Übergreifende Sicherheit für OT und IT Wie ganzheitliche Security den IoT-Erfolg ermöglicht

IoT-Szenarien wie Industrie 4.0 und Smart City können ihr Potenzial nur entfalten, wenn relevante Daten zwischen IT-Netzen und OT-Netzen fließen können. Security-Konzepte, die IT und OT strikt trennen, müssen deshalb durch eine übergreifende Sicherheit ersetzt werden. Wie das möglich ist, zeigen die Experten von Palo Alto Networks, dem IoT Competence Center im Bechtle IT-Systemhaus Bonn und dem Bechtle Competence Center für Security in Köln.

Das falsche Bild von IoT-Sicherheit

In vielen Industrieunternehmen herrscht die Vorstellung, man müsse die Netzwerke in der Fertigung völlig getrennt von den Netzwerken in der Verwaltung sehen und behandeln, die Office-IT von der OT (Operational Technology) komplett trennen. An dieser Sichtweise ist die Security nicht unschuldig, im Gegenteil.

Ein klassisches Security-Konzept für ein Industrieunternehmen sieht vor, dass die IT-Sicherheit und die OT-Sicherheit getrennte Maßnahmen erfordern. Für die strikte Trennung gibt es einen Grund: Man möchte verhindern, dass Angriffe auf den einen Bereich in den anderen übergehen können, dass sich die Risiken der IT und der OT addieren.

In Wirklichkeit aber besteht die scharfe Trennung zwischen IT und OT gar nicht. Zum einen gibt es bereits viele IoT-Geräte in Unternehmensnetzwerken, ohne dass sich die betroffenen Unternehmen dessen bewusst sind. So zeigt die Studie „State of Enterprise IoT Security in 2020“ von Palo Alto Networks , dass in einem durchschnittlichen Unternehmen mehr als 30 Prozent aller mit dem Netzwerk verbundenen Endpunkte IoT-Geräte sind, mobile Geräte sind darin nicht enthalten.

Zum anderen hat sich die komplette Trennung zwischen den IT- und den OT-Netzen als hinderlich für viele IoT-Anwendungsfälle erwiesen. Will ein Industrieunternehmen neue digitale Geschäftsmodelle entwickeln oder auch nur Marktdaten, Kundendaten und Produktionsdaten in eine übergreifende Big-Data-Analyse einbringen, müssen die Daten aus „beiden Welten“ in Echtzeit zusammengeführt werden. Deshalb haben viele Unternehmen die Trennung zwischen IT und OT aufgeweicht und Datenverbindungen vorgesehen. Leider wurde dies aber in den Security-Konzepten nicht entsprechend berücksichtigt.

Wie ungeschützt viele IoT-Implementierungen sind, wie leicht vernetzte Maschinen, Überwachungskameras und andere IoT-Geräte über das offene Internet gefunden und manipuliert werden können, machen Spezialsuchmaschinen wie Shodan deutlich.

Lücken in der IT- und OT-Sicherheit

Das BSI (Bundesamt für Sicherheit in der Informationstechnik) berichtet in der „Lage der IT-Sicherheit in Deutschland 2020“ von Ransomware-Attacken auf Automobilhersteller und ihre Zulieferer, ebenso auf Flughäfen und Fluggesellschaften. Auch kleine und mittelständische Unternehmen, die sich durch Alleinstellungsmerkmale wie zum Beispiel die Produktion spezieller Komponenten im Maschinenbau auszeichnen, wurden Opfer von Cyber-Angriffen.

Solche Angriffen können damit beginnen, dass ein Mitarbeiter in der Verwaltung einen Link in einer E-Mail anklickt, wodurch zum Beispiel Ransomware in das Firmennetzwerk gelangen kann. Die Erpresser-Malware breitet sich dann aus und gelangt auch in die Produktions-IT, da die scharfe Trennung häufig aufgeweicht wurde. Dort können dann Produktionsdaten verschlüsselt werden, ohne die die Fertigung zum Stillstand kommt. Genau das konnte in den letzten Monaten häufiger beobachtet werden.

Offensichtlich nutzen die Angreifer nicht nur Lücken in der OT-Sicherheit, in Industrie-4.0-Anwendungen aus, sondern auch Schwachstellen in der IT-Sicherheit, also Sicherheitslücken in der Office-IT. Attacken auf den einen Bereich können sich auf den anderen ausbreiten.

Will man solche weitreichenden Angriffe und Folgeschäden wie einen Produktionsstillstand verhindern, müssen Security-Konzepte umgesetzt werden, die den notwendigen Datenfluss zwischen Office-IT und Produktions-IT sicher und zuverlässig ermöglichen.

Die notwendigen Schritte für eine umfassende Absicherung von IT und OT sind die Schaffung von Transparenz in den Netzwerken, also die Sichtbarkeit aller Geräte in den Netzwerken, die Bewertung ihres Sicherheitsstatus und die Umsetzung risikoabhängiger Sicherheitsrichtlinien. Die Segmentierung in OT und IT erfolgt dann nicht starr, sondern risiko-, richtlinien- und kontextabhängig. Zulässige Datenverbindungen zwischen den Netzen werden abgesichert und überwacht.

Übergreifende Sicherheit mit Bechtle und Palo Alto Networks

Der IT-Dienstleister Bechtle und der Anbieter von Cybersicherheitslösungen Palo Alto Networks unterstützen gemeinsam Unternehmen bei der sicheren Umsetzung von IoT-Anwendungsfällen wie Smart Manufacturing, Smart Logistics und Smart Buildings. Im Bechtle IoT Competence Center in Bonn werden gemeinsam mit den Kunden IoT-Lösungen entwickelt, im Security Competence Center des Bechtle IT-Systemhauses Köln die entsprechenden Security-Konzepte. Für die übergreifende Absicherung setzen die Bechtle-Experten auf Lösungen von Palo Alto Networks.

Palo Alto Networks ermöglicht Sicherheitsteams, alle nicht verwalteten IT-, IoT- und OT-Geräte mit einem auf maschinellem Lernen basierenden, signaturlosen Ansatz schnell zu identifizieren und zu schützen. Auf Basis der Zingbox-Technologie wurde dazu eine schlüsselfertige IoT-Sicherheitslösung geschaffen, die in Kombination mit der Next Generation Firewall (NGFW) von Palo Alto Networks für Transparenz in den OT- und IT-Netzen sorgt. Die Kombination aus IoT-Sichtbarkeit und NGFW ermöglicht eine kontextsensitive Netzwerksegmentierung, um OT, IoT- und IT-Geräte übergreifend vor allen Bedrohungen zu schützen.

Der Schutz für die IoT-Geräte kann auf der NGFW aktiviert werden, ohne Konfigurationsänderungen oder die Notwendigkeit einer neuen Netzwerkinfrastruktur. Alle IoT-, OT- und IT-Geräte werden erkannt, die mit ihnen verbundenen Risiken werden ermittelt und dem Risiko entsprechende Sicherheitsmaßnahmen auf Basis definierter Richtlinien umgesetzt.

Mit der IoT-, OT- und IT-Sicherheit von Palo Alto Networks und Bechtle kann das bestehende IT-Sicherheitsteam die IoT-Systeme in Unternehmen vollständig sichern, ohne ein neues Team bilden, einen neuen Prozess erstellen oder in neue isolierte Tools investieren zu müssen. Damit kann eine sichere Grundlage für IoT-Geschäftsmodelle gelegt werden, die sich aller relevanten Daten in den IT- und OT-Netzen bedienen können, ohne von den IT- und OT-Risiken bedroht zu sein.

(ID:47015776)