IT SIG 2.0 Anforderungen für KRITIS-Unternehmen erfüllen durch Lösungen zur Angriffserkennung - Thomas Friedel und Richard Marenbach OMICRON

IT SIG 2.0
Anforderungen für KRITIS-Unternehmen erfüllen
durch Lösungen zur Angriffserkennung
Thomas Friedel und Richard Marenbach [OMICRON]

Motivation

 Forschungsprojekt im Jahr 2020: Was sind die
  aktuellen Herausforderungen in der
  Sekundärtechnik?
 Teilgenommen haben über 200 Personen aus
  dem Bereich Sekundärtechnik
 Wichtige Aussage: 75 % wünschen sich mehr
  Klarheit darüber, was in der Zukunft in der    75 %
  Sekundärtechnik zu erwarten ist

IT SIG 2.0 – der Stand der Dinge
                                                                                                                    Seite 3

 Vollständige Bezeichnung „Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme“
 Das IT-Sicherheitsgesetz ist ein Artikelgesetz, das neben dem BSI-Gesetz auch das
  Energiewirtschaftsgesetz, das Atomgesetz, das Telemediengesetz, das Telekommunikationsgesetz
  und weitere Gesetze ändert.
 Entwurf Bundestag im Dez 2020, Veröffentlichung 18.05.2021 im Bundesanzeiger
 Neuerungen (Auszug)
   Das BSI (Bundesministerium für Sicherheit in der Informationstechnik) wird befugt, Sicherheitslücken an den
   Schnittstellen informationstechnischer Systeme zu öffentlichen Telekommunikations-Netzen zu detektieren (Port-
   scans) sowie Systeme und Verfahren zur Analyse von Schadprogrammen und Angriffsmethoden einzusetzen
   (Honeypots).
   Betreiber Kritischer Infrastrukturen werden verpflichtet, Systeme zur Angriffserkennung einzusetzen.
   Dauer für die Umsetzung ist 2 Jahre.

                                                                                          © OMICRON

Seite 4
Die KRITIS-Verordnung
 Kritische Infrastrukturen nach KRITIS-Verordnung (BSI-Kritisverordnung - BSI-KritisV) sind z.B.
    Strom- und Wasserversorgung,
    Gesundheitswesen,
    Finanzwesen oder
    Telekommunikation
 Ein Ausfall oder eine Beeinträchtigung der Versorgungsdienstleistungen dramatische Folgen für
  Wirtschaft, Staat und Gesellschaft in Deutschland.
 Wer muss in der Stromversorgung reagieren?
    bisherige Grenzwerte
   • 420 MW Erzeugungsleistung
   • 3700 GWh/a gelieferte Energie
    geplante Grenzwerte (Referentenentwurf)
   • 36 MW Erzeugungsleistung
   • 3700 GWh/a gelieferte Energie
    mit einer weiteren Herabsetzung der Grenzwerte in der Zukunft ist zu rechnen

                                                                                © OMICRON

Mögliche Angriffsszenarien einer Schaltanlage                                Seite 5

Weg + Methode, ins Umspannwerk einzudringen → „Angriffsvektor“   © OMICRON

Seite 6

Gegenmaßnahme Angriffserkennung
(Intrusion Detection Systeme, IDS)
                                                   Intrusion Detection System
 Geschichte zeigt: Angriffe werden lange
  vorbereitet

 Infizierte Geräte verhalten sich abnormal oder
  fallen aus

 IDS überwacht und alarmiert bei verdächtigem
  Verhalten

                                                                © OMICRON

Aktuelle (traditionelle“) IDS-Ansätze
                                                                                                            Seite 7

1. Signaturbasiert                                                                       Blocklist
                                                                                     x
       Wie PC-Virenscanner: Mustererkennung                                          x
       Können unbekannte Angriffe nicht erkennen                                     x
       Hohe Fehlerraten (false positive/negative)                                    x
                                                                                     x
                                                                                     x

2. Lernbasiert, „Künstliche Intelligenz“
       Relativ lange Anlernphase, i.d.R. je Schaltanlage notwendig
       Viele Fehlalarme: Schutzauslösung, Prüfungen, ...
       Komplexe Alarmmeldungen, da das IDS nicht versteht, was in Schaltanlagen vor sich geht

                   Schwierig zu analysieren für
                   OT - und IT-Experten

                                                                                                © OMICRON

Seite 8

Ein alternativer Ansatz (StationGuard)

 StationGuard “kennt” die Anlage
       Erstellt Systemmodell der Anlage, z.B. mittels SCL- Datei oder IEC-104 Rollen
       Jedes Paket wird mit Systemmodell verglichen
       _ Alarm
       _ Kein Alarm
       Wartung und Prüfungen: Teil des Modells

 Detaillierte Verifikation der gesamten Kommunikation

 Entdeckt nicht nur Cyber-Bedrohungen,
  sondern auch Fehlfunktionen oder Konfigurationsänderungen

Cybersecurity und Funktionsüberwachung
    (Functional Security Monitoring)

                                                                                   Systemmodell

                                                                                                  © OMICRON

Seite 9

Protokolle in der Schaltanlage

 Generell: Alle Verbindungen müssen erlaubt sein, sonst Alarm

                   Minimum: Src./dest. MAC + src./dest. IP + VLAN + Portnummer + Applikation

 IEC 61850-Protokolle: In ca. 95 % der neuen Anlagen weltweit im Einsatz
    Analysiert bis ins kleinste Detail

 IEC 60870-5-104, DNP3, Modbus, FTP, HTTP, ...
    Deep-Packet-Inspektion

 Hersteller-Protokolle zusätzlich geschützt durch
  Wartungsmodus

                                                                                        Systemmodell/ Allowlist

                                                                                     © OMICRON

Seite 10

Wie wird ein solches System konfiguriert?

1. Import der Konfiguration der Schaltanlage
2. Verbleibenden Geräte: Rollen zuordnen

     „RTU darf Schalthandlungen durch-
     führen“

     „Engineering-PC darf Engineering-
     Protokolle während Wartung benutzen“

     „Störschrieb-Sammler darf nur
     Störschriebe über MMS herunterladen“

3. Weitere Berechtigungen
      „Erlaube X für all Prüf-PCs“

                                               © OMICRON

Seite 11

Verständliche Alarme

 Benutzeroberfläche gemacht für Schutz- und Leittechniker
 Unterstützt effiziente Zusammenarbeit zwischen
  Sekundärtechnikern und IT-Security- Experten

                                                             © OMICRON

Integration und Alarmübertragung

Vier Möglichkeiten, die gleichzeitig nutzbar sind:                      StationGuard Client SW

1. StationGuard-Client SW
   auf lokalem (HMI) PC oder virtueller Maschine

2. Zentrales Dashboard über sichere Verbindung (TLS)

3. Binärausgänge → RTU → Control Center
                                                            DASHBOARD

4. Syslog → SIEM/SOC
  zunehmend im Einsatz

  Beispiel:
  Splunk™ App
  ServiceNow™ integration

                                                                          Example SIEM

                                                   Page14                                © OMICRON

Seite 15
Wie kann man in das Thema einsteigen?
 Workshop vor Ort oder Webinar
 •   Bewusstsein schaffen, dass Geräte Schwachstellen haben (Bsp. bekannte Relay Schwachstelle)
 •   Angriffsvektoren einer Schaltanlage
 •   Erklären von „Intrusion Detection Systeme“ und wie sie helfen können
 •   ITSIG 2.0: „Angriffserkennung“
 •   IDS Ansätze vergleichen (Blocklist, Artificial Intelligence, Allowlist)
 •   Leicht verständliche Alarme/Warnungen dank unterstützer Protokolle (IEC 61850, IEC 60870-5-104, FTP, Modbus, HTTP, ...)
 •   Funktionale Überwachung
 •   Konfiguration des IDS
 •   Auditierbare Allow-Listen; Syslog Integration; Inventarisierungslisten; Security Cryptoprocessor Chip, ...
 •   Erkenntnisse anhand Installations-Beispielen

 Demo mit simuliertem Umspannwerk
 •   Konfiguration des IDS
 •   OpenSCD Vorführung
 •   Rollenverteilung vornehmen
 •   Erlauben harmlosen Netzwerkverkehrs
 •   Vorführen von Angriffen & Funktionsfehlern

 Analyse mit Application Engineer von OMICRON
 Gemeinsame Auswertung
 Unkomplizierte Bereitstellung von Demo-Geräten für eigenen Testaufbau

                                                                                                                               © OMICRON

StationGuard

 Spricht die Sprache des Schutz- und Leittechnikers
 Leicht bedienbar, keine aufwendige Einarbeitung
 Cyber Security und Funktionsüberwachung
 Geringer Konfigurationsaufwand
 Niedrige Betriebskosten

                     Danke für Ihre Aufmerksamkeit     www.stationguard.com

Emotions are energy. Our energy moves.                            © OMICRON