Was die neuen globalen OT-Sicherheitsrichtlinien für industrielle Umgebungen bedeuten

Historisch gesehen wurden Betriebstechnologieumgebungen (OT) so konzipiert, dass sie isoliert und stabil sind. Der Wandel vollzog sich langsam, und die Systeme waren so konzipiert, dass sie jahrelang auf die gleiche Weise funktionierten.

Das ändert sich.  

OT-Systeme sind heute vernetzt, fernzugänglich und eng mit Software- und Datenplattformen verknüpft. Diese Umstellung hat echte operative Vorteile gebracht. Es hat auch viele der Annahmen beseitigt, die einst für die Sicherheit von OT-Umgebungen sorgten.

Dies ist der Kontext für die neuen Leitlinien „Secure Connectivity Principles for Operational Technology (OT)“ , die vom britischen National Cyber Security Centre in Zusammenarbeit mit internationalen Partnern entwickelt wurden.  

Die Leitlinien machen deutlich, dass die OT-Konnektivität mittlerweile eine große Risikoquelle darstellt und deren Sicherung ein solides Design und keine zusätzlichen Kontrollmechanismen erfordert.

OT-Umgebungen müssen so aufgebaut sein, dass die Konnektivität gezielt, begrenzt, sichtbar und angriffssicher ist. Das bedeutet, Kompromisse einzuplanen, Isolation zu berücksichtigen und die Ausbreitung von Fehlern zu begrenzen.

Hier finden Sie eine Aufschlüsselung der Kernprinzipien der Leitlinien, warum sie für die Ergotherapie wichtig sind und wie Illumio diese Anforderungen erfüllt.

Warum diese Richtlinien jetzt existieren

OT-Systeme sind vernetzter denn je. Viele nutzen immer noch veraltete Geräte, die nie für die Bewältigung moderner Bedrohungen ausgelegt waren.

Fernzugriff, Unterstützung durch Dritte, Cloud-Analysen und IT-Verbindungen haben die Angriffsfläche vergrößert. In vielen Fällen ging dieses Wachstum schneller vonstatten, als die Teams es vollständig erfassen oder kontrollieren konnten.

OT-Umgebungen haben auch Grenzen, die in der IT nicht gelten. Das Patchen ist langsam oder unmöglich. Neustarts sind riskant. Hardware-Upgrades können Jahre dauern. Wenn Systeme ausfallen, können die Auswirkungen über die Ausfallzeit hinausgehen und die Sicherheit beeinträchtigen.

Deshalb konzentriert sich der Leitfaden auf die Endziele anstatt auf eine Checkliste. Es akzeptiert, dass vollkommene Sicherheit nicht auf einmal erreicht werden kann.

Was Organisationen kontrollieren können, ist das Design. Durch eine gezielte Planung der OT-Konnektivität können Teams verhindern, dass ein Kompromiss zu einem umfassenderen Versagen führt.

Diese Vorgehensweise entspricht der heutigen Arbeitsweise von Angreifern. Sie setzen auf Seitwärtsbewegung, Beharrlichkeit und Zeit.  

8 Kernprinzipien und ihre Bedeutung in der Praxis

Die Leitlinien unterteilen die sichere OT-Konnektivität in acht Kernprinzipien. Jeder Ansatz konzentriert sich darauf, Risiken zu minimieren, ohne die Sicherheit oder Verfügbarkeit zu gefährden.

Zusammen bilden diese Prinzipien einen praktischen Rahmen. Sie zeigen, wie man OT-Umgebungen entwirft, die Kompromisse verkraften und den Betrieb aufrechterhalten können.

1. Risiken und Chancen abwägen.

Die Anbindung an OT sollte mit einer klaren Absicht beginnen. Jede Verbindung sollte einem definierten betrieblichen Zweck dienen, einen klaren geschäftlichen Nutzen bringen und einen namentlich genannten Verantwortlichen haben, der das Risiko übernimmt.

In Wirklichkeit haben sich viele OT-Umgebungen nicht auf diese Weise entwickelt. Die Vernetzung nahm oft im Laufe der Zeit zu. Der Anbieterzugang wurde als kurzfristige Lösung hinzugefügt. Die Ingenieur-Workstations erhielten mehrere Netzwerkverbindungen. Die Daten wurden geteilt, weil es einfach war, nicht weil sie überprüft wurden.

Dadurch entsteht ein häufig auftretendes Problem. Die meisten Organisationen haben keinen aktuellen Überblick darüber, wie ihre OT-Systeme tatsächlich kommunizieren.

Illumio trägt dazu bei, diese Lücke zu schließen, indem es eine Echtzeitkarte der OT-Kommunikation erstellt. Es basiert auf beobachtetem Datenverkehr, nicht auf Netzwerkdiagrammen oder Annahmen.

Die Teams können sehen, welche SPS (speicherprogrammierbare Steuerungen) mit welchen HMIs (Mensch-Maschine-Schnittstellen) kommunizieren, welche Server Verbindungen herstellen und welche Abläufe für den Betrieb erforderlich sind. Sie können auch Verkehr sehen, der einfach deshalb existiert, weil ihn nie etwas blockiert hat.

Dies verändert die Art und Weise, wie Risikoentscheidungen getroffen werden. Statt über Designtheorien zu debattieren, arbeiten die Teams mit Fakten. Sie können entscheiden, welche Verbindungen benötigt werden, welche eingeschränkt werden sollten und welche entfernt werden können.

2. Begrenzen Sie die Gefährdung Ihrer Verbindungen.

Reichweite beschränkt sich nicht nur auf den Internetzugang. Es hängt auch davon ab, wie gut ein System von nahegelegenen Netzwerken aus erreichbar ist und wie viele Wege nach dem Eindringen eines Angreifers dorthin führen.

Die Richtlinien raten vom unbefugten Zugriff auf OT ab. Es bevorzugt ausschließlich ausgehende Verbindungen, vermittelten Zugriff und Just-in-Time-Konnektivität, um die Expositionszeit zu reduzieren.

Diese Prinzipien sind sinnvoll. Viele OT-Umgebungen sind jedoch weiterhin auf permanenten Zugriff angewiesen. Ältere Systeme und Tools von Drittanbietern erfordern dies häufig.

Wenn die Exposition an der Grenze nicht beseitigt werden kann, muss sie innerhalb der Umgebung begrenzt werden.

Illumio reduziert die Auswirkungen exponierter Systeme. Wenn ein Remote-Access-Gateway, ein Jump-Host oder eine Workstation eines Anbieters kompromittiert wird, verhindert Illumio, dass sich dieser Zugriff auf die gesamte OT ausbreitet.

Richtlinien legen fest, welche Systeme über welche Ports und in welche Richtung miteinander kommunizieren dürfen.

In der Praxis bedeutet dies, dass eine kompromittierte Anbietersitzung ein Wartungssystem erreichen kann. Es kann weder Steuerungen scannen, noch Sicherheitssysteme erreichen oder auf nicht zugehörige Produktionsanlagen zugreifen.

Das Risiko einer Gefährdung besteht weiterhin. Der Schaden, den es anrichten kann, ist viel geringer.

3. Netzwerkverbindungen zentralisieren und standardisieren.

Die Leitlinien verdeutlichen eine große Herausforderung im Bereich der Operationstechnologie: die unkontrollierte Ausbreitung der Vernetzung.

Im Laufe der Zeit erstellen Organisationen viele individuelle Zugriffspfade. VPNs, Firewall-Regeln und spezielle Netzwerkdesigns häufen sich. Die Teams vermeiden Änderungen, weil sie befürchten, den Produktionsablauf zu stören.

Diese Komplexität erhöht das Risiko. Es verlangsamt auch die Reaktionsfähigkeit bei einem Zwischenfall.

Die Richtlinien fordern zentralisierte und wiederholbare Konnektivitätsmodelle, die auf die gleiche Weise überwacht und durchgesetzt werden können.

Illumio unterstützt dies, indem es die Sicherheitsrichtlinien vom Netzwerklayout trennt. Richtlinien basieren darauf, was ein System ist und was es leistet, nicht darauf, wo es sich im Netzwerk befindet.

Dies ermöglicht es Organisationen, den Zugriff zu standardisieren, ohne ihre Infrastruktur neu gestalten zu müssen. Mit der Zeit können einmalige Ausnahmen durch klare und wiederverwendbare Richtlinien ersetzt werden, die leichter zu testen und zu pflegen sind.

4. Standardisierte und sichere Protokolle verwenden

Die Empfehlungen bezüglich der Protokolle sind realistisch. Viele OT-Systeme basieren immer noch auf veralteten oder unsicheren Protokollen. Es ist selten möglich, alle Teile auf einmal zu ersetzen.

Stattdessen konzentriert sich der Leitfaden auf das Verständnis des Protokollrisikos und den Einsatz von Kontrollmechanismen, wenn Aktualisierungen nicht möglich sind.

Viele Sicherheitsstrategien scheitern hier, weil sie davon ausgehen, dass Protokollaktualisierungen zuerst erfolgen müssen.

Illumio geht einen anderen Weg. Es geht davon aus, dass unsichere Protokolle bestehen bleiben. Im Mittelpunkt steht die Frage, wo und wie diese Protokolle ausgeführt werden dürfen.

Indem Illumio einschränkt, welche Systeme ein Protokoll verwenden dürfen und wohin dieser Datenverkehr fließen kann, reduziert es den Missbrauch selbst dann, wenn die Verschlüsselung oder Authentifizierung schwach ist.

Beispielsweise kann Modbus-Datenverkehr zwischen einem Controller und einem Gerät erforderlich sein. Illumio stellt sicher, dass nur dieser Pfad existiert. Derselbe Datenverkehr kann nicht an anderer Stelle gestartet oder zur Weiterleitung durch das Netzwerk genutzt werden.

Das Protokoll bleibt so lange bestehen, wie das Risiko eingedämmt ist.

5. Die OT-Grenze verstärken.

Die Grenzen der OT-Infrastruktur sind wichtig, weil viele interne Geräte nicht selbstständig gepatcht oder gesichert werden können.

Strenge Grenzkontrollen sind unerlässlich. Die Leitlinien enthalten aber auch einen wichtigen Punkt. Grenzen versagen.

Es kommt zu Fehlkonfigurationen und es entstehen Sicherheitslücken. Zugangsdaten werden gestohlen. Wird eine Grenze überschritten, entscheiden interne Kontrollmechanismen über das weitere Vorgehen.

Illumio behandelt internen OT-Datenverkehr standardmäßig als nicht vertrauenswürdig. Auch nachdem der Verkehr eine Grenze überschritten hat, muss er weiterhin Segmentierungsregeln befolgen, um sein Ziel zu erreichen.

Es besteht kein automatisches Vertrauen, nur weil der Datenverkehr innerhalb des Netzwerks stattfindet.

Dieser mehrstufige Ansatz bedeutet, dass eine Grenzüberschreitung nicht zu einem vollständigen Kompromiss führt. Interne Kontrollmechanismen begrenzen die Reichweite eines Angreifers.

6. Die Auswirkungen von Kompromissen begrenzen.

Dieser Grundsatz ist die wichtigste Aussage in den Richtlinien. Darin werden Kontamination und seitliche Ausbreitung direkt als Hauptrisiken nach dem Erreichen des Zugangs genannt.

Flache Netzwerke, gemeinsam genutzte Anmeldeinformationen und breiter Zugriff ermöglichen es Angreifern, schneller vorzugehen, als Verteidiger reagieren können.

Illumio wurde entwickelt, um diese Bewegung zu stoppen.

Die Mikrosegmentierung beschränkt die Kommunikation auf das, was explizit erlaubt ist. Systeme können standardmäßig nicht miteinander kommunizieren.

Eine kompromittierte Ingenieurs-Workstation kann die Steuerungseinrichtungen nicht erreichen. Ein kompromittierter Server kann nicht in Sicherheitssysteme eindringen. Seitliche Bewegungen sind blockiert.

Dies verhindert eine Eskalation. In OT-Umgebungen, wo die Reaktionsmöglichkeiten durch Sicherheits- und Verfügbarkeitsbeschränkungen begrenzt sind, ist die Verhinderung einer Eskalation von entscheidender Bedeutung.

7. Stellen Sie sicher, dass alle Verbindungen protokolliert und überwacht werden.

Monitoring funktioniert nur, wenn die Teams wissen, wie der Normalzustand aussieht.

Der OT-Verkehr ist oft vorhersehbar. Das hilft aber nur, wenn die Teams die Ost-West-Kommunikation sehen können.

Illumio bietet kontinuierliche Einblicke in reale Verkehrsmuster. Dadurch wird es einfacher, Ausgangswerte festzulegen und Veränderungen zu erkennen.

Es fügt außerdem Kontext hinzu. Wenn etwas Ungewöhnliches passiert, können die Teams erkennen, was sich geändert hat, welche Systeme betroffen sind und ob gegen Richtlinien verstoßen wurde.

Dies verkürzt die Ermittlungszeiten und ermöglicht schnellere Entscheidungen bei Zwischenfällen.

8. Einen Isolationsplan erstellen

Die Leitlinien betrachten Isolation als Teil der Planung, nicht als Reaktion in letzter Minute.

OT-Umgebungen müssen in der Lage sein, Systeme oder Dienste zu isolieren, ohne Schaden anzurichten. Diese Maßnahmen müssen geplant und getestet werden.

Dies funktioniert nur, wenn bereits eine Segmentierung existiert.

Illumio unterstützt gezielte Isolation. Teams können bestimmte Pfade blockieren, kompromittierte Systeme isolieren oder den Zugriff Dritter entfernen, ohne ganze Standorte abzuschalten.

Die Isolation wird präzise und reversibel.

Diese Präzision hilft Organisationen dabei, auf Vorfälle zu reagieren, ohne sie zu operativen Notfällen werden zu lassen.

Die Eindämmung von Sicherheitslücken ist die einheitliche OT-Sicherheitsanforderung.

Zusammengenommen deuten die Leitlinien darauf hin, dass die OT-Sicherheit nicht mehr allein auf Prävention beruhen kann.  

Konnektivität garantiert Angriffsfläche, und veraltete Systeme garantieren Verwundbarkeit. Die einzig nachhaltige Strategie ist die Eindämmung durch gezielte Planung.

Bei der Eindämmung von Leckagen geht es nicht darum, von einem Ausfall auszugehen, sondern darum, Umgebungen zu entwickeln, die auch im Falle eines Ausfalls weiterhin sicher funktionieren.

Illumio entspricht den Richtlinien, da es Segmentierung, Sichtbarkeit und Durchsetzung als grundlegende Kontrollmechanismen und nicht als fortgeschrittene Funktionen betrachtet.  

In OT-Umgebungen ist diese Grundlage die Voraussetzung dafür, dass Unternehmen Konnektivität sicher einführen, sich an die sich ständig weiterentwickelnden Richtlinien halten und auf Vorfälle reagieren können, ohne deren Auswirkungen zu eskalieren.

Sichere OT-Konnektivität erfordert die Eindämmung von Sicherheitslücken.

Die Grundsätze für sichere Konnektivität in der OT machen deutlich, dass sich die Art und Weise, wie Risiken in Betriebsumgebungen auftreten, durch die Konnektivität verändert hat.

Fernzugriff, Unterstützung durch Dritte und Datenaustausch gehören heute zum täglichen OT-Betrieb. Viele der beteiligten Systeme waren nie für ein solches Expositionsniveau ausgelegt.

Organisationen, die dem Druck standhalten, planen Kompromisse ein. Sie schränken das Vertrauen standardmäßig ein. Sie steuern, wie Systeme miteinander kommunizieren. Und sie konzipieren Netzwerke so, dass ein einzelner Fehler nicht zu einem standortweiten oder sicherheitsrelevanten Vorfall führt.

Die Eindämmung von Sicherheitsvorfällen ersetzt nicht die OT-Sicherheitskontrollen. Dadurch wird sichergestellt, dass diese Kontrollmechanismen auch dann noch funktionieren, wenn etwas schiefgeht.

Erfahren Sie, wie Illumio Insights Ihnen hilft, Risiken in komplexen, vernetzten Umgebungen zu verstehen und einzudämmen. Insights kostenlos testen Heute.