Wasser- und Abwassersysteme im Visier

Cyberangriffe auf Wasser- und Abwassersysteme (WWS) haben in letzter Zeit für Schlagzeilen gesorgt, ebenso wie staatliche Maßnahmen und Richtlinien zur Verbesserung der Cybersecurity im WWS-Sektor.

Der WWS-Sektor weist alle potenziellen Schwachstellen auf, die auch für andere große Infrastruktursysteme charakteristisch sind. Hier kreuzen sich ältere Betriebstechnologie (Operation Technology, OT) und moderne IoT/IT, was Cyberkriminellen und bösartigen staatlichen Akteuren die Möglichkeit bietet, in Netzwerke und Systeme einzudringen und diese zu sabotieren.

Im Vergleich zu anderen Infrastruktursystemen stellen WWS jedoch ein einzigartiges und erhebliches Risiko dar, wenn ein bösartiger Akteur die Kontrolle über sie erlangen sollte. Eine einfache Abschaltung eines großen städtischen Wassersystems würde zu einer chaotischen und gefährlichen Situation führen und einen massiven Notfalleinsatz erfordern.

Und wenn es Cyber-Saboteuren tatsächlich gelänge, eine lokale Wasserversorgung zu verseuchen – wie es 2021 sowohl in Florida als auch in San Francisco versucht wurde – könnten die Folgen wirklich verheerend sein.

Handeln der Regierung, Reaktion, Rückzug

Als Reaktion auf die wachsende Zahl von Cyberangriffen auf öffentliche und private Infrastruktursysteme, einschließlich WWS, hat die U.S. Environmental Protection Agency (EPA) im März 2023 ein Memorandum herausgegeben, das detaillierte Anforderungen an die Betreiber öffentlicher Wasserversorgungssysteme enthält, um im Rahmen der jährlichen Hygieneinspektionen ihrer Systeme Bewertungen der Cybersecurity durchzuführen.

Dann kam die Politik. Arkansas, Iowa und Missouri reagierten auf das Memorandum, indem sie die EPA verklagten und ihr vorwarfen, ihre Befugnisse überschritten zu haben. Ein Bundesberufungsgericht setzte die Regel aus, und die EPA veröffentlichte im Oktober 2023 ein neues Memorandum, in dem das vorherige Memorandum zurückgezogen wurde.

Neue Angriffe, geschärfter Fokus

Dann, im November 2023, lenkten zwei sehr besorgniserregende Anschläge die Aufmerksamkeit auf die Bedrohung der Wassersysteme. In kurzer Folge wurden die Aliquippa Water and Sewer Authority in Pennsylvania und der North Texas Municipal Water District getroffen.

Die Behörde in Aliquippa wurde von einer im Iran ansässigen Cybergang namens Cyber Av3ngers angegriffen, die behauptete, Opfer auszuwählen, die in Israel hergestellte Industriekomponenten und Software verwenden. Ein einziges Pumpsystem war betroffen, und die Mitarbeiter konnten es vom Netz nehmen, ohne dass die Bereitstellung der Dienste beeinträchtigt wurde.

Im Gegensatz dazu wurde der Bezirk Nordtexas Opfer eines Ransomware-Angriffs der Cybergang Daixin Team, die behauptet, fast 34.000 Dateien gestohlen zu haben, darunter Namen, Geburtsdaten, Krankenakten und Sozialversicherungsnummern. Auch hier hatte der Angriff keine Auswirkungen auf die Bereitstellung der Dienste.

Neue Leitlinien der Bundesbehörde

Schließlich haben im Januar dieses Jahres das Federal Bureau of Investigation (FBI), die EPA und die Cybersecurity and Infrastructure Security Agency (CISA) zusammengearbeitet, um einen Leitfaden mit Best Practices für Cybersecurity für den WWS-Sektor zu erstellen.

Der Leitfaden ist in vier Abschnitte unterteilt:

• Vorbereitung – Wie ein effektiver Plan für die Reaktion auf einen Vorfall entwickelt, umgesetzt und eingeübt wird
• Erkennung und Analyse – Implementierung technischer Maßnahmen zur Erkennung von Eindringlingen und zur Analyse von Ereignisprotokollen, um schnell das volle Ausmaß und den Umfang eines Cybersecurity-Vorfalls zu verstehen
• Eindämmung, Ausrottung und Wiederherstellung – Einsatz technischer Mittel zur Isolierung betroffener Systeme, Ausrottung von Malware und Wiederherstellung des Zustands vor dem Vorfall
• Aktivitäten nach dem Vorfall – Aufbewahrung und Verwendung von Daten über den Vorfall, um die Sicherheitsmaßnahmen zu verbessern und etwaige Mängel des Reaktionsplans und/oder seiner Ausführung zu beheben

Der Leitfaden ist recht anspruchsvoll, nicht technisch und schreibt keinerlei Maßnahmen vor – möglicherweise in Anerkennung des politischen Risikos, Regeln aufzustellen, wie es die EPA im März versucht hat. Daher ist es auf der Ebene der Verwaltungs- und Organisationsplanung sehr nützlich. Er gibt Ihnen jedoch keine detaillierten Anleitungen zu spezifischen Lösungen und Technologien, die Sie für die Umsetzung der beschriebenen Best Practices verwenden können.

Die EPA bietet eine Reihe weiterer Ressourcen (die in diesem Merkblatt zusammengefasst sind), um WWS-Behörden bei ihren Bemühungen um Cybersecurity zu unterstützen, die es wert sind, erkundet zu werden.

Die Realität

Allein in den USA gibt es etwa 50.000 unabhängige Wasser- und Abwassersysteme, die sich in ihrer Größe und in den ihnen zur Verfügung stehenden Ressourcen stark unterscheiden. Begrenzte Mittel bedeuten, dass sie sich für hochwertige Investitionen in die Cybersecurity entscheiden müssen. Und der Mangel an geschultem IT-Personal bedeutet, dass Systeme, die Automatisierung und Integration nutzen, um die Dinge einfach zu halten, einen hohen Stellenwert haben.

Wenn es darum geht, Netzwerkeindringlinge zu verhindern, zu erkennen und darauf zu reagieren, ist eine umfassende, integrierte Netzwerksicherheitsplattform wie Barracuda Network Protection ein guter Ausgangspunkt. Die modulare Struktur lässt sich im Laufe der Zeit leicht ausbauen, sofern das Budget dies zulässt.

Industrielle Sicherheitsfunktionen (IoT/OT) machen es einfach, mit dem Internet verbundene industrielle Geräte in großem Umfang abzusichern. Fortschrittliche Zero-Trust-Access-Protokolle reduzieren die Möglichkeit eines unbefugten Zugriffs auf Ihre Systeme und Netzwerke erheblich. Und das hochintegrierte Design der Plattform, das auf der leistungsstarken und vielseitigen Barracuda CloudGen Firewall basiert, bietet Ihnen einen Überblick über Ihre gesamte Infrastruktur aus einer Hand.