Bei Operational Technology (OT) handelt es sich um Hardware und Software zur Überwachung von Geräten und Prozessen im industriellen Umfeld. Sicherheitsverletzungen können hier katastrophale Auswirkungen haben — im schlimmsten Fall bis zur Gefährdung von Menschenleben. Der OT-Bereich umfasst die Überwachung, Steuerung und Datenerfassung (SCADA, Supervisory Control and Data Acquisition), industrielle Steuerungsanlagen (ICS, Industrial Control System) und Prozessleitsysteme (DCS, Distributed Control System). Für einen ordnungsgemäßen Betrieb sind Rettungsdienste, Wasseraufbereitungsanlagen, Verkehrsmanagementsysteme und andere kritische Infrastrukturen auf operative Technologielösungen angewiesen.
Die Cyberangriffe auf kritische OT-Infrastrukturen haben in den vergangenen Jahren um sagenhafte 2.000 Prozent zugenommen und betrafen von Wasserwerken bis zu Kernkraftwerken die unterschiedlichsten Angriffsziele. Im US-Bundesstaat Florida konnten Hacker kurzzeitig die Kontrolle über die Trinkwasseraufbereitung übernehmen. Dafür nutzten die Angreifer das mangelhafte Passwortmanagement aus und versuchten über ein Remote-Zugriffstool den Anteil von Natriumhydroxid im Wasser offenbar um das 100-fache über dem Normalwert zu erhöhen, was sich noch rechtzeitig verhindern ließ.
Darum nehmen die Cyberrisiken für OT-Systeme zu
Jahrelang stützten sich industrielle Systeme auf proprietäre Protokolle und Software, wurden manuell von zugewiesenen Mitarbeitern verwaltet und hatten keinen Direktzugang zum öffentlichen Internet. Nur über den physischen Zugriff auf ein Terminal konnten OT-Systeme infiltriert werden — schon aus logistischer Sicht keine leichte Aufgabe. Auch waren OT und IT (Informationstechnologie) früher wenig miteinander verzahnt und in der Regel nicht von den gleichen Schwachstellen betroffen.
Die heutige Situation stellt sich ganz anders dar: Immer mehr Industrieanlagen sind online erreichbar, weil Big Data und smarte Analysesysteme bereitgestellt sowie neue Funktionen und Effizienzgewinne durch technische Integrationen genutzt werden sollen. Dieser Wechsel von geschlossenen auf offene Systeme generiert neue Sicherheitsrisiken, die Bedrohungsakteure aktiv auszunutzen versuchen — oft mit Erfolg.
Der Vernetzungsgrad industrieller Systeme nimmt also zu, und damit wächst auch die Zahl der Schwachstellen. Kommen hier noch veraltete Geräte und Sicherheitsvorschriften, die Änderungen an Geräten verbieten sowie Compliance-Vorschriften für die Bereitstellung sensibler Daten an Dritte hinzu, sehen sich Verantwortliche mit einem riesigen Aufgabenpaket konfrontiert.
Darüber hinaus verfügen externe Anwender, Mitarbeiter, Lieferanten und andere Dienstleister häufig über Remote-Zugriffswege auf OT-Systeme, um Wartungsarbeiten und andere Aktivitäten durchführen zu können. Erschwerend kommt hinzu, dass Drittanbieter und Angestellte im Rahmen von BYOD-Initiativen (Bring Your Own Device) ihre persönlichen Mobilgeräte nutzen oder sich vom heimischen Rechner einwählen. Solche Remote-Verbindungen verwischen die klare Trennung von IT und OT und vergrößern die Angriffsfläche für Hacker.
Für privilegierte Nutzer im Homeoffice oder Drittanbieter werden oft VPNs eingerichtet. Dies ist allerdings nicht empfehlenswert, da VPN-Systeme weder eine granulare Zugriffskontrolle noch eine Session-Überwachung oder IT-Verwaltung ermöglichen. VPN-Verbindungen verschlüsseln die Daten zwischen zwei Standorten, aber sie schränken die Zugriffsmöglichkeiten nicht ein, und genau das ist in sensiblen Umgebungen höchst problematisch — vor allem bei OT-Systemen. Von allen Anwendergruppen stellen privilegierte Nutzer – egal ob Mitarbeiter oder Dienstleister – das größte Risiko dar, wenn Angreifer zu weit gefasste Zugangsrechte missbrauchen, um per Network Lateral Movement vom IT-Netzwerk zum OT- und ICS-System in die Produktionshalle vorzudringen. Einmal im ICS-Netzwerk angekommen, können Hacker betriebstechnische Komponenten überwachen oder manipulieren, Prozesse mitlesen oder Parameter verändern, was sich auf die gesamte Betriebsumgebung negativ auswirkt. So können die Sicherheit von Betriebsmitarbeitern gefährdet, finanzielle Schäden verursacht und Produktionsprozesse gestört werden.
Vier Best-Practice-Empfehlungen für OT-Cybersicherheit
Wie können Unternehmen also eine große Zahl an Dienstleistern, Vertragspartnern und Herstellern sicher anbinden, die von außen auf das Unternehmensnetz zugreifen müssen — ohne Einsatz von VPN und ohne Beeinträchtigung der Prozesse, Betriebsabläufe, Produktivität oder Geschäftsagilität?
Grundvoraussetzung ist, dass Sie jederzeit wissen müssen, wer was wann auf welchem Gerät konfiguriert. Aus Sicherheitssicht ist es dabei entscheidend, dass Sie jederzeit in der Lage sind, die vollständige, granulare Kontrolle über alle Zugriffe zu bewahren – unabhängig davon, ob es sich um Mitarbeiter oder Dienstleister handelt, ob sie vor Ort sind, oder ob eine Remote-Verbindung aufgebaut wird.
Hier sind vier Best-Practice-Empfehlungen für die Betriebssicherheit und zum Schutz von OT-Umgebungen gegen Cyberbedrohungen:
#1 Implementierung eines Zero-Trust-Modells
Das Zero-Trust-Sicherheitsmodell gewinnt an Aufmerksamkeit und Popularität, aber noch setzen die meisten Organisationen auf klassischen Netzwerkschutz durch Perimeter-Sicherheit mit VPNs und anderen Remote-Access-Tools.
Die Absicherung von Netzwerken beginnt immer mit dem Wissen, welche Nutzer und Geräte verbunden sind, und welche Daten abgerufen werden (sollen). Wie bei allen Sicherheitsmodellen gilt das auch für Zero Trust. Eine vollständige Durchsetzung von Zero-Trust-Vorgaben in Ihrem OT-Netzwerk umfasst die folgenden Maßnahmen:
- Netzwerksegmentierung: Trennen Sie Applikationszugriff und Netzwerkzugriff. Das bedeutet, dass Dienstleister und Anbieter nur auf die benötigten Anwendungen und Systeme zugreifen können – ohne komplexe Firewall-Konfigurationen oder VPN-Einsatz.
- Applikationsbezogene Mikrosegmentierung: Verbergen Sie Applikationen vor Nutzern, für die sie keine Zugriffsrechte haben. Neben einem wirksamen Schutz vor böswilligen Insideraktivitäten oder externen Angreifern, verhindert diese Maßnahme auch menschliche Bedienungsfehler, die zu den Hauptursachen für Verletzungen und Systemausfallzeiten zählen.
- Zentrale Visibilität und Zugriffssteuerung: Unterscheiden Sie zwischen Systemen je nach Konnektivität. Aus Automatisierungs-, Effizienz- und Kostengründen sind immer mehr OT-Systeme mit IT-Systemen vernetzt. Die Bereitstellung dieser Systeme nur für autorisierte Nutzer ist eine der wichtigsten Maßnahmen zur Reduzierung von Angriffsmöglichkeiten.
- Überwachung und Protokollierung: Zeichnen Sie alle Remote-Access-Aktivitäten mittels On-Screen-Videomitschnitten oder Tastatur-Logging auf. Die Protokollierung von Sitzungen zählt zu den essenziellen Sicherheits- und IT-Compliance-Maßnahmen.
- Granulare Sitzungskontrolle: Setzen Sie Least-Privilege-Strategien durch und begrenzen Sie die Befehle, die Nutzer ausführen dürfen.
- API-Sicherheit: Schützen Sie die Integrität der Datenflüsse zwischen IoT-Endgeräten und Backend-Systemen. Nur autorisierte Geräte, Entwickler und Apps sollten mit bestimmten APIs überhaupt kommunizieren können.
#2 Die passenden Remote-Access-Tools für unterschiedliche Anwendungsfälle
Mit der großflächigen Verlagerung auf Remote-Arbeit ist die VPN-Nutzung im Vorjahr auf ein Allzeithoch gestiegen. Leider werden VPNs und andere Remote-Access-Technologien wie RDP auch in Anwendungsszenarien eingesetzt, für die sie nicht vorgesehen sind. Innerhalb von OT-Netzwerken sind die potentiellen Risiken dabei am größten. Deshalb verbietet es sich, dass Dienstleister oder Drittanbieter hier über privilegierten Zugriff in Form von VPN- oder RDP-Verbindungen verfügen.
Beim einfachen Remote-Zugriff auf weniger sensible Systeme (wie zum Beispiel E-Mail) reicht eine VPN-Verbindung aus, aber für den Zugriff auf OT- oder IoT-Geräte mangelt es an einer detaillierten Zugriffskontrolle sowie der erforderlichen Sichtbarkeit, Skalierbarkeit und Kosteneffizienz. Bei der VPN-Kommunikation lässt sich der granulare Zugriff unter Einhaltung von Least-Privilege-Vorgaben oder Protokollierung/Verwaltung der Sitzungen nicht durchsetzen, was für die Sicherheit und Überwachung privilegierter Benutzerzugriffe aber unverzichtbar ist.
#3 Unterschiede zwischen IT-Sicherheit und OT-Sicherheit
In vielen Organisationen gibt es Lücken bei Sicherheit und Management, weil die IT-Richtlinien und Servicevereinbarungen für IT-Systeme nicht für eine Umgebung mit Operational Technology ausgelegt sind. Das Sicherheits- und Risiko-Management für OT-Umgebungen lässt sich nun einmal nicht bewerkstelligen, indem herkömmliche IT-Sicherheitsempfehlungen einfach auf ein OT-System übertragen werden. Geht es um den Schutz höchst sensibler Umgebungen, reichen Fernzugriffs- oder IT-Support-Lösungen nicht aus, die ursprünglich für Endverbraucher konzipiert wurden.
Operational Technology wird deutlich länger als Informationstechnologie verwendet. In OT-Umgebungen sind Legacy-Systeme mitunter seit 20 oder 25 Jahren im Einsatz. Dagegen gibt es nur wenig IT-Equipment, das länger als fünf Jahre eingesetzt wird. Folge: Viele OT-Geräte sind veraltet, und es gibt für sie keine Patches, bzw. sie lassen sich aufgrund geringer Rechenleistung nicht mehr einspielen.
In der IT haben sich Sicherheitsmaßnahmen zur Gefahrenabwehr über Jahrzehnte hinweg etabliert. Effektives Risikomanagement ist indes eine generelle Anforderung. Organisationen müssen also auch Lösungen und Strategien entwickeln, die auf die speziellen Anforderungen ihrer OT-Umgebungen ausgerichtet sind.
#4 Robuste Schutzmaßnahmen für das Management von Zugangsprivilegien — keine Weitergabe von Passwörtern!
Der Missbrauch von Passwörtern ist in OT-Umgebungen eine häufig anzutreffende Problematik und zählt zu den Hauptursachen für Sicherheitsverstöße. Oft werden Anmeldeinformationen intern oder extern einfach weitergegeben. Hinzu kommt, dass Zugriffsrechte nicht auf bestimmte Netzwerkgeräte oder -segmente beschränkt sind.
Reduzieren Sie die Risiken beim Einsatz privilegierter Zugangsdaten in Ihrer OT-Umgebung, indem Sie den Zugriff auf privilegierte Kontenkennwörter und SSH-Schlüssel schützen. Implementieren Sie eine Enterprise-Lösung für die Verwaltung privilegierter Anmeldeinformationen, um die vollständige Kontrolle über den System- und Anwendungszugriff durch Live Session Management zu bekommen. So können Administratoren verdächtige Aktivitäten erkennen, aufzeichnen und dokumentieren, Sitzungen sperren oder beenden. Eingebettete Kennwörter und Standardpasswörter sollten vermieden und stattdessen ein aktives, zentrales Passwortmanagement ermöglicht werden.
Höchstes Cybersicherheitsniveau mit BeyondTrust in OT-Umgebungen
BeyondTrusts PAM-Lösungen bieten OT-Sicherheitsmanagern die passenden Tools, die sie für die Verwaltung privilegierter Zugriffe in einer anspruchsvollen OT-Umgebung benötigen.
Sie wollen mehr über die sicherste und umfassendste Remote-Support-Lösung für Mitarbeiter und Dienstleister erfahren? Sie möchten eine Least-Privilege-Strategie in Ihrer OT-Umgebung durchsetzen und konsequent alle privilegierten Anmeldeinformationen und Secrets schützen? Nehmen Sie Kontakt mit uns auf!
