visIT Industrial Cybersecurity Technologien für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme www.iosb.fraunhofer.de www.iosb.fraunhofer.de ISSN 1616-8240 ISSN 1616-8240

Editorial Liebe Freunde des Fraunhofer IOSB, Industrielle Automatisierungs- und Steuerungssysteme (Industrial Automation and Control Systems, IACS) sind entscheidend für das reibungslose Funktionieren verschiedener Branchen wie Energie, Transport, Gesundheitswesen und Produktion. IACS bestehen aus komplexen Netzwerken von Maschinen, Geräten und Softwareanwendungen, die kritische Abläufe steuern, überwachen und automatisieren. Störungen oder Kompromittierungen dieser Systeme können erhebliche wirtschaftliche Verluste, Risiken für die öffentliche Sicherheit und potenzielle Bedrohungen der nationalen Sicherheit zur Folge haben. Der Schutz kritischer Infrastrukturen, Fertigungsprozesse und sensibler Daten hat für Unternehmen daher weltweit höchste Priorität. Industrielle Cyber- sicherheit ist somit ein Forschungsthema, das umfassende Aufmerksamkeit erfordert. Die Cybersicherheit für industrielle Automatisierungs- und Steuerungssysteme muss branchenspe- zifische Anforderungen wie Echtzeitkommunikation, Systemlanglebigkeit und funktionale Sicher- heit berücksichtigen. In diesen Punkten unterscheidet sie sich deutlich von der Cybersicherheit in Büroumgebungen oder beim Betrieb von Internetservern in Rechenzentren. Im industriellen Kon- text können klassische Cybersicherheitsmaßnahmen wie Software-Updates, Antivirenprogramme oder Firewalls daher nicht uneingeschränkt eingesetzt werden. Aus diesem Grund müssen neue Strategien und Methoden entwickelt werden, um industrielle Automatisierungs- und Steuerungs- systeme zu schützen. Das Fraunhofer IOSB nimmt eine führende Rolle in der Forschung zu IACS ein. Zu unseren zentra- len Projekten gehört das Lernlabor Cybersicherheit mit den Konsortien »industrielle Produktion« und »Sicherheit für die Energie- und Wasserwirtschaft«. Hier werden praxisnahe Szenarien und Labore geschaffen, um innovative Ansätze zu testen und praxisnahe Schulungen anzubieten. Im Rahmen des Kompetenzzentrums für angewandte Sicherheitstechnologie (KASTEL) konzentriert sich das Fraunhofer IOSB in Kooperation mit dem Karlsruher Institut für Technologie auf die Forschung an und Entwicklung von Sicherheitslösungen für industrielle Systeme, mit dem Ziel, die Sicherheit und Resilienz von IACS gegen Cyber-Bedrohungen zu stärken. Darüber hinaus fokussiert das eigenfinanzierte Projekt CyReM-ICS (Cyber-Resilienzmonitor für industrielle Steu- erungssysteme) auf die Entwicklung von Methoden und Werkzeugen zur Darstellung und Ver- besserung der Cyberresilienz in industriellen Steuerungssystemen. Hierbei wird ein ganz- heitlicher Ansatz verfolgt, der präventive sowie reaktive Maßnahmen umfasst. Durch diese Initiativen trägt das Fraunhofer IOSB entscheidend zur Weiterentwicklung von Sicherheitsstandards und innovativen Lösungen in der Industrie und der Forschung bei. Fraunhofer IOSB, im März 2025 Prof. Dr.-Ing. habil. Jürgen Beyerer Dr. Ing. Christian Haas Editorial Prof. Dr.-Ing. habil. Jürgen Beyerer Dr.-Ing. Christian Haas 3

Industrial Cybersecurity Abb. 2: Testaufbau von ISuTest® im Fraunhofer-IOSB-Labor in Karlsruhe. Fraunhofer IOSB in Karlsruhe in der Gruppe Industrielle Cybersi- cherheit entwickelt. ISuTest® ist als offenes, erweiterbares Frame- work entworfen. Es unterstützt seine Nutzer von der Einrichtung eines Tests über die Durchführung bis hin zur Isolation von Schwachstellen zum Nachstellen des Fehlers beim Entwickler. Ein beispielhafter Testaufbau von ISuTest®, wie er im Fraunhofer- IOSB-Labor zum Einsatz kommt, ist in Abbildung 2 dargestellt. Der Schwachstellentest durch ISuTest® erfolgt mittels Fuzzing- Techniken. Dabei werden Netzwerkpakete leicht verändert und an die Komponente gesendet, wie dies auch ein Angreifer tun würde. ISuTest® braucht dabei keinerlei Einblick in die Interna der Komponente, es reicht die Spezifikation der Kommunika- tionsprotokolle. Damit kann jedes Gerät mit Netzwerkschnitt- stelle getestet werden. Es handelt sich um einen sogenannten Black-Box-Test. Darüber hinaus können für ISuTest® weitere Protokolle leicht hinzugefügt werden, um die IEC-62443-An- forderung nach dem Test aller angebotenen Protokolle zu erfüllen. Die Architektur von ISuTest® ist in Abbildung 1 dargestellt. Es handelt sich um eine verteilte Client-Server-Infrastruktur. Den eigentlichen Test führt das Environment durch. Mittels der grafischen Benutzeroberfläche ISuGUI konfiguriert der Benutzer zu testende Komponenten, startet Tests und wertet abgeschlossene Tests komfortabel aus. Zentrale Datenbank, Dateiablage und Kommunikator ist das ISuVentory. In der kleins- ten Ausbaustufe werden alle Bestandteile auf einem lokalen PC installiert. In der größten Ausbaustufe arbeiten viele Benutzer mit ISuGUIs über VPN mit einem ISuVentory in einem Kuberne- tes-Cluster und mehreren Environments. Überwachen wie beim Funktionstest Damit ISuTest® erkennen kann, ob eine Komponente während und nach einem Test noch funktioniert wie vorgesehen, setzt es Monitoring ein. Klassisches IT-Monitoring testet beispielsweise, ob sich das Gerät noch anpingen lässt oder der Webserver noch Daten liefert. Darüber hinaus kann ISuTest® beliebige Prozess- parameter überwachen. Im einfachsten Fall sind das digitale Ausgangswerte eines Aktors. Der Prozess eines Switches ist hingegen seine Switching-Funktionalität, die evaluiert wird. Grundlegend können hier dieselben Verfahren zum Einsatz kommen, die schon in den Funktionstests genutzt werden. ISuTest® kann nicht nur andere Testtools ansteuern und sie zum Beispiel mit dem Prozess-Monitoring anreichern, sondern kann auch selbst ferngesteuert werden. Die in OpenAPI spezifizierte REST-API erlaubt es, Tests zu gewählten Zeitpunkten zu starten und die Testergebnisse maschinenlesbar zurückzuliefern. Damit können Security-Tests durch bestehende CI/CD-Systeme getrig- gert und im Gegenzug Tickets erstellt werden, wenn ISuTest® eine potenzielle Schwachstelle entdeckt hat. Erfolgreich im täglichen Einsatz Zielgruppe von ISuTest® sind Hersteller und Integratoren von industriellen Komponenten. Dabei kann ISuTest® sowohl in Test- centern als auch entwicklungsbegleitend eingesetzt werden. Bereits seit mehreren Jahren im kommerziellen Einsatz, konnte ISuTest® bereits hunderte Schwachstellen identifizieren. Diese Erfolge zeigen, dass mit ISuTest® die Vision von »Security by Design« keine Vision bleiben muss. 1 Weitere Informationen zu ISuTest® finden sie auf der Produktseite: www.isutest.de 5

Industrial Cybersecurity Abb. 2: Praxisnahe Weiterbildungen im Lernlabor Cybersicherheit: Mobile Schulungsplattformen am Fraunhofer IOSB-AST. Asset- und Schwachstellenmanagement sowie ein tiefes Ver- ständnis der spezifischen Herausforderungen. Betreiber müssen das notwendige Know-how und Technologien entwickeln und bereitstellen, um den gestiegenen Anforderungen gerecht zu werden. Dringender Bedarf an Know-how und Assistenz Um den veränderten Herausforderungen zu begegnen, ergibt sich ein neues Anforderungsprofil für das Personal in Leitstellen und in der Sekundärtechnik bei den Anlagen- und Netzbetrei- bern. Es besteht ein hoher Bedarf an Fachwissen in Netzwerk- technik, Sicherheit und Überwachung der Kommunikations- infrastrukturen, um die Versorgungssicherheit der dezentralen Energienetze gewährleisten zu können. Eine Neuausrichtung der Ausbildung und spezifische Weiterbildungen sind essenziell. Das Personal ist zunehmend mit einer Flut an Informationen konfrontiert, die gesichtet, gedeutet und bewertet werden müssen. Die Aufgaben der Betriebsführung des elektrischen Netzes müssen um die Überwachung der Kommunikations- infrastruktur erweitert werden. Hierbei sind Assistenzsysteme entscheidend, die bei der Deutung und Entscheidungsfindung unterstützen und belastbar aufbereitete Informationen liefern. Aktuelle Arbeiten des Fraunhofer IOSB-AST Das Fraunhofer IOSB-AST engagiert sich in verschiedenen öffen- tlichen und industriellen Forschungsprojekten, um Assistenz- systeme zur Unterstützung der Anlagen- und Netzbetreiber zu entwickeln, insbesondere im Bereich der Verteilnetze. Dabei werden unterschiedliche Aspekte behandelt, darunter die Simu- lierbarkeit der gekoppelten Strukturen, Digitale Zwillinge zur Überwachung und Bewertung von Handlungsoptionen sowie Virtualisierungsansätze für Sekundärtechnik und Methoden zur Überwachung der Energie- und Kommunikationsnetze. Angebote des Fraunhofer IOSB-AST Über das Lernlabor Cybersicherheit für die Energie- und Wasser- versorgung werden Weiterbildungen in Bezug auf Netzwerk- sicherheit, Netzwerküberwachung und sichere Konfiguration (Härtung) nach aktuellen Sicherheitsstandards angeboten. Die Erkenntnisse der Forschungs- und Entwicklungsprojekte liefern wertvolle Inputs für die praxisnahen Weiterbildungen. Das praxisorientierte Schulungs-Setup ist in Abbildung 2 darge- stellt. Darüber hinaus unterstützt das Fraunhofer IOSB-AST gezielt durch Dienstleistungsprojekte Kunden in konkreten Fragestellungen der OT-Sicherheit. 1Weitere Informationen zum Leistungsangebot des Lernlabor Cybersicherheit Energie- und Wasserversorgung und einem virtuellen Laborrundgang durch eines unserer Labore am Standort Ilmenau finden Sie unter folgendem Link: https://www.iosb-ast.fraunhofer.de/llcs-ew 7

Industrial Cybersecurity Abb. 1: Einblick in unser Lernlabor Cybersicherheit am Fraunhofer IOSB. tionstechnisch gekoppelter Anlagen zur Erzeugung, Verteilung, Speicherung und Nutzung von Energie, kommt dem Thema IT- und OT-Sicherheit zukünftig ein wesentlicher Stellenwert bei der Sicherstellung der Versorgungsaufgabe zu. Schwerpunkte der vier Standorte Das Lernlabor Cybersicherheit für die Energie- und Wasser- versorgung am Fraunhofer IOSB-AST in Ilmenau bietet eine ideale Testumgebung, um reale Szenarien nachzustellen und die Auswirkungen von Angriffen auf die IT-Infrastruktur von Versorgungsnetzbetreibern zu untersuchen. Auf der Website findet sich ein virtueller Rundgang durch das Labor [2]. Das Lernlabor Cybersicherheit am Standort Görlitz ist fokus- siert auf das Thema IT-Sicherheit in der Energie- und Wasser- versorgung und ergänzt das Labor in Ilmenau mit seinem Schwerpunkt auf Sicherheit im Bereich der operativen Techno- logien und im Prozessbereich. In Görlitz wird ein virtuelles Versor- gungsunternehmen (Energie und Wasser) mit seiner Netzwerk- infrastruktur abgebildet, das die Grundlage für praxisnahe Trainings bildet. Themen der Trainings sind: Cybersicherheit Monitoring Angriffserkennung Fernwartung/-zugriff Angriffsvektoren und entsprechende Schutzmaßnahmen Das IT-Sicherheitslabor des Fraunhofer IOSB am Standort Karlsruhe verfügt über zahlreiche Demonstratoren und Lern- umgebungen zur Erprobung und Anwendung von industriellen Cybersicherheitstechnologien. Das Fraunhofer IOSB in Karls- ruhe ist Kooperationspartner der ISA Europe und bietet mit seinen zertifizierten Trainern u. a. Schulungen rund um das Thema IEC 62443 an. Weitere Schwerpunkte sind Security- Tests von Automatisierungskomponenten, sicheres OPC UA sowie Angriffs- und Anomalieerkennung in industriellen Netzen und Anlagen. Im Lernlabor Cybersicherheit des Fraunhofer IOSB-INA in Lemgo befinden sich leistungsfähige Testumgebungen, um die Auswir- kungen von Cyberangriffen zu untersuchen und Gegenmaß- nahmen zu entwickeln. Schwerpunktthemen sind: Quick-Check IEC 62443 Sichere Softwareprodukte Bewertung von Sicherheitsvorfällen AI Intrusion Prevention Mit den beiden Schwerpunkten »Energie und Wasserversor- gung« und »industrielle Produktion« leisten die Lernlabore am Fraunhofer IOSB einen wichtigen Beitrag zur Stärkung der Cybersicherheit in essenziellen Bereichen der Gesellschaft und Industrie. Sie fördern die Vernetzung zwischen Wirtschaft, Wissenschaft und Behörden und setzen neue Maßstäbe in der Vermittlung von Fachwissen und der Entwicklung innovativer Sicherheitskonzepte. 1 Weitere Informationen zum Leistungsangebot des Lernlabor Cybersicherheit finden Sie unter folgendem Link: https://www.cybersicherheit.fraunhofer.de/ 2 Virtueller Rundgang: https://services.iosb-ast.fraunhofer.de/lab/ 9

Industrial Cybersecurity Abb. 1: Miniaturisierter Produktionsprozess mit industriellen Infrastrukturkomponenten. Abb. 2: Interaktiver Montagearbeitsplatz in unserem Labor. Beim kontinuierlichen Risiko- und Schwachstellenmanagement identifizieren, bewerten und priorisieren die Anlagenbetreiber kontinuierlich Schwachstellen und Risiken innerhalb ihrer Syste- me. Dieser Prozess ist essenziell, um die Sicherheit der Produk- tionsprozesse zu gewährleisten. Wir entwickeln ein integriertes Risikobewertungs-Framework, das Anlagenbetreiber bei der Durchführung von Risikobewertungen für ihre Anlagen unter- stützt. Es kombiniert automatisiertes Schwachstellenmanage- ment mit KI-basierter Bedrohungserkennung und -abwehr und wird als Werkzeug für das IEC-62443-basierte Risikomanage- ment dienen. Vertrauenswürdige und transparente interaktive Unterstützungssysteme Um vertrauenswürdige interaktive Montageassistenzsysteme (vgl. Abb. 2) zu realisieren, setzen wir auf Trusted-Computing- Technologien und deren Attestierungsfähigkeiten. Dies ermög- licht es uns, für Mitarbeitende und Betriebsräte überprüfbar zu machen, dass die Software und Sicherheitskonfiguration eines Systems sich in einem vereinbarten Zustand befinden (vgl. Abb. 3). Um die mit den verarbeiteten Daten verbundenen Risiken zu mindern, implementierten wir zwei Frameworks, die Daten während der Speicherung (4Crypt) und während der Verar- beitung (DataSov) schützen. 4Crypt erzwingt kryptographisch die Zustimmung mehrerer vertrauenswürdiger Prüfer (Vier-Augen-Prinzip), bevor auf verschlüsselte Daten zugegriffen werden kann. DataSov imple- mentiert die verteilte Nutzungskontrolle auf vertrauenswürdige Weise. Dies geschieht, indem die Integrität verteilter Kompo- nenten durch heterogene Attestierung mit verschiedenen 1 https://kastel-labs.de 2 https://www.iosb.fraunhofer.de/isutest Trusted-Computing-Technologien sichergestellt wird. Die Europäische KI-Verordnung stellt Transparenzanforderun- gen an bestimmte Anwendungsbereiche von KI und verlangt, dass Entscheidungen solcher Systeme verständlich sind. Erklärbare KI ist de facto die einzige technische Umsetzungsmöglichkeit, um die Anforderungen der KI-Verordnung zu erfüllen. Aller- dings konzentrieren sich aktuelle Methoden auf die technischen Bedürfnisse von KI-Experten. Mit RIXA haben wir ein interak- tives, erklärbares KI-Dashboard umgesetzt, das große Sprach- modelle nutzt, um technische Erklärungen für Laien verständ- lich zu machen. Die Forschungsbeiträge des Labors befassen sich mit den lang- fristigen Herausforderungen für die Sicherung industrieller Pro- duktionssysteme, indem sie innovative Proof-of-Concepts sowie Technologiedemonstratoren entwickeln, die den Transfer in die Praxis unterstützen. Abb. 3: Attestierung eines Montageassistenzsystems über NFC- Kommunikation. 11

Industrial Cybersecurity Abb. 2: Unsere umfassende Erfahrung bei der Erkennung von Schwachstellen und der Härtung von industriellen Steuerungs- systemen fließt in einen neuen ganzheitlichen Ansatz zur Überwachung der Ausfallsicherheit ein. Open Source SIEM-System bildet. Dieses SIEM (Security In- formation and Event Management) besteht in der Regel aus einer Log-Datenbank, die für nachgelagerte Auswertungen herangezogen wird, einer definierten Pipeline zum Daten- import der angeschlossenen Sensoren bzw. Systeme und einer Visualisierung der erfassten Daten. Innerhalb von CyReM-ICS werden die erfassten Daten als Grundlage genutzt, um mithilfe eines Inventarisierungssystems (Asset-Inventory) und Ansätzen der Threat Intelligence sowie Ergebnissen aus der Risikoanalyse kontinuierlich Bewertungen bezüglich der Resilienz durchführen zu können. Externe Datenquellen, wie Schwachstellendaten- banken, werden über definierte Schnittstellen als weitere Wis- sensbasis zur Resilienz-Bewertung genutzt. Die Ergebnisse der Resilienz-Metrik-Berechnung werden in- nerhalb der Vorfallsreaktion (Incidence Response) und des Risikomanagements verarbeitet und stellen den Ausblick für eine Erweiterung des passiven Monitors hin zu einem Assis- tenzsystem dar. Was ist der Mehrwert unseres Systems? Das Fraunhofer IOSB kann mit CyReM-ICS Betreiber von indus- triellen Automatisierungs- und Steuerungssystemen sowie Ma- schinen- und Anlagenbauer unterstützen, eine transparente Resilienzbewertung der Systeme und Anlagen durchzuführen und im laufenden Betrieb aufrechtzuerhalten. Maschinenbauer und Betreiber von industriellen Steuerungs- und Automatisierungsanlagen stehen vermehrt vor der Heraus- forderung, Cyberangriffe frühzeitig und zuverlässig zu erkennen und entsprechend darauf zu reagieren. Hierfür gibt es neben der Maschinenrichtlinie auch die kommende NIS-2-Richtlinie der EU als regulatorische Grundlage. Das Bundesamt für Sicher- heit in der Informationstechnik (BSI) hat im Rahmen des Sicher- heitsgesetzes die Aufgabe, auch herstellerunabhängige Lösun- gen zur Detektion und Reaktion auf Angriffe anzubieten. Mit CyReM-ICS besitzt das Fraunhofer IOSB eine funktionierende Demonstrationsumgebung, um Projekte umzusetzen und Ergebnisse demonstrierbar zu machen. Die Betreiber in der Energieversorgung setzen vermehrt Flow- basierte Systeme ein, um Angriffe zu erkennen. Der verpflich- tende Einsatz von Systemen zur Angriffserkennung (SzA) ist ein Hebel vom BSI, um die Vorfallsdetektion in den Unternehmen der kritischen Infrastruktur zu verbessern. Bisherige Umsetzun- gen und kommerziell verfügbare Systeme setzen primär auf die Analyse des Netzwerkverkehrs und die Protokollinformationen der ausgetauschten Nachrichten. Die Protokollierungsinfor- mationen aus den einzelnen Endgeräten werden in der Regel aufgrund der Diversität und der fehlenden Kompetenz zur Deutung der Nachrichten nicht in zentrale Monitoring-Systeme, wie zentral in der IT aufgehängte SIEM-Systeme, eingebunden. Da auch die ICS-Endgeräte einen großen Mehrwert für die Erkennung und Bekämpfung von Angriffen liefern können, wird ein automatisiertes System benötigt, das die dezentralen Informationen einbindet, verarbeitet und eine Schnittstelle zum zentralen SIEM bereitstellt. CyReM-ICS unterstützt Unterneh- men dabei, Angriffe frühzeitig zu erkennen, die Vorfallsreak- tion zu verbessern und dadurch die Einhaltung der EU-Richtli- nien sicherzustellen. 1 https://www.iosb.fraunhofer.de/cyrem-ics 13

Industrial Cybersecurity Zeitreihe umgewandelt, wobei statistische Merkmale berechnet werden, z. B. die Anzahl der Netzwerkpakete pro Sekunde oder die Zwischenankunftszeit der Pakete. Auf Basis dieser Merk- male werden Schwellenwerte berechnet und ein maschinelles Lernmodell trainiert. Die Schwellenwerte ermöglichen eine erste Unterscheidung zwischen normalem und verdächtigem Netzwerkverkehr, während das maschinelle Lernmodell die Klassifizierung verschiedener Cyberangriffe im verdächtigen Verkehr gemäß dem MITRE-ATT&CK-ICS-Klassifikationsschema erlaubt [3]. CyberClas+ ist ein zentraler Baustein eines umfassenden Systems namens CyReM-ICS zur Überwachung der Cyber-Resilienz. Neben der Überwachung des Netzwerkverkehrs ermöglicht das System die Analyse von Syslog-Daten, um Angriffe direkt auf Geräteebene zu identifizieren. Es ermittelt Geräteinformationen wie Artikelnummern und bekannte Schwachstellen, was einen aktuellen Überblick über potenzielle Risiken bietet. Alle relevan- ten Informationen werden gebündelt bereitgestellt, damit Ver- antwortliche die Sicherheitslage effizient bewerten und auf Vorfälle schnell reagieren können. In einer industriellen Testumgebung wurde die Funktionsweise von CyberClas+ unter realen Bedingungen evaluiert (siehe Abb. 2). Dabei konnten 14 unterschiedliche Cyberangriffe erfolgreich erkannt und voneinander unterschieden werden, wobei die Klassifikationsgenauigkeit bei 97 Prozent lag. Zudem konnte durch die initiale Unterscheidung mittels Schwellenwerten die Ausführungsdauer im Vergleich zu klassischen Ansätzen um das bis zu 16-Fache reduziert werden. CyberClas+ ist eine solide Grundlage für automatisierte Gegen- maßnahmen für Cyberangriffe, wie beispielsweise die Netzwerk- segmentierung [4]. Diese Technik teilt das Netzwerk in kleinere, isolierte Segmente auf, was die Ausbreitung von Angriffen unterbindet und somit die Sicherheit der Produktionssysteme erhöht. Für Unternehmen hat der Einsatz von CyberClas+ mehrere Vorteile: 1. Erkennung und Klassifizierung von Cyberangriffen in Echtzeit, was die Reaktionszeit bei Vorfällen reduziert. 2. Effizienter Betrieb auch auf Hardware mit begrenzten Ressourcen, um Kosten einzusparen. 3. Robustheit gegenüber neuen Bedrohungen durch die Fähigkeit, unbekannte Angriffe zu erkennen. 4. Erhöhte Sicherheit schützt vor Produktionsausfällen und finanziellen Verlusten. 5. Unterstützung bei der Einhaltung gesetzlicher Anfor- derungen, wie der NIS-2-Richtlinie. Cyber Detect: Security Monitoring mit CyberClas+ Industrielles Steuerungssystem Abb. 2: Die industriellen Testumgebung zur Evaluierung des CyberClas+-Lösungsansatzes. 1 J. Otto, B. Vogel-Heuser, O. Niggemann. Automatic parameter estimation for reusable software components of modular and reconfigurable cyber-physical production systems in the domain of discrete manufacturing. IEEE Transactions on Industrial Informatics, 14(1), 2018. DOI: 10.1109/TII.2017.2718729. 2 F. Specht, J. Otto. Efficient Machine Learning-based Security Monitoring and Cyberattack Classification of Encrypted Network Traffic in Industrial Control Sys- tems. IEEE 29th International Conference on Emerging Technologies and Factory Automation (ETFA), September 2024. DOI: 10.1109/ETFA61755.2024.10711134. 3 O. Alexander, M. Belisle, J. Steele. Mitre att&ck for industrial control systems: Design and philosophy. The MITRE Corporation: Bedford, MA, USA, vol. 29, 2020. 4 J. Otto, N. Grüttemeier, F. Specht. Security Decisions for Cyber-physical Systems based on Solving Critical Node Problems with Vulnerable Nodes. AAAI-Works- hop on AI Planning for Cyber-Physical Systems (CAIPI’24), Vancouver, Canada, 2024. DOI: 10.48550/arXiv.2406.10287. 15