Angriff auf die Gebäudeautomation Mit diesen Maßnahmen Gebäude vor Cyberangriffen schützen

Anbieter zum Thema

TXOne networks

Bürklin GmbH & Co. KG

Heitec AG

MES Electronic Connect GmbH & Co. KG

Schädliche Programme fernhalten und Lieferketten von Partnern genau unter die Lupe nehmen. Damit Gebäude vor Cyberangriffen geschützt sind, sollte man auf vier Maßnahmen setzen.

In Zeiten teurer Energie sind Smart Buildings eine Antwort. Das sind digital vernetzte Zweckbauten wie Einkaufszentren, Büro- und Logistikgebäuden. Mit Smart Building grenzt man sich gegen Smart Home ab, das vernetzte Techniken in privat genutzten Gebäuden meint.

Das Ziel sowohl bei einem Smart Building und einem Smart Home sind gleich: Die Gebäudeautomation soll dabei helfen, über Sensoren die Nutzergewohnheiten zu registrieren und über programmierbare Geräte Aktoren und Funktionen wie Beleuchtung, Beschattung, Klimaanlage und Heizung zu steuern. Es geht im Kern also immer um Sicherheit, Komfort und Energieeffizienz.

Angriff auf die Gebäudeautomatisierung

So schön die Idee ist, so bieten vernetzte Komponenten immer einen Zugriff von Hackern. Vielleicht ist ein Cyberangriff auf ein privat genutztes Gebäude noch zu verschmerzen; in einem gewerblich genutzten Gebäude kann ein Angriff von außen schnell einen größeren Schaden anrichten. Der OT- (Operational-Technology-)Cybersicherheitsspezialist TXOne Networks hat vier Eckpfeiler aufgestellt, mit denen sich Gebäudeautomationssysteme absichern lassen können. Sie basieren auf den eigen-entwickelten OTZeroTrust-Ansatz und stehen unter dem Motto: „never trust, always verify“.

Ohne Sicherheitskontrollen könnte ein Hacker jedoch das Wohnhaus, Hotel, Krankenhaus, Rechenzentrum, die Sportarena oder sogar die dort verwendeten cloudbasierten Systeme angreifen und schädigen.

Unterschiede zwischen BAS- und ICS-Angriffe

BAS-Angriffe (BAS – Building Automation System) ähneln den Angriffen auf industrielle Kontrollsysteme (ICS), aber es gibt wichtige Unterschiede. Wie ICS-Lösungen sind Gebäudeautomationssysteme anfällig für die Einbringung von Schadsoftware und die Beschädigung von Speichern, wenn ihr Code nicht ausreichend gesichert ist. Clevere Angreifer können etwa aus einem Raspberry-Pi-Computer einen Temperatursensor basteln und mit Schadsoftware versehen zum Einsatz bringen oder einen ungesicherten UDP-Port auf einem Gerät finden, das noch das Standardpasswort verwendet.

Die meisten Angriffe auf ICS-Systeme beginnen damit, dass ein Mitarbeiter selber die Cyberbedrohung an den Arbeitsplatz einschleppt oder die IT-seitigen Abwehrmaßnahmen versagen. Angreifer können theoretisch sogar in das BAS-Netzwerk eindringen ohne Phishing-E-Mails verfassen zu müssen, da die Suche in IoT-Suchmaschinen wie SHODAN oder Censys Hunderttausende von IoT-Geräten mit bekannten Schwachstellen offenbart.

Ein raffinierter Hacker könnte auf Basis der Suchergebnisse ein Skript schreiben und die Suchresultate dafür verwenden, Malware auf jedes einzelne Gerät auf der Liste zu laden. Ein weiterer Unterschied zu ICS-Lösungen besteht darin, dass die physischen Prozesse zur Wartung eines Gebäudes weit weniger kompliziert sind als die zur Kontrolle industrieller Produktionsanlagen. Denn um die Industrieproduktion nachhaltig zu stören, muss Malware sowohl die Sicherheitsmaßnahmen als auch die Zeitabläufe und die jeweilige IT-Umgebung berücksichtigen, welche in der Regel reglementierter und besser geschützt sind als bei einem BAS.

Vier Maßnahmen, um Systeme zur Gebäudeautomation abzusichern

1. Prüfen: Jedes digitale Gerät, das Teil des Gebäudeautomationssystems ist, sollte eine Prüfung durchlaufen. Die häufigste Art und Weise, wie Malware in das BAS eines Unternehmens gelangt, ist, dass vertrauenswürdige Personen sie entweder absichtlich oder versehentlich einschleppen. Unternehmen benötigen außerdem einen Prozess zur Identifizierung und Bearbeitung von Sicherheitsrisiken für alle extern erworbenen Komponenten. Das kann mithilfe automatisierter Tools zur Überwachung und Verfolgung von Schwachstellen geschehen. Mit einem mobilen Sicherheitsscanner kann ein Unternehmen beispielsweise Malware aufspüren und außer Gefecht setzen, bevor das infizierte Endgerät im BAS in Betrieb genommen wird.

2. Sperren: Sperrlisten helfen dabei, den Einsatz bestimmter Endgeräte und den Netzwerkverkehr zu reglementieren. Die Listen passen sich den aktuellen Gegebenheiten oder der Bedrohungslage an und bewerten die Vertrauenswürdigkeit von Endgeräten und Netzwerkverbindungen. Es kann sich um eine einfache Trust-List handeln oder um Trust-Library mit gängigen OT-, BAS- oder ICS-Anwendungen und Zertifikaten.

Noch besser funktioniert die Abschirmung bedrohter BAS-Lösungen mithilfe einer weiteren Schutzebene in Form von Funktionen maschinellen Lernens. Sie sind in der Lage, verdächtige Cyberaktivitäten zu erkennen, ohne dass die unkritischen Prozesse der Trust-List unterbrochen werden müssen. Auf der Netzwerkebene können so Steuerbefehle und andere Nachrichten mittels Sicherheitszonen auf Basis von Need-to-know weitergeleitet werden. Jede andere Kommunikation wird blockiert.

Um bestimmte Steuerbefehle zu blockieren, ist eine OT-native Anwendung erforderlich, die BAS-Protokolle wie BACnet versteht und Hacker daran hindert, schädliche Befehle zu senden – und zwar sowohl durch die strikte Einschränkung von Privilegien als auch durch die Festlegung, dass verdächtige oder ungewöhnliche Steuerbefehle standardmäßig blockiert werden. Dieser Ansatz funktioniert am besten im Rahmen einer Netzwerksegmentierung, bei der diese Privilegien so definiert werden können, dass sie den speziellen Anforderungen der einzelnen BAS gerecht werden. Für die Absicherung von BAS-Lösungen ist es von entscheidender Bedeutung, dass die spezifischen Anforderungen jedes einzelnen Endpunkts berücksichtigt werden.

3. Segmentieren: Wenn das Netzwerk in einzelne Zonen aufgeteilt ist, vereinfacht das die Verteidigung gegen Cyberangriffe. Für einen umfassenden Schutz ist es ratsam, das Konzept der Zonen und Conduits zu übernehmen. Das ist in der Norm IEC62443 zur IT-Sicherheit industrieller Kommunikationsnetze beschrieben. Eine Sicherheitszone umfasst eine Gruppe von physischen oder logischen Assets mit gemeinsamen IT-Sicherheitsanforderungen und definierten Grenzen.

Die digitalen Verbindungen zwischen den Zonen, die sogenannten Conduits sind eine Art Brücken. Sie sollten mit Sicherheitsmaßnahmen ausgestattet sein, um den Zugang zu kontrollieren, Denial-of-Service-Angriffe zu verhindern, anfällige Systeme im Netzwerk abzuschirmen sowie die Integrität und Vertraulichkeit der Kommunikation zu wahren. OT-native Protokollrichtlinien helfen dabei, zugelassene IT-Befehle festzulegen, und IP-basierte Richtlinien können bestimmen, welche Assets miteinander kommunizieren dürfen.

Die grundlegenden Werkzeuge der Netzwerksegmentierung sind das OT Intrusion Prevention System (IPS) und die OT-Firewall-Anwendungen. Ein OT-IPS der nächsten Generation kann kritische BAS in Mikrosegmente oder Gruppen von Assets unterteilen, die einen 1-zu-1-Schutz erfordern. Firewalls der nächsten Generation schaffen eine transparente Segmentierung und verwenden eine breitere Definition von Netzwerksicherheitsrichtlinien.

Anwenderfreundliche OT-native-IPS und Firewalls können transparent und ohne Änderungen an der bestehenden BAS-Architektur eingesetzt werden. Vertrauenslisten können sowohl auf der Netzwerk- als auch auf der Protokollebene festgelegt werden. Die Netzwerksegmentierung hilft dabei, anfällige IT-Assets in einer sicheren Zone zu isolieren, die leichter von Zero-Day-Angriffen und anderen gefährlichen Cyberbedrohungen freigehalten werden kann.

In manchen Fällen spielen Assets eine so wichtige Rolle im Systemaufbau, dass sie niemals vom Netz genommen werden können. Die Netzwerksegmentierung mit OTZeroTrust-basierten Richtlinien verhindert, dass Angreifer sich innerhalb eines Netzwerks bewegen können, um diese hochgefährdeten Assets zu erreichen.

4. Stärken: Die Stärkung der Cybersicherheit hängt von vielen Faktoren ab. Ist ein Sicherheits-Patch verfügbar und kompatibel? Erlaubt die OT-Umgebung, dass das Asset gepatcht werden kann? Der Status des Assets und der Patch-Status sind konstante Faktoren im Wartungsprozess.

Mit virtuellen Patches werden Assets geschützt, ohne dass Änderungen an ihren Konfigurationen vorgenommen werden müssen – unabhängig davon, ob der Hersteller ein Sicherheitsupdate veröffentlicht hat. IT-Techniker verwenden virtuelle Patches, um Risiken zu verringern, bis der richtige Zeitpunkt für ein Update und einen vom Hersteller bereitgestellten Patch gekommen ist. Die OT-nativen IPS und Firewalls, die diese Art der Asset-zentrierten Cyberabwehr ermöglichen, verfügen über standardisierte Regelsätze, die speziell für die Abwehr von Cyberangriffen entwickelt wurden, ohne dass die Endgeräte unbedingt ein Update durchführen müssen. So fallen Systemneustarts und Produktionsausfallzeiten weg.

IT-Sicherheitsanforderungen gehören in die Geschäftsbedienungen

Unternehmen sollten von ihren Partnern in der gesamten Lieferkette die Einhaltung eines angemessenen Sicherheitsniveaus verlangen. Sie sollten ihre IT-Sicherheitsanforderungen in ihre Geschäftsbedingungen integrieren und IT-Anbieter auf potenzielle Schutzlücken prüfen. Außerdem benötigen sie ein Verfahren zur Ermittlung und Verwaltung von Sicherheitsrisiken für alle extern erworbenen Komponenten. Das kann mithilfe automatisierter IT-Tools zur Überwachung und Verfolgung von Bedrohungen und Schwachstellen geschehen.

Einsatz einer OTZeroTrust-Architektur. In Zukunft werden immer mehr IoT-Geräte in vernetzten Gebäuden verwendet. Unternehmen können sich in Bezug auf deren IT-Sicherheit an vier Eckpfeilern orientieren: Prüfen, Sperren, Segmentieren und Stärken. OTZeroTrust spielt die Rolle des Cybersicherheits-Ghostbusters für Gebäudeautomationssysteme. Das erspart Gebäudetechnikern eine Menge Entwicklungszeit und das Aneignen teuren sicherheitstechnischen Fachwissens.

Der lebenslange Schutz von OT-Endpunkten. OT-Endpunkte in intelligenten Gebäuden müssen über 20 Jahre lang genutzt werden, sodass für das Cybersicherheitsteam die Verwaltung älterer Endpunkte und Systeme zur neuen Norm wird. Wenn kein langfristiger Cyberschutz der Assets geplant ist, werden ernsthafte Sicherheitsprobleme entstehen. Zur Unterstützung des lebenslangen Schutzes von Endpunkten ist ein ressourcenzentrierter Ansatz erforderlich, der die Endpunktanwendungen schützt, legitime Prozesse überwacht und schädliche Programme daran hindert, Amok zu laufen.

* Dmitri Belotchkine ist Technical Director Europe bei TXOne Networks.

(ID:49199532)