Implementierung und Betrieb von Systemen zur Angriffserkennung

Für den Aufbau des SzA ist der Einsatz eines Industrial Control System (ICS) Security-Monitoring-Systems vorgesehen. Dieses System bildet die technische Grundlage, um den OT-Netzwerkverkehr kontinuierlich zu überwachen, relevante OT-Protokolle auszuwerten, Prozesswerte und Kommunikationsmuster zu analysieren sowie Anomalien als Abweichungen vom definierten Normalverhalten zu erkennen. ICS-Security-Monitoring-Systeme analysieren insbesondere die Kommunikation zwischen speicherprogrammierbaren Steuerungen (SPS), Remote Terminal Units (RTU), Human-Machine-Interfaces (HMI) und weiteren OT-Assets. Sie erfassen und korrelieren Protokolle wie Modbus, Profinet, OPC UA oder S7, überwachen Prozesswerte, Kommunikationsmuster und Sequenzen und identifizieren unautorisierte Befehle, Manipulationsversuche oder atypische Datenflüsse sowohl auf Netzwerk- als auch auf Protokollebene.

Im Rahmen des Projekts soll ein deutschlandweit verteiltes System aufgebaut werden, das an strategisch geeigneten Standorten installierte, Hardwaresensoren nutzt, um die OT-Assets (Endgeräte) der Betriebsnetze zu erfassen und zu überwachen.

Die AG hat im Vorfeld der Konzeptionierung eine Infrastruktur und Risikoanalyse durchgeführt, um potenzielle Angriffspfade in Betriebs- und Verkehrsnetzen zu identifizieren und die Standorte zu bestimmen, die eine kontinuierliche Überwachung durch ein ICS Security Monitoring benötigen. Folgende Standorttypen sind als kritische Knotenpunkte einzustufen und Teil des Gesamtsystems SzA: - Fachzentren für Informationstechnik und Sicherheit (FIT) - Verkehrs- bzw. Verkehrsleitzentralen (VZ/VLZ) - Tunnel bzw. Tunnelleitzentralen (TLZ) - Unterzentralen (UZ) - Autobahnmeistereien (AM) mit verkehrsbeeinflussender Technik und Kabelhäuser (KH) Auf Basis eines risikobasierten Ansatzes sowie unter Berücksichtigung der betrieblichen Kritikalität wurden aus diesen Standorttypen insgesamt 400 Standorte als erforderlich für den Einsatz von Sensorik zur Anomalieerkennung identifiziert, erfasst und priorisiert. An diesen Standorten sind im Durchschnitt bis zu 1.000 zu überwachende Assets vorhanden, wobei die tatsächliche Anzahl und Struktur standortabhängig variieren kann.