Im Bereich der IT dreht sich das Konzept von ‚Zero Trust‘ vor allem um die kontinuierliche Überprüfung der Nutzer beziehungsweise ihrer Zugriffsberechtigungen. Das Hauptziel besteht darin, sicherzustellen, dass jeder Zugriff auf verbundene Netzwerkdienste unter anderem von der richtigen Anwender-Identität zur richtigen Zeit vom erwarteten Ort und über registrierte Geräte erfolgt. Dieser Überprüfungsprozess ist grundsätzlich menschenzentriert, da Menschen in großem Umfang mit verschiedenen Netzwerkdiensten interagieren und jede kompromittierte Person eine erhebliche Bedrohung für das gesamte Unternehmen darstellen kann.

Im Bereich der Betriebstechnologie (OT – Operational Technology) sind Produktionsgeräte und Ausrüstungen jedoch selten an bestimmte Personen gebunden. Obwohl das Schadenspotenzial ähnlich hoch ist wie in der IT-Welt, unterscheiden sich die eingesetzten Gegenmaßnahmen erheblich. TXOne Networks befürwortet als Anbieter industrieller Cybersicherheitslösungen die Umsetzung der OT-Zero-Trust-Methodik – ein Ansatz, der zwar ebenfalls eine kontinuierliche Überprüfung beinhaltet, aber eine gerätezentrierte Perspektive einnimmt, die alle Phasen des Lebenszyklus eines Geräts umfasst. Jedes Gerät sollte vor dem Einsatz in einer Produktionslinie auf Malware und andere Cybergefahren überprüft werden, und während seiner gesamten Lebensdauer müssen kontinuierliche Überwachung und Schutz gewährleistet sein. Während IT-Mitarbeiter gelegentlich die Produktivität zugunsten der Sicherheit opfern, müssen OT-Experten die Systemverfügbarkeit beziehungsweise eine konstant fortlaufende Fertigung über alles andere stellen.

Die OT-Zero-Trust-Methodik legt einen umfassenden Rahmen fest, in dem jedes Produktionsgerät während seines gesamten Lebenszyklus durch mindestens eine von drei unterschiedlichen Sicherheitsmaßnahmen geschützt wird. Zu diesem Schutzkonzept gehören strenge Inspektionen vor der Inbetriebnahme, der Schutz von Endgeräten und eine robuste Netzwerkverteidigung.

Inspektion vor der Inbetriebnahme

Ein Überblick über die größten Herausforderungen für Unternehmen in Bezug auf Cybersecurity.

© Quelle: Frost&Sullivan

Entgegen der landläufigen Meinung bietet ein brandneues Produktionsgerät nicht unbedingt eine optimale Sicherheit. Industrie-PCs beispielsweise laufen oft mit veralteten Betriebssystemen und enthalten möglicherweise ältere Komponenten, die auf bestimmte industrielle Anwendungen zugeschnitten sind. Bei ihrer Konstruktion steht die Funktionalität im Vordergrund und nicht die Sicherheit. Obwohl diese Geräte vor der Auslieferung strengen Tests unterzogen werden, werden Cybersicherheitsaspekte häufig übersehen.

Die Durchführung gründlicher digitaler Inspektionen neu eingeführter Produktionsgeräte dient zwei entscheidenden Zwecken: Erstens hilft sie dabei, versehentlich vom Hersteller eingefügte, bekanntermaßen bösartige Komponenten zu erkennen und so die Integrität des Geräts zu gewährleisten. Zweitens – und das ist vielleicht noch wichtiger – wird damit ein häufig vernachlässigter Aspekt der Inspektionen angesprochen: die Bestandsaufnahme der Sicherheitsmaßnahmen. Zwar stellen OT-Manager gerne eine Inventarliste der Produktionsmittel zur Verfügung, doch nur selten sind darin umfassende Sicherheitsdetails enthalten. Dieser Mangel an Transparenz stellt oft ein Problem dar, wenn Updates für kritische Betriebssysteme veröffentlicht werden. In vielen Fällen entscheiden sich die Administratoren dafür, die betroffenen Produktionsgeräte unangetastet zu lassen und keinen Patch durchzuführen, insbesondere in geschlossenen Netzwerken, die sie für sicher halten. Infolgedessen erleben wir die Wiederholung alter Angriffe wie WannaCry in modernen Fabrikumgebungen.

Im Sinne der OT-Zero-Trust-Methodik verfolgen Security-Anbieter einen Ansatz der ständigen Skepsis gegenüber der Unbedenklichkeit jedes neuen Geräts und überwachen dessen darauffolgende Nutzung. Folglich führen Anbieter wie TXOne Networks ständig Inspektionen durch, um die Sicherheit zu gewährleisten.

Endgeräteschutz (Endpoint Protection)

Während in IT-Umgebungen in der Regel auf fast allen Computern Antiviren-Software installiert ist, gilt dies nicht für OT-Geräte. Es gibt bestimmte Faktoren, die OT-Manager davon abhalten, IT-identische Cybersicherheitslösungen zu verwenden.

Die meisten Schutzprogramme für Endgeräte sind auf immer raffiniertere Cyberangriffe ausgelegt. Daher verwenden sie ausgefeilte Techniken wie maschinelles Lernen oder ‚Endpoint Detection and Respons‘ (EDR), um die Sicherheit zu erhöhen. Diese Maßnahmen bringen jedoch auch zusätzliche Kosten mit sich, zum Beispiel eine hohe Internetnutzung, den Verbrauch von Systemressourcen und vermehrte Fehlalarme. Die damit verbundenen Nebeneffekte halten OT-Manager oft davon ab, solche Schutzsoftware für ihre Endpunkte zu implementieren.

Dennoch führen Sicherheitsverletzungen innerhalb von OT-Systemen oft zu erheblichen Verlusten. Daher haben mehrere Anbieter von Cybersicherheitslösungen damit begonnen, Endpunktschutzlösungen zu entwickeln, die für OT-Umgebungen optimiert sind. Diese Lösungen werden vorrangig vor Ort implementiert und bieten auch Unterstützung für ältere, unpatchbare Betriebssysteme, wodurch sie den besonderen Anforderungen des OT-Endgeräteschutzes gerecht werden.

Mit der OT-Zero-Trust-Methodik bleiben Anwender vorsichtig und skeptisch, was die Unbedenklichkeit aller anderen angeschlossenen Netzwerkgeräte angeht. Daher setzen sie, wann immer möglich, Maßnahmen zum Endgeräteschutz ein, um umfassende Cybersicherheit zu gewährleisten.

Verbesserte Netzwerkverteidigung für OT-Sicherheit

Netzwerke in der Produktion erfordern ganz spezielle Cybersicherheitsmaßnahmen. Zum OT-Zero-Trust-Schutzkonzept gehören strenge Inspektionen vor der Inbetriebnahme, der Schutz von Endgeräten und eine robuste Netzwerkverteidigung.

© TXOne Networks

Die Netzwerkverteidigung dient sowohl als ergänzende Sicherheitsmaßnahme zum Endgeräteschutz als auch als entscheidender Schritt bei der Entschärfung unentdeckter Sicherheitslücken. In OT-basierten Produktionsstätten behindern jedoch mehrere Faktoren die Implementierung von Endgeräteschutz. Technische Einschränkungen, wie nicht unterstützte ältere Betriebssysteme und das Fehlen geeigneter Betriebssysteme für neu entstehende IIoT-Geräte oder Steuerungseinheiten, stellen eine Herausforderung für die Implementierung geeigneter Sicherheitssoftware dar. Selbst wenn es technisch möglich ist, werden viele Produktionsgeräte weiterhin ohne Endgeräteschutz betrieben, da die Garantiebedingungen es OT-Managern verbieten, zusätzliche Schutzsoftware über die ursprüngliche Implementierung hinaus zu installieren.

Netzwerk-bezogene Schutzanwendungen spielen eine wichtige Rolle bei der Erfüllung von Sicherheitsanforderungen und umfassen Funktionen wie Firewalls und ‚Intrusion Prevention Systeme‘ (IPS). In den meisten Fällen funktionieren sie in OT-Umgebungen genauso gut wie in der IT. Da sich moderne Angreifer jedoch zunehmend auf industrielle Bereiche konzentrieren, ist die Fähigkeit zur Analyse von Datenpaketen, die in industriellen Protokollen wie Modbus oder anderen proprietären Protokollen übertragen werden, äußerst wünschenswert. Neben dem generellen Cyberschutz ist die Segmentierung von Netzwerken eine gängige Praxis, um das Ausmaß des Schadens im Falle eines Cybersecurity-Vorfalls zu kontrollieren und zu begrenzen.

Gemäß den Grundsätzen der OT-Zero-Trust-Methodik sollten Anwender jedem Produktionsgerät in der Netzwerk- umgebung mit einem gesunden Misstrauen begegnen und immer von der Möglichkeit einer Cyberattacke ausgehen. Infolgedessen gilt es, konsequent Maßnahmen zur Netzwerkverteidigung anzuwenden, um das bestehende Sicherheitsniveau zu ergänzen und das potenzielle Schadensausmaß zu kontrollieren.

OT-Vorfälle: Kollateralschäden der IT

In einer Umfrage unter C-Level-Sicherheitsmanagern im OT-Bereich gaben 94 % der Befragten an, dass sie im Jahr 2022 mit Sicherheitsvorfällen konfrontiert wurden. Dabei waren Ransomware-Angriffe am schwerwiegendsten und reichten von herkömmlichen Attacken bis hin zu fortgeschrittenen Varianten wie LockBit. In vielen Fällen bleiben OT-basierte Produktionsanlagen ungeschützt und erschweren die Wiederherstellung geraubter oder gesperrter Daten erheblich. Die verschiedenen Herausforderungen sind:

• Die für diese Produktionsanlagen geltenden Service Level Agreements (SLA) verbieten die Installation von zusätzlicher Software, einschließlich Sicherheitsmaßnahmen.
• Betriebsbereite Anlagen, die auf veralteten Betriebssystemen laufen, werden nicht angemessen geschützt und gepatcht.
• Das Netzwerk ist ohne angemessene Segmentierung geplant, was zu einer flachen Architektur führt, die Cyberkriminellen einen uneingeschränkten Zugang innerhalb der OT-Umgebung ermöglicht.

Das Fehlen eines angemessenen Cyberschutzes ist die Hauptursache dafür, dass OT-Systeme Cyberangriffen zum Opfer fallen, die vom IT-Netzwerk oder den Mitarbeitern selbst ausgehen. Angesichts der zunehmenden Zahl von Stimmen, die die entscheidende Rolle des Patchings für die OT-Sicherheit betonen, und des Aufkommens von Richtlinien wie der NIS (Network and Information Security) Regulierung der Europäischen Union, die die Bedeutung des Schutzes von OT-Netzwerken und kritischen Infrastrukturen hervorheben, wird die OT-Sicherheit zweifellos zu einem vorrangigen Anliegen für Unternehmen.
 

Praktische Umsetzung der OT-Zero-Trust-Methodik

OT-native Cyber-Defense-Lösungen für ICS/OT-Umgebungen versetzen Unternehmen in die Lage, den zahlreichen Herausforderungen im Bereich Cybersicherheit zu begegnen. Eine umfassende Cybersicherheit für kritische OT-Infrastrukturen gewährleisten beispielsweise Maßnahmen zum Endgeräteschutz.

© TXOne Networks

Nach TXOnes Erfahrungen besteht die größte Heraus- forderung für OT-Sicherheitsmanager in dem Mangel an qualifizierten Arbeitskräften. Dabei geht es nicht um Budgetbeschränkungen oder unzureichende Fachkenntnisse im Bereich der Cybersicherheit, sondern vielmehr vor allem um die zu geringe Anzahl von Mitarbeitenden. Als Beispiel soll hier eine weitläufige Fabrikanlage mit Tausenden von Produktionsgeräten dienen, die von nur zwei OT-Sicherheitsmanagern verwaltet wird. In diesem Szenario wird deutlich, dass es keine Lösung ist, sich ausschließlich auf ausgefeilte IT-Sicherheitsfunktionen zu verlassen, wenn im wahrsten Sinne des Wortes die Manpower fehlt.

Der wahre Wert des OT-Zero-Trust-Ansatzes zeigt sich, wenn er praktisch umgesetzt wird. Anstatt weitere Fragen aufzuwerfen, um ein existierendes Problem zu lösen, ist es entscheidend, den Anwendern eine klare Handlungsanleitung und einen definitiven Lösungsweg an die Hand zu geben. Die Effektivität von Sicherheitslösungen sollte nicht nur an geringen Unterschieden in den Erkennungsraten von Cyberbedrohungen gemessen werden, sondern vielmehr an ihrer Fähigkeit, sich an die OT-spezifischen Sicherheitsanforderungen und Bedingungen innerhalb der Produktionsumgebung anzupassen.

Um dieses Sicherheitskonzept zu vertiefen, muss nicht nur ein leicht ausführbarer Schutzrahmen geschaffen, sondern auch eine Reihe von benutzerfreundlichen Abwehrwerkzeugen eingesetzt werden. Es wurden zwar erhebliche Anstrengungen unternommen, um Bedenken hinsichtlich der Sicherheitstransparenz auszuräumen, doch das eigentliche Ziel sollte darin bestehen, konkrete Gegenmaßnahmen zu ergreifen. Diese Maßnahmen müssen den ohnehin schon belasteten Mitarbeitern einen minimalen Aufwand abverlangen und gleichzeitig die betriebliche Kontinuität und Produktion in den Vordergrund stellen. Wenn man bedenkt, dass ein kleines Team Tausende von Produktionsgeräten beaufsichtigt, sollte eine ideale Kombination von Sicherheitstools die folgenden Eigenschaften aufweisen:

• Keine Beeinträchtigung des Fertigungsbetriebs, unabhängig von den eingesetzten Sicherheitsimplementierungen.
• Präzise und zuverlässige Sicherheitsmaßnahmen ohne Fehlalarme.
• Sofortige Durchführung von Maßnahmen, anstatt weitere Anweisungen einzuholen oder zusätzliche Fragen zu stellen.
• Abdeckung eines breiten Spektrums von Produktions- anlagen, von Altsystemen bis hin zu modernen Geräten, da Altsysteme oft Sicherheitslücken aufweisen.

Was auf uns zukommt

Mit der Professionalisierung von Hackern geht auch ein zunehmender Trend zu direkten Cyberangriffen auf OT-Umgebungen einher. Als Reaktion darauf sollten die eingesetzten Schutzlösungen auf OT-spezifische Angriffe zugeschnitten sein. Dazu gehört nicht nur die nahtlose Einbindung von Sicherheitslösungen, sondern auch ein umfassendes Verständnis der OT-spezifischen Anwendungen, Protokolle und betrieblichen Zusammenhänge. Beispielhaft wäre hier ein OT-spezifischer Cyberangriff zu nennen, der in ein mit robusten Sicherheitsmaßnahmen gesichertes IT-Netzwerk eindringt. Einen solchen Angriff im OT-Bereich mit demselben musterbasierten Filteransatz wie in der IT abzufangen, ist nahezu unmöglich. Die Erkennungsmechanismen in Produktionsumgebungen müssen neu konzipiert werden, indem OT-spezifische Kontexte genutzt werden.

Zur Veranschaulichung dieses Konzepts ein weiteres Beispiel: Herkömmliche Sicherheitslösungen werden in einem IT-Netzwerk keinen Alarm auslösen, wenn ein Produktionsgerät mit einem neuen Endgerät kommuniziert, da solche Interaktionen in einer Büroumgebung täglich vorkommen. Bei ausreichendem Hintergrundwissen und im passenden Kontext können Anwender jedoch problemlos ein Sicherheitsereignis auslösen, wenn ein OT-basiertes Gerät mit einem unbekannten Produktionsgerät kommuniziert, da dies aufgrund des Betriebsdesigns nicht passieren sollte.

Der Autor: Dmitri Belotchkine ist Technical Director Europe bei TXOne Networks.

© TXOne Networks

Die nächste Phase des OT-Zero-Trust-Ansatzes umfasst nicht nur die kontinuierliche Überprüfung des Sicherheitsstatus von Produktionsgeräten, sondern auch die Einführung einer OT-zentrierten Denkweise, die betriebliche Zusammenhänge einbezieht. Nur so können Unternehmen und Anwender echte Cyberhygiene für OT-Umgebungen erreichen. Diesem Vorhaben sollten sich Firmen und Organisationen mit ganzem Herzen widmen – es lohnt sich für alle Beteiligten.