Zertifizierung Cyberkriminelle in Schach halten

Zertifizierung
Cyberkriminelle in Schach halten

In sämtlichen Bereichen der Industrie nimmt dank elektronischer Geräte die Vernetzung zu. Damit wird die Sicherheit von Kontrollfunktionen und Daten zu einem Schlüsselthema.
Anbieter von Sicherheitslösungen weisen gern auf die potentiellen Bedrohungen hin, die sie in den Griff bekommen wollen, und im Bereich der Elektronik mangelt es nicht an Schreckensszenarien, die sich zu diesem Zweck einsetzen lassen. Der modernen Gesellschaft droht die Zerstörung durch Cyberattacken und digitalen Betrug. Doch während der Grad der Vernetzung über alle vertikalen Märkte hinweg wächst, beginnt die Industrie gerade erst damit, sich mit einem schwierigen Thema auseinander zu setzen. Leistungsfähigkeit und Präzision immer größerer Systeme sind abhängig von immer kleineren eingebetteten Steuersystemen, was die Bekämpfung von Cyberbedrohungen erschweren könnte. Eine neue mögliche Lösung stellt die Zertifizierung der Cybersicherheit da, aber wie funktioniert sie überhaupt? Kann sie wirklich dazu beitragen, eingebettete Systeme für den industriellen Bereich zu entwickeln, die mehr Zuverlässigkeit und Sicherheit bieten?

Zertifizierungsbedarf wächst

Die unabhängige Verifizierung und Validierung eines Systems schafft ein Vergleichskriterium wie generell, wenn Branchenstandards als Grundlage dienen ein Mindestmaß an Vertrauen in dieses System und seinen Hersteller. Im Bereich der Cybersicherheit hat sich das Zertifizierungsprogramm ‚Achilles‘ von Wurldtech als Methode etabliert, die Netzwerkstabilität industrieller Geräte und Plattformen zu bewerten. Die Zertifizierung belegt, dass umfassende Tests auf Sicherheitslücken bestanden wurden. Ein großes Spektrum an eingebetteten Controllern, Hostgeräten, Kontrollanwendungen und Netzwerkkomponenten kann mithilfe von Achilles geprüft werden und die Achilles-Zertifizierung für Cybersicherheit erhalten. Viele Erstausrüster (OEMs, original equipment manufacturers) haben in den letzten Jahren diesen Prozess durchlaufen, wodurch die Anzahl der zertifizierten Produkte und Plattformen auf dem Markt stieg. So entstand innerhalb der Branche eine Eigendynamik, die auch von der Effizienz dieser Herangehensweise angetrieben wurde. Der Erwerb der Zertifizierung ermöglicht eine einfachere Verwaltung des komplexen Themas ‚Sicherheit‘, im Hinblick auf Ressourcen wie auch auf Kosten. Sicherheitsexperten erlaubt die Zertifizierung, mit Gewissheit zu sagen, dass bei einem Produkt ein bestimmtes Sicherheitsniveau gewährleistet ist. Das macht es möglich, dieses Produkt oder diese Plattform als Grundlage für größere Systeme einzusetzen. Durch den Einsatz eines Zertifizierungsprogramms kann ein Team effizienter arbeiten, und der Industriebereich profitiert in Form von kürzeren Produkteinführungszeiten, niedrigeren Forschungs- und Entwicklungskosten und einem insgesamt geringeren Sicherheitsrisiko. Im Herstellungsbereich gibt es Trends, die Lösungen für Sicherheit und Zertifizierung dringend erforderlich machen.

1. Hardwarekonsolidierung

Leistungsfähigere, auf Mehrkernprozessoren basierende Rechnerarchitekturen sind eine Gelegenheit zur Konsolidierung. Das fördert die Zusammenarbeit von Industriezweigen, erfordert aber auch strengere Standards und Sicherheitsparadigmen. Die Zertifizierung der Cybersicherheit definiert solche Standards und Paradigmen und validiert deren Einhaltung.

2. Konnektivität

Es ist vorteilhaft, die Vernetzung über Werkshallen hinweg auszudehnen, weil sich so die Effizienz im Supply-Chain-Management steigern lässt. An Produktionsstandorten hat sich eine Vernetzung von Maschinen untereinander herausgebildet, später kamen Mensch-Maschine-Schnittstellen (MMS, auch HMI (human-machine interface)) und Manufacturing Execution Systems (MES) beziehungsweise Produktionsplanungs- und -steuerungssysteme (PPS) hinzu. Dieser hohe Grad an Vernetzung führte aber auch zu neuen Sicherheitsproblemen, die beispielsweise auf WLAN basierenden Standardlösungen innewohnen. Solche Anforderungen hinsichtlich konvergenter Kommunikation haben Hackern das Schnüffeln erleichtert, aber dank der Zertifizierung der Cybersicherheit lassen sich Standards etablieren und Risiken kontrollieren und senken.

3. Remote-Konnektivität

Zwar lassen sich so die Kosten im Bereich des Supply-Chain-Managements senken, gleichzeitig aber öffnet die Remote-Konnektivität neue Sicherheitslücken bei Produktionsanlagen. Infolgedessen haben viele Produktionsstandorte inzwischen hochrestriktive IT-Richtlinien realisiert, um Hackern den Zugriff auf vertrauliche Daten zu erschweren. An manchen Produktionsanlagen muss jetzt sichergestellt werden, dass jede neue Verbindung hohen Sicherheitsanforderungen gerecht wird; bei jeder Änderungsanfrage erfolgt eine Benachrichtigung, damit die IT-Richtlinien angewandt werden können. Das ist zwar sicher, kann aber negative Auswirkungen auf den Herstellungsprozess haben. Für jedes Update oder Upgrade und jede Diagnose eines der beim Herstellungsprozess verwendeten Geräte ist Zeit erforderlich, woraus folgt, dass die Implementierung neuer Anforderungen zu noch größeren
Verzögerungen führen kann. Bereits im Vorfeld qualifizierte Lösungen mit Sicherheitszertifizierung können dazu beitragen, die Risiken zu senken, ohne die Geräteentwicklung- und implementierung zusätzlich zu verzögern. Indem sich Entwickler für eine Plattform entscheiden, die von einem vertrauenswürdigen Dritten bereits zertifiziert wurde, gewinnt ein anderenfalls zeitaufwändiger, teurer und komplexer Prozess an Berechenbarkeit.

Echtzeitbetriebssystem mit Cybersicherheit

VxWorks von Wind River ist das erste Echtzeitbetriebssystem, das im Rahmen des Achilles-Programms zertifiziert wurde. Wind River hat sich kürzlich um die Zertifizierung der Cybersicherheit beworben und diese auch erhalten. Sie soll Kunden in vertikalen Märkten, etwa in den Bereichen Energieversorgung, Transport oder Medizintechnik, den Einsatz eines Echtzeitbetriebssystems ermöglichen, auf das sie sich verlassen können. Die Achilles-Zertifizierung bezieht sich auf spezifische Firmware- bzw. Hardware-Versionen und andere Merkmale. VxWorks erfüllte die Konformitätsanforderungen der Achilles-Zertifizierung mit Gigabit-Ethernet und erhielt die Zertifizierung sowohl für 100MB als auch für 1GbE. Diese Zertifikate werden von den meisten Herstellern im industriellen und Medizintechnikbereich anerkannt, um Kontrollgeräte vor zunehmenden Sicherheitsrisiken durch Cyberattacken zu schützen. Das Achilles-Programm nutzt Delphi, die weltgrößte Datenbank für Schwachstellen industrieller Systeme. Es integriert die speziellen Erkenntnisse zu solchen Schwachstellen in übliche Sicherheitsanwendungen wie Firewalls und Intrusion-Detection-Systeme. Das ermöglicht es, gebräuchliche IT-Infrastruktur an Netzwerkumgebungen in der Industrie anzupassen, die kontinuierlich mit spezifischen Regelsätzen und Signaturen aktualisiert werden. Kontrollsysteme sind unmittelbar geschützt, Patches werden deutlich seltener benötigt.

Sichere Geräte schaffen

Entwickler können durch den Einsatz von VxWorks sichere Geräte schaffen, für die Konformität mit Stufe 1 der Achilles-Zertifizierung gewährleistet ist. Die Verwendung eines bereits validierten Echtzeitbetriebssystems erhöht die Berechenbarkeit im Vergleich zu nicht zertifizierten Echtzeitbetriebssystemen oder Anwendungen. Sie können sich auf VxWorks, das einen Netzwerkstapel beinhaltet, als vertrauenswürdige Komponente ihres Endproduktes verlassen. Entwicklungskosten und -zeit bei der Entwicklung sicherer Geräte werden so reduziert. Wind River ergänzt die Zertifizierung der Cybersicherheit auf Geräteebene von VxWorks durch die Verwendung des Federal Information Processing Standard (FIPS) 140 um Datenschutzmerkmale. Das ermöglicht es Kunden, Geräte zu entwickeln, die Standardanforderungen an ihre Sicherheit erfüllen. Wind River ermöglicht auch Sicherheitsvorkehrungen auf Architekturebene, da die Partition des Betriebssystems zeitlich und räumlich getrennt ist, was ein Einrichtungsanwendungskonzept für eingebettete Geräte möglich macht. Das stellt Flexibilität bei eingebetteten Echtzeitgeräten sicher und unterstützt Mehrkernprozessoren Schlüsselfaktoren bei der kosteneffektiven, sicheren und geschützten Infrastruktur für standardkonforme Vernetzung. Zusätzliche Tests, wie in Abbildung 2, sind für Entwickler eine zusätzliche Absicherung, dass die VxWorks-Plattform robust funktioniert. Mit der Zertifizierungserfahrung von Wind River und VxWorks als nach Achilles zertifiziertem Echtzeitbetriebssystem entfällt die Unsicherheit, ob sich die Zertifizierung eines hochkritischen Systems bewältigen lässt. Während verständlicherweise Cybersicherheit als wesentliche Bedrohung für unsere Infrastruktur, unsere Unternehmen und unsere Lebensweise angesehen wird, kann Sicherheit auch eine Chance für zukunftsgerichtete Unternehmen aus den Bereichen Industrie, Fertigung, Verfahrenstechnik und Energieversorgung darstellen. Durch die Nutzung von Effizienz bei der Entwicklung neuer Geräte und Systeme mit für Cybersicherheit zertifizierten Produkten und Plattformen ist es möglich, Systeme bei geringeren Kosten, in kürzerer Zeit und mit höherer Sicherheit zu entwickeln.

Autor: Jens Wiegand, Vice President of Industry Solutions, Wind River

Wind River GmbH
www.windriver.com

Das könnte Sie auch Interessieren