Mit der Security Appliance Irma zu mehr Sicherheit im OT-Bereich (Bild: shutterstock_761906896/ Videc)

Mit der Security Appliance Irma zu mehr Sicherheit im OT-Bereich (Bild: shutterstock_761906896/ Videc)

Aus den Erfahrungen vieler Kundenprojekte und mit Partnern der Systemintegration hat sich das Unternehmen Videc sechs wichtige Handlungsempfehlungen zusammengestellt, die eine solide Basis für eine wirksame Risikominimierung und eine sichere Cybersicherheit für OT-Umgebung legen. In allen Projekten zeigt sich, dass diese sechs Schritte die wichtige Grundlage für den Aufbau der Cybersicherheit nach dem Stand der Technik ist.

Sicherlich sind diese Punkte nicht allumfänglich, aber sie beschreiben die Basics – und damit geht es meistens los.

Schritt 1 – Das Bewusstsein bei den Mitarbeitern für die Gefährdungen schärfen

Es ist nicht richtig sichtbar. Es ist raffiniert und komplex. Es ist vorhanden. Täglich gibt es mehr als 320000 Varianten (*BSI-Lagebericht) von Schadsoftware, die hoch professionell in Phishing-Mails verteilt werden, um Passwörter auszuspionieren und ungesichert Systeme zu finden.

Deswegen ergibtt es durchaus Sinn, die Mitarbeiter ebenfalls auf diese Gefahren zu sensibilisieren. Je besser die Mitarbeiter, desto besser die Abwehr.

Geräte, Management-Laptops und Software, die so infiziert sind, könnend mit den Produktionsanlagen verbunden sein. Das Hauptaugenmerk der Betriebsverantwortlichen liegt darauf, die Verfügbarkeit der Produktion zu gewährleisten. Es ist notwendig diese Gefährdungen kennenzulernen, zu beurteilen und Vorbereitungen zu treffen, wenn diese Gefährdungen eintreten.

Schritt 2 – Die Systeme, die kritisch für die Produktion sind, kennen

Was man nicht kennt, lässt sich nicht schützen! Daher beginnen alle Security-Management-Programme und -Standards mit dem Asset-Register oder vollständigen logischen Netzstrukturplan.

Im Security-Management sind Assets die Werte der Unternehmen. Das sind Gebäude, Personal, Lager und die Produktionsanlagen. Für die Absicherung der Produktionsanlage sind Assets die Geräte und Systeme der vernetzten Automatisierung. Türen, Tore, Zäune, Brandmelder, Helme oder Kleidung sind sichtbar. Die vielen Steuerungen, HMI, Sensoren, Motoren, PLC sind „in“ der Maschine und Anlage verbaut. Des Weiteren sind auch die Personal Computer im Leitstand oder der Arbeitsvorbereitung im Office verbunden. Nicht zu vergessen die Remote Zugänge der Integratoren und Hersteller. Das Erkennen dieser „riskanten und offenen“ Assets ist vielleicht der wesentlichste Schritt für OT-Sicherheit. Was man nicht kennt, kann man nicht schützen.

Schritt 3 –  Netzwerksegmentierung der OT-Umgebung für mehr Kontrolle

Wir kennen die Schotten im Schiffbau und Brandmauern bei Gebäuden. Für vernetzte Produktionsanlagen ist es das Air-Gap-Modell, von dem so viele Anlagen als primäres Sicherheitselement abhängig sind. Doch ist die Trennung  des Internets, der Office-IT und der Produktionsanlage kaum noch vorhanden. Auch werden immer mehr IT-Systeme im Zuge von Industrie 4.0  sowie der Digitalisierung in der Produktion eingeführt.

Um ein sicheres Zusammenspiel von IT- und OT-Infrastruktur zu ermöglichen und die Digitalisierung zu beschleunigen, ist es wichtig die Anforderungen an die Netzwerksegmentierung zu durchdenken. Im Notfall ist es besser, eine System-zu-System-Konnektivität in einem Purdue-Modell herzustellen. Das Ziel muss es sein, diese getrennten kontrollierbaren Bereiche, die sich schützen lassen, wieder bestmöglich zu errichten

Die Lösung hier: „Managed-Switches“ und Firewalls einsetzen. Zusätzlich sind Kontrollen der ordnungsgemäßen Funktion (vgl. Schritt 4) einzurichten. So entstehen Segmente (Zonen) und Übergänge (Conduits), die die detaillierte Absicherung im Netzwerk erzeugen.

Schritt 4 – Konsequente Bedrohungsüberwachung und Vorfallmanagement

Transparenz ist der entscheidende erste Schritt für ein wirksames Echtzeit-Monitoring von Cyberbedrohungen. Für Unternehmen ist es unverzichtbar zu wissen, welche Geräte und Systeme sich in ihrer Umgebung befinden, wie die Anlagen miteinander verbunden sind und wie die Netzwerksegmentierung eingerichtet ist. Sobald Sichtbarkeit hergestellt ist gilt es zu klären, wie das Netzwerk rund um die Uhr lückenlos überwacht werden soll.

Hinweis: Für Kritische Infrastrukturen / KRITIS ist mit dem ITSiG 2.0 der Einsatz von Angriffserkennungssysteme in der Automatisierung Pflicht!

Informationsfluss und Alarmierungsszenarien sind wichtige Bausteine in einer Gesamtstrategie.

Schritt 5 – Konnektivität und Zugangskontrollen

Während es für IT-Umgebungen etablierte Praktiken für das Identitäts- und Zugriffsmanagement gibt, besteht im Bereich OT vielerorts Nachholbedarf. Berechtigungsnachweise werden oft gemeinsam, intern und extern genutzt und der Zugriff ist nicht auf bestimmte Netzwerkgeräte oder -segmente beschränkt.

Schritt 6 – Strategie für Schwachstellen- und Patch-Management

Altsysteme, geschäftskritische Rahmenbedingungen und die begrenzten Patch-Fenster von OT-Umgebungen erschweren es typischerweise, eine ganzheitliche Strategie für das Gefahrenabwehr- und Patch-Management zu entwickeln.

Anstatt sich durch Hunderte von Schwachstellen zu patchen, müssen Anwender verstehen, welche potenziell gefährdeten Systeme für die Produktion am wichtigsten sind. Idealerweise werden Sicherheitslücken im Zuge der nächsten regelmäßigen Wartung geschlossen – mit dem Wissen im Hinterkopf, dass für viele OT-Schwachstellen überhaupt kein Patch oder Firmware-Update verfügbar ist.

Hinweis:  Viele der bekannten Software-Schwachstellen der eingesetzten Systeme sind nicht zwingend zu patchen. Die Maßnahmen der Schritte 1-5 sind oft ausreichend

 

Dieter Barelmann und Jens Bußjäger

Ähnliche Beiträge