In den meisten industriellen und öffentlichen Infrastrukturen (Verkehr, Medizin usw.) gibt es Zeitserver. Ihre Aufgabe besteht darin, allen Geräten eine gemeinsame Referenzzeit bereitzustellen: Steuerungen, Überwachungssystemen, Netzwerkgeräten, Computern, medizinischen Bildgebungsgeräten und vielen weiteren. Sie alle nutzen einen Zeitserver, um den Datenaustausch und sämtliche Ereignisse in ihren Betriebsprotokollen (Logs) mit Zeitstempeln zu versehen. Diese Abhängigkeit ist kritisch. Fällt der Zeitserver aus oder ist er nicht mehr verfügbar, ist die Zeitstempelung im gesamten System fehlerhaft. Die Ereignisabläufe und ihre Auswirkungen auf die verschiedenen Systemkomponenten sind dann nicht mehr auswertbar. Damit sind weder eine zuverlässige Nachvollziehbarkeit noch die Einhaltung der entsprechenden gesetzlichen Vorschriften gewährleistet. Ein unzureichend abgesicherter Zeitserver bietet zudem eine potenzielle Angriffsfläche für Cyberangriffe (z. B. DDoS-Angriffe, die Ungültigmachung von Zertifikaten oder die Manipulation von Protokolldateien).
Einst isoliert, heute angreifbar
Die Anfälligkeit industrieller Systeme für solche Angriffe ist ein immer größer werdendes Problem. Noch vor wenigen Jahren waren die Netzwerke der Fachabteilungen physisch von den IT-Netzwerken getrennt. Dadurch waren sie in gewisser Weise geschützt, da die Geräte von außen nicht erreichbar und somit automatisch gegen Angriffe aus der Ferne gewappnet waren.
Die schrittweise Anbindung industrieller Systeme – auch als OT (Operational Technology) bezeichnet – an globale Computernetzwerke ermöglicht heute die Fernüberwachung sowie die sichere Speicherung von Daten in der Cloud. Gleichzeitig entstehen dadurch jedoch zahlreiche neue Angriffsmöglichkeiten für Cyberkriminelle. Industrielle Systeme sind daher mittlerweile denselben Bedrohungen ausgesetzt wie die klassische IT, wurden jedoch nicht dafür konzipiert, diesen standzuhalten. Umso wichtiger ist es, Netzwerkgeräte – und damit auch Zeitserver – wirksam abzusichern.
Zuverlässige Synchronisation, selbst unter anspruchsvollsten Bedingungen
Sichern Sie Ihre Zeitinfrastruktur dank einer stabilen und redundanten Synchronisation, die für kritische Netzwerke ausgelegt ist.
Die Norm IEC 62443
Diese aus mehreren Teilen bestehende Norm regelt die Cybersicherheitsmaßnahmen für industrielle Automatisierungs- und Steuerungssysteme (im Englischen als Industrial Automation and Control Systems, IACS, bezeichnet). Die IEC 62443 wurde von der Internationalen Elektrotechnischen Kommission (International Electrotechnical Commission, IEC) in Zusammenarbeit mit der International Society of Automation (ISA) entwickelt. Teil 4-2 wurde 2019 veröffentlicht. Darin sind die technischen Sicherheitsanforderungen festgelegt, die für Komponenten solcher Systeme gelten.
Auch die gesetzlichen Vorgaben unterstreichen die Relevanz dieser Norm. So schreibt die europäische Richtlinie NIS2 (Network and Information Security, Version 2) für zahlreiche kritische Sektoren konkrete Cybersicherheitsziele vor, ohne jedoch festzulegen, mit welchen technischen Maßnahmen diese erreicht werden sollen.
Die Norm IEC 62443 schließt diese Lücke. Sie definiert den konkreten Rahmen, der als Grundlage für die Erfüllung der Ziele der NIS2-Richtlinie dient. Auch das künftige europäische Zertifizierungsschema für industrielle Infrastrukturen dürfte sich auf diesen Text stützen. Darüber hinaus verpflichtet die NIS2-Richtlinie alle Unternehmen, ihre gesamte Lieferkette, und damit ihre Lieferanten, abzusichern. Dies führt dazu, dass auch die Geräte selbst die Anforderungen der Norm erfüllen müssen. Folglich dürfen innerhalb eines Netzwerks nur noch normkonforme Geräte eingesetzt werden.
Das Grundprinzip der IEC 62443 ist relativ einfach: Die Norm sieht eine Unterteilung des Systems in verschiedene Zonen vor. Eine Zone umfasst Geräte mit denselben Sicherheitsanforderungen. Die Kommunikation zwischen den einzelnen Zonen erfolgt über Kommunikationskanäle. Jeder Zone wird eine angestrebte Sicherheitsstufe zugewiesen. Die angestrebten Sicherheitsstufen werden als SL-T (Target Security Level) bezeichnet und reichen von SL1 bis SL4, je nach Komplexität der Angriffe, vor denen das System geschützt werden soll.
Die Sicherheitsstufe wird durch die Bewertung des Erfüllungsgrads von sieben grundlegenden Anforderungen der Norm ermittelt: Identifikation und Authentifizierung, Nutzungskontrolle, Systemintegrität, Datenvertraulichkeit, Eingeschränkter Datenfluss, Zeitnahe Reaktion auf Ereignisse und Ressourcenverfügbarkeit.
Jede Systemkomponente wird anhand ihrer Fähigkeit beurteilt, die angestrebte Sicherheitsstufe zu erreichen. Diese wird als SL-C (Capability Security Level) bezeichnet. Damit eine Zone die Zielstufe erreicht, müssen alle darin enthaltenen Komponenten bei jeder Anforderung eine Sicherheitsstufe SL-C aufweisen, die mindestens der SL-T entspricht.
Zeitserver als Netzwerkkomponente wirksam absichern
Teil 4-2 der Norm IEC 62443 unterscheidet vier Komponentenkategorien: eingebettete Geräte, Host-Geräte, Softwareanwendungen und Netzwerkgeräte.
Zeitserver gehören zur Kategorie der Netzwerkgeräte. Ein Zeitserver muss sowohl die für seine Kategorie geltenden Anforderungen als auch die Anforderungen der Zone erfüllen, in der er sich befindet.
Die Anforderungen an die Identifikation und Authentifizierung sowie die Nutzungskontrolle erfordern beispielsweise, dass Administratorkonten einzelnen Personen zugeordnet und deren Berechtigungen entsprechend der jeweiligen Benutzerrolle eingeschränkt werden. Im Hinblick auf die Systemintegrität ist eine Überprüfung der Firmware und der Updates des Zeitservers unerlässlich. Darüber hinaus muss der Zeitserver seine eigenen sicherheitsrelevanten Ereignisse in Protokolldateien (Logs) aufzeichnen. Dabei ist zu beachten, dass ein Zeitserver, der über ein gemeinsam genutztes Benutzerkonto verwaltet wird und keine Nachverfolgbarkeit gewährleistet, stets eine niedrige Sicherheitsstufe SL-C aufweist und damit die Sicherheitsstufe der gesamten Zone, in der er eingesetzt wird, herabsetzt.
Unter den zuvor genannten grundlegenden Anforderungen verdient eine besondere Aufmerksamkeit: die Ressourcenverfügbarkeit.
Während in der IT häufig die Datenvertraulichkeit als wichtigste Sicherheitsanforderung gilt, steht in der OT die Ressourcenverfügbarkeit an erster Stelle. Ein industrielles Steuerungssystem muss schließlich immer funktionsfähig bleiben. Die Anforderung an die Ressourcenverfügbarkeit sieht unter anderem vor, dass eine Komponente einem Denial-of-Service-Angriff standhalten und ihre wesentlichen Funktionen unter allen Umständen aufrechterhalten muss. Bei einem Zeitserver beruht diese Verfügbarkeit auf zwei Mechanismen. Erstens auf der Zeitquelle: Fällt das GNSS-Signal (Satellitensignal) aus, übernimmt der interne Oszillator die Zeitverteilung und gewährleistet so einen unterbrechungsfreien Betrieb, bis das Signal wieder verfügbar ist. Dies wird als „Holdover“ bezeichnet. Zweitens auf der Redundanz: Fällt der Zeitserver selbst aus, verhindert eine redundante Architektur (mit einem zweiten Zeitserver) die Unterbrechung der Referenzzeitverteilung.
Zeitstempel für Protokolldateien: Anforderung CR 2.11
Der Zeitserver unterscheidet sich von anderen Systemkomponenten. Er erfüllt eine ganz spezielle Aufgabe, die in der Norm IEC 62443 geregelt ist. Gemäß dieser Norm muss jede Komponente ihre Protokolldateien mit Zeitstempeln versehen. Dies ist in der Anforderung CR 2.11 (Component Requirement) festgelegt. Für die Erfüllung dieser Anforderung sind zwei Voraussetzungen unerlässlich: die netzwerkinterne Zeitsynchronisierung und der Schutz der Integrität der Referenzzeitquelle.
Eine Systemkomponente allein kann weder die eine noch die andere Anforderung erfüllen. Hierfür ist eine interne Zeitquelle erforderlich. Diese Aufgabe übernimmt ein lokaler Zeitserver, der im Gegensatz zu einem öffentlichen Zeitserver direkt in die Netzwerkinfrastruktur eingebunden ist. Um die Integrität seines Zeitsignals zusätzlich zu schützen, kann der Zeitserver sichere Protokolle wie NTS (Network Time Security) verwenden, das in RFC 8915 definiert ist. Ein Zeitserver innerhalb des Netzwerks ist somit eine unverzichtbare Voraussetzung, um die Anforderungen der CR 2.11 zu erfüllen.
Worauf es bei der Wahl eines normkonformen Zeitservers ankommt
Die Konformität mit der Norm IEC 62443-4-2 kann entweder vom Hersteller selbst erklärt oder durch eine unabhängige Stelle überprüft werden. Im ersten Fall beruht die Konformität lediglich auf einer Erklärung des Herstellers. Im zweiten Fall bestätigt das Zertifizierungsschema ISASecure CSA (Component Security Assurance), dass eine Komponente von einer unabhängigen Prüfstelle hinsichtlich einer bestimmten Sicherheitsstufe bewertet wurde.
Eine unabhängige Zertifizierung gewährleistet die Einhaltung der normativen Anforderungen. Sie ist besonders sinnvoll, wenn das Unternehmen selbst einer Konformitätspflicht unterliegt. Dann muss sichergestellt werden, dass auch die von ihm installierten Geräte den Vorschriften entsprechen. Eine durch unabhängige Dritte bestätigte Konformität bietet dabei eine wesentlich höhere Sicherheit als eine reine Herstellererklärung. Insbesondere in Zonen mit hohen Anforderungen an die Sicherheitsstufe wird dieser Unterschied zu einem wichtigen Auswahlkriterium.
Bei der Auswahl eines Zeitservers sind zudem zwei Kriterien zu berücksichtigen. Das erste Kriterium ist die Qualität der Verteilung des Zeitsignals an sich. Dabei spielen mehrere Faktoren eine Rolle: Auf welche Zeitreferenz greift die GNSS-Antenne zurück? Wie hochwertig ist der Oszillator und welche Genauigkeit bietet die Holdover-Funktion, um bei einem Ausfall des Satellitensignals eine kontinuierliche Zeitversorgung sicherzustellen? Und schließlich: Welches Protokoll wird für die Zeitverteilung im Netzwerk verwendet: PTP, NTP oder NTS? Letzteres bietet einen zusätzlichen Schutz vor Manipulationen.
Das zweite Kriterium ist die Widerstandsfähigkeit gegen Cyberangriffe. Hierbei ist darauf zu achten, dass der Zeitserver eine individuelle Authentifizierung der Benutzer vorschreibt. Er muss Berechtigungen entsprechend der jeweiligen Benutzerrolle verwalten, seine eigene Integrität überprüfen, sicherheitsrelevante Ereignisse protokollieren, Versuchen, den Server außer Betrieb zu setzen, standhalten und die Einhaltung der angegebenen Sicherheitsstufe gewährleisten.
