Sicherheitseinrichtung IT-Systeme vor Angriffen schützen

Konstrukteure mailen ihre Ideen und Projekte heute an ihre Kollegen - nicht nur unternehmensintern, sondern auch über die Landesgrenzen hinaus. Doch bei diesem schnellen Kommunikationsaustausch über das World-Wide-Web lauern Gefahren, denn nicht jedes IT-System ist vor einem Angriff sicher. Siemens Enterprise Communication versucht durch verschiedene Sicherheitsmechanismen IT-Systeme zu schützen.

Anbieter zum Thema

IEF-Werner GmbH

MESYS AG

HEICO Befestigungstechnik GmbH

Unify Software and Solutions GmbH & Co. KG

War es vor einigen Jahren vor allem die Automobilindustrie, die für ihre Neuentwicklungen auf E-Collaboration setzte, so gehört die grenzenlose Zusammenarbeit von Konstrukteuren über das Internet heute in fast allen Industriezweigen zum Standard. Der Vorteil: E-Collaboration macht Informationen transparent und sorgt dafür, dass alle Teammitglieder stets auf dem neuesten Stand sind. Und das ist vor allem für internationale Firmen wichtig, deren Mitarbeiter meist über den ganzen Erdball verteilt sind und nicht regelmäßig gemeinsam an einem Tisch sitzen können. Rund zehn Prozent ihres IT-Budgets geben Unternehmen bereits heute durchschnittlich für E-Collaboration-Anwendungen aus, Tendenz steigend.

Transparenz der IT-Systeme lockt Hacker und Industriespione an

Und doch hat die grenzenlose Zusammenarbeit nicht nur Vorteile. Denn die Schnittstellen zwischen den einzelnen IT-Systemen bilden gleichzeitig ein potenzielles Einfallstor für Viren, Würmer, Hacker oder Industriespione. Ein Problem, das die Unternehmen im Zweifelsfalle viel Geld kosten kann. Sicherheitsexperten gehen davon aus, dass der deutschen Volkswirtschaft durch Industriespionage heute bereits ein Schaden von 2,8 Milliarden Euro pro Jahr entsteht. Hier ist die Tendenz ebenfalls weiter steigend. Auch, weil mögliche Übeltäter oft leichtes Spiel haben.

Beliebter Angriffspunkt: veraltete Betriebssysteme

So sind gerade in Automatisierungsumgebungen beispielsweise aufgrund langer Produktlebenszyklen oft veraltete Betriebssysteme im Einsatz, für die häufig keine Sicherheitsupdates mehr zur Verfügung stehen. Ist dies doch der Fall, so mangelt es oftmals an den notwendigen Testumgebungen. Aber auch fehlender Virenschutz, nicht vorhandene Authentisierungs- und Autorisierungsmechanismen oder ungenügender Netzwerkschutz sind weitere Problemfelder. Dabei gibt es eine ganze Reihe technischer und organisatorischer Maßnahmen, mit denen Unternehmen diese Risiken minimieren und ihre Netzwerke schützen könnten, beispielsweise mit Hilfe ausgefeilter Firewall-Mechanismen.

Die Lösung sind ausgefeilte Firewall-Mechanismen

Ein flächendeckender Austausch von Komponenten oder eine nachträgliche Aktivierung eventuell vorhandener Authentisierungsmechanismen ist dabei gar nicht unbedingt notwendig. Denn alternativ zu diesen herkömmlichen Methoden, die in der Regel einen immensen, wirtschaftlich nicht vertretbaren Aufwand darstellen, können auch so genannte vorgeschaltete Firewall-Mechanismen implementiert werden, die jeweils eine ganze Gruppe von Automatisierungssystemen schützen. Diese übernehmen dabei im wesentlichen die Zugriffskontrolle.

Firewall-Regelwerk schützt vor unbefugten Zugriffen auf das IT-System

Welche Zugriffe zulässig sind, wird im Rahmen der Planung oder innerhalb einer Test- und Beobachtungsphase ermittelt. Die Ergebnisse münden in einer Kommunikationsmatrix, auf deren Basis das Firewall-Regelwerk erstellt wird. Kommunikationsverbindungen, die im Firewall-Regelwerk nicht explizit freigeschaltet sind, werden geblockt, die unbefugte Zugriffe auf die Systeme verhindern. Die Authentisierung von zugriffsberechtigten Nutzern – also beispielsweise allen am Projekt beteiligten Konstrukteuren – erfolgt zum Beispiel mittels der Anmeldung an einem Web-Portal. Abhängig von den verwendeten Lösungskomponenten ist auch der Einsatz von für den Nutzer transparenten Single-Sign-On-Mechanismen (zum Beispiel Kerberos) denkbar.

Schwachstelle Systemkommunikation erleichtert Hackern den Angriff

Neben dem Schutz der Kommunikation durch Firewalls sind aber auch die Überwachung und das Blockieren der Kommunikation zwischen unterschiedlichen Systemen möglich. Und zwar mit Hilfe von Intrusion-Prevention-Mechanismen. Ein Mechanismus, der vor allem bei gezielten Angriffen auf die Kommunikationssysteme beispielsweise durch Hacker oder Trojaner greift. Zwar schränken die Firewall-Mechanismen die Angriffsfläche auf die Systeme bereits deutlich ein. Sie bieten jedoch keinen Schutz innerhalb der freigeschalteten Kommunikation. Eine Lücke, die durch die Intrusion-Prevention-Mechanismen geschlossen wird. Diese übernehmen im wesentlichen die Überwachung der über die Firewall freigeschalteten Kommunikation auf Schadinhalte, Malware oder Manipulationen bzw. Angriffe auf Systeme in der Zone der Automatisierungssysteme.

Virtuelles Patchen kontrolliert Schwachstellen im IT-System

Eine wichtige Funktion moderner Intrusion-Prevention-Systeme stellt das „virtuelle Patchen“ dar. Hierbei wird sichergestellt, dass die Systeme zu jedem Zeitpunkt sowohl vor bekannten als auch bislang weniger beachteten Angriffsformen auf Schwachstellen der Betriebssysteme geschützt sind. Dies gilt selbst dann, wenn nach der Ermittlung einer Schwachstelle noch kein offizielles Update vom jeweiligen Hersteller zur Verfügung steht. Aufwendige oder aus gewährleistungstechnischen Gründen gar unmögliche Maßnahmen und Aufwände für das regelmäßige Sicherheitspatchen der Produktionssysteme können hierdurch vermieden oder auf ein Minimum reduziert werden.

Moderne Verschlüsselungstechnologien für den richtigen Einsatz

Einen dritten Schutzmechanismus stellen schließlich moderne Verschlüsselungstechnologien dar, für die es ebenfalls eine Vielzahl von Möglichkeiten gibt, wie beispielsweise IPSec- oder SSL-basierte Virtuelle Private Netze (VPN). Diese können entweder auf den Firewall-Systemen oder auf eigenständigen Gateways terminiert werden. Steht überwiegend der Zugriff eigener Clients im Fokus, ist meist der Einsatz einer IPSec-basierten Lösung unter Nutzung der implementierten Firewall-Lösung vorteilhaft. Steht dagegen der Zugriff auch unternehmensfremder Clients im Vordergrund - zum Beispiel für Zwecke der Zusammenarbeit von Entwicklungsteams, der Fernwartung oder bei Outsourcing- / Outtasking-Lösungen -, ist in der Regel der Einsatz SSL-VPN-basierter Lösungen zu bevorzugen, da hier keine Softwareinstallation auf den Clients erforderlich ist.

Technik allein schützt nicht vor Angriffen auf IT-Systeme

Die Liste der Möglichkeiten zum Schutz der IT-Systeme ist also lang und lässt sich in vielen Fällen ohne allzu großen Aufwand verwirklichen. Doch natürlich gilt auch hier, dass Technik allein nicht alles ist. Um wirkungsvoll zu sein müssen bei solchen Sicherheitsprojekten dieselben organisatorischen Voraussetzungen wie bei klassischen IT-Projekten etabliert werden. Denn nur wenn Technik und organisatorische Rahmenparameter zusammenspielen, ist ein wirklich optimaler Schutz gewährleistet.

*Stefan Jessenberger ist Mitarbeiter bei Siemens Enterprise Communications

(ID:257891)