Ausfallsicherheit ist Prio eins Warum Unternehmen dedizierte OT-Sicherheitslösungen brauchen

Anbieter zum Thema

TXOne Networks Europe BV

Fsas Technologies GmbH

FAST LTA GmbH

Produktionsumgebungen können nicht mal einfach so IT-Sicherheitslösungen übergestülpt werden. Doch was macht die OT besonders? Und was unterscheidet sie von der IT-Sicherheit?

Die Verlockung, eine IT-Sicherheitslösung auf den gesamten Betrieb auszudehnen, ist groß. Man hat bereits seine Firewalls, Viren-Scanner und dergleichen, da lässt sich ein Upgrade schnell mit dem Hersteller vereinbaren. Außerdem werben viele IT-Sicherheitsanbieter mittlerweile auch mit OT-Sicherheitslösungen. Wer diesen Weg aber beschreitet, der kann irren und seine OT-Umgebung in große Gefahr bringen – die Produktionsumgebung samt ihrer vernetzten Maschinen. Es mag durch die IT-OT-Konvergenz und Industrie 4.0, über die viel geredet wird, zwar zu einem Verschwimmen der Grenzen kommen, doch es handelt sich dennoch um zwei Welten des Schutzes digitaler Geräte. Es ist nicht ratsam, zu einer IT-Sicherheitslösung zu greifen, die im OT-Gewand daherkommt. Stattdessen braucht es spezifische OT-Lösungen, von denen es allerdings nur wenige am Markt gibt, weshalb man sie übersehen könnte. Aus diesem Grund sollten die OT-Entscheider wissen, was eine native OT-Sicherheitslösung kennzeichnet.

Mehr Cloud, kaum KI

ICS/OT-Unternehmen sind schlecht auf Cyberangriffe vorbereitet

Ausfallsicherheit steht in der OT an oberster Stelle

Schon der Ansatz ist verschieden: Die IT-Sicherheit arbeitet nach der CIA-Triade: Confidentiality, Integrity und Availability. Die OT dreht das Prinzip um. Sie stellt die Availability, also Ausfallsicherheit, nach vorne. Manche OT-Fachleute schreiben ein S für Safety davor, also SAIC. Hinzu kommt die plötzliche Vernetzung vieler Maschinen, die nie darauf ausgelegt worden sind, aber immer noch ein wichtiger Bestandteil des Maschinenparks sind, denn Maschinen kann man nicht einfach austauschen, wie einen Computer in der Büro-IT. Zum einen sind die Maschinen sehr teuer, zum anderen würde das ein Abschalten erfordern, was die gesamte Produktion zum Stillstand bringen kann – das ist oft unbezahlbar.

Hinzu kommt, dass viele Maschinen mit veralteten Betriebssystemen ausgestattet sind. Auch hier ist ein Upgrade aus den gerade erläuterten Gründen nicht ohne weiteres möglich – und ein Anschluss an das Internet war nie vorgesehen, weshalb Sicherheits-Patches entweder nie existiert haben oder nicht mehr erstellt werden. So findet man in vielen Fabriken zum Beispiel noch Windows XP, sowie ältere Betriebs-Systeme der Firmen Schneider, Siemens, ABB und dergleichen, denn eine Maschine, die läuft, fasst man nicht an. Einen automatisierten Patch-Tuesday gibt es daher in der OT nicht.

IT/OT-Konvergenz

Sicherung der OT-Umgebung gegen Cyber-Bedrohungen

So funktionieren OT-Lösungen

Echte OT-Lösungen arbeiten mit eigener Technologie: Sie kennen den Hardware-Bypass, der auf eine normale Hutschiene passt, um die Produktion trotz Wartung aufrecht zu erhalten. Dieser schaltet die Maschine passiv, wodurch sie in der Produktion mitlaufen kann, während ihr System heruntergefahren wird, um etwas zu prüfen, oder ein Update einzuspielen. Die Sicherheit wird dabei für diesen kurzen Zeitraum abgeschaltet, dies ist das Risiko, aber sie sitzt noch hinter den übergeordneten Sicherheitsmaßnahmen des OT-Netzwerkes – und sie arbeitet. Somit ist bei einem Update kein Neustart der gesamten Maschine notwendig. Das ist ein großer Unterschied zur Büro-IT: Der Ausfall eines Computers lässt sich verkraften, aber der Ausfall nur einer Maschine kann ein Fließband zum Stehen bringen.

Wenn zum Beispiel eine IT-Firewall in der Produktion eingesetzt wird, die nach einem Update einen Neustart braucht, der mehrere Minuten dauert, dann steht die Produktion still. Bei einem Plastik-Hersteller würde die gesamte Ware vor dem Gießen aushärten. Ein tatsächlich stattgefundener Ausfall kostete rund zwei Millionen Euro, weil das IT-System wegen einiger CVE-Schwachstellen mehrmals aktualisiert werden musste, was die Produktion stoppte.

IT-Lösungen müssen für ein Update einer Firewall den OSI-Layer 3 mit IP-Adressen nutzen. Die Administratoren müssen zur Konfiguration daher diese Adressen, sowie das Netzwerk, dessen Architektur und sämtliche Datenströme herausfinden. Dieses Sammeln kann Monate oder Jahre lang dauern. Echte OT-Lösungen dagegen lassen sich auf dem OSI-Layer 2 integrieren. Das bedeutet, dass sie einfach über ein Kabel zwischen Switch und Maschine gesteckt werden. IP-Adressen brauchen sie nicht. Es reicht, die Module umzustecken, schon ist die Lösung im Kern eingebunden. Das führt zu folgendem Ablauf: Die OT-Leute stecken die Kabel für die Sicherheitsmodule um, lassen dann die Sicherheitskomponenten lernen und fahren anschließen anhand von Vorschlägen die Sicherheit hoch. Während all dieser Zeit arbeitet die Maschine einfach in der Produktion weiter.

Gefahr für OT-Umgebungen

Viele Remote-Access-Tools sind nicht für Unternehmen geeignet

Produktionsumgebungen brauchen keine Cloud-Anbindung

Betrachtet man Endpunkt-Sicherheit, dann sind zudem fast alle IT-Endpunktlösungen an eine Cloud angeschlossen worden, sind EDR-Systeme, mit einem Data Lake verbunden oder laufen nur auf neuen Windows-Systemen, gemäß den Anforderungen der Büro-Umgebungen. Dort kann man die Computer aktualisieren und neue Betriebssysteme aufsetzen, doch die OT-Welt sieht anders aus: Der Hersteller liefert eine Maschine mit einem bestimmten Betriebssystem aus und hier endet die Anpassungsmöglichkeit. Aus diesem Grund können echte OT-Sicherheitslösungen alte Industrie-Betriebssysteme aller Art abdecken und brauchen keine Cloud-Anbindung.

Darüber hinaus geht die Verhaltensanalyse in der IT auf das Verhalten eines Benutzers sowie des Angreifers ein, um Muster zu erstellen. Die OT aber arbeitet nach dem Prinzip „Asset Centric“ und stellt somit das Verhalten der Maschine in den Mittelpunkt, denn eine Maschine verhält sich nach der Inbetriebnahme streng nach den Werkseinstellungen, und so können die Maschine, auch ohne Cloud-Anbindung, überwacht und alle Abweichungen als Anomalie gemeldet werden.

Hinzu kommt, was viele vergessen, dass man als Unternehmer auf Maschinen oft nichts installieren kann oder darf, weil dies die Haftung berühren würde. Die OT-Sicherheit muss sich damit auseinandersetzen und daher brauchen OT-Entscheider eine externe Lösung, wie einen tragbaren Malware- oder Schwachstellen-Scanner, um die Maschine auf Fehler und Malware zu prüfen.

Zero Trust in der OT

In der OT gibt es zu Zero Trust keine Definition, aber das Prinzip lässt sich übertragen: IT-Zero-Trust stellt den Anwender in den Mittelpunkt, OT-Zero-Trust die Maschine. Während in der IT angegriffene Bereiche in eine Quarantäne geschoben und das Gerät somit aus dem Spiel genommen werden, lässt sich das mit Maschinen nicht bewerkstelligen. Sonst bliebe die Produktion stehen. Darum wird der Prozess an sich betrachtet. Ein Angriff wird abgefangen, der Prozess isoliert, doch die Maschine arbeitet weiter. Darum liegt der Fokus immer auf dem laufenden Betrieb und seinen Anomalien.

Auch das Virtuelle Patching muss anders betrachtet werden: Es gilt, die Vielfalt sowie das Alter der Betriebssysteme zu beachten, denn in der OT gibt es mehr als Linux-, Mac- und Microsoft-Systeme. Ein typisches IPS (Intrusion Prevention System) aus der IT aber ist immer auf Microsoft, Adobe und andere übliche Hersteller ausgelegt worden. OT-Umgebungen dagegen brauchen ein echtes OT-IPS für Industriesysteme wie ABB, Schneider, Siemens und andere. Die Stolperfalle hier: Manche Hersteller verkaufen allgemein ein IPS, doch das meint immer ein IT-IPS, während das OT-IPS, wenn überhaupt bekannt, zugebucht werden müsste.

Neues eBook „Security anywhere“

Die Grenzen von Zero Trust

Fazit

IT-Sicherheit ist eben nicht einfach auf die OT-Sicherheit zu übertragen. Wer diesen Denkfehler begeht oder sich von der Werbung täuschen lässt, der gefährdet seine Produktionsumgebung. Es lohnt sich daher der Gang zum OT-Spezialisten, der OT-native Sicherheitslösungen anbietet und daher mit dieser eigenen Welt wirklich vertraut ist. Hier zählt Ausfallsicherheit am höchsten, denn eine stehende Maschine kann die gesamte Produktion zum Erliegen bringen.

Neues eBook „Sicherheit für IT und OT“

Was IT-OT-Konvergenz für die Security bedeutet

Über den Autor: Mirko Kloss ist Business Development Director DACH bei TXOne Networks.

(ID:50219326)