Virenschutzprogramme gehören heute im klassischen PC-Bereich zum Standard. In der industriellen Fertigung wird das Thema IT-Sicherheit aber noch sehr stiefmütterlich behandelt. Dies hat mehrere Gründe: Oftmals verfügen diese Rechner nur über sehr geringe Systemressourcen. Insbesondere Hauptspeicher und Plattenplatz sind zu knapp bemessen, um aktuelle Sicherheitssoftware darauf auszuführen. Reaktive Virensignaturen können problemlos 100MB Hauptspeicher nutzen, proaktive Technologien wie Datei- oder IP-Reputationsdienste benötigen ausreichend Rechenleistung, um in vernünftiger Geschwindigkeit ausgeführt zu werden. Manchmal gibt es auch schlicht und einfach für alte – sogenannte Legacy Systeme wie Windows NT oder Windows 2.000 – keinen Support mehr und damit auch keinen Virenschutz seitens der Hersteller. Ein weiterer Grund ist, dass sich diese Rechner häufig abgeschottet oder isoliert in den Produktionslandschaften befinden und damit keine geeignete Infrastruktur für Signatur-Updates besitzen. Auch argumentieren viele Firmen, dass diese Rechner als reines Fertigungssteuerungsgerät in Verbindung mit einem Roboter oder einer Fertigungsstraße zum Einsatz kommen und daher keine sicherheitskritischen Anwendungen besitzen. Gerade das letzte Argument führt überwiegend dazu, dass diese Systeme nach Inbetriebnahme nicht mehr gepatcht werden, was die Sicherheitsproblematik noch einmal mehr verschärft. Betroffen ist letztlich die Gesamtsicherheit eines Unternehmensnetzes, obwohl diese \’veralteten\‘ Computersysteme sehr oft in einem separaten Netz stehen.
Gefahrquelle private Daten und Downloads
Es wird oft davon ausgegangen, dass Systeme in Produktionsumgebungen nicht mit neuer Software und anderen Geräten in Berührung kommen. Fremd- oder Wartungsfirmen spielen beispielsweise Updates ein und verbinden ihre Service-Computer mit dem Zielsystem. Mitarbeiter installieren – verbotenerweise – das eine oder andere Programm oder legen Daten, wie z.B. Spiele oder Musikdateien, via USB-Stick auf dem Steuerungssystem ab, um sich während der Nachtschicht die Zeit zu vertreiben. Oft wird verkannt, dass von diesen nicht gepatchten und ungeschützten Systemen ein Risiko auf andere Systeme im gleichen Netz ausgeht. Auch kann das Office-Netzwerk davon in Mitleidenschaft gezogen werden, wenn es eine Netzwerkverbindung gibt. Eine Schwierigkeit ist zum einen, dass kein geeigneter Virenschutz platziert werden kann, zum anderen, dass die Sicherheitsprobleme nicht entsprechend in den Griff zu bekommen sind. Zum Teil ist es sogar so, dass der Anbieter eines Fertigungssystems die Installation jeder Fremdsoftware – darunter auch Antiviren-Software – verbietet. Bei Zuwiderhandlungen würde man die Gewährleistung verlieren und bei Systemproblemen die Kosten tragen müssen. In vielen Fällen führt dies dazu, dass Firmen das Problem als nicht lösbar einordnen und komplett ignorieren. Allerdings gehen immer mehr Hersteller solcher Systeme Kooperationen mit den Anbietern von Sicherheitssoftware ein oder bieten selbst Lösungen zum Schutz ihrer Systeme an. In vielen Fällen existieren auf Nachfrage bei solchen Herstellern auch konkrete Umsetzungen, um gemeinsam mit Sicherheitsanbietern derartige Systeme geeignet abzusichern.
Schutz über den Virenscanner hinaus
Change- und Application-Control-Systeme sind eine gute und fast immer einsetzbare Lösung. Sie setzen dort an, wo der Virenscanner aufhört. Stabilisierung des Systems und Rechteeinschränkungen können die durch ihre Systemressourcen sehr eingeschränkten Windows- oder Unix-basierten Rechner in einen sicheren Zustand bringen. Erforderlich ist eine ressourcenschonende und effiziente Lösung, weil an diesen Systemen weitreichende Modifikationen am Betriebssystem aus ihrer Natur heraus eher selten vorkommen, Virenscanner enorm viele Ressourcen benötigen oder das darunter liegende Betriebssystem schon längst nicht mehr von Anti-Virus-Software unterstützt wird. Im Umkehrschluss bedeutet dies auch, dass ein Virenschutz nicht mehr notwendig ist, weil man einen Paradigmenwechsel vollzieht: vom \’Black-Listing\‘ (also einer Liste von Schadsoftware) auf \’White-Listing\‘ (es sind ausschließlich \’gute\‘ Programme installiert). Application-Control-Systeme verbieten einem nicht-autorisierten Anwender, Modifikationen am Betriebssystem oder deren Applikationen vorzunehmen. Auch schadhafte Prozesse wie Viren oder Trojaner können das nicht, selbst wenn sie über volle administrative Rechte verfügen sollten. Change-Control-Systeme bieten darüber hinaus oftmals die Möglichkeit, Änderungen an der Registry und an sogenannten non-executables wie einer Config-Datei zu verbieten. Change- und Application-Control-Systeme treten daher auch in Kombination als sogenanntes Integrity Control-System auf. Eine solche Lösung sollte durch entsprechende Kontrollmöglichkeiten der Schnittstellen von Endgeräten, auch als Device Control bezeichnet, abgerundet werden. So lassen sich USB-Slots oder andere vorhandene Schnittstellen wie parallele oder serielle Anschlüsse kontrollieren und der Zugang darüber festlegen. Neben einer lokalen Administration sollte für diese Systeme aber zwingend eine globale zentrale Administration – durch unterschiedliche Rollen – möglich sein. Darin müssen Prozesse abbildbar sein, wonach beispielsweise bestimmte Personengruppen einige Funktionen zeitlich freischalten oder umgehen können, falls dies für den betrieblichen Ablauf notwendig ist. Schließlich soll auch durch höchstmögliche Sicherheit die Produktivität nicht oder nur minimal eingeschränkt werden.
Synergieeffekte nutzen
Im Idealzustand sind Kooperationen zwischen Sicherheitsherstellern und Herstellern solcher Fertigungssteuerungssysteme bereits vorhanden und erprobt. Dies reduziert insbesondere die Support- und Rechtsfragen bei einer Nutzung und einem Einsatz derartiger Sicherheitssysteme. Auch die Integration in ein zentrales Management-System ist entscheidend, um Abläufe und Modifikationen zentral und global umsetzen zu können. Gerade auf sogenannten \’Legacy Systemen\‘ ist der Einsatz eines solchen Sicherheitssystems unerlässlich. Die Belohnung sind enorme Synergie-Effekte: Neben der Möglichkeit wertvolle Zertifizierungen für die Produktionsumgebung des Unternehmens zu erhalten, steigt die Sicherheit des gesamten Unternehmens mit einem relativ geringen Aufwand deutlich an. n @Internet: @Internet:www.mcafee.com
