Ansprechen der Herausforderungen bei der Datensicherheit in Umspannwerken

Betriebsdaten, die von Umspannwerken erzeugt werden, sind für den Zugriff durch unbefugte Akteure anfällig, was für Energieunternehmen eine besondere Herausforderung darstellt. Einerseits müssen sie operative Einschränkungen ausbalancieren und andererseits eine ausreichende Sicherheit gewährleisten, um jegliche Eindringung oder Datenexfiltration zu vermeiden.

Im heutigen Blogbeitrag werfen wir einen tiefen Blick auf das Problem, seine verschiedenen Auswirkungen und schlagen einige Abhilfemaßnahmen vor, die funktionieren.

Bevor Sie fortfahren, empfehlen wir Ihnen, sich unseren vorherigen Blogbeitrag anzusehen, der spezifische IEC 62443-3-3-Kontrollen für OT-Betreiber ausführlich behandelt, hier.

Nun zurück zu unserem Beitrag für heute.

Hintergrund

Verschiedene Arten von Daten werden von Umspannwerken während des Routinebetriebs erzeugt. Dazu gehören Daten zu Betrieb, Kommunikation und anderen nicht-betriebsnotwendigen Daten. Diese Daten fließen in verschiedene Betriebsaspekte ein, wie beispielsweise die Anlagensteuerung, Wartung, Betriebs- und Sicherheitsüberwachung und Netzmanagement. Wenn diese Daten anonymisiert und gesichert sind, verringern Umspannwerke das Risiko jeglicher ungewollter betrieblicher Interferenzen, Anlagen- oder Datenmanipulationen oder Datenexfiltration. Da diese Daten sowohl innerhalb als auch außerhalb des Umspannwerkes genutzt werden, kann eine solche Interferenz auch die Netzstabilität beeinflussen.

Zentrale Herausforderungen bei der OT-Sicherheit in Umspannwerken

Die Sicherung von Daten im Zusammenhang mit OT-Umgebungen in Umspannwerken stellt einzigartige Schwierigkeiten dar, die sich grundlegend von allen Arten traditioneller IT-Sicherheit unterscheiden:

Häufigkeit von Altsystemen  

• Verwundbarkeit: Viele Umspannwerke nutzen ältere, proprietäre oder kundenspezifisch entwickelte Steuerungssysteme und IEDs mit extrem langen Betriebslebenszyklen (oft Jahrzehnte). Diese Altsysteme wurden ohne Berücksichtigung der Cyber-Sicherheit entwickelt.

• Auswirkung: Sie können oft nicht einfach gepatcht werden (oder in einigen Fällen überwacht werden), reagieren nicht auf neuere Sicherheitskontrollen, fehlen moderne Authentifizierungsmechanismen und sind empfindlich gegenüber aktiven Sicherheitsscans, die kritische Operationen stören können. Darüber hinaus sind viele solcher Systeme möglicherweise nicht einmal inventarisiert und ihre Präsenz kann unter dem Radar bleiben. Jegliche Datenlecks, die durch solche Altsysteme auftreten können, werden möglicherweise nicht erkannt.

Priorisierung von Verfügbarkeit über Vertraulichkeit

• Kernmandat von OT: In einer OT-Umgebung sind Verfügbarkeit (Energieversorgung und Systemsicherheit) und Integrität (Sicherstellung der Korrektheit von Steuerbefehlen) von größter Bedeutung, sogar über der Vertraulichkeit. Ein unpassend gewähltes Patch oder das Versagen eines Netzwerksicherheitsgeräts könnte zu einem Systemausfall führen, der einen Stromausfall zur Folge hat.

• Konflikt: Traditionelle IT-Sicherheitspraktiken, die häufiges Patching und hohe Vertraulichkeit priorisieren, können direkt mit OT's Bedürfnis nach Stabilität und Sicherheit kollidieren. Fehlendes rechtzeitiges Patching kann wiederum dazu führen, dass diese Systeme nicht nur auf der Anlagetiefe, sondern selbst auf der Netzwerkebene für Datenverluste geöffnet werden.

Das Risiko der IT/OT-Konvergenz

• Die Brücke: Die Integration des Unternehmens-IT-Netzwerks (E-Mail, Internetzugang) in das OT-Netzwerk des Umspannwerkes, oft für Fernzugriff oder Datenaggregation, schafft eine gefährliche Brücke.

• Bedrohung: Ein gemeinsamer IT-Angriff, wie ein Phishing-Angriff oder eine Malware-Injektion im Unternehmensnetzwerk, kann nun der anfängliche Einstiegspunkt sein, für einen Angreifer, um in den sensiblen OT-Bereich zu schwenken.

Spezialisierte Protokolle und Sichtbarkeitslücken

• Einzigartige Sprache: OT-Systeme kommunizieren über spezialisierte Industrieprotokolle (wie IEC 61850, DNP3, Modbus). Die meisten konventionellen IT-Sicherheits-Tools (wie Firewalls und IDS) können den Inhalt dieser Protokolle nicht "verstehen" oder inspizieren.

• Blinde Flecken: Dieses Fehlen einer tiefen Paketinspektion führt zu Sichtbarkeitslücken, die es schwierig machen, ausgeklügelte Angriffe zu erkennen, die legitime OT-Befehle missbrauchen (z.B. die Industroyer-Malware).

Menschlicher Faktor und unzureichende Schulung

• Personalrisiko: Unzureichend geschultes Personal oder die Nutzung öffentlicher/ungesicherter Kommunikationskanäle können einen großen Einstiegspunkt darstellen.

• Insider Bedrohung: Bösartige oder versehentliche Handlungen eines Mitarbeiters oder Auftragnehmers mit autorisiertem physischem/fernbasiertem Zugriff können zu unbefugten Konfigurationsänderungen führen, die die betriebliche Integrität des Systems beeinträchtigen.

Was passiert, wenn OT-Assets oder Netzwerke in einem Umspannwerk Daten verlieren?

Die verlorenen Daten könnten Hackern Informationen über das Umspannwerksnetzwerk liefern. Dazu gehören verwendete Protokolle, Netzwerkkonfigurationen, Status der Nutzung von Anlagen, Basislinien des Netzwerkverkehrs und mehr. Mit diesen Daten können Bedrohungsakteure DDoS-Angriffe starten oder maßgeschneiderte Malware entwickeln und implementieren. Wenn ausgeklügelte Bedrohungsakteure Informationen über die Netzwerktopologie ernten, können sie Man-in-the-Middle-Angriffe durchführen, hochriskante Befehle abfeuern, die Kommunikation stören und Anlagen abschalten, was zu Netzinstabilität führt.

Abhilfe und bewährte Praktiken zur Sicherstellung der Sicherheit von Umspannwerken

Die Sicherung eines elektrischen Umspannwerks erfordert einen gestuften, tiefgreifenden Verteidigungsansatz, der speziell auf die OT-Umgebung zugeschnitten ist.

Robuste Netzarchitektur und Segmentierung

• Netzwerksegmentierung (Zoning): Implementieren Sie eine strenge Segmentierung des OT-Netzwerks vom IT-Netzwerk mittels Industrie-Firewalls. Erstellen Sie sichere Zonen innerhalb des Umspannwerkes, indem Sie Steuerungssysteme (wie IEDs und PLCs) von weniger kritischen Systemen isolieren.

• IDMZ (Industrial Demilitarized Zone): Verwenden Sie eine IDMZ als sicheren, gepufferten Bereich, um den Datenfluss und den Fernzugriff zwischen dem IT- und dem OT-Netzwerk zu verwalten und sicherzustellen, dass keine direkte Kommunikationsverbindung besteht.

Umfassende Bestandsaufnahme und Überwachung von Assets

• Kennen Sie Ihre Assets: Führen Sie eine Echtzeit-, detaillierte Inventarisierung jedes OT-Assets (IED, PLC, HMIs, Netzwerkgeräte) durch, einschließlich Firmware-Versionen, Betriebssysteme und Schwachstellen. Sie können nichts sichern, was Sie nicht kennen.

• Passive Überwachung: Setzen Sie OT-fähige Intrusion Detection Systems (IDS) ein, die passive Entdeckungsmethoden nutzen, um den industriellen Netzwerkverkehr zu überwachen. Diese Werkzeuge können anormale Verhaltensweisen oder unbefugte Protokollbefehle identifizieren, ohne sensible Geräte aktiv zu scannen oder zu stören.

Identitäts-, Zugangs- und Konfigurationsmanagement

• Minimaler Zugriff: Setzen Sie Rollenbasierte Zugriffskontrolle (RBAC) ein, um sicherzustellen, dass Betreiber und Wartungspersonal nur über den minimal erforderlichen Zugriff für ihre spezifischen Aufgaben verfügen. Entfernen Sie alle Standardanmeldeinformationen.

• Sicherer Fernzugriff: Alle Remote-Verbindungen (z.B. für Anbieter oder Ingenieure) müssen eine Zero-Trust-Architektur nutzen, stark kontrolliert werden, eine Multi-Faktor-Authentifizierung (MFA) verwenden und zeitlich begrenzt und protokolliert sein.

• Konfigurationskontrolle: Nutzen Sie Versionskontrollen und Integritätschecks für IED/Relais-Konfigurationsdateien. Unbefugte Änderungen an Schutzsettings sind ein häufiges Angriffsvektor und müssen sofort flaggiert werden.

Patching und kompensierende Kontrollen

• Diszipliniertes Patch-Management: Auch wenn vollständiges Patchen für Altsysteme nicht immer möglich ist, muss ein formaler Prozess in Kraft sein. Testen Sie alle Patches gründlich in einer Laborumgebung vor der Bereitstellung.

• Kompensierende Kontrollen: Für nichtpatchbare oder anfällige Altsysteme oder wenn das Patchen verzögert wird, setzen Sie industrielle Firewalls vor ihnen ein, um bösartigen Traffic zu filtern, oder verwenden Sie Daten-Dioden, um einen unidirektionalen Datenfluss zu erzwingen, sodass physische Steuerbefehle nicht zurück ins System gesendet werden können.

Schulung und Reaktionsfähigkeit auf Vorfälle

• Cyber-Bewusstsein: Führen Sie regelmäßige, OT-spezifische Schulungen zur Cybersicherheit für alle Mitarbeiter durch, einschließlich Betreiber, Ingenieure und Wartungspersonal, mit Fokus auf physischen Schutz, Phishing und die Gefahren von Wechseldatenträgern.

• Übung, Dokumentation und Reaktion: Entwickeln Sie einen robusten, geübten Incident Response Plan speziell für OT-Vorfälle. Dieser Plan muss die Isolierung und Wiederherstellung physischer Steuerungssysteme über traditionelle Datenforensik priorisieren.

Einsatz von Topologieveränderungen

· Virtueller Knoten-Spoofing: Virtuelle Knoten können eingeführt werden, um die tatsächliche Netzwerkstruktur zu verbergen.

· Ködergeräte: Digitale Zwillinge von Kronjuwelen können eingeführt werden, um Hacker zu verwirren

· IP-Dynamik: Häufige Modifizierung der IP-Adressen kann Systeme sichern, indem es Hackern erschwert wird, sich an Assets zu heften   

· Tarnnetzwerke: Falsche Netzwerke können erstellt werden, um Hacker zu verwirren

· Konfigurationen so oft wie möglich ändern: Die Änderungen der Systemkonfigurationen erschweren es Hackern, Netzwerk- und Asset-Dynamiken zu verstehen

· Spoofing von MAC: Häufiges Ändern der MAC-Adresse kann Angreifer verwirren und desorientieren.

· Falsche Datenpakete: Falsche Pakete können es Hackern erschweren, wahre Netzwerkmerkmale zu bestimmen

· Verkehrsverschleierung: Manipulation von Verkehrsmustern, um Verkehrseigenschaften zu verändern und Vorhersehbarkeit zu eliminieren

Die Annahme einer verstärkten Haltung zur Datensicherheit, die sich an den einzigartigen Anforderungen des Stromnetzes orientiert, ist ein wichtiger erster Schritt, um die Sicherheit der Strominfrastruktur auf der Umspannwerksebene zu gewährleisten. Um die Lichter an zu halten, ist es unerlässlich, dass die oben geteilten Praktiken von Umspannwerken übernommen werden.

Shieldworkz kann Ihr Partner werden, um Ihre Umspannstation zu sichern. Testen Sie unsere NDR-Lösung.

Laden Sie unseren IEC 62443-Checkliste für sichere OT-Operationen herunter

Werden Sie in 5 Wochen IEC 62443-konform mit unserem Launchpad-Programm

Erfahren Sie die gesamte Geschichte hinter dem Cyberangriff auf die Asahi-Brauerei, hier.