Sophos: Honeytrain soll Hacker in die Falle locken
Mit seinem Projekt Honeytrain will der Antivirenhersteller Sophos(öffnet im neuen Fenster) Hacker in einen Honigtopf - Honeypot - locken und damit nicht nur überprüfen, wie sicher Steuerungssysteme für den öffentlichen Nahverkehr sind, sondern vor allem, wie weit Hacker gehen würden, wenn sie Zugriff darauf bekämen. Sind Hacker in Honeytrain eingedrungen, könnten sie sogar Züge entgleisen lassen - im Format 1:87 und selbstverständlich ohne Personenschaden.
Die britische Sicherheitsfirma Sophos hat ihr Honeytrain-Projekt so aufgebaut, dass es nahezu identisch mit dem Steuerungssystem (Industrial Control Systems - ICS) eines öffentlichen Nahverkehrssystems ist und für Angreifer somit täuschend echt erscheint. Selbst Bilder von Überwachungskameras in U-Bahnhöfen und den Führerkabinen werden aus einem echten U-Bahn-Netz in das Honeytrain-System übertragen. Eine Webseite mit Preisinformationen, Fahrplänen oder Störungsmeldungen sowie einem Fahrkartenverkauf gibt es ebenfalls. Darüber könnten Hacker etwa Fahrkartenpreise herabsetzen oder Verbindungen streichen.
Sollten sich Angreifer Zugriff auf das Steuerungssystem verschaffen können, haben sie die Möglichkeit, Weichen zu stellen oder die Fahrgeschwindigkeit von Zügen zu beeinflussen. Abgebildet werden die Angriffe dann auf einer HO-Modelleisenbahn, die Sophos auf der Cebit 2015 aufgebaut hat. Züge könnten dort umgeleitet und so zum Zusammenstoß oder zum Entgleisen gebracht werden.
Die Modelleisenbahn als Honigtopf
Das Konzept der Honeypots ist nicht neu. Die Fallen sollen zum einen Angreifer vom eigentlichen System ablenken. Dort können sie sich austoben, ohne Schaden anzurichten. Sie dienen allerdings auch einem anderen Zweck: Die Angriffswege können dort beobachtet werden. So sollen die Angriffsmuster aufzeigen, welche Ziele die Hacker im Visier haben. Oder sie dienen dazu, mögliche Angriffe auf einem echten System frühzeitig zu analysieren und entsprechende Warnsysteme darauf vorzubereiten. Im Idealfall können potenzielle Sicherheitslücken in Honeypots vorzeitig aufgedeckt und in echten Systemen geschlossen werden, bevor Hacker sie dort ausnutzen.
Wie weit würden Cyberkriminelle gehen?
Für Sophos dient Honeytrain aber eher als Studienobjekt. Das Unternehmen will erfahren, was Angreifer täten, wenn sie auf ein solches System Zugriff hätten. Es will zudem wissen, wie viele Hacker welche Ziele anvisieren, etwa wie viele davon tatsächlich die Weichen oder eher die Fahrkartenpreise zu ihren Gunsten manipulieren würden. Anhand von Angriffsmustern und Uhrzeiten wollen die Experten bei Sophos so viel wie möglich über die Hacker erfahren, die auf Honeytrain zugreifen.
Tausende Angriffe in wenigen Stunden
Das Experiment, das Sophos zusammen mit dem IT-Sicherheitsunternehmen Koramis(öffnet im neuen Fenster) zunächst als Pilotprojekt auf der Cebit 2014 vorgestellt hatte, soll ab jetzt sechs Wochen laufen. Die Angriffe selbst erfolgen unter anderem auf Komponenten von Siemens, die als Steuerungssystem weit verbreitet zum Einsatz kommen. Letztendlich lägen die Schwachstellen aber in der Konfiguration und nicht unbedingt in den Komponenten selbst, sagte der für Honeytrain zuständige Experte Marco di Filippo.
Insgesamt gibt es zwölf Schwachstellen in dem System, die allerdings bereits bekannt sind. Die IP-Adressen des Honeytrain-Projekts würden auf der Cebit zwar öffentlich gemacht, deshalb würden die Ergebnisse der Untersuchung aber nicht verfälscht, sagte di Filippo. Ohnehin sei die Honeytrain in wenigen Minuten von Hackern als offenes System entdeckt und die IP-Adressen seien bereits im Internet verbreitet worden. Von neun Uhr morgens bis zum Mittag am ersten Tag habe es bereits mehrere Tausend Angriffe auf das System gegeben - von Hackern aus aller Welt. Es waren so viele, dass die dafür bereitgestellte Leitungskapazität kaum ausreichte.
Offenes System entdeckt
Die Liste der Herkunftsländer, aus denen die Hackerangriffe stammen, führten bis 14 Uhr die USA und China an. Auf die Herkunft der Angreifer ließen sich daraus aber keine Rückschlüsse ziehen, sagte di Filippo. Denn fast alle Angreifer nutzten VPN-Zugänge, um ihre eigene Herkunft zu verschleiern. Genaueres lasse sich erst später sagen, etwa wenn Uhrzeit und Position mit weiteren Analysen verglichen würden.
Welche Ergebnisse das Honeytrain-Experiment tatsächlich bringen wird, wissen die Experten bei Sophos noch nicht. Wie wichtig die Analyse von solchen Angriffen ist, zeigte sich während einer ersten Live-Demonstration des Honigtopfs. Über die Suchmaschine Shodan(öffnet im neuen Fenster) entdeckte di Filippo gleich ein zum Internet hin offenes echtes System, dessen Aufbau dem Honeytrain-Projekt ähnelte.