Monitoring und Anomalieerkennung

Durch die immense Erhöhung der Teilnehmer in Prozessanlagen und entsprechend auch der Kommunikation ist kaum noch jemandem bekannt, wer mit wem kommuniziert – berechtigt oder auch nicht; insbesondere wenn mehrere Anlagenteile von unterschiedlichen Lieferanten installiert werden. „Durch die steigende Komplexität im Netzwerk und die Implementierung von nicht immer vollständig IP-standardkonformen Geräten kommt es immer wieder zu Seiteneffekten im Netzwerk, die zunächst nicht bemerkt werden und irgendwann zu einem Störfall werden können. Dies wäre mit einer kontinuierlichen Überwachung des Netzwerkverkehrs aufgefallen und vermeidbar gewesen“, äußert sich Barelmann und bricht eine Lanze für das passive Monitoring: „Wenn erst einmal ein Netzwerk z. B. über einen infizierten Programmierrechner unbemerkt befallen ist, kann sich der Angreifer weiter austoben. Sogar Schadcode nachzuladen würde von einer Firewall nicht verhindert werden, da der Verbindungsaufbau ins Internet aus der internen Zone erfolgt. Hier hat das BSI aus Sicht der IT-Sicherheit dem Hase-und-Igel-Spiel zwischen dem Angreifer und dem Schützenden einen wichtigen Impuls zugunsten des Betreibers gegeben. Die Vorteile des passiven Monitorings sind dabei neben der Möglichkeit der Angriffserkennung vielschichtig: Jeder Anlagenbetreiber hat sofort alle Teilnehmer im Blick und externe Dienstleister lassen sich über die Zugänge genau kontrollieren. Zusätzlich erhält die IT wichtige Informationen für die Feinjustierung der Firewall, ein wichtiger Punkt bei der Angriffsabwehr. Bei der Alarmierung in der Angriffserkennung lässt sich der Servicebereich in der Regel optimieren und spart Kosten.“ 

Insbesondere in Deutschland ist diese Vorgehensweise verstärkt mit der Ransomware GandCrab beobachtet worden. Bei den bekannten Fällen haben die Angreifer sich zunächst über Fernwartungstools (z. B. RDP, RescueAssist, LogMeIn) Zugriff auf das Netzwerk verschafft, auf verschiedenen Systemen im Netzwerk der Opfer eine Backdoor installiert, potentielle weitere Opfer ausgespäht und schließlich die Ransomware zur Ausführung gebracht.

Unternehmen, die eine Malware-Infektion erlitten haben, sollten Geschäftspartner oder Kunden zeitnah über den Vorfall informieren und auf mögliche zukünftige Angriffsversuche per E-Mail mit gefälschten Absenderadressen ihrer Organisation hinweisen.

Entsprechend dieser Erkenntnis reagiert auch der Staat, so Kruschitz. Aktuell entsteht das IT-Sicherheitsgesetz in der zweiten Version mit Verschärfungen für Systemhersteller und Anwender. Das BSI entwickelt ein Grundschutzprofil für die Chemieindustrie. Das kann dazu beitragen, dass es eine deutschlandweite Harmonisierung der Security- Anforderungen geben wird. Aktuell variieren die Vorgaben noch in Abhängigkeit vom Bearbeiter beim jeweiligen Regierungspräsidium bzw. Gewerbeaufsichtsamt.