PAM-Lösungen zur Erhöhung der SCADA-Sicherheit

SCADA (Supervisory Control and Data Acquisition) ist ein bewährtes Framework, das Industriebetriebe und Energieversorgungsunternehmen nutzen, um ihre operativen Technologie-Systeme (OT-Systeme) zu verwalten. In den letzten Jahren stieg jedoch das Cyberrisiko, da die Komponenten des SCADA-Systems durch den Erfolg des Internets und die Möglichkeit der IP-basierten Nutzung immer häufiger miteinander verbunden wurden.

Das SCADA-Cybersecurity-Framework empfiehlt Kontrollen, um dem Risiko von Cyberangriffen auf SCADA-Systeme entgegenzuwirken. Diese Angriffe können verheerende Schäden anrichten oder sogar Menschenleben kosten. Zugriffskontrollen inklusive Privileged Access Management (PAM) sind ein entscheidender Baustein für SCADA-Sicherheit, da sie industrielle Systeme gegenüber böswilligen Akteuren verteidigen.

Was ist SCADA?

SCADA steht für Supervisory Control and Data Acquisition. Im Allgemeinen ist es ein System, das Sensoren und Kontrollen an verschiedenen Standorten überwachen und verwalten kann.

SCADA ist ein ausgereiftes Technologie-Framework, das zahlreiche unterschiedliche Geräte und Software-Anwendungen umfasst. Zusammen bilden SCADA-betriebene Technologien eine Art industrielles Nervensystem. Man findet sie in Fabriken, Kraftwerken und Krankenhäusern. Auch Heiz- und Kühlsysteme für Gebäude werden so gesteuert. Die Kombination aus Sensoren, Leitrechnern und Fernbedienungsterminals (RTUs) ermöglicht es, physische Prozesse zu überwachen und zu steuern. So kann beispielsweise ein SCADA-System in der Stahlindustrie erkennen, wenn geschmolzener Stahl heiß genug ist, um gegossen zu werden. So werden zum richtigen Zeitpunkt die entsprechenden Aktoren ausgelöst, die den Stahl in Formen gießen lassen. SCADA bietet zudem auch Mensch-Maschine-Schnittstellen für Reporting und Control Input. Durch diese Funktion ist es möglich stets den Überblick über alle relevantendaten der Produktion zu behalten sowie Eingriffe vorzunehmen falls notwendig.

SCADA-Sicherheit im Zeitalter des Internets ist von höchster Bedeutung.

Die Sicherheit von SCADA-Systemen ist stets ein großes Anliegen der Systemverwalter gewesen. Da proprietäre Kommunikationsprotokolle isolierte Netzwerke genutzt wurden, waren die SCADA-Systeme kaum zu erreichen und schwierig zu hacken. Sicherheitsarchitekten konnten auf den „Air Gap” verweisen, also die vollständige Isolierung der SCADA-Netzwerke von der Außenwelt; er galt als eine extrem robuste Maßnahme gegen potenzielle Bedrohungen. Dennoch haben Angriffe auf SCADA-Systeme beträchtliche Auswirkungen. Dabei geht es um lästige Störungen wie Stromausfälle, aber leider auch um Katastrophen wie Kernschmelzen, Dammbrüche oder Verletzungen bzw. Todesfälle von Industriemitarbeitern. Diese einst in der Ferne gelegen Möglichkeiten der Konsequenzen sind heute viel wahrscheinlicher.

Zwei Faktoren erhöhen das Risikopotenzial der SCADA-Systeme massiv. Zunächst war der Air Gap eventuell nie diese effiziente Schutzschicht, die die Menschen erwarteten. Eine Reihe professioneller Hacks wie der Stuxnet-Angriff auf Iranische Atomkraftwerke machte deutlich, dass Hacker mithilfe von Human Engineering, USB-Laufwerken und ähnlicher Technik auf Air-Gap-Systeme zugreifen können. Die an dieser Stelle wichtigere Entwicklung ist jedoch das IP-basierte SCADA-System. Der Schritt in diese Richtung ist nachvollziehbar, wenn man bedenkt, wie praktisch und weit verbreitet IP mittlerweile ist. Es ist nun möglich, auf SCADA-Systeme ganz über das Internet zuzugreifen – natürlich inklusive derselben Flexibilität und Reichweite des Internets. Sicherheitstechnisch ist diese Entwicklung jedoch eine Katastrophe.

SCADA-Systeme, die nun auch im Internetzeitalter angekommen sind, müssen nun ebenfalls vor Hackern geschützt werden. Dies ist eine große Herausforderung für die Industrie, da SCADA-Systeme nicht dieselben Sicherheitsmaßnahmen erhalten haben wie IT-Abteilungen.

Das SCADA Security Framework

Die „NIST Special Publication 800-82“ ist die relevanteste Quelle, wenn es um SCADA-Sicherheit geht. Der Nachtrag 2 aus dem Jahr 2015 enthält einen ausführlichen „Guide to Industrial Control Systems (ICS) Security“ sowie ergänzende Informationen zu „Supervisory Control and Data Acquisition (SCADA) Systems, Distributed Control Systems (DCS), and Other Control System Configurations such as Programmable Logic Controllers (PLC)“. Der NIST-Standard umfasst die Bereiche ICS-Risikomanagement, entsprechende Risikobewertung und Entwicklung sowie Umsetzung von Sicherheitsprogrammen und -architekturen. Er ist ein umfassender Leitfaden für die Anwendung von Sicherheitskontrollen in ICS und mit seinen fast 250 Seiten gründlich recherchiert.

PAM-Lösungen und SCADA Sicherheit

PAM-Lösungen (Privileged Access Management) und SCADA-Sicherheit (Supervisory Control and Data Acquisition) sind wichtig, um sicherzustellen, dass nur autorisiertes Personal Zugang zu kritischen Systemen hat. PAM-Lösungen bieten eine zentrale Möglichkeit, Berechtigungen zu verwalten und zu kontrollieren, wer Zugriff auf was hat, während SCADA-Sicherheit zusätzliche Schutzschichten für industrielle Kontrollsysteme bietet.

Wenn es um die Sicherheit von SCADA- und ICS-Systemen geht, ist jeder Punkt des NIST-Standards wichtig. Die zuständigen Sicherheitsmitarbeiter müssen die entsprechenden Bewertungen durchführen und die im Standard empfohlenen Kontrollen einführen. Doch eine Kontrolle ist besonders entscheidend für den Erfolg von praktisch jedem anderen Aspekt des Standards: Die Zugriffskontrolle – also die Kontrolle über jeden privilegierten Zugang.

Privilegierte Benutzer

Privilegierte Benutzer sind User, die spezielle Rechte und Zugriffe auf bestimmte Systeme oder Informationen haben. Dies kann vom einfachen Zugriff auf höherwertige Inhalte bis hin zur vollen Kontrolle über ein System reichen. Oftmals wird der Begriff „privilegiert“ mit Administrator-Rechten in Verbindung gebracht, aber auch normale Nutzer können privilegiert sein.

Privilegierte Benutzerzugänge

Privilegierte Zugänge sind besondere Berechtigungen, die Benutzern ermöglichen, auf geschützte Ressourcen zuzugreifen. Diese Art von Zugang ist in der Regel nur für Administratoren oder andere hochrangige Mitarbeiter verfügbar.

PAM steht für „Verwaltung privilegierter Zugänge”. Dabei handelt es sich um eine Reihe von Praktiken und Tools, die Administratoren dabei helfen, die Nutzung privilegierter Benutzerkonten zu überwachen und zu steuern. Eine PAM-Lösung ist eine spezielle Software, welche die Sitzungen von Konten mit besonderen Rechten aufzeichnet und so Notfallanalysen ermöglicht. Darüber hinaus kann diese Lösung bei Regelverstößen Warnung aussprechen.

Mittels einer PAM-Lösungen Vorgaben des NIST-Standards umsetzen

Die National Institute of Standards and Technology (NIST) empfiehlt Privileged Access Management (PAM), um einen Standard für die Verwaltung von Berechtigungen zu setzen. Dieser Standard sollte gleichermaßen für kleine und große Unternehmen gelten, ist aber vor allem für Großunternehmen relevant, wo mehr als 1.000 Systeme vorhanden sind. Pam Solution X ermöglicht es Ihnen, den NIST-Standard in Ihr Unternehmen zu implementieren und so die Sicherheit Ihrer Systeme zu erhöhen.

Der NIST 800-82 empfiehlt, den physischen Zugang zu ICS-Netzwerken und -Geräten einzuschränken. Diese Empfehlung unterstützt die PAM-Prinzipien. Wenn Geräte nicht über eine Art Zwischenschutzschicht wie eine PAM-Lösung verwaltet werden können, ist es praktisch unmöglich, den Zugang auf diese physischen Geräte zu beschränken.

Die PAM-Lösungen stellen den OT-Sicherheitszuständigen genau die Tools zur Verfügung, die sie benötigen, um privilegierte Zugänge in einer komplexen SCADA-Umgebung zu verwalten. Der NIST enthält zudem Hinweise zu den Schwierigkeiten bei der Authentifizierung und Berechtigung einer großen Anzahl SCADA-Benutzer. Beispielsweise befasst sich Abschnitt 5.15 des Standards mit Authentifizierungen und Berechtigungen: „Ein ICS umfasst möglicherweise eine große Anzahl Systeme, auf die wiederum zahlreiche Benutzer zugreifen müssen. Diesen Benutzern die entsprechenden Berechtigungen zuteilen und sie zu authentifizieren ist für ICS eine große Herausforderung. Es kann problematisch werden, die Benutzerkonten zu verwalten, da immer Mitarbeiter hinzukommen und wegfallen und auch, da sich die Benutzerrollen mit der Zeit verändern. Sobald die Anzahl der Systeme und Benutzer weiter steigt, wird das Verwalten dieser Konten noch komplizierter.”

Der Standard warnt zudem dringend davor, für die Authentifizierung und Berechtigungsvergabe einen verteilten Ansatz zu wählen, bei dem jedes System eigene Benutzer-Anmeldeinformationen besitzt: „Die Problematik dabei ist, dass es so nicht mehr besonders skalierbar ist, sobald das System wächst.” Außerdem: „Beispielsweise muss das Benutzerkonto eines Mitarbeiters, der das Unternehmen verlassen hat, auf jedem System einzeln gelöscht werden.” Mithilfe der zentralen Steuerung der privilegierten Benutzer kann PAM Benutzerzugänge einfach deaktivieren, wenn Mitarbeiter das Unternehmen verlassen. Die PAM-Lösung deckt die Empfehlungen des NIST ab: „Die Berechtigung erfolgt über ein Zugriffskontrollsystem.“

Die PAM-Lösung VISULOX erhöht SCADA Zugriffschutz

Die PAM-Lösung VISULOX von amitego bietet eine zentralisierte Kontrolle aller privilegierten Zugriffe im gesamten SCADA-Ökosystem. Privilegierte Benutzer melden sich an einem zentralen Portal an und können dann privilegierte Aktionen auf SCADA-Geräten durchführen. Dank des VISULOX Pass Cache müssen privilegierte Benutzer das tatsächliche Passwort für das entsprechende Gerät nicht kennen, wodurch verhindert wird, dass Benutzer versehentlich oder absichtlich ein physisches Gerät in einer Industriesteuerung gefährden. VISULOX Session Recorder zeichnen Sitzungen von privilegierten Accounts auf und erstellt Protokolle und Videos von Sitzungen, die den Security Operations (SecOps) Teams“ im Falle von Sicherheitsvorfällen zur Verfügung stehen. VISULOX Session Recorder liefern Antworten auf die dringendsten Fragen, die bei einem Vorfall zu klären sind: Wer hat was, wann und auf welchem System getan. Ohne diese Art der Sitzungsaufzeichnung könnten die „SecOps“ wertvolle Zeit beim Versuch der Klärung verlieren, die der Lösungdes Vorfalls dienen.

PAM spielt eine entscheidende Rolle beim reibungslosen Funktionieren des SCADA Security Frameworks.

Die Sicherheit von SCADA-Systemen ist ein komplexes und zentrales Thema. Wenn Bedrohungen nicht richtig erkannt und abgewehrt werden, steht die Öffentlichkeit auf dem Spiel. PAM ist ein unverzichtbares Element jeder SCADA-Sicherheitsstrategie: Es ist absolut notwendig, kritische Zugänge zu SCADA-Systemen zu schützen. Daneben unterstütz PAM auch indirekt zahlreiche andere Kontrollen, die vom NIST-Standard vorgesehen sind – etwa das Patching von Systemen. Dies funktioniert allerdings nur, wenn PAM effektiv eingesetz wird; ansonsten wäre es unmöglich, das Patching zielgerichtet umzusetzen. Kurzum: PAM ist ein entscheidender Erfolgsfaktor für robuste SCADA-Sicherheit.

VISULOX Privileged Access Management bietet eine robuste PAM-Lösung, die Ihr SCADA-Ökosystem vor Angriffen schützt. Kontaktieren Sie uns, um weitere Informationen zu erhalten.