CISOs müssen OT-Risiken stärker adressieren – Source: www.csoonline.com

Summit Art Creations – Shutterstock.com

Die Bedrohungen gegen die Betriebstechnik (Operational Technology, OT) der kritischen Infrastruktur (KRITIS) verschärfen sich kontinuierlich. China baut offensive Komponenten in amerikanische Militär- und Unternehmensnetzwerke ein. Zudem haben chinesische Hacker Telekommunikationsunternehmen und Internetdienstleister infiltriert, um Zivilisten auszuspionieren. Seit etlichen Jahren, also bereits deutlich vor dem Angriffskrieg, greift Russland das ukrainische Stromnetz an. Darüber hinaus hat der Iran alle in Israel hergestellten Technologien zu Zielen von Cyberangriffen erklärt.

Sicherheitsverantwortliche können sich daher nicht länger erlauben, OT als eine Blackbox zu behandeln, die sie nicht verstehen. Sie sollten auch nicht davon ausgehen, dass ihre Systeme auf magische Weise vom Internet isoliert und so vor potenziellen Bedrohungen geschützt sind. Insbesondere staatlich unterstützte Angreifer investieren eine Menge Zeit und Ressourcen, um Schwachstellen im OT-Bereich gezielt auszunutzen. Gleichzeitig zielen Cyberkriminelle mit Ransomware und ähnlichen Attacken weiterhin auf alle kritischen Infrastrukturen.

Sicherheitsforscher haben knapp eine Million OT-Geräte in den Bereichen Produktion, Transport und Logistik sowie natürliche Ressourcen analysiert. Mehr als jedes zehnte davon (13 Prozent) verfügte über bekannte ausgenutzte Schwachstellen (Known Exploited Vulnerability, KEV), von denen zwei Drittel von Ransomware-Gruppen ausgenutzt werden. Daraus lassen sich drei wesentliche Punkte ableiten.

• OT- Risiken können nicht nur anhand von Common Vulnerabilities and Exposures (CVE) bewertet werden

Nur traditionellen Methoden anzuwenden, die etwa auf dem Common Vulnerability Scoring System/CVSS basieren, führt dazu, dass das überlastete Security-Personal seine knappen Ressourcen aufbringt, um Schwachstellen zu beseitigen, die nicht ausgenutzt werden können. Stattdessen empfiehlt sich ein Exposure-Management-Ansatz, der sich nicht auf bekannte Schwachstellen beschränkt.

Dabei werden insbesondere Geräte priorisiert, die bereits ausgenutzte Schwachstellen sowie unsichere Verbindungen aufweisen und von Ransomware-Gruppen missbraucht werden. So weisen beispielsweise von den rund 96.000 Geräten mit KEVs im Produktionsbereich lediglich etwa 3.000 auch eine Anfälligkeit für Ransomware und unsichere Verbindungen auf. Die auf diese Weise deutlich reduzierte Anzahl besonders gefährdeter Geräte lässt sich wesentlich besser adressieren.

• OT wird zunehmend zu einem strategischen Ziel

Staatlich unterstützte Angreifer nehmen immer häufiger OT ins Visier. Das offensichtliche Ziel ist es dabei, die nationale Sicherheit westlicher Nationen sowie die wirtschaftliche Stabilität und in einigen Fällen sogar die öffentliche Sicherheit zu beeinträchtigen. 12 Prozent der analysierten KRITIS-Betreiber verfügen über OT-Assets, die mit bösartigen Domänen kommunizieren, etwa in China, Russland und dem Iran.

• Die Fertigungsindustrie ist am stärksten betroffen

Der Produktionssektor ist eines der beliebtesten Ziele von Ransomware-Gruppen, da hier aufgrund der immens teuren Ausfallzeiten die Bereitschaft mit am höchsten ist, Lösegelder zu zahlen. Entsprechend finden sich hier prozentual die meisten Schwachstellen, die von Ransomware-Angreifern ausgenutzt werden (9 Prozent), gefolgt von natürlichen Ressourcen (3 Prozent) sowie Transport und Logistik (0,5 Prozent).

Lesetipp: Cyberangriffe: Fertigungsbranche noch immer schlecht vorbereitet

Was CISOs tun sollten

CISOs und andere Verantwortliche für OT und den Schutz von cyber-physischen Systemen (CPS) müssen handeln. Sie müssen verstehen, wie die kritischen Geräte mit dem Internet verbunden sind und entsprechend ihrer Gefährdung Prioritäten setzen, um sie zu schützen.

Konkret führt angesichts der gegenwärtigen Bedrohungslage kein Weg an einem modernen Exposure Management vorbei. Dabei sind fünf Schritte entscheidend:

1. Scoping: In Unternehmen mit zahlreichen Assets sollten vor allem Geräte identifiziert werden, die für kritische Geschäftsprozesse, wie Produktionslinien, unerlässlich sind. Auf diese Weise lässt sich der Anteil der Anlagen, die kontinuierlich auf Cyberrisiken überprüft werden müssen, deutlich reduzieren.
2. Erkennung: Unternehmen müssen sämtliche Geräte in ihrer Infrastruktur kennen und so ein stets aktuelles Inventar erstellen. Dies erfordert verschiedene Erfassungsmethoden, um umfassende Informationen über die Assets zu erhalten. Nur auf dieser soliden Datenbasis lassen sich Schwachstellen intelligent priorisieren.
3. Priorisierung: Um Risiken zu ermitteln sollten nicht nur Schwachstellen berücksichtigt werden, sondern auch Fehlkonfigurationen und riskante Bedingungen wie Standardanmeldeinformationen. CISOs können sich auf die potenziell folgenreichsten Bedrohungen für den Geschäftsbetrieb konzentrieren, indem sie ihre Informationsbasis durch bekannte Exploits anreichern, Prognosen erstellen und die geschäftlichen Auswirkungen bewerten .
4. Validierung: Auch wenn viele Schwachstellen vorhanden sind, lassen sie sich womöglich von Angreifern nicht ausnutzen, etwa weil die Ports geschlossen sind oder eine Firewall den Datenverkehr von einem gefährdeten System blockiert. Aus diesem Grund ist es wichtig, den Angriffspfad zu überprüfen, um die Abhilfemaßnahmen auf die tatsächlich gefährdeten Assets zu konzentrieren.
5. Umsetzung: Um das Exposure Management erfolgreich umzusetzen, müssen die entsprechenden Maßnahmen in bestehende Lösungen und Worflows integriert werden. Dies gilt insbesondere für Bereiche wie Patching, Passwortänderung oder Neukonfiguration der Infrastruktur. Auf diese Weise lassen sich Risiken nachhaltig minimieren.

Lesetipp: OT-Sicherheit im Hinblick auf NIS2

Angesichts der zunehmenden Aktivitäten staatlich unterstützter Angreifer sowie der andauernden Gefahr durch Ransomware müssen CISOs die richtigen Strategien und Lösungen implementieren, um sämtliche Bedrohungen abwehren zu können. Eine umfassende Inventarisierung ist stets der Beginn von OT-Sicherheitsprojekten, reduziert aber noch nicht das Cyberrisiko. Vielmehr kommt es auf das abgestimmte Zusammenspiel von Exposure Management, sicherem Fernzugriff und Netzwerkschutz an, um die Bedrohungen angemessen adressieren zu können. (jm)