CISA und seine internationalen Partner fordern Betreiber kritischer Infrastrukturen dazu auf, sich auf die Isolierung wichtiger Systeme während Cyberangriffen vorzubereiten. Die neue Richtlinie konzentriert sich darauf, essenzielle Betriebstechnologie auch dann weiter betreiben zu können, wenn sie von Unternehmensnetzwerken, internetfähigen Systemen und anderen weniger vertrauenswürdigen Netzwerken getrennt wurde.
Die Empfehlungen richten sich an Organisationen aus Bereichen wie Wasser, Energie, Transport, Fertigung und Telekommunikation. Diese Betreiber benötigen entsprechende Pläne, bevor ein schwerwiegender Vorfall sie dazu zwingt, einen Angriff einzudämmen.
Neue Richtlinie stärkt die Widerstandsfähigkeit von Betriebstechnologie
Die Richtlinie mit dem Titel CI Fortify – Advice for isolating vital systems wurde von CISA, dem Australian Cyber Security Centre, dem FBI und internationalen Partnern entwickelt.
Sie erläutert, wie Organisationen wichtige Betriebstechnologie, kurz OT, über einen längeren Zeitraum von anderen Netzwerken trennen können. OT umfasst Hardware und Software zur Überwachung oder Steuerung physischer Prozesse – von der Wasseraufbereitung und Stromverteilung bis hin zu Fabrikanlagen und Transportsystemen.
Die Behörden warnen, dass kritische Infrastrukturen weiterhin im Visier von Cyberkriminellen und staatlich unterstützten Bedrohungsakteuren stehen. Angreifer könnten versuchen, sensible Daten zu stehlen, Ransomware einzusetzen oder sich Zugang zu verschaffen, der während einer zukünftigen Krise zur Störung wichtiger Dienste genutzt werden könnte.
Kritische Infrastrukturen sind anhaltenden Cyberbedrohungen ausgesetzt
Jüngste Vorfälle haben die Gefahr von Angriffen auf essenzielle Dienste verdeutlicht. Im Jahr 2024 warnten US-Behörden davor, dass die mit China in Verbindung gebrachte Gruppe Volt Typhoon Organisationen aus den Bereichen Kommunikation, Energie, Transport und Wasserversorgung infiltriert hatte.
Nach Angaben der Behörden war die Gruppe mindestens fünf Jahre lang in einem Netzwerk einer kritischen Infrastruktur aktiv. Die Kampagne zielte vermutlich darauf ab, Zugänge zu schaffen, die während eines Konflikts oder einer größeren Notlage für störende Aktivitäten genutzt werden könnten.
Auch andere Gruppen, darunter Salt Typhoon, haben Telekommunikations-, Regierungs- und Transportnetzwerke ins Visier genommen. Gleichzeitig waren Wasserversorger wiederholt von Cybervorfällen betroffen, wodurch einige Betreiber gezwungen waren, Systeme zu deaktivieren oder auf manuelle Prozesse umzustellen.
Organisationen sollten zuerst wichtige Systeme identifizieren
Die Behörden empfehlen Organisationen, zunächst die Mindestausstattung an Systemen zu identifizieren, die für die Aufrechterhaltung eines kritischen Dienstes erforderlich ist. Diese werden als vitale Systeme bezeichnet.
Ein Wasserversorger benötigt beispielsweise möglicherweise Systeme zur Steuerung von Verteilung und Aufbereitung. Ein Stromversorger braucht Systeme, die für eine kontinuierliche Stromversorgung erforderlich sind. Ein Telekommunikationsanbieter benötigt möglicherweise zentrale Geräte, um die Verfügbarkeit seines Netzwerks aufrechtzuerhalten.
Nach der Identifizierung sollten Betreiber sämtliche Verbindungen zu diesen Systemen erfassen. Dazu gehören Verbindungen zu Unternehmensnetzwerken, Cloud-Plattformen, Fernzugriffstools, Lieferanten, Auftragnehmern, internetfähigen Diensten und anderen Betreibern kritischer Infrastrukturen.
Physische Isolierung bietet den stärksten Schutz
Die Richtlinie bezeichnet die physische Isolierung als wirksamsten Schutz. Dabei werden vitale Systeme vollständig getrennt, sodass sie keine Netzwerk- oder IT-Infrastruktur mehr mit nicht kritischen Systemen teilen.
Eine vollständige Trennung ist jedoch nicht für jeden Betreiber praktikabel. Einige Dienste sind auf Cloud-Systeme, Betreibernetzwerke, entfernte Standorte oder internetfähige Plattformen angewiesen.
In diesen Fällen sollten Organisationen die Grenzen ihrer OT-Netzwerke verstärken, unnötige Abhängigkeiten von Unternehmensnetzwerken beseitigen und dedizierte oder verschlüsselte Kommunikationsverbindungen einsetzen. Zudem sollten sie in der Lage sein, wichtige Systeme schnell wiederherzustellen.
Schrittweise Isolierung kann einen Angriff begrenzen
Die Richtlinie empfiehlt, Isolierungspunkte im Voraus festzulegen. Dabei handelt es sich um vorab bestimmte Stellen, an denen Verbindungen deaktiviert oder physisch getrennt werden können, um zu verhindern, dass sich ein Angreifer zwischen verschiedenen Systemen bewegt.
Betreiber können zudem eine schrittweise Isolierung einsetzen. Bei diesem Ansatz wird der Zugriff mit zunehmender Bedrohung stufenweise eingeschränkt.
Eine Organisation könnte beispielsweise zunächst den Zugriff für Lieferanten und Mitarbeiter im Homeoffice sperren. Anschließend könnten Unternehmensnetzwerke und verbundene Umgebungen getrennt werden und, falls erforderlich, schließlich alle externen Verbindungen.
Administrative Kontrollen wie Änderungen an VLANs, Routing und Zugriffskontrolllisten können vorübergehenden Schutz bieten. Die Behörden betonen jedoch, dass eine physische Isolierung nach Möglichkeit das endgültige Ziel bleiben sollte.
Isolierungspläne müssen regelmäßig vollständig getestet werden
Organisationen sollten die vollständige Isolierung vitaler Systeme regelmäßig testen. Werden lediglich einzelne Systeme geprüft, können gemeinsam genutzte Infrastrukturen und versteckte Abhängigkeiten übersehen werden, die während eines echten Vorfalls ausfallen könnten.
Jeder Plan sollte klar festlegen, wer eine Isolierung genehmigen darf, welche Bedingungen die einzelnen Stufen auslösen, welche Dienste verfügbar bleiben müssen und wie Mitarbeiter den Betrieb ohne normale Netzwerkverbindungen aufrechterhalten sollen.
Die Behörden empfehlen außerdem, den Plan sicher offline oder in gedruckter Form aufzubewahren. Dadurch können Teams auch dann darauf zugreifen, wenn Unternehmenssysteme oder Dateispeicher nicht mehr verfügbar sind.
Betreiber müssen ohne normale Netzwerkverbindung arbeiten können
Eine Isolierung bringt eigene Herausforderungen mit sich. Systeme erhalten möglicherweise keine Sicherheitsupdates mehr, die Überwachung kann schwieriger werden und Mitarbeiter könnten stärker auf Wechseldatenträger angewiesen sein, um Daten zu übertragen.
Nach der Isolierung sollten Betreiber weiterhin Netzwerkverkehr, Routingtabellen und Systeme zur Erkennung von Eindringlingen überprüfen. Dadurch lässt sich sicherstellen, dass keine unbefugte oder versehentliche Verbindung den Zugriff zwischen kritischen und nicht kritischen Netzwerken wiederherstellt.
Letztlich betont die Richtlinie, dass die Isolierung vitaler Systeme nicht nur eine technische Maßnahme ist. Organisationen müssen darauf vorbereitet sein, essenzielle Dienste manuell zu betreiben, zu überwachen und aufrechtzuerhalten, bis eine erneute Verbindung der Systeme sicher möglich ist.
0 Kommentare zu „CISA empfiehlt die Isolierung kritischer Systeme bei Cyberangriffen“