Yekta IT gewinnt europäisches Forschungsprojekt für OT-Penetrationstests
Als einziges deutsches Unternehmen ist Yekta IT in Open Call 3 des EU-Programms CYSSDE ausgewählt worden. Das Projekt heißt OT-REX und läuft 18 Monate, mit Anlagen in Energie, Bahn und Wasser.
CYSSDE, Open Call 3, und die Projektseite
CYSSDE ist ein Programm für Penetrationstests und Schwachstellenanalysen, kofinanziert von der Europäischen Union und getragen vom European Cybersecurity Competence Centre und seinen Mitgliedern. Es vergibt sein Geld nicht als Auftrag, sondern über offene Ausschreibungen an Firmen, die die Tests dann durchführen.
Auf Open Call 3 gab es über 150 Bewerbungen und dreizehn Plätze. Die ausgewählten Projekte werden 18 Monate lang begleitet. Aus Deutschland ist eines dabei. Unser Projekt heißt OT-REX, OT Resilience and Exploitation Testing, und arbeitet an industriellen Anlagen in der Energieversorgung, im Bahnbereich und in der Wasserwirtschaft. Vorgesehen sind über die Laufzeit 13 Assessments. Was das Projekt umfasst, steht auf der Projektseite.
Angriff und Erkennung aus einem Haus
Eine Leitstelle lässt sich nicht abschalten, weil jemand einen Scan fahren will. Eine Steuerung, die seit 2009 im Feld steht, reagiert auf einen Portscan mitunter anders als ihr Datenblatt verspricht, und das merkt man hinterher. Ein aktiver Test gegen eine Anlage im Betrieb ist deshalb kein Vorgang mit bekanntem Ausgang.
Wir stellen den Ablauf vorher in eigenen Laborumgebungen nach und arbeiten erst danach an der Anlage. YekCity ist eine davon, daneben stehen Aufbauten für weitere Sektoren. Im Labor darf schiefgehen, was an der Anlage nicht schiefgehen darf. Was am Ende im Netz eines Betreibers läuft, ist ein Verfahren, das einmal durchgelaufen ist, und kein Versuch.
Dieses Nachstellen ist der teure Teil. Es kostet Hardware, Aufbauzeit und Leute, die den Sektor kennen, und es fällt an, bevor der erste Befund existiert. Genau deshalb wird es gefördert: Für einen einzelnen Test lässt sich der Aufwand kaum rechtfertigen, über ein Programm hinweg schon. Über das Projekt erweitern wir die Labore um echte Industriehardware, damit Sektorumgebungen nicht simuliert, sondern nachgebaut werden.
Eingebracht werden dabei beide Seiten, die wir im Haus haben. Offensive Security liefert die Angriffswege und die Prüfschritte. Blue Teaming beantwortet die Frage, woran derselbe Angriff zu erkennen gewesen wäre. Ein Befund allein ändert an einer Anlage wenig, solange niemand weiß, welches Signal er im Monitoring erzeugt, und deshalb entsteht zu jedem Prüfschritt das Erkennungsmuster dazu.
Was am Ende öffentlich wird
Ein Programm wie CYSSDE bezahlt keine Berichte. Es bezahlt das, was aus den Tests für andere übrig bleibt: Prüfschritte, die sich wiederholen lassen, Angriffswege, die in mehr als einer Anlage funktionieren, und Erkennungsmuster, die ein Betreiber in seine eigene Überwachung übernehmen kann. Das geht anonymisiert über den Kreis der direkt Beteiligten hinaus.
Für uns kommt dazu, was im Labor stehen bleibt. Jede nachgebaute Sektorumgebung bleibt danach nutzbar, für den nächsten Test, für Übungen und für die Arbeit an Erkennungsregeln. Aus diesem Grund ist der Laboraufbau Teil des Projekts und nicht sein Nebenprodukt.