Erkennen von abnormalem Cyber-Verhalten vor einem Cyberangriff

Das Versprechen fortschrittlicher Fertigungstechnologien – auch Smart Factory oder Industrie 4.0 genannt – ist, dass wir durch die Vernetzung unserer Maschinen, Computer, Sensoren und Systeme (unter anderem) Automatisierung ermöglichen, die Sicherheit verbessern und letztendlich produktiver und effizienter werden. Und es besteht kein Zweifel, dass die Fertigung bereits von dieser Transformation profitiert hat.

Die Verbindung all dieser Sensoren und Geräte mit unseren industriellen Steuerungssystemen (ICS) und die Zunahme von Remote-Arbeit und -Überwachung führen zu Fertigungsnetzwerken mit größeren Anfälligkeiten für Cyberangriffe. Dies ist eine zunehmend herausfordernde Dynamik, da Hersteller herausfinden, wie sie kommerzielle Informationstechnologie (IT)-Standards übernehmen können, die mit ihren Betriebstechnologie (OT)-Standards kompatibel sind.

Neue auf Standards basierende Fähigkeiten werden Herstellern helfen

Das National Cybersecurity Center of Excellence (NCCoE) von NIST hat kürzlich in Zusammenarbeit mit dem Engineering Laboratory von NIST einen Bericht veröffentlicht, der eine Reihe von Fähigkeiten zur Erkennung von Verhaltensanomalien (BAD) zur Unterstützung der Cybersicherheit in Fertigungsunternehmen aufzeigt. Die Verwendung dieser Funktionen ermöglicht es Herstellern, anomale Bedingungen in ihren Betriebsumgebungen zu erkennen, um Malware-Angriffe und andere Bedrohungen für die Integrität kritischer Betriebsdaten abzuwehren.

Mit anderen Worten, Hersteller werden in der Lage sein, Systeme kontinuierlich in Echtzeit oder nahezu in Echtzeit auf Anzeichen von Kompromissen zu überwachen. Die Entwicklung von standardbasierten Cyberkontrollen ist ein wichtiger Aspekt der Sicherheitsanforderungen von Herstellern.

Wie BAD Monitoring zur Früherkennung von Cyber-Bedrohungen führt

Die Erkennung von Verhaltensanomalien beinhaltet die kontinuierliche Überwachung von Systemen auf ungewöhnliche Ereignisse oder Trends. Der Monitor sucht in Echtzeit nach Beweisen für eine Kompromittierung und nicht nach dem Cyberangriff selbst. Die frühzeitige Erkennung potenzieller Cybersicherheitsvorfälle ist der Schlüssel, um die Auswirkungen dieser Vorfälle für Hersteller zu verringern. Cyber-Verletzungen werden normalerweise nach dem Angriff erkannt.

BAD-Tools werden in ICS- und OT-Umgebungen implementiert und könnten von einer menschlichen Kontrollschnittstelle überwacht werden, die viele Hersteller zur Überwachung ihres Betriebs verwenden. Der Betreiber könnte den Netzwerkverkehr sehen und über das Hinzufügen von autorisierten oder nicht autorisierten Geräten oder Verbindungen informiert werden.

Zum Beispiel wüsste das System, welche Kommunikationen mit einer speicherprogrammierbaren Steuerung (SPS) autorisiert sind, sodass jeder neue Kontakt einen Alarm auslöst. Ebenso würden alle anormalen Gespräche zwischen verbundenen Maschinen, Änderungen in der Human-Machine-Interface (HMI)-Logik oder andere Anomalien bemerkt.

Die BAD-Lösung ist ein relativ kostengünstiger modularer Ansatz und eine effiziente Möglichkeit, Anomalien zu erkennen. BAD-Warnungen sind jedoch passiver Natur und erfordern nicht unbedingt Abhilfemaßnahmen wie das Herunterfahren des Produktionsprozesses.

Hersteller bleiben Ziel von Cyberangriffen

Nach Angaben des US-Heimatschutzministeriums war die Fertigung 2015 die am stärksten angegriffene Branche für Infrastrukturangriffe, und kleine und mittelständische Hersteller (SMMs) sind weiterhin die wichtigsten Cyberziele.

Aufgrund der zunehmenden Abhängigkeit der Hersteller von Technologie und Daten als Treiber für Produktivität und Effizienz besteht eine größere Nachfrage nach Cybersicherheit. SMMs standen traditionell aus verschiedenen Gründen vor der Herausforderung, Cybersicherheitsprobleme zu bewältigen:

• Der Fertigungstechnologie-Mix umfasst IT (Netzwerke und geschäftsseitige Software wie E-Mail, Finanzen und ERPs) und OT (Betriebstechnologie wie Maschinen und Steuerungssysteme).
• Cyber ​​konkurriert mit vielen anderen Bereichen in Bezug auf Finanzierung, Sensibilisierung und Bildung.
• Es ist schwierig, spezielle Ressourcen für die interne Personalbeschaffung bereitzustellen.
• Cybersicherheit hatte beim OT-Build keine Priorität, was bedeutet, dass die Schwachstellen von Legacy-Systemen durch die Verbindung von IT und OT zu potenziellen Verbindlichkeiten für das gesamte Netzwerk werden.

Was kommt als nächstes von NIST Labs und NCCoE für Cybersicherheit

Bei der Entwicklung der BAD-Fähigkeit wurden 16 Testfälle oder Klassifikationen verwendet. Bei einigen handelte es sich um einfache Warnungen zu einem Ereignis, z. B. bei Passwort- und Authentifizierungsfehlern, und bei anderen handelte es sich um eine gewisse Analyseebene, z

Das nächste gemeinsame Projekt des NCCoE and Engineering Laboratory des NIST, Protecting Information and System Integrity in Industrial Control System Environments, verfolgt einen umfassenderen Ansatz zum Schutz vor Datenintegritäts-Hacks. Diese Funktionen umfassen:

• Überwachung von Sicherheitsvorfällen und Ereignissen;
• Zulassungsliste für Anwendungen;
• Malware-Erkennung und -Abwehr;
• Änderungskontrollmanagement;
• Benutzerauthentifizierung und -autorisierung;
• Zugriffskontrolle mit den geringsten Berechtigungen; und
• Mechanismen zur Überprüfung der Dateiintegrität

Neun Hersteller und Integratoren aus der Fertigung haben mit dem NCCoE kooperative Forschungs- und Entwicklungsvereinbarungen (CRADA) unterzeichnet, um die Entwicklung der Fähigkeiten zu unterstützen.

Kontaktieren Sie Ihr lokales MEP-Zentrum für fachkundige Cybersicherheitsberatung

Cybersicherheitsexperten im Fertigungssektor sehen Bildung als Schlüssel zur Einführung von SMM. Immer mehr SMM betrachten Cyber-Konsultationen auf ähnliche Weise, wie sie Expertenwissen für Finanzen oder Versicherungen einholen könnten.

Wenn Sie sich nicht sicher sind, wo Sie mit der Cybersicherheit für Ihr Fertigungsunternehmen anfangen sollen, sehen Sie sich dieses Bewertungstool und das Cybersecurity Framework von NIST an. Sie können auch die NIST MEP-Sammlung von Cybersicherheitsressourcen für Hersteller durchsuchen.

Für besondere Bedürfnisse ist es am besten, sich mit einem Cybersicherheitsexperten in Ihrem lokalen MEP-Center in Verbindung zu setzen, um eine geeignete Anleitung zu finden.