Ende November, nur wenige Tage bevor der Thanksgiving-Truthahn auf den Tisch kommt, werden Hacker einen koordinierten Angriff auf das nordamerikanische Stromnetz starten. Sie werden Kraftwerke, Strommasten und Verteilerstationen ins Visier nehmen – eine Machtdemonstration, die Millionen von Haushalten ohne Strom zurücklassen und Infrastruktureinrichtungen lahmlegen wird.
Das FBI, das Ministerium für Innere Sicherheit sowie Dutzende von Leitern der Informationssicherheit (CISOs) bei großen Energieversorgungsunternehmen werden alle Hände voll zu tun haben, um auf den Angriff zu reagieren und dessen Ausbreitung zu verhindern. Glücklicherweise werden sie einen direkten Draht zu den Angreifern haben und deren Motive verstehen: Sie wollen uns beschützen.
Dieses Angriffsszenario ist Teil einer groß angelegten Initiative der größten Aufsichtsbehörde für Energieversorger des Landes, die darauf abzielt, die Widerstandsfähigkeit unseres Energiesystems auf die Probe zu stellen – um dessen Stärken zu ermitteln und dessen Schwachstellen im Hinblick auf digitale oder physische Angriffe aufzudecken. Die North American Electric Reliability Corporation (NERC), die Aufsichtsbehörde der Branche, wird am 16 . und 17. November diesen simulierten Angriff auf Hunderte von Energieversorgungsunternehmen starten.
Noch nie stand so viel auf dem Spiel. Im vergangenen Jahr haben sich laut einer Studie der NERC die Angriffe durch die Ransomware „ “ sowie Angriffe auf die Lieferkette von Versorgungsnetzen mehr als verdoppelt. In den zwei Jahren seit der letzten Übung der NERC im Jahr 2019 ist es zu einer weltweiten Pandemie gekommen. Die Versorgungsnetze haben im Zuge der Arbeit im Homeoffice stark zugenommen, und da die Zahl der Endgeräte von Mitarbeitern im Rahmen des „ “ explosionsartig angestiegen ist, haben sich neue Angriffsflächen für Hacker eröffnet.
Die NERC überlässt es den Energieversorgungsunternehmen, Softwareentwickler zur Teilnahme an der Übung einzuladen. Doch die Versorgungsunternehmen halten sich nicht immer daran, und das lässt die Alarmglocken läuten. Die jüngsten Hackerangriffe auf die Lieferketten der Softwareanbieter , Kaseya im Juli sowie und SolarWinds im vergangenen Jahr unterstreichen, wie wichtig Softwareanbieter für viele Branchen sind, darunter Versorgungsunternehmen, Bundesbehörden und die kritischen Einrichtungen des Landes.
Sicherheitstests von Versorgungsnetzen sind ohne die Beteiligung der wichtigsten Akteure in diesen Netzen unvollständig. „ “, so Experten wie Tim Conway vom SANS Institute, einer Organisation für Cyberforschung und -schulungen. Herr Conway ist technischer Leiter der SANS-Programme für industrielle Steuerungssysteme (ICS) und für Überwachungs-, Steuerungs- und Datenerfassungssysteme (SCADA). „Softwareentwickler spielen in der realen Welt eine sehr wichtige Rolle als Partner ihrer Kunden bei der kontinuierlichen Abwehr und Erkennung potenziell bösartiger Ereignisse“, sagt er. „Sie sind für den Betrieb unverzichtbar.“
Echte Alarmglocken
Die Netzsicherheitsübung „ “ ( , GridEx), wie die Übung des NERC genannt wird, findet seit 2011 alle zwei Jahre statt. An der ersten Übung nahmen 24 Versorgungsunternehmen teil. Unbefugte drangen gewaltsam in Umspannwerke und Notfall-Leitstellen ein und installierten Schadsoftware, die wichtige Geschäftsprozesse beeinträchtigte. Im Jahr 2019 bewiesen simulierte physische Angriffe auf 254 teilnehmende Energieversorgungsunternehmen, dass diese die Brennstoffversorgung stören, Energiesteuerungssysteme unterbrechen und Schäden an Erzeugungs-, Übertragungs- und Verteilungsanlagen verursachen konnten.
„“Die Ermittlung der Auswirkungen von Software-Sicherheitsverletzungen auf Systeme ist ein entscheidender Bestandteil des Schutzes unserer Netzwerke.“Anne Marie Corbalis, Leiterin der Abteilung für Medienarbeit bei Consolidated Edison in New York
Die Simulation „ 2019 “ wurde in vier Abschnitte unterteilt. Im ersten Teil warnte das gemeinsame Portal der NERC für Cybersicherheitsrisiken – das „Electricity Information Sharing and Analysis Center“ (E-ISAC) – die Energieversorger vor einer möglicherweise unmittelbar bevorstehenden Bedrohung für das Stromnetz. Anschließend wurden Informationen über eine Malware-Kampagne veröffentlicht, die auf Steuerungssysteme abzielte, woraufhin im Stromnetz Erzeugungsausfälle auftraten.
Die größten Auswirkungen des Angriffs waren im zweiten Teil zu verzeichnen, wodurch 5 Millionen Haushalte von der Stromversorgung abgeschnitten wurden und Wasseraufbereitungsanlagen beeinträchtigt wurden. Im zweiten und dritten Teil setzten die Versorgungsunternehmen und die Regierung Notfallpläne um und koordinierten die nächsten Schritte, um den Angriff abzuwehren. ICS-Anbieter veröffentlichten einen Software-Patch, der zur Behebung der Systemschäden erforderlich war; die Versorgungsunternehmen installierten die Patches, und die Stromversorgung wurde wiederhergestellt.
Im 2019 -Test wird deutlich, wie sehr man auf die Unterstützung von Anbietern angewiesen ist, um die Stromversorgung wiederherzustellen. An der Übung nahmen jedoch nur drei große Lieferanten aus der Lieferkette teil. Und beim letzten GridEx im Jahr 2017 luden die Energieversorger überhaupt keine Anbieter ein. In seinem Bericht „Lessons Learned“ im Anschluss an die Übung „ 2019 “ stellte die NERC fest, dass einigen Versorgungsunternehmen „die notwendigen Ressourcen zur Koordinierung der Reaktionen“ auf den simulierten Angriff fehlten, und kam zu dem Schluss: „Es obliegt den teilnehmenden Organisationen, ihre Lieferkettenpartner in ihre Reaktionspläne einzubeziehen.“
[Lesen Sie auch: 5 Möglichkeiten zur Sicherung und Optimierung der Lieferkette im Homeoffice]
Da die Versorgungsunternehmen zunehmend digitalisiert und vernetzt sind, haben sich ihre potenziellen Angriffsflächen vergrößert. Zu diesen Bereichen gehören zunehmend auch Drittanbieter wie Softwareentwickler, deren Produkt-Updates für Hacker eine Hintertür darstellen können: . Die Sicherheit von Versorgungsunternehmen hängt zunehmend von den Cyberabwehrmaßnahmen der Unternehmen ab, mit denen sie zusammenarbeiten.
Ganzjährige Strategien
Die NERC vertritt nach wie vor die Auffassung, dass es nicht in der Zuständigkeit der Aufsichtsbehörde liege, Entwickler zu dem Test einzuladen. Zwar „empfiehlt“ die NERC den Energieversorgern „nachdrücklich“, Lieferanten einzubeziehen, doch ist sie der Ansicht, dass „die Teilnehmer am besten beurteilen können, welche Lieferanten für ihren Betrieb von entscheidender Bedeutung sind“, so NERC-Sprecherin Rachel Sherrard.
“„Die Sicherheit von Versorgungsunternehmen hängt zunehmend von den Cyberabwehrmaßnahmen der Unternehmen ab, mit denen sie zusammenarbeiten.“
Sherrard erklärt, dass die NERC bei der diesjährigen Übung einigen Anbietern gestatten wird, den Teil der Übung zu beobachten, der für leitende Führungskräfte der Branche und hochrangige Regierungsvertreter konzipiert ist. Dieser Teil der Veranstaltung, der nur auf Einladung zugänglich ist und als „Executive Tabletop“ bezeichnet wird, umfasst CEOs, COOs und hochrangige Vertreter von Behörden wie dem DHS, dem Verteidigungsministerium, dem FBI und dem Nationalen Sicherheitsrat des Weißen Hauses. Ihre Aufgabe besteht darin, über „Maßnahmen auf hoher Ebene“ zu entscheiden und diese umzusetzen, die zur Wiederherstellung des Stromnetzes nach dem simulierten Cyberangriff erforderlich sind.
Bei der diesjährigen Übung werden daher einige Anbieter auf Wunsch der NERC beteiligt sein, während andere auf Einladung einzelner Energieversorger teilnehmen werden; es ist jedoch noch unklar, wie viele Anbieter insgesamt teilnehmen werden. Vor diesem Hintergrund ist es schwer vorstellbar, wie die Simulation einen realen Cyberangriff vollständig nachbilden kann. Für manche in der Branche reicht das nicht aus.
„Die Ermittlung der Auswirkungen von Software-Sicherheitsverletzungen auf die Systeme ist ein entscheidender Bestandteil des Schutzes unserer Netzwerke“, sagt Anne Marie Corbalis, Leiterin der Medienarbeit bei Consolidated Edison in New York.
Als die NERC mit den Tests begann, wurden im Rahmen der Übungen alle von den Energieversorgungsunternehmen eingesetzten Systeme, einschließlich der Cybersicherheitssoftware, auf ihre Funktionsfähigkeit geprüft. Mittlerweile sind die Netzwerke der Branche flexibler. Zu jedem Zeitpunkt sind verschiedene Dritte auf ihren Online-Plattformen tätig, von Softwareentwicklern bis hin zu Anbietern, die ausgelagerte Funktionen wie Personalwesen, Finanzwesen und Wirtschaftsprüfung bereitstellen. Die Versorgungsnetze entwickeln sich ständig weiter, und all diese neuen Komponenten erfordern eine robuste Cybersicherheit.
Conway ist der Ansicht, dass Versorgungsunternehmen die Entwickler identifizieren sollten, die eine entscheidende Rolle für ihre Sicherheitsvorkehrungen spielen, und diese gezielt zu den GridEx-Übungen einladen sollten. Dies wird Entwicklern und anderen Anbietern dabei helfen, Schwachstellen in der Praxis zu erkennen und darauf zu reagieren.
Versorgungsunternehmen benötigen Cyberhygiene
Ungeachtet ihrer Mängel steht der Wert der alle zwei Jahre stattfindenden Cyberangriffssimulation außer Frage. Angesichts der Dynamik von Versorgungsnetzen ist jedoch eine kontinuierliche Überwachung, Überprüfung und Verbesserung der Cyberabwehr ebenso wichtig.
Eine der Empfehlungen, die die NERC in ihrem Bericht Nr. 2019 an die Versorgungsbranche richtet, betrifft die Notwendigkeit eines sorgfältig ausgearbeiteten Plans zur Reaktion auf Vorfälle im Zusammenhang mit der „ “ (), der für die „Cyberhygiene“ ( ) einer Organisation von entscheidender Bedeutung ist (). Versorgungsunternehmen müssen sich im Falle eines schwerwiegenden Hackerangriffs mit den Behörden auf Bundes-, Landes- und Provinzebene abstimmen.
[Lesen Sie auch: Warum Cyberkriminelle kleine Versorgungsunternehmen ins Visier nehmen]
Während der Pandemie galt „ “ im Zero-Trust-Konzept als Goldstandard für die sichere Kommunikation zwischen Endpunkten. Bei diesem Ansatz wird jeder Endpunkt, jedes Gerät und jeder Benutzer so lange als nicht vertrauenswürdig eingestuft, bis er bzw. es verifiziert wurde, und der Zugriff von Mitarbeitern richtet sich danach, wer den Zugriff anfordert, nach dem Kontext der Anfrage sowie nach dem Risiko für das Netzwerk.
Auch andere Maßnahmen zur Cyberhygiene tragen wesentlich dazu bei, die Abwehrmechanismen zu stärken. Dazu gehören:
- Bestandsaufnahme aller Endgeräte Durch die Erfassung aller Geräte – Laptops, PCs, Tablets und sogar virtuelle Maschinen in der Cloud – erhalten Sie einen vollständigen Überblick über Ihr Netzwerk und können Endgeräte in Echtzeit überwachen, was dazu beiträgt, potenzielle Schwachstellen und aktive Bedrohungen aufzudecken.
- Tools zur Softwareverwaltung Mit diesen Tools behalten Sie den Überblick über Anwendungen, Geräte, Software, Software-Updates und Patches. Eine einzige Plattform kann Versorgungsunternehmen dabei unterstützen, Unternehmensanwendungen über eine einzige Konsole zu erkennen, zu überwachen und zu sichern.
- Mehrfaktor-Authentifizierung Die Verwendung mehrerer Authentifizierungsmethoden in Verbindung mit strengen Passwort- -Maßnahmen kann einen einfachen, aber wirksamen Schutz vor Hackern bieten, der den Sicherheitsvorfall bei Colonial Pipeline möglicherweise hätte verhindern können.
- Bewertung von Cyberrisiken Eine Cyber-Risikobewertung hilft dabei, das interne Schwachstellenmanagement sowie das von Drittanbietern zu bewerten.
- Aktive Bedrohungssuche Durch die Suche nach ungewöhnlichen Aktivitäten können Sie Plattformen überwachen sowie Bedrohungen aufspüren und beseitigen, bevor Hacker die Gelegenheit haben, Schaden anzurichten.
