Was sind die Herausforderungen bei Embedded System Security

• 22. Oktober 2019
• Von: Björn Bauer
• Kategorie: Kaspersky

Im Zug des Aufstiegs des Internet der Dinge (IoT) sind wir bestrebt immer mehr Funktionalitäten in immer kleiner werdende Geräte einzubauen. Die Sicherheit der Geräte und der eingebetteten Systeme (embedded Systems) wird dabei oft vernachlässigt. IoT-Mobilgeräte wie Smartphones, Tablets und Wearables sind bereits allgegenwärtig. Der Markt für das Internet der Dinge wächst. Embedded Systems sind allerdings keine Erfindung der Neuzeit. Viele Produktionsanlagen, Maschinen, etc. sind computergesteuert. Veraltete Hardware und Betriebssysteme bergen enorme Sicherheitsrisiken.

Der Begriff Embedded Security kommt ursprünglich aus der Automobilbranche und beschreibt die Integration von Sicherheitsfunktionen in elektronischen Steuergeräten und Bordcomputern. Diese sicherheitsrelevanten Funktionen stehen im Zusammenhang mit möglichen Manipulationen der Datenbusse, da die benutzten Bussysteme keine Sicherheitsfunktionen besitzen. Früher hatten diese Systeme keine Verbindung zum Internet. Heute ist dies der Fall, weil auch diese Systeme Daten von außen beziehen oder nach außen liefern. Somit steigt hier das Sicherheitsrisiko erheblich und ein Schutz für die alle Schnittstellen ist erforderlich.

In der Vergangenheit gab es mehrere gut strukturierte Angriffe auf zahlreiche Embedded Devices, vom Toaster bis zum Fahrzeugsteuerungssystem. Jüngst wurde die Produktionslinie von Rheinmetall in den USA durch einen Virus lahmgelegt. Die meisten eingebetteten Systeme werden mit Passwortschutz und Verschlüsselungsprotokollen wie SSL (Secure Socket Layer) oder SSH (Secure Shell) gesichert, aber anscheinend reicht es nicht aus, die Geräte sicher zu machen.

Mehrere Schutzebenen, einschließlich Verschlüsselung, Authentifizierung, Firewalls, Sicherheitsprotokollen, Intrusion Detection und Prevention schützen in der Regel Unternehmensdaten. Embedded-Systeme verfügen in den meisten Fällen noch nicht mal über eine Firewall und sind in der Regel nur durch Passwörter geschützt.

Neben der oben genannten fehlenden Schutzebenen gibt es zahlreiche weitere Herausforderung, die sich einem bei dem Schutz von Embedded System Security stellen. Die 6 Herausforderungen bei Embedded System Security sind:

Die meisten eingebetteten Systeme werden nicht regelmäßig mit Sicherheitsupdates versorgt. In den meisten Fällen wird nach Bereitstellung des eingebetteten Geräts dieselbe Software jahrelang und sogar jahrzehntelang ohne Update verwendet. Wenn ein Remote-Software-Update erforderlich ist muss oft erst eine Funktion für das Gerät entwickelt werden, die Sicherheitsupdates ermöglicht, da die meisten eingebetteten Betriebssystem nicht über automatisierte Funktionen verfügen einfache Firmware-Updates durchzuführen um die Sicherheit des Systems zu gewährleisten.

Viele eingebettete Geräte werden in Masse hergestellt im selben Design und Versionierung. In Anbetracht dessen wird es Millionen identischer eingebetteter Geräte geben. Ist jemand in der Lage, eines der Geräte erfolgreich zu hacken, kann der Angriff problemlos auf den Rest der Geräte repliziert werden.

Viele kritische Bereiche wie Versorgungsnetze, Verkehrsinfrastruktur und Kommunikationssysteme werden z.B. von eingebetteten Systemen gesteuert. Die moderne Gesellschaft ist auf mehrere Einrichtungen angewiesen, von denen viele wiederum auf eingebettete Geräte angewiesen sind. Cyberangriffe würden zu einer Funktionsstörung eingebetteter Systeme führen, was katastrophale Folgen haben könnte.

Embedded-Geräte haben im Vergleich zu PCs eine viel längere Lebensdauer. Viele sich im Einsatz befindlichen eingebettete Systeme sind Jahrzehnte alt und werden immer noch auf demselben Betriebssystem/Software ausgeführt. Wenn ein Hersteller ein Embedded-System entwickeln möchte, muss er die potenziellen Bedrohungen berücksichtigen, die in den nächsten zwei Jahrzehnten auftreten können. Neben der Entwicklung eines Systems, dass gegen aktuelle Bedrohungen sicher ist, müssen die Hersteller die Sicherheitsanforderungen der Zukunft erfüllen, was an sich schon eine große Herausforderung darstellt.

Eingebettete Systeme folgen einer Reihe von Industrieprotokollen, die von Sicherheitstools nicht geschützt oder erkannt werden. Enterprise Intrusion Detection-Systeme und -Firewalls können Unternehmen vor Bedrohungen schützen, bieten jedoch keine Sicherheit gegen industrielle Protokollangriffe.

Zahlreiche eingebettete Geräte werden außerhalb des Sicherheitsbereichs eines Unternehmens bereitgestellt. Daher können diese Remote- oder Mobilgeräte direkt mit dem Internet verbunden sein, ohne von den in der Unternehmensinfrastruktur bereitgestellten Security-Layers gedeckt zu werden.

Bei den oben genannten Punkten sollten die Alarmglocken eines jeden IT-Verantwortlichen lautstark läuten! Gerne möchten wir Ihnen unser Beratungskonzept für Sie und Ihr Unternehmen näherbringen und im persönlichen Gespräch erörtern, welche Maßnahmen für Sie nötig sind.

Als iT TOTAL AG sind wir spezialisiert darauf Unternehmen und Organisationen vor Bedrohungen aus dem Cyberspace zu schützen. Als starker Partner im Bereich IT-Security, mit unserem bewährten Hersteller-Portfolio mit z.B. Kaspersky und Sophos, sorgen wir dafür, dass unsere Kunden voller Vertrauen daraufsetzen können, sich für die richtige IT-Sicherheitslösung entschieden zu haben. Gerne bringen wir Ihnen unser Konzept für eine sichere IT in ihrem Unternehmen näher. Sprechen Sie uns an!