Viren, Würmer und andere Schädlinge, wie Conficker oder Botnet-Infektionen, befallen rund um den Globus Millionen von Rechnern und legen diese zum Teil lahm. Nun greift mit Stuxnet eine Schadsoftware erstmals direkt Industrieanlagen an.
Stuxnet nistet sich auf WinCC ein
Die Attacken gelten den so genannten SCADA-Systemen (Supervisory Control and Data Acquisition). Das sind Prozesssteuerungs-, wie auch Automatisierungs- und -leitsysteme. Diese werden in nahezu allen Infrastrukturen eingesetzt, die physische Prozesse abwickeln, von der Stromerzeugung und -verteilung über Gas- und Wasserversorgung bis hin zur Verkehrsleittechnik und der Produktion.
Das Spionage-Tool Stuxnet tauchte erstmals im Juni 2010 in Weißrussland auf und hat es besonders auf Prozesssteuerungslösungen von Siemens abgesehen. Die Schadsoftware nistet sich insbesondere auf den Host-Systemen des Windows Control Center (WinCC) ein, einer Prozessvisualisierungssoftware zur Anlagensteuerung.
Versteckter Wurm
Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) ist eine wesentliche Ursache für die Anfälligkeit moderner Prozesssteuerungssysteme gegenüber Cyber-Attacken, dass diese inzwischen immer mehr IT-Komponenten beinhalten. Das sind beispielsweise Datenbanken, Standard-Hardware sowie Betriebssysteme wie Microsoft Windows oder Unix. Vernetzt sind die Systeme über gängige Netzwerktechniken und unter Verwendung standardisierter Kommunikationsprotokolle wie Ethernet und TCP/IP.
Foto: Siemens
Der Stuxnet-Trojaner geht dabei besonders raffiniert vor, denn er "versteckt" sich mittels Rootkits auf den WinCC-Systemen. Dadurch lassen sich Manipulationen an speicherprogrammierbaren Steuerungen kaum oder nur schwer erkennen. Inzwischen stellt Siemens zur Überprüfung der WinCC-Software auf seiner Website ein Tool bereit.
Single Points of Failure vermeiden
Damit Industrieunternehmen ihre Steuerungssysteme künftig besser schützen können, hat das BSI dafür eine Handlungsempfehlung veröffentlicht. Generell sollten Firmen bestehende Systeme bestmöglich absichern und bei der Einführung neuer Lösungen darauf achten, dass keine neuen Gefährdungen oder "Single Points of Failure" entstehen.
Folgende sechs Punkte sollten sie dabei berücksichtigen:
1. Zum Prozesssteuerungsnetzwerk sollte es möglichst keine externen Zugänge, etwa via Internet, Intranet oder durch Wartung geben.
2. Ist ein externer Zugang zu Prozesssteuerungssystemen unvermeidbar, muss dieser sehr restriktiv ausgelegt sein. Maßnahmen dazu sind und anderem eine technische Beschränkung des Netzwerkverkehrs auf den tatsächlichen Bedarf sowie ein effizientes Management der Kommunikation mit anderen Systemen.
3. Die Systeme sind zudem laufend zu überwachen. Mit spezifischen Sicherheits-Gateways lassen sich die Steuerungsnetze zudem segmentieren und besser im Auge behalten.
4. Systeme und Komponenten der Prozesssteuerung sollten nur die zum Betrieb notwendigen Funktionalitäten und sichere systemspezifische Authentifizierungsmechanismen haben.
Offene Migrationspfade zwischen Systemen
5. Ersatzteile, Updates und Systemwartung sollten langfristig verfügbar sein und sich an der Lebensdauer der Prozessinfrastruktur orientieren. Wichtig sind außerdem möglichst offene Migrationspfade zwischen einzelnen Systemen.
6. Nicht zuletzt müssen getestete Sicherheits-Patches schnell verfügbar sein und sich rasch einspielen lassen - für das BSI ein Kriterium bei der Auswahl des Prozessleittechnikherstellers. Insbesondere bei Systemen, die das ganze Jahr rund um die Uhr laufen (24/7/365-Anforderung) sollten, stellt dies eine Herausforderung dar.