Im Rahmen dieser Projektarbeit wurde für die Firma AEW Energie AG ein OT-Sensors zur Überwachung und Auswertung des Netzwerkverkehrs zwischen industriellen Steuerungssystemen entwickelt.
Elastic Stack, Tshark, Python, Suricata, Operational Technology, IEC 61850
Die AEW Energie AG ist ein selbstständiges Unternehmen des Kantons Aargau. Mit der sicheren und klimafreundlichen Energieversorgung leistet die AEW einen wesentlichen Beitrag zur Standortattraktivität und zur Lebensqualität in der Region. Sie strebt Klimaneutralität (Netto-Null) bis spätestens 2040 an. Als integrierter Energiedienstleister engagiert sich die AEW mit der Produktion von Strom und Wärme/Kälte sowie als führende Netzbetreiberin und Lieferantin für ihre Kunden. Für die Stromproduktion fokussiert sich die AEW auf Wasserkraft sowie Solar- und Windenergie. Zudem erbringt sie Dienstleistungen in netz- und energienahen Bereichen sowie in der Telekommunikation. Die AEW Energie AG setzt sich als Betreiberin von kritischen Infrastrukturen für die sichere Energieversorgung ein. Durch die steigende Digitalisierung und Automatisierung von industriellen Steuerungssystemen erhöht sich auch deren Anfälligkeit für Cyberangriffe. Eine Reihe von Vorfällen in verschiedenen Industrieanlagen weltweit haben deutlich gemacht, welche Schäden durch Schadsoftware verursacht werden können.
Präventive Sicherheitsmassnahmen allein sind nicht mehr ausreichend, um die Risiken eines Cyberangriffs zu reduzieren. Die Wahrscheinlichkeit, dass eine solche Massnahme umgangen werden kann, nimmt stetig zu. In diesem Kontext ist eine umfassende Überwachung der Systemereignisse und der Netzwerkkommunikation wichtig.
In einer Laborumgebung soll ein OT-Sensor zur Erkennung von Anomalien im Netzwerkverkehr erarbeitet werden. Ausserdem soll geprüft werden, welche Technik sich zur Anomalieerkennung im Bereich von industriellen Kontrollsystemen geeignet ist und wie die Performance und Wirtschaftlichkeit einer Eigenentwicklung im Vergleich zu einer Fertiglösung zu bewerten ist.
Zur Beantwortung dieser Fragen ist eine umfassende Recherche zu historischen Cyberangriffen auf kritische Infrastrukturen erforderlich, um ein Verständnis der eingesetzten Angriffstechniken und Prozeduren zu erlangen. Die Angriffsmuster müssen generalisiert werden, um Parallelen zwischen den verschiedenen Angriffen aufzudecken, welche als Grundlage zur Erkennung von bis anhin unbekannten Cyberangriffen dienen können.
Historische Cyberangriffe bei anderen Unternehmen haben gezeigt, dass sich Angreifende jeweils mehrere Wochen im Netzwerk des Opfers bewegt haben, um die besonders vulnerablen Geräte der kritischen Infrastruktur aufzuspüren. Dabei entstand in der Regel verdächtiger Netzwerkverkehr, der dank der vorwiegend statischen Maschinen-zu-Maschinen-Kommunikation in industriellen Umgebungen heraussticht.
Für den Sensor wurde eine dedizierte Hardware gewählt, die durch eine Kombination von verschiedenen Open-Source Anwendungen und ergänzenden Eigenentwicklungen den gesamten Netzwerkverkehr des Industriellen Kontrollsystems speichert und analysiert. Die Anomalieerkennung geschieht auf verschiedenen Ebenen und reicht von statistischen Analysen bis hin zur Untersuchung der industriespezifischen Protokolle auf Applikationsebene. Verdächtige Ereignisse werden in ein zentrales Event-Management-System auf Basis des Elastic Stack übermittelt und ausgewertet.
Das System kann in Zukunft mit geringem Aufwand in den Umspannwerken der AEW Energie AG installiert und zur Überwachung eingesetzt werden. Es hat sich gezeigt, dass die Eigenentwicklung im Vergleich zu Industrielösungen einen tieferen Einblick in die Netzwerkkommunikation gibt und eine grössere Teilmenge an Use-Cases erkennt. Bei der Skalierung auf mehrere Industrieanlagen fällt eine Eigenentwicklung langfristig günstiger aus, als die Anschaffung einer industriespezifischen Fertiglösung, wofür hohe Lizenz- oder Servicegebühren anfallen.
| Projekttyp: | Bachelor Thesis Informatik (IP6) |
| Projektdauer: | 6 Monate |
| Aufwand in Personenstunden: | 720 h |
| Teamgrösse: | 2 |
AEW Energie AG
Obere Vorstadt 40
Postfach
CH-5001 Aarau
Matthias Ledergerber
Jonas Hadorn
Prof. Dr. Peter Gysel, peter.gysel@fhnw.ch
