In einem umfassenden Sicherheitsaudit mit anschliessendem Penetration Test liess das Elektrizitätswerk Vilters-Wangs ihr Netzwerk auf Schwachstellen prüfen. Das umfasste auch die Internet-of-Things-Komponente der Smart Meter zur elektronischen Fernauslesung des Stromverbrauchs. Das Elektrizitätswerk Vilters-Wangs (EW Vilters-Wangs) betreibt zwei Netzwerke: zur Steuerung der Produktionsanlage (EW-Leitsystem) und zum Auslesen der verteilten Stromzähler (Smart Meter).

Im Rahmen eines Sicherheits-Audits überprüfte Redguard, wie widerstandsfähig das Netzwerk gegen Cyber-Angriffe ist.

Umfang und Schwerpunkte definieren

Zuerst erstellte Redguard zusammen mit dem EW Vilters-Wangs eine Übersicht der Systeme und Netzwerke. Zudem wurde der genaue Scope definiert, das heisst: der konkrete Umfang des Audits. Damit wurden die Schwerpunkte klar definiert und die vorgegebene Zeit konnte gezielt eingesetzt werden. Die Gemeinde Vilters-Wangs hat zum ersten Mal eine Auditierung durchgeführt.

“Die Zusammenarbeit hat gut funktioniert, weil die Security Tester von Redguard sämtliche Anliegen und Fragen erklärten und auf unsere individuellen Bedürfnisse eingegangen sind.” Patrik Schlegel, Gemeinderatsschreiber von Vilters-Wangs

Architektur-Review der Netzwerke

Im Rahmen des definierten Scopes führten die Security Tester von Redguard einen Architektur-Review über die beiden Netzwerke durch. Diese Auditierung ist eine sinnvolle Ergänzung zum technischen Penetration Test. Einerseits liefert der Architektur-Review eine konzeptionelle Analyse des Ist-Zustandes und setzt andererseits Schwerpunkte für den Penetration Test.

Der Architektur-Reviews umfasste:

• Schwächen im logischen Prozess
• Zusammenspiel von Komponenten
• Betriebskonzepte
• Systemdesign
• Netzwerkzonierung

IoT, Internet und physischer Zutritt

Mittels Penetration Test wurden die vordefinierten Zielsysteme durch Redguard überprüft. Automatisierte Tests erkennen einfach zu entdeckende Schwachstellen, sogenannte «Low Hanging Fruits». Durch manuelle Tests decken die Security Tester komplexere Systemzusammenhänge ab und untersuchen versteckte Angriffspfade. Damit können sowohl offensichtliche, tiefgehende sowie komplexe Schwachstellen frühzeitig erkannt werden.

Beim EW Vilters-Wangs versuchten die Security Tester von Redguard, sich über verschiedene Wege einen Zugang zum Netzwerk zu verschaffen:

• Über das Internet mittels VPN-Zugang
• Durch Zutritt zu den Räumlichkeiten des IT-Dienstleisters
• Mittels direkter Anbindung an die Serverzone
• Durch Zugang zu einer produktiven Smart-Meter-Anlage eines Wohnblocks

Redguard schaffte es dabei unter anderem, den Netzwerkverkehr der Smart Metern abzufangen und die verwendeten Netzwerkprotokolle zu analysieren.

“Im Endbericht wurden die Schwachstellen systematisch gezeigt, inklusive Priorisierungen in Bezug auf unser Geschäft. Der Review-Report dient als Grundlage zur Weiterbearbeitung und Sicherung der Schwachstellen.” Patrik Schlegel, Gemeinderatsschreiber von Vilters-Wangs

Neue Zonierung zur Abschottung der IoT

Komponenten des Internet of Things (IoT) wie die Smart Meter sind häufig in einem leicht zugänglichen Netz verbunden – darum ist eine korrekte Netzwerkzonierung zentral. Wichtig ist, dass das IoT-Netz physikalisch getrennt ist von Netzen, die kritische Steuersysteme beinhalten. Redguard untersuchte beim EW Vilters-Wangs, ob die Netzwerk-Konfiguration einer sicheren Systemarchitektur entspricht und prüfte vor Ort im internen Netzwerk, ob die Zonierung korrekt umgesetzt wurde. Dadurch wurde sichergestellt, dass die Smart-Meter vom Leitsystem der Gemeinde und anderen Smart Metern abgeschottet sind.

“Der Security Review Report dient als Grundlage zur Verbesserung unserer Informationssicherheit.” Patrik Schlegel, Gemeinderatsschreiber von Vilters-Wangs