OT-Cybersicherheit – eine Gesundheitsvorsorge für IT & OT

Das Virtuelle verschmilzt immer mehr mit der realen Welt – so auch im Falle von Produktionsumgebungen und kritischer Infrastruktur (OT). Das betrifft beinahe alle Arten von Unternehmen: vom Autohersteller über Transportlogistik bis hin zu Krankenhäusern oder die Wasserversorgung. Damit erhalten Cyberangriffe eine neue, bisher unbekannte Dimension: Durch Attacken wird nicht „nur“ die IT lahmgelegt, sondern – im Extremfall – die gesamte Produktion eines Unternehmens oder die Grundversorgung der Bevölkerung. Eine gute „Gesundheitsvorsorge“ ist daher das A und O für die Industrie 4.0. Dazu gehört es, die durch Bedrohungen entstehenden Risiken für Ihre IT und OT zu analysieren und die richtigen Maßnahmen abzuleiten, um für den Ernstfall gewappnet zu sein – aber vor allem auch, um Cyberangriffe proaktiv zu verhindern.

1. OT im (Arbeits-)Alltag
2. OT und ihre Schwachstellen
3. Das Power-Duo im Bereich OT Security
4. Der OT Health-Check - Gesundheitsvorsorge für IT & OT
   ---
   Fazit

OT im (Arbeits-)Alltag

Die Verwendung und der Schutz von IT (Information Technology) ist heute eine Selbstverständlichkeit. Egal, ob das den PC mit Virenscanner daheim betrifft oder eine ausgefeilte IT-Struktur in einem Unternehmen, das z.B. durch das SOC Austria von ACP geschützt wird. Bei der Transformation zur Industrie 4.0 ist die Schnittstelle zur realen OT (Operational Technology) – der Produktion im weitesten Sinne – unabdingbar. Deshalb kommt zur klassischen IT-Security nun auch die OT-Security hinzu - der Schutz der Verbindung zur realen Welt – von den Produktionsmaschinen, bis hin zum in die Jahre gekommenen Maschinenpark.

Daniel Miedler ist Lead Expert in Sachen Security und Network bei ACP und weiß, weshalb gerade jetzt die OT und deren Schnittstellen zur IT im Fokus von Sicherheitsmaßnahmen stehen sollten. „Mehr und mehr wachsen die Bereiche der OT- und IT-Umgebungen durch die Digitalisierung zusammen. Das hat längst in der Industrie Einzug gehalten“, erklärt der Fachmann. „Nun möchte man Probleme erkennen, bevor es zum Stillstand kommt. Das betrifft die vorausschauende Wartung bis hin zur aktiven Produktionssteuerung. Wir sprechen bei der OT von Bereichen wie der Energieversorgung, Fertigung und Logistik. Hinzu kommt noch die kritische Infrastruktur (KRITIS) wie Krankenhäuser, das Gesundheitswesen oder die Wasserversorgung. OT betrifft mehr oder weniger unseren gesamten Alltag. Wir würden es rasch merken, wenn die Verbindung zwischen IT und OT nicht mehr funktioniert!“

OT und ihre Schwachstellen

Durch die Verschmelzung von IT und OT ergeben sich viele Möglichkeiten aber auch neue Bedrohungsszenarien. Miedler umreißt die „Dreifaltigkeit“ der möglichen Angriffsziele: „Das ist zum einen der Mensch, der durch Praktiken wie Social Engineering mehr und mehr in den Fokus von Cybercrime rückt. Zum anderen sind es Schwachstellen in der Organisation, wo nicht klar ist, was im Falle eines Angriffs zu tun ist, und wichtige Prozesse fehlen. Drittens ist es die Technologie selbst, die durch falsches Handling Angriffe erst möglich macht.“

ACP beschäftigt sich seit vielen Jahren mit dem Gebiet der IT-Sicherheit. Der Unterschied zu OT-Systemen liegt vor allem in den Lebenszyklen: IT ist etwas Schnelllebiges und entwickelt sich rasch weiter. Bereits nach wenigen Jahren werden Systeme erneuert, Schwachstellen aufgespürt, gepatcht und ausgebügelt. Doch die Produktion und die kritische Infrastruktur sind zum Teil auf Jahrzehnte ausgelegt: Was bisher isoliert – trivial gesagt: offline – funktionierte, war geschützt, es herrschte eine deutliche Trennung. Kam es zu Angriffen auf die IT, war die Produktion kaum beeinträchtigt.

Das ändert sich. „Wo Licht ist, ist auch Schatten“, merkt Miedler an: „Durch die Zusammenführung von IT und OT, werden Angriffe auf das Kerngeschäft möglich, sodass z.B. die Steuerung von Equipment nicht mehr funktioniert. Hier kommen zwei wichtige Schwachpunkte ins Spiel: Der Lebenszyklus von Produktionsmaschinen und KRITIS sowie die Schnittstelle zwischen OT und IT. Wenn Systeme zwanzig Jahre alt sind, dann tun sich dort natürlich Schwachstellen auf. Aufgrund des Alters der Ausstattung können diese nicht mehr direkt behoben oder gepatcht werden. Auch die Schnittstellen zwischen IT und OT weisen Schwachpunkte auf. Wenn ich diese nicht direkt an den Maschinen beheben kann – z. B. weil sie zu alt sind - bewährt sich die Segmentierung. Man kann sich diese wie unterschiedliche Stockwerke in einem Hotel vorstellen. Zutritt erhalte ich ausschließlich für jene Räume, für die ich eine freigeschaltete Schlüsselkarte besitze. Es wird also nur auf eine bestimmte Schicht (auf ein Stockwerk und einzelne Räume) und damit auf einen isolierten Teil des Systems zugegriffen, was die Möglichkeit von Cyberangriffen deutlich reduziert.“ Besonders wichtig ist die genaue Kenntnis des Systems. Es braucht die Visibilität der Vorkommnisse, der Probleme und der einzelnen Segmente. Erst dann können nicht valide Zugriffe erkannt, unterbunden und Schwachstellen behoben werden. Diese Visibilität liefert ACP.

Das Power-Duo im Bereich OT Security

Hier kommt der amerikanische Cyber Security-Gigant Fortinet ins Spiel. Er schützt seit zwei Jahrzehnten u.a. staatliche Infrastrukturen und ist der präferierte Firewall-Hersteller von ACP. Fortinet sorgt für eine Barriere zwischen IT und OT und erlaubt ausschließlich valide Zugriffe. Es ermöglicht zudem das Virtual Patching. Miedler erklärt: „Kann ich nicht direkt auf dem System patchen, dann muss das im Vorfeld passieren. Das betrifft das Erkennen von validen und nicht validen Zugriffen sowie von Angriffen. Das Blockieren und das Verhindern von Attacken passiert noch bevor die eigentlichen Ziele erreicht werden. Das gelingt durch einen genauen und tiefen Einblick in Datenströme und in die Protokollebene. Hier sprechen wir von einer Deep Packet Inspection, bei der wir Abweichungen von Normalwerten aufspüren und ein bösartiges Ausnutzen in der Kommunikation und des Systemverhaltens verhindern.“ Eine weitere Stärke von Fortinet ist die Remote Access-Funktionalität: Dritte, die beispielsweise die Produktionsanlagen warten, erhalten Remote-Zugriff ausschließlich auf gewünschte Ziele, und nur dort, wo er nötig ist.

Die ACP-Fortinet-Lösungen sind einfach in bestehende IT-Infrastrukturen integrierbar und eine Erweiterung der ACP-Kernkompetenz. „IT-Systeme müssen unter den unterschiedlichsten, manchmal rauen Bedingungen funktionieren, sei es bei hohen Temperaturschwankungen oder bei großer Staubentwicklung“, erläutert Daniel Miedler. „Wir liefern von der Hardware-Beratung über das Konzept bis hin zur IT und der Firewall von Fortinet alles, was die Sicherheit des gesamten Systems betrifft. Fortinet nennt das ,Security Fabric‘, also einen Stoff, in dem IT, OT und unterschiedliche Sicherheitsdisziplinen zu einer Einheit verwoben sind. Sie bekommen einen konvergenten Überblick über die Bedrohungslage, über Ihre Infrastruktur und über mögliche, verdächtige Auffälligkeiten, Zugriffe und Angriffe.“ Die Analyse von Datenströmen geschieht dabei in Echtzeit und vollautomatisch, denn bereits bei kleineren Systemen ergibt sich eine riesige Anzahl an Datenpunkten und hunderttausende Events.

Experten stehen mit Rat und Tat zur Seite – auch im Vorfeld.

Abseits der Intelligenz der Software wird zusätzlich das Wissen jener ExpertInnen benötigt, die außergewöhnliche Events analysieren, welche nicht automatisch erkannt und behoben werden können. „Mit SOC Austria - dem Security Operation Center der ACP - bieten wir diese Expertise an. Mit unseren Managed Services bauen wir nicht nur die IT-Infrastruktur auf und betreiben sie, sondern analysieren auch Bedrohungslagen“, so Miedler. Zusätzlich im ACP-Cyber Security-Angebot: Workshops, e-Learning und Security-Awareness-Trainings für Mitarbeiter.

Besonderer Wert wird darauf gelegt, dass Unternehmen organisatorische Trennungen durchsetzen. So sollten z.B. auf Geräten zur Produktionssteuerung keine Office-Tätigkeiten, wie E-Mail, uneingeschränkter Internetzugriff etc. vorgenommen werden – damit wird bereits eine organisatorische Barriere gegen Angriffe errichtet. Beim Schutz von produzierenden Unternehmen und der Kritischen Infrastruktur (KRITIS) ist die Aufgabenstellung ein wenig heikler, zudem unterliegen diese Unternehmen Behördenauflagen, wie der Meldepflicht von Cyberangriffen.

Der OT Health-Check von ACP

Schwachstellen aufspüren, einen Überblick über die Bedrohungslage und Auswirkungen von Cyberattacken geben sowie der Schutz von IT und OT – das erledigt der ACP Cyber Security Health Check für die Industrie 4.0. „Wir analysieren, was ein stillstehender oder eingeschränkter Betrieb bedeutet. Wie schlimm ist ein Datenverlust für das Unternehmen? Wie betrifft es, auch rechtlich, Firmen, die Teil einer Lieferkette sind? Es gibt Risiken, denen jedes Unternehmen ausgesetzt ist und deren Eintrittswahrscheinlichkeit gleich hoch ist. Doch die Auswirkungen auf einen laufenden Betrieb können individuell sehr unterschiedlich ausgeprägt sein. Der Health Check ist eine Analyse vor Ort, die aufzeigt, wo Handlungsbedarf besteht und nach der wir Lösungsvorschläge ausarbeiten“, erklärt Miedler.

Fazit: OT Security als Selbstverständlichkeit

Die zunehmende Vernetzung  von IT und OT macht es notwendig, unsere OT-Umgebungen mit derselben Selbstverständlichkeit zu schützen, wie wir es auch bei unserer IT-Infrastruktur tun. Mit IT und OT treffen hier zwei verschiedene Welten aufeinander - die virtuelle und die reale, die digitale und die physische, die schnelllebige und die langfristige . Verknüpft man diese beiden Welten erhält man erstaunliche Optimierungs-, Automatisierungs-  und Analysemöglichkeiten. Gleichzeitig muss man aber auch mit neuen Schwachpunkten umgehen können. Darum ist es essentiell bei der Planung und Umsetzung auf die notwendige Sicherheit zu achten, um proaktiv Schwachstellen als mögliche Einfallstore für Cyberattacken zu schließen und im Ernstfall die richtigen Maßnahmen ergreifen zu können.