Industrielle Sicherheit
OT Security: so schützen Sie Industrieanlagen und die Geräte darin
OT Security schützt Operational Technology (OT): die programmierbaren Systeme und Geräte, die physische Prozesse überwachen und steuern, etwa SPS, industrielle Steuerungen, Gebäudeautomation und Roboter. Anders als in der Büro-IT haben Verfügbarkeit und Sicherheit Vorrang, daher wird jede Maßnahme so gewählt, dass sie den Prozess nicht stört.
Free-Tarif, keine Kreditkarte erforderlich.
Was ist Operational Technology?
NIST SP 800-82 Rev. 3, der US-Leitfaden zur OT-Sicherheit vom September 2023, beschreibt OT als eine breite Palette programmierbarer Systeme und Geräte, die mit der physischen Umgebung interagieren oder Geräte verwalten, die das tun. Zu den Beispielen zählen industrielle Steuerungssysteme, Gebäudeautomation, Verkehrssysteme und physische Zutrittskontrolle.
Industrielle Steuerungssysteme waren lange isoliert, liefen jahrzehntelang und sprachen proprietäre Protokolle. Viele sind heute mit Unternehmensnetzen, Cloud-Diensten und Fernwartungswerkzeugen verbunden, und viele Steuerungen, Gateways und Bedienpanels laufen mit kommerzieller oder Open-Source-Software, darunter Embedded Linux. Diese Vernetzung bringt Schwachstellen wie aus der IT in die Anlage.
Wie sich OT Security von IT-Sicherheit unterscheidet
Dieselben Angriffstechniken funktionieren in beiden Welten, aber die Prioritäten sind andere. Der Leitfaden des NIST behandelt OT-Sicherheit unter Berücksichtigung der besonderen Anforderungen an Leistung, Zuverlässigkeit und Sicherheit; deshalb lassen sich IT-Werkzeuge und Gewohnheiten nicht einfach in eine Anlage übertragen.
| Aspekt | Büro-IT | OT |
|---|---|---|
| Erste Priorität | Vertraulichkeit und Integrität von Daten | Verfügbarkeit und Sicherheit des physischen Prozesses |
| Updates | Regelmäßig, oft automatisch | Um die Produktion herum geplant; manche Systeme lassen sich nicht schnell aktualisieren |
| Lebensdauer | Einige Jahre | Oft deutlich länger, manchmal Jahrzehnte |
| Tests | Meist auf Livesystemen möglich | Aktive Scans können Steuerungen stören; Tests laufen in Testumgebungen oder passiv |
| Änderungen | Häufig | Streng kontrolliert, oft mit erneuter Sicherheitsabnahme |
Die wichtigsten Risiken in der OT Security
Die meisten OT-Vorfälle beginnen mit gut bekannten Schwächen. Leitfäden für industrielle Systeme nennen immer wieder dieselben:
- Flache Netze, in denen ein Angreifer, der das Büronetz erreicht, auch Steuerungen erreichen kann.
- Fernzugriff für Lieferanten und Wartung, der Sicherheitsmaßnahmen umgeht.
- Standard- oder gemeinsam genutzte Zugangsdaten auf Steuerungen, Bedienpanels und Engineering-Arbeitsplätzen.
- Bekannte Schwachstellen in veralteten Betriebssystemen, Firmware und Komponenten von Drittanbietern, die jahrelang ungepatcht bleiben.
- Industrielle Protokolle, die ohne Authentifizierung entworfen wurden, sodass jeder im Netz Befehle senden kann.
- Geringe Transparenz: kein vollständiges Inventar von Assets, Firmware-Versionen und den darin enthaltenen Softwarekomponenten.
IEC 62443: das Referenzwerk für OT Security
Die Reihe ISA/IEC 62443, entwickelt vom Technischen Komitee 65 der IEC gemeinsam mit dem Komitee ISA99, ist das internationale Referenzwerk für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme. Sie ordnet Sicherheit nach Rollen: der Betreiber (Asset Owner), der die Anlage betreibt, der Integrator, der das System aufbaut, und der Produktlieferant, der die Komponenten herstellt.
Für Betreiber definieren die Systemteile Zonen und Conduits, Risikobeurteilung und Security-Level. Für Produkthersteller legt IEC 62443-4-1 Anforderungen an einen sicheren Entwicklungslebenszyklus fest und IEC 62443-4-2 die technischen Sicherheitsfähigkeiten von Komponenten wie Steuerungen, Sensoren und Gateways. Der IEC-62443-Leitfaden auf dieser Website behandelt die Reihe im Detail.
Wo Firmware und Software-Lieferkette ins Spiel kommen
Jede Steuerung, jedes Gateway, jedes Bedienpanel und jeder Industrie-PC läuft mit Firmware, die aus Komponenten gebaut ist, oft mit Open-Source-Bibliotheken, einem Linux-Kernel und Netzwerkdiensten. Wird in einer dieser Komponenten eine Schwachstelle veröffentlicht, stellen sich Betreiber und Gerätehersteller dieselbe Frage: Welche Produkte und Versionen enthalten sie?
Deshalb wird eine Software-Stückliste (SBOM) je Firmware-Version zu einer üblichen Anforderung industrieller Kunden. IEC 62443-4-1 verlangt von Produktlieferanten das Management von Sicherheitsfehlern und Sicherheitsaktualisierungen, und der EU Cyber Resilience Act wird Hersteller von Produkten mit digitalen Elementen, darunter viele Industriekomponenten, verpflichten, eine SBOM zu erstellen und Schwachstellen während des gesamten Unterstützungszeitraums zu behandeln.
Erste Schritte für ein OT-Security-Programm
Die meisten Rahmenwerke beginnen am selben Punkt: wissen, was man hat, und dann die Erreichbarkeit verringern.
- Erstellen Sie ein Asset-Inventar, das Firmware-Versionen und, soweit verfügbar, die Softwarekomponenten in jedem Gerät enthält.
- Segmentieren Sie Netze in Zonen und kontrollieren Sie die Conduits dazwischen, wie es IEC 62443-3-2 und 3-3 beschreiben.
- Kontrollieren und protokollieren Sie den Fernzugriff und entfernen Sie Standard-Zugangsdaten.
- Verfolgen Sie die Schwachstellen, die Ihre Geräte betreffen, anhand von Herstellerhinweisen und dem KEV-Katalog der CISA, und planen Sie Updates um die Produktion herum.
- Fordern Sie von Lieferanten SBOMs, Zusagen zu Sicherheitsaktualisierungen und eine Kontaktstelle für die Offenlegung von Schwachstellen.
Heute in KROMSE verfügbar
KROMSE überwacht keine OT-Netze, erkennt keine Anlagen-Assets und prüft keine industriellen Protokolle. Es analysiert die Software und Linux-basierte Firmware der Geräte, die Sie herstellen oder betreiben.
- Linux-basierte Firmware-Images bis 512 MB, rekursiv entpackt, wobei Pakete gegen OSV.dev geprüft und Binärdateien offline mit NVD-basierten Schwachstellendaten abgeglichen werden.
- Verschlüsselte Images sowie Bare-Metal- oder RTOS-Firmware ohne Dateisystem werden als nicht analysierbar gemeldet, nicht als unbedenklich.
- CycloneDX- und SPDX-SBOMs für jeden Scan.
- Kontext zu Befunden aus CISA KEV, FIRST EPSS, NVD und ENISA EUVD, wobei bekanntermaßen ausgenutzte Schwachstellen markiert werden.
Häufige Fragen
Wofür steht OT in OT Security?
Für Operational Technology: die Hardware und Software, die physische Anlagen und Prozesse überwacht und steuert, im Unterschied zur Informationstechnik, die Daten verarbeitet. Industrielle Steuerungssysteme sind der Kern der OT.
Ist OT Security dasselbe wie ICS-Sicherheit?
Weitgehend. Die Sicherheit industrieller Steuerungssysteme (ICS) ist der Kern der OT Security. OT ist der weitere Begriff und umfasst auch Gebäudeautomation, Verkehrssysteme, physische Zutrittskontrolle und andere Systeme, die auf die physische Welt einwirken.
Welche Normen gelten für OT Security?
Die Reihe ISA/IEC 62443 ist die internationale Referenz, und NIST SP 800-82 Rev. 3 ist ein weit verbreiteter Leitfaden. In der EU legt NIS2 Pflichten für Einrichtungen in vielen Sektoren fest, und der Cyber Resilience Act erfasst Produkte mit digitalen Elementen, darunter viele Industriekomponenten.
Kann ich OT-Netze mit einem IT-Schwachstellenscanner prüfen?
Nicht ohne große Vorsicht auf laufenden Produktionssystemen: Aktive Scans können ältere Steuerungen überlasten oder stoppen. OT-Teams bevorzugen meist passives Monitoring, Scans in einer Testumgebung oder die Analyse von Firmware und Software vor dem Einsatz.
Ist KROMSE eine OT-Security-Plattform?
Nein. KROMSE überwacht keine Anlagennetze und keine industriellen Protokolle. Es findet bekannte Schwachstellen in der Software und Linux-basierten Firmware vernetzter Geräte und erstellt SBOMs, was die Geräteseite eines OT-Security-Programms unterstützt.