OT- und ICS-Sicherheit

Was ist der Unterschied zwischen OT, ICS, SCADA und IIoT?

Was ist Betriebstechnologie (Operational Technology, kurz „OT“)?

OT ist Hardware und Software, die durch Steuerung oder Monitoring von Geräten, Prozessen und Ereignissen Veränderungen in der physischen Welt erkennen oder bewirken kann. OT erstreckt sich auf eine Vielzahl von Lösungen, darunter Ventile, Pumpen, Antriebe, Sensoren, Maschinen, Roboter und industrielle Steuerungssysteme (Industrial Control Systems). Diese Lösungen werden in Fertigungsbetrieben, Stromnetzen, Wasserwerken, in der Öl- und Gasindustrie, im Transportwesen und in vielen anderen Industriezweigen eingesetzt.

Was ist ein Industrial Control System (ICS)?

Ein ICS managt, automatisiert und steuert physische Prozesse in Industrieanlagen. Ein ICS steuert OT-Ressourcen nach einer Logik, die beispielsweise von Remote Terminal Units (RTU), intelligenten Elektrogeräten (IED), speicherprogrammierbaren Steuerungen (SPS), sicherheitsgerichteten Systemen (SIS), verteilten Steuerungssystemen (DCS) oder der Supervisory Control And Data Acquisition (SCADA) ausgeführt wird.

Was ist das Industrial Internet of Things (IIoT)?

IIoT bezieht sich auf IoT-Lösungen, die für die Anforderungen von Industrieprozessen und für die spezifischen Gegebenheiten in schwierigen Umgebungen entwickelt wurden, in dem Hitze, Staub, Feuchtigkeit oder Vibrationen ein Risiko sind. IIoT-Lösungen werden für Erfassung, Monitoring und Analyse von Daten aus Industrieprozessen eingesetzt, um die Fehlerbehebung und Wartung zu verbessern, die Effizienz zu steigern, Kosten zu senken und die Arbeitssicherheit zu erhöhen.

Was ist das Industrial IoT? >

Was ist ICS-Sicherheit?

Bei der ICS-Sicherheit dreht sich alles um den Schutz von Steuerungen und OT-Ressourcen vor Cyberbedrohungen. Sie sorgt für die Kontinuität, Integrität und Sicherheit des Betriebs in industriellen Netzwerken und kritischen Infrastrukturen. ICS-Sicherheit, OT-Sicherheit und Industrial IoT-Sicherheit sind unterschiedliche Begriffe, die dasselbe Ziel verfolgen: den Schutz von industriellen Automatisierungsgeräten und Betriebsnetzwerken vor Cyberbedrohungen.

Weshalb ist OT-Sicherheit wichtig?

Wir sind umgeben von industriellen Steuerungssystem (ICS) und Betriebstechnologien: in Wasser-, Gas- und Stromverteilungsnetzen, beim Betrieb von Kraftwerken und kritischen Infrastrukturen, bei der Automatisierung von Produktionslinien in Fabriken und bei der Bedienung von Verkehrsinfrastrukturen wie Straßenkreuzungen und Schienenverkehrssystemen. Cyberangriffe auf industrielle Netzwerke und kritische Infrastrukturen können weitreichende Folgen für ein Unternehmen, seine Kunden und die Allgemeinheit haben. Dazu gehören Betriebsunterbrechungen (die zu einem Produktionsstopp und Einnahmeverlusten führen können), Schäden an Anlagen, Arbeitsunfälle, Umweltkatastrophen, Probleme bei der Einhaltung von Vorschriften sowie zivil- und strafrechtliche Haftungsfragen.

Vor welchen Herausforderungen steht die OT-Cybersicherheit?

Früher waren ICS- und OT-Ressourcen vom übrigen Unternehmen und dem Internet isoliert. Im Zuge der Digitalisierung von Abläufen und des Einsatzes von Technologien der Industrie 4.0 benötigen Unternehmen eine nahtlose Kommunikation zwischen IT-, Cloud- und Betriebsnetzwerken. Diese setzt die ICS- und OT-Ressourcen jedoch erheblichen Cyberbedrohungen aus.

Mangelnde Transparenz

Manche OT-Ressourcen wurden bereits vor mehreren Jahren oder Jahrzehnten installiert und sind schädlichem Datenverkehr wie DDoS und Exploits von Schwachstellen schutzlos ausgeliefert. Erschwerend kommt hinzu, dass in den meisten Unternehmen kein umfassendes, aktuelles Bestandsverzeichnis der zu schützenden OT-Ressourcen vorhanden ist. Daher kann es schwierig sein, Risiken wie kritische Schwachstellen, Bedrohung durch Internetverkehr und Fehlkonfigurationen zu erkennen, die Kriminellen Zugang verschaffen könnten.

Mangelnde Kontrolle

Da industrielle Netzwerke häufig nicht segmentiert sind, ist es für Angreifer problemlos möglich, sich unbemerkt lateral zu bewegen und die gesamte Umgebung mit schädlichem Datenverkehr zu infiltrieren. Remote-Zugriff ist heutzutage weit verbreitet – dabei kommen häufig mobile Gateways oder Softwareprodukte zum Einsatz, die außerhalb der Kontrolle der IT-Teams liegen. Die Security-Tools, die die IT-Abteilung zum Schutz des Unternehmens einsetzt, können die von ICS- und OT-Ressourcen verwendeten Kommunikationsprotokolle nicht analysieren. Daher sind Bedrohungen besonders schwer zu erkennen.

Mangelnde Collaboration

In vielen Unternehmen sind der Chief Information Security Officer (CISO) und die IT-Teams gemeinsam für die Cybersicherheit verantwortlich, besitzen aber nur selten das Fachwissen über Betriebs- und Prozesssteuerungstechnologien. OT-Teams würden manchmal am liebsten ein „Betreten verboten“-Schild an ihre Netzwerke hängen, doch fehlendes Vertrauen und mangelnde Collaboration zwischen OT- und IT-Abteilungen können verheerende Auswirkungen auf die Sicherheit eines Unternehmens haben.

In welchen Punkten unterscheidet sich die OT-Sicherheit von der IT-Sicherheit?

Die IT-Cybersicherheit und OT-Cybersicherheit gleichen sich in vielen Punkten: In beiden Bereichen gilt es beispielsweise, die Systeme vor Malware zu schützen, schädlichen Datenverkehr zu verhindern, den Zugriff auf Ressourcen zu kontrollieren und Schwachstellen zu beseitigen. Aufgrund der physischen Beschaffenheit von OT-Umgebungen ergeben sich jedoch Besonderheiten, die bei der Entwicklung einer Security-Strategie für Betriebstechnologie berücksichtigt werden müssen.

Für OT-Teams steht die Verfügbarkeit an erster Stelle, nicht die Vertraulichkeit.

In der IT-Welt sind Vertraulichkeit, Integrität und Verfügbarkeit von Daten ein Muss. Zwar ist Datendiebstahl auch im OT-Bereich gefürchtet, doch hat die Aufrechterhaltung der Betriebszeit Priorität. Dies wird nachvollziehbar, wenn wir uns beispielsweise einmal die Folgen eines Stromausfalls, der Abschaltung von Ampeln oder der Schließung einer Pipeline vor Augen führen. Der Neustart eines Computers oder das Trennen eines verdächtigen Geräts mag in der Welt der IT durchaus üblich sein, in der Welt der OT kann dies jedoch zu enormen Risiken für die physische Infrastruktur und zu erheblichen Umsatzeinbußen für Unternehmen führen.

OT-Ressourcen haben andere Lebenszyklen.

Die Lebenszyklen von OT-Systemen (15 bis 30 Jahre oder mehr) sind viel länger als diejenigen von IT-Systemen (3 bis 5 Jahre). Manchmal sind Ressourcen so alt, dass keine Sicherheitspatches mehr verfügbar sind. Und wenn Patches verfügbar sind, ist deren Installation schwierig. Da die Ressourcen bzw. Anlagen im Rahmen von geschäftskritischen Prozessen ausgeführt werden, werden sie selten – oder nie – angehalten. Die von der IT-Abteilung in ihrer Umgebung angewandten erprobten Verfahren funktionieren im OT-Bereich einfach nicht.

Normale Verhaltensweisen können sich als Cyberangriffe entpuppen.

Das Eindringen von Malware ist zwar die häufigste Bedrohung für OT-Umgebungen, allerdings gibt es auch äußerst raffinierte Angriffe, bei denen grundlegende Parameter des industriellen Prozesses so verändert werden, dass dieser nicht mehr normal ablaufen kann. Zur Erkennung von Änderungen im industriellen Prozess muss der industrielle Netzwerkverkehr entschlüsselt werden und es muss genau bekannt sein, was normal sein sollte, um die Rechtmäßigkeit der gesendeten Befehle beurteilen zu können.

OT-Ressourcen verwenden bestimmte Kommunikationsprotokolle.

Für die Identifizierung von OT-Ressourcen, die Ermittlung ihres Verhaltens und die Erkennung von Anomalien müssen die Payloads von Paketen entschlüsselt und die Kommunikationsinhalte analysiert werden. Die Entschlüsselung von Protokollen wie Modbus, S7, Profinet, EtherNet/IP, CIP, NTCIP, CC-Link, IEC104/101/61850, DNP3 und OPC ist für die Sicherheit industrieller Netzwerke und kritischer Infrastrukturen von entscheidender Bedeutung. Da derartige Funktionen in IT-Sicherheitslösungen meist nicht verfügbar sind, werden OT-Security-Tools benötigt, um einen genauen Einblick in die Betriebsumgebung zu erhalten.

Was ist das Purdue-Modell für ICS-Sicherheit?

Die Purdue Enterprise Reference Architecture (PERA) wurde in den 1990er Jahren vom Purdue Laboratory for Applied Industrial Control (PLAIC) der Purdue University entwickelt. Sie wurde später in die internationale Norm ANSI/ISA-95 der International Society of Automation (ISA) integriert.

Das Purdue-Modell ist ein Framework für die Segmentierung von Netzwerken für Industrial Control Systems (ICS) in Unternehmensnetzwerken und die Organisation von Systemen entsprechend ihrer Rolle im industriellen Netzwerk:

• Ebene 0 (Prozesszone): enthält Geräte, die mit der physischen Umgebung interagieren (Sensoren, Aktoren, Maschinen).
• Ebene 1 (Steuerungszone): enthält intelligente Geräte, die Befehle an Geräte der Ebene 0 senden; umfasst speicherprogrammierbare Steuerungen (SPS), Remote Terminal Units (RTU), intelligente elektronische Geräte (IED) und sicherheitsgerichtete Systeme (SIS).
• Ebene 2 (Überwachungszone): enthält Systeme für Steuerung und Monitoring des physischen Prozesses, wie verteilte Steuerungssysteme (DCS), Supervisory Control and Data Acquisition (SCADA) und Human Machine Interfaces (HMI).
• Ebene 3 (Betriebszone): fungiert als Rechenzentrum des Betriebsnetzwerks und beherbergt Systeme, die für die Steuerung des industriellen Prozesses zuständig sind; umfasst Manufacturing Execution Systems (MES) und Verlaufsaufzeichnungen für Daten.
• Ebenen 4 und 5 (Unternehmenszone): umfassen das traditionelle IT-Unternehmensnetzwerk, in dem sich Geschäftssysteme wie Enterprise Resource Planning (ERP) und E-Mail-Server befinden, einschließlich der Benutzerrechner und zugehörigen Funktionen.

Das Modell sieht zwar sechs Funktionsebenen vor, unterteilt aber die industriellen Unterstützungsprozesse in drei Hauptbereiche:

1. Die Unternehmenszone (Ebenen 4 und 5) umfasst IT-gesteuerte Umgebungen, einschließlich Unternehmensrechenzentren, LAN, WAN und das Hosting von Geschäftsanwendungen.
2. Die industrielle demilitarisierte Zone (IDMZ) ist der Puffer zwischen den kritischen Umgebungen oder Produktionssystemen und dem Unternehmensnetzwerk. Alle gemeinsam genutzten Services zwischen der industriellen Zone und der Unternehmenszone befinden sich in der IDMZ.
3. Die industrielle Sicherheitszone (Ebenen 0 bis 3) enthält kritische Betriebssysteme einschließlich der Zellen-/Bereichszone, in der häufig und mit niedriger Latenz oder in Echtzeit kommuniziert wird.

Was sind OT-Cybersicherheitsstandards?

NIST Cybersecurity Framework (CSF)

Bei dem Cybersecurity Framework (CSF) handelt es sich um eine Reihe von Best Practices und Empfehlungen des National Institute of Standards and Technology (NIST) für Cybersicherheit. Es verwendet ein einfaches Modell mit fünf Schlüsselfunktionen, die Ihnen dabei helfen, Ihren Ansatz zu strukturieren: Identifizierung, Schutz, Erkennung, Reaktion und Wiederherstellung.

Whitepaper zum NIST Cybersecurity Framework lesen (PDF) >

NIST SP 800-82

Die Dokumentation „NIST Special Publication 800-82, Guide to Operational Technology (OT) Security“ vermittelt einen detaillierten Überblick über OT und deckt typische Systemtopologien, gängige Bedrohungen und Schwachstellen sowie Sicherheitsmaßnahmen zur Bewältigung der damit verbundenen Risiken ab.

NIST-Leitfaden zur OT-Sicherheit lesen (PDF) >

ISA99/IEC 62443

Die International Society of Automation (ISA) und die International Electrotechnical Commission (IEC) haben gemeinsam verschiedene OT-Sicherheitsstandards entwickelt, die als ISA99 und IEC 62443 bekannt sind. In diesen Normen werden Methoden zur Risikobewertung, zur Entwicklung sicherer Komponenten, zur Gestaltung einer sicheren Architektur für industrielle Netzwerke und zur Ermittlung des Reifegrads für jede Sicherheitsanforderung definiert.

Whitepaper zu ISA/IEC-62443-3-3 lesen >

NERC CIP

Das Berichts- und Audit-Compliance-Programm North American Electric Reliability Corporation Critical Infrastructure Protection (NERC CIP) erleichtert den Stromversorgern in den Vereinigten Staaten und den angrenzenden Ländern die Cybersicherheit auf Systemebene.

Whitepaper zur NERC CIP-Compliance lesen >

NIS/NIS-2-Richtlinie der EU

Die Richtlinie zur Netzwerk- und Informationssicherheit (NIS) ist eine Gesetzgebung zur Cybersicherheit, die in allen Mitgliedsstaaten der Europäischen Union umgesetzt wird. Sie zielt darauf ab, die Sicherheit und Widerstandsfähigkeit kritischer Infrastrukturen zu erhöhen, und sie enthält Sicherheitsanforderungen, Meldepflichten und strenge Aufsichtsmaßnahmen.

Whitepaper zur NIS-2-Compliance lesen (PDF) lesen

Was sind Best Practices für die OT-Sicherheit?

Da Betriebsnetzwerke auf IT-Technologien basieren, sind für die OT-Sicherheit dieselben Cybersicherheitslösungen erforderlich wie für IT-Netzwerke, also beispielsweise Perimetersicherheit, Endpunktschutz, Multifaktor-Authentifizierung (MFA) und Schulungen von Teams. Um den besonderen Gegebenheiten von OT-Umgebungen gerecht zu werden, müssen jedoch spezifische Maßnahmen ergriffen werden. Mit Cisco Industrial Threat Defense, der OT-Sicherheitslösung von Cisco, können Sie Ihren OT-Sicherheitsstatus stärken.

Schränken Sie die Kommunikation zwischen IT- und OT-Domänen ein

Die erste Maßnahme auf dem Weg zur OT-Sicherheit ist die Beschränkung des logischen Zugriffs auf das OT-Netzwerk. Häufig wird ein IDMZ-Netzwerk mit Firewalls eingerichtet, die verhindern, dass der Netzwerkverkehr direkt zwischen dem Unternehmens- und dem OT-Netzwerk übertragen wird. Die IDMZ-Firewall ist die erste Verteidigungslinie, mit der Angreifer konfrontiert werden, wenn sie versuchen, in das Netzwerk einzudringen. Sie ist darüber hinaus der Durchsetzungspunkt für den Zugriff nach dem Least-Privilege-Prinzip, damit seriöse Services die Grenze auf sichere Weise überschreiten können.

Cisco Secure Firewall entdecken >

Pflegen Sie eine ausführliche Bestandsliste Ihrer OT-Ressourcen

Sie können nur schützen, was Sie kennen. Die Pflege eines detaillierten Bestandsverzeichnisses der betrieblichen Technologieressourcen ist die Grundvoraussetzung für ein OT-Sicherheitsprogramm. Durch die Transparenz der OT-Umgebung können Risiken wie Softwareschwachstellen, unbekannte Ressourcen, IDMZ-Lecks und unnötige Kommunikation ermittelt werden. Nur so können Unternehmen den Unterschied zwischen Angriffen und vorübergehenden Zuständen oder dem normalen Betrieb des OT-Netzwerks erkennen.

Cisco Cyber Vision entdecken >

Unterteilen Sie OT-Netzwerke in kleinere Vertrauenszonen

Viele industrielle Netzwerke haben sich im Laufe der Jahre zu großen, flachen Layer-2-Netzwerken entwickelt. Die Kommunikation zwischen den Ressourcen muss nun unbedingt eingeschränkt werden, um zu verhindern, dass sich Angriffe ausbreiten und die gesamte Produktionsinfrastruktur gefährden. In den Sicherheitsstandards ISA/IEC-62443 wird empfohlen, dass Systeme in Gruppen (sogenannte „Zonen“) aufgeteilt werden, die über Kanäle (sogenannte „Conduits“) miteinander kommunizieren.

Die Verwendung von Firewalls für die Zonensegmentierung erfordert den Einsatz spezieller Security-Appliances, die Änderung der Netzwerkverkabelung und das Management von Firewall-Regeln. Mithilfe der Softwaresegmentierung können Sie jedoch Sicherheitsrichtlinien durchsetzen und sichere Zonen im gesamten Industrienetzwerk einrichten, ohne dass Sie spezielle Security-Appliances einsetzen und warten müssen.

Cisco Identity Services Engine (ISE) entdecken >

Setzen Sie Zero-Trust-Remote-Zugriff auf OT-Ressourcen durch

Durch den Remote-Zugriff können OT-Ressourcen ohne zeit- und kostenaufwändige Besuche vor Ort gemanagt und Fehler behoben werden. In vielen Unternehmen haben Maschinenbauer, Wartungsfirmen oder die Betriebsteams selbst mobile Gateways oder Software für den Remote-Zugriff installiert, die außerhalb der Kontrolle der IT-Abteilung liegen. Andererseits erfordern in der IDMZ installierte Virtual Private Networks (VPNs) das Management komplexer Firewall-Regeln, und sie haben keinen Zugriff auf Geräte hinter den NAT-Grenzen.

Es werden immer häufiger Lösungen für Zero-Trust Network Access (ZTNA) eingesetzt, um Unternehmen bei der Eindämmung von Cyberrisiken zu unterstützen. ZTNA ist ein sicherer Service für den Remote-Zugriff, der User verifiziert und ihnen unter Berücksichtigung von Identitäts- und Kontextrichtlinien nur Zugriff auf bestimmte Ressourcen gewährt. Zunächst wird standardmäßig eine Verweigerungshaltung eingenommen, und es wird dann flexibel das zum jeweiligen Zeitpunkt benötigte Vertrauen gewährt. In OT-Umgebungen muss ZTNA jedoch zur Vereinfachung der Bereitstellung in großem Maßstab verbreitet werden und Zugriff auf alle Ressourcen ermöglichen.

Cisco Secure Equipment Access (SEA) entdecken >

Ermöglichen Sie den Sicherheitsteams einen ganzheitlichen Überblick über IT und OT

Neben der Identifizierung und dem Schutz von OT-Ressourcen muss die OT-Sicherheit auch Ereignisse in Bezug auf die Cybersicherheit erkennen und auf diese reagieren. Häufig wird die OT-Sicherheit isoliert gehandhabt, sodass SicherheitsanalystInnen keinen Überblick über die globale Bedrohungslandschaft haben, der das Unternehmen ausgesetzt ist. Die für Sicherheitsverfahren zuständigen Teams benötigen Lösungen, die es ihnen ermöglichen, problemlos Beobachtungswerte über die IT- und OT-Domänen hinweg zu untersuchen und Korrekturmaßnahmen zu ergreifen, um zu verhindern, dass eine Bedrohung mehrere Domänen erreicht.

Cisco XDR entdecken >

Wappnen Sie sich für das Schlimmste

Im Idealfall greift die Cybersicherheit schon, bevor ein Ernstfall eintritt. In jedem Unternehmen sollten die Beschäftigten regelmäßig in Bezug auf Best Practices der Cybersicherheit geschult werden. Der Aufbau Ihrer OT-Sicherheit beinhaltet auch das Testen Ihrer Abwehr, die Erstellung von Playbooks und die Durchführung von theoretischen Übungen.

Cisco Talos Incident-Response-Services entdecken >