Wie sich Energie- und Wasserversorgungsunternehmen zukünftig noch besser vor IT-Angriffen schützen können

Andre Kummerow, wissenschaftlicher Mitarbeiter am Institutsteil Angewandte Systemtechnik (AST) des Fraunhofer IOSB, erklärt anhand des aktuellen Forschungsprojekts PROTECT[1], wie sich Energie- und Wasserversorgungsunternehmen zukünftig noch besser vor IT-Angriffen schützen können. Dennis Rösch, ebenfalls wissenschaftlicher Mitarbeiter am Institut, nimmt zum Schluss ergänzend auf Fragen zur Cybersicherheit Bezug.

Firewalls sind ein wesentlicher Bestandteil der Sicherheitskonzepte in Unternehmen. Doch insbesondere passive IT-Angriffe können von den konventionellen Firewalls nicht rechtzeitig erkannt werden. Methoden dieser Art werden beispielsweise genutzt, um das System auszuspionieren und gewonnene Informationen für zukünftige Angriffe zu verwenden. Dies kann verheerende Folgen für Unternehmen der Kritischen Infrastruktur aus den unterschiedlichsten Sektoren haben. Neue KI-basierte Verfahren können nun bei der frühzeitigen und automatisierten Erkennung derartiger Angriffe helfen.

Herr Kummerow, inwiefern reichen traditionelle softwarebasierte Schutzmaßnahmen wie Firewall und Virenscanner aktuell für die erfolgreiche Abwehr nicht mehr aus? Warum ist es heute nötig, neue KI-basierte Verfahren zu etablieren? 

Herkömmliche aktive oder passive Sicherungssysteme sind in der Regel auf die Erkennung bekannter Angriffssignaturen beschränkt und überwachen vordefinierte Informationen aus dem Netzwerkverkehr. Damit bleiben neue oder unbekannte Angriffsmuster (z.B. Zero-Day-Attacks) unbemerkt und ein Großteil wertvoller Netzwerkinformationen bleibt ungenutzt. Mittels performanter KI-Verfahren, insbesondere künstlicher neuronaler Netze, kann das Netzwerkverhalten auch bei hoher Anzahl und Diversität genutzter Protokolle oder Dienste effektiv erlernt und als Grundlage zur Entwicklung von Anomalie- oder Angriffserkennungssystemen genutzt werden. Derartige Methoden lassen sich auf Basis von Netzwerkmitschnitten selbstständig trainieren und bieten auch die Möglichkeit unbekannte Angriffe vom erwarteten Normalverhalten zu unterscheiden.

An welchen Methoden forschen Sie derzeit?

Im Rahmen mehrerer Forschungs- und Industrieprojekte liegt ein Hauptfokus in der Untersuchung und Entwicklung neuer Modellierungs- und Überwachungsalgorithmen zur Echtzeitanalyse, Simulation und Absicherung der Kommunikation in elektrischen Energiesystemen. Dabei gilt es herkömmliche Modellierungs- und Analysemethoden aus einer rein elektrotechnischen Betrachtung, um netzwerktechnische Aspekte zu erweitern, wie z.B. die Tiefeninspektion von Netzwerkpaketen oder die Echtzeitsimulation elektrischer Netze mit gekoppelter Netzwerkinfrastruktur. Dabei setzen wir auf aktuelle Technologien wie Virtualisierung, Software Defined Networks oder Deep Learning.

Welche Art von Angriffen könnten durch die Adaption von Firewall-Regeln automatisiert abgewehrt werden? 

Während konventionelle Firewalls vorrangig unerlaubte Netzwerkzugriffe (z.B. durch neue IP-Adressen) unterbinden, kann eine KI-basierte Firewall ungewöhnliche Netzwerkaktivitäten oder Netzwerkpaketinformationen (z.B. Verfälschung von Messwerten) erkennen. Insbesondere passive IT-Angriffe (z.B. Sniffing oder Eavesdropping), welche oftmals von Angreifenden im ersten Schritt mehrstufiger Angriffssequenzen zum Ausspähen des Systems und Planung weiterer Angriffe genutzt werden, können somit detektiert und frühzeitig unterbunden werden.

Ihr Projekt besteht aus einem Konsortium unter der Leitung des Fraunhofer IOSB-AST. Wer ist in welcher Rolle noch daran beteiligt?

Insbesondere die EAM Netz GmbH als Industriepartner, Energieversorger und Pilotanwender der KI-basierten Firewall kommt mit der Bereitstellung essenzieller Infrastrukturinformationen eine Schlüsselrolle zu. Die eoda GmbH fokussiert sich zusammen mit dem Fraunhofer IOSB-AST auf die Entwicklung einer automatisierten Anomalie- und Angriffserkennung unter Einsatz neuester Verfahren der Künstlichen Intelligenz (z.B. XAI) in Kombination mit einem interaktiven Experten-UI. Zusätzlich entwickelt das Fraunhofer IOSB-AST eine Echtzeit-Co-Simulationsplattform als Lern- und Testsystem für die KI-basierte Firewall. Die Hochschule Zittau/Görlitz unterstützt hierbei und fokussiert sich auf die Modellierung und Synthese verschiedener Angriffs- und Anomaliemuster zum Trainieren und Testen der KI-Verfahren.

Bisherige Firewall-Lösungen werden durch das Projekt auf eine neue Stufe gehoben, indem neben dem Bereich der Geschäfts-IT nun auch die Prozess-IT betrachtet wird.

Die Prozess-IT als besonders schützenswerter Bereich in Energieversorgungsunternehmen steht im besonderen Fokus des Projekts. Unter strenger Beachtung geltender IT-Sicherheitsvorgaben werden Möglichkeiten geprüft, Netzwerkinformationen aus der Prozess-IT in die KI-basierte Firewall zu integrieren und somit das Detektionsvermögen sowie Erkennungsgenauigkeiten zu erhöhen. Insbesondere die vom Fraunhofer IOSB-AST entwickelte Echtzeit-Co-Simulationsplattform kann hierzu einen entscheidenden Beitrag leisten und die Einsatzpotenziale bzw. Mehrwerte einer übergreifenden Angriffs- und Anomalieerkennung in beiden IT-Domänen aufzeigen.

In welchem Umfang werden KI-basierte Firewalls bereits erfolgreich verwendet? 

In sogenannten „Next-Generation“-Firewalls können höherwertige Paketanalysen (z.B. Deep-Paket-Inspection) in Firewallsystemen bereits ausgeführt werden. Diese Softwarelösungen sind jedoch für unterschiedliche Domänen relativ breit aufgestellt und können branchenspezifische Bedrohungssituationen, wie z.B. im Bereich elektrischer Energieversorgung, nur unzureichend abbilden.

Herr Rösch, wie steht es um die Cybersicherheit, worin sehen Sie aktuell die größte Bedrohung für Unternehmen im Energieversorgungssektor?

Speziell in den prozessnahen Kommunikationsstrukturen spielt das Thema des Monitorings und nachfolgend der Erkennung von abnormalem Verhalten eine wesentliche Rolle, da diese Strukturen oftmals schwer zu überwachen sind. Der verteilte und hierarchisch gewachsene Charakter der Energieversorgung stellt hier eine großes Angriffspotential dar und birgt die Gefahr, dass unüberwachte Systeme von Angreifern okkupiert und manipuliert werden.

Welche Maßnahmen können Fach- und Führungskräfte ergreifen, um sich vor Angriffen zu schützen?

Damit neue digitale Errungenschaften in der Praxis kompetent angewendet werden können, ist eine stetige Weiterbildung der Fach- und Führungskräfte unerlässlich. Beispielsweise die rechtzeitige Erkennung von Angriffen und der Einleitung von Gegenmaßnahmen, wie sie zukünftig über entwickelte KI-Ansätze gelöst werden könnte. In den Weiterbildungsangeboten unseres Lernlabors Cybersicherheit für die Energie- und Wasserversorgung des Fraunhofer IOSB-AST können die Teilnehmenden erproben, was im Ernstfall zu tun ist und wie wichtig ein geeignetes Monitoring ist, um die Vorfälle überhaupt registrieren zu können.

[1] Gefördert durch BMWK (Förderkennzeichen 03EI6054A)

Lernlabor Cybersicherheit

Das Lernlabor Cybersicherheit ist ein Weiterbildungsprogramm, in dem Experten und Expertinnen von Fraunhofer und ausgewählten Fachhochschulen aktuellste Erkenntnisse auf dem Gebiet der Cybersicherheit vermitteln. Fach-und Führungskräfte aus Industrie und öffentlicher Verwaltung können so ihre Kompetenzen zu IT-Sicherheit aktualisieren und spezialisieren. An zahlreichen Standorten in Deutschland erhalten Sie eine kompakte Qualifizierung in hochwertigen Laboren. Die Präsenzphasen der Seminare dauern nur ein bis drei Tage und sind mit Online-Angeboten ergänzt, so dass die Kurse berufsbegleitend belegt werden können.