Industrielle Schwachstellenbewertung / Pentest (VAPT)

Der Wert von VAPT in der OT

Der Zweck eines Penetrationstests besteht darin, so deutlich wie möglich zu zeigen, welche Folgen ein bestimmtes Problem mit Ihrer Cybersicherheit haben könnte und was dies für Ihr Unternehmen bedeuten würde. Zum Beispiel das Risiko, dass sich ein IT-Sicherheitsvorfall wie Ransomware auch auf das OT-Netzwerk auswirkt, dass Bedrohungsakteure in das OT-Netzwerk eindringen, um sich Zugang zu geistigem Eigentum zu verschaffen, dass Risiken für die Lieferkette durch die Anbindung externer Lieferanten entstehen oder die potenziellen Auswirkungen eines cyber-physischen Angriffs.

VAPT gibt Aufschluss über die aktuelle Widerstandsfähigkeit von IT- und/oder OT-Netzwerken gegen diese Arten von Bedrohungen und darüber, ob Verbesserungen erforderlich sind. Secura hält die Ergebnisse des VAPT-Tests in einem übersichtlichen Bericht mit einer prägnanten Management-Zusammenfassung, einer umfassenden Risikoanalyse für jedes Ergebnis und Empfehlungen auf strategischer, taktischer und operativer Ebene fest. Die Ergebnisse der Bewertung können genutzt werden, um Maßnahmen zur Schließung von Sicherheitslücken und zur Risikominderung in Ihrem Unternehmen zu ergreifen.

VAPT im industriellen Sektor

In industriellen Umgebungen hängen viele kritische Geschäftsprozesse von OT ab. Netzwerke für industrielle Kontrollsysteme (ICS), wie DCS, SPS und SCADA-Systeme, verwalten und automatisieren kritische Prozesse. Doch die IT-Dienste des Unternehmens sind für den täglichen Betrieb ebenso wichtig. Mit der Konvergenz von IT und OT und den Industrie 4.0-Initiativen nimmt auch die Abhängigkeit zwischen diesen beiden Umgebungen zu. Ein erfolgreiches Unternehmen hängt von zuverlässigen Systemen sowohl in der IT als auch in der OT ab; daher sind VAPT-Tests für alle diese Systeme wichtig. In diesen Umgebungen werden unterschiedliche Technologien verwendet, und es ist allgemein bekannt, dass OT-Systeme möglicherweise nicht resistent gegen VAPT-Scans sind. Es ist klar, dass jeder Bereich einen anderen Ansatz erfordert.

Der Ansatz von Bureau Veritas Cybersecurity bei VAPT für OT

Unser spezifischer VAPT-Ansatz in der OT-Umgebung hängt von den Purdue-Ebenen ab, die in Frage kommen.

Das Purdue-Modell

Nach dem Purdue-Modell besteht ein typisches OT-Netzwerk aus mehreren Ebenen:

Purdue-Ebenen 2 and 3

Im Allgemeinen befinden sich die Systeme auf den Purdue-Ebenen 2 und 3 auf generischen IT-Komponenten. Je nach der Kritikalität der einzelnen Systeme können wir mehr oder weniger eingreifende Methoden anwenden. Die Frage ist oft, wie resistent die Systeme und das Netzwerk gegen gezielte Angriffe sind. Systeme auf diesen Ebenen können auch OT-spezifische Protokolle verwenden, wie z.B. Modbus, DNP3, IEC-101/104, CIP Ethernet/IP, usw. Es ist auch nicht ungewöhnlich, dass auf dieser Ebene kundenspezifische Anwendungen oder Lösungen installiert werden. Die entscheidende Frage ist, ob sich ein Hacker seitlich über das Netzwerk zu den tieferen Ebenen des Systems bewegen kann.

Bei Penetrationstests versuchen wir, Schwachstellen in Systemkonfigurationen, installierten Anwendungen, schwachen IT-Protokollen wie FTP, Telnet, HTTP und SNMP sowie unsicheren Industrieprotokollen auszunutzen.

Purdue Stufe 0 and 1

Auf Stufe 1 (Basiskontrolle) und Stufe 0 (Prozess) verwenden wir keine aufdringlichen Methoden, es sei denn, wir werden ausdrücklich darum gebeten. Oft geht es um die Frage, ob ein Angreifer Signale oder Messungen manipulieren kann. Es kann auch untersucht werden, ob diese unteren Ebenen Zugang zu höheren Ebenen des OT-Netzwerks bieten können.

Auf diesen Ebenen wird die meiste Kommunikation über OT-spezifische Protokolle abgewickelt. Als Teil des Penetrationstests können wir auf Wunsch auch mögliche Schwachstellen auf diesen Ebenen untersuchen.

Konnektivität

Schließlich sind all diese Komponenten über Netzwerkgeräte wie Switches, Router und Firewalls miteinander verbunden. Es ist auch üblich, dass in OT-Umgebungen viele Protokoll- und Medienkonverter eingesetzt werden. Diese Geräte schaffen zusätzliche Angriffsflächen. Netzwerkkonfiguration und -segmentierung sind daher von entscheidender Bedeutung. Diese Geräte sind resistent gegen diese Scans und werden in den Umfang der regelmäßigen Schwachstellen-Scans und -Tests einbezogen.

Bei Penetrationstests versuchen wir, Schwachstellen in der Konfiguration dieser Geräte auszunutzen.

Ebene 0 - Prozess

Diese Ebene umfasst Geräte, die physisch mit dem Prozess interagieren. Zum Beispiel Feldinstrumente, Antriebe mit variabler Frequenz (VDF), Pumpen, Motoren, Aktuatoren und Robotertechnik.

Ebene 1 - Grundlegende Steuerung

Diese Ebene enthält Steuerungen, die mit Feldinstrumenten und Aktuatoren interagieren. Zum Beispiel DCS und Sicherheitssteuerungen, speicherprogrammierbare Steuerungen (PLC) und Remote Terminal Units (RTU).

Ebene 2 - Bereichsmanagement

Diese Ebene umfasst die Geräte, die zur Überwachung oder Interaktion mit den Controllern verwendet werden. Zum Beispiel Human Machine Interfaces (HMI), Engineering Workstations (EWS) und OPC-Datensammler.

Ebene 3 - Betrieb und Kontrolle vor Ort

Diese Ebene umfasst ein System zur Unterstützung des standortweiten Betriebs, der Wartung und der Optimierung. Zum Beispiel Datenhistorien, E/A-Server und allgemeinere Sicherheitsdienste für die OT-Umgebung wie Domain-Controller, Backup-Server und Patch- und AV-Verteilungsserver.