Cyber-Angreifer müssen schneller erkannt und gestoppt werden

Unternehmen des Maschinen- und Anlagenbaus waren in 2021 das Angriffsziel Nr. 1 für Cyberkriminelle. Zu diesem Ergebnis kommt der aktuelle X-Force Threat Intelligence Index 2022 von IBM. Wo die Gefahren liegen, welche Gegenmaßnahmen jetzt ratsam sind und was das alles mit dem Cockpit moderner Flugzeuge zu tun hat, darüber informiert Siegfried Markiefka, Security-Experte von Tech Data.

Die Nachricht stammt von Mai 2022: Erpressersoftware legte den deutschen Stammsitz eines Traktorenherstellers lahm, die Produktion kam komplett zum Stillstand.

Operative Technologie und IT immer enger verbunden

Ein Einzelfall? Mitnichten. Laut aktuellem X-Force Threat Intelligence Index 2022 von IBM ersetzte die Fertigungsbranche 2021 die Finanzindustrie als hauptsächliches Angriffsziel. Über 23 Prozent aller behobenen Bedrohungen durch die IBM Security-Analytiker betrafen Unternehmen aus dem Maschinen- und Anlagenbau. Ransomware war dabei der häufigste Schadenstyp und machte 23 Prozent der Angriffe auf Fertigungsunternehmen aus.

Im Mittelpunkt der Cyberattacken stehen industrielle Steuerungssysteme mit Hilfe operativer Technologien (OT). Diese operativen Technologien bestehen aus Hardware und Software, mit denen die Leistungen physischer Geräte, Maschinen, Anlagen sowie deren Prozesse und Ereignisse überwacht, kontrolliert und gesteuert werden. Während früher OT-Geräte getrennt von der Gesamt-IT betrieben wurden, geht der Trend heute zu einer stärkeren OT- und IT-Konvergenz. Mehr und mehr physische Geräte werden in Netzwerke eingebunden. Das optimiert die Prozessabläufe, eröffnet den Cyberkriminellen aber gleichzeitig neue Angriffsmöglichkeiten.

61 Prozent der Cybervorfälle, bei denen operative Technologien mit IT verbunden waren, ereigneten sich in der Fertigungsbranche, über ein Drittel davon waren Ransomware-Attacken.

Acht Prozent des IT-Budgets sind zu wenig

Sind sich die Unternehmen der Gefahren durch Cyberangriffe bewusst? Investitionen in die Security werden häufig als notwendiges Übel betrachtet, vergleichbar mit einer KFZ-Versicherung. Insgesamt liegen die Investitionen in die IT-Security im Durchschnitt bei acht Prozent des IT-Budgets. Das ist angesichts der möglichen materiellen und immateriellen Schäden zu gering.

Wie viel Geld sollten Unternehmen für die IT-Sicherheit ausgeben? Die Antwort auf diese Frage ist abhängig von drei Faktoren: den für die vorhandene Infrastruktur und die vorhandenen Produktionsanlagen notwendigen Schutz, den finanziellen Auswirkungen eines Cyberangriffs und der Entscheidung, wie wichtig und langfristig lohnenswert Investitionen in die IT-Sicherheit sind.

Drei Handlungsfelder sind wichtig

Kommt die Analyse der Bedrohungssituation zu dem Ergebnis, dass höhere Investitionen in die IT-Security notwendig sind, bleibt noch die Entscheidung, in welche Bereiche die Gelder fließen sollen.

Ich sehe drei zentrale Handlungsfelder und drei damit zusammenhängende Ziele: Vertraulichkeit, Integrität und Verfügbarkeit. Das bedeutet in der Praxis: den Angreifern es so schwer wie möglich zu machen, Angriffe schnell zu erkennen und möglichst zu stoppen, Datenverluste zu vermeiden und den Betrieb schnell wiederherstellen.

Grundsätzlich gilt: Jedes Unternehmen sollte einen Notfallplan für einen Datendiebstahl in der Schublade haben. Bisher gibt es diesen bei weniger als 50 Prozent der Firmen. Und die Mehrheit der Unternehmen mit Notfallplan hat keine Praxissimulation durchgeführt, um daraus wichtige Erkenntnisse zu gewinnen.

Wichtig für die IT-Security ist eine Mehrfaktorauthentifizierung (MFA), die an jedem Remote-Zugriffspunkt auf ein Netzwerk implementiert werden sollte. Das verändert die Bedrohungssituation erheblich, denn Cyberkriminellen genügen jetzt nicht mehr gestohlene oder durch menschliche Manipulationen erschlichene Zugangsdaten.

Dadurch verringert sich das Risiko verschiedener Angriffstypen, darunter Ransomware, Datendiebstahl und Server-Zugriff. Aktuelle Software-Lösungen für das Identitäts- und Zugriffsmanagement vereinfachen zudem die Implementierung und den Betrieb der Multifaktorauthentifizierung.

Schneller Restore im primären Speicher

Kommt es zu einem Ransomware-Angriff ist es für Unternehmen entscheidend, den Betrieb schnell wiederherzustellen. Dafür bieten moderne Flashsysteme eine sichere und isolierte Speicherumgebung. Mit Software-Funktionen wie Safeguarded Copy von IBM werden automatisch Point-in-Time-Kopien in dezidierten Storage-Pools innerhalb der Flashspeicher erstellt.

Diese Kopien können nicht gelesen, überschrieben oder verändert werden, sondern sind ausschließlich für Recovery-Zwecke gedacht. Der große Vorteil für die IT-Security: Ein Restore im primären Speicher ist sehr schnell und sicher durchgeführt. Anstelle von Wochen oder Tagen ist die IT-Produktionsumgebung in wenigen Stunden wiederhergestellt.

Das Cockpit eines modernen Flugzeugs etablieren

Das dritte Handlungsfeld hat ein Kollege von mir kürzlich mit einem Schaubild erklärt, auf dem die Cockpits von drei Flugzeugen zu sehen waren. Ganz links befand sich ein Cockpit aus einem Flieger, der im Zweiten Weltkrieg eingesetzt wurde. Das zweite Cockpit in der Mitte war etwa 20 Jahre alt und rechts davon war das Cockpit eines modernen Flugzeugs zu sehen. Professionelle Cyberkriminelle nutzen das Cockpit auf der rechten Seite, während viele Unternehmen noch auf der linken Seite stecken geblieben sind. Sie können sich zwar verteidigen, aber nicht mit der nötigen Schnelligkeit, weil ihnen die technischen Mittel fehlen.

Cyberangriffe schnell erkennen und darauf reagieren, ist daher das Gebot der Stunde. Moderne Security-Lösungen überwachen die gesamte IT-Infrastruktur in Echtzeit, wobei Ereignisdaten aus Protokollquellen tausender Endpunkte und Anwendungen im Netzwerk zusammengeführt und ausgewertet werden. Bei dieser Aufgabe unterscheidet die Security-Lösung zuverlässig echte Bedrohungen von falsch positiven Werten. Alerts lassen sich dadurch reduzieren und priorisieren, damit nur eine verlässliche Liste verdächtiger Ereignisse untersucht wird.

Der Energie- und Automatisierungstechnik-Konzern ABB hat mit IBM zusammen solch ein Früherkennungssystem entwickelt. Der sogenannte “OT Security Event Monitoring Service” erfasst Daten aus den Ereignisprotokollen von ABB-Prozessleitsystemen und leitet diese an die IBM Security QRadar-Software weiter. Diese nutzt Techniken für eine verhaltensbasierte Erkennung von Schadsoftware, um sicherheitsrelevante Auffälligkeit und potenzielle Bedrohungen sofort zu identifizieren.

Wer jetzt denkt, das sei nur etwas für große Unternehmen, sieht sich getäuscht. Denn die KI-basierte Security-Lösung ist speziell für kleine und mittlere Unternehmen mit bis zu 10.000 Endpoints interessant.

Der Weg hin zu einem modernen Cockpit für Ihre IT-Security ist leichter als gedacht. Warten Sie nicht länger!