Insights 09.10.2020 AI als "Zielscheibe" Special Force für den AI-Einsatz Um neuen, AI-basierten Bedrohungsszenarien für die IT-Sicherheit angemessen zu begegnen, kann sich ein speziell trainiertes Expertenteam rentieren. Beim Aufbau einer solchen "Special Force" sind jedoch einige Dinge zu berücksichtigen. Foto: Arnold Krille, KI-Experte bei genua Chance und Risiko Die Zahlen entsprechen der Situation am Markt. AI-Anwendungen sind inzwischen in zahlreichen Varianten verfügbar und erweitern ihr Leistungsspektrum schneller, als dies in den vergangenen Jahren der Fall war. Auf dem Stand der Dinge zu bleiben und in kurzer (Test-) Zeit die richtige Auswahl zu treffen, stellt somit bereits an sich eine Herausforderung dar. Wird dabei die Frage nach der Sicherheit vernachlässigt, kann die AI allerdings schnell zur "Zielscheibe" für Cybercrime werden. Besonders heikel: ist eine AI in Geschäftsprozessen eingesetzt, trifft sie Entscheidungen, die nicht immer nachvollziehbar sind und daher von Angreifern als Einfallstor verwendet werden können. Einmal im System, kann der Impact des Angriffes dann zukünftig verheerend sein. Denn die Entscheidungen der AI sollen in der Regel auf möglichst vielen Informationen beruhen – also sind viele Abteilungen bzw. Quellen aus dem Unternehmen eingebunden. Womit wiederum das System von ganz vielen Ausgangspunkten im Unternehmen angreifbar und der potenzielle Schaden besonders umfassend ausfallen kann. IT-Sicherheitsteams verstärken Die Absicherung dieser AI-Komponenten, ob zugekauft oder selbst entwickelt, stellt also eine zusätzliche, wichtige Herausforderung für die IT Security dar. Eine Auseinandersetzung mit AI-Anwendungen, die auf Cyber Security-Funktionen spezialisiert sind, ist hier sicherlich empfehlenswert. Dies sollte aber eng verbunden sein mit der Frage, wie sich das Know-how über den richtigen Umgang mit AI über die Funktionsgrenzen im Unternehmen hinweg auf- bzw. ausbauen lässt. Eine Verstärkung der IT-Sicherheitsteams mit Experten, die sich insbesondere mit AI-gestützten Angriffen, deren Abwehr und Prävention auseinandersetzen, kann hierbei sinnvoll sein. Zumal es nicht ausgeschlossen ist, dass sich zukünftig nicht einzelne Fachkräfte, sondern ein großer Teil der IT Security-Abteilung mit dem Management von AI-bezogenen Aufgaben befassen muss. Je eher also entsprechende Kompetenz aufgebaut wird, desto besser. Aber anhand welcher Kriterien lässt sich entscheiden, ob eine solche "AI Special Force" in der IT-Sicherheit überhaupt notwendig ist? Und falls ja, auf welche Aufgaben sollte sie sich konzentrieren? Externe oder interne AI-Experten Vor allem der Kostenfaktor ist maßgeblich bei der Entscheidung für oder gegen den Aufbau eines Inhouse-Expertenteams. Die benötigten Spezialisten sind derzeit auch nicht bzw. nur äußerst selten im Arbeitsmarkt verfügbar, so dass auch eine langfristige Zusammenarbeit mit entsprechenden Dienstleistern der sinnvollere Weg sein kann. Die Vorteile eines In-House-AI-Teams liegen wiederum darin, dass das Unternehmen unabhängig und langfristig effizienter bei der Gefahrenabwehr wird. Sind diese Experten zudem gut mit dem Management verdrahtet, fließt deren Wissen auch in die Strategie mit ein. Durch ein eigenes Team, welches mit den Unternehmensprodukten vertraut ist, funktioniert zudem die Integration in die Produktwelt schneller und verzahnter. Mensch und Maschine Beim Aufbau der "Special Force" für AI-Themen in der IT-Sicherheit sind mehrere Dinge zu berücksichtigen. Einerseits ist es wichtig, dass die Kontrolle über die Informationskette gewahrt wird. Konkret darf das Team sich nicht abkoppeln, sondern muss für einen transparenten Austausch der benötigten Informationen sorgen. Andererseits geht es auch darum, dass Mensch und Maschine eng zusammenarbeiten und die Tools auf ihre Aktualität hin permanent überprüft werden. Des Weiteren müssen Daten visualisiert und Sicherheitslinien eingehalten werden. Ein Team, welches sich zur Aufgabe macht, AI-gestützte Angriffe abzuwehren, kann unter Beachtung dieser Regeln also durchaus sinnvoll sein. Die Praktikabilität einer eigenen AI-Einheit hängt aber natürlich auch von Unternehmensgröße ab, für kleinere Betriebe ist ein solches Vorgehen eher unrealistisch. Intuition noch immer maßgebend Zudem sind die Fähigkeiten der Mitarbeiter in bereits vorhandenen IT Security-Teams nicht zu vernachlässigen. Da die AI aufgrund von explizitem Wissen agiert, ist bei Einzelfallentscheidungen auch das menschliche Know-how wichtig. Wie sich dieses Wissen aufbauen lässt, zeigen wir zum Beispiel in unseren Trainings und Bootcamps. Dort versetzen sich die Teilnehmer bspw. in die Rolle eines Hackers, um die Vulnerabilität von IT-Systemen und die von Angreifern verwendeten Methoden besser zu verstehen. Das gesammelte Wissen verhilft den Teilnehmern, die Effektivität des eigenen IT-Systems zu optimieren. Außerdem sollen die Teilnehmer verschiedene Szenarien durchspielen und dadurch auch ein Gespür für die Notwendigkeit menschlicher Eingriffe erhalten. Und genau das macht auch die Handlungsfähigkeit einer AI Special Force im IT-Sicherheitsernstfall aus: Risiken richtig einschätzen und mit einer adäquaten Ausrüstung schnell und effektiv handeln zu können. Mehr zum Thema AI-Einsatz in der Cyber Kill Chain AI-Verstärkung für die IT Security AI als digitaler Azubi: Hybride Security-Abteilungen organisieren Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Artificial Intelligence Artikel teilen Weiterführende Links IT Security Workshops & Trainings Zurück zur Übersicht

Insights 14.10.2020 Risk Barometer der Allianz Eine stringente Netzwerkhygiene minimiert Angriffsflächen Cybererpressung- und Spoofing-Attacken sind teuer und reputationsschädigend. Und längst alles andere als ein Einzelfall: so benennt das Risk Barometer der Allianz für 2020 erstmals Cybervorfälle als das wichtigste Geschäftsrisiko für Unternehmen. Doch nicht nur Cyber-Kriminelle, sondern auch IT Security Experten rüsten ihre Technologie-Arsenale auf. In welchen Handlungsfeldern IT-Entscheider aktiv werden sollten und welche Rolle der Einsatz von Artificial Intelligence (AI) dabei spielen kann, erläutert Dr. Stephan Schwinger, Lead Data Scientist bei genua, im Experteninterview. Insights: Netzwerkhygiene minimiert Angriffsfläche Herr Dr. Schwinger, das Risk Barometer nennt menschliche Fehler als häufige Ursache für Cybervorfälle. Welche Fehler sind Ihrer Erfahrung nach typisch? Stephan Schwinger: Grundsätzlich passieren viele Fehler unter Zeitdruck. Muss etwa eine Web-Applikation rasch an den Start gehen, wird die IT-Sicherheit oftmals vernachlässigt. Das eröffnet Angriffsoptionen, die Angreifer mit Hilfe von Social-Engineering-Techniken schamlos ausnutzen. Zudem kann ein Risiko immer darin bestehen, dass Mitarbeiter ihrem Unternehmen absichtlich Schaden zufügen wollen. Der menschliche Faktor ist insofern nicht zu unterschätzen. In technologischer Hinsicht ist das Datennetz ein ganz zentrales "Risikogebiet". Hier geschehen viele Fehler unabsichtlich, was aber die Gefahrenlage zusätzlich im Verborgenen verschärft. In vielen Unternehmen entwickeln sich Datennetze evolutionär nach dem "Wildwuchs"-Prinzip weiter, ein Server oder ein neuer Chat Client kommt schnell mal hinzu. Durch deren ortsunabhängige Nutzung, eine fehlende Dokumentation sowie Unachtsamkeit bleiben Datenbanken dann auch schon mal ungesichert. Das ist quasi eine Einladung zum Cyberangriff. Was empfehlen Sie als Präventivmaßnahme zum Netzwerkschutz? Stephan Schwinger: Ein wichtiger Schritt ist, die Netzwerke zu segmentieren und deren Zugänge zu beschränken. Jedem Benutzer sollen nur die Rechte zugewiesen werden, die er unbedingt braucht. Zu diesen und weiteren Aspekten muss eine stringente Netzhygiene beschlossen und betrieben werden. Das minimiert unserer Erfahrung nach Angriffsfläche zuweilen ganz erheblich. Die Aufgabe der Netzwerkhygiene liegt in der Regel bei IT-Sicherheitsexperten. Wer kontrolliert deren Arbeit? Stephan Schwinger: Man muss natürlich Vertrauen in seine Belegschaft haben, sie aber auch schulen und die Arbeitsergebnisse überprüfen. Hier spielt die Firmenkultur eine zentrale Rolle. Bildlich gesprochen: Will eine Abteilung an sensible Informationen im Firmentresor gelangen, wird auch nicht einfach ein Loch gebohrt und danach wieder provisorisch gestopft. Das ist allerdings das physische Gegenstück zu dem, was leider oft in der IT von Unternehmen passiert. Entsprechend sensibilisierte IT-Sicherheitsverantwortliche wissen aber, wie man ein solches Vorgehen verhindert. Können AI-Technologien bei der Abwehr von Cyberangriffen helfen? Stephan Schwinger: Genau das tun sie bereits. Die Überwachung des Netzwerk-Traffics ist ein gutes Beispiel, das können Menschen längst nicht mehr leisten. Welchen Hürden gibt es beim Einsatz AI-basierter IT Security Tools? Stephan Schwinger: Eine Herausforderung für AI liegt in der Qualität der Datenbasis. Fehlen Daten, können Modelle nicht ausreichend trainiert werden – und das ist tatsächlich häufig der Fall. So beinhalten etwa Aufzeichnungen von Netzwerkverbindungen, also welche zwischen zwei Servern über ein Protokoll ablaufen, zwar große Datensätze. Diese bilden oft eine geeignete Referenz für den normalen Datenverkehr. Sie dürfen aber ohne Weiteres gar nicht gespeichert oder geteilt werden, da es sich eventuell schon um personenbezogene und damit nach EU-DSGVO geschützte Daten handelt. Um diese Daten zum Training einer AI zu verwenden, muss ein berechtigtes Interesse vorliegen. Das Argument der IT-Sicherheit ist in diesem Falle zwar ein solches berechtigtes Interesse, aber für das Modelltraining gilt das nur eingeschränkt. Häufig ist man also gezwungen, für das Training von AI eine Datenbasis zu verwenden, die entweder nicht mehr aktuell ist, die Netzwerkrealität nur unzureichend widerspiegelt oder die unter künstlichen Bedingungen generiert wurden. Mehr zum Thema Wie AI im Cybersecurity-Umfeld eingesetzt werden kann, ohne Privacy-Aspekte zu verletzen, erforscht genua mit weiteren Partnern im vom BMBF geförderten Forschungsprojekt WINTERMUTE. Mehr zu den Forschungsprojekte von genua AI Security: Künstliche Intelligenz in der Cybersicherheit Bildquelle: © Seventyfour – stock.adobe.com Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Artificial Intelligence Artikel teilen Zurück zur Übersicht

Insights 11.01.2021 KI als Komplexitätskiller IT/OT-Konvergenz: Wie KI bei der Verschmelzung von IT und OT unterstützt Ansatzpunkte für die Cyber-Sicherheit in der Smart Factory: Die IT- und OT-Welt funktionieren bis dato nach unterschiedlichen Prinzipien. In der vernetzten Fabrik lösen sich die Grenzen zwischen den beiden Welten jedoch zunehmend auf. KI kann den Zielkonflikt zwischen der IT und OT zwar nicht lösen, aber vermindern. Außerdem kommt KI präventiv zum Einsatz. Die digitale Transformation betrifft IT- und OT-Systeme in gleichem Maße. Die IT umfasst dabei grundsätzlich alle Technologien zur Datenverarbeitung. Dies beinhaltet sämtliche Soft- und Hardware sowie die dazugehörigen Kommunikationstechnologien. Die operativen Technologien (OT) hingegen überwachen und kontrollieren die produktionsnahe Steuerung operativer Abläufe der Cyber Physical Systems (CPS) in der Fabrik. Damit ist das Aufgabengebiet der OT auf die Produktionsplanung und -steuerung begrenzt. Diese klaren Grenzen verwischen jedoch im Zuge der Digitalisierung und der Industrie 4.0 , da OT-Systeme immer mehr über Netzwerke verbunden sind. Warum IT/OT-Integration? Doch warum ist eine Symbiose der beiden Gebiete bzw. eine IT/OT-Konvergenz überhaupt notwendig? Die Datenmengen, welche über CPS anfallen, fallen in den Bereich der OT. Damit diese Daten jedoch ausgewertet werden können, kommt Advanced Analytics ins Spiel, welches wiederum der IT zuzurechnen ist. Die OT ist quasi Datenlieferant für die Produktionsabläufe der IT. Genauso sind IIOT-Plattformen an die CPS angeschlossen – betrieben werden sie aber von der IT. Folglich setzt sich eine immer größere Annäherung in Gang. Die wesentlichen Vorteile einer solchen IT/OT-Konvergenz sind, dass diese Predictive Maintenance und Predictive Monitoring ermöglicht, also aussagekräftige Prognosemodelle und konsequente Überwachung über eine drahtlose Kommunikation. Des Weiteren ergeben sich Chancen, neue Geschäftsmodelle zu erschließen, Kosten zu reduzieren oder Serviceleistungen zu verbessern. IT/OT-Konvergenz: Security Operating Plattform schützt vor Cyberattacken Allerdings birgt eine Zusammenarbeit von IT und OT auch die Gefahr von Cyberangriffen. Diese können verhindert werden, indem eine Zugriffskontrolle für IT-Systeme errichtet wird. Ebenso sind Bedrohungen über Cloud- und SaaS-Umgebungen präsent. Unternehmen sollten daher eine umfassende Security Operating Plattform aufbauen, um Attacken auf Endgeräte, Netzwerke und Cloud-Umgebungen abzuwehren. Die Konvergenzstrategie: Wie IT und OT mittels KI zueinander finden Wie kann eine erfolgreiche Symbiose gelingen? Künstliche Intelligenz (KI) bzw. Artificial Intelligence (AI) erweist sich hier als Komplexitätskiller, indem geeignete KI-Technologien alle Datenprotokolle überprüfen und im Zweifelsfall zwischen Produktionsfortführung und Sicherheit abwägen. KI kann den Zielkonflikt zwischen der IT und OT zwar nicht lösen, aber vermindern. Außerdem kommt KI präventiv zum Einsatz, indem sie den Betrieb von IT-Systemen optimiert und die Entwickler auf mögliche Fehler sowie Schwachstellen hinweist. Für die einzelnen Mitarbeiter offenbart sich der Vorteil durch den Einsatz einer KI in konkreten Handlungsanleitungen, indem Abstraktionen erlernt werden. Durch die oben genannte Vernetzung der Systeme führt dies zu einer Effizienzsteigerung. genua unterstützt IT-Verantwortliche in der Industrie mit Lösungen, die eine Symbiose von IT und OT bei sicherheitsrelevanten Aspekten ermöglichen. Insbesondere für einen segmentierten Schutz nach höchsten IT-Sicherheitsstandards oder für präzise Einblicke in die Verkehrsströme von Kommunikationsnetzen hat genua entsprechende Lösungen entwickelt. Mehr zum Thema AI Security: Künstliche Intelligenz in der Cybersicherheit OT-Netzwerke mit Anomalieerkennung absichern in fünf Schritten AI-Einsatz in der Cyber Kill Chain AI-Verstärkung für die IT Security Special Force für den AI-Einsatz Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Artificial Intelligence Industrie Artikel teilen Weiterführende Links IT-Sicherheitslösungen Zurück zur Übersicht

Insights 17.11.2020 XMSS IT Security-Lösungen von genua widerstehen Angriffen mit Quantencomputern Dank des quantenresistenten Signaturverfahrens XMSS lassen sich IT Security-Lösungen selbst im Falle eines Angriffs mit einem Quantencomputer sicher aktualisieren. Forschung zu Post-Quantum-Kryptografie Vielbeachtet von der Öffentlichkeit haben in den letzten Monaten erfolgsversprechende Versuche mit Quantencomputern stattgefunden. Forscherteams von etablierten Universitäten und Digitalkonzernen wie Google, IBM, Intel und Honeywell überbieten sich mit Superlativen auf dem umkämpften Forschungsgebiet. Mit ihrem besonderen Rechenmodell können Quantencomputer teils äußerst komplexe Aufgaben wie zum Beispiel Klimamodelle oder chemische Prozesse in der Pharma- und Materialforschung in kürzester Zeit berechnen. In einigen Jahren ist mit ersten kommerziellen Quantencomputern zu rechnen. Ebenso könnten Quantencomputer relativ einfach und in kürzester Zeit auch die mathematischen Grundlagen berechnen, auf denen ein Großteil der heutigen kryptografischen Verschlüsselungs- und Signaturverfahren beruht. Herkömmliche Verschlüsselungen zu heute verbreiteten Public-Key-Krypto-Verfahren, die sensible IT-Infrastrukturen absichern sollen, würden geknackt oder zumindest geschwächt . Deshalb arbeiten Experten an kryptografischen Methoden, die Angriffen mit Quantencomputern trotzen können. NIST empfiehlt den Praxiseinsatz von XMSS XMSS ist eines der ersten praxistauglichen Signaturverfahren weltweit, das Angriffen mit Quantencomputern widerstehen kann. Kern des Verfahrens sind Hash-Funktionen, die prinzipiell nur in eine Richtung funktionieren. Aufgrund ihrer Eigenschaften gelten kryptografisch sichere Hash-Funktionen als resistent gegen Quantencomputer-Attacken. Die Effektivität der Angriffe ist im Gegensatz zu anderen vielversprechenden Alternativen bereits heute wohl verstanden. Das US-amerikanische National Institute for Standards and Technology (NIST), das im Bereich kryptografischer Standards weltweit federführend tätig ist, empfiehlt den Einsatz der ersten quantenresistenten Signaturverfahren XMSS und LMS zum Schutz vor Angriffen mit Quantencomputern. Auch das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt XMSS als Referenz. genua nutzt für Updates Hash-basierte Signaturen Der passendste Anwendungsfall für Hash-basierte Post-Quantum-Signaturen sind Software-Updates. Damit ist sichergestellt, dass eine Software-Aktualisierung auf einem Kundensystem wirklich vom Hersteller stammt und auf dem Weg zum Kunden nicht manipuliert wurde. genua erfüllt die Empfehlung des NIST bereits, denn es setzt zusätzlich zu klassischen Signaturverfahren auf XMSS, um seinen Kunden die Authentizität und Integrität der zugesandten Software-Updates der IT Security-Lösungen zu garantieren, quasi als digitaler Ersatz für Signatur und Siegel. So lassen sich die IT Security-Lösungen selbst im Falle eines Angriffs mit einem Quantencomputer sicher aktualisieren. Bereits vor sechs Jahren hatte genua gemeinsam mit der Technischen Universität (TU) Darmstadt begonnen, das digitale Signaturverfahren XMSS zur Marktreife zu bringen. 2017 wurde das Verfahren schließlich als erster Internet-Standard für Post-Quantum-Signaturen veröffentlicht. Mehr zum Thema Postquantenkryptografie: Schritt für Schritt zur quantensicheren Kryptografie EU fordert Umstellung auf Post-Quanten-Kryptografie – sind wir bereit? AMiQuaSy: Quantensichere Software Supply Chain auf Basis von CI/CD-Plattformen Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Encryption Artikel teilen Weiterführende Links IT-Sicherheitslösungen Zurück zur Übersicht

Insights 09.12.2020 Zero-Trust-Architekturen für die Industrie Wie sich Industrieunternehmen vor AI-gestützten Cyberangriffen schützen Von: Steve Schoner Steve Schoner

Insights 21.03.2021 Mehr Schlagkraft mit DGA-Erkennung, SIEM und neuronalen Netzen AI-Verstärkung für die IT Security Von: Stephan Schwinger , Dr. Stephan Schwinger , Dr.

Insights 04.06.2021 Security in Brownfield-Anlagen OT-Netzwerke mit Anomalieerkennung absichern in fünf Schritten Von: Arnold Krille Arnold Krille

Insights 01.03.2021 Blick in das gegnerische Technologie-Arsenal AI-Einsatz in der Cyber Kill Chain Von: Arnold Krille Arnold Krille

Insights 30.05.2023 Postquantenkryptografie Achtung Kryptocrasher: Schritt für Schritt zur quantensicheren Kryptografie Mit dem kommenden Quantenzeitalter wachsen die Anforderungen an die eingesetzten kryptografischen Verschlüsselungsverfahren. Dieser Gefährdung müssen wir schon heute begegnen, um auch in Zukunft die Integrität von Daten im Internet garantieren zu können. Die gute Nachricht: Erste quantensichere Lösungen sind in Sicht. Kryptografie ist eine entscheidende Grundlage für die IT-Sicherheit. Um vertrauliche Kommunikation, Finanztransaktionen oder kritische Infrastrukturen auch im kommenden Quantenzeitalter schützen zu können, erfordert es schnellstmöglich eine quantensichere Verschlüsselung. Denn Quantencomputer stellen bereits heute eine Bedrohung für die aktuellen Verschlüsselungsalgorithmen dar – und das nicht nur, weil riesige Mengen sensibler Daten bereits heute gespeichert werden, um sie in Zukunft mit geeigneten Werkzeugen entschlüsseln zu können. Was ist quantensichere Verschlüsselung? Eine theoretisch absolut sichere Verschlüsselung ist nur mittels Quantenkryptografie möglich, also auf physikalischen Prinzipien basierend. Allerdings ist die Realisierung in der Anwendung noch nicht ausführbar, da hierfür spezialisiertes Equipment gebraucht wird, das (noch) nicht praktikabel ist und künftig eher teuer sein wird. Gleichzeitig ist die Quantenkryptografie nur für spezielle Anwendungsfälle geeignet. Wissenschaftler beschäftigen sich deswegen mit völlig neuen Algorithmen, die dem Angriff eines Quantencomputers standhalten und auf klassischer Hardware implementiert werden können – die sogenannte Post-Quanten-Kryptografie. Bis diese Algorithmen Verwendung in Protokollen und IT-Lösungen finden, sind jedoch einige Schritte zu gehen. RSA, AES und Co.: Kryptografische Verfahren und Schlüssel Wir surfen und shoppen im Internet, erledigen unsere Bankgeschäfte online oder arbeiten von zuhause über eine VPN-Verbindung auf dem Arbeits-Netzwerk. Damit das alles möglich ist, arbeiten moderne Verschlüsselungs- und Signaturmethoden im Hintergrund – diese stellen die Authentizität des Senders sicher und sorgen dafür, dass die Daten zwischen Sender und Empfänger nicht gelesen oder sogar manipuliert werden können. Mithilfe eines kryptografischen Schlüssels entsteht dazu aus einem Klartext eine verschlüsselte Nachricht. Je nach Art der Schlüsselverteilung wird zwischen symmetrischen und asymmetrischen Verfahren unterschieden. In der Praxis werden beide Verfahren oft kombiniert: Meist wird der Schlüssel über ein asymmetrisches Verfahren ausgetauscht und der Klartext anschließend mit einem symmetrischen Verfahren verschlüsselt. Zu den asymmetrischen Verfahren gehört der gängige RSA-Algorithmus (benannt nach den Entwicklern Rivest, Shamir und Adleman), der zum Beispiel Bestellungen im Web oder das Zahlen mit EC-Karten sichert und auf der Faktorisierung von Primzahlen basiert. Ein anderes Verfahren ist der Diffie-Hellman-Schlüsselaustausch, welcher auf diskreten Logarithmen basiert. Beide Verfahren beruhen auf sogenannten Falltürfunktionen. Diese sind leicht berechenbar aber nur aufwendig umkehrbar. Der Advanced Encryption Standard (AES) gehört zu den symmetrischen Verschlüsselungsverfahren und bietet aufgrund seiner großen Schlüssellänge von 128, 192 oder 256 Bit ein hohes Maß an Sicherheit. So sind AES-192 und AES-256 in den USA für staatliche Dokumente mit höchstem Geheimhaltungsgrad zugelassen. Quantencomputer: Die neuen Kryptocrasher Stefan-Lukas Gazdag, Kryptoforscher Was passiert nun, wenn leistungsfähige Quantencomputer als Code-Knacker eingesetzt werden? Der Quantenalgorithmus von Grover ist ein Suchalgorithmus, der es ermöglicht, nach einem oder mehreren Elementen in einer unsortierten Datenbank zu suchen, die ein gegebenes Kriterium erfüllen. Er beschleunigt die Schlüsselsuche erheblich und schwächt symmetrische Verfahren zunächst. Durch die Verwendung entsprechend langer Schlüssel lässt sich die Bedrohung vorerst abwenden. Anders sieht es bei asymmetrischen Verfahren aus. Quantenmechanische Effekte – wie Superposition und Verschränkung – ermöglichen die Parallelisierung und somit eine Beschleunigung mancher Berechnungen. Der Shor-Algorithmus ausgeführt auf einem Quantenrechner erledigt die Primfaktorzerlegung in vergleichsweise kurzer Zeit – und auch andere asymmetrische Verfahren – zum Beispiel Diffie-Hellman – wären zeitnah gebrochen. Heute gespeichert – morgen entschlüsselt? Quantencomputing ist doch immer noch ein Laborexperiment, warum sich also jetzt schon Sorgen machen? Dafür gibt es mehrere gute Gründe. Mit Technologieriesen wie IBM, Amazon und Google, die kräftig in die Arbeit an Quantencomputern investieren, ist es nur eine Frage der Zeit, bis diese den Weg aus den Forschungslaboren in die Anwendung finden – Experten rechnen Anfang der 2030er damit. Aber bereits heute sind sensible Daten in Gefahr: Nachrichtendienste weltweit speichern verschlüsselte geheime Daten, um sie irgendwann mit Quantencomputern dechiffrieren zu können. Anfangs mag dies eher auf Regierungs- und Militärkommunikation abzielen, doch mit fortschreitender Technologie werden deutlich mehr Ziele in den Fokus gelangen. Es müssen also schon heute entsprechende Vorbereitungen getroffen werden, damit sensible Daten auch zukünftig geschützt bleiben. Die gute Nachricht ist: Es existieren bereits praktikable Möglichkeiten, die kryptografische Infrastruktur schrittweise quantensicher zu machen. Wann es Quantencomputer geben wird, ist unklar. Heutige Quantencomputer haben den Charakter von Laborexperimenten und spielen für die Praxis noch keine Rolle. Aber das heute bereits Erreichte wurde noch vor wenigen Jahren in Zweifel gezogen. Demnach scheint es realistisch zu sein, dass innerhalb der kommenden zehn Jahre ein ausreichend großer, für die Kryptografie relevanter Quantencomputer entstehen könnte. Die zuständigen Behörden wie das deutsche BSI nutzen daher die Arbeitshypothese, dass bis spätestens Anfang der 2030er alles quantenresistent abgesichert sein muss. Stefan-Lukas Gazdag , Kryptoforscher PQC als Balanceakt zwischen Sicherheit und Effizienz Die Post-Quanten-Kryptografie basiert auf mathematischen Problemen, die selbst mit Quantenrechnern nicht in angemessener Zeit lösbar sein sollen. Dabei werden verschiedene Ansätze verfolgt. Die Verfahren beruhen beispielsweise: auf der Schwierigkeit, allgemeine Fehler-korrigierende Codes effizient zu dekodieren, auf der Schwierigkeit von bestimmten Problemen in mathematischen Gittern oder auf den Sicherheitseigenschaften der eingesetzten Hashfunktionen. Hashfunktionen gelten als ausgereifte quantencomputerresistente Signaturverfahren. Das Signaturverfahren XMSS wurde im Forschungsprojekt squareUP entwickelt und gilt seit 2018 offiziell als zulässiger Internetstandard (vgl. RFC 8391) beziehungsweise auch von behördlicher Seite als einsatzfähig (vgl. PDF: BSI TR-02102-1 ). XMSS nutzt Hashfunktionen, welche aus der zu versendenden Datei oder Nachricht eine Art überprüfbaren digitalen Fingerabdruck erstellen. Das eignet sich aber eben nur für digitale Signaturen. Codebasierte, gitterbasierte und andere Verfahren können für die Verschlüsselung eingesetzt werden, jedoch nicht immer zwingend gut für Signaturen. Eine einzige Lösung für alle Kryptografieprobleme wird es also nicht geben. Weitere Herausforderungen, die diese Verfahren mit sich bringen, sind: deutlich größere Schlüssellängen als klassische Verfahren, wodurch mehr Speicherplatz benötigt wird; teils viel Rechenpower für das Ver- oder Entschlüsseln , was die Effizienz vieler heutiger Anwendungen massiv beeinträchtigen würde. Migration zur Post-Quanten-Kryptografie Die Post-Quanten-Kryptografie ist ein noch junges Forschungsgebiet, dessen Algorithmen auf vergleichsweise wenig erforschten mathematischen Problemen basieren. Da langjährige Erfahrung fehlt, fällt es den Anwendern schwer, den neuen Verfahren zu vertrauen. Eine ausführliche Prüfung und Bewertung sowie eine Zertifizierung und Standardisierung soll dabei helfen, angemessene Sicherheitsprotokolle zu entwickeln. Dazu leitet das US-amerikanische National Institute of Standards and Technology (NIST) ein Post-Quantum-Standardisierungsprogramm , welches quantensichere Algorithmen definieren will. Hierfür bedarf es jedoch noch einer intensiveren Untersuchung. Bis die ersten Schlüssel- und Signaturverfahren überhaupt standardisiert sind, wird es voraussichtlich noch bis 2024 dauern. Für die Signaturverfahren wird sogar nochmals ein Standardisierungsprozess aufgelegt. Aber: Hersteller sind bereits jetzt abhängig von Zertifizierungen, um Produkte mit dem Siegel „quantenresistent“ auf den Markt zu bringen. Das ist eine Herausforderung, die die Entwicklung von quantenresistenten Produkten in die Länge zieht. Welche Möglichkeiten gibt es bis dahin? Für Orientierung sorgen die Handlungsempfehlungen des BSI . Demnach sollen kryptografische Anwendungen so flexibel sein, dass sie ausreichend Reaktionsraum bieten. Diese sogenannte Kryptoagilität bedeutet, dass Protokolle modular aufgebaut sein sollen, damit sich die eingesetzten Verschlüsselungsverfahren leicht durch ein fast beliebiges Verfahren ersetzen lassen. Ebenfalls als sinnvoll gelten hybride Lösungen : Hier werden mehrere Verschlüsselungsverfahren nebeneinander eingesetzt – wird eines geknackt, gibt es mindestens ein weiteres Verfahren zur Absicherung. Beide Ansätzen führen jedoch zu einer erhöhten Komplexität des Gesamtsystems . Wie können diese Empfehlungen praktisch umgesetzt werden und gleichzeitig die Sicherheit des Systems beibehalten werden? Quantenresistente Schlüsselaustauschverfahren Stefan-Lukas Gazdag (gemeinsam mit Forschungspartner Richard Zink, System Security Architekt bei Adva Network Security GmbH) Der ersten Schritt zur quantensicheren Kryptografie wurde durch die bereits beschriebenen hashbasierten Signaturen für Software-Updates gegangen. Diese sind besonders relevant, da sie die Authentizität des Senders bzw. Herstellers sicherstellen und gleichzeitig ein Update nicht von außen manipuliert werden kann. Deutlich komplexer sind quantenresistente Schlüsselaustauschverfahren. Ein Anwendungsbeispiel ist die sichere Kommunikation über Virtual Private Networks (VPN). Diese wurden im BMBF-geförderten Forschungsprojekt QuaSiModO – Quanten-Sichere VPN-Module und -Operationsmodi in Absprache mit dem BSI erforscht. Viele VPN-Protokolle unterscheiden zwischen dem eigentlichen Kommunikationskanal, der typischerweise mittels symmetrischen Verfahren gesichert wird, und (verschiedenen) Schlüsselaustausch- oder Schlüsselvereinbarungsprotokollen. Gerade bei Letzteren kommt es auf die aktuell verwendeten kryptografischen Verfahren an. Das am häufigsten verwendete Schlüsselaustauschprotokoll im Zusammenhang mit IPsec ist der Internet Key Exchange Version 2 (IKEv2), der auf einem Diffie-Hellman-Schlüsselaustausch basiert. Dieser muss durch quantenresistente Verfahren ausgetauscht oder ergänzt werden. Probleme wie eine Begrenzung der Gesamtschlüsselgröße und andere Besonderheiten, die sich aus der Fragmentierung ergeben, erfordern eine durchdachte Integration und Handhabung neuer Verfahren. Dazu wurden im Rahmen des Forschungsprojekts QuaSiModO erste Entwürfe von Internet-Standards im Praxiseinsatz erprobt und unterschiedliche Kryptografie-Verfahren aus dem NIST-Wettbewerb als quantensichere Erweiterung von IKEv2 evaluiert. Konkret sollten praxistaugliche vertrauenswürdige und sichere Algorithmen ermittelt werden, mit denen bereits in naher Zukunft quantensichere VPNs betrieben werden können. Die gängigen IPsec-und MACsec-Schlüsselaustausch- und -Schlüsselvereinbarungsprotokolle, Internet Key Exchange Version 2 (IKEv2) und MKA/PACE, sollten dazu quantensicher gemacht werden, unter anderem durch die Anwendung hybrider, kryptoagiler und mehrschichtiger Verschlüsselungsverfahren. Außerdem wurden erste Versuche einer Post-Quanten-Authentifizierung unternommen. Der Forschungsschwerpunkt von genua hatte dabei auf den IPsec-Protokollen gelegen. Erste Pre-Quantum Lösungen sind bereits am Markt erhältlich: Der Update-Mechanismus der Firewall und VPN-Appliance genuscreen besitzt zum Beispiel neben einer digitalen Signatur auch eine quantenresistente Signatur. Schritt für Schritt sollen so immer bessere quantenresistente Lösungen in Absprache mit BSI und NIST entwickelt, beziehungsweise die Protokolle basierend auf den neuen Standards angepasst werden. Wann es jedoch vollständig quantenresistente Produkte am Markt geben wird, hängt auch von den Standardisierungsverfahren ab. Illustration einer quantensicheren Kommunikation durch IPsec und MACsec (QuaSiModO Demonstrator). Zwei Standorte sind über Schicht 2 (VLAN) und Schicht 3 (IP-Tunnel) miteinander verbunden. Das VLAN ist durch SecTAG gesichert. Der IP-Tunnel hingegen ist durch IPsec / ESP gesichert und zusätzlich in SecTag gekapselt. Die Verbindung wird mit IKEv2 für ESP und MKA / PACE für SecTAG aufgebaut. Die neue Welt der quantensicheren Zukunft – komplex aber agil Was erwartet uns in der quantensicheren (IT)-Welt? Sind wir dann sicher vor Angriffen und Sicherheitsapokalypsen? Leider nein, denn gefährliche Angriffe und Krypto-Bugs wird es immer geben. Aber mithilfe der Post-Quanten-Kryptografie werden die Vorfälle nicht so schwerwiegend sein. Die Wahrscheinlichkeit, dass es einen fatalen Fehler gibt ist gering, da parallel eingesetzte Verfahren die Kommunikation absichern. Hinzu kommt die höhere Agilität: Sind die Protokolle nicht zu spezifisch auf ein Verfahren ausgelegt, kann ein Systemadministrator im Fall der Fälle sofort auf ein anderes Protokoll mit ausreichender Sicherheit umstellen, bis das fehlerhafte Protokoll repariert ist. Bis zur quantensicheren (IT-)Zukunft, ist jedoch noch viel Forschungsarbeit nötig. Mit dem quantenresistenten Schlüsselaustausch für IPsec und MACsec, der Implementierung quantenresistenter Lösungen auf Layer 2 und Layer 3 des TCP/IP-Referenzmodells sowie der Entwicklung und Prüfung VPN-geeigneter hybrider und kryptoagiler Mechanismen habe wir alle Ziele unseres QuaSiModO Forschungsprojekts erreicht. Stefan-Lukas Gazdag , Kryptoforscher Die Projektpartner des BMBF-geförderten Forschungsprojekts QuaSiModO (Laufzeit 2019 bis Anfang 2023) waren, neben genua als Projektkoordinator, die ADVA Optical Networking SE, das Fraunhofer-Institut für Angewandte und Integrierte Sicherheit (AISEC) und die Ludwig-Maximilians-Universität München (LMU). Als assoziierte Partner waren zudem das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Hessen CyberCompetenceCenter (Hessen3C) beteiligt. Quellen und weiterführende Links [1] Forschungsprojekt Square Up [2] J. Buchmann, E. Dahmen, and A. Hülsing: XMSS – A Practical Forward Secure Signature Scheme based on Minimal Security Assumptions [3] BSI-Technische Richtlinie: Kryptographische Verfahren: Empfehlungen und Schlüssellängen [4] https://csrc.nist.gov/Projects/post-quantum-cryptography/Post-Quantum-Cryptography-Standardization [5] Migration zu Post-Quanten-Kryptografie“ des Bundesamts für Sicherheit in der Informationstechnik (BSI), Handlungsempfehlung des BSI, Stand 2020 [6] Forschungsprojekt QuaSiModO [7] Technische Daten Firewall & VPN-Appliance genuscreen Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Encryption VPN Artikel teilen Weiterführende Links Firewall & VPN-Appliance genuscreen Zuverlässiger Schutz für Datentransfers und Netze Zurück zur Übersicht

Insights 03.03.2022 Paradigmen in der IT-Sicherheit Zero Trust Security für die Industrie: Ein Blick auf sichere Architekturen Viele Industrieanlagen werden durch externe Maschinenhersteller gemanagt oder haben Verbindungen zu fremdverwalteten Diensten, zum Beispiel für Cloud Computing. Für die Industrie bedeutet dies einen zunehmenden Kontrollverlust. Zero-Trust-Architekturen aus der IT-Welt helfen Betreibern, die Netzwerkhoheit über ihre OT zu behalten und damit das Vertrauen in ihre Infrastruktur und Betriebstechnologie wiederzugewinnen. genua smart security: Zero-Trust-Architekturen für die Industrie Die Digitalisierung macht auch vor der Betriebstechnologie (Operational Technology, OT) in Industrieumgebungen nicht halt. Immer mehr und immer kritischere Abläufe werden digitalisiert, sensitive Daten und Systeme vernetzt. Damit erhöht sich die Komplexität der Infrastrukturen drastisch. Gleichzeitig steigt die Abhängigkeit von digitalen Prozessen, was in steigenden Anforderungen an die Verfügbarkeit und zuverlässige Funktion resultiert. Der traditionelle Ansatz für das Management digitaler Infrastrukturen bestand bis dato in zentral verwalteten Netzen mit einem einheitlich hohem Sicherheitsniveau. Da eine Kompromittierung einzelner Teile die Sicherheit das ganzen Netzes gefährdete, musste diese zum Beispiel durch starke Separation von anderen Netzen unbedingt vermieden werden. In heutigen Netzen sind jedoch mehr und mehr Systeme durch externe Hersteller und Dienstleister fremd gemanagt bzw. haben notwendige Verbindungen zu fremd verwalteten Netzen etwa für Edge- oder Cloudcomputing. Dies führt zu einem zunehmenden Verlust der Kontrolle über das eigene Netz: Der traditionelle Ansatz skaliert nicht mit der Realität der Netze und den gestiegenen Anforderungen an Verfügbarkeit und Zuverlässigkeit. Zero Trust Networking ‒ was bedeutet das? Im Paradigma des Zero Trust Networking wird das Vertrauen in die Sicherheit des Gesamtnetzes durch das Vertrauen in die Sicherheit spezifischer Kommunikationsendpunkte ersetzt, d.h. in Geräte, Dienste und Anwendungen. Eine Kompromittierung einzelner Endpunkte ist damit auf die erlaubten Kommunikationsbeziehungen beschränkt und gefährdet nicht mehr das Gesamtnetz. Dieses Vorgehen gibt dem Betreiber die Kontrolle über seine Anlagen zurück und senkt proaktiv die Angriffsfläche. Es erlaubt reaktiv auch eine schnellere Detektion und Begrenzung von Schäden sowie eine rasche und gezielte Recovery. Das Resultat sind robustere und resiliente Netze, passend zur höheren Kritikalität und den damit einhergehenden Anforderungen an Zuverlässigkeit und Kontrolle. Zero-Trust-Architekturen im Überblick ‒ Welche Varianten gibt es? Es gibt mehrere Ansätze, Zero Trust Networking zu implementieren. Diese werden im Folgenden kurz beschrieben. Sie unterscheiden sich primär durch den Ort der Durchsetzung in der Netzwerkinfrastruktur und die damit einhergehenden Möglichkeiten bzw. Limitierungen. Allen Ansätzen ist gemein, dass die Entscheidungen basierend auf den Identitäten von Geräten, Anwendungen, Nutzern bzw. Diensten erfolgen, welche nicht notwendigerweise an eine spezifische physische Ausprägung gekoppelt sind. Dadurch vereinfacht sich das Management gerade in dynamischen Umgebungen wie z.B. bei der Anbindung an Cloud-Dienste oder auch bei der Fernwartung von Systemen durch (mobile) externe Dienstleister. Typische Identitäten sind in diesem Umfeld zum Beispiel kryptografische Zertifikate oder Nutzer-Accounts. In eher statischen, kontrollierten Netzen können aber auch klar zugeordnete physische Merkmale wie die MAC- oder IP-Adresse als Identitäten in den Entscheidungen genutzt werden. Mikrosegmentierung: Zero Trust Networking nach Forrester Beim Zero Trust Networking nach Forrester wird ein bestehendes Netz in sich selbst durch den Einsatz von Firewalls an strategischen Stellen in Mikrosegmente unterteilt, zwischen denen die Kommunikation reguliert wird. Im Extremfall befindet sich jedes Gerät im Netz in einem eigenen Mikrosegment. Dieser Ansatz eignet sich gut für eine nachträgliche Härtung bestehender Netze und arbeitet gut mit Legacy-Anwendungen zusammen. Es wird jedoch ein eventuell dynamisches Mapping zwischen Identitäten und IP-Adressen benötigt, da nur diese zuverlässig als Entscheidungskriterium im Datenverkehr sichtbar sind. Dieser netzbasierten Mikrosegmentierung ähnlich ist eine hostbasierte Mikrosegmentierung, bei der zentral verwaltete Agenten auf jedem Endgerät dessen Kommunikation mit anderen Geräten beschränken. Allerdings müssen diese Agenten typischerweise zur Erledigung ihrer Aufgaben invasiv in das System eingreifen und mit hohen Privilegien laufen. Dies hat eventuell Einfluss auf die Zuverlässigkeit der Systeme und schafft im schlimmsten Fall eine zusätzliche Angriffsfläche. Beispiel-Implementierung für netzbasierte Mikrosegmentierung Eine zuverlässige Umsetzung der netzbasierten Mikrosegmentierung kann mit dem cognitix Thread Defender der genua GmbH erreicht werden. Dieser integriert sich transparent wie ein Switch in das Netzwerk, erlaubt dabei aber eine granulare, dynamische und kontextübergreifende Regulierung der Datenströme. Im Gegensatz zu Switches mit Network Access Control (NAC) oder vielen Firewalls findet dabei die Kontrolle und Restriktion nicht nur auf Netzebene, sondern auch auf Applikationsebene statt. Diese Fähigkeiten werden um ein integriertes Intrusion Detection System (IDS) und die Nutzung von Indicators of Compromise (IOC), also Artefakte, die auf eine Kompromittierung hinweisen, ergänzt. Deren Ergebnisse können wiederum in die Zugriffsregeln mit einfließen. Dies ermöglicht es zum Beispiel, potentiell infizierte Systeme in Echtzeit zu isolieren oder in ihrer Kommunikation zu beschränken, um Angriffe frühzeitig zu erkennen und rechtzeitig angemessen reagieren zu können. Software Defined Perimeter Das Zero Trust Networking Konzept der Cloud Security Alliance (CSA) wiederum ist ein Software Defined Perimeter (SDP), welcher externen Clients nach einer Authentisierung Zugriff in eine interne Infrastruktur erlaubt. Im Gegensatz zu einem klassischen Virtual Private Network (VPN) findet hier jedoch keine komplette Netzkopplung statt, sondern der Zugriff ist auf einzelne Dienste beschränkt. Der ursprüngliche Vorschlag der CSA definiert ein spezielles Tunnel-Protokoll zur Verschlüsselung und Übertragung der Identitäten, welches die Clients implementieren müssen. Dies erschwert die Anbindung von Legacy-Anwendungen. Alternative Umsetzungen über VPN-Technologien vereinfachen dies, da hier der Tunnel transparent auf Netzebene und nicht der Applikationsebene realisiert wird. Software Defined Perimeter am Beispiel Fernwartung Eine an das Konzept des Software Defined Perimeter angelehnte Lösung ist die Fernwartungslösung genubox von genua. Dabei verbindet sich eine Servicebox aus dem internen Netzwerk zu einem vom externen Fernwarter erreichbarem Rendevouz-Server – dem Software Defined Perimeter. Der Fernwarter wiederum baut über die Fernwartungs-App eine verschlüsselte Kommunikation zu diesem Perimeter auf. Nach erfolgreicher Authentisierung wird ein Zugriff auf spezifische Dienste ermöglicht, wie z.B. auf den Desktop der zu wartenden Maschine, das Terminal (via SSH) oder auf ausgewählte Ports. Eine Netzkopplung findet dabei nicht statt. Entsprechend den erhöhten Anforderungen an Sicherheit und Compliance im Industrieumfeld findet zusätzlich eine Videoaufzeichnung des Desktops bzw. der SSH-Verbindung statt sowie eine Überprüfung übertragener Dateien auf Malware. Diese Aufzeichnungen sind auch nachträglich abrufbar. Implementierung einer Zero-Trust-Fernwartung mit der Rendezvous-Lösung von genua Zero Trust Network für webbasierte Anwendungen: Googles BeyondCorp Mit BeyondCorp hat Google eine Umsetzung des Zero Trust Networking vorgestellt, bei der die Kontrolle direkt am Dienst über einen vorgeschalteten Identity Aware Proxy (IAP) stattfindet. Die Verbindung zwischen Client und IAP ist per HTTPS verschlüsselt. Dieser Ansatz eignet sich sehr gut für webbasierte Anwendungen und bietet hier eine hohe und einfache Skalierbarkeit. Anwendungen, die nicht von sich aus webbasiert sind, können jedoch nur umständlich über webbasierte Tunnel oder gar nicht eingebunden werden. Im Industrieumfeld ist dieser Ansatz damit nur eingeschränkt nützlich. Fazit Zusammenfassend lässt sich festhalten, dass Zero Trust Networking auch im industriellen Umfeld ein geeignetes Sicherheitsparadigma darstellt, um in hochvernetzten, teils sicherheitskritischen Infrastrukturen eine hohe Robustheit und Resilienz zu erreichen. Der Administrator erhält die Kontrolle über seine Infrastruktur zurück, auch wenn diese teilweise fremd gemanagt und mit externen Netzen verbunden ist. Zero Trust Networking erhöht somit das Vertrauen in die Verfügbarkeit und Sicherheit von IT/OT-Netzen, die die Grundlage industrieller Wertschöpfungsprozesse darstellen. Die Antwort auf die Frage, welcher Zero-Trust-Ansatz im Unternehmen implementiert werden sollte, hängt letztendlich von den konkreten Rahmenbedingungen sowie Ressourcen ab und sollte mit einem IT-Security-Experten erörtert werden. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Industrie Industrie 4.0 Artikel teilen Weiterführende Links Fernwartungslösung genubox Sicherer Wartungszugriff in sensible Netze unterstützt Zero-Trust-Konzepte IDS & IPS cognitix Threat Defender Performante Angriffserkennung für zuverlässigen Schutz von IT- und OT-Netzen Zurück zur Übersicht

Insights 06.06.2023 Kritische Infrastrukturen und IT-SiG 2.0 Drei Schritte zur Angriffserkennung gemäß BSI Mit dem zweiten IT-Sicherheitsgesetz (IT-SiG 2.0) wurden sowohl das „Gesetz über das Bundesamt für Sicherheit in der Informationstechnik“ (BSIG) als auch das „Gesetz über die Elektrizitäts- und Gasversorgung“ (Energiewirtschaftsgesetz, EnWG) in Bezug auf KRITIS nachgeschärft. Sie verlangen nun verpflichtend die Einrichtung von Systemen zur Angriffserkennung (SzA). Wie lassen sich die Anforderungen des BSI zuverlässig erfüllen? Zusammenfassung Seit dem 1. Mai 2023 müssen KRITIS-Betreiber Systeme zur Angriffserkennung nach Stand der Technik zur Zertifizierung nachweisen ► Die „Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung“ des BSI definiert dessen Anforderungen näher Sie soll außerdem künftig prüfenden Stellen als Anhaltspunkt dienen Gemäß Orientierungshilfe lassen sich die Aufgaben von Systemen zur Angriffserkennung drei Bereichen zuordnen ► Systeme müssen durch fortlaufende Auswertung der gesammelten Informationen sicherheitsrelevante Ereignisse erkennen ► Die durch die Protokollierung erzeugten Daten müssen auf Abweichungen analysiert werden ► Auf die mit der Detektion erkannten sicherheitsrelevanten Ereignisse muss adäquat reagiert werden ► Praxistipp: Intelligente Angriffserkennung mit einem NDR-System nach Stand der Technik ► Angriffserkennung gemäß BSI Paragraph 8a des BSI-Gesetzes (BSIG) verpflichtet Betreiber kritischer Infrastrukturen sowie Unternehmen im besonderen öffentlichen Interesse, seit dem 1. Mai 2023 Systeme zur Angriffserkennung (SzA) einzusetzen. Denn diese gelten als effektive Maßnahme, um Cyberangriffe frühzeitig zu erkennen, Schäden zu vermeiden oder zumindest zu vermindern. Um für betroffene Unternehmen bei der individuellen Umsetzung der neuen gesetzlichen Anforderungen zusätzliche Klarheit und Sicherheit zu schaffen, hatte das BSI Ende September 2022 eine „Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung“ herausgegeben. Sie soll künftig auch prüfenden Stellen als Anhaltspunkt dienen. Funktionen und Aufgabenbereiche von Systemen zur Angriffserkennung Gemäß Orientierungshilfe lassen sich die technischen Funktionen und Aufgabenbereiche von Systemen zur Angriffserkennung drei Bereichen zuordnen: Protokollierung Detektion Reaktion. So müssen die Systeme durch fortlaufende Auswertung der gesammelten Informationen sicherheitsrelevante Ereignisse erkennen, beispielsweise durch Missbrauchs- oder Anomalie-Erkennung. Sie sollten ferner Maßnahmen implementieren, um Störungen infolge von Angriffen zu verhindern oder auf sie zu reagieren. Dies kann sowohl durch technische als auch durch organisatorische Maßnahmen umgesetzt werden. 1. Protokollierung in der Angriffserkennung Die Qualität von Angriffserkennung ist davon abhängig, dass Assets und Kommunikation im Netzwerk vollständig gescannt werden können. (Bild: Screenshot des cognitix Threat Defender für Angriffserkennung ) In der gängigen IT-Infrastruktur haben sich zentrale Protokollierungsdienste und Log-Management-Lösungen weitgehend etabliert. Sie ermöglichen eine umfassende Analyse von Vorgängen und Angriffen. Anders sieht es dagegen im Internet der Dinge aus, beispielsweise bei vernetzten Maschinen und Anlagen in der industriellen Produktion. Ein zentrales Logging ist hier bisher nur sehr selten anzufinden, jedoch unerlässlich, um Störungen und Angriffe effektiv zu erkennen und zu bekämpfen. Eine zentrale Erfassung der relevanten Logdaten aller Komponenten ist darum Pflicht. Auch gibt es Komponenten im Netz, die aufgrund ihrer beschränkten Ressourcen neben der normalen Funktion keine zusätzlichen Logging-Aufgaben übernehmen können. In solchen Fällen ist eine Überwachung des entsprechenden Netzwerksegments von außen notwendig. Auch diese Überwachungserkenntnisse müssen in das zentrale Logging eingespeist werden. Die Qualität der Erkennung ist davon abhängig, dass ein Netzwerk vom System zur Angriffserkennung vollständig gescannt werden kann. Relevante Daten sind beispielsweise, welche Geräte im Netzwerk vorhanden sind, wer mit wem kommuniziert, und welche Kommunikationsprotokolle wie häufig verwendet werden. Daher empfiehlt das BSI, zusätzlich ein System zur Netzwerküberwachung zu installieren, selbst wenn alle Geräte ihre Aktivitäten eigenständig protokollieren können. Denn nur mit einer breiten Datenbasis kann die nachfolgende Detektion erfolgreich sein. 2. Auf Abweichungen analysieren - und richtig bewerten Die durch die Protokollierung erzeugten Daten müssen auf Abweichungen analysiert werden. Dabei ist es nicht empfohlen, sich alleine auf eine technische und automatische Analyse zu verlassen. Stattdessen muss zwingend ein Mensch die Protokolle regelmäßig und vollständig auf Auffälligkeiten prüfen. Das BSI ist sich der Schwierigkeit bewusst, dass technische Systeme zwar sehr gut Abweichungen von gelernten Mustern erkennen, jedoch nur sehr schlecht deren Auswirkungen einschätzen können. Zumal in gängigen Anlagen (gewollte) Änderungen die Lernfähigkeiten von automatischen Methoden regelmäßig überfordern. Das Erkennen von neuen und unbekannten Störungen und die Bewertung ob es sich um Störfälle, Probleme oder gar Angriffe handelt, obliegt also explizit dem Fachpersonal. 3. Effektive Reaktion braucht ein klares Lagebild Blick ins Cockpit des cognitix Threat Defender. Nur wenn alle Beteiligten und Betroffenen schnell ein klares Bild von der Bedrohung und der nötigen Reaktion haben, kann effektiv reagiert werden. Auf die mit der Detektion erkannten sicherheitsrelevanten Ereignisse muss dann adäquat reagiert werden. Neben der Benennung von Verantwortlichen sind hier vor allem die Definition und Einhaltung von standardisierten Vorgehensweisen wichtig. Nur wenn alle Beteiligten und Betroffenen schnell ein klares Bild von der Bedrohung und der nötigen Reaktion haben, kann auch effektiv reagiert werden. Dabei ist es elementar wichtig, zwischen mehr oder weniger drastischen Maßnahmen der Angriffsbekämpfung auf der einen und der Sicherstellung der eigentlichen Kernaufgabe der kritischen Infrastruktur auf der anderen Seite abzuwägen. Auch die passende und zeitnahe Information an die jeweils relevanten Meldestellen muss definiert sein. Je schneller und umfassender Maßnahmen erfolgen, um so effektiver wirken sie. Daher wird zumindest in weniger kritischen Bereichen auch die automatische Reaktion nicht nur empfohlen sondern muss möglich sein. Die Überwachung eines Netzwerkes mit der Möglichkeit des aktiven und automatisierten Eingreifens muss also von Anfang an berücksichtigt werden. Im Video: Was Sie über Angriffserkennung wissen müssen Angriffserkennung nach Stand der Technik umsetzen Wie sich Protokollierung, Detektion und Reaktion mit Anomalierkennung nach aktuellem Stand der Technik unterstützen lassen, sei am Beispiel des Network Detection and Response (NDR) Systems cognitix Threat Defender erklärt. cognitix Threat Defender erfüllt alle wesentlichen gesetzlichen Anforderungen an ein technisches System zur Angriffserkennung. Er zeichnet sich unter anderem durch eine exzellente Erkennung von Netzwerkkomponenten aus und bezieht alle maßgeblichen Systeme, Komponenten oder Prozesse wie IT, OT, Rechenzentren und Embedded-Systeme ein. Betreiber können relevante Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. Werden Auffälligkeiten entdeckt, steht ein abgestuftes Spektrum an Reaktionsmöglichkeiten zur Verfügung. Neben der Meldung von Anomalien können Geräte und Kommunikationen beispielsweise isoliert, verlangsamt oder vollständig blockiert werden. Um bei unklarer Bedrohungslage unnötige Beeinträchtigungen im Netzwerk zu vermeiden, kann cognitix Threat Defender im Fall einer Inzidenz auch adaptiv reagieren. Dann lässt er für das betroffene Gerät im Netzwerk nur jene Aktionen zu, die in den vergangenen 24 Stunden als „normal“ gelernt wurden. Alles, was davon abweicht, wird gedrosselt oder blockiert und an die Security-Verantwortlichen gemeldet. Damit gewinnen diese Zeit für eine angepasste und effektive Reaktion. Organisatorische Maßnahmen unterstützen Ein System zur Abwehrerkennung beschränkt sich laut BSI allerdings nicht allein auf technische Lösungen, sondern umfasst auch organisatorische Maßnahmen, um die Cybersicherheit eines Unternehmens sicherzustellen. cognitix Threat Defender als technische Komponente ist darum auch mit Blick auf die Usability entwickelt worden. Mit der modernen Benutzeroberfläche werden dem Verantwortlichen die relevanten Informationen auf einfache Weise dargestellt und geben damit schnell die „situal awareness“. Quellen und weiterführende Links [1] PDF Download des BSI: Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung [2] Performante Angriffserkennung für zuverlässigen Schutz von IT- und OT-Netzen: cognitix Threat Defender [3] Interview mit Michael Barth, genua GmbH: Angriffserkennung rechtssicher gestalten [3] Themenseite: Kritische IT-Infrastruktur mit Anomalieerkennung automatisiert absichern Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Angriffserkennung KRITIS Artikel teilen Weiterführende Links Angebotsanfrage cognitix Threat Defender IDS & IPS cognitix Threat Defender Performante Angriffserkennung für zuverlässigen Schutz von IT- und OT-Netzen Zurück zur Übersicht

Insights 26.08.2021 Mobile VS-NfD-Kommunikation Wie sich Behörden mit Angriffserkennung vor Cyberangriffen schützen Mitarbeiter im VS-NfD-Umfeld sind immer häufiger im Home Office tätig oder arbeiten mobil von unterwegs. Mit ihren sensiblen Informationen sind sie damit besonders attraktive Ziele für Cyber-Angriffe. Wie lassen sich solche dynamischen IT-Landschaften umfassend und rechtskonform nach IT-Grundschutz absichern? Auch unterwegs mobil oder im Home Office - sensible Daten lassen sich umfassend und rechtskonform nach IT-Grundschutz absichern Während der COVID-19 Pandemie lag der Fokus vieler IT-Sicherheitsverantwortlichen darauf, mobile IT-Infrastrukturen gegen Angriffe von außen zu schützen. Nicht nur die Frequenz und Anzahl, sondern auch die ausgefeilte Durchführung der Attacken stellen eine große Herausforderung für die IT Security dar. Wichtig zu wissen ist: Derzeit werden mehr als 80 % der zielgerichteten Angriffe von Innentätern bewusst oder unbewusst gestartet. Dadurch werden weitere Zonen der IT-Infrastrukturen bzw. Rechnernetzwerke infiziert und kompromittiert. Dabei findet oft über einen längeren Zeitraum keine Kommunikation an die Angreifer außerhalb der Organisation statt, so kann sich z. B. Schadsoftware in dieser Zeit unbemerkt ausbreiten. Beim Auf- und Ausbau mobiler VS-NfD-Ökosysteme sollten diese Risiken priorisiert betrachtet und vollumfänglich und dauerhaft in das IT-Schutzkonzept der Organisation integriert werden. IT-Grundschutzvorgaben erfüllen Behörden und Organisationen im Geheimschutz sind zu besonderer Sorgfalt beim Schutz ihrer Kommunikationsinfrastrukturen verpflichtet. Sie müssen bei der Arbeit mit VS-NfD eingestuften Dokumenten bestimmte Vorgaben beachten, etwa beim Einsatz geeigneter IT-Sicherheitstechnologien. So ist nach IT-Grundschutz DER.1.A9 und DER.1.A16 der Einsatz von Detektionssystemen an ausgewählten neuralgischen Stellen im Netzwerk vorgeschrieben. Diese Systeme sollten nicht nur die wichtigen Übergänge innerhalb der Organisation kontrollieren. Auch das VPN-Gateway wird zum zentralen Knotenpunkt, so dass es mit einem Detektionssystem zur Netzwerküberwachung gekoppelt werden muss. genua schafft u. a. mit speziell dafür zugelassenen VPN-Lösungen die notwendigen technologischen Voraussetzungen, etwa mit genuscreen als VPN-Gateway oder genucard als VPN-Client. Mit Data Analytics und Anomalieerkennung aktiv auf Bedrohungen reagieren Da nach DER.1.A17 auch die Möglichkeit der automatischen Reaktion in VS-Verarbeitungsnetzen erforderlich ist, kann diese Lösung keine reine passive Überwachungslösung sein. Sie muss aktiv eingreifen, um gewünschte Kommunikation innerhalb der Netzwerke zu erlauben, dabei zugleich Angriffe oder auch Schatten-IT frühzeitig zu erkennen und zu unterbinden. Um dies konform zum IT-Grundschutz zu erfüllen, entwickelte genua die IT-Security-Lösung cognitix Threat Defender. Diese erkennt Angriffe und Anomalien und unterscheidet sie von dynamischen, aber gewollten Kommunikationsmustern. Technologisch bietet sie mehrere Vorteile, die den Aufbau zukunftsfähiger Sicherheitssysteme in VS-NfD-Netzwerken maßgeblich unterstützen. Eine besondere Rolle spielen die folgenden Funktionen: Analyse des gesamten Datenstroms in Echtzeit Wer spricht mit wem? Anzeige der Assets im Netzwerk (Beispiel) Per transparentem Inline-Processing analysiert cognitix Threat Defender den gesamten Datenstrom. Dies wird mit Meta-Informationen aus dem Datenstrom sowie aus externen Quellen wie Intrusion Detection Systemen (IDS) und Threat-Intelligence-Plattformen angereichert und über Zeit und Netzwerkteilnehmer korreliert. Dabei erfährt man, wer im Netzwerk mit wem wann kommuniziert: cognitix Threat Defender zeigt aufsummiert, welche Assets in der letzten Stunde oder den vergangenen 30 Tagen wie viel Datenverkehr initiiert (Source Assets) bzw. beantwortet (Destination Assets) haben sowie den Datenverkehr zwischen den Assets. Auf Basis dieser und weiterer Informationen modelliert der Anwender das mögliche Verhalten der Akteure bzw. Devices im Netzwerk, so dass unerwünschtes oder unbekanntes Verhalten zur Alarmierung der IT-Sicherheitsverantwortlichen oder zu dessen automatischer Unterbindung führen kann. Sofortige Reaktion auf Unregelmäßigkeiten und Bedrohungen Wer darf mit wem sprechen? Ausschnitt eines Regelwerks (Beispiel) Dieses aktive Eingreifen und Blockieren der Kommunikation erweitert das Spektrum der Reaktionsmöglichkeiten von einer dynamischen Zonierung (nur einzelne Netzbereiche werden als Kommunikationspartner gesperrt) bis hin zu vollständiger Isolation (infizierten Geräten wird jegliche Kommunikation im Netzwerk untersagt). Somit wird eine Reaktion auf Unregelmäßigkeiten und Bedrohungen in Echtzeit ermöglicht. Die Kommunikation zwischen den Clients bzw. den Außenstellen und der Zentrale sowie die Kommunikation im internen Netzwerksegment wird zusätzlich mit der Detection & Response Funktion von cognitix Threat Defender abgesichert. Dabei erfolgen eine Analyse und Verhaltensmodellierung des gesamten Netzwerkverkehrs inkl. der Netzwerkteilnehmer. Mittels Funktionen wie einer Protokoll-/Applikationserkennung der Deep Packet Inspection (DPI) und einer musterbasierten IDS erhält der Anwender ein vollständiges Bild der Kommunikation. Je nach Schutzbedürfnis können Vorfälle dann "nur" an ein Security Incident und Event Management (SIEM) gemeldet oder direkt mit Sanktionen belegt werden. Absicherung von Videotelefonie und VoIP Die im Home Office üblichen Videokonferenzen sind durch eine Kombination mit weiteren Lösungen von genua ebenfalls geschützt. So sorgt zum Beispiel genuscreen durch Einhaltung der Technischen Richtlinien TR-02102-1 und TR-02102-3 des BSI für die sichere Kommunikation der VPN-Teilnehmer. Um Videotelefonie und VoIP sowie kollaborative Arbeitsmethoden effektiv nutzen zu können, ist eine Kommunikation der VPN-Teilnehmer untereinander im internen (entschlüsselten) Bereich, aber auch zu den Workstations erlaubt. Ein VoIP-Telefonat wird beispielsweise im VPN-Tunnel von Mitarbeiter A zur VPN-Zentrale übertragen, dort entschlüsselt und zu cognitix Threat Defender weitergeleitet, um dann wieder im Klartext zur VPN-Zentrale und verschlüsselt zu Mitarbeiter B übertragen zu werden. Insbesondere in Kombination mit genuscreen (als VPN-Gateway oder Core Router) gewährleistet cognitix Threat Defender somit die Vertraulichkeit und Sicherheit der Kommunikation und damit die Absicherung von mobilen NfD-Netzwerken. Als Bestandteil des IT-Security-Ökosystems in Deutschland verfügt genua zudem über eine einzigartige Expertise bei der rechtssicheren Einbindung von IT-Sicherheitstechnologien, sei es beim IT-Grundschutz, der Umsetzung des IT-SiG 2.0 oder weiterer gesetzlicher Vorgaben. Mehr zum Thema IT-Sicherheit im Home Office Angriffserkennung rechtssicher gestalten: “Das IT-SiG 2.0 ist ein wertvoller Orientierungsrahmen” New Work in Behörden: “Wir sorgen ganzheitlich für eine sichere VS-NfD-Infrastruktur” Fünf Antworten zu cognitix Threat Defender Bildquelle: © engel.ac – stock.adobe.com Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Geheimschutz Öffentlicher Sektor Netzwerksicherheit Artikel teilen Weiterführende Links VPN Sicherheitslösungen Unsere VPN-Lösungen werden in Deutschland hergestellt und arbeiten mit den stärksten Verschlüsselungsalgorithmen. Zudem bieten wir VS-NfD-zugelassene Lösungen an. Firewall & VPN-Appliance genuscreen Zuverlässiger Schutz für Datentransfers und Netze IDS & IPS cognitix Threat Defender Performante Angriffserkennung für zuverlässigen Schutz von IT- und OT-Netzen Zurück zur Übersicht

Insights 04.06.2021 Security-Standards für die Industrie 7 Punkte für sichere Fernwartung und Predictive Maintenance Fernwartung und Predictive Maintenance sind auf dem Vormarsch. Der dafür benötigte Onlinezugang stellt jedoch einen massiven Eingriff in die Sicherheitsarchitektur von teils kritschen Anlagen dar und erhöht die Sicherheitsrisiken erheblich. Welche IT-Sicherheitsstandards müssen Anlagenbetreiber kennen und wie lassen sich diese in der Praxis umsetzen? Die Fernwartung von Fertigungsrobotern vermeidet Ausfälle und somit hohe Kosten Mit der Einführung von Industrie 4.0 und „Smart Services“ sind zeitgemäße digitale Monitoringkonzepte und Fernwartungslösungen verfügbar, die vollkommen neue Möglichkeiten eröffnen. Cloud-Plattformen bieten Smart Data Analytics zur Analyse des Anlagenzustands mit Kennzahlen zur Gesamtanlageneffektivität. Mit einer vorausschauenden Wartung (Predictive Maintenance) können die Anlagendaten genutzt werden, um bereits erste Anzeichen einer Störung zu erkennen und Wartungen proaktiv durchzuführen. Die aktiven Instrumente werden ergänzt mit Fernwartungslösungen (Remote Maintenance), um Fehler schnell zu beseitigen und die Anlagenverfügbarkeit sicherzustellen. Die Einführung von Online-Plattformen und Fernwartungslösungen erhöht jedoch die Cyber-Risiken für Betreiber massiv. Diesem gestiegenen Sicherheitsrisiko stehen vielfach unzureichende Sicherheitsmaßnahmen gegenüber. So zeigen einfache Portscans regelmäßig Tausende offener Ports. Und auch zugelassene Fernwartungszugriffe können unerwünschte Folgen haben. So sind bei einer Fernwartungssession oft komplette Netzsegmente oder Produktionsstränge mit sämtlichen darin befindlichen Komponenten und Anlagen im Zugriff, einschließlich der Maschinen anderer Hersteller. In der Folge können sensible und schützenswerte Produktions- und Anlagendaten ungehindert abfließen. Schließlich kann ein unkontrollierter Fernwartungszugang zur falschen Zeit auch laufende Betriebsprozesse empfindlich stören oder gar die Sicherheit von Mitarbeitern an der Maschine gefährden. Anlagenbauer benötigen effiziente Fernwartungssysteme Bei neuen Wartungsmodellen wie Predictive Maintenance ist es für Anlagenbauer wichtig, dass möglichst viele Anlagenbetreiber einem Online-Zugriff zustimmen. Denn erst mit einer ausreichend großen Datenbasis können verlässliche Vorhersagen über den Verschleiß oder die Störanfälligkeit von Maschinenkomponenten getroffen werden. Anlagenbauer mit einer großen Zahl von Maschinen im Feld haben allerdings häufig die Sorge, dass der Aufwand für die Konfiguration und die Verwaltung der Online-Zugänge durch unterschiedlichste kundenindividuelle Vorgaben und Regeln schnell sehr groß werden kann. Deshalb wünschen sie sich eine effizient nutzbare, umfassend und flexibel konfigurierbare Lösung für alle Fernwartungszugänge. Letztendlich entscheidet aber das Sicherheitsniveau der Fernwartungslösung darüber, ob und in welchem Umfang solche Zugriffe in das Kundennetz erfolgen dürfen. Für Anlagenbetreiber ist Sicherheit das wichtigste Kriterium Beispiel einer Implementierung eines Zero-Trust-Konzepts für sichere Fernwartung, umgesetzt mit der Fernwartungslösung von genua Bei den Anlagenbetreibern fehlt jedoch häufig die Akzeptanz, weil vom Fernwarter zwar ein hoher Sicherheitsstandard versprochen wird, das tatsächliche Sicherheitsniveau aber oft unklar bleibt. Die Betreiber wissen, dass den Vorteilen einer Prozessoptimierung und einer hohen Maschinenverfügbarkeit durch die Fernwartung zusätzliche Sicherheitsrisiken gegenüberstehen. Sie befürchten nicht zu unrecht das Abfließen sensibler Produktionsdaten, eine (un)beabsichtigte Einschleusung von Malware und generell den Verlust an Kontrolle durch die Zugriffe in ihre sensiblen Netzwerke. Einen ständigen Onlinezugang z. B. zur Zustandsüberwachung sehen viele daher sehr kritisch. Ebenso herrscht Skepsis, ob die Daten sicher ausgeleitet werden. Kleinen und mittelständischen Unternehmen fehlt zudem oft das Know-how, eigene Sicherheitspolicies zu entwickeln und gegenüber den Herstellern durchzusetzen. Aus Sicht der Anlagenbetreiber sollten bei der Sicherheit von Fernzugriffen deshalb Mindeststandards eingehalten werden. Ein zentraler Punkt ist dabei, dass die Anlagenbetreiber jederzeit die volle Kontrolle über externe Zugriffe behalten. Die wichtigsten Security-Standards für sichere Fernwartung Das Bundesamt für Sicherheit in der Informationstechnik (BSI) betont in seiner Analyse zur „Fernwartung im industriellen Umfeld“, dass die Einrichtung eines Fernwartungszuganges generell eine erhebliche Bedrohung darstellt. Es hat deshalb generische Anforderungen für industrielle Fernwartung gemäß dem Stand der Technik formuliert (vgl. BSI-CS 054 und BSI-CS 108, Version 2.0 vom 11.07.2018). Die Anforderungen betreffen die Architektur, die sichere Kommunikation, die Authentisierungsmechanismen, die organisatorischen Anforderungen und weitere sinnvolle Regelungen. Die wichtigsten Security-Anforderungen im Überblick: Verbindungsaufbau nur von innen nach außen Der Verbindungsaufbau für eine Fernwartungssession darf nur von innen nach außen erfolgen. Gegenüber dem Internet dürfen keine Ports dauerhaft geöffnet sein. Direkte Wartungszugriffe aus dem Internet ausschließen Eine direkte Verbindung mit dem Internet sollte ausgeschlossen werden, indem eine neutrale Zwischenebene in einer demilitarisierten Zone (DMZ) eingefügt wird. Den Datentransfer verschlüsseln Um die Sicherheit und Vertraulichkeit von Maschinen und Anlagen zu gewährleisten, muss der Datentransfer sicher verschlüsselt werden. Ein Mindeststandard für den externen Zugriff ist eine sichere VPN-Verbindung mit ausschließlich hochsicheren Verschlüsselungs-Algorithmen. Sichere Authentifizierung Für den Zugriff auf das Produktionsnetz sollte eine sichere Zwei-Faktor-Authentifizierung zwingend notwendig sein. Fernwartungszugriff auf ein Wartungsobjekt beschränken Zusätzlich gilt es den unerwünschten Zugriff auf komplette Anlagen, besonders schützenswerte Anlagenkonfigurationen oder weitere Komponenten im Netzwerk auszuschließen. Fernwartner nur unbedingt notwendige Rechte einräumen Für jeden Fernwarter sollten feingranulare Rechte definiert werden, die exakt nur die Optionen erlauben, die für die jeweilige Rolle unbedingt notwendig sind. Jeden Fernwartungszugriff revisionssicher dokumentieren Jeder Fernwartungszugriff muss revisionssicher in Echtzeit protokolliert und dokumentiert werden, um Veränderungen im Netz und an den Anlagen jederzeit überwachen, kontrollieren und auswerten zu können. Damit können unerwünschte Eingriffe, Fehlbedienungen oder Verstöße gegen Vereinbarungen eindeutig nachvollzogen und identifiziert werden. Als Spezialist für IT-Sicherheit empfiehlt genua, die Anforderungen des BSI für die industrielle Fernwartung immer nur komplett umzusetzen, da sich die einzelnen Elemente untereinander ergänzen und ein fehlendes Glied in der Kette die Sicherheit des Gesamtsystems gefährdet. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Industrie 4.0 Fernwartung Predictive Maintenance Artikel teilen Weiterführende Links Fernwartungslösung genubox Sicherer Wartungszugriff in sensible Netze unterstützt Zero-Trust-Konzepte Zurück zur Übersicht

Insights 09.08.2022 Quantensichere Kryptografie Informationssicherheit im Quantenzeitalter Handlungsempfehlungen für die Post-Quantum-Kryptografie: Wie Sie Ihre Organisation mit Lösungen von genua schon heute auf zukünftige Risiken vorbereiten. Schutz vor Quantencomputern Mit der rasanten Entwicklung von Quantencomputern wachsen auch die Anforderungen an die Kommunikationssicherheit. Alle asymmetrischen kryptografischen Verfahren, die heute in Internetprotokollen Verwendung finden, laufen in naher Zukunft Gefahr, in relativ kurzer Zeit entschlüsselt zu werden. Zudem können Angreifer wie ausländische Nachrichtendienste oder Cyberkriminelle bereits heute verschlüsselte Daten sammeln, um diese später mithilfe dann produktiver Quantensysteme zu entschlüsseln. Damit ist das hohe Gut der Vertraulichkeit sensibler Daten gefährdet. Aus Sicht des Bundesamts für Sicherheit in der Informationstechnik (BSI) muss Post-Quanten-Kryptografie daher langfristig zum Standard werden. Das BSI rät Organisationen bereits frühzeitig und kontinuierlich im Rahmen eines maßvollen Risikomanagements abzuwägen, wann ein Umstieg auf quantensichere Verfahren erfolgen sollte. Welche Organisationen sind besonders betroffen? Um die von Quantencomputern ausgehenden Risiken für die Cybersicherheit der USA zu mindern, unterzeichnete US-Präsident Joe Biden Anfang Mai 2022 ein nationales Sicherheitsmemorandum (NSM), in dem die Regierungsorganisationen aufgefordert werden, vorbeugende Maßnahmen zu ergreifen. Diese betreffen über 50 US-amerikanische Ministerien und Behörden, die nationale Sicherheitssysteme nutzen. Dieses Vorgehen hat Signalwirkung. Weitere Länder könnten schon bald folgen und Behörden, öffentliche Einrichtungen, geheimschutzbetreute Unternehmen sowie Betreiber kritischer Infrastrukturen zu konkreten Schutzmaßnahmen – also zum Umstieg auf quantensichere Verfahren – verpflichten. Entwicklungsstand quantenresistenter Verschlüsselungsverfahren International gibt es bereits mögliche Kandidaten quantenresistenter Verschlüsselungsverfahren, um deren Evaluation sich das US-amerikanische National Institute of Standards and Technology (NIST) bemüht. Allerdings fehlen trotz intensiver Untersuchung noch Vertrauen in die Sicherheit der neuen Verfahren und insbesondere Erfahrung in der praktischen Umsetzung. Damit zeichnen sich Zulassungen und Empfehlungen von offizieller Seite derzeit nur schleppend ab. Mit Kryptoagilität gut vorbereitet Aufgrund sehr langsam aufkommender Standards und Empfehlungen raten wir Kunden zu Kryptoagilität, d. h. bei der Entwicklung und Neuanschaffung von IT-Sicherheitslösungen vor allem auf kryptografische Flexibilität der Sicherheitsmechanismen zu achten. Mit entsprechend konfigurierbaren Produkten vertrauenswürdiger Hersteller können Sie die Angriffsfläche neuartiger Attacken minimieren und auf zukünftige Entwicklungen und Sicherheitsvorfälle reagieren. Dies legt bei hoher Investitionssicherheit ein solides Fundament für eine zukunftsfähige IT-Infrastruktur. Wichtig ist dabei eine hybride Nutzung mit klassischen Verfahren: Durch die Kombination bewährter und neuartiger Kryptosysteme gelingt der sichere Schritt in die Zukunft. Quantensichere VPN-Lösungen und Produkt-Updates Als Experte für IT-Sicherheit entwickelt und testet genua neuartige quantenresistente Verfahren und setzt diese z. B. in VPN-Implementierungen um. Innerhalb eines internationalen Netzwerks aus Unternehmen, Hochschulen und Standardisierungsgremien sind wir an der Gestaltung quantenresistenter VPN-Standards maßgeblich beteiligt. Sobald diese Verfahren und Lösungen marktreif sind, können wir sie zukünftig in unseren vorhandenen IT-Sicherheitslösungen und neuen Anwendungen sicher bereitstellen. Eine wichtige Voraussetzung für Kryptoagilität ist die zukunftssichere Gestaltung von Update-Mechanismen der Produkte. Dies gilt insbesondere dann, wenn der Update-Mechanismus selbst nicht mehr sicher aktualisiert werden kann. Wir gewährleisten unseren Kunden bereits heute vertrauenswürdige Produktaktualisierungen: Unser eigens entwickelter Update-Mechanismus bietet neben einer klassischen digitalen Signatur für höchste Sicherheit nach aktuellen Maßstäben eine Erweiterung um eine quantenresistente Signatur und schützt damit schon jetzt wirksam vor Angriffen mit Quantencomputern. Damit erfüllen wir die Empfehlungen für zukunftssichere Software-Updates gemäß BSI und NIST. Mehr zu Post-Quantum-Kryptografie Fortschritte bei quantenresistenten Virtual Private Networks (VPN) Lösungen von genua bieten zukunftssichere Software-Updates Neues Forschungsprojekt QuaSiModO gestartet Das Ziel ist Kryptoagilität Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Encryption Artikel teilen Weiterführende Links IT-Sicherheitslösungen Zurück zur Übersicht

Insights 01.02.2023 Data Center Interconnect Mit 40 Gbit/s: Highspeed-Koppelung von Rechenzentren mit FPGA-Technologie Für die Sicherheit, Hochverfügbarkeit und Redundanz von Datenzentren entwickeln IT-Sicherheitsexperten bei genua Highspeed-VPN-Gateways auf FPGA-Basis. Das Ziel ist eine äußerst schnelle Signalverarbeitung bei maximaler Vertrauenswürdigkeit in die Hardware. Im Interview erklärt Andreas Fiessler, Leiter FPGA-Entwicklung bei genua, wie Field Programmable Gate Arrays im Projekt genuscreen 40G VPN für die hochperformante Paketverarbeitung eingesetzt werden. genuscreen Appliance Warum ist Vertrauen ein zentraler Faktor für die Koppelung von Rechenzentren? Andreas Fiessler: Vertrauen ist für uns als Sicherheitshersteller grundsätzlich immer der zentrale Punkt für alle unsere Produkte. Gerade bei hardwarebeschleunigten Bausteinen könnte ich auch auf Lösungen zurückgreifen, die fertig von der Stange kommen. Das Problem ist, ich kann nicht reinschauen. Das heißt, dort könnte jede Hintertür, jede Funktionalität verborgene sein, von anderen Leuten eingebaut, versteckt. Und ich kann es nicht beweisen, ich kann es nicht ausschließen. Das ist leider ein wirklich realistisches Szenario. Früher wurde es oft nur diskutiert, dass so etwas möglich ist. Aber gerade in den letzten Monaten haben wir zum Beispiel an Supply-Chain-Angriffen gesehen, dass so etwas tatsächlich durchgeführt wird. Hier habe ich in der FPGA- Entwicklung einen Vorteil. Ich kann die Schaltung selbst bestimmen. Und natürlich kann ich mir selbst vertrauen und beweisen, dass dort nur das passiert, was ich möchte. Video: Andreas Fiessler über Highspeed-Datencenter-Koppelung Welche Vorteile bieten FPGAs für die Koppelung von Rechenzentren? Andreas Fiessler: Die Hauptmotivation ist die Geschwindigkeit. Ich kann mit FPGA-basierter Hardwarebeschleunigung viel höhere Geschwindigkeiten in der Netzwerkpaketverarbeitung erreichen, als das auf klassischen softwarebasierten Systemen möglich ist. Mit unseren softwarebasierten Lösungen erreichen wir in der Verschlüsselung aktuell etwa 1 bis 10 Gbit/s, je nachdem, wie komplex das Szenario ist. Das hängt sehr davon ab, was ich mit den Paketen mache, wie viel Vor- und Nachbearbeitung ich brauche. Mit Hardwarebeschleunigung habe ich ganz andere Geschwindigkeitsbereiche, aktuell 40 Gbit/s, aber auch 100, 200, oder sogar 800 Gbit/s anzupeilen, ist in einem realistischen Rahmen. Primär haben wir das aktuell für die Rechenzentrumskopplung vorgesehen - wenn wenige Verbindungen mit sehr hohen Geschwindigkeitsanforderungen vorliegen. Das heißt, man vernetzt mehrere Rechenzentrumsstandorte. Wie werden FPGAs in der genuscreen 40G VPN Appliance eingesetzt? Aufgeschraubt: genuscreen 40G VPN mit FPGA-Erweiterungskarte Andreas Fiessler: Unsere neue genuscreen 40G VPN Appliance ist eine FPGA-erweiterte Version der bisherigen genuscreen, ein VPN-Gateway, den wir mittels FPGA beschleunigt haben. Auf dem FPGA verwenden wir Offloading-Mechanismen, um die IPsec-VPN-Verbindung zu beschleunigen bis aktuell 40 Gbit/s Full-Duplex. Wir können dabei eine geringe Latenz garantieren von aktuell 20 μs für eine Paketverarbeitung. Wir sehen hier (Bild links) eine geöffnete genuscreen mit der FPGA-Erweiterungskarte. Auf einer normalen genuscreen würde es so laufen: Wir haben unsere Netzwerkinterfaces und der Netzwerkverkehr würde von der normalen CPU softwarebasiert verarbeitet werden. Ich kann auch größere Netzwerkkarten einbauen. Irgendwann ist aber ein inhärentes Maximum durch den Overhead erreicht, der durch so eine softwarebasierte Paketverarbeitung mitkommt. Hier habe ich jetzt stattdessen eine FPGA-basierte Karte. Sie wird über die normale CPU, über das Host System, konfiguriert. Im Gegensatz zur normalen Verarbeitung kann ich die Pakete aber direkt auf dem FPGA verarbeiten. Das heißt, mein Verkehr geht hier rein, wird verarbeitet und kommt auf dem anderen Interface direkt wieder heraus, ohne Overhead. Dadurch erreiche ich einfach höhere Geschwindigkeit. Was begeistert Dich persönlich an FPGA-Technologie? Andreas Fiessler: FPGA-Entwicklung ist einfach fundamental anders als Softwareentwicklung. Die Denkweise ist anders, ein bisschen speziell, aber die Ergebnisse sprechen für sich. Man hat einfach viel mehr Möglichkeiten und Ziele, die man erreichen kann. Mehr zum Thema FPGA elektronikpraxis.de: Warum die IT-Security FPGA Knowhow braucht Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Netzwerksicherheit Rechenzentrum Artikel teilen Zurück zur Übersicht

Insights 05.08.2021 Risiko Remote Work IT-Sicherheit im Home Office Von: Artem Simon Artem Simon