Digitalisierung und Security in der Industrie kein ... · Digitalisierung und Security in der...
Transcript of Digitalisierung und Security in der Industrie kein ... · Digitalisierung und Security in der...
Digitalisierung und Security
in der Industrie – kein Widerspruch!
Die IEC 62443 in der Anwendung.
Tag der IT-Sicherheit 2019
Daniel Kastner, Stahl-Holding-Saar
Saarbrücken, den 06.06.2019
2
Agenda
• SHS – Stahl-Holding-Saar
• Entwicklung der Cyber-Kriminalität aus Sicht eines Stahlkonzerns
• Innovation und Sicherheit schließen sich nicht aus!
• IT-Security im Automatisierungsumfeld
• IEC 62443 – Aufbau und Kernelemente
• Praxisbeispiel - ICS Security Konzept ‚neue Stranggießanlage 1‘ („S1“)
• Positionspapier des Arbeitskreises Industrial IT-Security
3
SHS – Stahl-Holding-Saar / Kennzahlen 2018
DH SAG SHS
Produktion (kt)
Rohstahlproduktion 2.334 2.782 5.116
Personal
Belegschaft (ohne Auszubildende) 7.310 6.384 13.694
Auszubildende 257 287 544
Finanzkennzahlen (Mio. €)
Umsatzerlöse (konsolidiert) 2.202 2.528 4.730
Investitionen (inkl. ROGESA/ZKS) 55 68 123
Investitionen (2014 bis 2018) 885
4
Kennzahlen IT (ohne Automatisierungstechnik)
SHS
Infrastruktur
Computer 9.200
Server 1.900
LAN Ports 25.000
aktive Netzwerkgeräte (Switche / Router) 1.400
LWL Kabel (km) >1.000
Personal
Informatik Dillinger 100
Informatik Saarstahl 100
Informatik SHS Infrastruktur 60
5
Entwicklung der Cyber-Kriminalität
Quelle: Studie Industriespionage 2014, Corporate Trust
6
Entwicklung der Cyber-Kriminalität
Quelle: Studie Industriespionage 2014, Corporate Trust
7
Ganzheitlicher IT-Security Ansatz – „Bekannt und doch vermasselt!“
Security Awareness
Sensibilisierung von Mitarbeitern
und Führungskräften
Security Richtlinien
Security Prozesse
Risiko Management
technische IT-Security
physische Sicherheit
oft unterschätzt
Zu viel und gleichzeitig zu wenig getan?
8
IEC 62443 – Industrial IT-Security
Innovation und Sicherheit schließen sich nicht aus!
Anzahl erreichbarer IP-
Adressen (in 1.000)
je 1 Mrd $ Umsatz
Schwachstellen je 1.000
IP-Adressen
30 22
5
Nordamerika Europa Ostasien
39 52
44
Nordamerika Europa OstasienQuelle: ix Spezial 2019, S. 108
25%
9
Prämissen im Automatisierungsumfeld
IT-Konzepte sind nur bedingt im OT-Bereich zu nutzen!
Unterschiede in den Anforderungen zwischen
Lebensdauer
Patchmanagement
Zeitabhängigkeiten
Verfügbarkeit
3-5 Jahre
oft (täglich)
Verzögerungen
akzeptiert
kurze Ausfälle
toleriert
5-20 Jahre
selten, Hersteller-
freigabe notwendig
kritisch
24 x 7
Office IT Industrial IT (OT)
Quelle: Industrial Control Systems Vulnerabilities Statistics, Kaspersky
10
IEC 62443 – Industrial IT-Security
• Warum nicht ISO/IEC 27000?
• IEC 62443 adressiert die spezifischen Belange der IT-Sicherheit industrieller
Anlagen
• Grundlegend für das Verständnis:
– Schutz gegen gewollten oder auch ungewollten Missbrauch durch
Cyberangriffe kann nicht singulär erzeugt werden.
– Rollen Hersteller
Integrator
Betreiber / Asset Owner
– übergeordnete Grundkonzepte Risikobewertung, Security-Level
Defense-in-Depth Strategie
Zones & Conduits
IEC 62443 = ganzheitlicher Ansatz für den OT-Bereich
11
IEC 62443 – Struktur der Norm
Die Norm besteht aus 4 Abschnitten bzw. insgesamt 13 Teilen.
Quelle: ZVEl., Orientierungsleitfaden für Hersteller zur IEC 62443, S. 9
12
IEC 62443 – Industrial IT-Security
Quelle: ZVEl., Orientierungsleitfaden für Hersteller zur IEC 62443, S. 10
13
IEC 62443 – vier Security-Level
• Security-Level
Schutz gegen …
(1) … ungewollten, zufälligen Missbrauch
… gewollten Missbrauch
(2) einfache Mittel, niedriger Aufwand, allgem. Kompetenz, niedr. Motivation
(3) moderate Mittel, mod. Aufwand, spezif. Kompetenz, mod. Motivation
(4) aufwend. Mittel, erhebl. Aufwand, spezif. Kompetenz, hohe Motivation
14
Bewertung von funktionalen und organisatorischen Maßnahmen
Quelle: P. Korbes, S. Leitfaden Industrial Security, S. 38
62443: ganzheitlicher Ansatz!
1 2
3 4
15
IEC 62443 – grundlegende Anforderungen
funktionale Anforderungen an eine Automatisierungslösung
FR 1 – Identifizierung und Authentifizierung
FR 2 – Nutzungskontrolle
FR 3 – Systemintegrität
FR 4 – Vertraulichkeit der Daten
FR 5 – eingeschränkter Datenfluss
FR 6 – rechtzeitige Reaktion auf Ereignisse
FR 7 – Ressourcenverfügbarkeit
• physischer Zugang
• Organisation
16
IEC 62443 – A.3 FR 5 – Eingeschränkter Datenfluss
17
Defense in Depth – das Modell der Zwiebelschalen
Grundkonzept „Defense in Depth Strategie“.
Schutz rundum wie auch in der Tiefe.
Quelle: P. Korbes, S. Leitfaden Industrial Security, S. 16
18
Vorgehensweise zum Aufbau eines Schutzkonzeptes
• Anlagensicherheit (i W durch den Betreiber)
– sicher stellen, dass technische Maßnahmen nicht umgangen werden können
• physischer Schutz und
• organisatorische Maßnahmen (Security-Management-Prozess)
• Netzwerksicherheit (i W durch den Integrator)
– Zentrales Element des industriellen Schutzkonzepts ist die Netzwerksicherheit.
• Sicherung der Schnittstellen zw. Unternehmens- und Anlagennetz (DMZ)
• Netzsegmentierung und Zellschutz
• sichere Fernzugriffe (VPN)
• Systemintegrität (i W durch den Hersteller)
• Rollen- und Rechtekonzept
19
Quelle: BSI., ICS-Security-Kompendium, S. 18
Besondere Rolle der Netzwerksicherheit
unsicher
sicher
Bedrohungen nehmen nach außen zu!
20
Netzwerkkonzepte: Campusweite Trennung der Kommunikation IT/OT
Physikalische / Logische Entkopplung
Quelle: BSI., ICS-Security-Kompendium, S. 25
21
Vorteile der (physikalischen) Trennung IT & OT Kommunikationsnetze
• Erhöhung der Sicherheit durch Reduzierung der Angriffsvektoren
• Lasttrennung der IT/OT Kommunikationsinfrastruktur, keine Beeinflussung
zeitkritischer OT Kommunikation durch IT Netzwerkwerklast
• Einfache Kontrolle durch einen zentralen (redundanten) Übergang
• Unabhängige Release-, Patch- und Wartungszyklen für IT/OT möglich
• Unabhängige Betriebsteams und SLAs für IT/OT möglich
Ziel: Nahezu autarker Betrieb der OT-Netze
22
Automatisierungszelle – Siemens Design
• Steuerungen befinden sich in einem
geschlossenen Netzwerk (Anlagennetz, AS).
• Die Bediener Clients (Terminals) befinden sich
ebenfalls in einem geschlossenen Netzwerk
(Terminalnetz, OS).
• Bediener greifen über OS Server / Engineering
Station auf die Steuerungen zu.
• OS und AS (optional) Netze können via Firewall,
von außen kontrolliert, erreicht werden.
Sicherheit durch Segmentierung und Kapselung der Zellen!
23
Design Ziel: Entkopplung IT/OT – DMZ als „Schleuse“
Automatisierungs
-
Netze
Office
Netze
Transfernetze
DMZ DMZ
Keine direkte Kommunikation Office Netz / Automatisierung!
24
Mögliche Anwendungen in der DMZ
• Applikation Layer Gateways zur Abschottung, z. B. Beispiel Remote Zugänge,
Datenaustausch, … (FR 5)
• Authentifizierungssysteme (FR1)
• Systeme zur Logdatenerfassung und Auswertung (FR2, FR6)
• Patch-Management, WSUS (FR3)
• Security Management (FR7)
Sicherheitsinfrastruktur gemäß „Foundational Requirements“ 62443
25
DMZ - Designansätze
• Je Anlage eine DMZ?
• Aufbau einer gemeinsamen DMZ
– für mehrere Anlagen
– für ein Werk
– für einen Standort
– für das ganze Unternehmen
• Gemischte zentrale / dezentrale DMZ Strukturen
– Maximierung der Verfügbarkeit
– Optimierung der Standardisierung, zentrale Verwaltbarkeit
Zentralisierung vs. Verfügbarkeit
26
DMZ – Designansätze - Beispiele
• Gemeinsame Nutzung von:
– Zeitserver
– WSUS Server
– Wartungszugängen
– Zentralen Authentifizierungsservern (mit dezentralen Repliken)
– Zentrale SIEM und Netzwerküberwachung (dezentrale Sensoren)
Ziel: Best Practice für zentrale / dezentrale DMZ Ansätze!
27
Praxisbeispiel - ICS Security Konzept ‚neue S1‘
• Erarbeitung eines logischen Netzwerk-Referenzdesigns unter Berücksichtigung der
Anforderungen der S1 und unter Einbeziehung der IEC 62443 („Zones and
Conduits“)
• Strikte Entkopplung von Office-Netz und den Automatisierungsnetzen!
• Wichtige (zeitkritische) Dienste sind unabhängig von der Office-Infrastruktur
(klassische IT) und möglichst „nah“ an den Automatisierungsnetzen zu betreiben.
Erste Störungsbeseitigung muss durch die Automatisierungstechnik in Eigenregie
möglich sein.
• Industrie 4.0 tauglich - Berücksichtigung der gestiegenen Anforderungen
(Prozesserfassung und -führung, Netzwerk, IT-Security, Sensorik, …)
Digitalisierung und OT-Security – kein Widerspruch!
28
Positionspapier des AK Industrial IT-Security
Präsentation
29
Zusammenfassung
Security Awareness
Sensibilisierung von Mitarbeitern und
Führungskräften
in den jeweiligen Rollen
Security Richtlinien,
Security Prozesse
Risiko Management
Top-Down starten
technische IT-Security
physische Sicherheit
Defense in Depth
Quick-Wins erzielen ok - ABER ►ganzheitlichen Blick bewahren!
Was sind meine kritischen Geschäftsprozesse (Kronjuwelen)?
Digitalisierung und IT/OT-Security – kein Widerspruch!
30
Noch Fragen?
31
Danke für Ihre Aufmerksamkeit