Direkt zum Inhalt
Forschungsprojekt

OT-REX: Prüfen, was nicht stillstehen darf

Über 18 Monate baut Yekta IT in eigenen Laborumgebungen Sektorumgebungen mit echter Industriehardware nach, prüft daran industrielle Anlagen und veröffentlicht, was sich verallgemeinern lässt: Angriffswege aus der offensiven Seite, Erkennungsmuster aus der defensiven. Kofinanziert von der Europäischen Union über das Programm CYSSDE.

An OT plant and the ways into it A plant in operation with its HMI, controllers and process network, and five separate ways in: office IT, remote maintenance, a service laptop on site, a supplier VPN and a radio link at an outlying station. Each one crosses the boundary of the plant at a point where it can be seen. PLANT IN OPERATION HMI PROCESS NETWORK OFFICE IT REMOTE MAINTENANCE SERVICE LAPTOP SUPPLIER VPN RADIO · CELLULAR WAY IN WHERE IT SHOWS AN OT PLANT AND THE WAYS IN · NOT ONLY THROUGH IT
Eckdaten

Wer, wie lange, woraus

Laufzeit

18 Monate Begleitung durch das CYSSDE-Programm.

Förderung

Kofinanziert von der Europäischen Union, getragen vom European Cybersecurity Competence Centre und seinen Mitgliedern.

Auswahl

Open Call 3, ausgeschrieben für Penetrationstests und Schwachstellenanalysen. Über 150 Bewerbungen, dreizehn ausgewählte Projekte, davon eines aus Deutschland.

Umfang

Vorgesehen sind 13 Assessments über die Laufzeit.

Anwendungsbereich

Industrielle Anlagen in der Energieversorgung, im Bahnbereich und in der Wasserwirtschaft, dazu angrenzende OT-Umgebungen in Industrie und Verkehr.

Unser Anteil

Offensive Security und Blue Teaming aus einem Haus, dazu eigene Laborumgebungen, die im Projekt um echte Industriehardware erweitert werden.

Das Verfahren

Angriff und Erkennung aus einem Haus

Rehearsed in the lab, then run on the plant Two panels with the same process line and the same three devices. In the laboratory the test may end in a failure; on the plant in operation the same procedure ends at the device it was aimed at. LAB REPLICA · SAME DEVICES MAY FAIL PLANT IN OPERATION MUST NOT STOP THE SAME PROCEDURE, RUN TWICE REHEARSED IN THE LAB, THEN RUN ON THE PLANT

Eine Leitstelle lässt sich nicht abschalten, weil jemand einen Scan fahren will. Eine Steuerung, die seit 2009 im Feld steht, reagiert auf einen Portscan mitunter anders als ihr Datenblatt verspricht, und das merkt man hinterher. Ein aktiver Test gegen eine Anlage im Betrieb ist deshalb kein Vorgang mit bekanntem Ausgang.

Der Ablauf wird vorher in eigenen Laborumgebungen nachgestellt und erst danach an der Anlage gefahren. YekCity ist eine davon, daneben stehen Aufbauten für weitere Sektoren. Im Labor darf schiefgehen, was an der Anlage nicht schiefgehen darf.

Dieses Nachstellen ist der teure Teil. Es kostet Hardware, Aufbauzeit und Leute, die den Sektor kennen, und es fällt an, bevor der erste Befund existiert. Über das Projekt erweitern wir die Labore um echte Industriehardware, damit Sektorumgebungen nicht simuliert, sondern nachgebaut werden.

Eingebracht werden dabei beide Seiten, die wir im Haus haben. Offensive Security liefert die Angriffswege und die Prüfschritte. Blue Teaming beantwortet die Frage, woran derselbe Angriff zu erkennen gewesen wäre. Ein Befund allein ändert an einer Anlage wenig, solange niemand weiß, welches Signal er im Monitoring erzeugt.

Das Ergebnis

Was den Kreis der Beteiligten verlässt

OT-REX: sector, laboratory, assessment, publication Sector environments are reproduced in the laboratory, the assessments are prepared there before they run, and the test steps, attack paths and detection knowledge that come out of them are published beyond the organisations involved. ENERGY RAIL WATER LABS REAL HARDWARE ASSESSMENTS PUBLISHED TEST STEPS · ATTACK PATHS · DETECTION RULES OT-REX · REPRODUCED, THEN TESTED, THEN PUBLISHED

Ein Programm wie CYSSDE bezahlt keine Berichte. Es bezahlt das, was aus den Prüfungen für andere übrig bleibt: Prüfschritte, die sich wiederholen lassen, Angriffswege, die in mehr als einer Anlage funktionieren, und Erkennungsmuster, die ein Betreiber in seine eigene Überwachung übernehmen kann. Das geht anonymisiert heraus, ohne Namen, Adressen oder Konfigurationen.

Dazu kommt, was im Labor stehen bleibt. Jede nachgebaute Sektorumgebung bleibt danach nutzbar, für die nächste Prüfung, für Übungen und für die Arbeit an Erkennungsregeln. Aus diesem Grund ist der Laboraufbau Teil des Projekts und nicht sein Nebenprodukt.

Verwandtes

Wo das im Haus schon steht

Nächster Schritt

Fragen zu OT-Tests?

Telefon
0231 39814905
Mo–Fr · 9–17 Uhr
Standort
Dortmund
Ruhrallee 9 · 44139