OT-REX: Prüfen, was nicht stillstehen darf
Über 18 Monate baut Yekta IT in eigenen Laborumgebungen Sektorumgebungen mit echter Industriehardware nach, prüft daran industrielle Anlagen und veröffentlicht, was sich verallgemeinern lässt: Angriffswege aus der offensiven Seite, Erkennungsmuster aus der defensiven. Kofinanziert von der Europäischen Union über das Programm CYSSDE.
Wer, wie lange, woraus
Laufzeit
18 Monate Begleitung durch das CYSSDE-Programm.
Förderung
Kofinanziert von der Europäischen Union, getragen vom European Cybersecurity Competence Centre und seinen Mitgliedern.
Auswahl
Open Call 3, ausgeschrieben für Penetrationstests und Schwachstellenanalysen. Über 150 Bewerbungen, dreizehn ausgewählte Projekte, davon eines aus Deutschland.
Umfang
Vorgesehen sind 13 Assessments über die Laufzeit.
Anwendungsbereich
Industrielle Anlagen in der Energieversorgung, im Bahnbereich und in der Wasserwirtschaft, dazu angrenzende OT-Umgebungen in Industrie und Verkehr.
Unser Anteil
Offensive Security und Blue Teaming aus einem Haus, dazu eigene Laborumgebungen, die im Projekt um echte Industriehardware erweitert werden.
Angriff und Erkennung aus einem Haus
Eine Leitstelle lässt sich nicht abschalten, weil jemand einen Scan fahren will. Eine Steuerung, die seit 2009 im Feld steht, reagiert auf einen Portscan mitunter anders als ihr Datenblatt verspricht, und das merkt man hinterher. Ein aktiver Test gegen eine Anlage im Betrieb ist deshalb kein Vorgang mit bekanntem Ausgang.
Der Ablauf wird vorher in eigenen Laborumgebungen nachgestellt und erst danach an der Anlage gefahren. YekCity ist eine davon, daneben stehen Aufbauten für weitere Sektoren. Im Labor darf schiefgehen, was an der Anlage nicht schiefgehen darf.
Dieses Nachstellen ist der teure Teil. Es kostet Hardware, Aufbauzeit und Leute, die den Sektor kennen, und es fällt an, bevor der erste Befund existiert. Über das Projekt erweitern wir die Labore um echte Industriehardware, damit Sektorumgebungen nicht simuliert, sondern nachgebaut werden.
Eingebracht werden dabei beide Seiten, die wir im Haus haben. Offensive Security liefert die Angriffswege und die Prüfschritte. Blue Teaming beantwortet die Frage, woran derselbe Angriff zu erkennen gewesen wäre. Ein Befund allein ändert an einer Anlage wenig, solange niemand weiß, welches Signal er im Monitoring erzeugt.
Was den Kreis der Beteiligten verlässt
Ein Programm wie CYSSDE bezahlt keine Berichte. Es bezahlt das, was aus den Prüfungen für andere übrig bleibt: Prüfschritte, die sich wiederholen lassen, Angriffswege, die in mehr als einer Anlage funktionieren, und Erkennungsmuster, die ein Betreiber in seine eigene Überwachung übernehmen kann. Das geht anonymisiert heraus, ohne Namen, Adressen oder Konfigurationen.
Dazu kommt, was im Labor stehen bleibt. Jede nachgebaute Sektorumgebung bleibt danach nutzbar, für die nächste Prüfung, für Übungen und für die Arbeit an Erkennungsregeln. Aus diesem Grund ist der Laboraufbau Teil des Projekts und nicht sein Nebenprodukt.
Wo das im Haus schon steht
- YekCity, das Testbed, in dem Sektorumgebungen nachgebaut und Angriffe erlebbar gemacht werden.
- OT-Penetrationstests und Assessments, dasselbe Verfahren außerhalb des Projekts.
- FINESSE, das abgeschlossene Forschungsprojekt zur Angriffserkennung im Straßen- und Schienenverkehr.
- OT-REX bei CYSSDE, die Projektseite des Programms.