Da es bereits einige Hersteller gibt die ihre Komponenten mit der entsprechenden Norm IEC 62443-4-1 nach einem bestimmten Security Level (SLC) zertifizieren lassen, ist es dementsprechend anhand dieser Parameter auch möglich geeignete Geräte (Switche, Firewalls, PLCs etc.) auszuwählen. 

Doch was bringen die „sichersten“ Komponenten, wenn diese nicht ordnungsgemäß konfiguriert werden?
Oder wenn Schwachstellen veröffentlicht werden, die an Komponenten der Automatisierungslösung böswillig ausgenutzt werden können?

Um solche Fehler vermeiden zu können werden zum Beispiel in der Norm IEC 62443-2-4 Anforderungen an System Integratoren gestellt. Diese sind einzuhalten, sofern man sich als Unternehmen danach zertifizieren möchte. Man merkt schnell, dass sich viele dieser Anforderungen im Endeffekt in Prozesse verlaufen, welche wiederum untereinander verknüpft sein können. So gibt es unter anderem Themengebiete wie Komponentenauswahl, Patch- und Schwachstellenmanagement und Konfigurationsmanagement. Alle mit dem Ziel Prozesse und Zuständigkeiten zu definieren, um Komponenten über den gesamten Lebenszyklus einer Maschine sicher betreiben zu können.

Und genau hier knöpfen wir wieder an die am Beginn angesprochene „alte“ Maschine an. Der Begriff vom sogenannten „air gapping“ wird häufig vor allem mit alten Anlagen, die keinerlei Netzwerkanbindung besitzen, in Verbindung gebracht. Doch auch in diesem Zusammenhang sollten Gefährdungen betrachtet werden, da man zum Beispiel über Wechseldatenträger oder Engineering-PCs direkt mit der Anlage in Berührung kommen kann. Je mehr man versucht den Begriff Security nicht nur rein durch Hardware zu definieren, desto mehr erkennt man wie wichtig auch ausgereifte und durchdachte Prozesse sowie sensibilisierte Mitarbeiter in dieser Domäne sind. 

Um eine drahtlose Kommunikation ermöglichen zu können, müssen von Access Points laufend Signale von verschiedenen Typen (Management, Control) ausgesandt werden. So wird z.B. der Name eines WLAN-Netzwerkes (SSID .. Service Set Identifier) einige Male pro Sekunde ausgesendet, damit sich Clients in der Umgebung damit verbinden können. Umgekehrt hingegen schicken Clients die SSID von bekannten WLAN-Netzwerken aus, um sich mit diesen verbinden zu können sobald sie in Reichweite sind. Jedes technisch geeignete Endgerät ist in der Lage diese emittierten Signale abzuhören und eigene Signale über diese Verbindung einzuschleusen. Mit Hilfe von nur weniger Softwaretools und einer geeigneten WLAN-Antenne kann man sich selbst ein Bild vom Datenaustausch in einem kabellosen Netzwerk machen.

Hinsichtlich der Authentifizierung innerhalb eines WLAN-Netzwerkes hat sich im Laufe der Zeit einiges geändert. Die frühere Verschlüsselungsvariant war WEP (Wired Equivalent Privacy) – sie gilt mittlerweile als 100 % „knackbar“. Mittels verschiedener Techniken ist es möglich den für die Verschlüsselung verwendeten Key zu bekommen, anschließend können alle übertragenen Daten (inkl. des WLAN-Passworts) berechnet werden.

Das aktuell verbreitetste Sicherheitsverfahren ist WPA2 (Wi-Fi Protected Area) Personal bzw. Enterprise. Dieses Verfahren gilt derzeit definitiv als sicher – anders als bei WEP gibt es hier keine Möglichkeit die Verschlüsselung mathematisch zu knacken. Die Sicherheit steht und fällt aber mit folgender Komponente: dem Passwort. Es besteht als Angreifer die Möglichkeit den Authentifizierungsvorgang zwischen Access Point und Client (4-Wege-Handschlag) mitzuhören. Diese Information kann genutzt werden um offline (!) eine Brute-Force Attacke durchzuführen. Im Endeffekt werden dabei in möglichst kurzer Zeit eine Vielzahl an Passwörtern versucht, um zum gewünschten Ergebnis zu kommen. Diese können entweder zufällig generiert werden oder aus Listen stammen, welche z.B. einen Großteil der meistgenutzten Passwörter beinhalten. Selbst die Inhalte von Wörterbüchern können für diese Attacken hilfreich sein.  

Im Jahr 2018 wurde der Nachfolger WPA3 verabschiedet, welcher die Schwachstelle beim Authentifizierungsvorgang beseitigt. Nach und nach wird diese Technologie von den Herstellern implementiert, um das WLAN der Zukunft noch sicherer zu gestalten. Speziell zu beachten ist hier jedoch der sogenannte „Transition Modus“ – dieser ist dazu gedacht, um WPA2-Clients ebenfalls einen Zugang zum Netzwerk bieten zu können. Achtung: Ab diesem Zeitpunkt ist jedoch der vorhin beschriebene Angriffsvektor wieder aktiv.

Fazit:

• WEP nicht (!) verwenden
• Wenn möglich WPA3, ansonsten WPA2 verwenden
• Standardpasswörter umgehend ändern
• Komplexe, lange Passwörter mit Sonderzeichen und Groß-/Kleinschreibung verwenden
• Passwörter dürfen in keinem Wörterbuch vorkommen (Dictionary Attacks)

Genau diese Schnittstelle (Conduit) zwischen zwei Zonen muss nun genauer betrachtet werden. Es muss sich hierbei jedoch nicht zwangsweise um eine Komponente handeln. Spricht man zum Beispiel von einer abgeschotteten Zone, die für Wartungs- oder Instandhaltungszwecke mit einem Engineering-PC verbunden wird, so könnte genau dieses Endgerät als Conduit zu einer anderen Zone (z.B. Business) klassifiziert werden. 

Um den Datenverkehr zwischen zwei Zonen kontrollieren, protokollieren und einschränken zu können werden oftmals „Firewalls“ vorgesehen. Dabei handelt es sich um hard- oder softwarebasierte Paketfilter, die anhand von definierten Regeln entscheiden können, ob ein Datenaustausch zwischen zwei Endgeräten erlaubt oder unerlaubt ist. Es gibt Paketfilter, die auf Layer-2 vom OSI-Schichtenmodell arbeiten und somit einfach in vorhandene Netzwerkstrukturen implementiert werden können.

Andere wiederum arbeiten auf dem Layer-3 und können somit zusätzlich Routingfunktionalitäten nutzen, also mit unterschiedlichen Netzwerken verbunden sein und den Datenverkehr an die entsprechende Stelle routen. Da es in der Industrie sehr viel verschiedene Feldbussysteme basierend auf Ethernet gibt, ist es oft nicht ausreichend zu wissen welche Teilnehmer über welche Ports kommunizieren. Die Information was sie kommunizieren, also den tatsächlichen Inhalt der Datenpakete, können bei Firewalls mit einer Deep Packet Inspection (DPI) Funktionalität ebenfalls für die Filterung der Datenpakete herangezogen werden.