Nutzung öffentlicher/unsicherer Kommunikationskanäle kann einen erheblichen Einstiegspunkt darstellen.

• Insider-Bedrohung: Böswillige oder versehentliche Handlungen eines Mitarbeiters oder Auftragnehmers mit autorisiertem physischem/ferngesteuertem Zugang können zu unbefugten Konfigurationsänderungen führen, die die operationale Integrität des Systems kompromittieren.

Was passiert, wenn OT-Assets oder Netzwerke in einer Unterstation Daten lecken?

Die geleakten Daten könnten Hackern Informationen über das Netzwerk der Unterstation liefern. Dazu gehören verwendete Protokolle, Netzwerkkonfigurationen, Status der Vermögensnutzung, Netzwerkverkehrs-Baseline und mehr. Mit diesen Daten können Bedrohungsakteure DDoS-Angriffe durchführen oder maßgeschneiderte Malware erstellen und einsetzen. Wenn ausgeklügelte Bedrohungsakteure Informationen zur Netzwerktopologie ernten, können sie Man-in-the-Middle-Angriffe durchführen, risikoreiche Befehle auslösen, Kommunikationsstörungen verursachen und Anlagen abschalten, was die Netzstabilität gefährdet.

Abhilfemaßnahmen und Best Practices zur Gewährleistung der Sicherheit von Unterstationen

Die Sicherung einer elektrischen Unterstation erfordert einen umfassenden, tiefgreifenden Verteidigungsansatz, der speziell auf die OT-Umgebung zugeschnitten ist.

Robuste Netzwerkarchitektur und Segmentierung

• Netzwerksegmentierung (Zoning): Implementieren Sie eine strikte Segmentierung des OT-Netzwerks vom IT-Netzwerk mithilfe industrieller Firewalls. Erstellen Sie sichere Zonen innerhalb der Unterstation, um Steuerungssysteme (wie IEDs und PLCs) von weniger kritischen Systemen zu isolieren.

• IDMZ (Industrielle Demilitarisierte Zone): Verwenden Sie eine IDMZ als sichere, gepufferte Zone, um den Datenfluss und den Fernzugriff zwischen IT- und OT-Netzwerken zu verwalten, sodass keine direkte Kommunikationsverbindung besteht.

Umfassendes Asset-Inventar und -Überwachung

• Kennen Sie Ihre Assets: Pflegen Sie ein Echtzeit-Inventar jeder OT-Anlage (IED, PLC, HMIs, Netzwerkgeräte), einschließlich Firmware-Versionen, Betriebssystemen und Schwachstellen. Man kann nicht sichern, was man nicht kennt.

• Passives Monitoring: Setzen Sie OT-bewusste Intrusion Detection Systems (IDS) ein, die passive Entdeckungstechniken verwenden, um den industriellen Netzwerkverkehr zu überwachen. Diese Tools können anormales Verhalten oder unautorisierte Protokollbefehle identifizieren, ohne aktiv zu scannen oder sensible Geräte zu stören.

Identität, Zugang und Konfigurationsmanagement

• Prinzip der minimalen Rechte: Implementieren Sie eine rollenbasierte Zugangskontrolle (RBAC), um sicherzustellen, dass Bediener und Wartungspersonal nur den für ihre spezifischen Aufgaben erforderlichen minimalen Zugang haben. Entfernen Sie alle Standardzugangsdaten.

• Sichere Fernzugriffe: Alle Fernverbindungen (z.B. für Anbieter oder Ingenieure) müssen eine Zero-Trust-Architektur verwenden, streng kontrolliert werden, Multi-Faktor-Authentifizierung (MFA) verwenden und zeitlich begrenzt und protokolliert sein.

• Konfigurationskontrolle: Verwenden Sie Versionskontrolle und Integritätschecks auf IED/Relais-Konfigurationsdateien. Unautorisierte Änderungen der Schutzeinstellungen sind ein häufiges Angriffsvektor und müssen sofort gemeldet werden.

Patching und ausgleichende Kontrollen

• Diszipliniertes Patch-Management: Während ein vollständiges Patchen für Altsysteme möglicherweise nicht immer möglich ist, muss ein formaler Prozess vorhanden sein. Testen Sie alle Patches umfassend in einer Lab-Umgebung, bevor sie bereitgestellt werden.

• Ausgleichskontrollen: Für nicht patchbare oder anfällige Altsysteme oder bei verzögerten Patches setzen Sie industrielle Firewalls vor ihnen ein, um bösartigen Datenverkehr zu filtern, oder verwenden Sie Daten-Dioden, um einen Einweg-Datenfluss zu erzwingen, sodass physische Steuerbefehle nicht zurück in das System gesendet werden können.

Training und Incident Response

• Cyberbewusstsein: Führen Sie regelmäßige, OT-spezifische Cybersicherheitsschulungen für alle Mitarbeiter durch, einschließlich Bedienern, Ingenieuren und Wartungspersonal, wobei der Schwerpunkt auf physischer Sicherheit, Phishing und den Gefahren von Wechselmedien liegt.

• Üben, dokumentieren und reagieren: Entwickeln Sie einen robusten, eingeübten Reaktionsplan für Vorfälle, der speziell für OT-Vorfälle gilt. Dieser Plan muss die Isolierung und Wiederherstellung physischer Steuerungssysteme gegenüber traditionellen Datenermittlungen priorisieren.

Verwendung von Topologie-Morphing

· Virtuelles Knoten-Spoofing: Virtuelle Knoten können eingeführt werden, um die tatsächliche Struktur des Netzwerks zu verbergen.

· Ködergeräte: Digitale Zwillinge von Kronjuwelen können eingeführt werden, um Hacker zu verwirren

· IP-Dynamismus: Häufiges Ändern der IP-Adressen von Knoten kann Systeme sichern, indem es Hackern erschwert wird, sich an Vermögenswerte zu binden.

· Ködernetzwerke: Falsche Netzwerke können erstellt werden, um Hacker zu verwirren

· Konfigurationen so oft wie möglich ändern: Durch das Ändern von Systemkonfigurationen wird es schwerer für Hacker, Netzwerk- und Vermögensdynamiken zu verstehen

· MAC-Spoofing: Häufiges Ändern der MAC-Adresse kann Angreifer verwirren und desorientieren.

· Falsche Datenpakete: Falsche Pakete können es Hackern erschweren, die tatsächlichen Netzwerkmerkmale zu bestimmen.

· Verkehrsverschleierung: Manipulation von Verkehrsmustern zur Veränderung von Verkehrsmerkmalen, um Vorhersehbarkeit zu eliminieren.

Die Annahme einer gehärteten Datensicherheitsposition, die den einzigartigen Anforderungen des Stromnetzes entspricht, ist ein wesentlicher erster Schritt zur Sicherstellung der Energieinfrastruktursicherheit auf der Ebene der Unterstation. Um das Licht an zu halten, ist es wesentliche, dass die oben geteilten Praktiken von Unterstationen angenommen werden.

Shieldworkz kann Ihr Partner werden zur Sicherung Ihrer Unterstation. Testen Sie unser NDR-Lösung.

Laden Sie unseren IEC 62443 Checkliste für sichere OT-Operationen herunter

Werden Sie IEC 62443 konform in 5 Wochen mit unserem Launchpad-Programm

Finden Sie die vollständige Geschichte hinter dem Asahi Brauereiangriff heraus, hier.