Live Hacking auf der IT & Business 2016 Passende Sicherheitskonzepte für „Industrie 4.0“

Die langen Laufzeiten der Produktionsanlagen in der fertigenden Industrie haben zur Folge, dass auch die Steuerungen noch auf relativ betagten IT-Equipment basieren. Deswegen kämpfen auch die Industrienetze mit dieser Problematik. Es gilt teilweise, Betriebssysteme zu sichern, für die die Software-Hersteller bereits seit längerem keine Aktualisierungen mehr bieten. Generell zeigen Penetrationstests im Industriebereich häufig auf, dass sich extrem alte Systeme in deren Verbund befinden. Auf der IT & Business 2016 demonstrieren Spezialisten vom „Pentest-Experten“ SySS an allen drei Messetagen (4. bis 6.10.2016), mit welchen Angriffsvektoren die „bösen Jungs“ zum Ziel kommen wollen – und wie man sich dagegen schützen kann.

Digitalisierung nimmt zu

Generell bringt die komplette Digitalisierung von Unternehmen massive Auswirkungen auf die IT-Umgebung mit sich. Speziell die Bedrohungslage für alle an das Internet angeschlossenen Systeme führt dazu, dass Firmen ihre „Sicherheitshausaufgaben“ machen müssen. Denn in modernen Unternehmen werden Geschäftsprozesse fast ausschließlich IT-gestützt durchgeführt – nur so sind die relevanten Daten zu jeder Zeit an jedem Ort verfügbar. Somit sind sämtliche Unternehmen gezwungen, hierbei mitzuspielen.

Die enormen Vorteile der Flexibilität und Mobilität bringen jedoch auch eine massive Abhängigkeit von der IT mit sich. Denn: Steht die IT, dann steht auch die Produktion. Vertrauliche Daten sind einfacher abzugreifen und lassen sich leichter manipulieren als ihre analogen Urahnen. Insofern steigen die Sicherheitsrisiken mit der Einführung von den Arbeitsalltag erleichternder IT von Jahr zu Jahr. Firmen müssen daher mehr Augenmerk auf ihre IT-Systeme richten sowie die Sicherheit ihrer sich stetig weiter verzweigenden IT regelmäßig testen und auf den Prüfstand stellen.

Vor allem auf der Anwendungsebene muss ein Riegel gegen Missbrauch vorgeschoben werden. Doch das erweist sich als eine sehr komplexe Aufgabe. Netzwerkbasierte Schutzmechanismen wie Firewalls und Gateways sind mittlerweile Standard in modernen Unternehmensnetzwerken. Sie sind günstig geworden und mittlerweile auch recht einfach zu betreiben. Die konkreten Risiken haben sich verschoben und sind weg von der Netzwerkschicht hin zu Applikationen und Betriebssystemen gewandert.

Penetrationstests

Im Rahmen von Penetrationstests greifen Sicherheits-Spezialisten besonders gerne Webapplikationen, Verzeichnisdienste wie etwa das Active Directory sowie mobile Apps an. Der erprobte Ratschlag bezüglich einer sinnvollen Vorgehensweise lautet: Um Applikationen effektiv zu schützen, ist die Einhaltung von Qualitätsstandards wie zum Beispiel OWASP Top 10 erforderlich. Die Bemühungen, eine hochwertige Webapplikation zu erstellen und zu betreiben, müssen von regelmäßigen Penetrationstests flankiert werden.

Das Thema Industrie 4.0 hat zudem massive Auswirkungen auf die Angriffsmöglichkeiten. Denn wenn in einer Firma lediglich einige Sensoren gehackt werden und infolge die Produktion verrücktspielt, entsteht schon ein beträchtlicher Schaden. Doch im Kontext von Industrie 4.0 eröffnen sich einem Täter wesentlich weitreichendere Angriffsmöglichkeiten, etwa die Manipulation von Kraftwerken oder das Aus- und Einschalten von Hochöfen oder Raffinerien. Es besteht die Gefahr, dass große Teile der öffentlichen Infrastruktur lahmgelegt werden. En Hacker-Angriff gegen Stromnetze, der die gesamte Wirtschaft in Europa zum Erliegen bringt, liegt durchaus im Rahmen des Möglichen.

Experten für Penetrationstest stellen in Industrienetzen fest, dass sehr häufig extrem alte Systeme aktiv sind. Die eingesetzten Betriebssysteme und Schutzmechanismen gleichen oft lebenden Fossilen. Die einzige Möglichkeit, diese vor Missbrauch zu schützen, ist der Einsatz wirksamer Separierungs- und Abschottungsmöglichkeiten wie beispielsweise ihr Betrieb auf separaten Servern und keine Möglichkeit, diese alten Systeme via Internet zu erreichen. Eben diese Mechanismen sind es allerdings, die den enormen Nutzen einer stark vernetzten Umwelt einschränken. Die Unternehmen befinden sich immer im Spagat zwischen der Etablierung einer angemessenen IT-Sicherheit und dem Bereitstellen der für effizientes und reibungsloses Arbeiten erforderlichen Effektivität.

Königsweg

Doch leider gibt es keinen Königsweg „gegen“ alle Bedrohungen – ein perfekter Schutz ist schlichtweg nicht möglich. Verantwortliche für die IT-Sicherheit können lediglich für einen angemessenen Schutz sorgen, indem sie die Qualität ihrer IT-Systeme durch Sicherheitstests oder Audits stetig steigern.

Neben klassischen Angriffen auf, Kryptografie oder Windows liegt SySS einen besonderen Schwerpunkt auf Hardwareangriffen, Angriffen auf Smartphones (iPhones und Android-basierte Systeme). Das tägliche Live-Hacking-Event auf der IT & Business 2016 mit Hacking-Experten der SySS GmbH findet 2016 im Fachforum „Planung, Produktion und Personal“ statt und zwar: am 4.10.2016 und 5.10.2016, ab 16.00 Uhr sowie am 06.10.2016, ab 15.00 Uhr.

Rainer Huttenloher