Forensic Investigations / Fi Blog

Fi Blog

Die Hersteller der Automatisierungsbranche sind in puncto Sicherheit der IT-Branche immer noch weit hinterher, obwohl sie hier noch wichtiger ist als in der Office-IT. Die IT-Sicherheit ist essentielle Grundlage jeder Betriebssicherheit („Safety“). Dennoch tauchen immer wieder gravierende Sicherheitsmängel auf, die hier schon oft thematisiert wurden. Die Branche übernimmt nicht in ausreichendem Maße die Verantwortung für Ihre Produkte und wälzt somit Kosten und Risiken auf die Anwender ab.

ReVuln "0day" video

Unabhängige Sicherheitsforscher, die solche Risiken aufdecken, sehen in aller Regel keinerlei Lohn für ihre Arbeit oder werden gar noch juristisch bedroht. Fehler werden gerne lieber klein geredet statt sie konsequent zu beheben. Nun ziehen einige Akteure die Konsequenzen daraus. Die Firma ReVuln verkauft die Schwachstellen nun einfach – mit positiven wie negativen Konsequenzen.

Hinter ReVuln stehen Donato Ferrante und Luigi Auriemma – letzterer ist u.a. bereits durch die (kostenlose) Erforschung und Veröffentlichung einiger Sicherheitslücken im Industriebereich und die Entdeckung einer Lücke im Remote Desktop Protocol (RDP ) von Windows kein Unbekannter.

Entsprechend dem Video sollen konkret folgende Hersteller betroffen sein:

Eaton

  • 2x Remoteausführung beliebiger Befehle/Remote Shell
  • 1x Übernahme bestehender Sitzungen ("Session Hijacking") mit Remote Shell

General Electric Energy

  • 2x Remoteausführung beliebiger Befehle
  • 2x Herunterladen von beliebigen Dateien

Kaskad

Bild aus der ReVuln "0day" Demo

  • 1x Remoteausführung beliebiger Befehle

Rockwell Automation

  • 1x Remoteausführung beliebiger Befehle

Schneider Electric

  • 1x Remoteausführung beliebiger Befehle

SIEMENS

  • 1x Remoteausführung beliebiger Befehle

"Null Disclosure"

In welchen Produkten diese Lücken konkret enthalten sind, gab ReVuln naturgemäß nicht an. Im Gegensatz zu den bisherigen Veröffentlichungen, die nur "Proof of Concepts" (PoCs) waren, handelt es sich bei den Vorführungen im Video offenbar um vollwertige Exploits . PoCs können nur von Experten zu vollwertigen Exploits ausgearbeitet werden – PoCs selbst eignen sich nicht, ein System vollständig zu kapern. Mit fertigen Exploits ist dies jedoch auch für einen Laien leicht möglich.

Die Firma arbeitet offenbar – ähnlich dem französischen Schwachstellen-Broker VUpen – nach dem nicht unumstrittenen, sogenannten "Null Disclosure" Prinzip.

Schwachstellen werden dabei nicht an den Hersteller gemeldet, sondern auf dem Graumarkt (Schwarzmarkt?) gehandelt. Erfährt der Hersteller von der Sicherheitslücke und kann diese entsprechend beheben, ist die Lücke "verbrannt". Aufkäufer solcher sogenannter "Zero Days" sollen dabei hauptsächlich Geheimdienste sein. Diese nutzen sie mutmaßlich, um in Netze in anderen Staaten einzudringen oder Trojaner auf die PCs Ihrer Bürger einzuschmuggeln.

Wie es kommen musste

Nach der bisherigen Haltung der Branche ist es kaum verwunderlich, dass nun nach diesem Prinzip gearbeitet wird. Die Hersteller haben ihre Hausaufgaben nicht erledigt, diese von anderen erledigen lassen, und dann abgeschrieben – für die geleistete Arbeit hat wohl keines der allgemein gut verdienenden Unternehmen bezahlt, teilweise wurde die Fehlerbehebung gar noch boykottiert .

Ich kenne das nur zu gut, beispielsweise habe ich SIEMENS mehrmals angeboten, bei der Behebung der Mängel in ihren Produkten zu helfen – ohne Erfolg. Man vertraut weiterhin felsenfest den eigenen Leuten, die sich seit Jahren nicht gerade mit Ruhm bekleckern (Zitat eines US-Kollegen: „fundamentally flawed product“).

Sicherheitsforschung: Geschäftsmodelle und Verantwortungsbewusstsein

Es ist nur dem Verantwortungsbewusstsein von uns Sicherheitsforschern zu verdanken, dass bisher noch wenig ernsthaftes passiert ist – dennoch möchten wir unsere Arbeit wie jeder andere gerne bezahlt bekommen. Prinzipiell gibt es fünf Möglichkeiten:

  1. an den Hersteller geben (der will aber nichts zahlen, und ich habe nichts zu verschenken)
  2. an die Anwender geben (die können aber nichts dagegen machen, wollen ebenfalls nichts bezahlen, da ja ihr Hersteller verantwortlich ist)
  3. an irgend wen geben (will aber ich wieder nicht, da dies m.E. verantwortungslos ist)
  4. veröffentlichen (bringt kein Geld und birgt Risiken, wenn Details angegeben werden – falls nicht werden die Bugs einfach ignoriert)
  5. auf den „Zero Days“ sitzen bleiben (dafür habe ich mich momentan entschieden)

Würden wir die Lücken einfach an jemand beliebigen geben, der dafür zahlt, wäre der GAU wohl schon längst eingetreten – dies ist jedoch leider das einzige Modell, das momentan wirtschaftlich funktioniert. Wenn die Hersteller Probleme ignorieren, spielt die Zeit in jedem Fall gegen ihre Anwender – auf dem Schwarzmarkt gibt es ebenso Leute, die Sicherheitslecks finden können, und diese werden sicher keinerlei solche Skrupel haben, diese gewinnbringend zu nutzen.

Die Stunde der Wahrheit

Microsoft hat seine Lektion bereits vor über 10 Jahren gelernt . Für die Automatisierungsbranche steht dies nach wie vor aus. Da diese Systeme traditionell isoliert(er) waren, jetzt aber zunehmend vernetzt werden (Machine2Machine-Kommunikation , Manufacturing Execution Systeme , Enterprise Resource Planning , Fernwartung, ...), sind sie genauso von der allgemeinen Entwicklung betroffen wie die IT, wenn auch etwas zeitverzögert.

Die Stunde der Wahrheit ist gekommen – wer jetzt nicht handelt, wird vielleicht vom Markt weg konsolidiert werden. Hersteller, die die Sicherheit ihrer Kunden wirklich ernst nehmen, sollten ein "Bug Bounty" Programm anbieten, das Sicherheitsforscher angemessen für ihre Arbeit entlohnt, wie ich es seit Jahren fordere – alles andere ist nur hohles Marketing-Geschwätz ("Selbstverständlich nehmen wir die Sicherheit unserer Kunden sehr ernst" – nicht nur sagen, zeigen!).

Es ist bedauerlich für alle Anwender, die jetzt unter Umständen die Leidtragenden sind, dass es so weit kommen musste. Ein solch brutaler Weckruf für die Branche war aber abzusehen und ist scheinbar auch unausweichlich.

Ein solches Risiko für die Anwender war absolut vermeidbar, hätten die Hersteller die Verantwortung übernommen – auch in finanzieller Hinsicht, schließlich sind dies letztendlich Kosten, die man bei der Produktentwicklung eingespart hat, offensichtlich aber hätte investieren müssen.

Sollte ein Vertreter der betroffenen Unternehmen dies lesen – wir sind auf der SPS/IPC/Drives 2012 und bereit zu helfen (Terminabsprache zwingend erforderlich – wir haben keinen eigenen Stand).


RuggedCom, Hersteller von Netzwerktechnik, die besonders für den Einsatz in den kritischen Bereichen Energie, Militär, Transportwesen und produzierendem Gewerbe angepriesen wird, schreibt die neueste Posse bei den nicht abreißenden Pannenserien in der Leittechnik.

Bereits vor über einem Jahr war der Hersteller von dem Sicherheitsforscher Justin W. Clarke benachrichtigt worden, dass sich die Zugangspassworte zu seinem mit dem "Rugged Operating System" (ROS) ausgerüsteten Geräten ganz leicht anhand deren MAC-Adressen berechnen lassen. Der Hersteller räumte die Sicherheitslücke zwar offenbar ein, boykottierte aber deren Beseitigung. Nicht einmal die Einschaltung des US-CERT konnte den Hersteller dazu bewegen, diesen Mangel zu beheben, obwohl dessen Beseitigung -zumindest für den Hersteller- sicherlich trivial und mit vergleichsweise geringem Aufwand verbunden gewesen wäre.

Die Bezeichnung "Rugged" (dt. robust, stabil) mutet in diesem Kontext deshalb einmal mehr wie ein schambefreiter Marketing-Hype an. Es lässt sich nicht genau festmachen, ob es mangelndes Sicherheitsbewusstsein, Fehlorganisation, mangelnde Kultur beim Umgang mit eigenen Fehlern, bloße Ignoranz, gar Absicht oder eine Kombination dieser Faktoren ist, die dazu führen, dass hier nicht gehandelt wird. Vielleicht sollten sich solche Herstellerfirmen hier an den Weisheiten der Shaolin-Mönche orientieren:

  • Lernen ohne zu denken ist umsonst,
    denken ohne zu lernen ist gefährlich.
    Einen Fehler zu begehen und ihn nicht zu korrigieren,
    erst das heißt wirklich einen Fehler zu begehen.

Es ist eigentlich fast unmöglich, dass einem ein solcher gravierender Mangel selbst bei einer nur einigermaßen gewissenhaften Prüfung der eigenen Produkte "durch die Lappen" geht. Das ein solch gravierendes Problem aber nach über einem Jahr nicht abgestellt wurde, kann selbst mit Unfähigkeit schwerlich noch erklärt werden. Dabei kann es sich fast nur noch um gezielte Politik oder integrale, unter Umständen die eigene Existenz bedrohende Strukturmängel innerhalb des Unternehmens handeln.

Diese Politik kommt schon in der verwendeten Sprache zum Ausdruck - im Hersteller-Advisory spricht man lieber von einem "Problem" statt von einer knallharten Sicherheitslücke und sichert natürlich zu, dass dies überprüft wird. Es ist für mich äußerst fraglich, was man -nach mehr als einem Jahr- noch überprüfen möchte und noch nicht weiß, oder längst hätte wissen müssen.

Womöglich wird einmal mehr solange überprüft, bis wieder Gras über das "Problem" gewachsen ist, wenn das Thema wieder aus den Medien verschwunden ist. Dem Sicherheitsforscher, den man bei Dutzenden Zuschriften kaum mehr als ignoriert hat, dankt man noch recht höflich oder erklärt gar, dass diesem der Einblick in die Materie oder das Wissen um die Zusammenhänge fehle. Diese Strategien riechen irgendwie nach einem Deja Vu.

Ironie des Schicksals: RuggedCom war erst kürzlich von SIEMENS übernommen worden. Na dann - auf das zusammenwächst, was zusammen gehört!

UPDATE 30.04.2012: Das ICS-CERT hat ein aktualisiertes Advisory veröffentlicht, lt. dem der Hersteller beabsichtigt, innerhalb des nächsten Monats einen Patch zu veröffentlichen. RuggedCom hat seine Advisory-Seite aktualisiert und spricht nun klar von einer "factory backdoor". Der Hersteller will zudem die unsicheren (und in aller Regel unnötigen) Telnet- und RSH-Zugänge standardmäßig abschalten. Warum nicht gleich so.


SCADA Security Scientific Symposium (S4)

Im Rahmen des „Project Basecamp“ des „SCADA Security Scientific Symposium (S4)“ in Miami wurden Speicherprogrammierbare Steuerungen (SPSen, engl. Programmable Logic Controller (PLC)) und Remote Terminal Units (RTUs) wohl das erste mal unabhängig untersucht. Den Auftakt machte bereits letztes Jahr Dillon Beresfords Vortrag auf der BlackHat-Sicherheitskonferenz 2011 , der diverse Fehler wie Passwort-Replay und Backdoors in S7-Steuerungen von SIEMENS nachwies. Nun wurden Geräte verschiedenster Hersteller einer Untersuchung unterzogen. Wie nicht anders erwartet, sind dabei diverse Mängel aufgeflogen.

Eklatante Mängel in vielen Bereichen. Bild (c) Dale G. Peterson.

Von diesen Geräten wurden wieder hunderte Geräte am öffentlichen Internet gefunden. Bereits letztes Jahr hatten wir davor gewarnt , die Warnung scheint jedoch einige Anwender nicht erreicht haben.

Faktenlage ein offenes Geheimnis

Es ist ein offenes Geheimnis, dass in der Industrie eingesetzte Leittechnikkomponenten wie SPSen und RTUs extrem fehleranfällig sind. Dies ist jedem bekannt, der schon einmal ein Security Audit bzw. einen Penetrationstest im Industriebereich durchgeführt hat. Auch vielen Anwendern ist die Problematik bekannt. Selbst simpelste Tests wie Ping Sweeps oder übergroße Pakete bringen derartige Hardware oft zum Stillstand (Denial of Service (DoS)).

Entschlossenes Handeln leider Fehlanzeige

Trotzdem handeln sowohl Hersteller als auch Anwender nicht entschlossen genug, um eine bekannte Problematik in den Griff zu bekommen. Selbst der Stuxnet-Weckruf scheint nicht ausgereicht zu haben, dass die Hersteller ihre Geräte endlich sicher machen.

Obwohl die Hersteller zig Millionen mit ihren Geräten verdienen, müssen Sicherheitsforscher ohne jedes Budget Ihre Freizeit opfern, um solche Mängel im Sinne der Endanwender herauszufinden.

Die Anwender müssen hier darauf beharren, dass die Fehler beseitigt werden. Es kann nicht sein, Probleme als gegeben hinzunehmen, die im IT-Bereich niemals akzeptabel wären, obwohl die Auswirkungen im ICS-Bereich noch gravierender sein können.

Es bleibt abzuwarten, ob sich andere Hersteller hier professioneller verhalten als SIEMENS nach Beresfords Vortrag. Beim Elektroriesen verläuft offenbar alles im Sande: Probleme werden entweder ignoriert oder als Nicht-Problem umdefiniert.

Ich empfehle vorsorglich einen Blick auf das gute alte „Security Excuse Bingo “ - wenn Sie solche oder ähnliche Sprüche hören, läuft eindeutig etwas falsch...

UPDATE 11.04.2012: Aktualisierte Alerts des ICS-CERT; zu General Electric D20ME, Rockwell Automation / Allen-Bradley ControlLogix und MicroLogix, Schneider Electric Modicon Quantum und Koyo / Direct LOGIC H4-ES sind öffentliche Exploits erschienen. Informationen oben ergänzt und Links aktualisiert. Konkrete Problemlösungen sind bisher leider immer noch nicht vorhanden.

UPDATE 12.04.2012: Als wollten Sie mich Lügen strafen veröffentlicht Koyo als erster Hersteller Firmware-Updates; Abschnitt oben entsprechend ergänzt.


Innerhalb weniger Tage wurden zwei verschiedene Angriffe auf Betriebsstätten von US-amerikanische Wasserver- und Entsogungsbetriebe bekannt.

Pumpenschaden in Springfield, Illinois

Beim ersten Angriff wurde laut Bericht von The Register eine Pumpe mutmaßlich durch wiederholtes Ein- und Ausschalten zerstört. Die betroffene Anlage soll sich in Springfield, Illinois befinden und bereits mehrere Monate von Hackern infiltriert gewesen sein.

Die Angaben sollen aus einem offiziellen Regierungsbericht stammen, der einem Sicherheitsspezialisten zugespielt wurde. FBI und Department of Homeland Security (DHS) würden ermitteln, hieß es in einem offiziellen Statement des DHS.

Die Behörde hat jedoch offenbar darauf verzichtet, die Öffentlichkeit oder andere Betreiber solcher kritischer Infrastrukturen zu informieren.

Einbruch in South Houston, Texas

Durch den Vorfall und die Vorgehensweisen offizieller Stellen wurde offenbar ein weiterer Hacker auf den Plan gerufen. Er drang nach eigenen Angaben in die Systeme der Wasserver- und Entsorgung von South Houston, Texas ein und fertigte einige Screenshots des Systems an. Eine Beschädigung der Anlage lag jedoch offenbar nicht in seiner Intention.

Zu seinen Beweggründen sagte er, er sei es leid, dass das DHS dazu tendiere, den "absolut erbärmlichen Zustand der nationalen [kritischen] Infrastrukturen herunterzuspielen".

Der Hacker sagte im Interview mit ThreatPost, sein Angriff sei "kein Advanced Persistant Threat", kein Ergebniss "unglaublicher technischer Fähigkeiten", sondern "krasser Dummheit".

HMI-Bild der Abwasseraufbereitung Michigan Street, Satelitenfoto zum Vergleich

Er benötigte "so gut wie gar keine Kenntnisse", "ein zweijähriger mit SIMATIC-Grundkenntnissen könne einen solchen Angriff reproduzieren" ergänzte er in seinem Statement bei Pastebin.

Ursache für den Einbruch war offenbar ein direkt über das Internet erreichbare HMI-Bedienoberfäche des Wasserwerks in Kombination mit mangelhafter Kennwortsicherheit. Das Kennwort sei nur drei Zeichen lang gewesen, behauptet der Hacker.

Bewertung, Hoax oder nicht?

Solche Angriffe benötigen auf einer Kenntnisskala von 1 bis 10 sicher nur 1-2 Punkte. Mit 3-4 Punkten lassen sich gegen solche schwach geschützten und mit gravierenden Designfehlern behafteten Systeme schon Angriffe gegen Sicherheitslücken durchführen, die weltweite Auswirkungen haben könnten. Aber selbst viel trivialere Mittel als solche Exploits genügen oft bereits.

HMI-Bild Tank und Wasserturm in der Nevada Street, Satelitenfoto und Street View zum Vergleich.

Bestätigt wurde der zweite Angriff bisher nicht. Es wäre aber nicht das erste Mal, dass Automatisierungssysteme über das öffentliche Internet erreichbar sind . Die HMI-Bilder der Anlage entsprechen auf den ersten Blick bei der

HMI-Bild mit Rechtschreibfehler, Wassertank in der Virginia Avenue, Satelitenfoto und Street View zum Vergleich

Das Anlagenbild enthält hier zwar einen Schreibfehler ("Virgina" statt "Virginia"), was auch auf einen Hoax hindeuten könnte. Allerdings wäre für einen solchen Scherz sehr viel Aufwand erforderlich, weshalb ich nicht an ein Fake glaube.

Fraglich bleibt dann allerdings, warum die zuständigen Behörden einen solchen gravierenden Sicherheitsmangel nicht entdeckt haben, der noch dazu einfach und bequem vom Büroschreibtisch aus aufzuspüren ist.

UPDATE 29.11.2011: Der erste Fall (Pumpenschaden) passierte im Curran-Gardner Water District, Springfield, Illinois. Eine Warnung des Illinois State Terrorism and Intelligence Center (STIC) war in die Öffentlichkeit gelangt und bennante als Ursache einen Hackerangriff von russischen IP-Adressen. Das Dokument liegt Forensic Investigations vor. Der Vorsitzende der Wasserbetriebe, Don Craver, hatte in einem Interview ebenfalls bestätigt , dass es Anzeichen eines Einbruchs gegeben habe.

Das ICS-CERT verneint den Vorfall nun nicht explizit , sondern führt lediglich an, das dafür keine Beweise vorlägen. Kleiner aber feiner Unterschied. Es wäre auch ein ungutes Signal, wenn bekannt würde, dass kritische Infrastrukturen oftmals sehr leicht angreifbar sind. Forensic Investigations liegen weitere nicht-öffentliche Dokumente vor, aus denen hervorgeht, dass man genau solche Angriffe befürchtet.

Zu dem zweiten Vorfall in South Houston, Texas wird keine Stellung bezogen, was für sich ebenfalls aussagekräftig ist.

UPDATE 02.12.2011: Beim ersten Fall, dem Pumpenschaden im Curran-Gardner Water District, Springfield, Illinois handelte es sich nicht um einen Hackerangriff. Vielmehr war Jim Mimlitz, Techniker bei einem Dienstleister des Wasserwerks, gebeten worden, sich die Probleme mit der Pumpe anzuschauen. Er befand sich gerade im Urlaub in Russland - daher verzeichneten die Logs Zugriffe von russischen IP-Adressen unter seinem Login-Namen.

Das Wasserwerk alarmierte die Terrorismusabwehr Illinois State Terrorism and Intelligence Center (STIC), das FBI ermittelte, und das ICS-CERT bei der Heimatschutzbehörde DHS entsandte ein Einsatzkommando mit dem Flugzeug. Keiner dieser vier Akteure war schlau genug, das Offensichtliche zu tun: den Dienstleister anzurufen und zu fragen, ob und von wo er sich eingeloggt hatte. Das STIC machte sich offenbar auch mehr Sorgen darum, wie sein vertraulicher Bericht an die Öffentlichkeit gelangen konnte, als um die Verifikation des Inhalts. Mit dem angeblich gehackten Dienstleister hat man vor der Veröffentlichung der Warnung noch nicht einmal Kontakt aufgenommen.

Laut Mimlitz' Aussage war es außerdem klar ersichtlich, dass ein mechanischer oder elektrischer Schaden Ursache für das Pumpenversagen war. Das eigentlich Interessante in dem Interview mit Jim Mimlitz ist jedoch, dass das System für den Remote-Zugriff uralt und offenbar völlig fehlkonfiguriert war, was ständig Probleme bei der Anmeldung verursachte. Mangelnde Wartung und fehlerhafte Konfiguration solcher Systeme kann tatsächlich leicht die Tür für einen Hackerangriff aufreißen. Ebenfalls fraglich bleibt, warum Anmeldungen aus Russland überhaupt möglich sind, wenn man sich doch so sehr vor ihnen fürchtet.

Entgegen einigen Medienberichten, die beide Fälle miteinander in Verbindung brachten, ist der zweite Fall in South Houston, Texas bisher nicht als Fehlalarm enttarnt.

UPDATE 03.12.2011: Im Gegenteil ist der zweite Fall in South Houston, Texas bereits am 16.11.2011 durch ein Interview des örtlichen Bürgermeisters Joe Sato mit der Lokalzeitung The Houston Chronicle bestätigt worden . Amerikanische Lokalzeitungen sind etwas unterhalb meines Radars; danke an die US-Kollegen für den Hinweis. Der Hacker hat dort keinen Schaden angerichtet, da er das auch nicht beabsichtigte. Das betroffene System wurde erstmal vom Netz genommen.


Auch dieses Jahr werden wir wieder auf der SPS/IPC/DRIVES Messe 2011 anwesend sein, die dieses Jahr vom 22. bis 24. November wieder im Nürnberger Messezentrum stattfindet. Der Veranstalter Mesago Messemanagement war so freundlich, uns Dauerkarten zuzusenden.

Die Messe bricht dieses Jahr schon im Vorfeld mehrere Rekorde und vermeldet erstmals über 1.400 Aussteller aus fast 40 Ländern. Mit erstmals 12 Hallen wird die magische Marke von 100.000 m2 Ausstellungsfläche durchbrochen.

Vereinbaren Sie jetzt einen Termin , um mit uns über Themen wie Sicherheits-Auditierung Ihrer Produkte , Auditierung Ihres Produktionsnetzes oder SCADA/ICS-Sicherheit zu diskutieren.

Ein paar Termine sind kurzfristig noch zu vergeben. Wir freuen uns auf ein persönliches Kennenlernen.

Impressionen von der letztjährigen SPS/IPC/DRIVES Messe 2010 finden Sie hier .

UPDATE 25.11.2011: Wir bedanken uns recht herzlich für all die interessanten und konstruktiven Gespräche auf der Messe und die rege Nachfrage. Im Vergleich zum Vorjahr konnten wir ein stark ansteigendes Interesse am Thema Security verzeichnen und rannten bei einigen Herstellern offene Türen ein, während sich manche immer noch bedeckt hielten.

Die Messe selbst konnte mit über 56.000 Besuchern auch in dieser Hinsicht ebenfalls zulegen.

Nachfolgend ein paar Impressionen der SPS/IPC/DRIVES Messe 2011.

Am ersten Tag konnte die Messe mit Kaiserwetter aufwarten (Innenhof Richtung Halle 4A)

Einer der Hauptpublikumsmagneten der Messe war der Festo SmartBird

An der Software-Front bleiben noch Hausaufgaben zu erledigen...

SIEMENS will mit seinem neuen Geschäftsbereich 'Infrastructure & Cities' auch bei kommunalen Ver- und Entsorgern punkten.

Viele weitere Bilder finden Sie in der nachfolgenden Bildgallerie:


Diesen Monat haben zwei Institutionen unabhängig voneinander Studien zur IT-Sicherheit in der Energiewirtschaft bzw. in der Energie- und Wasserwirtschaft veröffentlicht. Deren wichtigste Ergebnisse will ich im Folgenden zusammenfassen und einordnen. Insgesamt waren die Ergebnisse aus meiner Sicht wenig überraschend.

Q1 Labs/Ponemon Institute Studie

In einer von Q1 Labs und dem Ponemon Institute durchgeführten Studie wurden international 291 zufällig ausgewählte IT-Verantwortliche aus der Energiewirtschaft befragt. Die Studie kommt u.a. zu folgenden Ergebnissen:

  • 75% der Organisationen hätten mindestens einen erfolgreichen Cyberangriff in den letzten 12 Monaten verzeichnet
  • 71% der IT-Verantwortlichen sagten, Ihr Management verstünde oder würdige IT-Sicherheit nicht
  • 72% sagten, bisherige Ansätze seien nicht effektiv, aussagekräftige Daten über tatsächliche oder mögliche Attacken (z.B. Echtzeitalarme, Bedrohungsanalysen und Priorisierung) zu erhalten
  • nur 21% glaubten, dass ihre existierenden Mechanismen ausreichend seien, um Attacken aus SmartGrids oder von SmartMeter -verbundenen Geräten zu verhindern
  • nur 39% glaubten, gegen Advanced Persistent Threats (APTs ) ausreichend abgesichert zu sein
  • 67% seien eigenen Angaben zufolge nicht auf dem aktuellen "Stand von Wissenschaft und Technik "

McAfee/CSIS Studie

In einer zweiten, von McAfee und dem Center for Strategic and International Studies (CSIS) durchgeführten Studie wurden die Antworten von 200 zufällig ausgewählte Führungspersonen privater Betreiber aus der Energie- und Wasserwirtschaft in insgesamt 14 Ländern analysiert. Um einen vollständiges Bild erfassen zu können, habe ich die Veröffentlichung der gesamten Studie in der Woche vor Ostern abgewartet, statt die auszugsweise Vorab-Berichterstattung anderer Medien aufzugreifen.

Mehr Erpressungen, mehr Angriffe, neue Risiken

  • 25% wären Opfer von Erpressungen innerhalb der letzten 24 Monate geworden, 2009 lag die Zahl noch bei 20%. Regional angeführt würde die Statistik von Mexiko und Indien, wo gar 80% bzw. 60% Opfer von Erpressungen gewesen seien.
  • die Frequenz der Angriffe steige
  • die Einführung von SmartGrids und SmartMetering würde das Risiko zusätzlich erhöhen

Stuxnet: Infektionszahlen und Konsequenzen

Der berüchtigte Stuxnet-Wurm sei

  • bei rund 40% aller befragten Unternehmen gefunden worden
  • mit 46% aller Unternehmen sei die Elektrizitätsbranche besonders betroffen gewesen
  • Spiegel Online hatte unter Berufung auf McAfee vorab berichtet , in Deutschland seien gar 59% der Energie- und Wasserversorger befallen gewesen; in der Studie selbst finden sich jedoch keine auf Länder heruntergebrochenen Zahlen.

Die größten Konsequenzen aus dem Stuxnet-Vorfall seien in den Vereinigten Arabischen Emiraten, Italien und Japen gezogen worden, die vergleichsweise geringe Infektionszahlen gehabt hätten. Diese gehören jedoch zu den Staaten, die lt. der Studie allgemein die meisten Sicherheitsmaßnahmen implementiert hätten, mehr dazu im Folgenden.

Risikoeinschätzung der Branche und Realität

  • Malware: fast 80% sähen sich "sehr gut" oder "gut" vorbereitet, dennoch wurden 40%+ alleine Opfer von Stuxnet (Gesamtzahlen inklusive anderer Malware liegen leider nicht vor). Hinzu kommt, dass Stuxnet über ein Jahr sein Unwesen treiben konnte, ohne das irgendjemand etwas bemerkt hatte. Gute Vorbereitung sieht m.E. anders aus.
  • Netzwerkeinbrüche: knapp über 60% sähen sich "sehr gut" oder "gut" gewappnet, dennoch wurden 85% Opfer eines solchen Angriffs. Die o.g. Einschätzungen aus der Ponemon-Studie scheinen ebenfalls ein deutlicher Widerspruch zu diesem Wert zu sein.
  • Denial of Service (DoS ): lediglich ca. 50% sähen sich "sehr gut" oder "gut" vorbereitet, 80% wurden in der Praxis mit dem Problem konfrontiert, über die Auswirkungen gibt es aber leider ebenfalls keine Daten.

Erstaunlich finde ich hier, dass sich 80% bzw. 60% Malware und Netzwerkeinbrüchen entspannt gegenüber sehen, während dies bei der aus meiner Sicht wesentlich geringeren und einfach zu beseitigenden Gefahr der DoS-Attacken nur bei 50% der Fall ist. M.E. zu Recht werden in der Studie DoS-Attacken als "Kinderkram" bezeichnet, verglichen mit moderner Malware.

Besonders bei den Themen Malware und Netzwerkeinbrüchen legen die Zahlen auch eine deutliche Schere zwischen "gefühlter" und "realer" Sicherheit nahe. Dies bestätigt meine schon häufig geäußerte Beobachtung eines überzogenen Glaubens an Firewalls und Virenscanner .

Regional gibt es ebenfalls interessante Beobachtungen:

  • in Brasilien, wo 2005 und 2007 große Stromausfälle beobachtet wurden, die nicht wenige Experten auf Malware-Befall zurückführen, fühlen sich 91% unvorbereitet für Malware-Attacken
  • in Australien, wo große Aufklärungskampagnen in Sachen Cybersecurity und Schutz kritischer Infrastrukturen seitens der Regierung durchgeführt wurden, fühlten sich 90% unvorbereitet auf Netzwerkeinbrüche

Umsetzung von Sicherheitsmaßnahmen zu langsam

Alle Branchen hätten die Sicherheitsmaßnahmen seit 2009 erhöht. Gemessen wurde hier jedoch nur die Zahl der eingesetzten Technologien, nicht jedoch deren Effizienz, Ausgewogenheit oder technische und organisatorische Umsetzung. Diese Zahlen können also nur als Anhaltspunkt zur Sicherheitslage gesehen werden und geben nicht unbedingt direkt Auskunft über das absolute Sicherheitsniveau.

  • die Wasserver- und Entsorgungsbranche hätten nominell die meisten zusätzlichen Maßnahmen von 38% auf 46% verzeichnet, bildeten aber dennoch weiter das Schlusslicht unter den untersuchten Branchen
  • Öl und Gas hätten nominell von 45% auf 48% zugelegt
  • die Elektrizitätsbranche hätte sich von 50% auf 51% nominell lediglich minimal gesteigert

Die Studie kommt dabei zu dem Schluss, dass die Adaption von Sicherheitstechnologien mit dem Fortschreiten der Bedrohungslage nicht Schritt halten könne.

Regional gibt es ebenfalls signifikante Unterschiede:

  • China (59%), Italien (55%) und Japan (54%) führten die Statistik an
  • Mexiko, Frankreich und Brasilien bildeten die Schlusslichter
  • die restlichen Staaten, u.a. Deutschland, lägen im Mittelfeld um 43%

Staatliche Kontrolle und Regulierung

Staatliche Audits sind in vielen Ländern in unterschiedlichem Ausmaß üblich.

  • Japan (100%), China (70%) und die Vereinigten Arabischen Emirate (ca. 65%) hätten hier die höchsten Quoten
  • Deutschland läge mit 40% abermals im Mittelfeld
  • die geringste Anzahl staatlicher Audits fänden in Italien, den Vereinigten Staaten, Spanien und im Vereinigten Königreich statt

Interessanter Weise stiege das Vertrauen in staatliche Institutionen mit der Dichte der Kontrollen. Einen Ausnahmestatus hätte das japanische Modell inne, bei dem man durchgängig auf "Public-Private Partnerships" setzte, die die Autonomie der Infrastrukturbetreiber ausdrücklich anerkennen, und eher motivieren statt regulieren möchten.

Staaten als Bedrohung

Die Unternehmen befürchteten auch Spionage oder Sabotage fremder Staaten. Dies ist nicht verwunderlich, können Cyberwaffen doch – im Gegensatz zu konventionellen – mit relativ geringem Budget auch von kleineren Staaten hergestellt werden, und ohne wesentlich erhöhten Aufwand mehrere Ziele parallel anvisieren.

  • China (30%), Russland (16%), die Vereinigten Staaten (12%) und Nordkorea (11%) würden global am häufigsten gefürchtet
  • die deutlichste Veränderung hätte sich bei den Vereinigten Staaten (12%) ergeben, die 2009 noch von 36% gefürchtet worden wären

Naturgemäß gibt es besonders hier regional signifikante Unterschiede

  • in China sähen 3/4 die Vereinigten Staaten als größte Gefahr
  • in Japan hätten 2/3 aller Befragten China oder Nordkorea als am gefährlichsten benannt
  • in den Vereinigten Arabischen Emiraten sähen 2/3 die Nachbarn im Mittleren Osten mit Argwohn
  • in Australien sähe man Russland als größte Bedrohung (40%)
  • in Indien fürchtete man erstaunlicher Weise das Vereinigte Königreich (fast 1/3) deutlich mehr als China (14%)

Fazit

Mit zunehmender Aufklärung oder praktischer Konfrontation mit einem konkreten Problem steigt auch das Risikobewusstsein der Unternehmen. Dies untermauern auch die o.g. Beispiele von Brasilien und Australien. Nicht selten sind auch Kommunikationsprobleme zwischen IT-Bereich und Management die Ursache für mangelnde oder wenig sinnvolle Investitionen in die Sicherheit, was auch die Ponemon-Studie verdeutlicht.

In unseren Security Audits und Penetrationstests setzen wir theoretische Szenarien praktisch um und veranschaulichen damit, wie ein Angriff durch Insider, Hacker oder Schadsoftware ablaufen würde und welche Konsequenzen dies hätte. Hieran lassen sich die Effizienz vorhandener Sicherheitstechnik oder geplanter Anschaffungen praktisch erfassen und eventuell vorhandene Schutzlücken aufdecken. IT-Abteilungen können so Ihr Management effektiv von der Notwendigkeit einer Maßnahme überzeugen. Umgekehrt kann das Management den Nutzen der Maßnahmen der IT-Abteilungen direkt nachvollziehen. Nehmen Sie Kontakt mit uns auf, gerne beraten wir Sie individuell, schulen Ihre Mitarbeiter, oder geben verbindliche Gutachten (z.B. herstellerneutrale Produktvergleiche, Aufwand/Nutzen, Machbarkeit, Strategieempfehlungen) zu geplanten Maßnahmen ab.


Vereinbaren Sie jetzt einen Termin für die SPS/IPC/DRIVES Messe 2010 , die dieses Jahr vom 23. bis 25. November im Nürnberger Messezentrum stattfindet. Gerne erläutere ich Ihnen dort, wie sich die hier im Blog geschilderten Sicherheitslücken in Automatisierungssoftwarelösungen auswirken können und diskutiere Lösungswege mit Ihnen persönlich.

Ein paar Termine sind kurzfristig noch zu vergeben. Ich freue mich sehr auf ein persönliches Kennenlernen.

UPDATE 26.11.2010: Vielen Dank an alle für die interessanten und konstruktiven Gespräche auf der Messe!

Ein paar Aufnahmen von der diesjährigen SPS/IPC/Drives:

Der Stand von Vacon in Halle 1

Frequenzumrichter Vacon NX Serie

Frequenzumrichter Vacon NX Serie (Nahaufnahme)

Siemens glänzte mit einem riesigen Stand in Halle 2 ...

...zumindest für Präsentation ist offenbar immer Geld genug vorhanden.

Eine Bildgalerie mit weiteren Impressionen von der Messe finden Sie hier:


Laut dem Bericht von Heise Online wird den Discountern vorgeworfen, für PCs, Laptops, DVD/Blu-ray-Player, TV-Empfänger und -Geräte ihrer Hausmarken Tevion (Aldi) und Silvercrest (Lidl) keine MPEG-2-Patentgebühren abgeführt zu haben.

Ohne es genau recherchiert zu haben, gehe ich jetzt mal davon aus, dass Aldi und Lidl keine eigenen Entwicklungsabteilungen für Soft-und Hardware unterhalten, und die Geräte von irgendwelchen Herstellern, wahrscheinlich aus Fernost labeln lassen und zukaufen. Weiterhin gehe ich davon aus, dass ihnen die Patentrechtsverletzung durch die Geräte nicht bekannt war, als sie diese in den Handel brachten.

Fürs nächste Mal ist es deshalb für solch einen hypothetischen Fall womöglich eine gute Idee, einen Sachverständigen zu kontaktieren , und die Geräte auf Verletzung von Verletzung von Lizenz- und Patentrechten überprüfen zu lassen .

Im Zweifelsfall bleibt man ansonsten als große Handelskette auf nicht mehr verkaufbaren Geräten, Kosten für einstweilige Verfügungen, Gerichtsverhandlungen, Nachzahlung von Lizenzgebühren usw. sitzen, wenn sich die Fernost-Klitschen mit ihrer lokalen Gesetzgebung aus der Affäre ziehen oder einfach schnell pleite machen. Gerade Hersteller aus Fernost sind in puncto Qualitätsmanagement, Compliance und Normen auch oft nicht so auf der Höhe und schreiben nicht selten auch gerne alles Mögliche mit in den Vertrag, ohne es später zu halten, zu prüfen oder dafür gerade zu stehen.

Ob allerdings Patente überhaupt noch zeitgemäß sind, ist eine andere Frage, in der man durchaus geteilter Meinung sein kann.


Prof. Dr. Thomas Hoeren vom Institut für Informations-, Telekommunikations- und Medienrecht der Universität Münster hat eine aktualisierte Fassung seines Skripts Internet-Recht veröffentlicht.

Auf über 500 Seiten widmet er sich den Themen Namensrechte, Urheberrecht, Werbung und Vertragsabschluss, Datenschutzrecht, Haftung von Online-Diensten und Strafrecht im Internet inklusive Formulierungsvorschlägen, Gestaltungshinweisen und Musterverträgen.

Gegenüber der vorigen Fassung seien 300 Urteile und Literaturfundstellen ergänzt worden sowie die Novellierungen des Bundesdatenschutzgesetzes eingeflossen, berichtete Heise Online.

UPDATE 09.10.2010: Die aktualisierte September-Fassung des Skripts Internet-Recht liegt nun vor und bietet Überarbeitungen im Hinblick auf die neuen Rom-I- und Rom-II-Verordnungen sowie zu De-Mail . Neu aufgenommen wurden u.a. Themen wie Zugangserschwerungsgesetz , Vorratsdatenspeicherung und Leistungsschutzrecht .


Natürlich freuete ich mich, als ich hörte, dass die it-sa 2009, die in diesem Jahr erstmals als eigenständige Messe und nicht im Rahmen der Systems in München abgehalten wurde, Nürnberg als Messestandort ausgewählt hatte. Nachdem auch die Eintrittskarte wie immer gratis war, dachte ich, warum nicht mal vorbeischauen, zumal ich auch einige langjährige Geschäftspartner besuchen wollte.

Ausser recht hübschen Engelchen & Teufelchen, die auf der Messe zur Promotion unterwegs waren, war nicht so überragend viel geboten. Gar internationales Flair, wie es etwa bei der "Embedded World " der Fall war, kam jedoch kaum auf. Alles in allem war die sich über gerade mal 2 kleine Hallen erstreckende Messe sehr überschaubar und von daher auch irgendwie gemütlich. Als Aushängeschild diente die Keynote von Dr. Taher Elgamal , mit dessen Arbeiten ich auch im Rahmen eines unserer letzten Projekte im Bereich Kryptographie zu tun hatte.

Schockierend war die niedrige Kompetenz an vielen Ständen auch sehr grosser Anbieter, ohne jetzt Namen nennen zu wollen. Viel mehr als "Blabla" und die üblichen Hype-Argumente, die man auch entsprechenden Hochglanzprospekten entnehmen kann, wurde da nicht vermittelt. Technische Fakten leider komplett Fehlanzeige. Es scheint so eine verbreitete Unart der Sicherheitshersteller zu sein, hier nur mit Vertrieblern aufzulaufen, statt auch kompetente Fachleute mitzunehmen, aber nicht die erste Messe, auf der ich Fachansprechpartner häufig vermisst habe. Alles so nach dem Motto "die Leute verstehen ja sowieso nichts vom Thema Sicherheit, die wollen sich ja hauptsächlich sicher fühlen, und dieses Gefühl vermittelt die Größe unseres Standes/die Höhe unserer Umsätze/die Bekanntheit unseres Names [nichtzutreffendes bitte streichen]".

Die angebotenen thematischen Messerundgänge waren auch nicht gerade üppig besucht, teilweise wie beim Thema "Web Application Security" rückte nicht ein einziger Teilnehmer an. So schlecht fand ich das Thema nicht, erstaunlich dass so gar keine Resonanz folgte. Diese schlechte Resonanz hätte höchstens das miserable örtliche Catering verdient gehabt. Die Highlights waren eher in manchen Vorträgen zu finden, allen voran im offenen Forum.

Fazit: Wirkliche brandheiße Themen im Bereich IT-Sicherheit fehlten, die Messe muß wohl auch noch einiges tun, um ein internationales Pflaster für die IT-Security-Welt zu werden. Dennoch gute Ansätze sind da und ich konnte doch noch einige gute Gespräche führen, z.B. mit einigen Rechtsanwälten und großen Versicherungen und ein paar alte Kontakte auffrischen, sodass die Messe die paar km Anfahrt dann doch wert war.



Hier finden Sie aktuelle Themen und Hintergründe rund um Sicherheit, Internet und Recht, das Sachverständigenwesen und die Computer-Forensik.

Mon Di Mi Do Fr Sa So
        1 2 3
4 5 6 7 8 9 10
11 12 13 14 15 16 17
18 19 20 21 22 23 24
25 26 27 28