Weltweit führendes Energieunternehmen stellt von veralteten Sicherheitslücken auf moderne Industrial um

Industrial , die eine systematische Abfolge chemischer, physikalischer, elektrischer und mechanischer Vorgänge umfassen, werden in der Regel durch herkömmliche, veraltete Systeme geschützt, die nie dafür konzipiert wurden, modernen Bedrohungen im Bereich der Cybersicherheit entgegenzuwirken.

In der Energieerzeugung und der Raffinerieindustrie dienen diese Prozesse dazu, Rohstoffe in großem Maßstab in Energie umzuwandeln. Verschiedene OT-Geräte, die in Ölraffinerien zum Einsatz kommen, müssen miteinander kommunizieren, damit die technischen Prozesse reibungslos ablaufen können.

Und genau hier liegt die kritische Sicherheitslücke.

Steuerungssysteme wie SPSen, DCS und SCADA gehen in der Regel davon aus, dass alle mit ihnen kommunizierenden Systeme vertrauenswürdig sind. Daher verfügen sie unter Umständen nicht über Authentifizierungs- und Verschlüsselungsmechanismen oder die Möglichkeit, Befehle zu validieren.

Befinden sich die OT-Systeme im selben Netzwerk wie die IT-Systeme (Fernzugriffstools, Verbindungen von Auftragnehmern oder Wartungslaptops), kann jede Kompromittierung in diesen weniger sicheren Bereichen direkt auf die Steuerungsumgebung übergreifen. Folglich kann sich ein Sicherheitsvorfall, der im IT-Bereich beginnt, nahezu ungehindert lateral in den OT-Bereich ausbreiten.

DoS-/DDoS-Angriffe, falsch konfigurierte Software oder Nutzer mit böswilligen Absichten können direkt mit Steuerungssystemen kommunizieren und dadurch möglicherweise Prozesswerte verändern, die Produktion zum Erliegen bringen, Anlagen beschädigen oder unsichere Betriebsbedingungen schaffen.

In OT-Umgebungen stehen Verfügbarkeit und Stabilität im Vordergrund. Es handelt sich hierbei nicht um Systeme, die schnell gepatcht werden können, was bedeutet, dass Sicherheitslücken über lange Zeiträume hinweg ausgenutzt werden können. In einem flachen oder schlecht segmentierten Netzwerk kann sich ein einzelner Vorfall daher rasch ausweiten und mehrere Anlagen oder Standorte betreffen.

Unser Kunde, eines der weltweit größten börsennotierten Energie- und Chemieunternehmen, erkannte seine Risikoexposition und machte sich daran, durch Segmentierung Schwachstellen in Altsystemen zu beheben.

Durch eine angemessene Segmentierung werden Netzwerke nach Risiko und Funktion voneinander getrennt. Auf diese Weise sind kritische OT-Ressourcen nur über streng kontrollierte Pfade erreichbar, während die Kommunikation explizit definiert und eingeschränkt wird, anstatt standardmäßig als sicher anzusehen.

Da sich herkömmliche IT-Firewalls bei der Bewältigung ihrer spezifischen Kommunikationsprotokolle als unwirksam erwiesen hatten, entschied sich das Unternehmen fürFirewall MetaDefender Industrial Firewall OPSWAT,Firewall eine sichere Segmentierung zwischen kritischen OT-Ressourcen und weniger sicheren ZonenFirewall schaffen.

Als einer der führenden europäischen Öl- und Gaskonzerne stützten sich die Prozesse des Kunden auf eine Infrastruktur, die sich über mehrere Raffinerien, Offshore-Bohrplattformen und Pipeline-Leitstellen erstreckte.

Diese Infrastruktur stützte sich in hohem Maße auf ältere industrielle Systeme wie SPSen, SCADA-Plattformen und HMIs.

Diese Systeme wurden ursprünglich im Hinblick auf Zuverlässigkeit und Verfügbarkeit entwickelt, nicht im Hinblick auf Cybersicherheit. Es fehlten integrierte Authentifizierungs- und Verschlüsselungsfunktionen sowie eine detaillierte Protokollierung.

Die bisher verwendeten herkömmlichen IT-Firewalls waren nicht in der Lage, die in OT- und CPS-Umgebungen verwendeten spezifischen Kommunikationsprotokolle zu bewältigen, wodurch die Systeme folgenden Risiken ausgesetzt waren:

• Unnötiger Netzwerkverkehr und Risiken durch laterale Bewegung
• Mögliche Angriffspunkte für Ransomware und gezielte Cyberangriffe
• Schwierigkeiten bei der Durchsetzung einer detaillierten Kontrolle über industrielle Protokolle

Das sind keine Risiken, die ein Unternehmen aus der Energieerzeugungs- und Raffineriebranche einfach auf die leichte Schulter nehmen kann: Angriffe auf Energiesysteme können die öffentliche Sicherheit gefährden, lebenswichtige Dienste lahmlegen und die nationale Sicherheit untergraben.

Anstatt darauf zu warten, dass das Schlimmste eintritt, machte sich der Kunde daran, die prekäre Lage, in der sich das Unternehmen befand, durch den EinsatzFirewall MetaDefender Industrial Firewall OPSWATzu bewältigen.

Mit der Industrial Firewall Operations“ wurde der Kunde zudem dabei unterstützt, die Anforderungen der Norm IEC 62443 und der NIS2-Richtlinie für europäische Betreiber kritischer Infrastrukturen einzuhalten.

Firewall MetaDefender Industrial Firewall fungiertFirewall als kompensierendes Kontrollsystem für ältere oder nicht aktualisierbare Anlagen, wie sie in Raffinerien und Pipelinesystemen häufig anzutreffen sind.

Mit der Firewall kann der Kunde nun:

• Verhindern Sie versehentliche oder unbefugte Befehle an Steuerungen durch die Überprüfung industrieller Protokolle.
• Störungen auf Standortebene eindämmen und so eine Ausbreitung auf mehrere Standorte in miteinander verbundenen Einrichtungen verhindern.
• Begrenzen Sie ungewöhnlichen Datenverkehr und fehlerhafte Pakete, um die Verfügbarkeit des Controllers zu gewährleisten.
• Segmentieren Sie Sicherheitssysteme von den Standard-Steuerungsnetzwerken, um das Betriebsrisiko zu verringern.
• Sorgen Sie für eine nachprüfbare Durchsetzung der Zugriffssteuerung für Lieferanten und Auftragnehmer.