CyberWiz – ein EU-Projekt zum Schutz kritischer Infrastrukturen

Techniken zu entwickeln und zu verbreiten, die diese kritischen Infrastrukturen schützen, ist Ziel des Projektes CyberWiz [2].

CyberWiz wird von der EU im Rahmen des Programmes Horizon 2020 [3] gefördert. Dieses Programm hat den Fokus, die Entwicklung bahnbrechender Technologien zu unterstützen, die insbesondere in den kreativen Köpfen kleiner und mittlerer Unternehmen entstehen. CyberWiz kombiniert das Know-how der Softwareentwickler und Risikoexperten des schwedischen Unternehmens foreseeti AB [4], einem Spin-off der Königlich Technischen Hochschule Stockholm und des deutschen Spezialisten für Informationssicherheit, der Applied Security GmbH (apsec) [5], welcher auch die Projektleitung übernommen hat. Wissenschaftlich unterstützt werden die beiden Unternehmen von den Forschern der KTH Stockholm und vom paluno Institut für Softwaretechnologie der Universität Duisburg-Essen [6].

In CyberWiz entwickeln die beiden spezialisierten Unternehmen und das renommierte deutsche Forschungsinstitut die Software securiCAD, sowie ein zugehöriges Implementierungs- und Beratungskonzept, welches KRITIS-Betreibern die Möglichkeit gibt, ihr Netzwerk zu modellieren und mittels ausgefeilter Simulationstechniken auf Schwachstellen zu testen. Ein Ergebnis der Simulation liefert unter anderem eine Abschätzung, wie lange ein Angreifer benötigt, ein Netzwerk entscheidend zu kompromittieren.

Die Entwicklung der Software wird von konkreten Pilotprojekten bei KRITIS-Betreibern durch apsec begleitet. Das erste Pilotprojekt, eine Analyse des Netzwerks der Stadtwerke Aschaffenburg, steht kurz vor einem erfolgreichen Abschluss. Ein zweites Pilotprojekt ist für den Herbst geplant.

Der Weg in die Abstraktion: Bedrohungsmodelle

securiCAD greift die zentrale Idee des abstrakten Bedrohungsmodells auf, die Adam Shostack in seinem 2015 veröffentlichten Buch "Threat Modeling: Designing for Security" [7] beschreibt. Shostack definiert die Modellierung von Bedrohungen als die Abstraktion konkreter Schwachstellen, wie sie zum Beispiel ein Penetrationstest zu Tage fördern würde, als Hilfsmittel für die Risikoanalyse. Auch die amerikanische Normierungsbehörde NIST beschreibt im Entwurf NIST Special Publication 800-154 [8] einen abstrakten Prozess zur Bedrohungsmodellierung. Andere Tools, die auf dem Ansatz des Bedrohungsmodells aufsetzen, sind beispielsweise das Microsoft Threat Modeling Tool, ThreatModeler, CyGraph, IriusRisk, Skybox oder RedSeal. Alle diese Tools haben ihre Stärken und Schwächen. Allen gemeinsam ist, dass sie den Vorteil haben, eine unabhängige "zweite Sicht" auf ein Bedrohungsszenario zu liefern und dass es mit ihnen möglich ist, anhand ein und desselben Netzwerkmodells verschiedene Angriffsszenarien durchzuspielen und so dem Management effektive Entscheidungshilfen zu liefern.

Der Übergang von der konkreten Schwachstelle zum abstrakten Modell fällt nicht ganz leicht, wenn man es als IT-Spezialist gewohnt ist, in Bits, Bytes und Patchleveln zu denken. Es gibt aber klare Vorteile dieses Ansatzes.

Ein Beispiel soll dieses verdeutlichen: Immer wieder kommt es vor, dass in einer Variante eines Betriebssystems Schwachstellen entdeckt und nach einer gewissen Zeit durch Patches des Herstellers behoben werden. In einem heterogenen, großen und komplexen Netzwerk ist es mitunter schwierig zu beantworten, ob alle Systeme zu einem konkreten Zeitpunkt auf aktuellem Patchlevel sind oder nicht. Noch schwieriger ist die Antwort auf die Frage, wie das gesamte Netzwerk beeinträchtigt wird, wenn auch nur ein Rechner nicht auf dem höchsten Patchlevel ist. Hier setzt securiCAD mit einem abstrakteren Ansatz an und fragt gar nicht nach dem konkreten Patchlevel, sondern nur danach, mit welcher Wahrscheinlichkeit ein System zu einem beliebigen Zeitpunkt auf aktuellem Patchlevel ist. Wenn wir also – um das Beispiel möglichst einfach zu halten – annehmen, dass ein Unternehmen alle fünf Tage seine Systeme patcht, so liegt im Modell immer eine Wahrscheinlichkeit von 20 Prozent vor, dass ein System gepatcht ist und eine Wahrscheinlichkeit von 80 Prozent, dass dem nicht so ist. Simuliert man mit securiCAD einen Angriff, so sind also Angriffe, die auf Betriebssystemschwächen abzielen, mit einer Wahrscheinlichkeit 80 Prozent nach einer gewissen Zeit, die es benötigt, einen Exploit für die Schwachstelle zu finden oder zu programmieren, erfolgreich.

So wie in diesem Beispiel modelliert securiCAD eine große Zahl von Angriffsvektoren anhand von Erfolgswahrscheinlichkeiten für das Ausnutzen einer Schwäche. Und das ist nicht nur auf technische Aspekte beschränkt. Auch beispielsweise das große Thema Sensibilisierung der Mitarbeiter (Security Awareness) kann in das Bedrohungsmodell mit einbezogen werden. So kann securiCAD unmittelbar feststellen, wie sich die Verwundbarkeit eines Systems bessert, je mehr Mitarbeiter an einer Schulung zur Security Awareness teilgenommen haben, da die Wahrscheinlichkeit für Nutzerfehler oder Social Engineering mit jedem geschulten Mitarbeiter sinkt.