Immer mehr Maschinen und Anlagen in der produzierenden Industrie sind vernetzt. Damit ergeben sich Chancen, zum Beispiel um mit anfallenden Daten die Prozesse zu verbessern. Gleichzeitig entstehen aber auch Risiken, da die industrielle Automatisierungskomponenten anfälliger für Störungen und Angriffe über das Netzwerk werden.

Das Industrial Security Testing Framework ISuTest® ist ein Werkzeug zum Finden von Schwachstellen in den Implementierungen der Automatisierungskomponenten. Entdeckte Schwachstellen können durch den Hersteller behoben werden und damit die Angriffsfläche der Komponente verringern. Denn Robustheit gegenüber Angriffen wird in Zukunft ein Qualitätskriterium sein, mit dem sich Hersteller von anderen absetzen können.

ISuTest® ist als offenes, erweiterbares Framework entworfen und setzt sich so von kommerziellen Wettbewerbern mit Closed-Source-Software ab. Direkte Zielgruppe von ISuTest® sind Hersteller und Integratoren von Automatisierungskomponenten. Es unterstützt seine Nutzer von der Einrichtung eines Schwachstellentests über die Durchführung bis hin zur Isolation von Schwachstellen zum Nachstellen des Fehlers beim Entwickler, der diese in der Folge beheben kann.

Erste Erfolge konnten mit ISuTest® durch die Entdeckung mehrerer seitens der Hersteller bestätigter Schwachstellen erreicht werden. Firmen nutzen das durch das Fraunhofer IOSB in Karlsruhe betriebene ISuTest®-Labor zur Untersuchung ihrer Automatisierungskomponenten auf Schwachstellen. Erste Kooperationen zur Integration von ISuTest® in den Entwicklungsprozess von Herstellern haben begonnen. Diese Erfolge zeigen: ISuTest® erschließt Automatisierungsexperten die Domäne des Security-Testing – die Vision „Security by Design“ wird in der Praxis umsetzbar.

Angebot

Das ISuTest®-Framework kann in unterschiedlicher Art und Weise eingesetzt werden. Der einfachste Fall ist die Nutzung unserer erprobten und bewährten Security-Test-Laborinfrastruktur, um eines Ihrer Geräte mit ISuTest® testen zu lassen. Falls Sie selbst Einblick ins Testen bekommen und eigene Erfahrungen mit ISuTest® sammeln möchten, bieten wir eine vorinstallierte ISuTest®-Appliance zum Mieten oder Kaufen an. Nicht zuletzt kann ISuTest® in Ihre bestehende, entwicklungsbegleitende Testinfrastruktur eingebettet werden. Begleitend dazu bieten wir Schulungen, Beratung und Entwicklungsleistung rund um ISuTest® an.

Test von Komponenten im Security-Testlabor mit ISuTest®

Im einfachsten Fall schicken Sie uns eine zu untersuchende Komponente in unser Security-Testlabor mit ISuTest® im Fraunhofer IOSB in Karlsruhe. In Frage kommen Produkte im Lebenszyklus vom Prototypenstatus beginnend bis zur Betriebsreife. Wir analysieren Ihre Komponente mit ISuTest® und erstellen einen Report über den Stand der IT-Security. Neben Komponentenherstellern können auch Integratoren und Betreiber unsere Analyse dazu nutzen, Produkte zu evaluieren und zu bewerten. So kann auch der Stand der IT-Security einer Komponente in deren Kaufentscheidungen einfließen.

Einsatz der ISuTest®-Appliance

Sie haben vielleicht schon eine Komponente mit ISuTest® untersuchen lassen und wollen selbst Erfahrungen mit ISuTest® sammeln? Perfekt, wir bieten Ihnen gerne eine vorinstallierte ISuTest®-Appliance zum Mieten oder Kaufen an. Nach einer Einführungsschulung zur Nutzung von ISuTest® können Sie loslegen und den praktischen Einsatz von ISuTest® in Ihrem Unternehmen testen. Dazu unterstützen wir Sie gerne mit Beratungs- und Entwicklungsleistungen.

Integration in vorhandene Testinfrastruktur

Der Einsatz von ISuTest® mittels der ISuTest®-Appliance war erfolgreich und Sie würden die Security-Tests gerne regelmäßig statt nur punktuell durchführen? Kein Problem, ISuTest® stellt eine Automatisierungsschnittstelle bereit, über die das Framework ferngesteuert werden kann. Sowohl die Ansteuerung der Tests als auch die Auslieferung der Testergebnisse in bestehende Testsysteme ist möglich. So kann ISuTest® bestehende, funktionale Tests um Security-Tests ergänzen.

Schulung, Beratung und Entwicklung

Als modulares und erweiterbares Framework kann ISuTest® in alle möglichen Richtungen erweitert werden. Herstellereigene Konfigurationsprotokolle? Auch der Test dieser häufig anfälligen Protokolle ist möglich. Wir implementieren das Protokoll für Sie, oder wir zeigen Ihnen, wie Sie das selbst tun können. Sie müssen eine weitere Komponente zum Test ansteuern? Kein Problem. Sie wollen eine andere Art von Geräten testen, zum Beispiel Medizingeräte? Sprechen Sie uns an, wir finden eine Lösung.

Sie haben Interesse? Zögern Sie nicht, uns über die nebenstehenden Kontaktfelder anzuschreiben oder anzurufen. Wir beraten Sie gerne!

Das Lernlabor Cybersicherheit der Fraunhofer Academy ist eine Zusammenarbeit zwischen Fraunhofer und ausgewählten Fachhochschulen. Fach- und Führungskräfte aus Industrie und öffentlicher Verwaltung erhalten eine kompakte Qualifizierung in hochwertigen Laboren mit aktueller IT-Infrastruktur. Sie stellen dort reale Bedrohungsszenarien nach, lernen deren Bedeutung und Konsequenzen zu erkennen und studieren geeignete Lösungskonzepte praxisnah in ihrem Einsatz und ihrem Wirkungsgrad.

In Anlehnung an bewährte Kooperationsmodelle zwischen Fraunhofer und Fachhochschulen wird für die Weiterbildung von IT-Sicherheitsfachkräften ein Modell umgesetzt, das die Fachhochschulen in der kooperativen Forschung, in der Entwicklung der Weiterbildungskonzepte und Lehrmodule und schließlich in der Vermittlung der Lehrinhalte als Partner einbindet.

Durch den Aufbau des Lernlabors Cybersicherheit und der Vernetzung des Weiterbildungsangebots verschiedener Partnerkonsortien werden Anwender und Entscheider adressiert. Die Module sind branchen-, themen- und funktionsspezifisch auf die Bedarfe der Industrie und öffentlichen Verwaltung abgestimmt.

Die Qualität der Schulungen wird durch die Einbeziehung der Fraunhofer Academy gesichert. Diese ist verantwortlich für die Berücksichtigung aktueller Erkenntnisse aus der Lern- und Bildungsforschung in der Angebotsentwicklung sowie für ein durchgehendes Qualitätsmanagement. Weiterhin koordiniert sie sowohl die Angebotsentwicklung und -vermarktung als auch eine (spätere) Personenzertifizierung.

Das Fraunhofer IOSB ist Kooperationspartner der ISA Europe und ist damit in der Lage, den offiziellen ISA-Personenzertifizierungskurs zur IEC 62443 in Deutschland anzubieten. In praxisorientierten Modulen werden die Herausforderungen und Strategien zur Umsetzung eines umfangreichen Sicherheitsprogramms für Betreiber, Integratoren und Produkthersteller von industriellen Automatisierungs- und Steuerungsanlagen vermittelt.

Der sichere Betrieb von modernen industriellen Netzen ist eine wesentliche Herausforderung. Hilfreich hierzu sind Kommunikationsprotokolle, welche geschützte und authentifizierte Verbindungen erlauben, wie es z.B. bei OPC UA der Fall ist.

Bei OPC UA sind diese Verbindungen, wie auch bei vielen anderen Protokollen, durch den Einsatz von Zertifikaten abgesichert, die eine eindeutige Authentifizierung der Kommunikationsteilnehmer ermöglichen. In der Praxis fällt bei deren sinnvollen Einsatz jedoch ein Konfigurations- und Managementaufwand an.

OPC UA und Zertifikatsverwaltung

Um diesen Aufwand so gering wie möglich zu halten, beinhalten der OPC-UA-Standard bereits in das Protokoll integrierte Funktionen zur Verwaltung dieser Zertifikate. Für die Umsetzung ist dabei ein sogenannter „Global Discovery Server“, kurz GDS, mit Zertifikatsmanagementunterstützung notwendig.

open62541-basierter GDS

Der open62541-basierter GDS ist eine Umsetzung eines solchen Global Discovery Servers mit Zertifikatsmanagement. Er bietet dabei die Verwaltung von registrierten Anwendungen in einem OPC-UA-Netzwerk, genauso wie die Verwaltung und Verteilung von Zertifikaten und Vertrauenslisten.

Der GDS basiert dabei auf der quelloffenen open62541-Implementierung des OPC-UA-Standards.

Angebote

Wir führen Forschungs- und Entwicklungsprojekte zum Einsatz sicherer Vertrauensinfrastrukturen in industriellen Netzen durch und stellen diese Erkenntnisse und Erfahrungen zur Verfügung.

Planung und Konzepterstellung

Wir planen Einsatzszenarien für OPC-UA-Umgebungen und erarbeiten mit unseren Partnern und Kunden Konzepte für den Aufbau und Betrieb sicherer Kommunikationsnetze.

Sicherheitsanalysen

Wir analysieren neue und bestehende OPC-UA-Umgebungen auf ihre Sicherheitseigenschaften. Dabei beziehen wir nicht nur die neusten wissenschaftlichen Erkenntnisse mit ein, sondern führen auch gezielte technische Tests mit ein um die Sicherheit der Umgebungen zu bewerten.

Konzepte und Umsetzung von sicherem OPC UA

Wir führen Entwicklungsarbeiten auf Basis von OPC UA durch, um Anwendungsfälle für sichere industrielle Netzwerke umsetzen zu können. Dabei erstellen wir auch passende Konzepte für das Zertifikatsmanagement und den Einsatz von Public-Key-Infrastrukturen (PKI).

Zertifikatsmanagement mithilfe des GDS

Wir entwickeln und fördern die Umsetzung des Zertifikatsmanagements in OPC UA anhand des open62541-Stacks und durch eine eigene GDS-Implementierung.

In modernen Produktionsanlagen spielen industrielle Automatisierungs- und Kontrollsysteme (IACS) eine große Rolle. Durch fortschreitende Vernetzung gewinnt außerdem ihre Robustheit und Sicherheit an Bedeutung. Hoch vernetzte IACS sind besonders anfällig für Angriffe aus der Ferne, da sie zum einen für einen Angreifer aus dem Netzwerk zu erreichen sind und zum anderen Einfluss auf den Produktionsprozess nehmen können. So besteht für einen Angreifer prinzipiell die Möglichkeit ohne physischen Zugang Schäden am Produktionsprozess zu erwirken. Dies erreicht der Angreifer indem er unter anderem Schwachstellen in den IACS ausnutzt. Aus diesem Grund ist es notwendig, Schwachstellen in IACS zu vermeiden. Eine Möglichkeit hierfür ist Security Testing. Dabei ist das Ziel, Schwachstellen schon während der Entwicklung von IACS aufzudecken. Werden die Schwachstellen schon im Entwicklungsprozess gefunden, können sie geschlossen werden bevor das IACS produktiv eingesetzt wird.

In unserem Security Testing Labor können Automatisierungskomponenten mit diversen Varianten des Security Testing untersucht werden. Der Fokus liegt dabei auf automatisierten Black-Box Tests über eine Ethernet-Schnittstelle. Bei Black-Box Tests wird das zu testende System nur von außen betrachtet, Wissen über Interna muss nicht in den Test einfließen. Neben üblichen Netzwerkprotokollen werden in unserem Labor auch Schwachstellen in der Kommunikation über industrielle Protokolle wie beispielsweise PROFINET oder MODBUS/TCP untersucht. Bietet das untersuchte System eine Webseite an, wird diese ebenfalls auf Schwachstellen überprüft. Zum Einsatz kommt hierbei das am Fraunhofer IOSB entwickelte Security Testing Framework ISuTest, eine Achilles Testing Platform von GE sowie diverse weitere unterstützende Programme.

Durch regelmäßige Security Untersuchungen von realer Hardware in unserem Security Testing Labor werden unsere Systeme ständig evaluiert und weiterentwickelt. So wird sichergestellt, dass sie die aktuellen Anforderungen an Security Tests im Bereich der industriellen Automatisierungskomponenten erfüllen können.

Bei bisherigen Untersuchungen wurden unter anderem Buskoppler, (Safety-) Steuerungen, Switches und Edge Devices auf vorhandene Schwachstellen untersucht. Zudem haben wir medizinische Geräte und OPC UA Umgebungen analysiert. Generell möglich ist eine Untersuchung von Systemen, die eine Kommunikation über eine Ethernet-Schnittstelle bereitstellen.

Durch unser gut ausgestattetes Security Testing Labor können wir verschiedene Dienstleistungen anbieten. So können wir Security Tests für Hersteller in unserem Labor durchführen. Dabei können die oben genannten Untersuchungsmethoden zum Einsatz kommen. Außerdem können wir unser Labor für Hersteller bereitstellen, die ihre Hardware durch eigene Entwickler mit Hilfe unserer Umgebungen testen lassen wollen. Ist das Ziel, die Untersuchungen der Hardware längerfristig im eigenen Unternehmen durchzuführen, beraten wir auch bei dem Aufbau eines Security Testing Labors beim Hersteller.

Auch in diversen Forschungsprojekten wird der Themenbereich Security Testing und der Aufbau und die Weiterentwicklung eines Security Testing Labors betrachtet. Durch regelmäßige Security Untersuchungen von realer Hardware in unserem Security Testing Labor werden unsere Systeme ständig evaluiert und weiterentwickelt. So wird sichergestellt, dass sie die aktuellen Anforderungen an Security Tests im Bereich der industriellen Automatisierungskomponenten erfüllen können.