OT Sicherheit Tools können erkennen wertvoll Signale, aber eine Warnmeldung selten erklärt die Produktion Prozess hinter . Effektiv Ermittlungen hängt von dem Netzwerk Beweise, Pflanzen Wissen und Sicherheit Fachwissen in in denselben operativen Ansicht.
OT Sicherheit Sicherheitswarnungen Bedarf operativ Kontext. Erfahren Sie warum OT Teams, SOCs und Sicherheitsteams Tools müssen gemeinsam genutzt werden Informationen um zu untersuchen industrielle Unfälle effektiv.
OT Teams verstehen die Produktion Prozess. SOC Teams verstehen die Bedrohung. Ein wirksame Ermittlung erfordert sowohl Ansichten gleichzeitig benötigt.
Viele Industrieunternehmen haben im Bereich der OT-Sicherheit erhebliche Fortschritte erzielt.
Sie haben die Erfassung von Systemressourcen, die Erkennung industrieller Angriffe, verbesserte Firewalls und einen besser kontrollierten Fernzugriff eingeführt. Sicherheitszentralen erhalten zunehmend Informationen aus Produktionsumgebungen, während spezialisierte OT-Sicherheitsplattformen Einblicke in industrielle Protokolle, anfällige Systemressourcen und ungewöhnliches Netzwerkverhalten bieten.
Das Ergebnis ist, dass heute mehr Informationen vorliegen als noch vor einigen Jahren in den meisten Organisationen.
Wenn jedoch ein Vorfall untersucht werden muss, tauchen immer wieder die gleichen Fragen auf: Ist die Kommunikation vorgesehen? Welcher Produktionsprozess hängt von dem betroffenen System ab? Wurden Wartungsarbeiten durchgeführt? Wem gehört die Anlage? Kann sie sicher isoliert werden?
Das Problem besteht nicht unbedingt darin, dass eine weitere Erkennungsfunktion fehlt. Häufiger ist es so, dass die relevanten Informationen zwar bereits vorliegen, jedoch auf verschiedene Tools und Teams verteilt sind, die jeweils unterschiedliche Aspekte der Situation im Blick haben.
Eine Warnmeldung kann technisch korrekt sein und dennoch in der Praxis schwer zu interpretieren sein.
Zwei gültige Sichtweisen auf dasselbe Ereignis
Stellen Sie sich einen pharmazeutischen Produktionsstandort vor, an dem ein Engineering-Arbeitsplatz mit einer speicherprogrammierbaren Steuerung (SPS) außerhalb seines üblichen Produktionsbereichs kommuniziert.
Aus Sicherheitssicht verdient diese Verbindung besondere Beachtung. Sie überschreitet eine erwartete Grenze, betrifft ein technisches System und weicht vom üblichen Kommunikationsmuster der Workstation ab.
Der Anlageningenieur sieht möglicherweise etwas anderes. Eine Verpackungslinie wird nach Wartungsarbeiten wieder in Betrieb genommen, und der Arbeitsplatz wurde vorübergehend verlegt, um die Tests zu unterstützen. Die Kommunikation könnte daher legitim sein.
Oder es könnte sich um legitime Arbeiten handeln, die über eine nicht genehmigte Verbindung ausgeführt werden. Der Arbeitsplatzrechner greift möglicherweise auf mehr Systeme zu, als für die Inbetriebnahme erforderlich sind. Eine temporäre Firewall-Regel ist möglicherweise weiter gefasst als beabsichtigt. Das für die Arbeiten verwendete Herstellerkonto ist möglicherweise auch nach dem Wartungsfenster noch aktiv.
Die Tatsache, dass Wartungsarbeiten stattfinden, bedeutet nicht automatisch, dass diese Tätigkeit sicher ist. Ebenso bedeutet die Tatsache, dass das Netzwerkverhalten ungewöhnlich ist, nicht, dass es böswillig ist.
Eine zuverlässige Beurteilung erfordert beide Perspektiven:
- Das SOC muss den Zweck und die operative Rolle der Systeme verstehen.
- Das OT-Team muss verstehen, warum das beobachtete Verhalten aus Sicherheitssicht relevant ist.
- Beide benötigen eine Zeitleiste, aus der hervorgeht, was sich geändert hat, wann sich die Änderung ereignet hat und welche anderen Systeme davon betroffen waren.
Ohne diesen gemeinsamen Kontext neigt die Untersuchung dazu, zwischen zwei wenig hilfreichen Extremen zu schwanken: Entweder wird die Warnmeldung ohne ausreichendes Verständnis der Betriebsabläufe eskaliert, oder sie wird als Wartungsmaßnahme abgetan, ohne zu prüfen, ob die Aktivität im vorgesehenen Rahmen geblieben ist.
Leistungsfähige Instrumente, fragmentierte Ermittlungen
In industriellen Sicherheitsumgebungen stützt man sich selten auf eine einzige Informationsquelle.
Eine OT-Sicherheitsplattform kann Informationen zu Anlagen und Protokollen liefern. Eine Firewall protokolliert den Datenverkehr zwischen den Zonen. Eine Fernzugriffslösung zeigt an, welcher Lieferant wann eine Verbindung hergestellt hat. Die Telemetriedaten der Switches helfen dabei, Kommunikationswege zu ermitteln. Das SOC verfügt möglicherweise auch über Daten zu Endgeräten, Identitäten und Bedrohungsinformationen aus der gesamten IT-Umgebung.
Jede Quelle beantwortet eine andere Frage.
Die praktische Schwierigkeit beginnt, wenn ein Analyst diese Antworten im Rahmen einer Untersuchung zusammenstellen muss. Die erste Warnmeldung weist zwar auf ungewöhnliche Kommunikationsaktivitäten hin, doch um deren Bedeutung zu ermitteln, sind eine Reihe manueller Schritte erforderlich:
- Ermitteln Sie die beteiligten Systeme und deren Funktionen in der Produktion.
- Prüfen Sie, ob Wartungs- oder technische Arbeiten geplant waren.
- Überprüfen Sie Fernzugriffssitzungen und die jüngsten Änderungen im Netzwerk.
- Stellen Sie fest, ob es sich um eine neue Kommunikation handelt oder ob diese bereits stattgefunden hat.
- Fragen Sie das Werksteam, welche betrieblichen Auswirkungen eine Eindämmung hätte.
- Sammeln Sie ausreichend Beweismaterial, um eine Eskalation und eine spätere Meldung zu begründen.
In einem gut ausgestatteten internen SOC stehen möglicherweise einige dieser Hintergrundinformationen über etablierte Integrationen und lokales Wissen zur Verfügung. In einem externen SOC oder bei einem Managed Security Service ist der Analyst möglicherweise nur wenig mit dem Werk, dessen Produktionsprozess oder dem Anlagenhersteller vertraut.
Die Warnmeldung kommt zwar immer noch an. Die Fähigkeit, sie zu deuten, geht jedoch nicht unbedingt damit einher.
Die Verbindung zwischen OT und Sicherheit
OT- und SOC-Teams scheinen oft unterschiedliche Sprachen zu sprechen, da sie für unterschiedliche Risiken zuständig sind.
Das SOC denkt in Kategorien wie Bedrohungsverhalten, betroffene Systeme, laterale Bewegung, Eindämmung und Beweismaterial. Die Teams in den Werken denken hingegen in Kategorien wie Prozesszustand, Abhängigkeiten zwischen Anlagenkomponenten, Sicherheit, Produktqualität und Verfügbarkeit.
Keine der beiden Ansichten ist richtiger.
Wenn das SOC empfiehlt, einen technischen Arbeitsplatz zu isolieren, muss das OT-Team wissen, ob dies zu einem Stillstand der Produktionslinie führen oder einen sicherheitsrelevanten Prozess beeinträchtigen würde. Wenn das Werk eine Verbindung für einen OEM aufrechterhalten möchte, muss das SOC wissen, auf welche Systeme zugegriffen werden kann, wie der Zugriff authentifiziert wird und ob die Aktivitäten nachträglich rekonstruiert werden können.
Die Herausforderung besteht daher nicht einfach darin, mehr OT-Warnmeldungen an die Sicherheitsabteilung weiterzuleiten. Vielmehr geht es darum, technische Aktivitäten in einen ausreichenden operativen Kontext zu setzen, damit die richtigen Personen eine Entscheidung treffen können.
Im Rahmen einer Untersuchung kann dieser Kontext Folgendes umfassen:
- Die Produktionsfunktion der betroffenen Vermögenswerte
- Ihre Netzwerkzone und ihre üblichen Kommunikationspartner
- Kürzlich durchgeführte Wartungsarbeiten, Inbetriebnahmen oder Konfigurationsänderungen
- Der für die Anlage oder den Prozess verantwortliche Eigentümer
- Kommunikation vor und nach der Warnmeldung
- Bekannte Fernzugriffssitzungen
- Die operativen Folgen der Isolation
Nicht jedes Feld muss automatisch in jeder Warnmeldung erscheinen. Ein Teil des Fachwissens verbleibt weiterhin bei den Mitarbeitern, die die Anlage bedienen. Entscheidend ist, dass die Teams sich ein einheitliches Bild verschaffen können, ohne die gesamte Situation aus mehreren voneinander getrennten Systemen neu zusammenfügen zu müssen.
SOC fragt:
Ist es malicious, hwie weit hat es sich ausbreitenund wie do haben wir damitdamit?
OT fragt:
WWelcher Prozessbeeinflusstte, ist es sicher, einzugreifen und was passtedazu , umu?
Warum es nicht immer die beste Lösung ist, alles an das SIEM zu senden
Die herkömmliche Lösung für fragmentierte Sicherheitsinformationen ist die Zentralisierung. Die verfügbaren Protokolle und Warnmeldungen werden an die SIEM-Plattform (Security Information and Event Management) weitergeleitet, Korrelationsregeln werden erstellt, und das SOC kann von dort aus die Untersuchungen durchführen.
Für manche Unternehmen ist dies der richtige Ansatz. Eine ausgereifte SIEM-Umgebung mit etablierten OT-Integrationen, angemessenen Aufbewahrungsfristen und Analysten, die sich mit industriellen Abläufen auskennen, kann einen erheblichen Mehrwert bieten.
Die Entscheidung ist jedoch nicht so einfach, wie einfach jede verfügbare OT-Datenquelle weiterzuleiten.
Industriegebiete können zahlreiche Standorte, Netzwerkgeräte und spezialisierte Sicherheitssysteme umfassen. Das Erfassen aller verfügbaren Ereignisse kann die Kosten für die Datenerfassung und -speicherung erhöhen, ohne die Ermittlungsarbeit entsprechend zu verbessern. Das SOC erhält zwar möglicherweise mehr Warnmeldungen, verfügt jedoch nach wie vor nicht über den erforderlichen Produktionskontext, um deren Bedeutung zu ermitteln. Einige OT-Teams zögern möglicherweise auch, sich bei der täglichen Betriebsanalyse auf eine komplexe, IT-zentrierte Plattform zu verlassen.
Die sinnvollere Frage lautet nicht: „Können wir diese Daten an das SIEM senden?“, sondern: „Welche Informationen helfen jemandem dabei, eine bessere Entscheidung zu treffen?“
Manchmal bedeutet dies, eine nach Priorität geordnete Warnmeldung mit ausreichenden Informationen zu den betroffenen Systemen, zum Netzwerk und zum historischen Kontext weiterzuleiten. In anderen Fällen benötigt das OT-Team eine separate, aber damit verknüpfte Ansicht, die es ihm ermöglicht, die Kommunikation zu untersuchen, ohne direkt in der SOC-Plattform zu arbeiten. Externe Anbieter benötigen möglicherweise Zugriff auf dieselben Beweismittel, jedoch nicht unbedingt auf jedes zugrunde liegende System.
Eine Zentralisierung kann helfen. Eine wahllose Datenerfassung löst das zugrunde liegende Problem der Zusammenarbeit in der Regel nicht.
Welche Informationen erkann jemandkeine Wettebessere dEntscheidung?
Kontext vor der Korrelation
Sicherheitsteams sprechen oft davon, Ereignisse miteinander zu verknüpfen. Im Bereich der Betriebstechnik (OT) setzt eine sinnvolle Korrelation damit voraus, dass man die Systeme und Prozesse versteht, die hinter diesen Ereignissen stehen.
Angenommen, ein OEM stellt während einer geplanten Abschaltung eine Fernverbindung her. Kurz darauf kommuniziert eine Entwicklungs-Workstation mit mehreren Steuerungen, es entsteht eine neue Verbindung zwischen Produktionsbereichen und eine Firewall-Richtlinie wird geändert.
Jedes Ereignis könnte im Rahmen der Wartungsmaßnahme zulässig sein. Zusammen bilden sie eine Abfolge, die überprüft werden sollte:
- Wurde die Verbindung innerhalb des zulässigen Zeitfensters hergestellt?
- Wurde das erwartete Lieferantenkonto verwendet?
- Hat der Techniker nur die Systeme erreicht, die im Arbeitsauftrag aufgeführt waren?
- Wurde die Änderung an der Firewall genehmigt und angemessen eingeschränkt?
- Ist die Kommunikation nach Abschluss der Wartungsarbeiten unterbrochen worden?
- Wurde der vorübergehende Zugriff anschließend wieder aufgehoben?
Der Mehrwert ergibt sich aus der Verknüpfung der technischen Ereignisse mit dem betrieblichen Zweck der Arbeit. Eine einfache Kennzeichnung wie „Wartung war geplant“ reicht nicht aus. Im Rahmen der Untersuchung muss festgestellt werden, ob die beobachtete Aktivität mit diesem Plan übereinstimmte.
Hier erweisen sich historische Netzwerkdaten als besonders nützlich. Sie ermöglichen es den Teams zu erkennen, wann Verbindungen entstanden sind, wie sich das Verhalten während der Arbeiten verändert hat und ob nach Abschluss des Wartungsfensters noch etwas davon bestehen blieb.
Anstatt zu entscheiden, ob eine einzelne Warnmeldung normal oder verdächtig ist, kann das Team beurteilen, ob die gesamte Abfolge aus betrieblicher Sicht sinnvoll ist.
Eine gemeinsame Ansicht, ohne jedes Tool ersetzen zu müssen
Um die OT-Untersuchungen zu verbessern, muss nicht jede Organisation ihre bestehenden Sicherheitsplattformen ersetzen oder alle Funktionen in einem System zusammenfassen.
Spezialisierte OT-Sicherheitstools spielen nach wie vor eine wichtige Rolle bei der Erfassung industrieller Anlagen, der Protokollanalyse und der OT-spezifischen Erkennung. Firewalls und Fernzugriffsplattformen liefern ihre eigenen wichtigen Protokolle. SIEM- und SOC-Prozesse bieten einen umfassenderen Kontext zu Bedrohungen und etablierte Eskalationsabläufe.
Das Ziel besteht darin, die von diesen Systemen generierten Informationen teamübergreifend nutzbar zu machen.
Eine gemeinsame operative Sichtweise sollte es einem OT-Ingenieur, einem SOC-Analysten oder einem externen Dienstleister ermöglichen, dieselben grundlegenden Fakten zu prüfen und dabei ihr jeweiliges Fachwissen einzubringen. Möglicherweise interpretieren sie die Fakten zunächst unterschiedlich – und genau deshalb ist Zusammenarbeit so wichtig. Zumindest diskutieren sie über dieselben Ressourcen, Kommunikationswege und denselben Zeitrahmen.
Wir bei Exeon sehen hier einen praktischen Nutzen in der Konsolidierung von Netzwerk-Metadaten, Infrastruktur-Telemetriedaten und Sicherheitsinformationen, ohne dabei die bereits eingesetzten Spezialsysteme ersetzen zu wollen. Das Ziel besteht nicht darin, eine weitere isolierte Alarmquelle zu schaffen, sondern darin, die Untersuchung und operative Nutzung bestehender Signale zu vereinfachen.
Die Technologie ist zwar wichtig, doch noch wichtiger ist ein gemeinsames Verständnis.
Von mehr Erkennung zu besseren Entscheidungen
Der Reifegrad der OT-Sicherheit wird manchmal anhand der Anzahl der überwachten Standorte, der erfassten Systeme oder der an das SOC gesendeten Warnmeldungen gemessen. Diese Indikatoren sind zwar nützlich, geben jedoch keinen Aufschluss darüber, ob das Unternehmen in der Lage ist, zu handeln, wenn ein relevantes Ereignis eintritt.
Ein aussagekräftigerer Test besteht darin, eine aktuelle oder repräsentative Warnmeldung heranzuziehen und den gesamten Untersuchungsprozess bis zum Ende zu verfolgen:
- Konnte der Analyst die betriebliche Funktion der Systeme ermitteln?
- War historische Kommunikation leicht zugänglich?
- Hat das OT-Team verstanden, warum diese Aktivität sicherheitsrelevant war?
- Konnten die Teams geplante Arbeiten von Tätigkeiten unterscheiden, die über den genehmigten Umfang hinausgingen?
- Reichten die Beweise aus, um eine Entscheidung zur Eindämmung oder Eskalation zu stützen?
Wenn die Beantwortung dieser Fragen einen langwierigen manuellen Rekonstruktionsaufwand erfordert, verfügt die Organisation möglicherweise zwar über eine Erfassungsabdeckung, jedoch ohne ein effektives Betriebsmodell.
Der nächste Schritt bei der OT-Sicherheit besteht nicht einfach darin, mehr Informationen zu generieren. Vielmehr geht es darum, Sicherheitsnachweise mit den Personen zu verknüpfen, die verstehen, wie die Systeme funktionieren und was bei Änderungen auf dem Spiel steht.
Eine OT-Warnmeldung ist dann von Nutzen, wenn sie eine Entscheidung unterstützt. Um diesen Punkt zu erreichen, reicht die bloße Erkennung nicht aus. Es bedarf eines Kontexts, auf den sich beide Seiten verlassen können.
Die wichtigsten Erkenntnisse
- OT-Sicherheitstools, Firewalls, Fernzugriffssysteme und SOC-Plattformen liefern jeweils einen Teil der für eine Untersuchung erforderlichen Informationen.
- Ein ungewöhnlicher Zusammenhang lässt sich nicht zuverlässig beurteilen, ohne den betroffenen Produktionsprozess, die jüngsten Wartungsmaßnahmen und die betrieblichen Abhängigkeiten zu kennen.
- Geplante technische Arbeiten sollten den Kontext für eine Untersuchung liefern und nicht als Grund dienen, ungewöhnliche Aktivitäten automatisch auszuschließen.
- Die Übermittlung weiterer OT-Daten an ein SIEM löst das Problem nicht unbedingt, wenn den Analysten weiterhin der operative Kontext fehlt.
- Ein gemeinsamer Überblick über Ressourcen, den Kommunikationsverlauf und relevante Sicherheitsereignisse hilft OT-Teams, SOCs und externen Anbietern dabei, Entscheidungen auf der Grundlage derselben Fakten zu treffen.
Weiterlesen
OT-Sicherheit ohne zusätzlichen Aufwand
Wie kann Organisationen OT Sicherheit Informationen, Netzwerk Beweismaterial und operative Fachwissen ohne dabei unnötige SIEM Komplexität?
Laden Sie das Whitepaperherunter OT-Sicherheit ohne zusätzlichen Aufwand um zu eine praktische Ansatz für Aufbau eines gemeinsamen operatives Lagebild über OT Teams, Sicherheit Betrieb sowie externe Dienstleister.
Leitfaden zur Bewertung der OT-Sicherheit
Das OO-T-Security Evaluation Leitfaden umfasst praktische Fragen zur die Beurteilung ob Ihr derzeitige Werkzeuge und Prozesse bieten genug Hintergrund für Untersuchung, Zusammenarbeit und Vorfälle Reaktion.
