OT-Netzwerksicherheit 5 Maßnahmen gegen OT-Bedrohungen

Anbieter zum Thema

G DATA CyberDefense AG

WatchGuard Technologies GmbH

XOPERO SOFTWARE S.A.

FrostyGoop, eine neue Malware, die OT-Systeme angreift, wurde im Januar 2024 bei einem Angriff auf ein zentrales Heizungssystem in der Ukraine eingesetzt und von Dragos entdeckt. Die gravierenden Folgen zeigen, wie notwendig robuste Cybersicherheitsmaßnahmen sind.

Ein Cyberangriff auf ein zentrales Heizungssystem in der Ukraine, der im Januar 2024 zu einem zweitägigen Heizungsausfall für die Kunden führte, wurde einer neuen ICS-Malware zugeschrieben. FrostyGoop, das von den OT-Cybersicherheitsexperten Dragos entdeckt wurde, nutzt die Modbus-TCP-Kommunikation – ein Standard-ICS-Protokoll –, um OT-Systeme zu stören.

FrostyGoop bedroht ICS

Diese Malware steckt hinter dem Heizungsausfall in der Ukraine

Wie funktioniert FrostyGoop?

FrostyGoop initiiert die Kommunikation mit der Ziel-IP-Adresse über den Modbus TCP-Port 502. Die IP-Adresse kann entweder durch ein Argument während der Ausführung von Malware oder in der JSON-Konfigurationsdatei festgelegt werden. Sobald eine Verbindung hergestellt ist, sendet FrostyGoop Modbus-Befehle an das Gerät. Nachdem FrostyGoop Befehle gesendet und die Antworten des Zielgeräts empfangen hat, beendet es die Verbindung.

FrostyGoop-Binärdateien verwenden eine in der Programmiersprache Go geschriebene Modbus-Bibliothek, die aus einem öffentlich zugänglichen Github-Repository abgerufen wurde. FrostyGoop implementiert drei Modbus-Befehle:

Die Abbildung links zeigt ein Beispiel für den Modbus TCP-Netzwerkverkehr zwischen FrostyGoop und einem Zielgerät. Im Beispiel sendet FrostyGoop vier Befehle an das Gerät. Viele Security-Teams sind sich unsicher, welche Maßnahmen sie zur Abwehr solcher Angriffe ergreifen sollen. Das SANS-Institut hat fünf Maßnahmen für die ICS/OT-Cyber­sicherheit identifiziert, die als Grundlage für den Schutz und die Vorbereitung auf zukünftige Gefahren dienen können:

KnowBe4: Cyberbedrohungen im Fertigungssektor

Anstieg von Cyberangriffen in der Industrie

Maßnahme 1: Ein ICS/OT spezifischer Incident Response Plan

Angesichts der Komplexität und Zielgenauigkeit des FrostyGoop-Angriffs ist ein robuster Incident-Response-Plan unerlässlich. Dieser sollte speziell für OT-Umgebungen entwickelt sein, die oft höhere Anforderungen an die Betriebskontinuität stellen als herkömmliche IT-Systeme.

Isolierung und Eindämmung: Der Incident Response Plan sollte Verfahren zur schnellen Isolierung betroffener Geräte enthalten, um zu verhindern, dass sich die Malware weiter im Netzwerk ausbreitet. Dies ist besonders wichtig für Malware wie FrostyGoop, die Befehle über Modbus TCP direkt an ICS-Geräte senden kann.

Analyse des Datenverkehrs: Die Analyse des Netzwerkverkehrs auf nicht autorisierte Modbus-Befehle hilft, Quelle und Ausmaß des Angriffs zu erkennen, indem Protokolle und Pakete untersucht werden.

Systemwiederherstellung: Verfahren, um den korrekten Zustand des Systembetriebs wiederherzustellen sind unerlässlich. Dazu gehört, dass alle nicht autorisierten Änderungen, die von der Malware vorgenommen wurden, rückgängig gemacht werden.

Schulungen und Übungen: Regelmäßige Schulungen und Modbus-Angriffssimulationen sind entscheidend, um das Incident-Response-Team auf reale Szenarien vorzubereiten. Diese sollten Simulationen von Modbus-spezifischen Angriffen umfassen, damit das Team effektiv reagieren kann.

Cisco „State of Industrial Networking Report“

OT-Sicherheit hat bisher keine Priorität in Deutschland

Maßnahme 2: Verteidigungsfähige Architektur

Der FrostyGoop-Angriff zeigt Mängel bei der Netzwerksegmentierung und der Gefährdung von Controllern mit dem Internet auf. Eine verteidigungsfähige Architektur ist entscheidend, um solche Schwachstellen zu mindern.

Netzwerksegmentierung: Bei der Segmentierung wird das Netzwerk in verschiedene Zonen unterteilt, die jeweils über spezifische Sicherheitskontrollen verfügen.

Industrielle demilitarisierte Zonen (DMZs): Die Einrichtung von DMZs kann eine zusätzliche Sicherheitsebene zwischen dem Unternehmens-IT-Netzwerk und der OT-Umgebung schaffen.

Zugriffskontrollen: Zwischen dem IT-Netzwerk des Unternehmens und den OT-Umgebungen sollten strenge Zugriffskontrollen durchgesetzt werden. Nur autorisiertes Personal sollte Zugriff auf kritische Systeme haben, der auch überwacht und protokolliert werden sollte.

Physische und virtuelle Barrieren: Die Implementierung physischer oder virtueller Barrieren kann den direkten Zugriff aus dem Internet auf kritische Systeme verhindern.

Mehr Cloud, kaum KI

ICS/OT-Unternehmen sind schlecht auf Cyberangriffe vorbereitet

Maßnahme 3: ICS Netzwerktransparenz und -überwachung

Die kontinuierliche Überwachung des OT-Netzwerkverkehrs ist unerlässlich, um Anomalien und Bedrohungsverhalten zu erkennen und darauf zu reagieren.

Protokollbewusste Überwachungstools: Die Verwendung von Tools, die bestimmte Protokolle kennen, wie z. B. Modbus TCP, kann helfen, unbefugten Zugriff oder ungewöhnliche Datenverkehrsmuster zu identifizieren. Diese Tools können Abweichungen vom normalen Verhalten kennzeichnen und so eine schnellere Erkennung und Eindämmung ermöglichen.

Erkennung von Anomalie und gefährlichen Verhalten: Die Implementierung einer umfassenden Überwachungslösung, die Anomalien-Erkennung umfasst, wird die Transparenz des Netzwerkbetriebs erheblich verbessern. Solche Lösungen können Muster erkennen, die auf einen Angriff hinweisen, wie z. B. wiederholte Modbus-Befehle, die außerhalb der normalen Betriebsparameter liegen.

Kontinuierliche Bedrohungsinformationen: Überwachungstools müssen mit den neuesten Bedrohungsinformationen zu Schwachstellen, Angriffsvektoren und Malware aktualisiert werden, die auf Modbus-Systeme abzielen.

Ausfallsicherheit ist Prio eins

Warum Unternehmen dedizierte OT-Sicherheitslösungen brauchen

Maßnahme 4: Sicherer Fernzugriff

Der FrostyGoop-Vorfall nutzte Schwachstellen im Zusammenhang mit Remote Access Points aus. Sicherer Schutz vor Fernzugriffen hilft, um sich vor ähnlichen Bedrohungen zu schützen.

Multi-Faktor-Authentifizierung (MFA): Der Einsatz von MFA fügt eine zusätzliche Sicherheitsebene hinzu und stellt sicher, dass nur autorisiertes Personal aus der Ferne auf kritische Systeme zugreifen kann.

Protokollierung und Überwachung von Remote-Verbindungen: Alle Remote-Verbindungen sollten protokolliert und auf verdächtige Aktivitäten überwacht werden. Dazu gehören die Aufzeichnung von Anmeldeversuchen, erfolgreichen Verbindungen und den Aktionen, die während Remotesitzungen ausgeführt werden.

Virtual Private Networks (VPNs): Durch die Verwendung von VPNs können Daten während der Übertragung verschlüsselt und so vor Abfangen und Manipulation geschützt werden. VPNs sollten so konfiguriert werden, dass sie nur den Zugriff auf die erforderlichen Systeme und Dienste ermöglichen.

Zugriffsüberwachungen: Regelmäßige Überprüfungen der Rechte und Berechtigungen für den Fernzugriff können dazu beitragen, dass nur diejenigen, die Zugriff benötigen, diesen auch haben. Dies kann Privilege Creep verhindern und das Risiko unbefugter Zugriffe verringern.

Fünf Tipps für Firmen, die im OT-Bereich cybersicher sein wollen

IT-Sicherheit in Produktionsumgebungen

Maßnahme 5: Risikobasiertes Schwachstellenmanagement

Zu einem effektiven Schwachstellenmanagement, das auf das Risikoprofil der ICS-Komponenten zugeschnitten ist, gehören regelmäßige Bewertungen, um Schwachstellen zu identifizieren und zu beheben, die Angreifer ausnutzen könnten.

Regelmäßiges Assessment: Regelmäßige Schwachstellen­bewertungen helfen dabei, potenzielle Schwachstellen im Netzwerk zu identifizieren. Diese Assessments sollten sich sowohl auf bekannte als auch auf neu auftretende Bedrohungen konzentrieren, um eine umfassende Abdeckung zu gewährleisten.

Minderung von Schwachstellen: Identifizierte Schwachstellen sollten auf der Grundlage ihrer potenziellen Auswirkungen und der Wahrscheinlichkeit einer Ausnutzung priorisiert werden. Hochriskante Schwachstellen sollten umgehend behoben werden, entweder durch Patches oder andere ausgleichende Maßnahmen.

Schlussfolgerung

Der Cyberangriff auf das Heizkraftwerk in der Ukraine zeigt deutlich, welche Auswirkungen solche Schwachstellen in der Praxis haben können. Die Fähigkeit von FrostyGoop, über Modbus TCP mit ICS-Geräten zu interagieren, und vor Antiviren-Software unentdeckt zu bleiben unterstreichen den dringenden Bedarf an robusten OT-Cybersicherheitsmaßnahmen und einer kontinuierlichen Überwachung der OT-Netzwerksicherheit. Unternehmen müssen der Implementierung umfassender Cybersicherheits-Frameworks Priorität einräumen, um kritische Infrastrukturen in Zukunft vor ähnlichen Bedrohungen zu schützen.

Über den Autor: Kai Thomsen ist Director of Global Incident Response Services bei Dragos und koordiniert das globale Team von ICS- und Threat-Hunting-Experten. Er verfügt über jahrelange Erfahrung in der fertigenden Industrie – darunter mehr als 6 Jahre bei der Audi AG und 14 Jahre in der Stahlindustrie. Darüber hinaus ist er SANS Instructor und spricht oft zum Thema industrielle Cybersicherheit in der Öffentlichkeit.

(ID:50270306)