Untersuchung von Belden belegt, dass Patching kein effizientes Modell für industriegerechte Cyber-Sicherheit ist

Neckartenzlingen - 8. April 2013 - Belden Inc., ein weltweit führender Anbieter von Signalübertragungslösungen für unternehmenskritische Anwendungen, hat Untersuchungen durchgeführt, die belegen, dass kritische Infrastrukturen mit Patching oftmals nur unzureichend vor Sicherheitslücken und aktuellen Schadprogrammen geschützt werden können. Patching ist zwar ein wichtiger Bestandteil einer Defense-in-Depth-Gesamtstrategie. Für industrielle Systeme sind jedoch Security Profiles aus dem Tofino Security-Produktprogramm von Belden die bessere Lösung, um einen schnellen und umfassenden Schutz zu erhalten.

Seit der Entdeckung des Schadprogramms Stuxnet im Jahr 2010 sind industrielle Infrastrukturen verstärkt in den Fokus von Sicherheitsexperten, Hackern und Regierungsbehörden gerückt. SCADA- (Supervisory Control and Data Acquisition) und ICS-Produkte (Industrial Control Systems) wurden bereits vor Jahren vor allem mit Blick auf Zuverlässigkeit entwickelt. Sicherheitsaspekte spielten dabei keine maßgebliche Rolle, was diese Produkte natürlich anfällig macht. Dies zeigt sich daran, dass in den vergangenen zwei Jahren bei den zuständigen Behörden ein außerordentlich hoher Anstieg an Sicherheitsalarmen bei SCADA- und ICS-Produkten zu verzeichnen war. Darüber hinaus sind diese Produkte auch vermehrt zum Ziel ausgefeilter (Stuxnet, Night Dragon, Flame) und gefährlicher (Shamoon) Cyberattacken geworden.

Eric Byres, Chief Technology Officer (CTO) und Vice President of Engineering bei Tofino Security, hat die Wirksamkeit des Patching für den Schutz von Kontrollsystemen vor Schwachstellen und Schadprogrammen untersucht. Dabei kam er zu folgenden Ergebnissen:

• In SCADA/ICS-Anwendungen sind viele Schwachstellen vorhanden, und über 1.800 davon müssen auf Kontrollsystem-Computern erkannt und untersucht werden.
• Die Häufigkeit des Patching, die für die Bekämpfung künftiger SCADA/ICS-Schwachstellen in Controllern und auf Computern notwendig wäre, überschritte sicherlich die Toleranzgrenze der meisten Betreiber im Hinblick auf das erforderliche Herunterfahren der Systeme. Denn im Gegensatz zu IT-Systemen laufen die meisten industriellen Prozesse rund um die Uhr und erfordern daher höchste Verfügbarkeit. Ein wöchentliches Herunterfahren zu Patching-Zwecken ist also inakzeptabel.
• Doch auch wenn sich Patches installieren lassen, können Probleme auftreten. Denn es besteht eine Chance von 1 zu 12, dass ein Patch die Sicherheit oder Zuverlässigkeit eines Kontrollsystems beeinträchtigt. Zudem liegt die Fehlerrate von Patches, die die gemeldete Schwachstelle beseitigen sollen, bei 60 %. Ferner können Patches oftmals nur von Mitarbeiter mit Spezialwissen implementiert werden. In vielen Fällen sind solche Experten jedoch nicht für den Zugang zu sicherheitsregulierten industriellen Bereichen zertifiziert.
• Nur für weniger als 50 % der öffentlich bekannten Schwachstellen sind Patches verfügbar.
• Viele Betreiber von kritischen Infrastrukturen stehen Patches ablehnend gegenüber, da diese den Service beeinträchtigen und die Ausfallzeiten erhöhen.

Wenn kein Patching möglich ist oder wenn dazu auf das halbjährliche bzw. jährliche Herunterfahren der Systeme gewartet werden muss, kann als Alternative die sogenannte kompensierende Kontrolle implementiert werden. Dieses Verfahren beseitigt jedoch nicht die eigentliche Schwachstelle, sondern sorgt lediglich dafür, dass bekannte Angriffsvektoren blockiert werden. Beispiele für kompensierende Kontrollen sind die Neunkonfiguration eines Produkts, die Anwendung von empfohlenen Firewall-Richtlinien oder die Installation von Signaturen, die Schadprogramme erkennen und blockieren.

Eine andere Form der kompensierenden Kontrolle sind die Security Profiles, die zum Umfang des Tofino Security-Produktprogramms gehören. Dabei handelt es sich um Richtlinien- und Protokolldefinitionen gegen neu identifizierte Schwachstellen. Sie ermöglichen es Anbietern von Automatisierungssystemen, mit einfachen Mitteln einen Schadprogramm-Schutz zu erstellen und zu verteilen. Die Betreiber erhalten damit ein Paket einfach bereitzustellender, maßgeschneiderter Regeln, das ohne Beeinträchtigung des laufenden Betriebs installiert werden kann. Dadurch lassen sich kritische industrielle Infrastrukturen schnell und wirkungsvoll selbst vor neuen Bedrohungen schützen.

„Unsere Untersuchungen haben sich auf die zahlreichen Herausforderungen im Umfeld des Patching für SCADA- und ICS-Systeme bezogen", erklärt Eric Byres. „Für den Schutz ihrer Einrichtungen sollten Betreiber von kritischen Infrastrukturen eine Defense-in Depth-Strategie verfolgen, die Patching in allen möglichen Fällen vorsieht, die aber auch auf kompensierende Kontrollen baut, wenn Patching keine Option ist.”

Ab heute wird Belden verschiedene Blog-Artikel zu seinen Patching-Untersuchungen sowie nützliche Begleitdokumente veröffentlichen. Zu diesen Dokumenten zählen:

• „Patching for Control System Security - A Broken Model?“, eine Präsentation, die eine Zusammenfassung der Patching-Untersuchungen beinhaltet.
• „Patching for Control System Security - A Broken Model?“, eine wissenschaftlich begutachtete Veröffentlichung, und das
• White Paper „Solving the SCADA/ICS Security Patch Problem“.

Der erste Blog-Artikel steht unter: www.tofinosecurity.com/blog/scada-security-welcome-patching-treadmill

Leseranfragen

Belden
P.O. Box 9
5900 AA VENLO
Netherlands

+31 77 387 8555

www.belden.com

Beldeninc

BeldenInc