Glossar

Empfehlung des Bundesamts für Sicherheit in der Informationstechnik: Monitoring und Anomalieerkennung in Produktionsnetzwerken sind notwendig in Bezug auf Prävention, Detektion und Reaktion. 

Kurz und knapp

Die Anomalieerkennung ist eine Methode der Gefahrenabwehr im Rahmen der IT- und OT-Sicherheit. Im Gegensatz zu gängigen Sicherheitslösungen beschränkt sich die Anomalieerkennung nicht auf das Detektieren bekannter Gefahren. Ziel der Methode ist das Erkennen jeglicher Anomalie in einem Netzwerk von einem Standard. Eine Anomalie beschreibt hierbei jede Veränderung der erlaubten und bekannten Standardkommunikation in Netzen. Eine Anomalie kann damit sowohl eine Malware oder Cyberattacke umfassen, als auch fehlerhafte Datenpakete sowie durch Netzwerkprobleme, Kapazitätsengpässe oder Anlagenfehler verursachte Kommunikationsveränderungen. Damit wird eine ganzheitliche Störungsabwehr möglich und eine vollständige digitale Transparenz gewährleistet.

Hintergründe: Gängige IT-Sicherheits- und Monitoringkonzepte fokussieren sich seit jeher auf die Detektion bekannter Cybergefahren. Damit sind sie jedoch anfällig gegenüber allen Faktoren, die außerhalb dieser strikten Definition ein IT-Netzwerk oder Steuernetz stören und zu Ausfällen führen können. Insbesondere im Zusammenhang der immer stärkeren Digitalisierung von Unternehmen und Vernetzung von Komponenten sind die Gefahren für Netzwerke vielfältig und komplexer geworden. Um diesen neuen Herausforderungen Herr zu werden, sind deshalb neue Konzepte für die Gewährleistung der Netzwerksicherheit und Netzwerkstabilität notwendig. Die Anomalieerkennung adressiert gezielt diese Herausforderungen.

Wie funktioniert die Anomalieerkennung?

Die Grundidee der Anomalieerkennung fußt auf drei Axiomen:

1. Unternehmen sind zunehmend vom einwandfreien Funktionieren ihrer IT-Netzwerke abhängig.
2. Für ein effektives Netzwerkmanagement ist eine vollständige digitale Transparenz notwendig. Nur wer wirklich weiß, was in seinem Netzwerk passiert, kann dieses auch sicher und effektiv steuern.
3. Jede Änderung bzw. Anomalie in einem Netzwerk stellt potentiell eine Gefährdung für die Funktionsfähigkeit dar.

Eine Anomalieerkennung liest deshalb die gesamte Netzwerkkommunikation einer beliebig großen Netzwerkzelle mit, analysiert diese in Echtzeit auf Anomalien und meldet solche umgehend an den Netzwerkbetreiber.

Abweichungen bzw. Anomalien können u.a. sein:

• Netzwerkprobleme (z. B. aufgrund von Kapazitätsengpässen oder fehlerhaften Datenpaketen);
• neue Netzwerkteilnehmer;
• neue Netzwerkverbindungen;
• veränderte Befehlsstrukturen;
• unbekannte (neue oder veränderte) Datenpakete;
• neue Protokolltypen
• Cyberangriffe;
• Malware-Kommunikation;
• manuelle Sabotage;

Mit dem Fokus auf Veränderungen im Netzwerk werden auch Gefährdungen und Kommunikationsmuster sichtbar, die bislang unbekannt – also nicht in den Gefahrendatenbanken definiert – sind oder schleichend agieren.

Hierfür analysiert die Anomalieerkennung beim ersten Einsatz die bestehende Netzwerkkommunikation und -infrastruktur. Dieses Network Mapping gibt Netzwerkbetreibern ein vollständiges Bild darüber:

• welche Netzwerkteilnehmer existieren;
• welche Verbindungen zwischen den Netzwerkteilnehmern existieren – inklusive,
  • wer mit wem kommuniziert und
  • in welchem Hierarchieverhältnis die Teilnehmer stehen (z. B. Master/Slave);
• welche Datenpakete zwischen welchen Netzwerkteilnehmern verschickt werden;
• welche Protokolle verwendet werden;
• in welcher Frequenz im Netzwerk kommuniziert wird.

Diese digitale Transparenz seines Netzwerkes erlaubt dem Netzwerkbetreiber zum einen eine lückenlose Inventur seiner Infrastruktur. Zum anderen kann er auf Basis der Erstanalyse bereits Sicherheitslücken, fehlerhafte Verbindungen und ungewollte Kommunikationspakete erkennen und das Netzwerk bereinigen. Aus dem bereinigten Network Mapping definiert die Anomalieerkennung ein Standardmuster. Dieses Muster fungiert als Schablone, um im laufenden Betrieb Änderungen bzw. Anomalien zu erkennen.

Dieser Ansatz ist insbesondere in industriellen Steuernetzen sinnvoll, da hier eine sich wiederholende, vorhersagbare (deterministische) Kommunikation mit klaren Befehlsstrukturen vorherrscht, aus der ein Standardmuster abgeleitet werden kann.

Um Zugriff auf die komplette Netzwerkkommunikation zu erhalten, werden die Daten passiv über Spiegel-Ports oder Netzwerk-Taps abgegriffen. Die Anomalieerkennung funktioniert hierbei rückwirkungsfrei. Das heißt, wird eine Anomalie erkannt, wird diese nicht automatisch geblockt, sondern in Echtzeit dem Netzwerkbetreiber gemeldet. Hintergrund ist, dass zum Zeitpunkt der Anomaliemeldung oft noch nicht ersichtlich ist, ob die Anomalie eine Störung oder Schäden verursachen kann. Ein automatisches Blockieren könnte in solchen Fällen selbst zu schwerwiegenden Störungen führen. Vielmehr geht es darum, jede Veränderung sichtbar zu machen und Betreiber in Echtzeit dabei zu unterstützen, sofort auf Veränderungen zu reagieren.

Was unterscheidet eine industrielle Anomalieerkennung von gängigen Sicherheitslösungen?

Das Konzept der Anomalieerkennung unterscheidet sich von gängigen Sicherheitslösungen wie Firewalls, Intrusion Detection Systemen und Security Informationen and Event Management Systemen (SIEMS) sowohl technologisch als auch im grundlegenden Monitoringansatz.

Ein typischer Unterschied besteht zudem darin, dass die Anomalieerkennung nicht nur die Grenzen eines Netzwerkes überwacht, sondern auch das komplette Netzwerk im Blick hat. Damit ähnelt die Technologie noch eher einem SIEMS, ohne jedoch dessen fachlichen und monetären Aufwand einzufordern.

Anomalieerkennungen gehen zudem einen entschieden anderen Weg als zum Beispiel Firewalls und IDS. Letztere sind von den Sicherheitsupdates der Sicherheitsdienstleister abhängig, die darüber entscheiden, welche Aktion als Gefährdung gilt oder welche nicht. Damit sind diese Sicherheitskonzepte stets einen Schritt hinter dem potentiellen Angreifer. Denn die Sicherheitsdienstleister aktualisieren ihre sogenannten Blacklists immer erst NACH dem Auftreten einer Gefährdung. Dieses Patching macht Netzwerke entsprechend anfällig.

Welche Funktionen benötigt eine effektive industrielle Anomalieerkennung?

Inhaltsanalyse der Datenpakete

Um eine vollständige digitale Transparenz zu gewährleisten, muss die Netzwerkkommunikation auch lückenlos analysiert werden. In der Regel analysieren Sicherheits- und Monitoringlösungen ausschließlich die Header der Datenpakete. Diese enthalten die Metadaten zum Absender, Adressaten, verwendeten Protokoll etc. Damit werden weder fehlerhafte Datenpakete noch maskierte Kommunikationsmuster sichtbar.

Mittels Deep-Packet-Inspection-Technologie (DPI) wird bei einer Anomalieerkennung auch der eigentliche Inhalt von Datenpaketen offen gelegt. DPI erlaubt die Paketanalyse auf Inhaltsebene und gewährleistet damit eine lückenlose Transparenz. So werden z. B. auch fragmentierte Datenpakete und maskierte Angriffe sichtbar.

Die Inhalte jeder gemeldeten Anomalie werden als PCAP abgespeichert. So wird eine detaillierte forensische Analyse ermöglicht. Die gespeicherten Daten und Anomaliemeldungen können bei Bedarf zusätzlich mit einem Zeitstempel eines Vertrauensdiensteanbieters versehen werden. Dadurch können die Daten z. B. bei Schadensersatzklagen als gerichtsfeste Beweise geltend gemacht werden.

Echtzeit-Reporting

Die Anomalieerkennung detektiert in Echtzeit jede Anomalie und meldet diese umgehend dem Betreiber. So wird gewährleistet, dass der Betreiber des Steuernetzes schnellstmöglich die Anomalie prüfen und blocken oder freigeben kann. Insbesondere in Automation-Umgebungen, die von den Echtzeitfunktionen der Anlagen abhängen, entscheidet das Echtzeit-Reporting von Anomalien über die Stabilität der Produktivität.

Risikobewertung der Anomalien

Für ein effektives Management der Anomaliemeldungen erfolgt eine Risikobewertung jeder einzelnen Anomalie in Bezug auf ihr Gefährdungspotential der Produktivität und Funktionalität des Netzwerkes. Der Netzwerkbetreiber kann die Anomalien entsprechend nach Risikobewertung (Risk Score) filtern und so seine Maßnahmen umgehend priorisieren. Wird zum Beispiel an einem hochsicherheitsrelevanten Gerät eine Autorisierungsänderung vorgenommen, wird dieser Anomalie ein entsprechend hoher Risk Score zugewiesen. Das erlaubt u.a. auch eine Risikobewertung, wie sie mittlerweile Versicherungen fordern.

Weitere Filtermöglichkeiten sind u.a. Protokolltyp, Anlage, MAC-Adresse.

Integration bestehende Backendsysteme

Die Anomalieerkennung kann als Datenlieferant für weitere Steuerungssysteme verwendet werden. So können Anomaliemeldungen an aktive Sicherheitskomponenten wie Firewalls, die Instandhaltung oder Produktionssteuerung weitergeleitet werden. Das erlaubt die Nutzung der Anomaliedaten für die Organisation der grundlegenden Netzwerksicherheit, der präventiven Instandhaltung, des Qualitätsmanagements und der Prozessoptimierung.

Für ein effizientes Management wird die Datenlieferung an andere Backendsysteme automatisiert. Policy Filter erlauben die Definition von Datentransfers zwischen der Anomalieerkennung und einem zugeschalteten Backendsystem. So können Anomalien, die auf einen Cybersicherheitsvorfall hinweisen, automatisch an die Firewall gesendet werden. Eine Anomalie, die auf einen Anlagenfehler hindeutet, kann an das MES gesendet wird. Die Policy Filter sind frei definierbar.

Die Anbindung erfolgt über gängige industrielle Schnittstellen (APIs) wie REST-API, SysLog, SNMP, IPFIX oder IEC 104.

Anwendung der industriellen Anomalieerkennung in Industrie 4.0 und IIoT

Die industrielle Anomalieerkennung ist speziell auf die technologischen Anforderungen vernetzter industrieller Umgebungen zugeschnitten. Auch hier zeigen sich die Unterschiede zu gängigen Sicherheitslösungen im direkten Vergleich.

Eine industrielle Anomalieerkennung ist das einzige effektive Werkzeug im Bereich Industrie 4.0 und des Industriellen Internet der Dinge (IIoT), das eine vollständige Transparenz und die lückenlose Meldung von Gefährdungen gewährleistet. Durch die Integrationsfähigkeit über industrielle Standardschnittstellen an die Unternehmens-IT wird auch das Management betrieblich bzw. anlagenbedingter Anomalien möglich.

Im »Marktführer für betriebstechnische Sicherheit 2017« der renommierten IT-Marktanalysten Gartner Inc. nahm deshalb die Anomalieerkennung einen wachsenden Stellenwert bei den gelisteten Top 30-Anbietern ein. Rhebo wurde mit Rhebo Industrial Protector in diesem Rahmen als einziger deutscher Anbieter einer industriellen Anomalieerkennung bestätigt. [hier Link auf RIP-Seite]