Cyberraum: Industrie 4.0

Gra

d de

r Kom

plex

ität

1. Industrielle Revolution Einführung mechanischer Produktionsanlagen (Wasser- und Dampfkraft)

2. Industrielle Revolution Einführung arbeitsteiliger Massenproduktion mit Hilfe elektrischer Energie

3. Industrielle Revolution durch Einsatz von Elektronik und IT

4. Industrielle Revolution auf Basis von Cyber-Physical Systemen

erster mechanischer Webstuhl - 1784

erstes Fließband Schlachthöfe von Cincinnati - 1870

erste SPS 1969

Heise-Meldungen Industrieanlagen schutzlos im Internet

Cyber-Attacke auf Hochofen

Erkenntnisse seit Stuxnet

Digitale Produktionssysteme sind informationstechnische Systeme, die entsprechende Angriffsflächen bieten.

Angreifer („Hacker“) können den Produktionsbereich sabotieren, Produktionsausfälle verursachen und Maschinenschäden bewirken.

Unternehmens-IT Prozess-IT

Lebenszeit der Systeme 3 – 5 Jahre 5 – 20 Jahre

Virenschutz Weit verbreitet Nur nach Herstellerfreigabe

Patch-Management Weit verbreitet, oft tägliche Updates

Kaum; erst nach Freigabe des Herstellers möglich

System-Änderungen Regelmäßig Selten

Verfügbarkeit Ausfall und Reboot möglich

24/7/365-Betrieb

Aspekte der IT Security Vergleich Unternehmens- und Prozess-IT

Komponente Sicherheitsrelevante Bebachtungen Branche Netz • Anbindung unbekannter Systeme zur

Datensicherung Energieversorger

Firewall / Router • Regeln nicht ausreichend restriktiv • undokumentierte Regeleinträge • offenbar nicht mehr benötigte Datenflüsse • Bypass im Routing • IP-Forwarding auf Servern

Chemie Automobilzulieferer Maschinenbau

Modems • ungeschützter Zugang • Anschluss nicht dokumentiert • ständige Verbindung

Energieerzeuger

Fernwartung • Anschluss direkt in Feldebene Wasserversorgung Chemie

Gefährdungslage der letzten 5 Jahre (bei Audits festgestellte Mängel)

Publikation: ICS-Kompendium, Bundesamt für Sicherheit in der Informationstechnik, Nov. 2013

Komponente Sicherheitsrelevante Bebachtungen Branche Betriebssysteme / Härtung

• Betriebssystemkomponenten nicht gehärtet

• ungenutzte Dienste angeboten • Nicht-unterstütze Version und fehlende

Patches

Netzbetrieb (Energie) Maschinenbau Windpark

Funk-verbindungen

• fehlende Verschlüsselung • veraltete Netzelemente

Öl/Gas-Industrie

Industrie-Switche • fehlende Robustheit gegen unerwartete Kommunikation

Öl/Gas-Industrie Energieversorger

veraltete Netzelemente

• Administrativer webbasierter Zugang ohne Absicherung (z. B. SSL)

• Fehlende Protokollunterstützung (z. B. nur 'telnet'-Zugang)

Automobilzulieferer Pharmaproduktion

Gefährdungslage (2) (bei Audits festgestellte Mängel)

Publikation: ICS-Kompendium, Bundesamt für Sicherheit in der Informationstechnik, Nov. 2013

Tätergruppe Vorgehensweise / Motivation Kriminelle Gruppen, Cyber-Kleinkriminelle

Monetäres Interesse; keine Fokussierung auf besondere Industriebereiche

Ausländische Dienste Nutzung von aufwändigen Werkzeugen; Informationsbeschaffung allgemein; Industriespionage

(kriminelle) Hacker, „Scriptkiddies“

Interesse unterschiedlich: Demonstration von besonderen Fähigkeiten; Prahlerei innerhalb einer Peer Group; gezielte Imageschädigung von Großunternehmen

(politische) Hacker, „Hacktivisten“

politisches Interesse; Bekanntmachung einer Botschaft; öffentlichkeitswirksame Angriffe bzw. Einbrüche werden bevorzugt; Webserver im Vordergrund

Informationskrieg Infowar

Gezielter Angriff auf kritische Infrastruktur seitens eines Staates bzw. einer regierungsnahen Organisation; Unterbrechung der Versorgung

Insider Aktive oder ehemalige Mitarbeiter oder Lieferanten, die sich aggressiv gegenüber dem Unternehmen verhalten

Autoren von Schadprogrammen

Überschneidet sich teilweise mit kriminellen Gruppen (z. B. Verschlüsselungstrojaner); aber auch unspezifisch erstellte Schadprogramme

Terroristen Zerstörung bzw. Unbrauchbarmachung kritischer Infrastrukturen; Gefährdung nationaler Sicherheit; Gefährdung von Menschenleben

Industriespione Stehlen von Entwurfsunterlagen, Know-how und Angebotskalkulationen im Auftrag von Diensten oder Konkurrenten

Tätergruppen der letzten 5 Jahre

Publikation: ICS-Kompendium, Bundesamt für Sicherheit in der Informationstechnik, Nov. 2013

Risikomanagement: Trends Bad Practice: ● Jedes Unternehmen unternimmt (oder unterlässt)

individuell Schutzmaßnahmen und bewahrt sie als Betriebsgeheimnis.

Good Practice: ● Zentrale Anlaufstelle (z. B. ICS-CERT) hilft bei

Krisensituationen und gibt Warnungen heraus ● Meldepflicht bei Schäden; Veröffentlichung

von bedeutenden Incidents und Statistiken ● Erfahrungsaustausch zwischen Industrieunternehmen ● Risikobewertung, Indeckungnahme verbliebener Risiken ● Auditierung und Zertifizierung der Schutzmaßnahmen 10

Perspektivwechsel Branchenspezifische Angriffsvektoren und Kenntnisse des digital produzierten Produktes, der Lieferkette und der Einsatzumgebung lassen aufwändige vertikale Angriffe zu. Das Angriffsziel ist dann nicht mehr primär das digitale Produktionssystem sondern die Geräte bzw. die Anlagen, in das produzierte Produkt eingebracht wird. Provokante Frage: Möchten Sie in einem Flugzeug sitzen, dessen Teile in einer „gehackten“ Fabrik produziert und kontrolliert wurden? Wie sähe dies bei medizinischen Geräten aus?

11

Klassifikationsschema Taxonomie nach Mingtao WuZhengyi, SongYoung, B. Moon

Angriffsszenarien

Bildquelle: TU Clausthal, interaktiv/qualitaetssicherung

existierende Qualitätssicherung ● etabliert und effektiv

● verhindert zuverlässig, dass Produktionsmängel, Fehlkonfigurationen und Fehllieferungen unentdeckt bleiben.

● nicht effektiv bei vorsätzlichen Handlungen: ● einzelne Teile könnten

manipuliert sein, was statistische Analysen nutzlos macht

● Manipulationen berücksichtigen QS-Methoden

● Röntgen, CT-Scan (u. a. bildgebende Verfahren) aufwändig und teuer

Beispiel: Entdecken von Manipulationen Ein Mitarbeiter beschreibt anonym (Okt. 2018) eine Vorgehensweise in der Finanzindustrie. Komponenten enthielten einen zusätzlichen Chip, der Kartendaten „leakte“. Die Komponenten waren jedoch bereits sicherheitsversiegelt.

1. Lösung: Wiegen. Bald nutzlos, da Täter Plastikabrieb entfernten, um Gewicht auszugleichen.

2. Lösung: Drehimpulsmessungen und Vergleich der Werte mit Referenz-Komponente.

Originalquelle (HackerNews, Oct. 5 2018, Autor: „lmilcin“)

Stand von Wissenschaft und Technik Es wurden in den letzten Jahren diverse Verfahren vorgeschlagen, die Manipulationen aufspüren.

● Akustische und sensorische Überwachung der Produktionsmaschinen und Abgleich mit Solldaten

● Machine Learning mit Seitenkanalinput der Produktionsmaschinen

● Bildgebende Verfahren (3D-Scan) mit Abgleich des CAD-Modells

● Messung von Materialeigenschaften (z. B. über piezoelektrische Effekte, Dichteverteilung)

Die Verfahren haben aber überwiegend keine Produktreife oder setzen teure Werkzeuge und Messverfahren voraus.

Lösungsansatz: „Prüfmuster“ ● Prüfsummen / Prüfmuster zur Integritätssicherung

● Bereits bei Erstellung des digitalen 3D-Modells (CAD-Zeichnung) wird ein Muster eingebracht, das anhand des Produktes verifiziert werden kann (optisch, messtechnisch, Selbsttest, u. a.).

● Vorgabe: Bei Manipulation würde das Muster notwendigerweise verändert.

● Verknüpfung mit Audit Trails anzustreben.

grafisches Prüfmuster beim 3D-Druck

Vereinfachtes Beispiel einer Sichtprüfung eines Prüfmusters. Beim senkrechten Blick von oben wird gleichmäßiger Musterverlauf sichtbar. Seitlicher Blick zeigt radialen Verlauf. Änderungen würden das Muster optisch stören.

Prüfmuster mit Messpunkten Bei Objekten, die sich messtechnisch „durchleuchten“ lassen oder lokalkonvexe Oberflächen aufweisen, können Messpunkte eingebracht werden, deren Position zueinander und deren aufgespannte Winkel nach Auslieferung verifiziert werden können. Positionen der Punkte sollen dabei von einem kryptographischen Schlüssel abgeleitet werden.

Prüfmuster auf Platine / integriertem Schaltkreis Objekte, die sich als Teil einer Platine bzw. als integrierter Schaltkreis manifestieren, können Messpunkte des Prüfmusters auch als tamper-resistant/fuse-Elemente enthalten, deren Zustände und Abstände zueinander (über Signallaufzeiten) als Teil eines Selbsttests nach Einlesen eines Schlüssels verifiziert werden können.

Literatur Chandola, V., Banerjee, A., & Kumar, V. (2009). Anomaly detection. ACM Computing Surveys, 41(3), 1–58.

Duro, J. A., Padget, J. A., Bowen, C. R., & Kim, H. A. (2016). Multi-sensor data fusion framework for Cnc machining monitoring. Mechanical Systems and Signal Processing, 67, 505–520.

Garcia, R. F., Rolle, J. L. C., & Castelo, J. P. (2011). A review of SCADA anomaly detection systems. Advances in Intelligent and Soft Computing, 87, 405–414.

Jazdi, N. (2014). Cyber physical systems in the context of industry 4.0. In Automation, quality and testing, robotics. 2014 IEEE , pp. 2–4.

Kelley, M. B. (2013). The Stuxnet attack On Iran’s nuclear plant was ‘Far More Dangerous’ than previously thought. Business Insider. http://www.businessinsider.com/stuxnet-was-far-more-dangerous-than-previous-thought-2013-11.

Kim, A. C., Park, W. H., & Lee, D. H. (2013). A study on the live forensic techniques for anomaly detection in user terminals. International Journal of Security and Its Applications, 7(1), 181–187.

Minnick, J. (2016). The Biggest Cybersecurity problems facing manufacturing in 2016. http://www.mbtmag.com/article/2016/01/biggest-cybersecurity-problems-facing-manufacturing.

Prashanth, G., Prashanth, V., Jayashree, P., & Srinivasan, N. (2008). Using random forests for network-based anomaly detection at active routers. In 2008 International conference on signal processing communications. Networking, 2008, pp. 93–96

Rabatel, J., Bringay, S., & Poncelet, P. (2011). Anomaly detection in monitoring sensor data for preventive maintenance. Expert Systems with Applications., 38, 7003–7015.

Ren, L., Zhang, L., Tao, F., Zhao, C., Chai, X., & Zhao, X. (2015). Cloud manufacturing: From concept to practice. Enterprise Information Systems, 9(2), 186–209.

Shen, Q., Gao, J., & Li, C. (2010). Automatic classification of weld defects in radiographic images. Insight Non-Destructive Testing Condition Monitoring, 52(3), 134–139.

Song, Z., & Moon, Y. B. (2016). Performance analysis of CyberManufacturing systems?: A simulation study. In 13th IFIP international conference on product lifecycle management.

Song, Z., Zhou, H., Cheung, J., & Lin, L. L. (2017). Detecting attacks in CyberManufacturing systems?: Subtractive manufacturing example. In International conference on manufacturing technologies, pp. 1–4.

Sturm, L. D., Williams, C. B., Camelio, J. A., White, J., & Parker, R. (2014). Cyber-physical Vunerabilities In Additive manufacturing systems, in international solid freeform fabrication symposium proceedings, pp. 951–963.

Turner, H., White, J., Camelio, J. A., Williams, C., Amos, B., & Parker, R. (2015). Bad parts: Are our manufacturing systems at risk of silent cyberattacks? IEEE Security & Privacy, 13(3), 40–47.

Vincent, H., Wells, L., Tarazaga, P., & Camelio, J. (2015). Trojan detection and side-channel analyses for cyber-security in cyber-physical manufacturing systems. Procedia Manufacturing, 1, 77–85.

Wells, L. J., Camelio, J. A., Williams, C. B., & White J. (2014). Cyber-physical security challenges in manufacturing systems. Manufacturing Letters, 2(2), 74–77.

Yampolskiy, M., Horvath, P., Koutsoukos, X. D., Xue, Y., & Sztipanovits, J. (2013). Taxonomy for description of cross-domain attacks on CPS. In Proceedings of the 2nd ACM international conference on high confidence networked systems, pp. 135–142.

Zeltmann, S. E., Gupta, N., Tsoutsos, N. G., Maniatakos, M., Rajendran, J., & Karri, R. (2016). Manufacturing and security challenges in 3D printing. Jom, 68(7), 1872–1881.

Vielen Dank!

Fragen? Meinungen?

Kontakt: Prof. Dr.-Ing. Ulrich Greveler Labor für IT-Sicherheit Hochschule Rhein-Waal http://www.hochschule-rhein-waal.de