Sicherheit in vernetzten Systemen

24. DFN-Konferenz

Christian Paulsen

• Verlag: Books on Demand
• Jahr: 2017
• ISBN drucken: 9783743152229
• eBook-ISBN: 9783743123151
• Auflage: 1
• Thema: Informatik
• Thema: Informatik Allgemein

Im Namen der DFN-CERT Services GmbH und des Programm-Komitees präsentieren wir Ihnen den Konferenzband zur 24. DFN-Konferenz "Sicherheit in vernetzten Systemen" in Hamburg. Seit 1994 jährlich stattfindend, hat er sich mit seiner betont technischen und wissenschaftlichen Ausrichtung als eine der größten deutschen Sicherheitstagungen etabliert. In diesem Band finden Sie die Langfassungen der ausgewählten Beiträge bzw. der Redner auf der Tagung. Die Beiträge befassen sich u.a. mit den Themen Risikomanagement, Sensibilisierung, sicheres Identity-Management und Angriffe auf Gebäudeautomatisierungen.

Öffentlich erreichbare Gebäudeautomatisierung:
Amplification-Anfälligkeit von BACnet und
Deployment-Analyse im Internet und DFN

Oliver Gasser, Quirin Scheitle, Carl Denis, Nadja Schricker, Georg Carle

{gasser, scheitle, denis, schrickn, carle} @net.in.tum.de

Technische Universität München

Zusammenfassung

Mit der Durchsetzung des Internet-Protokolls in der Kommunikationstechnik wurden auch viele industrielle Steuersysteme um IP-Fähigkeiten erweitert. Sicherheit war bei Protokollen für Steuersysteme oft implizit durch lokale Verkabelung realisiert. Durch die IP-Fähigkeit können diese Protokolle nun über weite Distanzen und öffentliche Netze betrieben werden. Dies kann leicht zu unsicheren Konfigurationen führen, in denen Steuersysteme wichtiger Anlagen über das Internet erreichbar sind. In dieser Studie untersuchen wir die Verbreitung von BACnet, einem verbreiteten Protokoll zur Gebäudeautomatisierung, im öffentlichen Internet. Mit Hilfe von aktiven Netzwerk-Scans finden wir über 13000 BACnet-Geräte in über 1300 Autonomen Systemen. Wir klassifizieren die erkannten Geräte nach Hersteller und Funktion. Außerdem analysieren wir das Protokoll auf seine Anfälligkeit für Amplification-Angriffe. Durch spezielle BACnet-Anfragen können wir einen Amplification-Faktor von 30 erreichen. Abschließend unterbreiten wir Vorschläge zum Schutz vor Amplification-Angriffen.

1 Einleitung

Steuergeräte aus dem Industrie- und Automatisierungsbereich werden zunehmend ans Internet angeschlossen, um Automatisierbarkeit und Fernwartbarkeit voranzutreiben. Der Betrieb von Steuergeräten ohne Zugangskontrolle am Übergang zum Internet birgt zweierlei Gefahren. Einerseits sind dies Folgen für das ungeschützte System selbst: Nicht autorisierte Zugriffe oder eine Unterbrechung des Betriebs können sogar eine Gefahr für Leib und Leben zur Folge haben. Andererseits können diese Systeme zum weiterführenden Angriff auf Dritte benutzt werden, etwa durch Anfälligkeiten für Amplification-Angriffe. Viele Forschungsprojekte [28, 10, 23, 4] und prominente Beispiele wie etwa der Amplification-Angriff auf Spamhaus [24] oder CloudFlare [25] unterstreichen die Probleme durch Distributed Reflective Denial of Service Angriffe, welche auf derartigen Amplification-Anfälligkeiten beruhen. Steuersysteme sind durch IP-Zugriffsregeln oder VPN-Lösungen schnell und effektiv zugriffsbeschränkbar, allerdings zeigen Studien immer wieder, dass auf eine Vielzahl von Systemen frei über das Internet zugegriffen werden kann.

Forschungsbestrebungen der letzten Jahre beschäftigten sich intensiv mit Sicherheitsprotokollen [5, 13, 15] und offenbaren auch ein verstärktes Interesse an industriellen Kontrollsystemen [6, 20, 11]. Die Welt der Gebäudeautomatisierung bleibt dabei meist unbeachtet und es existiert noch keine detaillierte Analyse über die Art der verfügbaren Geräte. Mit Werkzeugen wie ZMap [14] stehen sehr effiziente Scanner zur Verfügung, die eine Internetweite Suche nach BACnet-Geräten in wenigen Stunden ermöglichen. Auf scans.io sind Ergebnisse von Scans nach BACnet-Geräten von Project Sonar [26] seit Juni 2014 verfügbar und seit Dezember 2015 werden im Projekt Censys [12] auch regelmäßige Scans nach BACnet-Geräten im Internet durchgeführt.

In dieser Veröffentlichung werden folgende neue Aspekte beleuchtet:

• Klassifikation erreichbarer BACnet-Geräte
• Anfälligkeit des BACnet-Protokolls für Amplification-Angriffe
• Aufbau eines aussagekräftigen BACnet-Pakets zum Scannen
• Vergleich des Deutschen Forschungsnetzes (DFN) mit dem Rest des Internets in Bezug auf BACnet-Geräte

Die selbst entwickelten Werkzeuge zur Analyse der BACnet-Pakete sind auf GitHub [16] für die Öffentlichkeit zugänglich.

Weitergehend ist diese Arbeit wie folgt aufgebaut: In den Abschnitten 2 und 3 beschreiben wir Hintergründe zum BACnet-Protokoll und die Durchführung unserer Scans. In Abschnitt 4 werten wir die Scans aus, beschreiben die erhaltenen Scan-Antworten und analysieren die Art und Verteilung der gefundenen Geräte. Darüber hinaus vergleichen wir unsere Ergebnisse mit denen anderer Forschungsgruppen zu vergleichbaren Protokollen. Wir vergleichen auch die Verteilung der Geräte im DFN mit der im restlichen Internet. In Abschnitt 5 beschreiben wir unsere Untersuchung zu möglichen Amplification-Angriffen mittels erreichbarer BACnet-Geräte. Wir beleuchten auch kurz welche Maßnahmen ein Internetdienstanbieter in Bezug auf Amplification-Angriffe mit BACnet ergreifen kann. Verwandte Arbeiten werden in Abschnitt 6 beschrieben. Abschnitt 7 schließt diese Arbeit mit einer Zusammenfassung und einem Ausblick ab.

2 Das BACnet-Protokoll

In diesem Abschnitt beschreiben wir die für diese Arbeit relevanten Eigenschaften des BACnet-Protokolls.

BACnet (Building Automation and Control Networks) ist ein Protokoll zur Gebäudeautomatisierung. Es wurde 1995 erstmals durch die American Society of Heating, Refrigerating and Air-Conditioning Engineers (ASHRAE) standardisiert [2]. Typische Einsatzgebiete sind Heizung, Lüftung und Klimatechnik (HLK), aber auch im Bereich Sicherheitstechnik finden BACnet-Geräte Anwendung. Hierbei reicht die Palette der unterstützten Geräte von einzelnen Sensoren, die durch Controller überwacht und gesteuert werden können, bis zu vollständigen Automatisierungssystemen, die eine Vielzahl von Servern, Controllern und Sensoren kontrollieren. Insbesondere bei großen Gebäudekomplexen ist ein zentralisiertes Management oft wünschenswert, um gezielt auf Ereignisse reagieren zu können und verschiedene Standorte intelligent zu vernetzen. BACnet definiert mehrere Service-Klassen, das Auslesen und Setzen von Objektwerten ist genauso...

Inhaltsverzeichnis

• Inhaltsverzeichnis
• Vorwort zur 24. DFN-Konferenz
• Kurzbiographien der Autoren
• Hendrik Schwartke und Ralf Spenneberg: Sichere Virtualisierung mit KVM
• Michael Grabatin und Wolfgang Hommel: Blockchain-basiertes Föderiertes Identity Management am Beispiel von Ethereum Smart Contracts
• Pascal Brückner und Thorsten Strufe: HoneySens – Realisierung eines Honeypot-Netzes
• Oliver Gasser, Qirin Scheitle, Carl Denis, Nadja Schricker und Georg Carle: Öffentlich erreichbare Gebäudeautomatisierung: Amplification-Anfälligkeit von BACnet und Deployment-Analyse im Internet und DFN
• Alexander Neumann: Sicheres Löschen von Daten auf SSDs
• Yves-Noel Weweler, Hendrik Schwartke und Ralf Spenneberg: Compromising Multifunction Printers: A Case Study of Epson MFP Security
• Robert Formanek: Modulare Herangehensweise bei der Einrichtung von Informationssicherheit am Fallbeispiel der Universität Hohenheim
• Angelika Müller und Hans Pongratz: Sensibilisierung an Hochschulen – Praxisbericht der TU München
• Anhang: Informationen zu den Diensten DFN-CERT und DFN-PKI
• Impressum