Risk Assessment - Prof. Dr. Christoph Karg

Industrial Control Systems Security
Lerneinheit 4: Risk Assessment
Prof. Dr. Christoph Karg
Studiengang Informatik
Hochschule Aalen
Wintersemester 2013/2014
20.1.2014
Einleitung
Einleitung
Das Thema dieser Lerneinheit sind Techniken zur Risikobewertung
(Risk Assessment)von ICS.
Es werden folgende Punkte behandelt:
• NERC Richtlinie
• Empfehlungen der NIST
• INL Empfehlungen
Die Lerneinheit basiert auf [MS12, Kapitel 4].
Prof. Dr. C. Karg (HS Aalen)
Industrial Control Systems Security
Risk Assessment
2 / 16
Einleitung
Risikoanalyse von ICS
• Risikoanalyse ist eine Technik zur Bewertung des Schadens, der
durch das Eintreten einer Bedrohung entstehen kann
• Mittels einer Risikoanalyse können die wichtigen (d.h.
gefährlichsten) Bedrohungen eingegrenzt werden
• Für die Sicherheit von ICS gibt es mehrere Techniken zur
Durchführung einer Risikoanalyse
• Viele der Techniken stammen aus den USA
Prof. Dr. C. Karg (HS Aalen)
Industrial Control Systems Security
Aktuelle Techniken zur Risikoanalyse
Risk Assessment
3 / 16
NERC Richtlinie
North American Electricity Reliability Corporation
• Aufgabe: Verbesserung der Verfügbarkeit und Sicherheit von
Stromkraftwerken in den USA, Kanada und Mexiko
• Entwicklung von Standards, die für die Energieunternehmen
verbindlich sind
• Das Reliability Assessment and Performance Analysis Programm
analysiert Vorfälle aus der Vergangenheit und gibt Prognosen für
zukünftige Entwicklungen ab
• Homepage: http://www.nerc.com
• Richtlinie: Vulnerability and Risk Assessment [NER02]
Prof. Dr. C. Karg (HS Aalen)
Industrial Control Systems Security
Risk Assessment
4 / 16
Aktuelle Techniken zur Risikoanalyse
NERC Richtlinie
Empfohlene Schritte I
1. Identifikation der Anlagewerte und der finanziellen Auswirkungen
im Schadensfall
a) Ermittlung des kritischen und schützenswerten
Anlagevermögens
b) Identifikation von möglichen Schadensfällen und deren
Auswirkungen
c) Sortierung des Anlagevermögens anhand des möglichen
Schadens
Prof. Dr. C. Karg (HS Aalen)
Industrial Control Systems Security
Aktuelle Techniken zur Risikoanalyse
Risk Assessment
5 / 16
NERC Richtlinie
Empfohlene Schritte II
2. Identifikation und Analyse der Schwachstellen
a) Identifikation möglicher Schwachstellen im Hinblick auf die
zu schützenden Anlagegüter und möglicher Schadensfälle
b) Identifikation existierender Schutzmechanismen und deren
Effektivität
c) Abschätzung des Grads der Verwundbarkeit pro Anlagegut
Prof. Dr. C. Karg (HS Aalen)
Industrial Control Systems Security
Risk Assessment
6 / 16
Aktuelle Techniken zur Risikoanalyse
NERC Richtlinie
Empfohlene Schritte III
3. Bewertung der Risiken und Festlegung der Prioritäten der zu
schützenden Anlagewerte
a) Abschätzung der Auswirkungen eines Schadensfalls pro
Anlagegut
b) Abschätzung der Wahrscheinlichkeit eines erfolgreichen
Angriffs durch einen potentiellen Angreifers
c) Abschätzung der Wahrscheinlichkeit, dass eine konkret
betrachtete Schwachstelle ausgenutzt wird
d) Priorisierung der ermittelten Risiken
Prof. Dr. C. Karg (HS Aalen)
Industrial Control Systems Security
Aktuelle Techniken zur Risikoanalyse
Risk Assessment
7 / 16
NERC Richtlinie
Empfohlene Schritte IV
4. Bestimmung der Schutzmaßnahmen und der damit verbundenen
Kosten
a) Ermittlung möglicher Maßnahmen zur Reduzierung der
Schwachstellen
b) Abschätzung der Kosten zur Durchführung der Maßnahmen
c) Durchführung einer Kosten-Nutzen-Analyse
d) Erstellung einer Empfehlung für die Geschäftsleitung
e) Priorisierung der Gegenmaßnahmen
Prof. Dr. C. Karg (HS Aalen)
Industrial Control Systems Security
Risk Assessment
8 / 16
Empfehlungen der NIST
Empfehlungen der NIST
• Ansatz: ICS sind eine spezielle Art von IT-System
• Bewährte Methoden für die Analyse von Schwachstellen sollen
auf ICS übertragen werden
• Beachte: Für das NIST und das U.S. Department of Commerce
sind ICS von nachrangiger Bedeutung
• Relevante Literatur:
. Guide to Industrial Control Systems (ICS) Security [KSS11]
. Information Security Appendix I (Industrial Control
Systems) [Ini09]
Prof. Dr. C. Karg (HS Aalen)
Industrial Control Systems Security
Risk Assessment
9 / 16
INL Konzepte
Idaho National Laboratory (INL)
• Mit öffentlichen Mitteln finanzierte Forschungseinrichtung
• Gründung im Jahr 1949
• Unterstützung des U.S. Department of Energy in den Bereichen
. Forschung auf den Gebieten Energie und Atomkraft
. Nationale Sicherheit
• Ziel: Gewährleistung der nationalen Sicherheit der
Energieversorgung durch sichere, wettbewerbsfähige und
zukunftsfähige Systeme
• Forschung zu verschiedenen Ansätzen der Risikoanalyse von ICS
• Homepage: http://www.inl.gov
Prof. Dr. C. Karg (HS Aalen)
Industrial Control Systems Security
Risk Assessment
10 / 16
INL Konzepte
National SCADA Test Bed Program (NSTB)
National SCADA Test Bed Program (NSTB)
• Prozess zur Risikoanalyse von SCADA Systemen anhand eines
Testbettes
• Flexibel in der Anwendung
• Aufbau und Betrieb des Testbetts mit den Zulieferern
• Bereitstellung der Ergebnisse an das Management, die Investoren
und die Zulieferer
Prof. Dr. C. Karg (HS Aalen)
Industrial Control Systems Security
INL Konzepte
Risk Assessment
11 / 16
National SCADA Test Bed Program (NSTB)
Ablauf des Prozesses
1. Vereinbarung mit den Zulieferfirmen über Ausstattung des
Testbettes und Schutz der Betriebsgeheimnisse
2. Lieferung der Komponenten von den Zulieferfirmen sowie
Schulung des Personals
3. Inbetriebnahme der Komponenten mit Unterstützung der
Zulieferer
4. Ausführen von Tests z.B. Penetration Tests oder gezieltes
Ausnutzen von Schwachstellen
5. Analyse der Ergebnisse zusammen mit den Zulieferern
6. Publikation der Ergebnisse nach Absprache mit den Zulieferern
Prof. Dr. C. Karg (HS Aalen)
Industrial Control Systems Security
Risk Assessment
12 / 16
INL Konzepte
Target of Evaluation (ToE) Methodik
Target of Evaluation (ToE) Methodik
• Penetration Testing sollte von einem System außerhalb des
Testbetts durchgeführt werden (Ausnahme: Insider Angriffe)
• Nach jedem durchgeführten Test muss das Testbett in den
Ausgangszustand zurückgesetzt werden
• Folgende Tests werden empfohlen:
. Port Scans als Einstiegstest
. Man-In-The-Middle Angriffe, die Steuerungsdaten
verfälschen oder löschen
. Code Review mittels Software Debuggern
. Static Code Testing
. Exploitation Testing
• Fuzzing, d.h., gezieltes Einspielen von zufälligen oder inkorrekten
Datenpaketen
Prof. Dr. C. Karg (HS Aalen)
Industrial Control Systems Security
INL Konzepte
Risk Assessment
13 / 16
Metric-Based Reporting
Metric-Based Reporting
• Ansatz: Bestimmung der Wahrscheinlichkeit eines Angriffs auf
ein ICS durch Bestimmung von Kennzahlen
• Umsetzung schwierig, da es keine verlässlichen Statistiken über
Angriffe auf IT-Systeme, insbesondere ICS gibt
• Vom INL vorgeschlagene Variablen:
. Anlage ist ein Angriffziel
. Fähigkeiten des Threat Agents
. Auswirkungen auf die Steuerung und Sicherheitsfunktionen
. Chance eines systemkritischen Ausfalls
• Dieser Ansatz weißt zahlreiche Schwächen auf, da es sich bei
ICS um komplexe Systeme handelt, bei den Zusammenhänge oft
schwer zu erkennen sind
Prof. Dr. C. Karg (HS Aalen)
Industrial Control Systems Security
Risk Assessment
14 / 16
Ausblick
Ausblick
Es gibt zahlreiche weitere Ansätze zur Risikoanalyse von ICS
• Consequence Matrices
• Safety Integrity Levels und Security Assurance Levels
• Network-Centric Assessment
Prof. Dr. C. Karg (HS Aalen)
Industrial Control Systems Security
Risk Assessment
15 / 16
Literatur
Literatur
Joint Task Force Transformation Initiative. Information Security.
Special Publication 800-53 Revision 3. National Institute of Standards
und Technology (NIST), 2009.
Joe Falco Keith Stouffer und Karen Scarfone. Guide to Industrial
Control Systems (ICS) Security. Special Publication 800-82. National
Institute of Standards und Technology (NIST), 2011.
Tyson Macaulay und Bryan Singer. Cybersecurity for Industrial Control
Systems — SCADA, DCS, PLC, HMI, and SIS. CRC Press, 2012.
NERC, Hrsg. Security Guidelines for the Electricity Sector:
Vulnerability and Risk Assessment. North American Electric
Reliability Council, 14. Juni 2002. url:
http://www.nerc.com/files/Vulnerability-Assessment.pdf
(besucht am 28. 06. 2013).
Prof. Dr. C. Karg (HS Aalen)
Industrial Control Systems Security
Risk Assessment
16 / 16