Vier Best Practices für die OT-Sicherheit

Operational Technology (OT) bezeichnet Software und Hardware, die für die Verwaltung, Überwachung und Steuerung von Industriegeräten verwendet wird. OT umfasst unter anderem Steuerungs- und Datenerfassungssysteme für Industrieanlagen (SCADA, Supervisory Control and Data Acquisition), industrielle Steuerungssysteme (ICS, Industrial Control Systems) und verteilte Steuerungssysteme (DCS, Distributed Control System). Rettungsdienste, Wasseraufbereitungsanlagen, Verkehrsmanagement und andere kritische Infrastrukturen sind für einen ordnungsgemäßen Betrieb auf OT-Lösungen angewiesen. Immer häufiger sind OT-Systeme mit dem Internet verbunden und zählen damit zur Cyberwelt.

Cyberangriffe auf kritische OT-Infrastrukturen nehmen rapide zu, wie aktuelle Zahlen belegen. Laut einer neuen Fortinet-Umfrage erlebten 75 Prozent der Unternehmen im vergangenen Jahr mindestens einen unerlaubten Zugriff auf ihre OT-Umgebungen. Fast ein Drittel der Befragten gab an, im vergangenen Jahr Opfer einer Ransomware-Attacke geworden zu sein. Und 32 Prozent der Angriffe betrafen dabei sowohl IT- als auch OT-Systeme.

Darum steigen die Cyberrisiken für OT-Systeme

Link copied

Die Vernetzung der industriellen mit der digitalen Welt der Informationstechnologie verstärkt diesen Trend und vergrößert Sicherheitsrisiken und Angriffsflächen. Gleichwohl ist die Trennung von IT- und OT-Netzen keine Option. Immer mehr industrielle Systeme werden mit Big-Data- und intelligenten Analysesystemen verbunden, um durch die technologische Integration neue Funktionen und Effizienzsteigerungen zu realisieren.

Viele Bestandteile der OT-Infrastruktur bestehen aus spezialisierten Geräten und Software, bei denen der primäre Fokus nicht auf der Abwehr von Cyberangriffen lag. Diese Systeme in OT-Umgebungen treffen nun auf das Internet der Dinge (IoT) und das Industrial Internet of Things (IIoT). Den Endpunkten fehlt mitunter sogar ein funktionsfähiges Betriebssystem oder schlicht die notwendige Rechenleistung, um Sicherheitslösungen wie Antivirensoftware auszuführen.

Mit der wachsenden Vernetzung werden industrielle Systeme auch anfälliger für Schwachstellen. Die Herausforderungen sind immens, auch ältere Geräte auf dem neuesten Stand zu halten und gesetzliche Sicherheits- und Datenschutzvorschriften einzuhalten.

Darüber hinaus greifen IT-Dienstleister, Mitarbeiter, Lieferanten und Auftragnehmer häufig aus der Ferne auf OT-Systeme zu, um erforderliche Wartungsarbeiten und andere Aufgaben durchzuführen. Setzen diese Remote-Nutzer private Endgeräte in unzureichend geschützten Heimnetzwerken ein, erweitert sich die Angriffsfläche zusätzlich. Die Folge: Hacker finden neue Einstiegspunkte vor, die sie ausnutzen können.

Ein anderes Problem tritt bei Organisationen auf, die VPNs für den privilegierten Zugriff von Remote-Mitarbeitern oder Drittanbietern einsetzen. Virtual Private Networks verfügen nicht über granulare Zugriffskontrollen und lassen keine Kontrolle oder Verwaltung der Sitzungen zu. Die verschlüsselten Netzwerkverbindungen zwischen zwei Punkten sind zwar abhörsicher, aber der im VPN erlaubte Zugriff ist uneingeschränkt. Das ist für jede Umgebung gefährlich und betrifft insbesondere den sicheren Betrieb geschäftskritischer OT-Systeme.

Das größte Risiko stellen aber privilegierte Benutzer dar – also Mitarbeiter oder externe Nutzer mit erhöhten Berechtigungen. Zu weit gefasste Nutzerrechte in den falschen Händen begünstigen Seitwärtsbewegungen im IT-Netzwerk, so dass Unbefugte auch OT- und ICS-Systeme in der Produktion ins Visier nehmen können. Haben Hacker erst einmal Zugriff auf ein ICS-Netzwerk, können sie Betriebskomponenten überwachen und manipulieren. Mögliche Folgen sind Fehlfunktionen, Sicherheitsgefahren für das Anlagenpersonal oder finanzielle Verluste durch Komplettausfälle oder Störungen der Produktion.

Vier Best-Practice-Empfehlungen für die OT-Sicherheit

Link copied

Wie können Unternehmen Best Practices für die OT-Sicherheit umsetzen, wenn eine große Anzahl von Betreibern, Auftragnehmern und Anbietern sich aus der Ferne mit dem Unternehmensnetz verbindet? Der VPN-Einsatz verbietet sich ebenso wie mögliche Beeinträchtigungen der Produktionsabläufe oder Einschränkungen der geschäftlichen Agilität. OT-Sicherheit sollte eine vollständige und granulare Kontrolle aller lokalen Aktivitäten und Fernzugriffe beinhalten – unabhängig davon, ob es sich um einen Mitarbeiter oder einen Lieferanten handelt.

1. Implementierung eines Zero-Trust-Sicherheitskonzepts

Die Sicherung von Netzwerken basiert darauf, dass alle verbundenen Benutzer, Geräte und Datenströme analysiert werden. Dies ist eine Grundvoraussetzung für jedes IT-Sicherheits-Framework – einschließlich Zero Trust. Für die Umsetzung des Zero-Trust-Modells im OT-Netzwerk müssen die folgenden Sicherheitskontrollen implementiert werden:

• Netzwerksegmentierung ermöglicht den Zugriff auf Applikationen, ohne uneingeschränkten Netzwerkzugriff gestatten zu müssen. Drittanbieter und Dienstleister können nur auf diejenigen Anwendungen und IT-Systeme zugreifen, die sie tatsächlich benötigen — ohne komplexe Firewall-Konfigurationen oder VPNs.
• Mikrosegmentierung auf der Anwendungsebene verhindert, dass Benutzer andere Anwendungen sehen, für die sie keine Zugriffsberechtigung haben. Neben dem Schutz vor böswilligen Insider-Angriffen oder externen Bedrohungsakteuren können IT-Umgebungen so auch vor menschlichen Bedienungsfehlern geschützt werden— einer der Hauptursachen für Sicherheitsverletzungen und Systemausfälle.
• Zentrale Sichtbarkeit und Zugriffe auf unterschiedliche IT-Systeme erfordern unterschiedliche Verbindungsmethoden. Durch die Integration von OT- und IT-Systemen entstehen Vorteile bei der Automatisierung sowie Effizienz- und Kostengewinne, aber sie lassen sich nur realisieren und neue Angriffsmöglichkeiten vermeiden, wenn die betreffenden Systeme auch für autorisierte Benutzer einsehbar und über das Internet erreichbar sind.
• Überwachung und Aufzeichnung aller Remote-Access-Aktivitäten durch Bildschirm-Videoaufzeichnungen. Zur Einhaltung von Sicherheits- und IT-Compliance-Vorgaben ist die Überwachung von Sessions unverzichtbar.
• Granulare Kontrolle über die Sitzungen zur Durchsetzung des Prinzips der geringsten Rechte und Einschränkung von Befehlen, die von maschinellen Identitäten oder Benutzern ausgeführt werden. API-Sicherheit: Der Schutz von APIs ist wichtig, um die Integrität von Daten zu gewährleisten, die zwischen IoT-Geräten und Back-End-Systemen ausgetauscht werden. Nur autorisierte Geräte, Entwickler und Apps sollten mit bestimmten APIs kommunizieren dürfen.

2. Einsatz von Remote-Access-Tools

Die digitale Transformation betrifft die unterschiedlichsten Technologien und es wird daher immer unwahrscheinlicher, dass Industrie- und Anlagenbetreiber ihre OT-Systeme direkt vor Ort abgeschottet betreiben können. VPN- und RDP-Technologien eignen sich für den Fernzugriff auf OT- und Zero-Trust-Umgebungen allerdings nicht — insbesondere bei privilegierten Zugriffen und Remote-Access-Verbindungen von Drittanbietern.

VPNs sind zwar für den einfachen Remote-Zugriff von Mitarbeitern beispielsweise beim E-Mail-Einsatz ausreichend, aber es mangelt an granularen Zugriffskontrollen, Visibilität, Skalierbarkeit und Kosteneffizienz, wenn sicherheitsrelevante Fernzugriffe durch Drittanbieter oder Remote-Benutzer auf OT/IoT-Geräte erforderlich sind. VPNs bieten weder granulare Zugriffsmöglichkeiten noch Least-Privilege-Vorgaben oder Session-Management, um die Sicherheit und Überwachung von privilegierten Benutzerzugriffen kontrollieren zu können.

3. Unterschiede zwischen IT- und OT-Sicherheit verstehen

IT-Richtlinien und Servicevereinbarungen zur Verwaltung von IT-Systemen beziehen in den meisten Unternehmen nicht die operative Technologieumgebung mit ein, so dass Sicherheits- und IT-Managementlücken entstehen. Diese Lücken in OT-Umgebungen lassen sich nicht schließen, indem man einfach grundsätzliche IT-Sicherheitsempfehlungen auf OT-Systeme überträgt. Es wäre fatal, sich auf herkömmliche Fernzugriffs-, Remote-Support- und andere IT-Lösungen zu verlassen, die nicht auf den Schutz hochsensibler Umgebungen ausgerichtet sind.

Die Intervalle beim Austausch von OT-Technologie sind deutlich länger als in der IT. Legacy-Systeme können in einigen OT-Umgebungen bis zu 25 Jahre im Einsatz bleiben. In der IT-Welt bleiben die meisten Geräte dagegen selten länger als fünf Jahre im produktiven Betrieb. Im Ergebnis führt das zu Umgebungen mit veralteten Endpunkten, für die entweder keine Patches verfügbar sind oder sich Aktualisierungen aufgrund von einschränkten Systemressourcen nicht einspielen lassen.

IT-Abteilungen konnten über Jahrzehnte hinweg ihre Sicherheitsvorkehrungen optimieren und die Gefährdungslage minimieren. Für ein effektives Risikomanagement in OT-Umgebungen sind dementsprechend unterschiedliche Lösungen und Strategien mit ganz spezifischen Anforderungen erforderlich. Eine Folge von IT-OT-Konvergenz ist dabei, dass OT-Systeme genauso wenig auf die Bedrohungen einer hypervernetzten Welt vorbereitet sind wie IT-Umgebungen auf Gefährdungen oder Sicherheitsverstöße aus dem OT-Umfeld.

4. Robustes Privileged Identity Management

Passwortmissbrauch ist auch in OT-Umgebungen weit verbreitet und zählt zu den Hauptgründen für Sicherheitsverletzungen. Häufig werden Anmeldeinformationen untereinander ausgetauscht, wobei der Zugriff nicht auf bestimmte Netzwerkgeräte oder -segmente beschränkt bleibt. Minimieren Sie OT-Risiken, die mit der Kompromittierung privilegierter Anmeldeinformationen verbunden sind, indem Sie eine starke IT-Governance für den Zugriff auf privilegierte Kontokennwörter und SSH-Schlüssel durchsetzen.

Implementieren Sie eine Enterprise-Lösung für Privileged Access Management zur vollständigen Kontrolle von privilegierten Anmeldeinformationen. Auf diese Weise lassen sich System- und Anwendungszugriffe sowie Sessions überwachen und protokollieren, damit IT-Administratoren verdächtiges Verhalten rechtzeitig erkennen, blockieren und Sitzungen im Bedarfsfall beenden können. Standardmäßig sollten eingebettete Passwörter unterbunden und im Rahmen einer aktiven, zentralen IT-Verwaltung kontrolliert werden.

OT-Sicherheit von BeyondTrust

Link copied

BeyondTrust Privileged Access Management (PAM) gibt OT-Sicherheitsverantwortlichen die erforderlichen IT-Werkzeuge an die Hand, die sie für den Zugriffsschutz und die Sicherheit von Endpunkten (IoT, IIoT, Benutzergeräte, Server usw.) in anspruchsvollen OT-Umgebungen benötigen.

Unsere Kunden setzen BeyondTrust-Lösungen ein, um ihre OT-Umgebung zu sichern und eine Zero-Trust-Architektur mit folgenden Vorteilen einzurichten:

• Vollständige Transparenz und Kontrolle über den OT-Fernzugriff
• Netzwerksegmentierung und Mikrosegmentierung zur Begrenzung von Lateral-Movement-Risiken
• Onboarding und Management aller privilegierten Identitäten, Konten und Anmeldeinformationen (Passwörter, SSH-Schlüssel, Secrets etc.)
• Least-Privilege-Vorgaben für Zugriffe, Endpunkte und Sitzungen (einschließlich OT-Kontrollserver und -Workstations
• Einhaltung von Best Practices zur Absicherung der Anbieterzugriffe, Verwaltung von Anmeldeinformationen, Durchsetzung des Prinzips der geringsten Rechte und Sitzungsmanagement

Dieser kombinierte Ansatz schützt OT-Zugriffe, härtet die Umgebung, reduziert die Angriffsfläche und minimiert interne und externe Bedrohungen.

Erfahren Sie auf unserer Webseite mehr über OT-Sicherheitslösungen oder kontaktieren Sie uns direkt.