Am 7. August haben DEF CON Franklin und die National Rural Water Association (NWRA) auf der DEF CON in Las Vegas das „Water Watch Center“ ins Leben gerufen. Fünf Anbieter von Managed-Detection-and-Response-Lösungen werden ihre Dienste direkt an Wasserversorger erbringen, die weniger als 10.000 Menschen versorgen.

Auf diese Versorgungsunternehmen entfallen 91 Prozent der rund 50.000 kommunalen Wasserversorgungssysteme in den Vereinigten Staaten. Es handelt sich dabei auch um jene Systeme, die in der Vergangenheit am schwersten mit Cybersicherheitsprogrammen und -leitlinien zu erreichen waren.

Die Einführung verdient mehr als nur eine beiläufige Erwähnung. Sie ist das Ergebnis einer zweijährigen Feldarbeit, in deren Rahmen DEF CON Franklin fast 450 ehrenamtliche Cyber-Experten rekrutierte, um Wasser- und Abwasserunternehmen in sieben Bundesstaaten zu unterstützen. Als klar wurde, dass die ehrenamtlichen Bemühungen nicht auf die Größe der Branche skaliert werden konnten, entwickelte sich die Arbeit zu einem Dienstleistungsmodell weiter.

Das Ergebnis ist der erste glaubwürdige Versuch, Versorgungsunternehmen mit minimalem Personalbestand und begrenzten Ressourcen Cybersicherheitskapazitäten in großem Maßstab zur Verfügung zu stellen.

Es beantwortet eine wichtige Frage, aber nur zur Hälfte.

Was die Erkennung leistet und was nicht

Lösungen für Managed Detection and Response schließen eine Lücke in der Transparenz. Für ein Versorgungsunternehmen, dessen IT-Umgebung bisher nie überwacht wurde, ist dies ein erheblicher Gewinn. Das Ergebnis dieser Funktion ist jedoch eine Benachrichtigung. Eine Benachrichtigung ist der Beginn einer Reaktion, nicht die Reaktion selbst.

Überlegen Sie einmal, was der Empfänger um zwei Uhr morgens tun muss:

• Einen Mitarbeiter erreichen, der gerade keinen Dienst hat

• Wenden Sie sich an einen Betriebsleiter, der gleichzeitig die IT-Abteilung leitet

• Genügend Personen zusammenbringen, um eine Entscheidung zur Eindämmung zu treffen

• Koordination der Umstellung auf manuelle Steuerung in einem Werk und einem Verteilungsnetz

• Stellen Sie fest, wer vor Ort ist und wer erreichbar ist.

• Melden Sie den Status an die zuständige Landesbehörde und an die CISA und setzen Sie die Berichterstattung fort, solange der Vorfall andauert.

Nichts davon ist eine Erkennungsfunktion, und nichts davon funktioniert ohne Kanäle, die auch dann noch bestehen bleiben, wenn das Unternehmensnetzwerk unter Verdacht steht. In unabhängigen Kommentaren zur Markteinführung wurde bereits angemerkt, dass Überwachungslösungen, die für IT-Umgebungen entwickelt wurden, direkte Interaktionen mit einem exponierten Controller möglicherweise nicht erfassen und dass MDR für Versorgungsunternehmen ohne eigenes Sicherheitspersonal nur dann von Nutzen ist, wenn es Einblick in die Betriebsumgebung hat. Diese Einschränkung ist real und liegt in der Verantwortung der OT-Sicherheitsspezialisten. Lassen wir sie für einen Moment beiseite, denn selbst die Erkennung bei perfekter betrieblicher Transparenz endet immer noch bei der Benachrichtigung.

Die Frage nach den Abhängigkeiten, die CI Fortify aufwirft

Im Mai veröffentlichte die CISA „CI Fortify: Empfehlungen zur Isolierung kritischer Systeme“ gemeinsam mit dem Australian Signals Directorate, dem britischen National Cyber Security Centre und dem Canadian Centre for Cyber Security. Darin werden zwei strukturelle Anforderungen gestellt:

1. Isolation: die Fähigkeit, wichtige Betriebstechnologie und unterstützende Systeme proaktiv von Abhängigkeiten gegenüber Dritten – einschließlich Telekommunikation, Internet und Anbieterverbindungen – zu trennen

2. Wiederherstellung: die Fähigkeit, aus bekanntermaßen einwandfreien Quellen wiederherzustellen, während man noch isoliert ist. Die Planungsvorgaben der CISA sehen vor, dass wesentliche Dienste in diesem Zustand bis zu drei Monate lang aufrechterhalten werden sollen

Liest man die beiden Initiativen nebeneinander, wird eine konzeptionelle Herausforderung deutlich. Managed Detection and Response wird von einem Drittanbieter über das Internet bereitgestellt. Nach den eigenen Planungsannahmen von CI Fortify liegt dies jenseits der Grenze, die der Betreiber laut Anweisung ziehen können soll.

Jede als Dienst bereitgestellte Funktion steht vor derselben Herausforderung, und der richtige Zeitpunkt, sich damit auseinanderzusetzen, ist vor einem Isolationsvorfall und nicht erst währenddessen. Ein Betreiber, der weiß, dass die Erkennung während der Isolation ausfällt, kann entsprechend planen. Ein Betreiber, der sich noch nie damit befasst hat, wird dies erst im ungünstigsten Moment feststellen.

Diese Herausforderung gilt auch für uns. BlackBerry^® AtHoc^® ist standardmäßig „Cloud-First“, und das Bereitstellungsmodell entscheidet darüber, ob Alarmierung und Nachvollziehbarkeit auch bei einer unterbrochenen Verbindung gewährleistet bleiben; On-Premise- und Hybrid-Bereitstellungen sind der Grund, warum die Antwort „Ja“ lauten kann, während dies bei einer rein gehosteten Konfiguration nicht der Fall ist. Jeder Anbieter, der Kontinuität durch Isolation verspricht – einschließlich dieses Anbieters –, sollte verpflichtet sein, das hinter dieser Behauptung stehende Bereitstellungsmodell zu nennen.

Es gibt also eine Frage, die man jedem Anbieter in der Reaktionskette mit denselben Worten stellen sollte: Was leistet diese Funktion, wenn die Internetverbindung unterbrochen ist, und welches Bereitstellungsmodell sorgt dafür, dass diese Antwort zutrifft?

Was man für den nächsten Dollar bekommt

In derselben Woche gab es neue Entwicklungen bei der Finanzierung. Zwei US-Senatoren brachten den „Water Cyber Shield Act“ ein, der der EPA die ausdrückliche Befugnis einräumen würde, gemeinsam mit der CISA und dem NIST Cybersicherheitsbewertungen durchzuführen und Standards festzulegen, und der jährlich 300 Millionen Dollar aus den „Drinking Water“ und „Clean Water State Revolving Funds“ bereitstellen würde. Der Gesetzentwurf wurde zwar eingebracht, aber noch nicht verabschiedet, und eine Genehmigung ist noch keine Mittelzuweisung. Dennoch verfügt eine Branche, die es gewohnt ist, unfinanzierte Auflagen zu erhalten, nun über einen kostenlosen Erkennungsdienst und hat dem Kongress einen plausiblen Finanzierungsmechanismus vorgelegt.

Damit wird die Reihenfolge der Maßnahmen zu einer dringenden Frage. Wenn die erste Ausbaustufe der Kapazitäten kostenlos bereitgestellt wurde und die Erkennung abdeckt, sollte die zweite Ausbaustufe das abdecken, an das die Erkennung übergibt: Massenalarmierung mit bestätigter Zustellung und überprüfter Anwesenheitsliste des Personals, durchgeführt über einen Koordinationskanal, der nicht über das unter Verdacht stehende Netzwerk läuft. Für einen Versorgungsbetrieb, dessen gesamte Einsatzkapazität aus vier Personen besteht, bedeutet ein Versagen der Koordination ein Versagen des Einsatzes. Es gibt keine personellen Reserven, um dies aufzufangen.

Hier gibt es einen Aspekt der Nachhaltigkeit, den niemand scheuen sollte anzusprechen. Durch philanthropische Anschubfinanzierung und ehrenamtliches Engagement wurde etwas geschaffen, was die Bundesregierung nicht geschafft hatte – und beides ist kein Haushaltsposten. Die Fähigkeiten, die ein Versorgungsunternehmen besitzt, betreibt und in der täglichen Arbeit einsetzt, überdauern jeden Förderzyklus. Das Wertvollste, was die Verbände der Branche und die zuständigen Landesbehörden angesichts der aktuellen Welle der Aufmerksamkeit tun können, ist, ihren Mitgliedern zu vermitteln, welche Projekte sie als Nächstes fördern sollten und warum.

Das Water Watch Center hat die größte Lücke in diesem Bereich geschlossen. Die nächste Lücke ist die zwischen der Erkennung und der Reaktion.

Weiterführende Literatur:

• Warum die Sicherheitsrichtlinien für CI bei kleinen Versorgungsunternehmen immer wieder versagen

• Von einer Kompromittierung ausgehen – und was dann? Über den Slogan hinaus zu operativen Anforderungen

• Was CI Fortify von Versorgungsunternehmen verlangt – und die Funktion, die es nie erwähnt

• Wenn die Handys ausfallen: Die Koordinationslücke, mit der niemand rechnet

• Lehren aus den Angriffen auf Wasserversorgungsunternehmen im Juli: Was die gemeinsame Empfehlung den Betreibern für das weitere Vorgehen rät

• Warum die Planung der OT-Isolierung eine lückenlose Kommunikation erfordert