Operational Technology (OT) Security

(Bild: God Image – stock.adobe.com)

  • Im Rahmen eines Cybersecurity-Programms für OT und ICS sollten alle Anlagen inventarisiert werden.
  • Es wird Hersteller, Modell, Version und Seriennummer für jedes Stück Hardware, Firmware und Software benötigt.
  • Die Transparenz durch die Inventur hilft, Schwachstellen zu erkennen.

Industrielle Kontrollsysteme (ICS) haben naturgemäß mit Tausenden von Faktoren und Variablen zu tun – beispielsweise, um unter Umständen gefährliche Prozesse zu steuern, bei denen in der Regel hohe Temperaturen und flüchtige Rohstoffe zum Herstellen des jeweils gewünschten Endprodukts verwendet werden. Es ist also entscheidend, dass solche Systeme sicher und zuverlässig sind – nicht nur, um eine reibungs- und ausfalllose sowie leistungsstarke Fertigung zu gewährleisten, sondern auch dafür, gewisse Standards und Ziele im Hinblick auf Gesundheit, Sicherheit und Umwelt einzuhalten.

Wofür ICS jedoch nie konzipiert waren, war der Schutz vor Cyberangriffen. Jahrzehntelang galten sie gewissermaßen als „luftdicht“ abgeschottet und für derlei Attacken unerreichbar. Doch das hat sich geändert. Mit der digitalen Transformation begannen Unternehmen, ICS mit weiteren IT-Systemen zu verknüpfen. Wer Industrieanlagen betreibt, verfügt daher über eine vernetzte Anlage und weiß, dass auch die kritischen Systeme für Cyberangriffe anfällig sind – ist aber oft nicht in der Lage, zu erkennen, wo eigentlich das größte Risiko existiert.
Da immer wieder erfolgreiche Cyberangriffe auf kritische Infrastrukturen für Schlagzeilen sorgen, ist das Thema Risikomanagement weltweit zu einem häufigen Thema in den Vorstandsetagen geworden. Dies hat den Druck auf die Sicherheits- und Betriebsteams erhöht, die sicherstellen müssen, dass Schutzmaßnahmen ergriffen werden. Wenn es zu einem erfolgreichen Cyberangriff kommt, müssen die negativen Folgen auf ein minimales Maß reduziert werden.

Erst sehen, dann handeln

Die Grundlage eines jeden Cybersecurity-Programms für Betriebstechnologie (OT) und ICS besteht in einer vollständigen, detaillierten Bestandsaufnahme aller Anlagen, die alle Details zu den in der industriellen Umgebung betriebenen Systemen und Endpunkten enthalten muss. Anders gesagt: Die Betreiber müssen sich erst ein Bild von der ganzen Anlage machen, bevor sie in der Lage sind, diese überhaupt zu schützen. Denn nicht nur sind die Formen und Größen des Anlageninventars unterschiedlich, auch die Logik von Steuerungssystemen an verschiedenen Standorten sind einzigartig gestaltet.

Für die effektive Nutzung von Bestandsdaten im Rahmen eines Cybersicherheitsprogramms reicht es nicht aus zu wissen, dass ein verteiltes Steuerungssystem (DCS) mit einer speicherprogrammierbaren Steuerung (SPS) oder ein Server mit einem Switch kommuniziert, um Risiken auf ein akzeptables Niveau zu reduzieren. Dieser Detaillierungsgrad kann leicht erreicht werden, indem der dazugehörige Netzwerkverkehr überwacht und analysiert wird, um ein Basis-Inventarverzeichnis zu erstellen.

Diese Methode bietet einen Erkennungsvorteil, ist aber auch insofern begrenzt, als dass sie nur oberflächliche Bestandsinformationen bis hinunter zu Stufe 2 des Purdue-Modells liefern kann und daher keine vollständige Bestandsaufnahme ermöglicht. Mit dieser Methode lassen sich auch die meisten Endpunkte und zugehörigen Komponenten auf Stufe 1 und Stufe 0 nicht erkennen. Hinzu kommen „isolierte“ Anlagen, die noch immer in einem geschlossenen Netzwerk betrieben werden und dadurch zumindest anfällig für Angriffe durch bewusste oder unbewusste Insider-Bedrohungen sind.

Production engineer. Technologist with laptop. Man works in factory. Engineer near industrial equipment. Chemical production. Master maintains industrial equipment. Man jobs in chemical plant
Speziell in Raffinerien werden in der Regel mehr als 6.000 Inventar-Endpunkte identifiziert. (Bild: Grispb – stock.adobe.com)

Detailliertes Anlageninventar

Die Technologie muss in der Lage sein, detaillierte Bestandsinformationen zu liefern, einschließlich Hersteller, Modell, Version und Seriennummer für jedes Stück Hardware, Firmware und Software, unabhängig davon, ob es mit dem Netzwerk verbunden ist oder nicht, und das in der gesamten industriellen Kontrollsystem-Umgebung.

In der Regel gibt es insgesamt weit mehr als 200 Komponenten pro DCS, mehr als 45 für ein SIS (Safety Instrumented System) und mehr als 40 für eine SPS. Hinzu kommt, dass beispielsweise für jeden Computer, jeden technischen Arbeitsplatz, jede Bedienerstation weit mehr als 450 Inventarelemente vorhanden sein können. Speziell in Raffinerien werden in der Regel mehr als 6.000 Inventar-Endpunkte identifiziert, die verwaltet und vor Cyberbedrohungen geschützt werden müssen.

Mehr als genügend Angriffsfläche also – und ohne ein gehöriges Maß an Überblick und Transparenz unmöglich zu verteidigen. Um das Cybersecurity-Risiko in einer ICS-Umgebung zu verringern, müssen die Bestandsinformationen jedes DCS und jedes Controllers, jede Ein-/Ausgangskarte (E/A), jedes Kommunikationsmodul und die Version der Software oder Firmware, die in jedes dieser Geräte geladen wurde, sowie die gleiche Detailgenauigkeit für SPS, SIS und Mensch-Maschine-Schnittstellen (HMI) umfassen. Die Transparenz, die entsteht, wenn Anwender diese Informationen erfassen, hilft dabei, Schwachstellen zu erkennen und potenzielle Einfallstore für Cyberangriffe zu verteidigen.

Sie möchten gerne weiterlesen?