Systematische Analyse- und Beurteilungsmethodik für die IT-Sicherheit prozessführender Computersysteme in operativen Industrieumgebungen

Kraft, Hans-Richard

2010 erweiterte das Kunstwort „Stuxnet“ die Diskussion um Computersicherheit auf eine bislang nur Fachleuten vertraute Geräte- und Systemklasse: Leit- und Automatisierungssysteme für Produktionsanlagen und kritische Infrastrukturen. Eine Vielzahl von Veröffentlichungen führte vor allem den hochentwickelten Industriegesellschaften ihre Abhängigkeit von der korrekten Funktion dieser Systeme vor Augen. Im Kontext der Stuxnet-Analysen ergriffen Lieferanten Maßnahmen zur Verbesserung der ITSicherheit ihrer Systeme bzw. Komponenten während Betreiber ihre Anlagen auf entsprechende Schwachstellen untersuchten. Die Entwicklung geeigneter Maßnahmen zur Verbesserung der IT-Sicherheit der Leit- und Automatisierungssysteme verdeutlichte, dass nicht nur anlagentypischen Randbedingungen, wie z.B. sehr lange Einsatzzeiten (20+ Jahre), z.T. unzureichende Hardware-Ressourcen oder hohe Kosten im Falle von Anlagenstillständen, Herausforderungen darstellen, sondern auch eine Methode zur systematische Beurteilung der IT-Sicherheit dieser Systeme fehlte. Mangels Alternativen dienen deshalb in der Regel Analyseansätze zur Beurteilung des Risikos von Cyberangriffen anstelle der IT-Sicherheit von Anlagen. Wesentliche Schwachstellen dieser Herangehensweise sind fehlende Ereignisdaten zur Abschätzung von Eintrittswahrscheinlichkeiten, mangelnde Aussagekraft der Ergebnisse sowie der nicht quantifizierbare Einfluss subjektiver Einschätzungen des Prüfpersonals. Zwecks Vermeidung der genannten Schwächen beschreibt die vorliegende Arbeit eine automatisierbare Analysemethodik auf Basis generischer Angriffsszenarien gegen die zu betrachtende Zielanlage. Mit Hilfe einer neuartigen Sicherheitsmetrik, die subjektive Einschätzungen des Prüfpersonals durch sicherheitsrelevante Anlageneigenschaften ersetzt, resultieren reproduzierbare Ergebnisse für die Beurteilung der IT-Sicherheit von Leit- und Automatisierungssystemen Zum Zweck der Erprobung der vorgeschlagenen Methode findet die vorgeschlagene Analysemethodik Anwendung auf eine praxisnahe Beispielanlage. Die Analyseergebnisse werden auf die neu entworfene Sicherheitsmetrik abgebildet. Den Abschluss bildet ein Vergleich der Ergebnisse dieser Vorgehensweise mit den Ergebnissen einer risikobasierten Methode auf Basis eines entsprechenden Standards.

In 2010 “Stuxnet” widened the discussion regarding computer security on a class of device previously known to experts only: automation and control systems in production environments and critical infrastructures. Numerous publications highlighted the modern societies’ dependence on the correct function of these systems. In the context of the Stuxnet-related investigations and publications, vendors applied bug fixes and countermeasures and plant operators scanned their systems on vulnerabilities. The development of countermeasures in order to improve the cyber security of automation and control systems raised domain-specific constraints, e.g very long periods of system utilization (20+ years), limited hardware resources or significant commercial costs for plant outages. In addition, there is no systematic approach to cyber security assessments of these systems. In the absence of alternatives, assessment approaches address the risk of cyber security issues rather than the plant security. The risk-based approach lacks the availability of statistically valid incident data for the estimation of event probabilities, the limited value of the assessment results and the not quantifiable influence of individual ratings. In order to avoid these weaknesses, this document describes a semi-automatized assessment approach based on generic attack scenarios against the target plant. For the purpose of the cyber security evaluation of automation and control systems, this document describes a new metric which replaces individual ratings of the assessment staff by securityrelated plant security properties. For the validation purpose, the proposed assessment approach has been applied to a closeto-practice plant sample. The assessment results are mapped on the new security metric. Finally, the results of this assessment are compared with the results of a risk-oriented assessment to the same plant based on a common assessment standard.

Vorschau

Zitieren

Zitierform:

Kraft, Hans-Richard: Systematische Analyse- und Beurteilungsmethodik für die IT-Sicherheit prozessführender Computersysteme in operativen Industrieumgebungen. Hagen 2016. FernUniversität Hagen.

Zugriffsstatistik

Gesamt

Volltextzugriffe:
Metadatenansicht:

12 Monate

Volltextzugriffe:
Metadatenansicht:

Rechte

Nutzung und Vervielfältigung:
Alle Rechte vorbehalten

Export

powered by MyCoRe