Operational Technology (OT) ist ein weit gefasster Begriff. Gemeint ist die IT-lastige Betriebstechnik aus Hard- und Software, die für die Steuerung von (Industrie-)Anlagen und Prozessen eingesetzt wird. OT wird häufig in Verbindung mit (Trend-)Themen wie (I)IoT, ICS und Industrie 4.0 genannt, die im Zusammenhang mit der digitalen Transformation von IT und OT stehen.
Aufgrund proprietärer Protokolle und der vermeintlich physischen Trennung herrscht häufig die Annahme, dass diese Anlagen vor Hackerangriffen sicher sind. Die Integration von IT in OT ließ den „Airgap“ jedoch fast vollständig verschwinden, wodurch OT-Systeme zunehmend ins Visier von Cyberkriminellen geraten.
Die Betreibenden solcher Anlagen sind immer stärker gefordert, die richtigen Entscheidungen hinsichtlich angemessener technischer Sicherheitsmaßnahmen und -technologien zu treffen bzw. vorzubereiten.
Um OT-Systeme absichern zu können, ist es erforderlich, Schwachstellen zu erkennen und rechtzeitig zu beheben. Unser OT-Penetrationstest dient dazu, diese Schwachstellen in industriellen Netzen oder Systemen zu identifizieren. Durch die Nutzung nicht invasiver Testmethoden wird die Gefahr von Störungen des Betriebs minimiert.
Ihr Mehrwert
Mit unserem OT-Penetrationstest testen wir Ihre Anlagen und suchen nach technischen Schwachstellen sowie Sicherheitslücken und bewerten ganzheitlich das Sicherheitsniveau Ihrer IT/OT-Infrastruktur. Dadurch gewährleisten Sie systematisch die Sicherheit, Integrität und Funktionalität Ihrer Anlagen und minimieren das Risiko, Opfer eines erfolgreichen Angriffs zu werden. Produktionsstillstände, Reputationsverluste, finanzielle oder gar Personenschäden können somit vermieden werden. Erfüllen Sie Industriestandards und regulatorische Anforderungen bezüglich Cybersecurity, wie beispielsweise die Anforderungen zum EU Cyber Resilience Act, und schützen Sie Ihr Intellectual Property.
Vorgehensweise
-
Vorbereitung
Wir besprechen wesentliche Kriterien wie Typ und Ziel des Audits sowie organisatorische Maßnahmen mit Ihnen: Um welche Systeme und Anlagen geht es? Welche Steuerungseinheiten werden eingesetzt und wie sollen sie betrachtet werden? Wer ist unsere Ansprechperson? Muss der Betrieb der Anlagen sichergestellt werden oder agieren wir aus Sicht einer:s rücksichtslos Angreifenden? Ist eine Begehung der Anlagen und Betriebstechnik sinnvoll? Diese und weitere Fragen entscheiden über das grundsätzliche Vorgehen, Black- oder Whitebox-Test, die Aggressivität der Methoden oder deren Detektierbarkeit.
Ziel ist, die Grundlagen eines erfolgreichen Audits zu schaffen.
-
Informationsbeschaffung (und Begehung)
Wir sammeln relevante Daten, um verwertbare Erkenntnisse zu gewinnen. Während dieser Phase analysieren wir Verbund- und Systemarchitekturen, begehen ggfs. Ihre Anlagen und ermitteln die im Einsatz befindlichen Industrieprotokolle und Schnittstellen. Um sich auf den Angriff vorzubereiten, bilden unsere Analyst:innen das Zielsystem ab, um die Funktionsweise der Betriebstechnik zu verstehen, und definieren die Angriffsvektoren.
Anschließend beginnen wir mit dem behutsamen und gezielten Scannen, um die verwendeten Technologien und Versionsnummern zu erfassen. Während des Scans erhalten wir weitere Informationen über Steuerungsanlagen (PLC, HMIs, RTEs etc.), Aktoren und Sensoren, Anwendungen, Systeme, Netzwerke, verwendete Dienste, Versionsnummern, Konfigurationsfehler usw.Anschließend beginnen unsere „Angreifer“ mit dem behutsamen und gezielten Scannen, um die verwendeten Technologien und Versionsnummern zu erfassen. Während des Scans erhalten unsere Analysten weitere Informationen über Steuerungsanlagen (PLC, HMIs, RTEs, etc.), Aktoren und Sensoren, Anwendungen, Systeme, Netzwerke, verwendete Dienste, Versionsnummern, Konfigurationsfehler usw.
-
Analyse
Aufbauend auf dem so erstellten „Blueprint“ Ihrer Infrastruktur sammeln wir mit aktiven Methoden weitere Informationen zu Ihren Systemen. Dies können z. B. veraltete Versionsstände, vorhandene Schwachstellen, konzeptionelle Fehler oder Fehlkonfigurationen sein – aber auch, inwiefern Zugriffe zwischen OT- und IT-Umgebung möglich sind, ob genutzte Kommunikationsprotokolle wie z. B. Profibus, CAN-Bus, Modbus und CC-Link abgehört und manipuliert werden können, sowie ob Nutzer-Accounts, Default-Passwörter und Backdoors existieren.
Abschließend versuchen wir mit den zuvor gewonnenen Erkenntnissen, die Anlage zu beeinträchtigen. Insbesondere analysieren unsere Analyst:innen, ob Maschinen und Anlagen manipuliert werden können oder „physischer Schaden“ angerichtet werden kann. Dazu bewerten und priorisieren wir jede der gefundenen Lücken hinsichtlich ihrer Ausnutzbarkeit und versuchen, die Kontrolle über ein erstes System zu erhalten. Dies wird durch die Anwendung eines existierenden Exploits (systematische Möglichkeit zur Ausnutzung einer Schwachstelle), die Anpassung eines solchen oder die Entwicklung eines eigenen realisiert.
-
Reporting
Sie erhalten eine ausführliche Dokumentation inklusive Management Summary, welche alle Erkenntnisse detailliert zusammenfasst sowie jede Schwachstelle ausführlich beschreibt, nach ihrem Gefahrenpotenzial gewichtet und mit einem entsprechenden Vorschlag für ihre Behebung ausweist. Dies ermöglicht es den IT/OT-Verantwortlichen und Entwicklungsteams, die Angriffsszenarien zu reproduzieren.
-
Cleaning
Nach Abschluss des Auftrags entfernen unsere Analyst:innen alle Code Snippets, Skripte, Tools, Testdaten und andere Geräte, die bei dem „Angriff“ eingesetzt wurden, sodass sie später bei einem realen Angriff von Dritten nicht mehr verwendet werden können. Sollte das eigenständige Aufräumen nicht möglich sein, informieren wir Sie anhand einer genauen Anleitung, wie Sie verbliebene Artefakte selbst entfernen können.
Was sollten Sie sonst noch wissen?
Ablauf und Klassifikation
Die Sicherheitsüberprüfung wird im Wesentlichen nach der Empfehlung bzw. Studie „Durchführungskonzept für Penetrationstests“, herausgegeben vom BSI, durchgeführt. Des Weiteren führen wir den Test gemäß diverser Standards und Frameworks wie des Penetration Testing Execution Standards (PTES), der Open Source Security Testing Methodology (OSSTMM), MITRE ATT&CK und des Open Web Application Security Projects durch. Zusätzlich werden Schwachstellenrankings wie OWASP TOP 10, SANS 25 und Schwachstellendatenbanken (CVE – Common Vulnerabilities and Exposure) berücksichtigt.
Unsere Standards gewährleisten eine strukturierte Vorgehensweise, die eine effiziente und zielgerichtete Durchführung des Tests erleichtert bzw. sicherstellt. Dabei nutzen wir eine eigens entwickelte verteilte Testplattform. Diese ermöglicht beispielsweise eine zentrale Datenhaltung bei Penetrationstests in komplexen Netzwerkumgebungen sowie die parallele Testdurchführung zur Effizienzsteigerung.
Arten von Penetrationstests
Blackbox Test
Wir erhalten keine Informationen über Ihr System und simulieren einen echten Hackerangriff einschließlich der Informationssammlung.
Greybox Test
Wir erhalten ausgewählte Informationen über Ihr System wie verwendete Technologien und Zugangsdaten und handeln als Innentäter:innen, Mitarbeitende oder registrierte Nutzer:innen der Anwendung.
Whitebox Test
Wir erhalten umfassende Informationen über das Zielsystem einschließlich Quellcodes und Admin-Zugriff und handeln als Insider:innen.
Sorgfaltspflicht
Unsere Sicherheitsexpert:innen achten darauf, Ihren Anlagen und Systemen keinen Schaden zuzufügen. Oberstes Ziel ist, den Betrieb während und nach der Sicherheitsanalyse nicht zu stören.
Qualifikationen
Die Prüfhandlungen werden von ethischen Hackern durchgeführt, die über entsprechende branchenführende Zertifizierungen (OSCP, CEH, GPEM, White Hacker IHK, TÜV) verfügen.
Nehmen Sie unverbindlichen Kontakt auf. Wir beraten Sie gerne!
Sandra Weis
Ihre Ansprechpartnerin
- Alte Seilerei 11 | 96052 Bamberg
- +49 951 16 09 57-60
- E-Mail senden