Die Produktion digital absichern
OT-Security aus der IT ableiten
Fortsetzung des Artikels von Teil 1
Maschinen sicher ins Netzwerk einbinden
Eine IoT-Komponente ist schnell an einer Maschine angebracht und eingerichtet. Damit ist das Projekt jedoch nicht abgeschlossen. Denn diese Komponente, die entweder indirekt über das Unternehmensnetz oder direkt mit dem Internet verbunden ist, ermöglicht eine ganze Reihe neuer Angriffsvektoren auf die Maschine. Diese gilt es abzusichern.
Bei neueren Maschinen, die mit Industrie-4.0-Hintergrund konstruiert sind, sollte man Herstellerupdates aufspielen, sobald sie verfügbar sind. Bei modernen Komponenten läuft dieser Prozess automatisch ab.
Bei älteren Geräten hat der Hersteller den Support unter Umständen eingestellt, oder es gibt die Firma nicht mehr. Dann können OT- und IT-Verantwortliche auf der Netzwerkebene ansetzen. Hier stellt sich die Frage, inwieweit eine Maschine an das Netzwerk angebunden sein muss. Bei einfacheren Geräten ist der Erkenntnisgewinn durch die Daten, die sie erzeugen, möglicherweise nicht groß genug, um ein Risiko einzugehen. Verantwortliche können diese Maschinen ganz aus dem IT-Netzwerk herauslassen oder sie nach dem Minimalprinzip behandeln. Das heißt, man integriert sie nur zum unbedingt notwendigen Maß. Ein weiterer Ansatzpunkt sind Schnittstellen. Die EDV tut sich leichter damit, moderne APIs und Http- sowie TLS-Interfaces zu sichern als klassische SCADA-Schnittstellen.
Digitale Verteidigungsringe einrichten
Produktionsnetzwerke sind häufig monolithisch. Wenn sie Teil der IT-Infrastruktur sind, sollten Produktionsleiter sie segmentieren. Denn bei einem monolithischen Netzwerk reicht es aus, dass ein Angreifer eine Komponente infiziert, um im schlimmsten Fall die gesamte Produktion zu kompromittieren. Segmente wirken wie die verschiedenen Mauerringe einer Burg. Ist einer durchbrochen, ist die Festung noch nicht gefallen. Der Angreifer kann sich in einem Teil frei bewegen. Die anderen Abschnitte sind jedoch noch in den Händen der Verteidiger.
Zwischen den Segmenten installiert die IT Firewalls, um den Datenverkehr zu scannen und bei Anomalien einzugreifen. Diese Praxis kann man direkt aus der IT-Sicherheit übernehmen. Da der Datenverkehr zwischen den Segmenten sowieso überwacht sind, lassen sich anhand dieser Daten sogenannte „Allow Policies“ aufstellen. Dabei analysiert man die Kommunikation einzelner Komponenten und Nutzer untereinander. Kommt man zu dem Ergebnis, dass eine Komponente aus Segment A mit einer Komponente aus Segment F Daten austauscht, ohne dass daraus ein Nutzen entsteht, sollte man die Verbindung kappen.
- OT-Security aus der IT ableiten
- Maschinen sicher ins Netzwerk einbinden
- Verbindungen aktiv überwachen
Lesen Sie mehr zum Thema
