Das Schienennetz einer Stadt und mehr noch der Fernzugverkehr einer ganzen Nation sind ihr Lebenserhaltungssystem, ihre Venen und Arterien. Störungen dieser Personen- und Warenströme sind Unterbrechungen der Gesellschaft, der Wirtschaft und der Kultur. Die ständige Aufrechterhaltung des Eisenbahnverkehrs erfordert dessen Schutz nicht nur vor den Bedrohungen von heute, sondern auch von morgen. Da die Nutzung der systemrelevanten Eisenbahnnetze zunimmt, werden auch die Cyberangriffe gegen sie wachsen. Daher besteht ein Bedarf an hochmodernen IT-Schutzmaßnahmen, die sich schnell und einfach in den Routinebetrieb der Bahn integrieren lassen. Darüber hinaus müssen diese IT-Schutzmaßnahmen ressourcenschonend sein und hohe Datenmengen schnell genug übertragen, um etwa mit dem rasanten Informationsaustausch im Pendlerverkehr Schritt zu halten und dem dezentralen Aufbau moderner Bahntechnologien gerecht zu werden.
TXOne Networks, Experte für OT (Operational Technology) Cybersicherheit, erklärt, welche Gefahren für Eisenbahnsysteme bestehen und wie leistungsstarke IT-Sicherheitslösungen diese lebenswichtigen Netzwerke und Systeme besser schützen können. Die angeführten Beispiele und Sicherheitshinweise lassen sich jedoch auch auf andere sensible Wirtschaftsbereiche und systemrelevante Industrien übertragen.
Bedrohungen der IT-Architektur von Bahnsystemen
Cyberangriffe auf nationale Versorgungs- und Verkehrsnetze haben in letzter Zeit zwar massiv zugenommen, sind aber keineswegs neu. So haben IT-Sicherheitsspezialisten bereits 2015 auf der CeBIT-Messe in Hannover ein realitätsnahes simuliertes Schienennetz online gestellt, um zu sehen, wie viel Aufmerksamkeit es bei Hackern erregen würde. Während der sechswöchigen Laufzeit des Tests wurden 2.745.267 Cyberangriffe dokumentiert, und in „etwa 10 Prozent der Angriffe“ gelang es den Eindringlingen, eine gewisse Kontrolle über die simulierten Anlagen zu erlangen.(1) Oft, aber nicht immer haben diese Angriffe rein finanzielle Motive. So wurden zahlreichen Cyberangriffen der letzten Jahre auch Behauptungen oder Beweise beigefügt, die sie als terroristische Akte erscheinen ließen.
Die dezentrale IT-Architektur der Eisenbahnnetze ermöglicht eine hohe Anpassungsfähigkeit der Infrastruktur und den Einsatz einer Vielzahl modularer Anlagen, von denen viele allerdings nicht mehr auf dem neuesten Stand sind oder generell nicht gepatcht werden können. Die sich schnell verändernde Natur von Cyberbedrohungen steht hier also im Kontrast zu der langen Lebensdauer und der großen Vielfalt der Bahnsysteme, was die Durchsetzung genereller Sicherheitsrichtlinien erschwert. Die gleichen hochgradig vernetzten IT-Pfade, die den Zugang für vertrauenswürdige Bahntechniker erleichtern, erhöhen auch die Zugriffsmöglichkeiten für Cyberangreifer. Aus diesem Grund sind speziell entwickelte Cybersicherheitsanwendungen und -software so wichtig.
Unterschiedliche Systeme brauchen unterschiedlichen Schutz
Jedes der Eisenbahn-Teilsysteme besteht aus völlig unterschiedlichen Bestandteilen mit unterschiedlichen Anforderungen an die Cybersicherheit. Die für jedes Teilsystem erforderlichen, als sicher eingestuften IT-Anwendungen wurden alle systematisch einer typbezogenen Überprüfung unterzogen und gemäß den einschlägigen Zertifizierungen abgesichert, bevor sie das Werk verließen. Der Nachteil von Zertifizierungen ist jedoch, dass sie Standards setzen, indem sie allgemeine Schutz-und Abwehrmechanismen einführen, die Hacker vorhersagen und ausnutzen können. Wenn ein Cyberkrimineller eine Schwachstelle in einem Bahnsystem oder einer industriellen Produktionsanlage erkennen kann, ist es wahrscheinlich, dass dieselbe Schwachstelle auch in anderen Anlagen mit denselben Zertifizierungen vorhanden ist. Daher müssen IT-Lösungen zur Verfügung gestellt werden, die über die Sicherheitszertifizierung hinausgehen und ständig von engagierten Sicherheitsexperten aktualisiert und verbessert werden, damit sie sich auf neue Cyberbedrohungen einstellen können.
Einfach zu bedienende und maßgeschneiderte Lösungen
Zwar heißt es oft, dass Cybersicherheit mit der richtigen Ausbildung der Anwender beginnt, aber der hektische Arbeitsalltag des Bahnpersonals lässt selten Zeit für Schulungen und Aufklärung. Daher müssen alle IT-Sicherheitslösungen so selbsterklärend, ausfallsicher und schlank wie möglich sein, um die Benutzerfreundlichkeit zu fördern. Idealerweise sollte eine Anwendung eingesetzt werden, die über die notwendigen sensiblen IT-Protokolle verfügt, um den Netzwerkverkehr auf verdächtige Aktionen zu überprüfen und ungewöhnliches oder unerklärliches Verhalten zu blockieren. Solche IT-Sicherheitsinstrumente haben den zusätzlichen Vorteil, dass sie die Wahrscheinlichkeit menschlicher Fehler deutlich verringern.
Jedes Teilsystem der Bahn muss mit IT-Lösungen eingerichtet werden, die auf seine spezifischen Bedürfnisse zugeschnitten sind. Ortsfeste Endgeräte mit fester Verwendungsdauer („Fixed-use Endpoints“) bedürfen einer Lockdown-Software, moderne Endpunkte sollten mit flexiblen und anwenderfreundlichen Antivirenprogrammen der nächsten Generation abgesichert werden, mobile Endgeräte profitieren von portabler Rapid-Scan-Technologie, und Netzwerke sollten mit dem OT-„Sicherheitsdreieck“ aus Segmentierung, Inspektion und virtuellem Patching gegen Cyberangriffe geschützt werden.
Cyberangriffe stoppen und Malware isolieren
Intrusion-Prevention-Systeme (IPS) waren einst reine Filtersysteme gegen Cyberangriffe, und solche veralteten IPS bieten keinen ausreichenden Schutz mehr für kritische Infrastrukturnetze. Stattdessen werden Edge-bezogene, also für den Netzwerkrand geeignete Lösungen benötigt, die einen umfassenderen Schutz für die IT-Systeme und Anlagen an Bahnhöfen und Eisenbahnstrecken bieten – bestehend aus IPS der nächsten Generation und einer modernen Firewall. Solche Lösungen helfen dabei, verdächtiges Verhalten auf Nutzerkonten oder von Endgeräten zu erkennen. Zudem können sie eine virtuelle „Patching-Blase“ um Alt-Systeme legen, die nicht gepatcht oder ersetzt werden können, und sie segmentieren Netzwerke so, dass diese viel besser zu schützen sind.
Die Zugangspunkte (Access Points – APs), die ein Zug für den Zugang zu Mesh-Netzen oder das Roaming verwendet, werden oft mit begrenzter oder kaum vorhandener Sicherheit betrieben. So kann normalerweise jeder überall entlang der Strecke mithilfe seines Smartphones die Zugangskennung eines APs finden und versuchen, sich Zutritt zu verschaffen – wodurch er dann die Signalsteuerung beeinflussen könnte. Eine sogenannte EdgeIPS-Lösung kann dies unterbinden. Sie eignet sich perfekt für den Einsatz zwischen dem AP und seinem Switch, um zu verhindern, dass dieser kompromittiert wird.
Schutz von mobilen und eigenständigen Anlagen
IT-Endgeräte wie Laptops, Smartphones oder USB-Sticks, die von IT-Anbietern oder Wartungsexperten in die IT-Systeme vor Ort mitgebracht werden, sind eine der häufigsten Möglichkeiten, gefährliche Bedrohungen in das OT-Netzwerk einzuschleusen. Meist geschieht dies unabsichtlich, aber oft mit fatalen Folgen. Zusätzlich zu den routinemäßigen Scans der vor Ort eingesetzten Technologie empfehlen Sicherheitsexperten die Verwendung spezieller mobiler Sicherheitsgeräte für Pre-Scans neuer Endgeräte vor deren Einsatz im Netzwerk. Außerdem sollte diese mobile Sicherheitsanwendung zur Errichtung eines Kontrollpunkts verwendet werden, um alle Laptops und anderen IT-Geräte zu scannen, die vom Wartungspersonal in Bahnsysteme oder andere sensible IT-Umgebungen vor Ort mitgebracht werden. Die Fähigkeit einer solchen Sicherheitslösung, idealerweise schnelle Scans ohne Installation von Software durchzuführen, macht sie perfekt für Checkpoint-Scans sowie für sensible Endgeräte, die aus verschiedenen Gründen keine Installation neuer, aktueller Software zulassen.
Schutz von ortsfesten und veralteten Geräten
Für ortsfeste Anlagen wie Fahrkartenautomaten und Bordcomputer ist eine auf einer sogenannten „Trust List“ basierende ICS-Anwendung zum Schutz von Endgeräten bzw. Endpunkten die ideale Lösung. Denn selbst wenn Malware ihren Weg in die funktionierende Hardware eines Unternehmens findet, kann sie aufgrund der durch die Vertrauenslisten ausgelösten Sperre nicht ausgeführt werden. So können Anwendungen aller Art, Konfigurationen, Daten und USB-Geräte mithilfe einer Vertrauensliste gesperrt werden, die alle Anwendungen, die nicht auf der Liste stehen, von der Ausführung ausschließt. Zudem können Nutzer, die nicht auf der Liste stehen, keine Änderungen an Daten oder Konfigurationen vornehmen. Zusätzlich können nur vom Administrator zugelassene USB-Geräte eine Verbindung zum Gerät herstellen, und nur ein Administrator kann einem Endgerät eine einmalige Genehmigung für eine Verbindung erteilen.
Fazit
Im Gegensatz zu früheren physischen Überfällen bevorzugen es kriminelle Organisationen heute, ihre Angriffe über das Internet bequem vom Computersessel aus durchzuführen – was sie noch gefährlicher macht. Um den täglichen Betrieb des Schienenverkehrs zu sichern und das Vertrauen der Passagiere zu bewahren, muss die komplette Datenverarbeitung vor Unterbrechungen geschützt und gleichzeitig ihre maximale Verfügbarkeit aufrechterhalten werden. Dabei darf kein Aspekt dieser IT-Sicherungsmaßnahmen oder des Datenaustauschs mehr Zeit oder Ressourcen als nötig beanspruchen, um die reibungslose und rasche Abwicklung der Personen- und Warenströme sicherzustellen. Aus diesem Grund sind speziell entwickelte Cybersicherheitsanwendungen und -software so wichtig für die Sicherheit des Schienenverkehrs.
Weitere Informationen finden Sie unter www.txone-networks.com bzw. https://www.txone-networks.com/white-papers/content/securing-autonomous-mobile-robots
Autoren:
Michael Cheng (Director, TXOne Networks) & C. Max Farrell (Senior Technical Writer, TXOne Networks)
(1) Vlad Gostomelsky, “Securing the Railroads from Cyberattacks”, Mass Transit Magazine, Dec 17 2019