IT-Sicherheitsgesetz 2.0 für KRITIS-Betreiber

Erfüllung der Anforderungen vom IT-Sicherheitsgesetz 2.0 für KRITIS-Betreiber

Nachdem im Jahr 2021 das IT-Sicherheitsgesetz 2.0 verabschiedet wurde, haben KRITIS-Betreiber wie Ver- und Entsorger nun nur noch bis zum 1. Mai 2023 Zeit, die gesetzlichen Verpflichtungen umzusetzen. Neben dem Einsatz vertrauenswürdiger IT-Komponenten, der Ausweitung der Meldepflichten und der Detektion von Risiken durch das BSI (Bundesamt für Sicherheit in der Informationstechnik) verpflichtet das Gesetz die KRITIS-Betreiber ab dem 1. Mai 2023 zum Einsatz von Systemen zur Angriffserkennung.

Gemäß dem IT-Sicherheitsgesetz 2.0 werden drei Maßnahmen zur Angriffserkennung empfohlen: Abgleich mit statischen Mustern, generische Muster sowie Verfahren der künstlichen Intelligenz (Machine Learning) und die Erkennung von Abweichungen des störungsfreien Betriebs. Prinzipiell können Host- und Netzwerk-basierte Angriffserkennungssysteme unterschieden werden. Ein typischer Vertreter von Host-basierten Systemen ist ein Virenscanner, der größtenteils Signaturen von bekannter Malware prüft. Dieser ist aber im Einsatz von kritischen Infrastrukturen häufig nicht flächendeckend anwendbar, da es zu Inkompatibilitäten mit dem jeweiligen Betriebssystem oder zu Verlust der Garantie der ICS-Komponente (Industrial Control System) führen kann.

Eine leicht zu integrierende und rückwirkungsfreie Lösung stellen die Netzwerk-basierten Angriffserkennungssysteme dar. Ein Klassiker ist der Einsatz eines sog. IDS/IPS (Intrusion Detection System / Intrusion Prevention System), welches ähnlich wie ein Virenscanner hauptsächlich mithilfe von vordefinierten und statischen Signaturen den Netzwerkverkehr auf bekannte Angriffe prüft. Der Einsatz eines IPS sollte aufgrund des aktiven Eingriffs in das Netzwerk wohlüberlegt sein, bevor z.B. wichtige Steuerbefehle das Ziel nicht erreichen. Zudem liegt der Erkennungsfokus auf bereits bekannten, statischen Signaturen – bis dato nicht hinterlegte Angriffe müssen mit einem weiteren System erkannt werden, welches im Betrieb mittels Machine Learning den Normalzustand im Netzwerk aufnimmt und nach Abweichungen im Betrieb, den sog. Anomalien, sucht.

Ein weiteres System im IT-Security-Kontext stellt das SIEM (Security Information and Event Management) dar. Dieses nimmt Daten und Logs verschiedenster Netzwerk- oder Host-Sensoren anderer Hersteller entgegen und wertet diese anhand von vordefinierten, komplexen Regeln aus. Die Güte des SIEM-Systems hängt zum einen von dem gepflegten Regelwerk, und zum anderen von den jeweils eingesetzten Host- und Netzwerk-basierten Sensoren ab, die zusätzlich zur Funktionalität benötigt werden.

secunet bietet mit „secunet monitor“ ein Angriffserkennungssystem für KRITIS-Betreiber nach aktuellem Stand der Technik an, welches sich bereits seit mehreren Jahren bei Ver- und Entsorgern erfolgreich im Einsatz befindet. Mit seinen passiven Netzwerksensoren, welche den IT/OT-Mischbetrieb und auch den Übergang zwischen IT und OT überwachen, prüft secunet monitor die ablaufende Kommunikation im Netzwerk und erkennt so Assets, Verbindungen, Schwachstellen, Anomalien und weitere Hinweise auf bestehende Angriffe durch die Verwendung von IOCs (Indicators Of Compromise; „bekannte Signaturen“) ähnlich eines IDS, einer fortschrittlichen Angriffsdetektion mit Mustererkennung ohne Verwendung von IOCs und einer Anomalieerkennung mit vorheriger Baseline-Erstellung.