YekTrain
Fahrzeugsysteme an MVB und CANopen, aufgebaut aus Aufzeichnungen echter Züge. Angriffe und ihre Erkennung lassen sich daran reproduzierbar zeigen.
Entstanden aus der Analyse echter Züge. Das advanced TrainLab von DB Systemtechnik und ein ICE TD der Baureihe 605 lieferten reale MVB-Implementierungen nach IEC 61375, dazu kamen Analysen und Sicherheitsbewertungen weiterer Fahrzeuge aus unserer Prüfpraxis. Daraus haben wir Signaldefinitionen und Zeitverhalten extrahiert und in zwei Simulatoren übertragen. Die Fahrzeugsysteme hängen an MVB und CANopen, daneben laufen die Angriffserkennung und ein Rail Security Operations Center.
An einem Zug im Betrieb kann man nicht üben
Schienenfahrzeuge sind zugelassene Systeme mit Lebenszyklen von Jahrzehnten. Man kann an ihnen nicht ausprobieren, was ein gefälschtes Telegramm auf dem Fahrzeugbus bewirkt. Gleichzeitig ist genau das die Frage: Was erreicht jemand mit Zugriff auf die Fahrzeugkommunikation und würde es auffallen.
Erschwerend kommt hinzu, dass der Multifunction Vehicle Bus zwar in IEC 61375 genormt ist, die Umsetzungen der Hersteller aber auseinandergehen. Eine Überwachung, die nur eine Variante versteht, ist im gemischten Fuhrpark wertlos.
Erst messen, dann bauen
Der Aufbau ist aus realen Aufzeichnungen abgeleitet, nicht aus einem Datenblatt.
Aufzeichnungen an echten Zügen
Das advanced TrainLab von DB Systemtechnik gab Einblick in reale MVB-Implementierungen, ein ICE TD der Baureihe 605 diente als Referenz für komplexe Topologien. Hinzu kamen Analysen und Sicherheitsbewertungen weiterer Fahrzeuge. Daraus stammen die authentischen Signaldefinitionen und Zeitparameter.
Zwei Simulatoren
Der physische Zug als Demonstrationsplattform mit interaktivem Dashboard zum Anfassen. Daneben ein virtueller MVB-Simulator, der das Protokoll vollständig in Master-Slave-Architektur abbildet, über neun sicherheitskritische Fahrzeugsysteme von Klimatisierung und Türsteuerung über Antrieb und Bremse bis zu Sicherheitssystemen und Fahrer-Maschine-Schnittstelle.
Herstellerneutrale Datenbasis
Aufzeichnungen aus zwei Systemen unterschiedlicher Herkunft und die eigene virtuelle Umgebung laufen über schlanke Adapter in ein einheitliches, IEC-61375-konformes Datenmodell. Erst damit lässt sich eine Regel schreiben, die im gemischten Bestand greift.
Ein kompromittiertes Anzeigegerät, das Telegramme fälscht
Für realistische Bedrohungsszenarien haben wir die Fahrer-Maschine-Schnittstelle als kompromittierte Komponente umgesetzt. Sie kann Telegramme anderer Fahrzeugkomponenten fälschen und damit gezielt eingreifen: eine ungeplante Notbremsung auslösen und einen Fehlalarm der Brandmeldeanlage erzeugen, indem sie die entsprechenden Sicherheitstelegramme vortäuscht.
Das ist kein konstruiertes Szenario. Der Bus kennt keine Absenderprüfung und wer auf ihm senden darf, kann sich als jede Komponente ausgeben. Der Aufbau bestätigt damit eine grundlegende Schwäche und zeigt zugleich, warum Authentisierung und Überwachung hier zusammengehören.
Ein IDS, das den Bus wirklich versteht
Parallel zum Angriff haben wir eine Angriffserkennung für den Fahrzeugbus entwickelt. Sie decodiert die verschiedenen Herstellervarianten, normalisiert sie auf das gemeinsame Datenmodell, reichert sie mit Kontext an und arbeitet dann hybrid: regelbasiert für bekannte Muster, lernbasiert für statistische Abweichungen.
Alle Komponenten laufen in einem eigenen Rail Security Operations Center zusammen, das Sicherheitsereignisse zentral sammelt, Bedrohungen in Echtzeit darstellt und den Zug live überwacht. Das gefälschte Telegramm wird erkannt und weitergemeldet und genau diese Kette vom Eingriff über die Erkennung bis zur Meldung ist das, was sich sonst nirgends zeigen lässt.
Validiert wurde die Erkennung gegen die realen Zugaufzeichnungen und gegen die virtuelle Umgebung.
Wofür wir das Modell nutzen
Für Schulung und Sensibilisierung von Fachkräften im Bahnumfeld. Für Sicherheitsanalysen in einer Umgebung, in der man suchen darf, ohne einen Betrieb zu gefährden. Für die Entwicklung und den Test von Erkennungsverfahren samt Anbindung an eine Auswertung. Und als Vorstufe, bevor etwas an einem zugelassenen Fahrzeug erprobt wird.
Was am Modell entsteht, geht in unsere Prüfungen und in die Security Operations Center, die wir für den Schienenverkehr aufgebaut haben. Und was dort auffällt, kommt zurück ans Modell.
Den Demonstrator im Einsatz sehen.
Wir zeigen die Anlage, die Angriffswege und was sich daran prüfen lässt.