Die Besicherung von Operational Technology steht, nicht nur für kritische Infrastrukturen, mehr denn je im Fokus der Bemühungen. Aber warum ist sie so schwer?
Was ist OT-Security
Operationale Systeme sind solche, die für eine bestimmte Aufgabe – in der Regel eine Art Automatisierung – konzipiert sind. Auf Grund Ihres Aufbaus verhalten Sie sich anders und müssen anders besichert werden. Sicherheit grundsätzlich herzustellen ist notwendig, um Störungen wie Ausfälle zu vermeiden. Durch die Vernetzung der OT mit anderen Systemen und Bereichen, wie beispielsweise die Büro-IT, wurden die OT-Systeme anfälliger gegenüber Angriffen, beispielsweise aus dem Internet. Die digitale Transformation macht die Vernetzung notwendig und sinnvoll, bedingt aber ein gutes Schutz-Niveau für die Automatisierungsanlagen.
Unterschiede zwischen IT und OT
Denkt man an die klassische On-Premise IT, dann besteht eine IT-Landschaft in der Regel aus Clients und Servern, die über Netzwerke miteinander kommunizieren. Beide Arten von Systemen verfügen über Betriebssystem, Möglichkeit zur benutzerspezifischen Anmeldung und werden mit installierten Software-Produkten wie Desktop-Firewall und Virenscanner gegen Bedrohungen geschützt. Das Netzwerk lässt sich durch Firewalls ebenfalls absichern.
Diese zugegeben vereinfachte Strukturbeschreibung lässt sich grundsätzlich auch auf die OT übertragen. Auch dort gibt es Systeme, die sich “wie IT-Systeme” verhalten, denn nicht alles ist dedizierte Automatisierungstechnik. Diese gibt es jedoch auch. Systeme zur Automatisierung sind meistens ein heterogener System-Mix, abgestimmt auf die gewünschte Funktionsweise. Je tiefer man dabei in die Automatisierungs-Ebene eintaucht, desto spezialisierter werden die Systeme und Geräte, die hier zum Einsatz kommen.
Für die Automatisierung von Prozessen kommen bspw. speicherprogrammierbare Steuerungen (SPS) zum Einsatz. Das sind hoch funktionale Systeme, die mit einer Software entsprechend parametrisiert werden, um dann eine bestimmte Funktion auszuüben. Diese Systeme haben eine Firmware bzw. ein kleines Betriebssystem, das sich an manchen Stellen deutlich von dem unterscheidet, das wir in der IT kennen. Unter anderem sind Sicherheits-Ansätze wie Authentifizierung nicht verbaut. Diese Systeme sind auf bloße Effizienz getrimmt und das tun sie hervorragend. Die Netze, die man für die Kommunikation verwendet, sind nicht zwingend IP-basierte Netzwerke. Oftmals kommt hier Leit- und Feldtechnik zum Einsatz. Die alternative Übertragungstechnik erfüllt ihren Zweck in Kommunikation und Robustheit und stellt ein hohes Maß an Betriebssicherheit her. Ansätze aus der IT bzgl. Firewalls und weiterer Schutzmaßnahmen müssen jedoch auf diese Technologie adaptiert werden.
“Die OT” hat eine lange Historie. Systeme sind hochgradig aufeinander abgestimmt und wurde über Jahre etabliert. Das macht diese Systeme robust gegen eine Vielzahl an Störungen. Allerdings wurden die Systeme in der Vergangenheit unter der Prämisse konzipiert, dass sie in einem separaten und meist von der IT getrennten Netzwerk betrieben wird.
OT-Systeme sind nicht gleichbedeutend mit “unsichere Systeme zu nutzen”. Es bedeutet lediglich, dass die Systeme sich strukturell und in ihrer Konzeption an manchen Stellen anders verhalten. Und dieses “anders” muss bei der Sicherheit berücksichtigt werden.
Besicherung
Für den Bereich der kritischen Infrastrukturen in Deutschland hat das BSI im letzten Jahr bereits einen weiteren Schritt zur Absicherung unternommen. Mit der verpflichtenden Einführung von Systemen zur Anomalie-Erkennung werden auch OT-Systeme überwacht. Weicht etwas vom gewohnten Verhalten der Systeme ab, erzeugt das einen Alarm und stößt bei Bedarf den Incident-Response-Prozess an.
Systeme zur Anomalie-Erkennung sind dabei gedanklich schon der zweite Schritt. Denn ein wichtiger Aspekt in der Betrachtung von Systemen ist diese zu verstehen. Zu wissen, wie sie ineinander greifen und welche Komponente welchen Zweck erfüllt, ist Grundvoraussetzung für jede Art von Absicherung. Aus diesem Verständnis heraus ergibt sich unter anderem das Wissen, welche Systeme vorhanden sind und was der Normalzustand ist, der dann per Anomalieerkennung abgeprüft werden kann. Überblick über die Systeme schaffen Systeme zur Anomalieerkennung deshalb, weil sie die Systeme und dessen Kommunikation zueinander aufzeigen. Ein wichtiger erster Schritt zur Absicherung ist zu wissen, welche Systeme es gibt und in welchem Zustand diese Systeme sind. Ein Asset Management schafft eine beherrschbare Datenlage und schlägt die Brücke zwischen Theorie und Praxis, also wie etwas im Plan funktioniert und ob dieser Plan damals wie heute auch so in die Praxis umgesetzt wird.
Die OT zu besichern ist kein neues Konzept. Heutige OT-Infrastrukturen sind in der Regel nach dem Purdue Referenz Modell aufgebaut, welches die Industrie- und Automatisierungsnetze in fünf Bereiche (Level) strukturiert und wertvolle Vorgaben zum Aufbau und dem sicheren Betrieb gibt. Diese und weitere Vorgaben münden letztlich in die “Absicherungs-Bibel” für Industrielle Systeme, die heute als IEC 62443 bekannt ist. Diese Norm gibt allerlei wertvolle und konkrete Leitlinien und Vorgaben, wie der sichere Betrieb von OT-Komponenten hergestellt werden kann.
zunehmende Relevanz
Das Thema OT-Security ist längst kein neues Thema und dennoch nimmt die Relevanz zu. Das liegt unter anderem an den steigenden Angriffen und daran, dass durch die fortschreitende Digitalisierung auch die Vernetzung und damit Komplexität der Systeme ansteigt. Letztlich hat sich eines nicht geändert, nämlich, dass wir von der kritischen Infrastruktur und den Leistungen in Bereichen wie Energie, (Ab)wasser und Gesundheitswesen angewiesen sind.