Cyber-Security No Way für Angreifer: Anlagen per One Way sicher vernetzen

Autor: Dipl. -Ing. Ines Stotz

Unternehmen werden zunehmend gefordert, zu digitalisieren und flexibel bis hin zur Losgröße 1 zu produzieren. Doch: Aus Sicherheitsgründen zögern diese sowie insbesondere KRITIS-Betreiber noch immer, ihre Maschinen zu vernetzen. Dabei lassen sich sensible Anlagen zuverlässig schützen.

Firmen zum Thema

Die Vernetzung von Maschinen kann auch mit Sicherheitsrisiken verbunden sein. Eine Lösung können Ioden mit One-Way-Funktionalität sein.
Die Vernetzung von Maschinen kann auch mit Sicherheitsrisiken verbunden sein. Eine Lösung können Ioden mit One-Way-Funktionalität sein.
(Bild: gemeinfrei // Pexels)

Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) haben neue Schadprogrammvarianten alleine im Zeitraum von Juni 2019 bis Mai 2020 um rund 117 Millionen zugenommen. Es gibt also hinreichend Gründe, warum Industrie und Betreiber kritischer Infrastrukturen, kurz Kritis, auf eine hohe Qualität von IT-Security Wert legen müssen. Bei beiden müssen eine hohe Verfügbarkeit, Auslastung sowie Produktionsgeschwindigkeit der Anlagen sichergestellt werden.

Mit Blick auf die Vernetzung sind die Anforderungen ähnlich, obgleich anders gewichtet. Hier müssen die Schnittstellen der Netzsegmente über die kommuniziert werden sollen, uneingeschränkt gesichert sein. Das bedeutet: der Sender der Daten muss vor möglichst jeder Rückwirkung geschützt sein, Verfügbarkeit und Datenintegrität sind zu erhalten, Datenlecks sind auszuschließen. Das Problem: Security ist schwer nachzurüsten beziehungsweise on top zu gewährleisten.

Bildergalerie
Bildergalerie mit 5 Bildern

Die Frage lautet demzufolge: Ist es möglich, unabhängig vom Maschinenhersteller die Effizienz von Anlagen durch Vernetzung zu optimieren, ohne ihre Verfügbarkeit und Integrität zu gefährden?

„Die Cyber-Diode ist komfortabler als Air Gaps, sicherer als Firewalls und verlässlicher als Glasfaserdioden.“

Steve Schoner, Strategic Product Marketing Manager, Genua

Ergänzendes zum Thema
Interview
„Die Architektur ist auf rigorose Sicherheit ausgerichtet.“

Herr Schoner, es gibt funktionierende Sicherheits-Maßnahmen, etwa Air Gaps und Glasfaserdioden, was spricht für eine Software-Datendiode?

Ein Air Gap ist ein Lufttrenner, der eine Datenverbindung gar nicht erst zulässt. Jedoch auch bei bisher getrennten IT-OT-Netzen muss, Stichwort Industrie 4.0, irgendwann kommuniziert werden. Damit beispielsweise der Mitarbeiter nicht mit einem USB-Stick zur Maschine laufen muss, erlaubt es unsere softwarebasierte Cyber-Diode, solche Air Gaps nachträglich zu vernetzen. Das Sicherheitsniveau ist dabei vergleichbar mit dem einer Glasfaserdiode, weil ein Datenfluss in die Gegenrichtung ausgeschlossen ist.

Im Gegensatz zur Glasfaser lässt sich mit der Cyber-Diode auch die Performance der Verbindung optimieren, da wir die Zustellung der Daten beim Empfänger monitoren können. Die Diode liefert nach vollständigem Empfang der Datenpakete ein einzelnes Bestätigungsbit zurück. Ein gesondert zu etablierender Rückkanal für die Vollständigkeitsprüfung des Datentransfers wie bei der Glasfaserdiode ist nicht notwendig. Das erhöht die Zuverlässigkeit.

Steve Schoner, Strategic Product Marketing Manager, Genua: „Die Cyber-Diode ermöglicht praktisch risikolose Vernetzung.“
Steve Schoner, Strategic Product Marketing Manager, Genua: „Die Cyber-Diode ermöglicht praktisch risikolose Vernetzung.“
( Bild: Genua )

Auch eine Firewall hat eine Einweg-Funktion …

Das stimmt und grundsätzlich ist das eine Alternative. Es wird eine Regel aufgespielt, die ‚pass‘ in die eine Richtung erlaubt sowie ‚block‘ für die Gegenrichtung sichert. Jedoch kaum eine Firewall besitzt nur eine Regel. Die dadurch entstehenden Regelsätze können sehr komplex sein, deshalb können sie aus Versehen falsch konfiguriert werden. Firewalls für hochkritische Netzwerksegmente einzusetzen, ist deshalb nicht empfehlenswert. Derlei Risiken sind bei der Cyber-Diode per Definition ausgeschlossen.

Welches Sicherheitslevel geben Sie der Cyber-Diode?

Die Sicherheitsarchitektur setzt auf rigoroses Security-by-Design, deshalb sprechen wir auch von praktisch risikoloser Vernetzung. Wir bilden im Produkt getrennte Bereiche aus, die sogenannten Compartments. Eine solche Architektur ist extrem schwer anzugreifen. Selbst im Falle einer Schwachstelle im Betriebssystem hätte dies keinen Einfluss auf die One-Way-Funktionalität der Diode. Um es bildhaft mit einer uneinnehmbaren Burg zu vergleichen: Sie hat einen unüberwindbaren Graben und die Zugbrücke ist oben.

Auf welcher Kommunikationsebene macht es Sinn, die Cyber-Diode einzusetzen?

Vor allem an der Grenze zwischen OT und IT. Bedingt durch die Sicherheitsebenen ist die Cyber-Diode nicht echtzeitfähig. Die Stärken kommen besonders in sehr strikt zu trennenden Netzwerk-Bereichen zum Tragen. Dort sind Segmentierungs-Firewalls die beste Alternative. Weil aber die OT- mit der IT-Welt immer mehr zusammenwächst, Protokolle wie OPC UA die Kommunikation vom Sensor bis in die Cloud unterstützt und die Bedrohungen zunehmen, wird sich der Schutzbedarf aller Anlagen letztendlich auch immer weiter erhöhen. Hier kann man durch die Cyber-Diode schon jetzt Zukunftssicherheit schaffen. Aktuell ist sie vor allem bei Organisationen im KRITIS Bereich oder Unternehmen mit regulatorischen Anforderungen gefragt.

Eine hochsichere Cyber-Diode für die Industrie

Eine Antwort darauf gibt Steve Schoner, Strategic Product Marketing Manager bei Genua: „Möglich ist dies durch den Einsatz der industriellen Datendiode ‚cyber-diode‘. Diese ist aktuell die weltweit einzige industrielle Software-Datendiode, die auf einem zugelassenen Produkt aus dem Geheimschutz basiert, der Genua VS-Diode.“

Ergänzendes zum Thema
Cyber-Diode
Einsatzszenario

Die Datendiode bietet sich z. B. für das Anlagenmonitoring, Predictive Maintenance oder Analytics-Aufgaben in der Industrie an.

Ein typisches Szenario zeigt die Abbildung: In der Mitte befindet sich die Cyber-Diode, links davon die sendenden Geräte, in diesem Szenario die OPC UA Server in Maschinen, die Daten aufnehmen und an die Datendiode schicken. Dort werden diese per One-Way nach außen geleitet und, optional per IP Sec VPN, an den empfangende OPC UA Client übertragen. Dieser kann an vielerlei Orten stehen: als On-Premise-System im Gebäude oder als Cloud-Infrastruktur, als virtualisiertes System oder physikalische Hardware.

Schaubild für den Einsatz der Genua Cyber-Diode unter Nutzung von OPC UA für die Datenkommunikation.
Schaubild für den Einsatz der Genua Cyber-Diode unter Nutzung von OPC UA für die Datenkommunikation.
( Bild: Genua )

Bereits in der Konzeptionsphase wurden essenzielle Security-Aspekte berücksichtigt – gemäß dem Ansatz des Security by Design. Für den sicheren Datentransport im industriellen Umfeld unterstützt die Datendiode das OPC UA Protokoll, den offenen Standard für den Austausch von Maschinendaten. Darüber hinaus ermöglicht sie einen verschlüsselten Versand der ausgeleiteten Daten an Client-Applikationen über IP Sec-VPN-Verschlüsselung aus dem Geheimschutz. So lassen sich Daten hochsicher an ein beliebiges Ziel in der Cloud oder einen anderen Standort übertragen.

Entwickelt wurde sie vom Cyber-Security-Spezialisten Genua. Das Unternehmen ist Teil der Bundesdruckerei und auf den Schutz von Netzwerken, Kommunikation und interne Netzwerksicherheit für IT und OT (Operational Technology) spezialisiert.

Ergänzendes zum Thema
Cyber-Diode
Ein Blick in das Innere

Die Cyber-Diode ist in mehrere Compartments getrennt. (Virtualisierte Hardware + Betriebssystem + Software. Dadurch wird die Hardware in sich getrennt, als wären es verschiedene Geräte.) Das schwarze Compartment stellt den Versender dar, im Falle von OPC UA den Client. Das rote Compartment entspricht der empfangenden, VPN-ready Seite. Sie leitet den Datentransfer über ein Netzwerkinterface (NIC) nach außen, z. B. um die Datenpakete via VPN gesichert an das Zielsystem zu senden. Zwischen den beiden Compartments befindet sich der One Way Task, der die Einwegfunktion abbildet.

Aufbau der Genua Cyber-Diode
Aufbau der Genua Cyber-Diode
( Bild: Genua )

Ergänzend besitzt die Diode ein Update Compartment, das es erlaubt, neue Funktionalitäten oder System-Updates einzuspielen. Über Netzwerke ist dies nicht möglich. Diese restriktive Update-Funktionalität ist eine gewollte Sicherheitsbarriere. Updates lassen sich nur an dem Device selbst aufspielen, um über Netzwerkeinstellungen keine Änderungen an der Grundkonfiguration vornehmen zu können.

Das Software-Herzstück der Cyber-Diode bilden ein minimalistischer, gehärteter L4-Mikrokernel mit nur wenigen tausend Zeilen Code sowie ein ebenfalls gehärtetes Open BSD Betriebssystem. Beide sind extrem schwer anzugreifen. Selbst im Falle einer Schwachstelle im Betriebssystem hätte dies keinen Einfluss auf die One-Way-Funktionalität der Diode. Der Mikrokernel ist mittels Secure Boot zusätzlich vor Manipulation geschützt. Es lässt sich nur die von Genua vorgesehene Software auf der Datendiode starten.

Buchtipp

Cybersicherheit ist nicht nur sinnvoll, sie ist die absolute Grundvoraussetzung für eine erfolgreiche Digitalisierung. Das Fachbuch Cybersicherheit erläutert die Relevanz von IT-Sicherheit in Industrieunternehmen und gibt die nötige Unterstützung, diese im eigenen Unternehmen umzusetzen.

(ID:47447977)

Über den Autor

Dipl. -Ing. Ines Stotz

Dipl. -Ing. Ines Stotz

Fachredakteurin Automatisierung, Maschinenbau-Ingenieurin, Fachjournalistin seit 2001; Vogel Communications Group