NET 4/2023

28 www.net-im-web.de 4/23 SP E C I A L ANGACOM Bernhard Reimann ist Objektleiter bei der NET Bernhard Reimann In den vergangenen Monaten hat Otorio zusammen mit Forschern eines weltweit führenden Cyber- sicherheitsanbieters umfassende Untersuchungen zu industriellen drahtlosen IoT-Geräten (Wireless IIoT) durchgeführt. Hierzu zählen z. B. industrielle Mobilfunk-Gate - ways/Router und WLAN-Access- Points. Diese Untersuchungen führten zur Entdeckung zahlreicher Probleme bei der Implementierung dieser Geräte. Im Rahmen der im Vor- spann erwähnten Studie sind 38 Schwachstellen bei vier führenden Anbietern ans Tages- licht gekommen. Einige davon wurden im Rahmen eines verantwortungsvollen Offenlegungsprozesses behandelt. Die An- zahl der betroffenen Anbieter macht diese Entdeckung zu einem weit verbreiteten Problem. Ergebnisse Die wichtigsten Ergebnisse der Untersu- chung sind: • Wireless-IIoT-Infrastrukturen und ihre Cloud-Plattformen bieten in ihrem derzeitigen Zustand eine kritische Angriffsfläche für entfernte Indust- riestandorte. • Bei vier führenden Anbietern, die untersucht wurden, sind kritische Probleme aufgetaucht, einige befinden sich noch im Offenlegungsprozess. • Wireless IIoT, wie es üblicherweise zum Einsatz kommt, ist ein erhebliches Ri- siko für OT-Umgebungen, da es eine direkteVerbindung sowohl zumInternet als auch zum internenOT-Netz herstellt. Dadurch entsteht ein einziger Fehler- punkt und ein potenzieller Angriffspfad, der alle Sicherheitsebenen gemäß dem Purdue-Modell umgehen kann. • Angreifer können kostenlose Platt- formen wie WiGLE einsetzen, um hochwertige, anfällige Ziele zu loka- lisieren, ihren physischen Standort zu bestimmen und sie von der Nähe aus auszunutzen. Dies stellt ein kritisches Risiko für OT-Netze und kritische Infrastrukturen dar – mit gefährlichen potenziellen Auswirkungen. Das Purdue -Modell Das Purdue Reference Model für Automa- tions- und Industrienetze hilft beim Schutz von Operational Technology (OT) vor Cyberbedrohungen. Mit ihm lassen sich komplexe Automations- und Industrie- netze strukturieren. Dazu werden die Netze in verschiedene Level gegliedert und die Systeme diesen zugeordnet. Risiken durch ungeschütztes Wireless-IIoT Gefahr durch den direkten Pfad zu Level 0 Die direkte Verbindung zu den Ebenen 0 bis 2 bedeutet in der Regel eine vollständige Umgehung der üblichen Sicherheitsmaßnahmen. (Bild: Otorio)