Informationsanalysekonzept zur Erstellung von Cyber-Lagebildern in PPPs

Zusammenfassung

Jedes informationsverarbeitende System ist in seiner Qualität sehr stark von der Verarbeitung der gesammelten Informationen abhängig. Speziell zur Konstruktion eines sinnvollen Lagebilds ist die Bewertung und Aggregierung von Daten von besonderer Bedeutung, um Muster und Gemeinsamkeiten scheinbar isolierter Incidents erkennen und darstellen zu können. Zusätzlich wird durch die potenzielle Einbindung automatisiert gesammelter Informationen, wie bspw. durch Sensoren in kritischen Netzabschnitten und wichtigen Infrastrukturen, die Informationsmenge exponentiell erhöht.

Im Rahmen dieses Kapitels stellen wir eine Architektur vor, die den Ansprüchen eines modernen Lagezentrums genügt, wobei auch auf österreichische Spezifika, wie die Einbindung von sog. „First Respondern“, Rücksicht genommen wird. Die vorgestellte Architektur integriert dabei die Informationssammlung direkt bei den Zuständigen in den kritischen Infrastrukturen mit der Unterstützung durch die First Responder bei der Behandlung von Incidents, sowie die weitere Anreicherung erhobener Daten und Informationen in den Lagezentren. Dazu werden die benötigten Datenartefakte spezifiziert, sowie die Kommunikationsschnittstelle definiert. Basierend auf den Rahmenbedingungen wird die grundlegende Architektur, sowie die Informationswege und Datenverarbeitung vorgestellt, wobei besonders auf die frühzeitige Integration von Security-Mechanismen Wert gelegt wird. Speziell die Datenanreicherung des in diesem Kapitel vorgestellten Systems zielt nicht auf eine lediglich rein durch manuelle (Pflicht-)Meldungen entstehende Datenbasis ab, sondern dient der effizienten Einbindung potenziell großer Mengen an sensorischer Information. Zusätzlich zu diesen originären Informationen, ist auch die Einbindung von Hintergrundinformationen und Expertenwissen vorgesehen, womit nicht nur die Generierung eines rein reaktiven, Incident-basierten, sondern eines proaktiven wissensbasierten Lagebilds ermöglicht wird. Dies ermöglicht es den Zuständigen, nicht nur rein auf der Basis von gemeldeten Angriffen Entscheidungen zu treffen, sondern auf der einen Seite die eigenständige Erkennung von Angriffen auf kritische Komponenten und Systeme, sowie, auf der anderen Seite, die Einschätzung der Sicherheitslage in Bezug auf mögliche Angriffe und Schwachstellen, die potenzielle Auswirkungen auf kritische Infrastrukturen nach sich ziehen, durchzuführen.

Wesentlich für die effiziente Generierung eines Lagebilds ist nicht nur die reine Sammlung und Aggregierung von Informationen, sondern der gesamte Datenlebenszyklus, speziell auch die Erkennung und Entfernung widersprüchlicher alter oder falscher Informationen aus dem System. Zusätzlich müssen einfache Hilfsmittel zur schnellen Spezifikation neuer Auswertungsstrategien definiert werden können, die es ermöglichen, dynamisch auf neue Bedrohungsszenarien eingehen zu können.

Des Weiteren stellt ein derartiges System selbst auch ein wesentliches Ziel für mögliche Angreifer dar, wobei vor allem die unbemerkte Einflussnahme auf Entscheidungsträger durch Manipulation des Lagebilds der wesentlichste betrachtete Angriffsvektor ist. Essenziell ist daher auch die Absicherung des Systems auf architektonischer Ebene gegen diese Art der Manipulation. Dabei muss sowohl auf extern Angreifer Rücksicht genommen werden, die bspw. durch gefälschte Daten Einfluss auf das Ergebnis zu erlangen versuchen als auch auf interne Angreifer, die direkt die Datenbasis zu manipulieren versuchen könnten. Letztere sind speziell problematisch, da sie auch Ergebnisse von Anreicherungsprozessen entsprechend manipulieren können. Zusätzlich unterstützt das vorgestellte System das im Rahmen der Datenschutzgrundverordnung (DSGVO) „Regulation 2016/679“ und abgeleiteter nationaler Regularien geforderte „Recht auf Vergessen“, d. h. die Löschung etwaiger sensibler Daten Unbeteiligter.

Abgerundet wird das Kapitel durch einen Ausblick auf weitere erforderliche Arbeiten in diesem Forschungsfeld, wobei speziell die tatsächliche Rechtsprechung zur DSGVO und abgeleiteten nationalen Gesetzen wesentliche Inputgeber sind.

Abkürzungsverzeichnis

A&C:

Audit & Control

ACID:

Atomicity, Consistency, Isolation and Durability

CERT:

Computer Emergency Response Team

CSA:

Cyber Situation Awareness

CVE:

Common Vulnerabilities and Exposures

DDOS:

Distributed Denial of Service

DSGVO:

Datenschutzgrundverordnung

FR:

First Responder

IDS:

Intrusion Detection System

K-Wert:

Kritikalitätswert

KI:

Kritische Infrastruktur

LZ:

Lagezentrum

PoC:

Point of Contact

SIEM:

Security Information and Event Management

SOX:

Sarbanes-Oxley Act

STIX:

Structured Threat Information eXpression

TAXII:

Trusted Automated eXchange of Indicator Information

TLP:

Traffic Light Protocol

TTL:

Time to Live