Typische Bedrohungsszenarien
In diesem Abschnitt werden typische Bedrohungen beschrieben. Die Liste erhebt jedoch keinen Anspruch auf Vollständigkeit.
Manipuliertes Boot-Medium
Angriffstyp/Angreifer | Insider | Lokal | Internes Netzwerk | Remote |
|---|---|---|---|---|
Breite, virale Angriffe | ausgeschlossen | ausgeschlossen | ausgeschlossen | ausgeschlossen |
Hersteller- und integratorspezifische Angriffe | trifft zu | trifft zu | ausgeschlossen | ausgeschlossen |
Ein vorbereiteter Datenträger wird an eine Komponente angeschlossen und die Komponente von diesem gebootet. Dies ist dann möglich, wenn im UEFI/BIOS die Boot-Reihenfolge so eingestellt ist, dass von externen Datenträgern gebootet wird oder die Boot-Reihenfolge im UEFI/BIOS für den Angreifer änderbar ist.
Durch den Angriff kann ein Angreifer auf alle Daten der Komponente lesend und schreibend zugreifen, insbesondere auf Konfigurationen und Know-How. Nach einem derartigen Zugriff muss die Gesamtkomponente als unsicher angesehen werden.
Abwehrmaßnahmen:
- BIOS-Passwort (BIOS-Einstellungen)
- Boot-Medien festlegen (BIOS-Einstellungen)
- Abgeschlossener Schaltschrank
Unautorisierter PXE-Boot-Server
Angriffstyp/Angreifer | Insider | Lokal | Internes Netzwerk | Remote |
|---|---|---|---|---|
Breite, virale Angriffe | ausgeschlossen | ausgeschlossen | trifft zu | ausgeschlossen |
Hersteller- und integratorspezifische Angriffe | ausgeschlossen | ausgeschlossen | trifft zu | ausgeschlossen |
Von einem unautorisierten PXE-Boot-Server im internen Netzwerk wird gebootet. Dabei wird vom Angreifer kontrollierter Code ausgeführt.
Durch den Angriff kann ein Angreifer auf alle Daten der Komponente lesend und schreibend zugreifen, insbesondere auf Konfigurationen und Know-how. Nach einem derartigen Zugriff muss die Gesamtkomponente als unsicher angesehen werden.
Abwehrmaßnahmen:
- PXE-Boot abschalten (BIOS-Einstellungen)
Manipulierte USB-Geräte
Angriffstyp/Angreifer | Insider | Lokal | Internes Netzwerk | Remote |
|---|---|---|---|---|
Breite, virale Angriffe | ausgeschlossen | trifft zu | ausgeschlossen | ausgeschlossen |
Hersteller- und integratorspezifische Angriffe | trifft zu | trifft zu | ausgeschlossen | ausgeschlossen |
Wenn manipulierte USB-Geräte angeschlossen werden, kann unter Umständen auf dem betroffenen Gerät Schadcode ausgeführt werden. Außerdem kann das betroffene USB-Gerät auch zum Diebstahl von Know-how verwendet werden. Beispielsweise kann durch einen konfigurierten Autostart beliebiger Code ausgeführt werden. Durch ein präpariertes Eingabegerät können unautorisierte Eingaben vorgenommen oder auch mitprotokolliert werden.
Durch einen solchen Angriff kann ein Angreifer auf viele Daten über das Betriebssystem lesend und schreibend zugreifen, insbesondere auf Konfigurationen und Know-how. Nach einem derartigen Zugriff muss die Gesamtkomponente als unsicher angesehen werden.
Abwehrmaßnahmen:
- Autostart abschalten (Autostart)
- Whitelisting USB-Geräte (USB-Filter)
- Abgeschlossener Schaltschrank
- Schnittstellen im BIOS abschalten (BIOS-Einstellungen)
- Whitelisting für Programme
Erraten schwacher Passwörter durch lokales Interface
Angriffstyp/Angreifer | Insider | Lokal | Internes Netzwerk | Remote |
|---|---|---|---|---|
Breite, virale Angriffe | ausgeschlossen | ausgeschlossen | ausgeschlossen | ausgeschlossen |
Hersteller- und integratorspezifische Angriffe | trifft zu | trifft zu | ausgeschlossen | ausgeschlossen |
Schwache Passwörter wie Standardpasswörter oder leicht zu erratende Passwörter können durch lokale Angreifer ausgenutzt werden. Ebenso wie autorisierte lokale Nutzer können Angreifer sich mit unveränderten Standardpasswörtern anmelden.
Durch einen solchen Angriff kann ein Angreifer auf viele Daten über das Betriebssystem lesend und schreibend Zugreifen, insbesondere auf Konfigurationen und Know-how. Nach einem derartigen Zugriff muss die Gesamtkomponente als unsicher angesehen werden.
Abwehrmaßnahmen:
- Sichere Passwörter
- Individuelle Benutzer einrichten, keine Sammelaccounts
- Minimale Rechte für Benutzer („Least Privilege“) insbesondere keine Administrator-Rechte, wenn nicht notwendig
Diebstahl von Datenträgern
Angriffstyp/Angreifer | Insider | Lokal | Internes Netzwerk | Remote |
|---|---|---|---|---|
Breite, virale Angriffe | ausgeschlossen | ausgeschlossen | ausgeschlossen | ausgeschlossen |
Hersteller- und integratorspezifische Angriffe | trifft zu | trifft zu | ausgeschlossen | ausgeschlossen |
Durch unautorisiertes Entfernen von Datenträgern kann ein Angreifer mögliches Know-how über und Zugangsdaten zu Diensten im Automatisierungssystem erlangen.
Ein solcher Angriff ermöglicht es einem Angreifer, Lesezugriff auf eine große Anzahl von Daten zu erlangen, die sich auf das Betriebssystem beziehen, insbesondere auf Zugangsdaten, Konfigurationen, Know-how und andere sensible private Daten.
Ein Angreifer könnte auch versuchen, sich Zugang zu sensiblen Daten zu verschaffen, indem er die Speichermedien nach deren Entsorgung stiehlt.
Abwehrmaßnahmen:
Extraktion sensibler Daten aus weggeworfenem Material
Angriffstyp/Angreifer | Insider | Lokal | Internes Netzwerk | Remote |
|---|---|---|---|---|
Breite, virale Angriffe | ausgeschlossen | ausgeschlossen | ausgeschlossen | ausgeschlossen |
Hersteller- und integratorspezifische Angriffe | trifft zu | trifft zu | ausgeschlossen | ausgeschlossen |
Ein Angreifer kann sich Zugang zu weggeworfenem Material verschaffen, das sensible Daten auf Speichermedien enthält.
Ein solcher Angriff ermöglicht es einem Angreifer, Lesezugriff auf eine große Anzahl von Daten zu erlangen, die sich auf das Betriebssystem beziehen, insbesondere auf Zugangsdaten, Konfigurationen, Know-how und andere sensible private Daten.
Abwehrmaßnahmen:
Behandlung nicht vertrauenswürdiger E-Mails
Angriffstyp/Angreifer | Insider | Lokal | Internes Netzwerk | Remote |
|---|---|---|---|---|
Breite, virale Angriffe | ausgeschlossen | ausgeschlossen | trifft zu | trifft zu |
Hersteller- und integratorspezifische Angriffe | ausgeschlossen | ausgeschlossen | trifft zu | trifft zu |
Nicht vertrauenswürdige E-Mails sind typische Verbreitungswege von Malware. Vor allem das Öffnen von Hyperlinks mit veralteten Browsern und von E-Mail-Anhängen wird für Angriffe ausgenutzt. Manchmal werden E-Mails gezielt so formuliert, dass diese vertrauenswürdig erscheinen.
Ein erfolgreicher Angriff kann unautorisierte Handlungen ausführen, die mit den Berechtigungen des interagierenden Benutzers ausgeführt werden.
Abwehrmaßnahmen:
- Keine E-Mails an Steuerungsrechnern behandeln
- Regelmäßige oder automatische Software-Aktualisierungen (Updates)
- Whitelisting für Programme
Ausnutzung bekannter Schwachstellen in veralteter Software
Angriffstyp/Angreifer | Insider | Lokal | Internes Netzwerk | Remote |
|---|---|---|---|---|
Breite, virale Angriffe | trifft zu | trifft zu | trifft zu | trifft zu |
Hersteller- und integratorspezifische Angriffe | trifft zu | trifft zu | trifft zu | trifft zu |
Bereits bekannte Schwachstellen werden von Herstellern in aktualisierten Versionen behoben. Falls genutzte Software nicht aktualisiert wird, können vor allem breit virale Angriffe erfolgreich durchgeführt werden.
Ein erfolgreicher Angriff kann unautorisierte Handlungen ausführen, die im Kontext der betroffenen Software Auswirkungen hat.
Abwehrmaßnahmen:
- Windows Aktualisierungen (Updates)
- Regelmäßige oder automatische Software-Aktualisierungen (Updates)
- Netzwerkbasierte Erkennungsmechanismen (IDS/IPS)
- Abschalten nicht benötigter Dienste
- Entfernen nicht mehr benötigter Komponenten
Manipulierte Webseiten
Angriffstyp/Angreifer | Insider | Lokal | Internes Netzwerk | Remote |
|---|---|---|---|---|
Breite, virale Angriffe | ausgeschlossen | ausgeschlossen | ausgeschlossen | trifft zu |
Hersteller- und integratorspezifische Angriffe | ausgeschlossen | ausgeschlossen | ausgeschlossen | trifft zu |
Ein Benutzer wird dazu gebracht, eine nicht vertrauenswürdige Webseite zu besuchen. Dabei wird eine Schwachstelle im Browser ausgenutzt, um beliebigen Schadcode auszuführen, oder die Webseite ist so gestaltet, dass der Benutzer vertrauliche Information wie Login-Daten preisgibt.
Ein erfolgreicher Angriff kann unautorisierte Handlungen ausführen, die mit den Berechtigungen des interagierenden Benutzers ausgeführt werden.
Abwehrmaßnahmen:
- Regelmäßige oder automatische Software-Aktualisierungen (Updates)
- Organisatorische Maßnahmen zur Verhaltensweise beim Surfen im Web.
Man-in-the-Middle-Angriffe
Angriffstyp/Angreifer | Insider | Lokal | Interne Netzwerk | Remote |
|---|---|---|---|---|
Breite, virale Angriffe | trifft zu | ausgeschlossen | ausgeschlossen | ausgeschlossen |
Hersteller- und integratorspezifische Angriffe | trifft zu | trifft zu | trifft zu | trifft zu |
Bei Nutzung eines nicht sicheren Netzwerkprotokolls kann ein Angreifer sich im Rahmen des erreichbaren Netzwerks für alle Beteiligten als die vertrauenswürdige Gegenstelle ausgeben. Dadurch kann die über dieses Protokoll versendete Information manipuliert oder abgehört werden.
Ein erfolgreicher Angriff kann zu unerwartetem Verhalten der Dienste im Automatisierungssystem führen.
Abwehrmaßnahmen:
- Netzsegmentierung
- Nutzung gesicherter Netzwerkprotokolle
Unautorisierte Nutzung von Netzwerkdiensten
Angriffstyp/Angreifer | Insider | Lokal | Interne Netzwerk | Remote |
|---|---|---|---|---|
Breite, virale Angriffe | ausgeschlossen | ausgeschlossen | trifft zu | trifft zu |
Hersteller- und integratorspezifische Angriffe | ausgeschlossen | ausgeschlossen | trifft zu | trifft zu |
Falls Netzwerkdienste bereitgestellt werden, auf die ein Angreifer zugreifen kann, könnten dadurch unautorisierte Handlungen ausgeführt werden.
Ein erfolgreicher Angriff kann zu unerwartetem Verhalten der Dienste im Automatisierungssystem führen.
Abwehrmaßnahmen:
- Netzsegmentierung
- Nutzung von authentifizierenden Netzwerkdiensten
- Abschalten nicht benötigter Dienste
- Entfernen nicht mehr benötigter Komponenten