Die Sichtbarkeitslücke im OT: Warum Compliance damit beginnt, Ihr Netzwerk im Blick zu haben

Industrial eUmwVeränderungenge continlichy. Sofern nicht gesichertiSicherheit teams cakann sehen wie bescheuertets und die Kommunikationpsich weiterentwickeln, basieren Segmentierung, Reaktion auf Vorfälle und Compliance weiterhin teilweise auf Annahmen. 

Learn warum OT visSichtbarkeit is the fürundation für effektivee Segmenteiner, einschließlichdresVerantwortlichkeitene sowie die nachweisbare Einhaltung von NIS2, KRITIS und IEC 62443.

Ein fireBrandmauer rule describes wast ist permitted. Beobachtete nNetzwerkkommuniszeigt, wastatsächlichtatsächlich passiert. OT derZufalliSicherheit hängt vom Verständnis des Unterschieds ab.

Betritt man einen OT-Sicherheitsworkshop, dreht sich die Diskussion in der Regel schon innerhalb der ersten paar Minuten um Technologie. Netzwerksegmentierung, industrielle Firewalls, Fernzugriff, Asset-Erfassung und Erkennungsplattformen sind altbekannte Themen. Sie sind zudem unverzichtbare Bestandteile einer ausgereiften Sicherheitsarchitektur. 

Aber oft mischen sie sich zu früh in das Gespräch ein. 

Bevor eine Organisation entscheidet, wo eine weitere Kontrollmaßnahme eingeführt werden soll, muss sie ein zuverlässiges Verständnis des Umfelds haben, das durch diese Maßnahme geschützt werden soll. Die meisten OT-Führungskräfte würden diesem Grundsatz zustimmen. Weniger von ihnen können jedoch mit Sicherheit sagen, dass ihre Anlagenverzeichnisse, Netzwerkdiagramme und Kommunikationspläne noch immer die tatsächlichen Gegebenheiten an allen Produktionsstandorten widerspiegeln. 

Diese Lücke ist selten auf mangelhafte Unternehmensführung zurückzuführen. Industrielle Umgebungen verändern sich einfach schneller als ihre Dokumentation. 

Eine Verpackungsanlage wird in Betrieb genommen. Ein Engineering-Arbeitsplatz bleibt auch nach Abschluss des Projekts verbunden. Ein OEM erhält während eines Stillstandszeitraums Fernzugriff. Ein älteres Windows-System erhält eine neue Schnittstelle zum Manufacturing Execution System (MES). Firewall-Regeln werden angepasst, um ein dringendes Produktionsproblem zu beheben, und anschließend nie vollständig überprüft. 

Jede Änderung mag für sich genommen sinnvoll sein. Mit der Zeit weicht die tatsächlich betriebene Umgebung jedoch zunehmend von der geregelten Umgebung ab. 

Compliance trifft auf die betriebliche Realität

Viele Vorbereitungen zur Einhaltung von Vorschriften beginnen nach wie vor mit der Dokumentation. Die Teams aktualisieren das Bestandsverzeichnis, überprüfen Netzwerkdiagramme, überarbeiten Richtlinien und kontrollieren, ob die Verfahren zur Reaktion auf Vorfälle vollständig sind. 

Diese Aktivitäten sind zwar wichtig, doch Dokumente können nur dann als Nachweis dienen, wenn sie einen Bezug zur operativen Realität haben. 

NIS2 verpflichtet betroffene Stellen dazu, angemessene, verhältnismäßige und wirksame Maßnahmen zum Management von Cybersicherheitsrisiken umzusetzen und zu dokumentieren. Deutsche KRITIS-Betreiber müssen zudem nachweisen, dass die vorgeschriebenen Sicherheitsmaßnahmen umgesetzt wurden. Die Vorgabe ist eindeutig: Es reicht nicht mehr aus, lediglich die beabsichtigte Sicherheitsarchitektur zu beschreiben. Organisationen müssen zunehmend nachweisen, dass die Kontrollmaßnahmen in der tatsächlichen Betriebsumgebung wirksam bleiben (BSI-Leitfaden zu den NIS2-Verpflichtungen, BSI-Leitfaden zum KRITIS-Nachweis).  

Dadurch ändern sich die Fragen, die im Rahmen einer Beurteilung gestellt werden: 

• Welche OT-Systeme sind derzeit in Betrieb, einschließlich nicht verwalteter und älterer Systeme? 

• Welche Verbindungen verlaufen quer durch Produktionszonen? 

• Sind seit der letzten Überprüfung neue Kommunikationswege entstanden? 

• Entspricht der beobachtete Datenverkehr noch dem genehmigten Segmentierungsmodell? 

• Könnte die Organisation einen Vorfall mehrere Monate nach dessen Eintreten rekonstruieren? 

Diese Fragen mögen zwar im Rahmen einer Compliance-Diskussion aufkommen, sind aber im Grunde genommen operative Fragen. Um sie zu beantworten, bedarf es mehr als nur einer gut gepflegten Tabelle.

Die Dokumentation beschreibt die vorgesehene Umgebung. Der Nachweis der Konformität muss schrittweisezunehmenddieUmgebUmgebunbeist in Betrieb.

Wenn das Diagramm nicht mehr ausreicht

Nehmen wir einen Hersteller, der sich darauf vorbereitet, die Segmentierung über mehrere Produktionsbereiche hinweg zu verstärken. 

Die Zielarchitektur wurde bereits entwickelt. Zonen und Kanäle sind definiert, Firewall-Richtlinien werden derzeit ausgearbeitet, und das Projektteam hat sich darauf geeinigt, welche Systeme über die jeweiligen Grenzen hinweg kommunizieren sollen. Auf dem Papier ist das Design bereit für die Umsetzung. 

Bevor die Firewall-Regeln geändert werden, beobachtet das Team die bestehenden Kommunikationsmuster. 

Mehrere Erkenntnisse führen zu einer Änderung des Projekts. 

Ein technischer Arbeitsplatz, der bei einer früheren Anlagenmodernisierung zum Einsatz kam, kommuniziert nach wie vor mit Steuerungen in einem anderen Produktionsbereich. Ein Altsystem, das im Anlagenverzeichnis nur eine untergeordnete Rolle zu spielen scheint, tauscht tatsächlich Daten mit mehreren Produktionsprozessen aus. Verbindungen, die als veraltet galten, sind weiterhin aktiv, während mehrere für den laufenden Betrieb erforderliche Pfade in der Dokumentation nicht aufgeführt sind. 

All dies deutet nicht zwangsläufig auf böswillige Aktivitäten hin. Es spiegelt vielmehr die kumulativen Auswirkungen von Wartungsarbeiten, Inbetriebnahmen und Produktionsänderungen wider. 

Die Umsetzung des ursprünglichen Firewall-Konzepts ohne diese Informationen könnte zu Unterbrechungen legitimer Prozesse führen. Die Techniker müssten dann unter Produktionsdruck die Störung diagnostizieren, die dafür verantwortliche Regel ermitteln und die Konnektivität schnell wiederherstellen. In einer solchen Situation hat die Sicherheitsrichtlinie in der Regel gegenüber der Verfügbarkeit das Nachsehen, oft durch eine weiter gefasste Ausnahme, als ursprünglich beabsichtigt war. 

Die vorherige Beobachtung des Netzwerks verzögert die Segmentierung nicht. Sie verringert vielmehr die damit verbundene Unsicherheit.

Warum große Programme immer weiter wachsen

Viele OT-Sicherheitsinitiativen starten mit weitreichenden Zielen: neue Firewalls, eine umfassendere Sensorabdeckung, sicherere Fernzugriffe, zusätzliche Überwachung und eine verbesserte Erkennung an allen Standorten. 

Jede Komponente lässt sich für sich genommen rechtfertigen. Zusammen bilden sie ein Transformationsprogramm, das die Beschaffung von Hardware, Netzwerkänderungen, Wartungsfenster, Produktionsplanung, Lieferantenkoordination und umfangreiche Tests umfasst. 

Während diese Arbeiten voranschreiten, verändert sich das Umfeld ständig. Neue Geräte werden in Betrieb genommen, Lieferanten beantragen Zugang, und vorübergehende Änderungen werden Teil des normalen Betriebsablaufs. Wenn die Einführung beginnt, sind einige der während der Planung getroffenen Annahmen bereits überholt. 

Eine sinnvollere Vorgehensweise besteht darin, frühzeitig einen umfassenden, passiven Überblick zu gewinnen und die daraus gewonnenen Erkenntnisse als Orientierung für die darauf folgenden größeren Investitionen zu nutzen. 

Das bedeutet nicht, dass man die Architektur aufgeben oder unvollständige Sicherheit in Kauf nehmen muss. Es bedeutet vielmehr, herauszufinden, wo Sicherheitsmaßnahmen den größten Nutzen bringen, bevor man sich auf Änderungen festlegt, die kostspielig sind oder den Betrieb beeinträchtigen. 

Die Frage lautet nicht mehr: „Wie können wir alles absichern?“, sondern: „Was geschieht derzeit in unserem Umfeld, und wo entstehen dadurch erhebliche Risiken?“ 

Diese Frage führt in der Regel zu einem gezielteren Programm. 

Von der angenommenen Kommunikation zum beobachteten Verhalten

Sobald die Teams beginnen, mit den beobachteten Kommunikationsmustern zu arbeiten, werden die Diskussionen konkreter. 

Eine vorgeschlagene Firewall-Regel kann mit dem Datenverkehr verglichen werden, der die betreffende Grenze tatsächlich passiert. Eine Fernwartungsverbindung kann im Zusammenhang damit überprüft werden, wann sie erstmals aufgetreten ist, welche Systeme sie erreicht und ob sie noch genutzt wird. Ein älteres Gerät kann anhand seiner Rolle im Produktivbetrieb und nicht allein anhand seines Alters bewertet werden. 

Dies kann Anlageentscheidungen auf verschiedene Weise beeinflussen: 

• Segmentierungsprojekte orientieren sich an tatsächlichen Abhängigkeiten und nicht nur an Diagrammen. 

• Bei der Überprüfung des Fernzugriffs liegt der Schwerpunkt auf Verbindungen, die kritische Prozesse betreffen. 

• Wartungsänderungen können im Nachhinein überprüft werden, um sicherzustellen, dass der vorübergehende Zugriff aufgehoben wurde. 

• Der Schutz von Altsystemen kann entsprechend ihrer betrieblichen Bedeutung und ihres Risikos priorisiert werden. 

• Nachweise für die Einhaltung der Vorschriften können aus kontinuierlich beobachteten Zuständen abgeleitet werden, anstatt kurz vor einem Audit zusammengestellt zu werden. 

Transparenz entscheidet nicht darüber, was eine Organisation zulassen sollte. Das bleibt eine Frage der Architektur, des Betriebs, des Risikos und der Unternehmensführung. Sie liefert lediglich die Belege, die für diese Entscheidungen erforderlich sind. 

Diese Unterscheidung ist wichtig. Ein Kommunikationspfad kann technisch unerwartet, aber betrieblich notwendig sein. Ein anderer kann zwar durch eine Firewall-Regel zugelassen sein, aber keinen legitimen Zweck mehr haben. Keine der beiden Situationen lässt sich allein anhand von Netzwerkdaten beurteilen, doch ohne diese Daten sind beide schwer zu erkennen.

Eine Firewallalle Regel zeigt an, woeint iwas Genehmigungt. Das Netzwerk Verhalten zeigt, was gerade geschieht. OT-Governance benötigt beides.

Der Unterschied während einer Ermittlung

Wie wichtig der historische Kontext ist, wird besonders deutlich, wenn sich etwas ändert. 

Angenommen, während der Nachtschicht entsteht eine neue Verbindung zwischen zwei Produktionsbereichen. Diese Aktivität kann im Zusammenhang mit geplanten technischen Arbeiten, einem falsch konfigurierten Gerät, einem Wartungseinsatz des Originalherstellers oder einem tatsächlichen Sicherheitsvorfall stehen. 

Bevor das Team entscheidet, wie es reagieren soll, muss es Folgendes verstehen: 

• Wann erschien die Mitteilung zum ersten Mal? 

• Haben diese Systeme schon einmal miteinander kommuniziert? 

• Waren für eines der beiden Systeme Wartungsarbeiten geplant? 

• Welcher Produktionsprozess hängt von ihnen ab? 

• Wem gehören die Vermögenswerte und wer kann die betrieblichen Auswirkungen einschätzen? 

• Was würde passieren, wenn die Verbindung oder eines der Systeme ausfallen würde? 

In vielen Unternehmen sind zur Beantwortung dieser Fragen mehrere Teams und Tools erforderlich. Das SOC nimmt die Warnmeldung zwar wahr, verfügt jedoch nicht über den produktionsbezogenen Kontext. OT-Ingenieure verstehen den Prozess, haben aber möglicherweise keinen Zugriff auf die historischen Sicherheitsdaten. Ein externer Anbieter verfügt möglicherweise weder über eine aktuelle Bestandsübersicht noch über das erforderliche lokale Fachwissen. 

Die Verzögerung ist nicht unbedingt auf eine unzureichende Erkennung zurückzuführen. Sie ergibt sich daraus, dass zunächst die Umgebung rekonstruiert werden muss, bevor mit der Untersuchung begonnen werden kann. 

Durch die kontinuierliche Transparenz verschiebt sich der Ausgangspunkt. Teams können feststellen, ob eine Verbindung tatsächlich neu ist, die beteiligten Systeme überprüfen und das Ereignis in einen bekannten Kommunikationskontext einordnen. OT-Fachwissen ist nach wie vor unverzichtbar, insbesondere wenn Eindämmungsmaßnahmen die Sicherheit oder Verfügbarkeit beeinträchtigen könnten, doch die Ingenieure verbringen weniger Zeit damit, grundlegende Fakten zu ermitteln. 

Im Ernstfall kommt es auf diesen Unterschied an. Das Ziel besteht nicht einfach darin, schneller eine Warnmeldung auszugeben, sondern eine fundierte operative Entscheidung mit geringerer Unsicherheit zu treffen. 

Ein sinnvollerer Ausgangspunkt

Die OT-Sicherheit wird manchmal als Wahl zwischen der Akzeptanz von Sicherheitslücken und der Einführung einer umfangreichen, in die Abläufe eingreifenden Lösung dargestellt. In der Praxis liegt der sinnvollere Weg jedoch oft zwischen diesen beiden Extremen. 

Bestehende Firewalls, Switches und die Sicherheitsinfrastruktur liefern möglicherweise bereits Netzwerk-Metadaten, die einen ersten Überblick über die Ressourcen und Kommunikationsflüsse ermöglichen. Spezielle OT-Sicherheitstools können bei Bedarf zusätzliche Informationen auf Protokollebene und zum Kontext der Ressourcen liefern. Die geeignete Kombination hängt von der jeweiligen Umgebung ab, doch das Prinzip bleibt dasselbe: Nutzen Sie verfügbare Erkenntnisse frühzeitig und erweitern Sie diese dann gezielt. 

Wir bei Exeon betrachten Transparenz als Ausgangspunkt für die Umsetzung von OT-Sicherheit – nicht als Ersatz für industrielle Firewalls, OT-Sicherheitsplattformen oder das Fachwissen der Anlageningenieure. Eine gemeinsame Sicht auf das Netzwerkverhalten trägt dazu bei, dass diese bestehenden Kontrollmechanismen und Teams effektiver zusammenarbeiten können. 

Industrieumgebungen werden sich weiterentwickeln. Die Integration von IT und OT wird sich vertiefen, die Fernwartung wird aus betrieblicher Sicht weiterhin unverzichtbar sein, und Altsysteme werden kritische Prozesse noch lange nach ihren geplanten Austauschterminen unterstützen. 

Das Netzwerkdiagramm wird immer nützlich sein. Es kann jedoch nicht als endgültige Grundlage dafür dienen, was tatsächlich geschieht. 

Unternehmen, die die geplante Architektur mit dem tatsächlichen Verhalten vergleichen können, sind besser in der Lage, sorgfältig zu segmentieren, effizient zu untersuchen und nachzuweisen, dass ihre Kontrollmaßnahmen auch über den Tag einer Prüfung hinaus funktionieren. Was man nicht sehen kann, kann man auch nicht schützen, segmentieren oder prüfen – und die Aufsichtsbehörden erwarten zunehmend von Unternehmen, dass sie nachweisen, dass sie dazu in der Lage sind. 

Die wichtigsten Erkenntnisse

• OT-Umgebungen weichen zunehmend von ihrer Dokumentation ab, da sich die Ausrüstung, die Zugangswege und die Produktionsabhängigkeiten ändern. 

• Die Beobachtung der Kommunikation vor der Umsetzung der Segmentierung verringert das Risiko, legitime Produktionsprozesse zu stören. 

• Durch kontinuierliche Transparenz können Teams den Unterschied zwischen zulässigem Datenverkehr und betrieblich gerechtfertigtem Datenverkehr erkennen. 

• Der historische Kontext ermöglicht es SOC- und OT-Teams, ihre Untersuchungen auf der Grundlage bekannter Fakten zu beginnen, anstatt die Umgebung unter Zeitdruck rekonstruieren zu müssen. 

• Nachweise zur Einhaltung von Vorschriften gewinnen an Glaubwürdigkeit, wenn sie kontinuierlich beobachtete Zustände widerspiegeln und nicht nur eine Momentaufnahme darstellen.

Weiterlesen

OT-Sicherheit ohne zusätzlichen Aufwand

Wie können Unternehmen Lücken in der Transparenz der OT schließen, die Segmentierung validieren und die operative Widerstandsfähigkeit verbessern, ohne dabei unnötige Komplexität zu schaffen? 

Laden Sie das Whitepaperherunter OT-Sicherheit ohne hohen Aufwand – ein praktischer Ansatz, um zunächst Transparenz zu schaffen und diese als Grundlage für die anschließenden Kontrollmaßnahmen, Prozesse und Investitionen zu nutzen. 

Leitfaden zur Bewertung der OT-Sicherheit

Wenn ihr Idioten seidsdeine cdeinenMiete OT secSicherheits-Approach, de OT Sekurity Evaluation Leitfaden enthältbietet einen StrukturRahmenLeitfaden Reihe von Aufgabenfür die Überprüfungundsderi, sSegmentierung, operativer Kontext und Einsatzbereitschaft.