Trend Micro weitet Pwn2Own-Wettbewerb auf industrielle Steuerungssysteme aus

Zero Day Initiative treibt Schwachstellenforschung im IIoT voran

Garching bei München, 28. Oktober 2019 – Trend Micro, einer der weltweit führenden Anbieter von IT-Sicherheitslösungen, kündigt heute einen neuen Wettbewerb zur Entdeckung von Sicherheitslücken an. Bei Pwn2Own Miami müssen die Teilnehmer Schwachstellen in der Software und den Protokollen von weit verbreiteten industriellen Steuerungssystemen (Industrial Control Systems, ICS) finden. Der Wettbewerb wird von Trend Micros Zero Day Initiative (ZDI) veranstaltet und findet erstmals im Januar 2020 im Rahmen der S4 Conference in Miami statt.

Die Pwn2Own-Wettbewerbe treiben bereits seit 12 Jahren die Suche nach Schwachstellen in den wichtigsten IT-Plattformen für Unternehmen weltweit voran. Im Jahr 2018 nahm die Zahl der durch die ZDI erworbenen Schwachstellen in ICS-Software um 224 Prozent zu. Ein ähnlicher Zuwachs ist auch in diesem Jahr zu beobachten, was die Wichtigkeit verdeutlicht, Sicherheitslücken in diesen Systemen zu identifizieren und zu schließen, bevor sie ausgenutzt werden.  

„Unter Trends wie Industrie 4.0 und der digitalen Transformation ist eine zunehmende Konvergenz von IT und OT zu beobachten. Durch diese treten Sicherheitslücken zu Tage, die genutzt werden können, um Produktionsprozesse zu sabotieren oder sensibles geistiges Eigentum zu stehlen“, beschreibt Udo Schneider, Security Evangelist bei Trend Micro, die aktuelle Entwicklung. „Wir hoffen, durch die Ausweitung unserer langjährigen Pwn2Own-Wettbewerbe das Bewusstsein dafür zu steigern, dass diese Schwachstellen geschützt werden müssen. Gleichzeitig wollen wir den Herstellern solcher Systeme und ihren Kunden hilfreiche Informationen an die Hand geben, mit denen sie ihre Security verbessern können.“  

Verantwortungsvolle Offenlegung

Die ZDI arbeitet mit verschiedenen Herstellern von ICS-Systemen zusammen, um die beim Wettbewerb entdeckten Schwachstellen verantwortungsvoll offenzulegen (1) und die schnellstmögliche Bereitstellung von Patches zu fördern. Die Zusammenarbeit mit IIoT-Herstellern (Industrial Internet of Things) im Rahmen des ZDI-Programm hat bereits zu einem verbesserten Patch-Management-Prozess und dadurch verbesserter Sicherheit geführt.

„Ich bin seit über 20 Jahren im Bereich ICS-Security tätig und habe eng mit Herstellern und der Security-Gemeinde zusammengearbeitet, um die kritischen Assets zu schützen, die in industriellen Steuerungssystemen zu finden sind. Schwachstellen stellen dabei einen wichtigen Aspekt dar“, sagt Dale Peterson, Gründer und Programmverantwortlicher von S4 Events. „Bugs in diesen Systemen zu finden und zu patchen, ist nicht leicht. Deshalb freue ich mich sehr, dass die ZDI und ihre talentierten Forscher sich dieser Ziele bei Pwn2Own Miami annehmen. Nur wenn wir diese Lücken entdecken, können wir auch angemessen mit ihnen umgehen.“

Ablauf des Wettbewerbs

Pwn2Own Miami findet im Rahmen der S4 Conference vom 21.-23. Januar 2020 in Miami South Beach statt. Der Wettbewerb findet in fünf Kategorien statt und belohnt erfolgreiche Einreichungen mit Preisgeldern im Gesamtwert von 250.000 US-Dollar. Zudem wird nach einem Punktesystem der Gesamtsieger zum „Master of Pwn“ gekürt. Er erhält zusätzlich 65.000 Punkte und Platin-Status im Rewards Program der ZDI.

Weitere Informationen

Weitere Informationen und die vollständigen Regeln des Wettbewerbs finden Sie unter:
https://www.zerodayinitiative.com/blog/2019/10/28/pwn2own-miami-bringing-ics-into-the-pwn2own-world

Weitere Informationen zur S4 Conference finden Sie unter: https://s4xevents.com

 

Fußnoten

(1) „Verantwortungsvolle Offenlegung“ („Responsible Disclosure“) bezeichnet ein Vorgehen, bei dem zunächst der Hersteller eines betroffenen Systems über entdeckte Schwachstellen informiert wird. Erst nach Ablauf eines vorgegebenen Zeitraums, in dem der Hersteller die Sicherheitslücke schließen kann, wird diese veröffentlicht. Detaillierte Informationen zur Offenlegung von Schwachstellen durch die ZDI finden Sie unter https://www.zerodayinitiative.com/advisories/disclosure_policy/