Sechs Tipps für eine sichere OT-Umgebung

Kudelski Security

Strategie 1 – Gefahrenbewusstsein der Endbenutzer schärfen

Für User in IT-Umgebungen bestehen die gleichen Sicherheitsbedrohungen wie in OT-Umgebungen: Phishing-Angriffe, schwache Passwörter, mangelnde Sicherheit von Hardwaregeräten. Allerdings liegt das Hauptaugenmerk eines OT-Ingenieurs darauf, das System am Laufen zu halten. Das bedeutet, dass nicht die Cybersicherheitsbedrohungen der Fokus für ihn sind.

Vor diesem Hintergrund erweist es sich als sinnvoll, den Fokus auf das Risiko für das Gesamtgeschäft zu richten. Unternehmen sollten die Diskussion des Themas Cybersicherheit im OT-Kontext anhand des Risikos einer Produktionsunterbrechung führen. Es kann hilfreich sein, OT-Ingenieuren und Betriebsleitern Zugang zu den Sicherheits-Tools zu verschaffen, damit sie alle ihre Anlagen visualisieren können und erkennen, wie eine einzige Schwachstelle die Produktion insgesamt beeinträchtigen könnte.

Strategie 2 – Die wahren Vermögenswerte im Unternehmen erkennen

Das Erkennen von Assets ist eine kritische Sicherheitskomponente für IT- und OT-Umgebungen und zugleich eine der schwierigsten. OT-Systemen mangelt es notorisch an Transparenz. Viele Organisationen kennen ihre Assets einfach nicht.

Der erste Schritt ist daher vergleichsweise einfach: Unternehmen sollten ein detailliertes Verständnis der Ressourcen entwickeln, die im OT-Netzwerk vorhanden sind. Das bedeutet, dass die Betriebssysteme, die Firmware-Ebenen, die installierte Software, die vorhandenen Bibliotheken, die Art und Weise, wie die einzelnen Assets miteinander kommunizieren, und – vielleicht am wichtigsten – die Bedeutung der Assets für das gesamte OT-System dokumentiert werden müssen.

Strategie 3 – Systematische Netzwerksegmentierung

Da immer mehr IT-Elemente in die OT-Umgebung eingeführt werden, erodiert das Air-Gap-Modell, von dem so viele OT-Netzwerke als primäres Sicherheitselement abhängig sind. Beispielsweise könnte ein OT-Ingenieur seine E-Mails über ein Human-Machine Interface (HMI) in der Fabrikhalle checken wollen, sodass er ein zweites Network Information Center (NIC) hinzufügt.

Um ein sicheres Zusammenspiel von IT- und OT-Infrastruktur zu ermöglichen, ist es wichtig, die Anforderungen an die Netzwerksegmentierung zu durchdenken, bevor ein Zugriff nötig wird. Im Notfall ist es besser, keine neuen Verbindungen zu schaffen, sondern eine System-zu-System-Konnektivität in einem Purdue-Modell herzustellen. Zudem empfiehlt es sich, Firewalls und Firewall-Kontrollen einzurichten, um eine Hierarchie im Netzwerk zu schaffen. Das Purdue-Modell zur Kontrolle der Hierarchie ist ein Framework, das von Herstellern in verschiedenen Branchen häufig verwendet wird. Es ist hilfreich, um zu verstehen, wie Daten typischerweise durch Netzwerke fließen und wie dementsprechend jede der Netzwerkzonen und ihre jeweiligen Elemente gesichert werden können.

Strategie 4 – Konsequente Bedrohungsüberwachung und Vorfallmanagement

Transparenz ist der entscheidende erste Schritt für ein wirksames Echtzeit-Monitoring von Cyberbedrohungen. Für Unternehmen ist es unverzichtbar zu wissen, welche Anlagen sich in ihrer Umgebung befinden, wie die Anlagen miteinander verbunden sind, wie die Netzwerksegmentierung eingerichtet ist oder auch nicht und welche Schwachstellen es gibt. Sobald Sichtbarkeit hergestellt ist, gilt es zu klären, wie das Netzwerk rund um die Uhr lückenlos überwacht werden soll. Folgende Fragen müssen beantwortet werden: Was tun, wenn es einen Alarm gibt? Nach welchen Maßstäben soll validiert und interveniert werden? Was tun bei einem Sicherheitsvorfall?

Angesichts der Sicherheitsherausforderungen, die eine OT-Umgebung mit sich bringt, kann ein Vorfall in kurzer Zeit extrem schädlich sein. IT-Sicherheitsstrategien wie Bedrohungsüberwachung und -verfolgung sowie Vorfallmanagement können helfen, aber sie erfordern Echtzeit-Zusammenarbeit und Koordination zwischen Sicherheits- und OT-Teams. Vom Security Operations Center (SOC) oder Managed Security Service Provider (MSSP) eines Drittanbieters über den Betriebsleiter bis hin zum OT-Ingenieur müssen Rollen und Verantwortlichkeiten klar definiert werden.

Strategie 5 – Konnektivität und Zugangskontrollen

Während es für IT-Umgebungen etablierte Praktiken für das Identitäts- und Zugriffsmanagement gibt, besteht im Bereich OT vielerorts Nachholbedarf. Berechtigungsnachweise werden oft gemeinsam intern und extern genutzt und der Zugriff ist nicht auf bestimmte Netzwerkgeräte oder -segmente beschränkt.

Es ist essenziell, von einer „Hyperkonnektivität“ auszugehen und diese im Voraus zu planen, um die Produktivität und den Betrieb abzusichern. Hier gelten folgende grundlegenden Prinzipien: Identitätsmanagement, Kennwortanforderungen, Multi-Faktor-Authentifizierung, Synchronisierung des Zugriffs auf das Active Directory. Fernzugriffsfunktionen können ebenfalls hilfreich sein. Dabei sollte allerdings vermieden werden, dieselbe Fernzugriffslösung sowohl für IT als auch für OT einzusetzen, um die Angriffsfläche zu verringern und Ausfallzeiten zu vermeiden. Im Ernstfall lässt sich so klar erkennen, wer Zugriff auf das betroffene System hatte, und bei Bedarf die Verbindung kappen.

Strategie 6 – Schwachstellen- und Patch-Management

Altsysteme, geschäftskritische Rahmenbedingungen und die begrenzten Patch-Fenster von OT-Umgebungen erschweren es typischerweise, eine ganzheitliche Strategie für das Gefahrenabwehr- und Patch-Management zu entwickeln. Anstatt sich durch Hunderte von Schwachstellen zu patchen, müssen Anwender verstehen, welche potenziell gefährdeten Systeme für die Produktion am wichtigsten sind. Idealerweise werden Sicherheitslücken im Zuge der nächsten regelmäßigen Wartung geschlossen – mit dem Wissen im Hinterkopf, dass für viele OT-Schwachstellen überhaupt kein Patch oder Firmware-Update-Fix verfügbar ist. Hier kommt der Einsatz ausgleichender Kontrollmechanismen zum Tragen, um die Auswirkungen einer Schwachstelle bei einem Angriff zu begrenzen. Zu diesen Mechanismen gehören Netzwerksegmentierung und -isolierung, Passwortverwaltung und kontinuierliche Bedrohungsüberwachung und -verfolgung (Deep Packet Inspection). Letztendlich geht es um das Gleichgewicht von Sicherheitsaufwand und Ertrag.

Weitere Informationen darüber, wie OT-Umgebungen wirksam gesichert werden können, sind zu finden unter https://www.kudelskisecurity.com/secure-ot-ics-networks/.

Kontakt

Kudelski Security / Nagra Media Germany GmbH
John Van Blaricum
Vice President, Global Marketing
Oskar-Messter-Straße 29
85737 München/Ismaning
Tel.: +1 650 966 4320
E-Mail: john.vanblaricum(at)kudelskisecurity.com

LEWIS

Kai Faulbaum / Nils Roos / Franziska Stebner
Tel.: +49 (0)211 882 476 06
KudelskiDE(at)teamlewis.com

Tags
Nach themenverwandten Beiträgen filtern

Aktuellste news

So funktioniert die IBM Storage Defender Lizenzierung

So funktioniert die IBM Storage Defender Lizenzierung

Wir haben für Sie zusammengefasst, welche Produkte IBM Storage Defender enthält, und wie Sie das neue Lizenzierungsmodell gut für sich nutzen können, wenn Sie IBM bereits im Einsatz haben.…

IBM EKMF Workstation Update auf 10.3.2 schrittweise durchführen

IBM EKMF Workstation Update auf 10.3.2 schrittweise durchführen

Starten Sie jetzt Ihr Update - worauf Sie dabei achten sollten, erfahren Sie hier…

Warum ist eine ordnungsgemäße Reinigung von Atemschutzgeräten so essenziell wichtig?

Warum ist eine ordnungsgemäße Reinigung von Atemschutzgeräten so essenziell wichtig?

Viele glauben, dass eine einfache Reinigung ausreicht, um die Sicherheit von Atemschutzgeräten zu gewährleisten. Doch nur eine professionelle Reinigung und Wartung durch Experten kann sicherstellen, dass keine schädlichen Rückstände verbleiben…

Aktuellste Interviews

Die Zukunft im Immobilienmarkt

Interview mit Markus Auernigg, Geschäftsführer der PlanetHome Immobilien Austria GmbH

Die Zukunft im Immobilienmarkt

Der Immobilienmarkt befindet sich in einer Phase intensiver Veränderungen und Herausforderungen, die sowohl von globalen als auch lokalen Faktoren geprägt werden. Steigende Zinsen, wachsende Baukosten und eine zunehmende Inflation haben…

„Unser Ziel ist der 15-Minuten-Standort!“

Interview mit Bernd Lohse, Geschäftsführer der Entwicklungsgesellschaft Neue Zeche Westerholt mbH

„Unser Ziel ist der 15-Minuten-Standort!“

Wo an der Stadtgrenze von Herten und Gelsenkirchen einst in der Zeche Westerholt enorme Steinkohlevorräte abgebaut wurden, steht heute eine Industriebrache – noch. Denn auf dem 39 Hektar großen Areal…

Eine visionäre Reise

Interview mit Johannes Sréter, Partner Safety Tax Free GmbH

Eine visionäre Reise

Balkonkraftwerke boomen. Unlängst wurde in Deutschland erstmals die Marke von einer halben Million geknackt, was einer Verdoppelung der gemeldeten Anlagen seit Mitte 2023 entspricht. Immer mehr Menschen wollen Teil der…

TOP