OT-Segmentierungsdrift: Wenn Firewall-Regeln nicht mehr der Realität entsprechen

OT-Segmentmdetation iwird in der Regel sorgfältig konzipiert. Die schwierigere Aufgabe besteht darin, sicherzustellen, dass Wartungsarbeiten, Inbetriebnahmen und betriebliche Änderungen diese nicht nach und nach untergraben.

OT-Segmenttation changes über Zeit. LrLernewie firVerlängerungl exaußerAusnahmen, BeibehaltungeWartung ZZugang, und undokumentierte Verbindungen führen zu Segmentierungsabweichungen in industriellen Netzwerken. 

A Brandwall-Regel tsagt dir, what trafist permitted. Es does keinet tell du whther esehr erlaubt VerbindungtVerbindung ist immer noch erforderlich.

Projekte zur Netzwerksegmentierung enden in der Regel mit einer beruhigenden Botschaft. 

Die Zonen wurden definiert, die Firewall-Regeln überprüft und die Kommunikationswege getestet. Der Produktivbetrieb läuft, die Dokumentation wurde aktualisiert und die endgültige Architektur entspricht den Sicherheitsanforderungen des Unternehmens. Für einen bestimmten Zeitraum sind das Design und die Betriebsumgebung eng aufeinander abgestimmt. 

Dann geht der normale Arbeitsalltag wieder weiter. 

Ein Lieferant benötigt Zugriff, um sporadisch auftretende Störungen an einer Abfüllanlage zu diagnostizieren. Ein neues Historien-System wird an mehrere Produktionsbereiche angeschlossen. Ein Engineering-Arbeitsplatz wird im Rahmen einer Modernisierung verlegt. Eine Ausnahme in der Firewall wird eingerichtet, da eine Wartungsmaßnahme länger dauert als erwartet. Eine weitere Regel wird vorübergehend gelockert, um eine Anlage noch vor Beginn der Frühschicht wieder in Betrieb zu nehmen. 

Die meisten dieser Änderungen haben einen berechtigten betrieblichen Grund. Einige sind sorgfältig dokumentiert. Andere werden in einem Ticket festgehalten, das kaum jemand noch einmal aufruft, sobald das unmittelbare Problem behoben ist. 

Mit der Zeit beginnen die Architektur auf dem Papier und die im Netzwerk beobachtete Kommunikation voneinander abzuweichen. 

Das Segmentierungsprojekt ist nicht gescheitert. Es steht vor der weniger offensichtlichen Herausforderung, die auf jede erfolgreiche Umsetzung folgt: die Steuerung an ein Umfeld anzupassen, das sich ständig verändert. 

Wie temporärer Zugang Teil der Architektur wird

Nehmen wir als Beispiel einen Produktionsstandort, der sich auf eine geplante Stilllegung am Wochenende vorbereitet. 

Ein OEM benötigt Fernzugriff, um Geräte an einer Verpackungslinie zu aktualisieren. Da die bestehende Verbindung eines der erforderlichen Engineering-Systeme nicht erreicht, wird eine vorübergehende Firewall-Regel genehmigt. Der Geltungsbereich ist zwar weiter gefasst, als es die langfristige Richtlinie normalerweise zulassen würde, doch das Wartungsfenster ist kurz und mehrere Spezialisten warten darauf, mit ihrer Arbeit beginnen zu können. 

Das Update dauert länger als erwartet. Die Produktion läuft verspätet wieder an, und oberste Priorität hat nun die Überprüfung, ob die Anlage ordnungsgemäß funktioniert. Die vorübergehende Regelung bleibt bestehen, für den Fall, dass der Anbieter im Laufe der kommenden Woche erneut eine Verbindung herstellen muss. 

Der Anbieter stellt einmalig die Verbindung wieder her. Danach wird die Regel nicht mehr verwendet, aber niemand entfernt sie. 

Auch Monate später zeigt das dokumentierte Segmentierungsmodell noch immer einen kontrollierten Wartungspfad. Die Firewall-Richtlinie lässt nun deutlich mehr Kommunikation zu. Da kein aktiver Datenverkehr regelmäßig auf die Regel aufmerksam macht, bleibt der Unterschied unbemerkt. 

Das ist eine Segmentationsabweichung in ihrer gewöhnlichsten Form. Es gibt weder einen einzelnen schwerwiegenden Fehler noch eine absichtliche Schwächung der Sicherheit. Eine vernünftige Ausnahme hat einfach ihre Gültigkeit überdauert, die sie ursprünglich gerechtfertigt hat. 

Ähnliche Veränderungen ergeben sich durch Modernisierungen der Produktionslinien, Notfallmaßnahmen zur Fehlerbehebung, MES-Integrationen und die Inbetriebnahme neuer Anlagen. Die beabsichtigten Grenzen bleiben in Diagrammen und Richtlinien dokumentiert, während die tatsächlichen Grenzen immer lockerer werden. 

„Erlaubt“ bedeutet nicht „erforderlich“

Firewall-Überprüfungen sind ein wichtiger Bestandteil der Segmentierungssteuerung. Dabei lassen sich zu weit gefasste Regeln, doppelte Einträge, ungenutzte Objekte und Richtlinien identifizieren, die nicht mehr der genehmigten Architektur entsprechen. 

Eine Regelbasis beschreibt jedoch in erster Linie, was die Firewall zulässt. Sie gibt keinen Aufschluss darüber, welche der zugelassenen Verbindungen tatsächlich genutzt werden, ob diese Verbindungen noch einem betrieblichen Zweck dienen oder wann sich ihr Verhalten geändert hat. 

Angenommen, eine Regel erlaubt die Kommunikation von einem Techniknetzwerk zu einer Gruppe von Steuerungen. Dabei bleiben noch einige Fragen offen: 

• Sind alle Controller noch erreichbar? 

• Beschränkt sich die Kommunikation auf festgelegte Protokolle und Wartungszeiträume? 

• Werden diese Regeln nun auch von neuen Systemen angewendet? 

• Bleibt die Verbindung auch außerhalb der genehmigten Arbeitszeiten aktiv? 

• Ist diese Regel überhaupt notwendig, oder hat sich der zugrunde liegende Prozess geändert? 

Eine Richtlinie kann technisch korrekt, aber in der Praxis überholt sein. 

Auch das Gegenteil ist möglich. Die beobachtete Kommunikation kann legitim sein, obwohl die Dokumentation noch nicht an eine kürzlich erfolgte Produktionsänderung angepasst wurde. In diesem Fall liegt das Problem nicht unbedingt im Datenverkehr. Das Unternehmen muss entscheiden, ob es das genehmigte Design aktualisieren, den Kommunikationsweg ändern oder eine geeignetere Kontrollmaßnahme einführen will. 

Bei der kontinuierlichen Validierung geht es daher nicht darum, jede Abweichung aufzuspüren, die unterbunden werden sollte. Vielmehr handelt es sich um eine Methode, um Unterschiede zu erkennen, die eine fundierte Entscheidung erfordern. 

Die Grenzen der jährlichen Bestandsaufnahme

Viele Unternehmen überprüfen die OT-Segmentierung im Rahmen eines Audits, einer umfassenden Architekturprüfung oder der nächsten Phase eines Sicherheitsprogramms. Diese punktuellen Überprüfungen können sehr gründlich sein. Dabei werden Netzwerkdiagramme, Firewall-Konfigurationen, Bestandsaufnahmen der Anlagen und lokales technisches Fachwissen zusammengeführt. 

Das Problem liegt nicht in der Qualität der Überprüfung, sondern im zeitlichen Abstand zwischen den Überprüfungen. 

Ein Netzwerk kann im März geprüft werden und sich im April ändern. Bis zum Beginn der nächsten Prüfung hat die Organisation bereits monatelang mit Kommunikationswegen gearbeitet, die nie Teil der validierten Momentaufnahme waren. 

Dies ist von Bedeutung, da eine Segmentierung nicht allein aufgrund der Existenz der Architektur einen Mehrwert bietet. Ihr Nutzen liegt darin, die Kommunikation einzuschränken und die Möglichkeiten für unbeabsichtigten Zugriff oder laterale Bewegung zu verringern. 

Wenn sich das Umfeld ständig verändert, muss das Vertrauen in die Steuerung auf mehr beruhen als nur auf ihrer ursprünglichen Konzeption. 

Beobachtete Netzwerk-Metadaten eröffnen eine weitere Perspektive. Sie können aufzeigen, welche Systeme über Grenzen hinweg kommunizieren, wann eine neue Verbindung erstmals auftrat und ob vorübergehende Aktivitäten nach einem Wartungsfenster fortgesetzt wurden. Im Vergleich zu den vorgesehenen Richtlinien liefert dies einen fortlaufenden Hinweis darauf, wo Design und Verhalten nicht mehr übereinstimmen. 

Nicht jede Abweichung erfordert eine Warnmeldung. Manche sind zu erwarten und nur vorübergehend. Das Ziel besteht darin, aussagekräftige Abweichungen sichtbar zu machen, bevor sie sich im normalen Betriebsablauf festsetzen. 

Validierung ohne Produktionsunterbrechung

OT-Teams sind verständlicherweise zurückhaltend, was das Testen der Segmentierung angeht. 

In einer IT-Umgebung kann ein Team möglicherweise eine Verbindung unterbrechen und beobachten, was dadurch nicht mehr funktioniert. In der Fertigung könnte dasselbe Experiment jedoch die Produktion unterbrechen, die Produktqualität beeinträchtigen oder einen sicherheitsrelevanten Prozess stören. Selbst wenn die erwartete Abhängigkeit einfach erscheint, können Altsysteme und undokumentierte Schnittstellen für Überraschungen sorgen. 

Passive Beobachtung bietet eine sicherere Möglichkeit, Vertrauen aufzubauen, bevor eine Richtlinie geändert wird. 

Ein Team, das die Kommunikation zwischen zwei Produktionsbereichen einschränken möchte, kann zunächst den Datenverkehr über einen repräsentativen Zeitraum hinweg untersuchen, der die Grenze zwischen den Bereichen überquert. Dies kann den normalen Produktionsbetrieb, Schichtwechsel, Wartungsarbeiten und Chargenwechsel umfassen. Das Ziel besteht nicht lediglich darin, Quell- und Zieladressen aufzulisten, sondern zu verstehen, welche Datenströme den betrieblichen Prozessen entsprechen. 

Die Überprüfung könnte Folgendes ergeben: 

• Regelmäßige Kommunikation, die vom MES oder Historian gefordert wird 

• Zeitweise Bauverkehr während geplanter Wartungsarbeiten 

• In den aktuellen Diagrammen fehlende Alt-Abhängigkeiten 

• Anbieterverbindungen, die über die genehmigten Zeitfenster hinaus aktiv bleiben 

• Protokolle, die eine Grenze überschreiten, für die kein eindeutiger Eigentümer ermittelt werden kann 

Die daraus resultierende Änderung an der Firewall kann dann gezielter und fundierter erfolgen. Nach der Umsetzung lässt sich anhand des beobachteten Datenverkehrs überprüfen, ob die erwartete Kommunikation weiterhin stattfindet und keine unzulässigen Verbindungen mehr auftreten. 

Die Validierung erfolgt sowohl vor als auch nach der Änderung der Richtlinie.

Ein als technisches Problem getarntes Governance-Problem

Die Segmentierungsabweichung wird oft als Problem der Firewall-Verwaltung diskutiert. In der Praxis ist sie jedoch ebenso eine Frage der Zuständigkeit. 

OT-Betrieb, Netzwerkteams, IT-Sicherheit, Gerätehersteller und Compliance-Abteilungen können alle Einfluss darauf nehmen, wie sich Produktionsnetzwerke verändern.
Ihre Zuständigkeiten überschneiden sich, doch ihre Prioritäten unterscheiden sich. 

Ein Werksingenieur, der einen vorübergehenden Zugriff genehmigt, konzentriert sich auf die Wiederherstellung oder Aufrechterhaltung der Produktion. Das Netzwerkteam, das die Regel umsetzt, benötigt eine technisch präzise Anfrage. Die Sicherheitsabteilung möchte die dadurch entstehende Sicherheitslücke nachvollziehen können. Die Compliance-Abteilung benötigt möglicherweise später Nachweise dafür, dass die Ausnahme genehmigt und wieder aufgehoben wurde. 

Probleme treten auf, wenn niemand die Verantwortung für den gesamten Lebenszyklus der Änderung übernimmt. 

Ein praxisorientiertes Ausnahmeverfahren sollte Folgendes festlegen: 

• Warum diese Änderung erforderlich ist 

• Welche Systeme und Kommunikationswege davon abgedeckt werden 

• Wer hat das genehmigt? 

• Wann sie auslaufen oder überprüft werden sollte 

• Wie die Organisation bestätigen wird, dass es entfernt wurde 

• Wer entscheidet, ob eine vorübergehende Änderung dauerhaft werden soll? 

Ablaufdaten sind zwar hilfreich, reichen aber allein nicht aus. Eine Regel kann entfernt werden, während ein anderer Pfad die Kommunikation weiterhin ermöglicht. Umgekehrt kann eine Verbindung bestehen bleiben, weil sich der Produktionsprozess tatsächlich geändert hat und die Dokumentation nun aktualisiert werden muss. 

Die Validierung sollte den Änderungsdatensatz mit dem abgleichen, was anschließend im Netzwerk angezeigt wird.

Wenn niemand den Zusammenhang erkennt

Einer der schwierigsten Befunde bei einer Segmentierungsprüfung ist nicht unbedingt eine offensichtlich unzulässige Verbindung. Es handelt sich vielmehr um eine Verbindung, deren Zweck kein Team erklären kann. 

Die Netzwerkgruppe bestätigt, dass der Datenverkehr zulässig ist. Die Sicherheitsabteilung findet keine entsprechende Ausnahme und keine kürzlich vorgenommene Änderung. Das lokale OT-Team erkennt die Geräte zwar, weiß aber nicht, warum diese miteinander kommunizieren müssen. Der Gerätehersteller, der das System ursprünglich in Betrieb genommen hat, bietet möglicherweise keinen Support mehr dafür an. 

Den Pfad sofort zu blockieren, könnte riskant sein. Ihn zu ignorieren, lässt eine ungeklärte Abhängigkeit oder Sicherheitslücke bestehen. 

Der historische Kontext kann die Unsicherheit verringern. Wann trat die Verbindung zum ersten Mal auf? Ist sie kontinuierlich oder auf bestimmte Produktionszustände beschränkt? Begann sie im Zusammenhang mit einem bekannten Upgrade oder Wartungsvorgang? Welches System initiiert die Kommunikation? Ändert sich der Datenverkehr, wenn eine bestimmte Leitung in Betrieb ist? 

Die Antworten lösen das Problem zwar möglicherweise nicht automatisch, bieten den Ingenieuren jedoch eine sicherere Grundlage für Tests und Abhilfemaßnahmen. Ein unzureichend verstandener Zusammenhang wird so zu einer klar abgegrenzten Untersuchung statt zu einer endlosen Debatte. 

Das ist ein wichtiger Vorteil der kontinuierlichen Segmentvalidierung. Sie deckt nicht nur Verstöße gegen Richtlinien auf, sondern hilft Unternehmen auch dabei, betriebliches Wissen wiederzugewinnen, das im Laufe der Zeit verloren gegangen ist. 

Beweise dafür, dass die Steuerung noch funktioniert

Die Segmentierung spielt in vielen industriellen Sicherheitsarchitekturen eine zentrale Rolle und ist für Rahmenwerke wie die Norm IEC 62443 von Bedeutung. Der Nachweis der Segmentierung darf sich jedoch nicht ausschließlich auf das Vorhandensein von Zonen, Leitungen und Firewall-Richtlinien stützen. 

Unternehmen müssen zunehmend nachweisen, dass die implementierten Kontrollmaßnahmen dem aktuellen Geschäftsbetrieb entsprechen. 

Zu den nützlichen Beweisen könnten gehören: 

• Über definierte Zonengrenzen hinweg beobachtete Kommunikation 

• Neue oder geänderte Verbindungen im Zeitverlauf überprüft 

• Vorübergehende Ausnahmen und deren spätere Aufhebung 

• Abweichungen von den genehmigten Richtlinien und den getroffenen Entscheidungen 

• Historische Daten, die aufzeigen, wie sich die Segmentierung während eines Vorfalls oder eines Prüfungszeitraums verhalten hat 

Dadurch wird die Segmentierung von einem gestalterischen Anspruch zu einem Kontrollmechanismus, der überprüft und nachgewiesen werden kann. 

Wir bei Exeon betrachten Netzwerk-Metadaten als eine praktische Quelle für diese Art der Validierung. Sie können Firewall-Richtlinien und bestehende OT-Sicherheitsplattformen ergänzen, indem sie aufzeigen, wie die Systeme im Laufe der Zeit tatsächlich miteinander kommunizieren. Das Ziel besteht nicht darin, die Architektur oder die zu ihrer Durchsetzung eingesetzten Tools zu ersetzen, sondern Änderungen und Abweichungen leichter erkennbar zu machen. 

Ein Segmentierungsprogramm kann mit einem dokumentierten Zielzustand abgeschlossen werden. Die Segmentierung selbst erreicht jedoch niemals einen dauerhaften Endzustand. 

Produktionsumgebungen werden sich auch weiterhin verändern, und manchmal ist dies sogar notwendig. Der Zweck der kontinuierlichen Validierung besteht nicht darin, diese Entwicklung zu verhindern. Vielmehr soll damit sichergestellt werden, dass jede wesentliche Änderung sichtbar wird, verstanden wird und entweder genehmigt oder korrigiert wird. 

Die Segmentierung ist keine einmalige architektonische Entscheidung. Es handelt sich um eine Steuerungsmaßnahme, deren Wirksamkeit sich je nach Umfeld ändert.

Die wichtigsten Erkenntnisse

• Die OT-Segmentierung verändert sich schrittweise, da durch Wartungs-, Inbetriebnahme- und Produktionsanforderungen neue Verbindungen und Ausnahmen hinzukommen. 

• Firewall-Richtlinien legen fest, was zulässig ist, geben jedoch keinen Aufschluss darüber, ob jede zulässige Verbindung auch betrieblich notwendig ist. 

• Stichtagsbasierte Überprüfungen können keine Abweichungen erkennen, die zwischen den einzelnen Bewertungen auftreten und fortbestehen. 

• Durch passive Beobachtung können Teams Abhängigkeiten überprüfen, bevor sie Regeln ändern, und das Ergebnis anschließend bestätigen. 

• Die Segmentverschiebung ist zudem ein Governance-Thema, das eine klare Zuständigkeit für Ausnahmen, Überprüfungen und dauerhafte Richtlinienänderungen erfordert. 

Weiterlesen

OT-Sicherheit ohne zusätzlichen Aufwand

Wie kann Organisationtions kontinuously validate Segmentation without zusätzlichestörende Tests oder ein anderes komplexes Sicherheitsprogramm einzuführen? 

Laden Sie das Whitepaperherunter OT-Sicherheit ohne hohen Aufwand und erfahren Sie, wie passiveund sichtbareSichtbarkeit die SegmentierungValidierung, historischehistorische Belege sowie die operative Widerstandsfähigkeit in industriellen Umgebungen.

Leitfaden zur Bewertung der OT-Sicherheit

Das OO-T-Security Evaluation Leitfaden bietet praktischeeinenKriterien fürorassessing , ober duoderOrganOrganisation die geplante Segmentierung mit obeobachtenbeobachteten, manNachricht eAusnahmenund demonstRate dass contKontrollenaim Grundetüber diei.