Facebook Google Plus Twitter LinkedIn YouTube RSS Menu Search Resource - BlogResource - WebinarResource - ReportResource - Eventicons_066 icons_067icons_068icons_069icons_070

Tenable Blog

Abonnieren

Auswirkungen der DHS-TSA-Richtlinie 2021-1 für Pipeline-Sicherheit

Das US-Department of Homeland Security (DHS) hat angesichts jüngster Cyberbedrohungen eine wichtige Richtlinie für die Öl- und Gasindustrie erlassen. Im Folgenden werden drei praktische Maßnahmen erläutert, mit denen Sie Angriffspfade in Ihrer OT-Infrastruktur versperren können. 

Die Öl- und Gasbranche ist bei einer Vielzahl von unterschiedlichen betrieblichen Abläufen stark auf Automatisierung angewiesen. Damit Öl und Gas aufgefunden, gefördert, raffiniert, gemischt und schließlich ausgeliefert werden können, bedarf es sorgfältig aufeinander abgestimmter Betriebsabläufe, die alle auf Infrastrukturen für operative Technologien (OT) angewiesen sind.

Aktuelle Beispiele für Störungen in OT-Umgebungen kritischer Infrastrukturen, darunter der Colonial Pipeline-Vorfall, liefern Belege dafür, wie anfällig kritische Infrastrukturen für Cybersecurity-Schwachstellen, Bedrohungen und potenzielle Ausfälle sind. 

Weitere Angriffe auf Infrastrukturen des Öl- und Gassektors:

  • Februar 2020 – Cyberangriff auf eine Erdgasanlage, bei dem IT- und OT-Netzwerke zeitgleich verschlüsselt wurden, wodurch kein Zugriff auf Mensch-Maschine-Schnittstellen (HMI), Historian-Datenbanken und Abfrageserver mehr möglich war. Die Pipeline musste daraufhin zwei Tage lang stillgelegt werden.
  • Dezember 2018 – Ein italienischer Auftragnehmer aus der Öl- und Gasindustrie erlitt einen Cyberangriff, der auf Server im Nahen Osten sowie in Indien, Schottland und Italien abzielte.

  • April 2018 – Im Anschluss an einen Cyberangriff auf ein gemeinsam genutztes Datennetzwerk waren vier US-amerikanische Betreiber von Erdgas-Pipelines gezwungen, sämtliche digitale Kommunikation mit Kunden vorübergehend einzustellen.

  • August 2017 – Die Hacker-Gruppe Xenotime brachte eine saudi-arabische Öl- und Erdgasanlage zum Stillstand.


DHS-TSA-Richtlinie 2021-1 für Pipeline-Sicherheit

Am 28. Mai 2021 erließ die im US-Department of Homeland Security (DHS) angesiedelte Transportation Security Administration (TSA) die speziell auf die Pipeline-Industrie ausgelegte Sicherheitsrichtlinie 2021-1. Davor waren zwar bereits andere Standards für die Öl- und Gasindustrie eingeführt worden (siehe nachstehende Liste). Die genannte Richtlinie jedoch wurde infolge anhaltender Sicherheitsbedrohungen für den Betrieb US-amerikanischer Pipelines erlassen. Sie markiert einen wichtigen Wendepunkt für die Absicherung kritischer Infrastrukturumgebungen, die ansonsten gefährdet sein könnten.

Mit der Richtlinie 2021-1 für Pipeline-Sicherheit erhalten Pipeline-Betreiber in drei wichtigen Bereichen einen entsprechenden Orientierungsrahmen:

  1. Pipeline-Eigentümer und -Betreiber müssen Sicherheitsvorfälle an die Cybersecurity and Infrastructure Security Agency (CISA) melden.

  2. Ein eigens eingesetzter Cybersecurity-Koordinator muss rund um die Uhr (24/7) verfügbar sein, um Sicherheitsverfahren aufeinander abzustimmen, die Erfüllung der einzelnen Anforderungen der Richtlinie zu gewährleisten und auf Sicherheitsvorfälle zu reagieren.
  3. Die Betreiber von Erdöl- und Erdgasanlagen müssen ihre bestehenden Cybersecurity-Praktiken und -Aktivitäten bewerten, um Cyberrisiken anhand der TSA-Richtlinien für Pipeline-Sicherheit 2018 zu bekämpfen. Ferner müssen sie Lücken zwischen ihren bestehenden und den in den Richtlinien aufgeführten Cybersecurity-Praktiken identifizieren und entsprechende Remediation-Pläne konzipieren. 


Wichtige Standards mit Relevanz für die Öl- und Gasindustrie

National Institute of Standards and Technology (NIST) Cybersecurity Framework (CSF): Maßgebliches Framework, das von Unternehmen aus sämtlichen Branchensektoren angewendet wird. Erdgas- und Ölunternehmen richten unternehmensweite Programme zunehmend auf NIST CSF aus.


International Electrotechnical Commission (IEC) 62443: Eine Reihe von Sicherheitsstandards für industrielle Steuerungssysteme (ICS), die im Produktionssegment der Erdgas- und Ölindustrie flächendeckend angewendet werden und im Bereich Erdgas und Öl für ICS aller Art geeignet sind.


API-Standard 1164: Inhalte, die speziell für Pipelines gelten und nicht durch NIST CSF und IEC 62443 abgedeckt sind.


Cybersecurity Capability Maturity Model (C2M2) des US-Energieministeriums: Freiwilliger Prozess, der auf branchenweit anerkannten Best Practices zur Messung des Reifegrads von Cybersecurity-Funktionen und zur Stärkung der operativen Abläufe eines Unternehmens beruht.


ISO 27000 der Internationalen Organisation für Normung: Führender Standard, der die Anforderungen an ein Managementsystem für Informationssicherheit (Information Security Management System, ISMS) festlegt.


Drei wichtige Best Practices für OT-Sicherheit zur Risikoreduzierung

Die DHS-TSA-Richtlinie 2021-1 ist auf zentrale Anforderungen mit Relevanz für Betreiber aus der Öl- und Gasindustrie ausgelegt. Die größten Herausforderungen werden sich für die meisten Unternehmen bei der Frage ergeben, wie die drei zentralen Komponenten der Richtlinie operationalisiert werden können:

  • Identifizierung von Risiken 

  • Beseitigung von Sicherheitslücken

  • Eindämmung auftretender Vorfälle 


Im Folgenden sind drei wichtige Best Practices für OT-Sicherheit aufgeführt, die unserer Ansicht nach sorgfältig – und dringend – implementiert werden sollten, um Pipelines abzusichern und ihre operative Resilienz nachhaltig zu gewährleisten.

  1. Erzielen von Transparenz und tiefgehenden Einblicken: Die Öl- und Gasindustrie erfordert synchronisierte Abläufe in der gesamten Infrastruktur sowie Zugriff auf Zugangsdaten durch eine breite, heterogene Nutzerbasis. Active Directory (AD) spielt hier eine wichtige Rolle. Im Fall des Unternehmens Colonial Pipeline hatten Hacker diesen Angriffsvektor für einen Ransomware-Angriff ausgenutzt. Zu den Einzelpersonen, die AD verwenden, können autorisierte Mitarbeiter, Partner, Vermittler und Subunternehmer gehören. Der erforderliche Zugang zu den betreffenden Daten kann über die eigentliche Betriebsanlage hinausgehen und auch externe und entlegene Bohrstandorte oder Pipelines in aller Welt betreffen. Daher ist es unerlässlich, eine durchgängige Zugangs- und Konfigurationskontrolle von der Hauptanlage bis zu allen Standorten zu gewährleisten – unabhängig davon, wie abgelegen oder verteilt diese Standorte auch sein mögen. Die OT-Sicherheitslösung muss zu jedem Zeitpunkt Informationen über die einzelnen Geräte an sämtlichen Standorten bereitstellen können. Dies gilt unter anderem für speicherprogrammierbare Steuerungen (SPS), HMI-Controller, Engineering-Workstations, Netzwerkgeräte, Gateways und andere Systeme mit kritischer Bedeutung für den regulären Netzwerkbetrieb. Umfassendes Wissen, einschließlich Einblick in sämtliche Gerätetypen, Revisionsnummern, Firmware-Versionen und Backplane-Informationen, ist unerlässlich. Ebenso ist es entscheidend, inaktive Geräte zu berücksichtigen, die nicht regelmäßig über das Netzwerk kommunizieren.
  2. Identifizierung von Bedrohungen: Während OT-Betriebsabläufe in der Öl- und Gasindustrie früher von der Außenwelt abgeschottet waren, sind sie heutzutage mit der IT vernetzt und von überall aus zugänglich. Durch diese Konvergenz entsteht eine Umgebung, die die Integrität des Explorations-, Förder-, Raffinations- und Lieferprozesses beeinträchtigen kann. Die Abkehr von Air-Gapped-Systemen bietet kriminellen Akteuren die Möglichkeit, sowohl über die IT- als auch über die OT-Infrastruktur in Teile der Betriebsumgebung einzudringen. Um eine Vielzahl verdächtiger Verhaltensweisen zu erkennen, ist es wichtig, drei Erkennungs-Engines einzusetzen:

    • Traffic-Zuordnung und Traffic-Visualisierung, um Kommunikationsversuchen von externen Quellen sowie von Geräten, die nicht miteinander kommunizieren sollten, zu identifizieren und entsprechende Warnmeldungen auszugeben

    • Anomalie-Erkennung zur Ermittlung von Traffic-Mustern, die vom regulären Netzwerkbetrieb abweichen
    • Signaturbasierte Erkennung, um bekannte Bedrohungen zu identifizieren, die Angreifer für ihre Zwecke nutzen

  3. Schnellere Schließung von Schwachstellen: Die meisten Betriebsumgebungen der Öl- und Gasindustrie enthalten einen Mix aus älteren Geräten, die in IT-Umgebungen in der Regel nicht vorhanden sind. Angesichts unterschiedlicher Revisionsnummern für die verschiedenen Gerätetypen ist die Aufrechterhaltung eines stets aktuellen Patch-Management-Programms mit Schwierigkeiten verbunden. Da in Betriebsumgebungen in der Öl- und Gasindustrie möglicherweise keine ausreichend häufigen oder großen Wartungsfenster verfügbar sind, kann es passieren, dass bekannte Schwachstellen über einen längeren Zeitraum hinweg nicht gepatcht werden. Es ist von entscheidender Bedeutung, dass der Zustand und sämtliche Merkmale aller Geräte genauestens bekannt sind. Dazu gehört auch, die spezifischen Zustände von Geräten exakt mit der verfügbaren Wissensdatenbank zu Schwachstellen abzugleichen, in der damit zusammenhängende Exploits aufgeführt sind. Aufgrund der dynamischen Beschaffenheit von Umgebungen in der Öl- und Gasindustrie muss dieses Wissen stets mit Informationen zu neu entdeckten Schwachstellen aktualisiert werden. Beispielsweise liefert das Vulnerability Priority Rating (VPR) von Tenable eine vorselektierte, nach Priorität absteigend geordnete Liste von Schwachstellen. Grundlage für die jeweilige Einstufung sind verschiedene Faktoren, z. B. CVSS-Bewertungen (Common Vulnerability Scoring System), Schweregrad und Ausnutzbarkeit von Schwachstellen und vieles mehr. 


Zusammenfassung

OT-Cybersecurity wird inzwischen weithin als elementarer Bestandteil einer stets zuverlässigen, effizienten und sicheren kritischen Infrastruktur angesehen, auf die die Gesellschaft angewiesen ist. Dies setzt lückenlose Transparenz, Sicherheit und Kontrolle über sämtliche betrieblichen operativen Assets voraus. Best-in-Class-Ansätze für die OT-Sicherheit sind wichtiger denn je, sowohl im Hinblick auf die Einhaltung bestehender Standards und dieser neu veröffentlichten DHS-Richtlinie, als auch als Teil der Sorgfaltspflicht gegenüber unseren Gemeinden. Angesichts einer ständig verändernde Bedrohungslage muss es möglich sein, in Echtzeit detailgenaue situationsbezogene Erkenntnisse auf Netzwerk- und Geräteebene zu erhalten. Diese situationsbezogenen Lagebilder sollten regelmäßig aktualisiert und mit neu aufgedeckten Schwachstellen, Bedrohungen und Lücken abgeglichen werden. Jegliche Abweichungen müssen dabei in Echtzeit erfasst und dokumentiert werden. Auch vollständige Aufzeichnungen, in denen sämtliche in der Umgebung vorgenommenen Änderungen erfasst werden, sind hier unverzichtbar. Die Erfassung und Pflege dieser detaillierten Informationen kann dazu beitragen, die Reaktion auf Vorfälle zu beschleunigen, neu aufgedeckte Schwachstellen hervorzuheben und zu priorisieren sowie die proaktive Einhaltung von Vorschriften sowohl intern als auch gegenüber den erforderlichen Compliance-Organisationen nachzuweisen.

Mehr erfahren:

Verwandte Artikel

Sind Sie durch die neuesten Exploits gefährdet?

Geben Sie Ihre E-Mail-Adresse ein, um die neuesten Warnmeldungen zu Cyberrisiken in Ihrem Posteingang zu erhalten.

tenable.io

Wir bieten Ihnen vollen Zugriff auf eine moderne, cloudbasierte Schwachstellen-Management-Plattform, mit der Sie alle Ihre Assets mit beispielloser Genauigkeit sehen und nachverfolgen können.

Ihre Testversion von Tenable.io Vulnerability Management umfasst außerdem Tenable Lumin, Tenable.io Web Application Scanning und Tenable.cs Cloud Security.

tenable.io KAUFEN

Wir bieten Ihnen vollen Zugriff auf eine moderne, cloudbasierte Schwachstellen-Management-Plattform, mit der Sie alle Ihre Assets mit beispielloser Genauigkeit sehen und nachverfolgen können. Erwerben Sie noch heute Ihre jährliche Subscription.

65 Assets

Wählen Sie Ihre Subscription-Option:

Jetzt kaufen

Testen Sie Nessus Professional kostenlos

7 TAGE KOSTENLOS

Nessus® ist der umfassendste Schwachstellen-Scanner auf dem Markt. Nessus Professional unterstützt Sie bei der Automatisierung des Scan-Prozesses, spart Zeit in Ihren Compliance-Zyklen und ermöglicht Ihnen die Einbindung Ihres IT-Teams.

Nessus Professional kaufen

Nessus® ist der umfassendste Schwachstellen-Scanner auf dem Markt. Nessus Professional unterstützt Sie bei der Automatisierung des Scan-Prozesses, spart Zeit in Ihren Compliance-Zyklen und ermöglicht Ihnen die Einbindung Ihres IT-Teams.

Mehrjahreslizenz kaufen und sparen! Mit Advanced Support erhalten Sie rund um die Uhr, 365 Tage im Jahr Zugang zum Support – per Telefon, Chat und über die Community.

Lizenz auswählen

Mehrjahreslizenz kaufen und sparen!

Support und Training hinzufügen

Tenable.io

Wir bieten Ihnen vollen Zugriff auf eine moderne, cloudbasierte Schwachstellen-Management-Plattform, mit der Sie alle Ihre Assets mit beispielloser Genauigkeit sehen und nachverfolgen können.

Ihre Testversion von Tenable.io Vulnerability Management umfasst außerdem Tenable Lumin, Tenable.io Web Application Scanning und Tenable.cs Cloud Security.

Tenable.io KAUFEN

Wir bieten Ihnen vollen Zugriff auf eine moderne, cloudbasierte Schwachstellen-Management-Plattform, mit der Sie alle Ihre Assets mit beispielloser Genauigkeit sehen und nachverfolgen können. Erwerben Sie noch heute Ihre jährliche Subscription.

65 Assets

Wählen Sie Ihre Subscription-Option:

Jetzt kaufen

Tenable.io Web Application Scanning testen

Profitieren Sie vom vollen Zugriff auf unser neuestes Angebot zum Scannen von Web-Applikationen, das als Teil der Tenable.io-Plattform für moderne Applikationen entwickelt wurde. Scannen Sie auf sichere Weise Ihr gesamtes Online-Portfolio auf Schwachstellen – mit hoher Genauigkeit und ohne großen manuellen Aufwand oder Unterbrechung kritischer Web-Applikationen. Melden Sie sich jetzt an.

Ihre Testversion von Tenable Web Application Scanning umfasst außerdem Tenable.io Vulnerability Management, Tenable Lumin und Tenable.cs Cloud Security.

Tenable.io Web Application Scanning kaufen

Wir bieten Ihnen vollen Zugriff auf eine moderne, cloudbasierte Schwachstellen-Management-Plattform, mit der Sie alle Ihre Assets mit beispielloser Genauigkeit sehen und nachverfolgen können. Erwerben Sie noch heute Ihre jährliche Subscription.

5 FQDN

3.578,00 USD

Jetzt kaufen

Tenable.io Container Security testen

Profitieren Sie von vollem Zugriff auf die einzige Lösung für Containersicherheit, die in eine Schwachstellen-Management-Plattform integriert ist. Überwachen Sie Container-Images auf Schwachstellen, Malware und Richtlinienverstöße. Kann in Systeme für kontinuierliche Integration und Bereitstellung (CI/CD) eingebunden werden, um DevOps-Praktiken zu unterstützen, die Sicherheit zu stärken und die Einhaltung von Unternehmensrichtlinien zu fördern.

Tenable.io Container Security kaufen

Tenable.io Container Security ermöglicht eine nahtlose und sichere Umsetzung von DevOps-Prozessen, indem es die Sicherheit von Container-Images – einschließlich Schwachstellen, Malware und Richtlinienverletzungen – durch Integration in den Build-Prozess transparent macht.

Tenable Lumin testen

Mit Tenable Lumin können Sie Ihre Cyber Exposure visualisieren und genauer untersuchen, die allmähliche Reduzierung von Risiken nachverfolgen und Benchmark-Vergleiche mit ähnlichen Unternehmen anstellen.

Ihre Tenable Lumin-Testversion umfasst außerdem Tenable.io Vulnerability Management, Tenable.io Web Application Scanning und Tenable.cs Cloud Security.

Tenable Lumin kaufen

Kontaktieren Sie einen Vertriebsmitarbeiter, um zu erfahren, wie Lumin Sie dabei unterstützen kann, Einblick in Ihr gesamtes Unternehmen zu erhalten und Cyberrisiken zu managen.

Tenable.cs testen

Profitieren Sie von vollem Zugriff, um Fehlkonfigurationen in Cloud-Infrastruktur zu erkennen und zu beheben und Schwachstellen in der Laufzeitumgebung anzuzeigen. Melden Sie sich jetzt für Ihre kostenlose Testversion an.

Ihre Testversion von Tenable.cs Cloud Security umfasst außerdem Tenable.io Vulnerability Management, Tenable Lumin und Tenable.io Web Application Scanning.

Kontaktieren Sie einen Vertriebsmitarbeiter, um Tenable.cs zu kaufen

Kontaktieren Sie einen unserer Vertriebsmitarbeiter, um mehr über Tenable.cs Cloud Security zu erfahren und herauszufinden, wie einfach es ist, Ihre Cloud-Konten einzurichten und innerhalb von Minuten Einblick in Cloud-Fehlkonfigurationen und Schwachstellen zu erhalten.

Nessus Expert kostenlos testen

7 TAGE KOSTENLOS

Mit Nessus Expert, das für die moderne Angriffsoberfläche entwickelt wurde, erhalten Sie mehr Einblick und können Ihr Unternehmen vor Schwachstellen schützen – von der IT bis zur Cloud.

Sie nutzen bereits Nessus Professional?
Upgraden Sie auf Nessus Expert – 7 Tage kostenlos.

Nessus Expert kaufen

Mit Nessus Expert, das für die moderne Angriffsoberfläche entwickelt wurde, erhalten Sie mehr Einblick und können Ihr Unternehmen vor Schwachstellen schützen – von der IT bis zur Cloud.

Lizenz auswählen

Sonderpreise bis 31. Dezember verlängert.
Mehrjahreslizenz kaufen und noch mehr sparen!

Support und Training hinzufügen