Startseite > Embedded > Software > Statische Analyse schützt SCADA-Systeme

Cyber-Bedrohungen entdecken

Statische Analyse schützt SCADA-Systeme

20. Juli 2016, 9:44 Uhr | Manne Kreuzer

▶ Diesen Artikel anhören

Fortsetzung des Artikels von Teil 1

Security in Zeiten des IoT

Die ausgefeilte visuelle Taint-Analyse hilft dabei, Schwachstellen deutlich schneller zu identifizieren und zu korrigieren. Hierbei führt das Tool eine durchgängige Datenfluss- und symbolische Verarbeitungsanalyse über das gesamte Programm durch, ohne sich dabei auf Pattern Matching oder ähnliche Approximationen zu stützen. Deshalb kann es zahlreiche Fehlertypen finden, die anderen statischen Analyse-Tools entgehen.

Mithilfe ausgefeilter Datenüberprüfungen verfolgt Codesonar potenziell gefährliche Datenflüsse in C/C++-Applikationen, die zu kompliziert sind, um von Entwicklern auf manuellem Weg gefunden zu werden. Im Unterschied zu anderen Analyse-Tools, die sich bei verfälschten Werten auf eine schlichte Warnung beschränken, nutzt es seine spezielle Visualisierungs-Engine, um Sicherheitslücken in grafischer Form mit einer belastbaren und prüffähigen Schnittstelle zu präsentieren.

Dabei betrachtet es nicht nur ein einzelnes Softwareelement, sondern zeigt, wie die verschiedenen Komponenten eines Softwaresystems zusammenwirken. So bietet die Visualisierung den Entwicklern bei der Betrachtung von Maschinencode einen erheblichen Vorteil: Sie können sich schnell ein Bild davon machen, ohne sich tief in die Semantik des Maschinencodes einarbeiten zu müssen.

In Zeiten des IoT rückt das Thema Security für viele in den Mittelpunkt. Sie sollten ganzheitlich daran herangehen und eine „Security First“-Philosophie anwenden und Abwehrmechanismen einbauen. Das erfordert einen robusteren Entwicklungslebenszyklus, das Anwenden und Vorschreiben von Best Practices sowie die Nutzung modernster Prüfwerkzeuge, um sicherzustellen, dass die gesamte installierte Software geschützt und robust ist. Indem solche Tools Security-Musterlösungen (beispielsweise zum Aufspüren verfälschter Daten) automatisieren, helfen sie beim Programmieren von sicherem Code. Da sie Fehler schon früh entdecken, ist deren Beseitigung mit relativ kleinem Aufwand möglich.

Dazu bieten sie Hilfestellung beim Verstehen und Korrigieren von Problemen. Werden sie im Verbund mit anderen erprobten Verfahren für den Entwicklungslebenszyklus eingesetzt, können statische Analyse-Tools das Risiko von Cyber-Attacken auf kritische Infrastrukturen und andere SCADA-Applikationen entscheidend mindern.