Industrielle Steuerungssysteme und IoT im Fadenkreuz

Das vergangene Jahr war eine Herausforderung für Unternehmen, weil die Cyberkriminellen sehr erfolgreich waren, vor allem mit Ransomware. Eine der Lehren war auch, dass keine Branche sicher ist. Wenn es eine Sicherheitslücke gibt, wird ein entschlossener Angreifer sie finden. „Im Jahr 2017 werden viele Unternehmen daher ein regelmäßiges Programm zur Risikobewertung anstoßen, um in der Cybersicherheit voranzukommen. Es geht künftig darum, präventiv zu agieren“, erklärt Thorsten Henning, Senior Systems Engineering Manager bei Palo Alto Networks. „Dies ist nur möglich, indem man aktuelle und potenzielle Bedrohungen versteht und die erforderlichen Maßnahmen kennt, um das Risiko abzuschwächen.“

Palo Alto Networks stellt in diesem Zusammenhang Prognosen zur Cybersicherheit bei Unternehmen im neuen Jahr auf.

Industrielle Steuerungssysteme können gegen ihre Betreiber eingesetzt werden

Industrielle Steuerungssysteme (ICS) sind ein integraler Bestandteil jedes Unternehmens. Dazu gehören unter anderem Gebäudemanagement-Systeme, Heizungs-, Lüftungs- und Klimaanlagen (HVAC). Die meisten Unternehmen lagern ihr Gebäudemanagement aus, so dass sie nicht unbedingt wissen, ob beim Drittanbieter eine ausreichende Sicherheit vorhanden ist. Es ist nicht unmöglich für einen böswilligen Akteur, einen Angriff auszuführen, der erheblichen Schaden verursachen könnte.

• Fast alle Unternehmen können einem solchen Angriff ausgesetzt sein. Unternehmer müssen daher ihre grundlegenden Schutzmaßnahmen prüfen und eine übergeordnete Sicht auf ihre potenziellen Schwachstellen durch Dritte sowie im eigenen Netzwerk gewinnen. Zusätzlich müssen sie einen Plan aufsetzen, um jedem möglichen Angriff entgegenzuwirken.
• Es gilt zu erfassen, welche Nicht-IT-Ausrüstung im Einsatz ist und wie es um die Sicherheit bestellt ist. Sind Anlagen mit dem Internet verbunden, werden Sie von einem Drittanbieter verwaltet?
• Bei der Auslagerung an einen Drittanbieter ist zu prüfen, welche Sicherheitsstufe dieser bietet, d.h. wie er sich selbst schützt und das Netzwerk und die Systeme des Kunden.

Das Internet der Dinge wird ein Ziel für Cyberkriminalität sein

Das Marktforschungsunternehmen Gartner prognostiziert, dass die Zahl der ans Internet angebundenen Dinge von 6,5 Milliarden im Jahr 2015 auf fast 21 Milliarden bis 2020 steigen wird. Diese werden Informationen über alles liefern, etwa wenn die Bremsen an einem Bus ersetzt werden müssen, oder ob alle Maschinen auf einem Fertigungsstandort innerhalb akzeptabler Parameter laufen.

Allerdings werden diese „Dinge“ auch ein Ziel für Cyberkriminalität sein. Die Vielfalt an Endgeräten bietet Tausende von potenziellen Einstiegspunkten in das Netzwerk von Unternehmen. Daher müssen sie besser – oder überhaupt – geschützt werden. Im Jahr 2017 könnten kompromittierte Geräte in einem Botnet miteinander verbunden werden, um Angriffe gegen Banken oder wichtige Teile der Internetinfrastruktur zu starten.

• Das IoT ist kein Zukunftsprojekt, sondern bereits Realität. Nun gilt es, von den Lieferanten zu fordern, die Sicherheit der Geräte zu gewährleisten. Möglicherweise gibt es gar keine Sicherheitsmaßnahmen oder die Geräte sind nur mit Standard-Benutzernamen oder -Passwörtern „geschützt“. Diese sollten geändert werden, sobald sie sich im Netzwerk befinden.
• Alle Geräte, die Werkseinstellungen für die Sicherheit verwenden, sind gefährdet. IT-Manager müssen auch Standard-Passwörter für Administratoren ändern.
• Die Geräte sollten auch regelmäßig überprüft werden, um festzustellen, ob sie mit der Sicherheitspolitik des Unternehmens konform sind.

Ransomware wird weiterhin für böse Überraschungen sorgen

Bei Ransomware-Angriffen sperren Angreifer die Daten eines Unternehmens und verlangen Lösegeld. 2017 dürfte diese Bedrohung noch schlimmer werden, mit einem höheren Angriffsvolumen und anspruchsvolleren Technologien. Da Unternehmen und Einzelpersonen meistens zahlen, ist es mehr als wahrscheinlich, dass die Preise steigen werden. Es gab Fälle, in denen das Lösegeld bezahlt wurde und die Daten freigeschaltet wurden, und kurze Zeit später wurde das Opfer erneut erpresst. Bezahlen, um einen oder mehrere Computer im Unternehmen zu entsperren, bietet keine Immunität gegenüber einer Bedrohung, die sich in der Netzwerkumgebung ausbreiten könnte. Der Rat von Palo Alto Networks war und ist daher stets, nicht zu bezahlen. Was es zu beachten gibt:

• Wenn weniger als 72 Stunden bleiben, um zu reagieren: Steht eine umfassende Backup-Strategie bereit und gibt es Maßnahmen, um weiteren Angriffen künftig zu begegnen?
• Wann wurde das Backup das letzte Mal geprüft?
• Werden grundlegende Maßnahmen angewendet, um Bedrohungen zu verhindern? Bestimmte Dateitypen können ein Risiko für Unternehmen sein. Daher gilt es, sich folgende Frage zu stellen: „Sollten wir alle Dateien zulassen oder sollten wir das Risiko umgehen, indem wir keine schädlichen Dateitypen zulassen, die ein Problem verursachen können?“

Es wird zu gravierenden Datensicherheitsvorfällen kommen

Die Menschen werden auch weiterhin darauf vertrauen, dass etwas sicher ist, auch wenn es in Wirklichkeit nicht sicher ist. So können vertrauliche Daten in falsche Hände geraten, manipuliert oder unbrauchbar gemacht werden. Ein Beispiel wäre ein Projekt, für das jahrelang Daten gesammelt und analysiert wurden, die dann beschädigt sind. Dies könnte eine Bergbaufirma sein, die massiv in Forschung und Entwicklung investiert und Petabyte von Daten gesammelt hat, die ein Angreifer manipuliert und damit wertlos macht. Wenn die Integrität der Daten manipuliert wird, und selbst nur ein paar Bits an Informationen geändert werden, könnte das Unternehmen an der falschen Stelle bohren, Zeit und Geld verschwenden oder möglicherweise eine Umweltkatastrophe verursachen.

• Unternehmen müssen daher zwei wichtige Dinge beachten: wo sich ihre sensiblen Daten befinden und welche Daten für das Geschäft von entscheidender Bedeutung sind. Vielen Unternehmen fällt es aber nicht leicht, diese Fragen auf Anhieb zu beantworten. Dies kann zu einer Veruntreuung von Ressourcen führen und zu erhöhten Kosten für die Umsetzung von Sicherheitsmaßnahmen.
• Die nächste Frage ist: Wer von den Mitarbeitern hat Zugriff auf sensible Daten? Einfach zu wissen, wer generell Zugriff auf Dokumente oder Datenspeicher hat, bedeutet noch nicht zu wissen, wer tatsächlich auf was zugreift.
• Ein wichtiger Weg, um Risiken für sensible Informationen zu reduzieren, ist auch zu verstehen, wie die Daten geschützt sind. Sind auf der jeweiligen Ebene adäquate Schutzmaßnahmen im Einsatz, um das Risiko für geschäftskritische Datenbestände zu reduzieren? (Palo Alto)