Wie PAM die Umsetzung von IEC 62443 unterstützt
Die IEC-62443-Norm ist eine umfangreiche und hochkomplexe Sammlung von Cybersicherheitsstandards, die speziell auf die besonderen Anforderungen industrieller Automatisierungs- und Steuerungssysteme (IACS) zugeschnitten sind. Sie deckt das gesamte Spektrum der Sicherheit ab – von der Risikoanalyse über die Definition bis hin zur Umsetzung von Sicherheitsrichtlinien für IACS. Wie bei den meisten Sicherheitsstandards spielen die Themen Benutzerzugriffskontrolle und Identitätsmanagement eine zentrale Rolle für den Erfolg. Insbesondere Organisationen, die eine Zertifizierung für die Einhaltung der IEC-62443-Norm anstreben, sollten sich mit dem Thema Privileged Access Management (PAM) befassen. PAM bezieht sich auf administrative oder privilegierte Nutzer, die in der Lage sind, die IACS-Komponenten einzurichten oder zu ändern, die durch die Norm geschützt werden.
Was ist IEC 62443?
Es ist etwas irreführend, IEC 62443 als „Norm“ zu bezeichnen. Tatsächlich handelt es sich eher um eine Bibliothek von Regeln und verbundenen Standards, die von Organisationen wie dem American National Standards Institute (ANSI) und der International Society of Automation (ISA) stammen. IEC 62443 wird von der angesehenen International Electrotechnical Commission (IEC) veröffentlicht, die seit 1906 Standards für elektrische und elektronische Produkte entwickelt. (Sie haben uns buchstäblich die Hertz-Norm gebracht!) Eine Reihe globaler Zertifizierungsstellen hat Programme zur IEC-62443-Zertifizierung entwickelt, wobei jede Stelle ihr eigenes Schema auf Basis der referenzierten Standards und Verfahren definiert.
IEC 62443 ist eine Sammlung von Regeln und verbundenen Standards, die speziell für die Sicherheit von industriellen Automatisierungs- und Steuerungssystemen (IACS) entwickelt wurde.
Die Elemente der IEC-62443-Norm sind branchenübergreifend angelegt und listen Methoden und Techniken zum Schutz der Cybersicherheit auf. Es gibt Dutzende von Unterregeln und Komponenten. Auf einer höheren Ebene sind folgende Aspekte relevant, um IEC 62443 und die Zugriffskontrolle zu verstehen:
| Normengruppe | Elemente |
| Richtlinien und Verfahren – im Zusammenhang mit der IACS-Sicherheit |
|
| Systemanforderungen – Anforderungen auf der Systemebene |
|
Quelle: The 62443 Series of Standards, published by ISA, December 2016
Verständnis von Privileged Access Management (PAM)
Eine der besten Möglichkeiten, die IEC-Standards umzusetzen, besteht darin, eine PAM-Lösung einzusetzen, um die vollständige Kontrolle über den Zugriff auf die kritischsten Daten und Systeme zu behalten.
Privilegierte Benutzer verfügen über Berechtigungen (oder Privilegien), die es ihnen ermöglichen, auf die administrativen Steuerungen eines bestimmten Systems zuzugreifen. Diese Benutzer werden oft auch als Administratoren oder „Root“-Benutzer bezeichnet. Sie können Benutzerkonten einrichten, ändern oder löschen. Häufig haben sie Zugriff auf Daten oder können diese ändern. In einigen Fällen sind sie sogar in der Lage, Systemkonfigurationen anzupassen oder das System vollständig zu deinstallieren.
Mit schlecht verwalteten privilegierten Benutzern sind erhebliche Sicherheitsrisiken verbunden. Wenn ein Hacker beispielsweise die Identität eines privilegierten Benutzers annimmt, könnte er erheblichen Schaden an den IACS anrichten. Um solche Risiken zu mindern, schaffen PAM-Lösungen eine sichere und effiziente Möglichkeit, alle privilegierten Benutzer zu autorisieren und zu überwachen [LINK -> Blog Artikel „Blog-Artikel_Session Manager_DE“]
PAM-Lösungen erlauben das Erteilen und Entziehen von privilegierten Zugriffsrechten. Sie fungieren als Vermittler zwischen privilegierten Benutzern und den von ihnen verwalteten Systemen. So hat der privilegierte Benutzer keinen direkten Zugriff auf die Backend-Systeme. Bei einigen Lösungen, wie etwa WALLIX, kennt der privilegierte Benutzer nicht einmal das tatsächliche Passwort für das IACS, das er verwaltet. Dies reduziert das Risiko manueller Eingriffe. In industriellen Umgebungen stellt ein manueller Eingriff eine erhebliche Bedrohung dar.
PAM bietet Organisationen die notwendigen Werkzeuge, um den Zugriff auf kritische Systeme zu beschränken und zu überwachen.
Abgleich von IEC 62443 mit PAM
PAM ist eine optimale Methode, um mehrere Elemente der IEC 62443 umzusetzen. Da die Standards recht umfangreich und komplex sein können, zeigt eine Übersichtstabelle, wie sie mit den bekannten Bestandteilen des NIST Cybersecurity Frameworks zusammenhängen.
PAM steht im Einklang mit IEC 62443 in Bezug auf Zugriffskontrollen, die im NIST-Standard PR.AC behandelt werden: Der Zugang zu Anlagen und zugehörigen Einrichtungen ist auf autorisierte Benutzer, Prozesse oder Geräte sowie auf genehmigte Aktivitäten und Transaktionen beschränkt.
| Relevanter Teil des NIST Cybersecurity Framework | Entsprechendes IEC/ISA 62433-Element | Die Rolle von PAM bei der Umsetzung |
| PR.AC-1: Identitäten und Berechtigungsnachweise werden für autorisierte Geräte und Benutzer verwaltet | ISA 62443-2-1:2009
4.3.3.5.1 – Zugriffskonten und Implementierung der Autorisierungsrichtlinie |
Die PAM-Lösung ist in der Lage, Sicherheitsrichtlinien für die Autorisierung über mehrere administrative IACS-Backends hinweg zu definieren und durchzusetzen. |
| ISA 62443-2-1:2009
4.3.3.7.1 – Definition einer Autorisierungsrichtlinie – Richtlinien für die Autorisierung sollten definiert werden, um sicherzustellen, dass nur autorisierte Benutzer Zugriff auf Systeme und Daten erhalten. |
Die PAM-Lösung kann als Aufbewahrungsort für Autorisierungssicherheitsrichtlinien dienen, die sich auf alle IACSs in einer Industrieanlage beziehen. | |
| ISA 62443-3-3:2013 (Sicherheitsanforderungen für industrielle Automatisierungs- und Steuerungssysteme, Teil 3-3: Systemanforderungen und Sicherheitsniveaus)
SR 1.1 – Identifikation und Authentifizierung menschlicher Benutzer – „Das Steuersystem muss die Möglichkeit bieten, alle menschlichen Benutzer zu identifizieren und zu authentifizieren. Diese Funktion muss sicherstellen, dass solche Identifikationen und Authentifizierungen auf allen Schnittstellen durchgesetzt werden, die Benutzern Zugriff auf das Steuersystem gewähren, um eine Trennung von Verantwortlichkeiten und das Prinzip der minimalen Rechte gemäß Sicherheitsrichtlinien zu gewährleisten.“ |
„Least Privilege“ ist ein PAM-Konzept. Die PAM-Lösung kann bestimmten Benutzern Privilegien gewähren oder entziehen und so sicherstellen, dass jeder Benutzer gemäß der Richtlinie „das geringste Privileg“ hat. | |
| ISA 62443-3-3:2013
SR 1.3 – Kontoverwaltung – „Das Steuersystem muss die Fähigkeit bieten, alle Konten durch autorisierte Benutzer zu verwalten. Dazu gehören das Hinzufügen, Aktivieren, Ändern, Deaktivieren und Entfernen von Konten.“ |
Gemäß dieser Vorgabe sollte jedes Steuerungssystem die Verwaltung aller Konten durch autorisierte und privilegierte Benutzer unterstützen. Dies ist jedoch in einer Umgebung mit mehreren IACSs kaum praktikabel. PAM kann hier eine zentrale Verwaltungsstelle für alle privilegierten Benutzer bieten, die auf sämtliche IACSs zugreifen. | |
| ISA 62443-3-3:2013
SR 1.4 – Verwaltung von Identifikatoren – „Das Steuersystem muss die Fähigkeit bieten, Identifikatoren nach Benutzer, Gruppe, Rolle oder Systemoberfläche zu verwalten.“ |
PAM kann den privilegierten Zugriff je nach Benutzer, Gruppe oder Rolle verwalten. | |
| ISA 62443-3-3:2013
SR 1.5 – Verwaltung von Authentifizierungsdaten – „Das Steuersystem muss in der Lage sein, alle Authentifizierungsdaten zu ändern oder zu aktualisieren und diese vor unbefugtem Zugriff oder Änderungen zu schützen – sowohl während der Speicherung als auch während der Übertragung.“ |
Mit PAM haben IACS-Administratoren eine zentrale Kontrolle über alle von privilegierten Benutzern verwendeten Authentifikatoren. Es kann Authentifikatoren vor unbefugter Offenlegung und Änderung schützen. | |
| ISA 62443-2-1:2009
4.3.3.3.8 – Verfahren zur Überwachung und Alarmierung einrichten – Es sollten Prozesse implementiert werden, um potenzielle Sicherheitsbedrohungen zu überwachen und bei ungewöhnlichen Aktivitäten Alarme auszulösen. |
Überwachung und Alarmierung sind Kernfunktionen der meisten PAM-Lösungen, die es den Administratoren ermöglichen, auf mögliche Verletzungen der Richtlinien für privilegierte Konten aufmerksam zu werden. | |
| PR.AC-3: Verwaltung des Fernzugriffs | ISA 62443-2-1:2009
4.3.3.6.6 – Entwicklung einer Richtlinie für Remote-Login und Verbindungen – Organisationen müssen Richtlinien definieren, die den sicheren Zugriff auf Systeme über Fernverbindungen gewährleisten. |
Der Fernzugriff stellt ein Risiko für privilegierte Konten dar. Unbefugte, die sich als privilegierte Benutzer ausgeben, versuchen oft, sich aus der Ferne anzumelden, um böswillige Handlungen durchzuführen. PAM kann dieses Risiko minimieren. |
| ISA 62443-3-3:2013
SR 1.13 – Zugriff über unzuverlässige Netzwerke – „Das Steuersystem muss die Fähigkeit bieten, alle Zugriffswege über unzuverlässige Netzwerke zu überwachen und zu kontrollieren.“ |
PAM kann privilegierte Account-Sitzungen überwachen, verfolgen und Details zum Netzwerkzugriff aufzeichnen. | |
| ISA 62443-3-3:2013
SR 2.6 – Beendigung von Fernsitzungen – „Das Steuersystem muss die Möglichkeit bieten, eine Fernsitzung entweder automatisch nach einer konfigurierbaren Inaktivitätsdauer oder manuell durch den Benutzer zu beenden, der die Sitzung initiiert hat.“ |
Viele PAM-Lösungen können auf der Grundlage von Warnmeldungen voreingestellte Arbeitsabläufe ausführen. Wenn die PAM-Lösung beispielsweise eine nicht autorisierte Aktivität feststellt, kann sie so eingestellt werden, dass die Sitzung des privilegierten Kontos beendet wird. | |
| PR.AC-4: Zugriffsberechtigungen werden unter Berücksichtigung des Prinzips der geringsten Privilegien und der Aufgabentrennung verwaltet | ISA 62443-2-1:2009
4.3.3.7.3 – Einrichtung geeigneter logischer und physischer Berechtigungsverfahren für den Zugriff auf IACS-Geräte – Die Implementierung geeigneter Zugriffsverfahren ist erforderlich, um den Schutz sensibler Systeme zu gewährleisten. |
Physische Geräte sind ein potenzielles Ziel für Angreifer, die sich als privilegierte Benutzer ausgeben. Wenn sich der Angreifer lokal auf einem Gerät anmelden kann, kann er oft die Richtlinien für die Nutzung privilegierter Konten umgehen. PAM reduziert dieses Risiko, indem es dem privilegierten Benutzer verbietet, das tatsächliche Kennwort des physischen Geräts zu kennen. |
| ISA 62443-3-3:2013
SR 2.1 – Durchsetzung der Autorisierung – „Das Steuersystem muss sicherstellen, dass auf allen Schnittstellen die zugewiesenen Autorisierungen durchgesetzt werden. Dies dient der Unterstützung der Trennung von Verantwortlichkeiten und dem Prinzip der minimalen Rechte.“ |
PAM bietet eine ganzheitliche Lösung für die Aufgabentrennung und die Durchsetzung des PolP-Prinzips (Principle of least Privileges) – ein effizienterer und sicherer Ansatz als der Versuch, die Schnittstelle auf jedem IACS diese Aufgabe erfüllen zu lassen. |
PAM für ICS-Sicherheit implementieren
PAM-Lösungen haben das Potenzial, den Prozess der IEC 62443-Zertifizierung zu vereinfachen. Dies gilt sowohl in direkter als auch in indirekter Hinsicht. Wie die oben aufgeführte Tabelle zeigt, beziehen sich eine Reihe von Schlüsselelementen der IEC 62443 direkt auf die Zugriffskontrolle und den Schutz privilegierter Konten. Indirekt unterstreicht eine starke PAM-Lösung die Fähigkeit einer Organisation, die umfassenderen IEC 62443-Kontrollen einzuhalten. Mit PAM wird es zum Beispiel einfacher, mit dem Patch-Management und der Risikobewertung Schritt zu halten – beide Bereiche hängen davon ab, dass man jederzeit weiß, wer was tut.
Um mehr über die WALLIX PAM-Lösung zu erfahren…
