Projektpartner

  • Technische Universität München

Kalender

Kontaktdaten

Florian Schreiner
Infineon Technologies
IFAG CCS PFS TM, Am Campeon 1-12, 81726 München
089 234 21833
Florian.schreiner@infineon.com

Relevanz des Projekts und Grundlagen

Relevanz des Verbundprojektes / Grundlagen
Bisherige technische Lösungen zur Absicherung von IT-Systemen kritischer Infrastrukturen bestehen in der Regel aus Einzellösungen. Diese können oft nicht zusammen betrieben werden, nicht alle relevanten Bereiche abdecken oder nicht auf einer gemeinsamen Datenbasis arbeiten. Innerhalb des Projektes soll ein erster wichtiger Schritt in Richtung eines systemischen und umfassenden Ansatzes zur Absicherung der IT-Systeme kritischer Infrastrukturen unternommen werden. Hierfür soll vor allem auf bewährte Tools und Methoden, welche sich bereits im praktischen Einsatz befinden oder von den Partnern des Konsortiums entwickelt wurden gesetzt werden. Ein Modell zur gemeinsamen Nutzung und Darstellung gesammelter Daten über das System selbst sowie Informationen über Angriffe oder andere Anomalien dieser Systeme soll daher entwickelt werden. Die Frage zur übergreifenden Nutzung und der gegenseitigen Bereitstellung ist daher zentral und soll mittels kooperativer Systeme gelöst werden.

In dieses Gesamtkonzept muss auch der Faktor Mensch entsprechend integriert werden, da dieser eine nicht unerhebliche Rolle im Sicherheitskonzept spielt. Daher soll im Rahmen des Projektes auch untersucht werden durch welche technischen Hilfen ein System-Administrator entsprechend unterstützt werden kann. Dies soll mittels zweier unterschiedlicher Konzepte umgesetzt werden. Zum einen soll bei der Repräsentation der Informationen und Abläufe eine verständliche Benutzeroberfläche erstellt werden. Zum anderen soll ein Assistenzsystem zum Einleiten von Reaktionsmaßnahmen den Administrator in die Lage versetzen fundierte Entscheidungen im Ernstfall eines Angriffs zu treffen.

Um die beiden Ziele adäquat erreichen zu können, sollen in diesem Projekt beide in der Bekanntmachung genannten Schwerpunkte (Beurteilung und Erhöhung der IT-Sicherheit)untersucht werden. Es werden neue Ansätze zur Beurteilung der IT-Sicherheit betrachtet und Konzepte zur Erhöhung der IT-Sicherheit untersucht. Diese beiden Schwerpunkte gehen bei der Umsetzung der einzelnen Ideen meist Hand in Hand und sollen hier im Folgenden kurz erläutert werden.

Ein zentrales Konzept ist die Komprimierung und Strukturierung gesammelter Daten. Dies betrifft sowohl Informationen über die Netzinfrastruktur, verwendetet Komponenten oder laufende Dienste, d.h. eher statische Daten, als auch dynamische Daten, wie Netzverkehr, Informationen über Angriffe oder auf Fehlkonfigurationen bzw. Ausfälle zurückzuführendes Fehlverhalten. Um neue Konzepte zur Bewertung der aktuellen Sicherheitslage entwickeln zu können, ist es essentiell, diese Daten entsprechend zusammenzuführen, übergreifend auszuwerten und anschließend interpretieren zu können. Ein Beitrag zur verbesserten Bewertung der Sicherheitslage ist daher die Bereitstellung einer geeigneten Datenbasis. Um dies kostengünstig zu ermöglichen und auch kleineren Unternehmen Zugang zu dieser Methode gewährleisten zu können, wird auf bereits verbreitete Standards, wie IF-Map gesetzt und zudem die Integrationsmöglichkeiten gängiger Analysetools, welche bereits im praktischen Einsatz sind, untersucht. Basierend auf den durch unterschiedliche Systeme gesammelten Daten können dann mittels verschiedener Untersuchungen, wie Korrelation oder der Feststellung nicht vorgesehener Änderungen neue Erkenntnisse über den Gesamtzustand des Systems bezüglich Sicherheit getroffen werden. Derartige Rückschlüsse werden meist ohne geeignete Korrelation von Daten nicht möglich sein.

Ein weiterer Aspekt zur Beurteilung des Sicherheitsstandes eines umfassenden Systems ist der Einsatz von Priorisierungsmechanismen zur Bewertung von Alarmen. Ein solches Verfahren hat zudem den Seiteneffekt sich positiv auf die Effizienz des Sicherheitssystems auszuwirken. So können als dringlicher eingestufte Alarme mit Vorzug behandelt werden, wohin gegen weniger relevante Alarme zurückgestellt werden können. Um eine Priorisierung von Alarmen durchführen zu können, muss auf die zuvor bereitgestellt Wissensmenge zurückgegriffen werden. Die hier zu entwickelnden Metriken zur Bewertung der Dringlichkeit von Vorfällen gibt dem Administrator ein starkes Hilfsmittel an die Handbestehende Situationen besser einschätzen zu können.

Die Zeitspanne zwischen Eintreten eines sicherheitsrelevanten Vorfalls und dessen Behebung ist besonders kritisch. Je länger ein Angreifer ungestört einen Angriff durchführen kann, desto höher die Erfolgschancen und der entstehende Schaden. Daher soll im Rahmen dieses Projektes ein Konzept zur Erhöhung der Sicherheit durch schnelleres Eingreifen bei Sicherheitsvorfällen entwickelt werden. Dies soll mit Hilfe eines Assistenzsystems zur automatisierten Einleitung von Reaktionen umgesetzt werden. Zur Verfügung stehende Reaktionen sollen hinsichtlich verschiedener Kriterien bewertet und eingeschätzt werden. Diese Auswertung nach der Effizienz und Kosten verschiedener Aktionsoptionen soll dann dem Administrator präsentiert werden, welcher dann unter diesen Aktionen die ihm passendste auswählen und sofort automatisch in die Wege leiten kann.

Diese neuen Konzepte sollen entsprechend in bestehende Prozesse der IT-Systeme integriert werden und somit auch in Legacy-Systemen einsetzbar sein. Daher ist ein transparentes Modell unerlässlich, welches erlaubt, die genannten Konzepte effektiv zu implementieren. Ein solches Konzept ermöglicht auch kleineren Unternehmen den Einsatz dieser Techniken. Zur Umsetzung sollen daher die neuen Konzepte gekapselt und über entsprechende Interfaces angebunden werden. Die neuen Funktionalitäten müssen ohne Störungen des eigentlichen Produktivnetzes ausgeführt und abgesichert werden können. Zudem soll ein kooperatives Verhalten der neuen Komponenten deren Verfügbarkeit gewährleisten. Redundante Speicherung der Daten ist in diesem Zusammenhang vor allem für die Sicherheit und Erhaltung aller notwenigen und relevanten Informationen von zentraler Bedeutung. Techniken zur konsistenten Datenhaltung und die effektive Verteilung der Informationen auf redundanten Systemen soll daher in diesem Projekt elaboriert werden.

Forschungsfragen

Welche Anforderungen können bei kritischen Infrastrukturen identifiziert werden?
Wie können diese in einem entsprechenden Modell abgebildet werden?
Wie kann eine Use-Case orientierte Priorisierung von Alarmmeldungen implementiert werden?
Wie kann ein Assistenzsystem zur Auswahl von Reaktionen gestaltet werden?
Welche zusätzliche Sicherheit kann ein Vorschaltgerät bringen und wie kann dieses effizient implementiert werden?
Wie kann eine umfassende Architektur der Sicherheitsinfrastruktur gestaltet und umgesetzt werden?
Welche Informationen kann eine Messsonde liefern und wie kann diese effizient implementiert werden?
Wie kann eine Visualisierung der Vorgänge und Infrastrukturen helfen, die Gesamtsicherheit zu erhöhen?

Ziele

Verbesserung der IT-Sicherheit kritischer Infrastrukturen ohne negative Auswirkungen auf Verfügbarkeit, Betriebssicherheit und Personensicherheit
Kosteneffizienz durch systemische Lösung
Einsatz bewährter Sicherheitstechnologie im Bereich kritischer Infrastrukturen
Ausfallsicherheit durch kooperative Systeme
Assistenzsysteme zur Einleitung von Reaktionsmaßnahmen
Effektivitätssteigerung durch Vorverarbeitung
Verbesserte Benutzerfreundlichkeit

Vorgehen

Die zum Erreichen der Projektziele von SURF nötigen Arbeiten wurden in sieben Arbeitspakete mit jeweils mehreren Tasks untergliedert. Deren zeitliche Abfolge ist dem Die zum Erreichen der Projektziele von SURF nötigen Arbeiten wurden in sieben Arbeitspakete mit jeweils mehreren Tasks untergliedert. Nachfolgend werden die Inhalte und Ziele der jeweiligen Arbeitspakete kurz vorgestellt.

AP1: Vorhabens-Management
Management und die Koordination, Kommunikation mit dem Projektträger, aktive Mitarbeit an Begleitforschung und Kommunikation mit Begleitforschungsprojekt, sowie Publikation der Projektfortschritte und –ergebnisse.

AP2: Analyse der Anforderungen kritischer Infrastrukturen und Modellierung der Infrastrukturen
Bestandsaufnahme der Anforderungen und bisher festgestellter Problematiken im Bereich kritischer Infrastrukturen. Dieses AP stellt die Basis zur Entwicklung eines geeigneten Netzmodells dar und liefert Erkenntnisse darüber, welche Gegenmaßnahmen für erkannte Probleme existieren. Ein wichtiges Ergebnis sind die Anwendungsfälle aus kritischen Infrastrukturen. Zudem soll das Konzept der Risikobewertung in die maschinelle Verifikation (Überprüfbarkeit) weiterer Sicherheitsanforderungen integriert und mittels Metriken verfeinert werden.

AP3: Definition des systemischen Gesamtkonzepts
Auf der Basis der Anforderungen und Anwendungsfällen aus AP2 wird ein Gesamtsystem definiert, um den identifizierten Angriffen wiederstehen zu können und gleichzeitig den Rahmenbedingungen einer kritischen Infrastruktur zu genügen. Hierbei werden Aspekte des Risikomanagements sowie konkreten Schutztechnologien geeignet verbunden und die späteren Schnittstellen definiert. Die Ergebnisse gehen in die AP4 und AP5 ein und dienen dort jeweils als Arbeitsgrundlage.

AP4: Entwicklung von Schutztechnologien
Bei der Entwicklung von Schutztechnologien werden die Aspekte des Schutzes eines einzelnen Gerätes, des Gesamtnetzwerkes sowie des Monitorings und der Datenaggregation betrachtet. Es werden für dieses Aspekte einzelne Techniken entwickelt und passend zum AP3 zur Verfügung gestellt.

AP5: Risikobasierte Reaktionsunterstützung
Ziel dieses APs ist die Entwicklung eines unterstützend wirkenden Systems zur Einleitung von Gegenmaßnahmen zu Angriffen. Auf Grundlage der Risikoabschätzung, des aktuellen Systemzustands und Metriken zur Bewertung der verschiedenen Aktionen soll dem Administrator ein Überblick über mögliche Reaktionsmaßnahmen zu festgestellten Angriffen gegeben werden. Die Vorschläge über einzuleitende Maßnahmen können dann vom Administrator ausgewählt und durchgeführt werden.

AP6: Integration des Gesamtsystems
Die Komponenten aus AP4 und AP5 werden unter Nutzung ihrer in AP3 definierten Schnittstellen zusammen geführt und hinsichtlich ihrer Interoperabilität erprobt.

AP7: Evaluierung der ermittelten Konzepte und Lösungen
In enger Zusammenarbeit mit den Betreibern der kritischen Infrastrukturen sollen dann die ermittelten Konzepte und Lösungen evaluiert werden. Neben der Einsetzbarkeit des entwickelten Sicherheitssystems in den Infrastrukturen der Projektpartner stehen die Effizienz der Maßnahmen und die Bedienbarkeit des Systems im Vordergrund. Metriken aus AP5 werden eingesetzt, um eine Vergleichbarkeit zu ermöglichen.
Die Beziehungen und Abhängigkeiten der Arbeitspakete sind in der folgenden Graphik dargestellt.