Fünf Angriffsvektoren gegen Fertigungssysteme

Industrieunternehmen intelligent schützen

26. November 2020, 7:00 Uhr | Udo Schneider/jos
Bild 1. In einem komplexen Industrienetz kommen viele Punkte als Angriffsziel infrage.
© Bild: Trend Micro

Ein intelligentes Fertigungssystem existiert nicht im luftleeren Raum: Es ist ein komplexes Ökosystem, das Bedrohungsakteuren dazu dienen kann, sowohl konventionelle als auch unkonventionelle Angriffe zu starten.

Die in dem Forschungsbericht „Attacks on Smart Manufacturing Systems – A Forward-Looking Security Analysis“ von Trend Micro veröffentlichte systematische Sicherheitsanalyse dient der Untersuchung von Angriffsvektoren auf ein echtes intelligentes Fertigungssystem. Dabei sind Angriffe bewertet, die auf ein solch komplexes System möglich wären. Die wichtigste und zugleich zweigeteilte Frage, die es zu beantworten galt, lautet: Unter welchen Bedrohungsbedingungen und Angriffsmöglichkeiten sind bestimmte Attacken möglich, und welches sind die daraus folgenden Konsequenzen?

Anhand verschiedener Angriffsmodellannahmen haben die Experten die Durchführbarkeit verschiedener Attacken getestet und erklärt. In bestimmten Fällen gingen die Forscher davon aus, dass der Angreifer keinen direkten Zugriff auf das Smart-Manufacturing-(Shopfloor)-Netzwerk hat, während andere Beispielen verdeutlichen, welche Folgen es hätte, wenn der Angreifer auf das Netzwerk zugreifen könnte.

Kompromittierung durch ein gefährliches Industrial Add-in

Das Hauptziel der Cyberkriminellen während eines Angriffs auf eine intelligente Fertigungsanlage ist die Abänderung der Produktionsabläufe der Anlage, selbst wenn diese nicht mit der eigentlichen Engineering Workstation verbunden sind. Bereits eine einzige anfällige Entwicklungsumgebung kann ein erster, indirekter Zugangspunkt für einen Angreifer sein, um das gesamte intelligente Fertigungssystem auszunutzen. Experten schätzen, dass in solchen Fällen ein Angreifer gleich zwei Computer pro Tag infizieren kann. Ein Beispiel für die Kompromittierung durch nicht genehmigte Add-ins ist der App-Store von ABB, der von einer Sicherheitslücke beim Datei-Upload betroffen war. Über erstellte Add-ins war es dort möglich, bösartige Codes in roboterbetriebene Systeme zu übermitteln, wo diese im Anschluss Zugang zu allen wichtigen Systemressourcen haben, die die Implementierung jeglicher Funktionalität erlauben. Um aufzuzeigen, dass jeder „Otto Normalverbraucher“ ohne Registrierung als Entwickler Add-ins hochladen kann, kreierte das Trend Micro Research Team ein harmloses Add-in. Bereits nach zehn Tagen hatten es 18 Nutzer heruntergeladen. Die so identifizierte Sicherheitslücke wurde an ABB gemeldet, und das Unternehmen hat sie geschlossen.

Trojanisierung eines benutzerdefinierten IIoT-Geräts

Benutzerdefinierte industrielle IoT-Geräte (IIoT) genießen ein wachsendes Ansehen in der Industrie, was auch daran liegt, dass sie in der Produktion vollständig benutzerdefinierte Automatisierungslösungen ausführen können. Im Bericht zeigen die Forscher, wie ein Angreifer über einen Software-Supply-Chain-Angriff, der auf eine von Entwicklern verwendete Bibliothek abzielt, Firmware trojanisieren kann. Obwohl dieser Angriffsvektor nicht spezifisch für intelligente Fertigungsumgebungen ist, kann ein Angriff in einer solchen Umgebung gravierende Auswirkungen haben. Ein Angreifer kann entweder Fehlfunktionen im intelligenten Fertigungssystem verursachen oder andere Angriffe auf das Netzwerk erleichtern. Will ein IIoT-Entwickler zum Beispiel einen Überwachungsknoten erstellen, der Temperaturmesswerte sammelt, kommt es häufig zum Einsatz von mehreren Sensoren. Diese sind an verschiedenen Schlüsselpunkten in der Produktionsanlage angebracht und erkennen Anzeichen von fehlerhaftem Verhalten einer Maschine. Liegen die gemessenen Werte außerhalb des Sicherheitsbereichs, erfolgt normalerweise ein Alarm. Aufgrund der Trojanisierung der Bibliothek sind jedoch falsche Messwerte simulierbar. Dies veranlasst eine Anomalieerkennung, der Alarm löst aus, und weitere Reaktionsverfahren kommen in Gang. Alternativ könnte der Angreifer die kompromittierte Bibliothek nutzen, um einen Denial of Service (DoS) in der intelligenten Fertigungsanlage zu verursachen oder eine ARP-Spoofing-Schleife errichten. Die vom Angreifer kompromittierte Bibliothek würde dann in zufälligen Abständen einen ARP-Spoofing-Angriff starten, der die Netzwerkkommunikation unterbricht.

Der beste Verteidigungsansatz ist dabei die vollständige Transparenz der Software-Lieferkette, einschließlich der Komponenten von Drittanbietern, die (intern) von den Entwicklern zur Erstellung von kundenspezifischer Firmware für IIoT-Geräte zum Einsatz kommen. Immer dann, wenn eine Bibliothek in ein Softwareprojekt einbezogen ist, muss diese als nicht vertrauenswürdig gelten, sodass es bei jeder Änderung zu einer vollständigen Code-Überprüfung kommt.

Anbieter zum Thema

zu Matchmaker+

  1. Industrieunternehmen intelligent schützen
  2. Missbrauch von mobilen HMIs

Lesen Sie mehr zum Thema


Jetzt kostenfreie Newsletter bestellen!

Weitere Artikel zu TREND MICRO Deutschland GmbH

Weitere Artikel zu Security-Management

Weitere Artikel zu silex technology europe GmbH

Weitere Artikel zu TeleComContor GmbH

Weitere Artikel zu Aastra DeTeWe GmbH

Matchmaker+