Digitale Brandmauer Warum Netzwerk-Segmentierung heute Pflicht ist

Anbieter zum Thema

Claroty GmbH

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Vernetzte Betriebstechnik ist längst Realität – und ein Sicherheitsrisiko. Netzwerksegmentierung kann helfen, die Angriffsfläche zu verkleinern und Schäden zu begrenzen. Doch sie wirkt weit über OT-Sicherheit hinaus – technisch, organisatorisch und regulatorisch.

Vor gar nicht allzu langer Zeit waren industrielle Steuersysteme (ICS) meist isoliert und vom Internet abgekoppelt – und damit sicher vor dem Zugriff von Angreifern. Durch die Digitalisierung und die damit einhergehende Vernetzung sind diese Zeiten jedoch unwiderruflich vorbei. Immer mehr Betriebstechnik (OT) und cyber-physische Systeme (CPS) sind vernetzt und damit auch „von außen“ erreichbar.

Genau dies ist jedoch ein zweischneidiges Schwert: Der Zugriff und das Management von Systemen wie speicherprogrammierbaren Steuerungen (SPS) und Mensch-Maschine-Schnittstellen (HMI) über das Internet bieten zusätzlichen Komfort, wie z. B. Echtzeit-Überwachung und tiefgreifende Analysen. Gleichzeitig sind diese Systeme aber dadurch auch zunehmend Cyberangriffen ausgesetzt. In dem Moment, in dem ihnen eine IP-Adresse zugewiesen wird, werden sie zu einer Zielscheibe, insbesondere, wenn sie nicht angemessen geschützt sind. Angreifer benötigen oftmals nur Zugriff auf ein einziges Gerät, um sich von dort aus lateral im Netzwerk fortzubewegen. Deshalb ist es von entscheidender Bedeutung, den Blast Radius, also den Schaden, den ein kompromittiertes Gerät verursachen kann, möglichst gering zu halten. Und genau hier kommt die Netzwerksegmentierung ins Spiel.

Netzwerksegmentierung neu denken

Herausforderungen der Mikrosegmentierung

Vorteile der OT-Netzwerksegmentierung

Grundsätzlich versteht man unter Netzwerksegmentierung die Aufteilung eines Netzwerks in kleinere, isolierte Teilnetze oder Zonen, die separat gemanagt und geschützt werden können. Eine wirksame Segmentierung schafft Barrieren, die ein Angreifer überwinden muss. Dadurch kann der Schaden einer Attacke deutlich reduziert werden. Allerdings trägt eine intelligente Segmentierung nicht nur zu einem Plus an Sicherheit bei, sondern bietet darüber hinaus noch weitere Vorteile:

• Vereinfachte Compliance: Viele Vorschriften für kritische Infrastrukturen wie etwa NIS2 verlangen eine Netzwerksegmentierung als wichtigen Sicherheitsbaustein. Richtig segmentierte Netzwerke erleichtern dabei den Nachweis der Konformität, indem sie die Sicherheitsperimeter und Zugangskontrollen um die regulierten Assets klar definieren. Dies reduziert die Komplexität und erleichtert Audits.

• Verbesserte Netzwerk-Performance: Indem der Netzwerkverkehr auf bestimmte Subnetze beschränkt wird, kann die Segmentierung Überlastungen reduzieren und die Gesamtperformance des Netzwerks verbessern. Dies ist besonders wichtig in OT- und CPS-Umgebungen, in denen Echtzeitkommunikation und geringe Latenzzeiten oft entscheidend für den störungsfreien Betrieb und die Sicherheit der Mitarbeiter sind.

• Optimiertes Management: Eine kluge Segmentierung erleichtert das Management und das Troubleshooting. Die Isolierung von Störungen auf bestimmte Segmente vereinfacht die Diagnose und reduziert die Auswirkungen im gesamten Netzwerk. Auch Sicherheitsrichtlinien und Zugriffskontrollen können innerhalb definierter Segmente granularer und konsistenter angewendet werden.

Neue Herausforderungen für die Cybersecurity

Die Konvergenz von IT, OT und IoT bringt neue Risiken

Worauf es bei der OT-Netzwerksegmentierung ankommt

Eine effektive und intelligente Netzwerksegmentierung lässt sich nicht über Nacht umsetzen. Die Planung und Implementierung benötigt Zeit und umfasst drei Bereiche: Richtlinien, Menschen und Technologie.

Richtlinien: Die klare Definition einer Richtlinie bildet die Grundlage der Segmentierung. Idealerweise sollte diese Policy:

• Kritische Assets und Zonen identifizieren: Machen Sie eine Bestandsaufnahme Ihrer gesamten Infrastruktur und entscheiden Sie, was vorrangig geschützt werden muss. Anlagen wie PLCs, HMIs und Sicherheitssysteme sollten das höchste Schutzniveau erhalten. Gruppieren Sie die Assets dann in logische Zonen, basierend auf Faktoren wie Funktion oder Kritikalität.

• Kommunikationsregeln festlegen: Erstellen Sie ein „digitales Verkehrsgesetz“, bei dem Sie den Netzwerkverkehr analysieren und festlegen, welche Geräte miteinander kommunizieren dürfen.

• Zugangskontrolle definieren: Weisen Sie dann, basierend auf dem oben genannten digitalen Verkehrsgesetz, einen digitalen „Verkehrsmanager“ zu, der die Personen oder Geräte bestimmt, die auf jede von Ihnen erstellte Zone zugreifen dürfen.

Menschen: Dieser Punkt wird oft übersehen, aber die Personen, die für das Management und die Wartung eines segmentierten Netzwerkes ausgewählt werden, sind ebenso wichtig wie die Geräte und Zonen selbst. Dabei sollten besonders folgende Faktoren berücksichtigt werden:

• Zusammenarbeit: OT- und IT-Teams arbeiten normalerweise nicht zusammen, aber es ist wichtig, Mitarbeiter aus beiden Bereichen auszuwählen. Auf diese Weise wird sichergestellt, dass sowohl die technische als auch die betriebliche Seite der Netzwerksegmentierung abgedeckt ist und beide Gruppen ihr Fachwissen einbringen können.

• Verantwortung: Legen Sie alle Rollen und Verantwortlichkeiten für das segmentierte Netzwerk klar fest. Kommunizieren Sie diesen Plan im gesamten Unternehmen, damit jeder seinen Beitrag zum Aufbau und Schutz leisten kann.

• Schulung: Schließen Sie alle Wissenslücken des Teams. Es ist wichtig, dass alle Mitarbeiter mit den Richtlinien zur Netzwerksegmentierung sowohl auf der OT- als auch auf der IT-Seite des Unternehmens vertraut gemacht werden.

• Sensibilisierung: Fördern Sie ein sicherheitsbewusstes Denken, unabhängig davon, in welchem Bereich des Unternehmens die Mitarbeiter tätig sind und ganz gleich, ob sie aktiv an dem Netzwerksegmentierungsprojekt arbeiten oder nicht.

Industrie im Visier des Cybercrime

IoT-Ransomware wird zur wachsenden Gefahr in der vernetzten Industrie

Technologie: Schließlich vervollständigen die implementierten Lösungen (sowohl Hard- als auch Software) die Segmentierung. Dabei sollten zunächst die wichtigsten Elemente priorisiert werden:

• Virtuelle LANs (VLANs): Virtuelle LANs ermöglichen die Segmentierung von Geräten, die physisch miteinander verbunden sind. Man kann sie sich als eine Art virtuelle Verkabelung zwischen einzelnen Geräten vorstellen. Dies bringt mehrere Vorteile: Zum einen erhöhen sie die Sicherheit, indem sie den Zugang zu sensiblen Ressourcen isolieren. Zum anderen verbessern sie den Datenverkehr, da er in kleinere, besser zu verwaltende Gruppen aufgeteilt wird.

• Firewalls der nächsten Generation (NGFWs): Traditionelle Firewall-Konfigurationen sind seit langem ein grundlegender Bestandteil der Cybersicherheit. Firewalls der nächsten Generation gehen noch einen Schritt weiter: Sie bieten häufig eine Angriffserkennung und fungieren als eine proaktivere Komponente der gesamten Sicherheitsstrategie. In OT-Umgebungen können NGFWs auch eingesetzt werden, um abnormales Verhalten zu erkennen und bei Auffälligkeiten Segmente abzuschalten oder zu isolieren.

• Router: Die Konfiguration von Routern zur Kontrolle von Datenverkehr und Segmenten ist ein Muss. Darüber hinaus kann durch die Verwendung von Zugriffskontrolllisten (ACLs) jedes Netzwerksegment auf der Grundlage von Ports, Protokollen und Quell-/Ziel-IP-Adressen granular kontrolliert werden.

Über den Autor

Thorsten Eckert ist Regional Vice President Sales Central bei Claroty.

(ID:50539628)