Über die Sicherheit von ICS-Systemen ("industrial control systems") und SCADA-Netzen ("supervisory control and data acquisition networks") ist in jüngster Vergangenheit viel diskutiert worden, nicht zuletzt aufgrund von Fällen wie Stuxnet, Duqu oder Flame. Trend Micro hat nun in einem Modellversuch untersucht, wer derartige Systeme mit welchem Ziel angreift. Die Ergebnisse des Forschungsberichts wurden heute auf der Konferenz "Black Hat Europe" in Amsterdam vorgestellt.
Für den Praxistest wählten die Bedrohungsforscher Trend Micros eine Kleinstadt in den USA mit 8.000 Einwohnern. Dort erstellten sie in einer - fiktiven - Pumpstation ein Wasserdruck-Kontrollsystem, das im Internet sichtbar ist. Lediglich die Wasserpumpen selbst existieren nicht, alle anderen Komponenten sind vorhanden. Dazu zählen neben den Steuerungseinheiten für die Wasserpumpen sowie den Computern auch die online abrufbaren technischen Dokumentationen der Pumpstationen, die entsprechend präpariert waren und angeblich von der Stadtverwaltung stammen.
Erste Angriffe 18 Stunden nach Beginn des Modellversuchs
Die Bedrohungsforscher erstellten eine Honeypot-Architektur, die solche ICS- und SCADA-Geräte nachahmt, die meistens mit dem Internet verbunden sind. Um eine realistische Umgebung abzubilden, enthielten die drei Honeypots herkömmliche Schwachstellen, wie sie in den meisten Systemen dieser Art vorkommen. Konkret ging es den Forschern darum, zu prüfen, wer welche Teile der mit dem Internet verbundenen ICS-/SCADA-Geräte angreift und wozu dies geschieht. Zudem wollte das Team herausfinden, ob die Angriffe auf diese Systeme zielgerichtet ausgeführt werden.
Innerhalb eines knappen Monats verzeichnete Trend Micro 39 Angriffe aus 14 Ländern. Aus China kamen mit 35 Prozent die meisten, gefolgt von den USA mit 19 Prozent und Laos mit zwölf Prozent. Zwölf Angriffe lassen sich als "gezielt" klassifizieren, 13 wurden von einem oder mehreren Absendern an mehreren Tagen wiederholt ausgeführt. Sie kann man als "gezielt" und/oder "automatisiert" beschreiben. Die restlichen 14 Angriffe, allesamt ebenfalls gezielt, werden derzeit noch weiter untersucht.
Zwischen Wirtschaftsspionage und Cyberterrorismus
"Über die Motive der Angreifer können wir nur spekulieren. Es zeigt sich aber, dass ein buchstäblich weltweites Interesse an einer so harmlosen Sache wie Wasserpumpen besteht. Während manche Angreifer vor allem an den technischen Details interessiert waren, versuchten andere, die Systeme zu beeinflussen oder zu zerstören. Die Angreifer kommen nicht nur aus China, sondern auch aus den USA und Ländern wie Laos", kommentiert Udo Schneider, Senior Manager PR Communications bei Trend Micro. "Ist das jetzt der oft beschworene 'Cyberwar'? Nein, aber die Vorstufe zu Cyberterrorismus. Wer industrielle Steuerungssysteme ausspioniert und sie zu manipulieren versucht, lässt die Grenzen zwischen Wirtschaftsspionage und destruktiven Aktionen verschwimmen. Das ist nicht nur wirtschaftlich schädlich, sondern unter Umständen sogar lebensgefährlich."
Über die Sicherheit von ICS-Systemen und SCADA-Netzen
ICS-Systeme kommen beispielsweise in der Öl- und Gasproduktion, in der Wasserwirtschaft und in Elektrizitätswerken zum Einsatz. SCADA-Netze bilden die Netzwerkschicht, die als direkte Schnittstelle zu den ICS-Netzwerken und den Host-Systemen fungiert, die diese ICS-Elemente überwachen und kontrollieren.
Ursprünglich befanden sich ICS-/SCADA-Netze in einer eigenen Welt proprietärer Protokolle auf speziellen Plattformen und einer darauf zugeschnittenen Kommunikationsinfrastruktur und waren von anderen Netzwerken vollkommen abgeschnitten - einschließlich Internet. Weil nun immer häufiger Standard-Hard- und Software eingesetzt wird und sie mit externen Netzwerken verbunden sind, sind die Netzwerke auch den aus der IT bekannten Gefahren ausgesetzt.
Weiterführende Informationen
Ausführliche Informationen enthält der Forschungsbericht "Wer steckt tatsächlich hinter den Angriffen auf ICS-Ausrüstung?", weitere Hintergrundinformationen finden sich im Forschungsbericht "Maßnahmen für mehr Sicherheit bei ICS-Systemen".
Für den Praxistest wählten die Bedrohungsforscher Trend Micros eine Kleinstadt in den USA mit 8.000 Einwohnern. Dort erstellten sie in einer - fiktiven - Pumpstation ein Wasserdruck-Kontrollsystem, das im Internet sichtbar ist. Lediglich die Wasserpumpen selbst existieren nicht, alle anderen Komponenten sind vorhanden. Dazu zählen neben den Steuerungseinheiten für die Wasserpumpen sowie den Computern auch die online abrufbaren technischen Dokumentationen der Pumpstationen, die entsprechend präpariert waren und angeblich von der Stadtverwaltung stammen.
Erste Angriffe 18 Stunden nach Beginn des Modellversuchs
Die Bedrohungsforscher erstellten eine Honeypot-Architektur, die solche ICS- und SCADA-Geräte nachahmt, die meistens mit dem Internet verbunden sind. Um eine realistische Umgebung abzubilden, enthielten die drei Honeypots herkömmliche Schwachstellen, wie sie in den meisten Systemen dieser Art vorkommen. Konkret ging es den Forschern darum, zu prüfen, wer welche Teile der mit dem Internet verbundenen ICS-/SCADA-Geräte angreift und wozu dies geschieht. Zudem wollte das Team herausfinden, ob die Angriffe auf diese Systeme zielgerichtet ausgeführt werden.
Innerhalb eines knappen Monats verzeichnete Trend Micro 39 Angriffe aus 14 Ländern. Aus China kamen mit 35 Prozent die meisten, gefolgt von den USA mit 19 Prozent und Laos mit zwölf Prozent. Zwölf Angriffe lassen sich als "gezielt" klassifizieren, 13 wurden von einem oder mehreren Absendern an mehreren Tagen wiederholt ausgeführt. Sie kann man als "gezielt" und/oder "automatisiert" beschreiben. Die restlichen 14 Angriffe, allesamt ebenfalls gezielt, werden derzeit noch weiter untersucht.
Zwischen Wirtschaftsspionage und Cyberterrorismus
"Über die Motive der Angreifer können wir nur spekulieren. Es zeigt sich aber, dass ein buchstäblich weltweites Interesse an einer so harmlosen Sache wie Wasserpumpen besteht. Während manche Angreifer vor allem an den technischen Details interessiert waren, versuchten andere, die Systeme zu beeinflussen oder zu zerstören. Die Angreifer kommen nicht nur aus China, sondern auch aus den USA und Ländern wie Laos", kommentiert Udo Schneider, Senior Manager PR Communications bei Trend Micro. "Ist das jetzt der oft beschworene 'Cyberwar'? Nein, aber die Vorstufe zu Cyberterrorismus. Wer industrielle Steuerungssysteme ausspioniert und sie zu manipulieren versucht, lässt die Grenzen zwischen Wirtschaftsspionage und destruktiven Aktionen verschwimmen. Das ist nicht nur wirtschaftlich schädlich, sondern unter Umständen sogar lebensgefährlich."
Über die Sicherheit von ICS-Systemen und SCADA-Netzen
ICS-Systeme kommen beispielsweise in der Öl- und Gasproduktion, in der Wasserwirtschaft und in Elektrizitätswerken zum Einsatz. SCADA-Netze bilden die Netzwerkschicht, die als direkte Schnittstelle zu den ICS-Netzwerken und den Host-Systemen fungiert, die diese ICS-Elemente überwachen und kontrollieren.
Ursprünglich befanden sich ICS-/SCADA-Netze in einer eigenen Welt proprietärer Protokolle auf speziellen Plattformen und einer darauf zugeschnittenen Kommunikationsinfrastruktur und waren von anderen Netzwerken vollkommen abgeschnitten - einschließlich Internet. Weil nun immer häufiger Standard-Hard- und Software eingesetzt wird und sie mit externen Netzwerken verbunden sind, sind die Netzwerke auch den aus der IT bekannten Gefahren ausgesetzt.
Weiterführende Informationen
Ausführliche Informationen enthält der Forschungsbericht "Wer steckt tatsächlich hinter den Angriffen auf ICS-Ausrüstung?", weitere Hintergrundinformationen finden sich im Forschungsbericht "Maßnahmen für mehr Sicherheit bei ICS-Systemen".
