Gängige Sicherheitslösungen wie Firewalls, Intrusion Detection Systeme (IDS) und Antivirenprogramme wenden hauptsächlich Blacklisting-Ansätze an. Diese Lösungen verarbeiten Signaturen, die in modernen Malware-Laboren erstellt oder aus Community-Daten, die in Cloud-basierten Malware-Erkennungssystemen gesammelt wurden, und regelmäßig an Endpunkte verteilt werden, um die Erkennung bekannter schädlicher Aktivitäten zu ermöglichen. Während sie bei bekannten Angriffsversuchen zuverlässig funktionieren, scheitern sie, wenn neue Angriffstechniken eingesetzt oder noch unbekannte Schwachstellen oder Schwächen ausgenutzt werden. Als Folge davon ist die Erkennung von Anomalien erforderlich, die schon geringe Abweichungen des Systemverhaltens entdecken können, die zu Spuren unbekannter Angriffe führen können.

Leider lassen sich die meisten modernen Lösungen zur Erkennung von Anomalien nicht ohne weiteres auf cyber-physikalische Systeme (CPS) und Leittechnik (OT) anwenden, die sich in Bezug auf Komplexität, Größe und weit verteilte Installationen grundlegend von IT-Netzwerken in Unternehmen unterscheiden. Darüber hinaus sind die wenigen verfügbaren OT-Sicherheitslösungen nicht dafür ausgelegt, über verschiedene Infrastrukturebenen hinweg zu arbeiten (d.h. Informationen von OT- und IT-Systemen sowie Daten aus der Netzwerkschicht und Logdaten von Endpunkten zu korrelieren) und sind daher meist ungeeignet, moderne mehrstufige Cyber-Angriffe zu erkennen.

Ein weiterer Grund, warum die heutigen Anomalie-Erkennungssysteme für CPS weitgehend ungeeignet sind, liegt darin, dass sich CPS nicht nur von den IT-Netzwerken der Unternehmen unterscheiden, sondern auch untereinander stark differenzieren. CPS verfügen einerseits über variable Netzwerkinfrastrukturen und andererseits sind die integrierten Komponenten vielfältig. Daher sind maschinelle Lernansätze erforderlich, die nicht von den Besonderheiten eines bestimmten Systems zur Erkennung von Angriffen abhängen, sondern sich an unterschiedliche Nutzungsszenarien anpassen. Außerdem unterscheiden sich die Betriebseigenschaften von CPS von der Unternehmens-IT. Die Prozesse basieren normalerweise auf einer hochgradig deterministischen Maschine-zu-Maschine Kommunikation, die eine empfindlichere Erkennung von Anomalien mit niedrigeren Schwellenwerten für das Systemverhalten ermöglicht. Die bestehenden Ansätze zur

Erkennung von Anomalien nutzen dies jedoch kaum aus. Angreifer können Schwachstellen und Schwächen auf verschiedenen Ebenen und in verschiedenen Bereichen komplexer CPS als Einstiegspunkte für erfolgreiche Mehrschritt-Angriffe ausnutzen. Um diesen oft fortgeschrittenen böswilligen Aktivitäten entgegenzuwirken, argumentieren wir, dass eine geeignete Zusammensetzung verschiedener Erkennungsansätze für einzelne Infrastrukturebenen (WAN, LAN, Feldebene) die Wirksamkeit der Anomalieerkennung im CPS verbessert. Diese schichtübergreifenden Lösungen korrelieren mehrere interessante Datenströme, die an verschiedenen Stellen und OSI-Schichten des Protokollstapels gemessen werden. Mit der richtigen Kombination und den richtigen Analysemethoden kann ein schichtenübergreifender Ansatz das allgemeine Sicherheitsbewusstsein in CPS enorm steigern. Dennoch bleibt die Auswahl geeigneter Datenströme und Beobachtungsparameter (z.B. Beobachtungspunkte, Zeiträume, Granularität und Schichten) eine anspruchsvolle Aufgabe. Neben der Erkennungsqualität sind auch die für die Erkennung erforderlichen Ressourcen (Zeit, Budget, Aufwand) von Bedeutung.

Das Projekt synERGY hatte die Entwicklung einer Architektur und die Demonstration einer Proof-of-Concept-Implementierung einer modernen reaktiven Sicherheitslösung zum Ziel, die speziell für groß angelegte und komplexe CPS entwickelt wurde. Die Designkriterien dieser Architektur sind:

• Es nutzt operative Datenquellen jeglicher Art, insbesondere Netzwerk- und Endpunktdaten, sowie verschiedene Bereiche eines CPS von der Feldebene bis zur Unternehmensebene.
• Sie wendet erstklassige Anomalie-Erkennungsmechanismen an, nicht nur signaturbasierte Lösungen, und nutzt maschinelles Lernen zur Optimierung derselben.
• Sie nutzt Kreuzkorrelationstechniken, um das Vertrauen in die Ergebnisse zu erhöhen und neue mehrstufige Angriffe zu entdecken, die durch eine Infrastruktur voranschreiten.
• Sie erleichtert die Interpretation der entdeckten Anomalien mit Hilfe von Kontextdaten aus dem Unternehmen.

Das Projekt synERGY untersuchte, wie ein adaptives, selbstlernendes, schichtenübergreifendes Anomalie-Erkennungssystem auf der Grundlage offener Standards entworfen, entwickelt und validiert werden kann, das herstellerunabhängig auf eine Reihe von CPS angewendet und die Spuren einer Vielzahl moderner Cyber-Angriffe mit begrenztem menschlichem Aufwand durch die Anwendung von Kreuzkorrelationstechniken zahlreicher Datenströme entdecken kann.

Die Arbeit an den damit verbundenen Herausforderungen im Rahmen eines kooperativen Forschungsprojektes war wichtig, um eine herstellerunabhängige Lösung zu entwickeln. Daher wurden bei der Entwicklung insbesondere Open-Source-Lösungen und offene Standards ausgewählt.

Im Projekt synERGY arbeiteten wir an einem besonderen Anwendungsfall, der durch die zunehmende Zahl von Cyber-Angriffen auf Energieversorger oder andere Betreiber kritischer Infrastrukturen, darunter Stuxnet, Crashoverride, Black Energy oder Petya, motiviert war. Im Hinblick auf die Stromverteilungsnetze umfasst ein modernes Umspannwerk eine Reihe von Sicherheits-, Überwachungs- und Steuerungseinrichtungen. Für den Anwendungsfall der „cross-correlation“ gehen wir davon aus, dass alle technologisch möglichen Sicherheitsmaßnahmen umgesetzt werden und korrekt funktionieren. Da der Lebenszyklus von Industriekomponenten in der Energiewirtschaft im Vergleich zur Standard-IT jedoch sehr lang ist, ist die Existenz von Altgeräten mit zusätzlichen Schutzanforderungen recht häufig. Aufgrund dieser Bedingungen ist die Anwendung der Anomalie-Erkennung ein vielversprechendes Mittel zum weiteren Schutz solcher Systeme. Bei der Anwendung fortschrittlicher Anomalie-Erkennungssysteme sind die primären Schutzziele im Bereich der industriellen Sicherheit, Verfügbarkeit und Integrität von größter Bedeutung.

Insbesondere dürfen die Echtzeiteigenschaften von industriellen Systemen nicht eingeschränkt werden. Dies ist ein bedeutender Unterschied zur klassischen Büro-IT-Welt, in der Vertraulichkeit in der Regel höchste Priorität hat. Ein wesentliches Konzept im Bereich der industriellen Sicherheit ist "Defense-in-Depth", das auf der Erkenntnis beruht, dass der Schutz vor Cyber-Angriffen auf Industrieanlagen, wie in unserem Anwendungsfall das Stromnetz, alle Beteiligten einschließt, einschließlich der Betreiber, Integratoren und Hersteller.

Neben dem Aufbau eines Verteidigungskonzeptes ist die Korrelation der erkannten Anomalien aus den verschiedenen Schichten des Schalenmodells von entscheidender Bedeutung, um gut versteckte Angreifer früher zu erkennen und die Qualität der Alarme zu erhöhen, d.h. die

Falsch-Positiv-Rate zu senken. Aus der Perspektive der Gesamtsicherheit hat die Korrelation von erkannten Anomalien im Netzwerkverkehr mit physischen Datenquellen wie Zutrittskontrolle, Datenbank mit Arbeitsaufträgen usw. ein großes Potenzial. Der synERGY Anwendungsfall berücksichtigt daher diese Faktoren.

Der unbefugte Zugriff auf das Prozessnetzwerk ist eine der größten Bedrohungen für das Gesamtsystem und bildet die Grundlage für eine Vielzahl von Bedrohungsszenarien. Ein solcher Zugriff kann entweder physisch oder logisch über das Netzwerk auf praktisch jede Komponente und jeden Bereich des Netzwerks erfolgen. Besonders kritisch ist der unbefugte Zugriff auf Komponenten im Feld, da ein Angreifer dort möglicherweise nur wenig oder gar keinen physischen Zugangsschutz vorfindet. Der Zugang erlaubt es dem Angreifer, die übertragenen Daten zu kopieren, abzuhören oder zu verändern und für eigene Zwecke zu verwenden. Dieser Anwendungsfall befasst sich speziell mit den folgenden vier Angriffen (in Abb. 1 ebenfalls als Sterne gekennzeichnet):

1. Der Angreifer bricht physisch in eine Trafostation (secondary substation) ein und erhält Zugang zu einer RTU.
2. Der Angreifer bricht physisch in ein Umspannwerk (primary substation) ein und erhält Zugang zu einer MTU.
3. Der Angreifer erhält über einen Fernwartungszugang Zugang zum Netzwerk.
4. Der Angreifer erhält Zugang zum Netzwerk über ein kompromittiertes Gerät, z.B. einen PC (engineering workstation) oder ein Wartungs-Notebook.