„ OT “Sichtbarkeitslücke: Warum „ Compliance “ damit beginnt, dein Netzwerk zu betrachten

Industrielle Umgebungen unterliegen einem ständigen Wandel. Solange Sicherheitsteams nicht nachvollziehen können, wie sich Ressourcen und Kommunikationswege entwickeln, beruhen Segmentierung, Reaktion auf Sicherheitsvorfälle und die Einhaltung von Vorschriften weiterhin teilweise auf Annahmen. 

Erfahren Sie, warum Visibilität im OT-Bereich die Grundlage für eine effektive Segmentierung, die Reaktion auf Sicherheitsvorfälle und die nachweisbare Einhaltung der Vorschriften gemäss NIS2, KRITIS und IEC 62443 bildet.

Eine Firewall-Regel legt fest, was zulässig ist. Die beobachtete Netzwerkkommunikation zeigt, was tatsächlich geschieht. Die Sicherheit der Betriebstechnik hängt davon ab, diesen Unterschied zu verstehen.

Betritt man einen OT-Sicherheitsworkshop, dreht sich die Diskussion in der Regel schon innerhalb der ersten paar Minuten um Technologien. Netzwerksegmentierung, industrielle Firewalls, Fernzugriff, Asset-Erfassung und Erkennungsplattformen sind bekannte Themen. Sie sind unverzichtbare Bestandteile einer ausgereiften Sicherheitsarchitektur. 

Aber oft mischen sie sich zu früh in das Gespräch ein. 

Bevor eine Organisation entscheidet, wo eine weitere Kontrollmassnahme eingeführt werden soll, muss sie ein zuverlässiges Verständnis des Umfelds haben, das durch diese Massnahme geschützt werden soll. Die meisten OT-Führungskräfte würden diesem Grundsatz zustimmen. Nur wenige von ihnen können jedoch mit Sicherheit sagen, dass ihre Anlagenverzeichnisse, Netzwerkdiagramme und Kommunikationspläne noch immer die tatsächlichen Gegebenheiten an allen Produktionsstandorten widerspiegeln. 

Diese Lücke ist selten auf mangelhafte Governance zurückzuführen. Industrielle Umgebungen verändern sich einfach schneller als ihre Dokumentation. 

Eine Verpackungsanlage wird in Betrieb genommen. Ein Engineering-Arbeitsplatz bleibt auch nach Abschluss des Projekts verbunden. Ein OEM erhält während eines Stillstandszeitraums Fernzugriff. Ein älteres Windows-System erhält eine neue Schnittstelle zum Manufacturing Execution System (MES). Firewall-Regeln werden angepasst, um ein dringendes Produktionsproblem zu beheben, und anschliessend nie vollständig überprüft. 

Jede Änderung mag – für sich genommen – sinnvoll sein. Mit der Zeit weicht die tatsächlich betriebene Umgebung jedoch zunehmend von der Umgebung, wie sie vorgesehen war, ab. 

Compliance Entspricht der betrieblichen Realität

Viele Vorbereitungen für „ compliance “ beginnen nach wie vor mit der Dokumentation. Die Teams update die asset Inventur , prüfen Netzwerkdiagramme, überarbeiten Richtlinien und kontrollieren, ob Vorfall die Reaktionsverfahren vollständig sind. 

Diese Aktivitäten sind zwar wichtig, doch Dokumente können nur dann als Nachweis dienen, wenn sie einen Bezug zur operativen Realität haben. 

NIS2 verpflichtet betroffene Stellen dazu, angemessene, verhältnismässige und wirksame Massnahmen zum Management von Cybersicherheitsrisiken umzusetzen und zu dokumentieren. Deutsche KRITIS-Betreiber müssen zudem nachweisen, dass die vorgeschriebenen Sicherheitsmassnahmen umgesetzt wurden. Die Vorgabe ist eindeutig: Es reicht nicht mehr aus, lediglich die beabsichtigte Sicherheitsarchitektur zu beschreiben. Organisationen müssen zunehmend nachweisen, dass die Kontrollmassnahmen in der tatsächlichen Betriebsumgebung wirksam bleiben (BSI-Leitfaden zu den NIS2-Verpflichtungen, BSI-Leitfaden zum KRITIS-Nachweis).  

Dadurch ändern sich die Fragen, die im Rahmen einer Beurteilung gestellt werden: 

• Welche OT-Systeme sind derzeit in Betrieb, einschliesslich nicht verwalteter und älterer Systeme? 

• Welche Verbindungen verlaufen quer durch Produktionszonen? 

• Sind seit der letzten Überprüfung neue Kommunikationswege entstanden? 

• Entspricht der beobachtete Datenverkehr weiterhin dem genehmigten Modell „ Segmentierung “? 

• Könnte die Organisation ein „ Vorfall “ noch mehrere Monate nach dessen Eintreten rekonstruieren? 

Diese Fragen mögen zwar in einer Diskussion untercompliance aufkommen, sind aber im Grunde genommen operative Fragen. Um sie zu beantworten, braucht es mehr als nur eine gut gepflegte Tabellenkalkulation.

Die Dokumentation beschreibt die vorgesehene Betriebsumgebung. Die Nachweise gemäß „ Compliance “ müssen zunehmend die tatsächliche Betriebsumgebung widerspiegeln.

Wenn das Diagramm nicht mehr ausreicht

Nehmen wir an, ein Hersteller bereitet sich darauf vor, „ Segmentierung “ in mehreren Produktionsbereichen zu stärken. 

Die Zielarchitektur wurde bereits entwickelt. Zonen und Kanäle sind definiert, die Richtlinien für „ firewall “ werden derzeit ausgearbeitet, und das Projektteam hat sich auf die Systeme geeinigt, die über die jeweiligen Grenzen hinweg kommunizieren sollen. Auf dem Papier ist der Entwurf bereit für die Umsetzung. 

Bevor das Team die Regeln für „firewall “ ändert, beobachtet es die bestehenden Kommunikationsmuster. 

Mehrere Erkenntnisse führen zu einer Änderung des Projekts. 

Ein Engineering-Arbeitsplatz, der während einer früheren Anlagenupgrade verwendet wurde, kommuniziert nach wie vor mit Steuerungen in einem anderen Produktionsbereich. Einlegacy -System, das in der Dokumentation unter asset Inventur nur eine untergeordnete Rolle zu spielen scheint, tauscht tatsächlich Daten mit mehreren Produktionsprozessen aus. Verbindungen, die als veraltet galten, bleiben aktiv, während mehrere für den laufenden Betrieb erforderliche Pfade in der Dokumentation nicht aufgeführt sind. 

All dies deutet nicht zwangsläufig auf böswillige Aktivitäten hin. Es spiegelt vielmehr die kumulativen Auswirkungen von Wartungsarbeiten, Inbetriebnahmen und Produktionsänderungen wider. 

Die Umsetzung des ursprünglichen Firewall-Konzepts ohne diese Informationen könnte zur Unterbrechung legitimer Prozesse führen. Die Techniker müssten dann unter Produktionsdruck die Störung diagnostizieren, die dafür verantwortliche Regel ermitteln und die Konnektivität schnell wiederherstellen. In einer solchen Situation hat die Sicherheitsrichtlinie in der Regel gegenüber der Verfügbarkeit das Nachsehen, oft durch eine weiter gefasste Ausnahme, als ursprünglich beabsichtigt war. 

Eine vorherige Beobachtung des Netzwerks verzögert Segmentierung nicht. Sie verringert vielmehr die damit verbundene Unsicherheit.

Warum grosse Programme immer weiter wachsen

Viele Sicherheitsinitiativen von „ OT “ beginnen mit weitreichenden Zielen: neue Firewalls, eine umfassendere Abdeckung durch „sensor “, sicherere Fernzugriffe, zusätzliche Überwachungsmaßnahmen und eine verbesserte Erkennung an allen Standorten. 

Jede Komponente lässt sich für sich genommen rechtfertigen. Zusammen bilden sie ein Transformationsprogramm, das die Beschaffung von Hardware, Netzwerkänderungen, Wartungsfenster, Produktionsplanung, Lieferantenkoordination und umfangreiche Tests beinhaltet. 

Während diese Arbeiten voranschreiten, verändert sich das Umfeld ständig. Neue Geräte werden in Betrieb genommen, Lieferanten beantragen Zugänge, und vorübergehende Änderungen werden Teil des normalen Betriebsablaufs. Wenn die Einführung beginnt, sind einige der während der Planung getroffenen Annahmen bereits überholt. 

Eine sinnvollere Vorgehensweise besteht darin, frühzeitig einen umfassenden, passiven Überblick zu gewinnen und die daraus gewonnenen Erkenntnisse als Orientierung für die darauf folgenden grösseren Investitionen zu nutzen. 

Das bedeutet nicht, dass man die Architektur aufgeben oder unvollständige Sicherheit in Kauf nehmen muss. Es bedeutet vielmehr, herauszufinden, wo Sicherheitsmassnahmen den grössten Nutzen bringen, bevor man sich auf Änderungen festlegt, die kostspielig sind oder den Betrieb beeinträchtigen. 

Die Frage lautet nicht mehr: „Wie können wir alles absichern?“, sondern: „Was geschieht derzeit in unserem Umfeld, und wo entstehen dadurch erhebliche Risiken?“ 

Diese Frage führt in der Regel zu einem gezielteren Programm. 

Von der angenommenen zur beobachteten Kommunikation Verhalten

Sobald die Teams beginnen, mit den beobachteten Kommunikationsmustern zu arbeiten, werden die Diskussionen konkreter. 

Eine vorgeschlagene Firewall-Regel kann mit dem Datenverkehr verglichen werden, der die betreffende Segmentationsgrenze tatsächlich überquert. Die Prüfung einer existierenden Remote-Wartungsverbindung kann mit Kontextinformationen angereichert werden: Wann das erste Mal Daten flossen, welche Systeme sie anspricht und ob sie noch aktiv ist. Ein älteres Gerät kann anhand seiner Rolle im Produktionsprozess und nicht allein anhand seines Alters bewertet werden. 

Dies kann die Entscheidungen über Sicherheitsinvestitionen auf verschiedene Weise beeinflussen: 

• Segmentierung Projekte werden auf der Grundlage tatsächlicher Abhängigkeiten konzipiert und nicht allein anhand von Diagrammen. 

• Bei der Überprüfung eines Fernzugriffs liegt der Schwerpunkt auf Verbindungen, die kritische Prozesse betreffen. 

• Wartungsänderungen können im Nachhinein überprüft werden, um sicherzustellen, dass der vorübergehende Zugriff aufgehoben wurde. 

• Der Schutz von „legacy “-Systemen kann entsprechend ihrer betrieblichen Bedeutung und ihres Risikos priorisiert werden. 

• Compliance Nachweise können aus kontinuierlich beobachteten Zuständen abgeleitet werden, anstatt kurz vor einem Audit zusammengestellt zu werden. 

Visibilitität entscheidet nicht darüber, was eine Organisation zulassen sollte. Das bleibt eine Frage der Sicherheitsarchitektur, des Betriebs, des Risikos und der Unternehmensführung. Sie liefert lediglich die Belege, die für diese Entscheidungen erforderlich sind. 

Diese Unterscheidung ist wichtig. Ein Kommunikationsweg kann technisch unerwartet, aber betrieblich notwendig sein. Ein anderer mag zwar gemäß einer „ firewall “-Regel zulässig sein, aber keinen legitimen Zweck mehr erfüllen. Keine der beiden Situationen lässt sich allein anhand von Netzwerkdaten beurteilen, doch ohne diese sind beide schwer zu erkennen.

Eine „ firewall “-Regel legt fest, was zulässig ist. Das Netzwerkverhalten zeigt, was tatsächlich geschieht. Für die „ OT “-Governance sind beide Aspekte erforderlich.

Der Unterschied während einer Untersuchung

Wie wichtig der historische Kontext ist, wird besonders deutlich, wenn sich etwas ändert. 

Angenommen, während der Nachtschicht entsteht eine neue Verbindung zwischen zwei Produktionsbereichen. Diese Aktivität kann im Zusammenhang mit geplanten technischen Arbeiten, einem falsch konfigurierten Gerät, einem Wartungseingriff des Originalherstellers oder einem tatsächlichen Sicherheitsvorfall stehen. 

Bevor das Team entscheidet, wie es reagieren soll, muss es Folgendes verstehen: 

• Wann flossen zum ersten Mal Daten? 

• Haben diese Systeme schon einmal miteinander kommuniziert? 

• Waren für eines der beiden Systeme Wartungsarbeiten geplant? 

• Welcher Produktionsprozess hängt von ihnen ab? 

• Wer ist für die „ assets “ verantwortlich und kann die betrieblichen Auswirkungen einschätzen? 

• Was würde passieren, wenn die Verbindung oder eines der Systeme ausfallen würde? 

In vielen Unternehmen sind zur Beantwortung dieser Fragen mehrere Teams und Tools erforderlich. Die Abteilung für Informationssicherheit ( SOC ) hat zwar Einblick in die Sicherheitslage ( Warnmeldung ), verfügt jedoch nicht über den Produktionskontext. Die Ingenieure der Abteilung für Betriebssicherheit (OT ) verstehen den Prozess zwar, haben aber möglicherweise keinen Zugriff auf die historischen Sicherheitsdaten. Ein externer Anbieter verfügt möglicherweise weder über eine aktuelle Übersicht über die Sicherheitslage ( asset map) noch über das erforderliche lokale Fachwissen. 

Die Verzögerung ist nicht unbedingt auf eine unzureichende Erkennung zurückzuführen. Sie ergibt sich daraus, dass zunächst die Umgebung rekonstruiert werden muss, bevor mit der Untersuchung angefangen werden kann. 

Durch die kontinuierliche Visibilität verschiebt sich der Ausgangspunkt. Teams können feststellen, ob eine Verbindung tatsächlich neu ist, die beteiligten Systeme überprüfen und das Ereignis in einen bekannten Kommunikationskontext einordnen. OT-Fachwissen ist nach wie vor unverzichtbar, insbesondere wenn Eindämmungsmassnahmen die Sicherheit oder Verfügbarkeit beeinträchtigen könnten, doch die Ingenieure verbringen weniger Zeit damit, grundlegende Fakten zu ermitteln. 

Bei einer Vorfall kommt es auf diesen Unterschied an. Das Ziel besteht nicht einfach darin, eine Warnmeldung schneller zu erstellen. Vielmehr geht es darum, eine fundierte operative Entscheidung mit geringerer Unsicherheit zu treffen. 

Ein sinnvollerer Ausgangspunkt

Die OT-Sicherheit wird manchmal als Wahl zwischen der Akzeptanz von Sicherheitslücken und der Einführung einer umfangreichen, tief in Abläufe eingreifenden Lösung dargestellt. Der sinnvollere Weg liegt jedoch zwischen diesen beiden Extremen. 

Bestehende Firewalls, Switches und weitere Sicherheitsinfrastruktur liefern möglicherweise bereits Netzwerk-Metadaten, die einen ersten Überblick über die Ressourcen und Kommunikationsflüsse ermöglichen. Spezielle OT-Sicherheitstools können bei Bedarf zusätzliche Informationen über verwendete Kommunikationsprotokolle und Kontext zu den kommunizierenden Ressourcen liefern. Welche Kombination dieser Informationen benötigt wird, hängt von der jeweiligen Umgebung ab, doch das Grundprinzip bleibt: Nutzen Sie verfügbare Erkenntnisse frühzeitig und erweitern Sie diese dann gezielt. 

Wir bei Exeon sehen Visibilität als Ausgangspunkt für die Umsetzung von OT-Sicherheit, nicht als Ersatz für industrielle Firewalls, OT-Sicherheitsplattformen oder das Fachwissen der Anlageningenieure. Eine gemeinsame Sicht auf das Netzwerkverhalten trägt dazu bei, dass diese bestehenden Kontrollmechanismen und Teams effektiver zusammenarbeiten können. 

Industrieumgebungen werden sich weiterentwickeln. Die Integration von IT und OT wird sich vertiefen, Fernwartung wird aus betrieblicher Sicht unverzichtbar bleiben, und Legacy-Systeme werden kritische Prozesse noch lange nach ihren geplanten Austauschterminen unterstützen. 

Das Netzwerkdiagramm wird immer nützlich sein. Es kann jedoch nicht finale Aussagen über das tatsächliche Geschehen im Netzwerk treffen. 

Unternehmen, die die geplante Netzwerkarchitektur mit dem tatsächlichen Verhalten vergleichen können, sind besser in der Lage, sorgfältig zu segmentieren, effizient zu untersuchen und nachzuweisen, dass ihre Kontrollmassnahmen auch über den Zeitpunkt eines Audits hinaus funktionieren. Was man nicht sieht, kann man auch nicht schützen, segmentieren oder prüfen, aber Aufsichtsbehörden erwarten von Unternehmen zunehmend Nachweise, dass sie genau das können. 

Die wichtigsten Erkenntnisse

• OT-Umgebungen weichen schrittweise von ihrer Dokumentation ab, da sich Gerät, Zugangswege und Produktionsabhängigkeiten ändern. 

• Die Beobachtung der Kommunikation vor der Implementierung von „ Segmentierung “ verringert das Risiko, dass legitime Produktionsprozesse gestört werden. 

• Durch kontinuierliche Visibilität können Teams den Unterschied zwischen zulässigem Datenverkehr und betrieblich gerechtfertigtem Datenverkehr erkennen. 

• Der historische Kontext ermöglicht es SOC- und OT-Teams, ihre Untersuchungen auf der Basis gesicherter Erkenntnisse zu beginnen, anstatt die Umgebung unter Zeitdruck rekonstruieren zu müssen. 

• Compliance Beweise gewinnen an Glaubwürdigkeit, wenn sie kontinuierlich beobachtete Zustände widerspiegeln und nicht nur eine Momentaufnahme darstellen.

Weiterlesen

OT-Security ohne zusätzlichen Aufwand

Wie können Unternehmen Lücken in der Transparenz der OT schliessen, die Segmentierung validieren und die operative Widerstandsfähigkeit verbessern, ohne dabei unnötige Komplexität zu verursachen?

Laden Sie das Whitepaper „OT-Security ohne Mehraufwand“ herunter, um einen praktischen Ansatz kennenzulernen, wie Sie zunächst Visibilität schaffen und diese dann als Grundlage für die anschliessenden Kontrollmassnahmen, Prozesse und Investitionen nutzen können. 

OT Security Evaluation Guide

Wenn Sie Ihren aktuellen OT-Sicherheitsansatz bewerten möchten, bietet der „OT Security Evaluation“ Leitfaden für die OT-Sicherheitsbewertung eine strukturierte Herangehensweise zur Überprüfung der Visibilität, Segmentierung, des betrieblichen Kontexts und der Bereitschaft im Falle von Vorfällen.