Schutz des industriellen IoT:Einführung eines Ansatzes der nächsten Generation – Teil 2

Trevor Daughney, VP of Product Marketing bei Exabeam

Die Digitalisierung industrieller Anlagen führt zu einem wachsenden Bewusstsein, wie wichtig es ist, vernetzte OT-Umgebungen vor Cyberangriffen zu schützen, die Produktion, Anlagen und Anlagen beschädigen – und sensible Daten preisgeben, sagt Trevor Daughney, Vice President of Product Marketing bei Exabeam

Wie wir im vorigen Artikel festgestellt haben, richten sich Cyberbedrohungen zunehmend gegen industrielle Steuerungssysteme (ICS) mit dem Ziel, Produktionslinien stillzulegen oder Geräte massiv zu beschädigen.

Angesichts der zunehmenden Bedrohungen industrieller Netzwerke müssen Mitarbeiter, die für die Verwaltung und Sicherung von IT und OT verantwortlich sind, eng zusammenarbeiten, um potenzielle Schwachstellen zu erkennen und Prioritäten zu setzen, wo Sicherheitslücken geschlossen werden müssen. Auf diese Weise gewinnen IT- und OT-Teams das tiefe Verständnis, das sie für die Wechselbeziehungen zwischen OT-Umgebungen, Geschäftsnetzwerken und dem breiteren industriellen Ökosystem selbst benötigen – das auch Lieferanten, Anbieter und Partner umfassen kann.

Keine leichte Aufgabe, wenn man bedenkt, dass IT- und OT-Sicherheitsthemen bisher weitgehend in ihren jeweiligen Silos adressiert wurden. Darüber hinaus ist die Herausforderung, die Sicherheit von OTsolutions anzugehen, nicht einfach zu meistern.

Luftspaltsysteme sind keine praktikable Lösung

Wenn es um den Schutz industrieller Steuerungssysteme geht, verwenden viele Unternehmen immer noch einen Ansatz, der als Air-Gapping oder Security by Isolation bekannt ist, um die Sicherheit von Legacy-OT-Systemen gegen Cyberangriffe zu erhöhen. Obwohl es als Sicherheitsmaßnahme zur Überbrückung wirksam ist, ist Air-Gapping auf lange Sicht keine ideale Lösung. Und es sollte sicherlich nicht isoliert verwendet werden. Nehmen Sie zum Beispiel den Wurmangriff Stuxnet, der darauf ausgelegt war, über einen infizierten USB-Stick in seine Zielumgebung einzudringen – und zwar durch jede Luftlücke. Bei vorhandenen bösartigen Computerwürmern wie diesem ist Air-Gapping allein keine ausreichende Sicherheit.

Abgesehen von der Tatsache, dass Air-Gapping-Systeme die Möglichkeiten von Organisationen, die von diesen Systemen generierten Echtzeitdaten zu nutzen, erheblich einschränkt, um Kosten zu senken, Ausfallzeiten zu reduzieren und die Effizienz zu steigern, ermöglichen viele der heutigen modernen Architekturen die Anbindung von Legacy-OT an das Internet zum Zwecke der moderne operative Führung. Tatsächlich haben 40 % der Industriestandorte mindestens eine direkte Verbindung zum öffentlichen Internet – was diese OT-Netzwerke direkt in die Schusslinie bringt, wenn es um potenzielle Gefährdungen durch Gegner und Malware geht.

Komplexität in den Griff bekommen

Leider wurden viele der für die IT-Welt entwickelten Sicherheitslösungen nicht speziell für die Komplexität der heutigen vernetzten OT-Umgebungen entwickelt. Dies liegt daran, dass die in OT-Systemen verwendeten IIoT-Geräte nicht für die Integration in die Sicherheitsüberwachungs- und Verwaltungstools für Unternehmens-IT-Netzwerke entwickelt wurden.

Die Auswirkungen auf Unternehmen sind tiefgreifend:Sie haben keine Sichtbarkeit von OT-Netzwerkereignissen oder -Assets. Und ohne einen unternehmensweiten Überblick über alle potenziellen Risiken, Schwachstellen und möglichen Infiltrationspunkte sind die schnellen Bedrohungserkennungs- und Reaktionsfähigkeiten dieser Unternehmen ernsthaft gefährdet.

Das sind keine guten Nachrichten für Sicherheitsteams, die damit beschäftigt sind, IIoT-Umgebungen vor einer wachsenden Zahl von Bedrohungsakteuren zu schützen, die auf die Kontrollsysteme mehrerer Branchen abzielen.

Adressieren von Geräterisiken mit UEBA

Die gute Nachricht ist, dass die effiziente und effektive Überwachung von OT-Geräten keine unmögliche Aufgabe ist. Diese Geräte, die normalerweise für den Betrieb ohne menschliches Zutun konzipiert sind, „verhalten“ sich auf eine bestimmte Weise. Sie kommunizieren beispielsweise über bestimmte Ports mit bestimmten IP-Adressen und Geräten zu erwarteten Zeiten. Diese Aktionen können als „Verhalten“ und „User Entity Behavior Analytics“ (UEBA) interpretiert werden, die zur Erhöhung der Sicherheitsüberwachungsfunktionen bereitgestellt werden, die in das Sicherheitsinformations- und Ereignismanagement (SIEM) integriert werden können, um eine umfassende Infrastrukturüberwachung auf wirklich einheitliche Weise durchzuführen.

Anstatt Tage oder Wochen damit zu verbringen, ein altes SIEM-System zu verwenden, um jedes der Hunderttausende von Protokollen pro Sekunde, die von einem einzigen OT-Kontrollpunkt generiert werden, manuell abzufragen und zu schwenken, macht es UEBA schneller und einfacher, Anzeichen für eine Gefährdung aufzudecken.

Mithilfe von Analysen, um ein umfassendes Profil des normalen Verhaltens aller Benutzer und Entitäten in der gesamten Umgebung zu modellieren, identifizieren UEBA-Lösungen jede Aktivität, die nicht mit diesen Standard-Baselines übereinstimmt. Auf diese Anomalien können dann verpackte Analysen angewendet werden, um Bedrohungen und potenzielle Vorfälle zu erkennen.

Auf diese Weise wird es möglich, die umfangreichen Ausgaben von IIoT-Geräten neben IT-Geräten systematisch zu überwachen, um potenzielle Sicherheitsbedrohungen zu finden. Andere Aktivitäten, wie z. B. Geräteanmeldungen, können ebenfalls überwacht werden.

Integrierter Sicherheitsansatz

Wie wir gesehen haben, bestehen die Grenzen sowohl älterer als auch moderner IIoT-, OT- und IoT-Lösungen fort, aber es gibt Schritte, die Unternehmen unternehmen können, um die Integrität ihres Geschäftsbetriebs zu gewährleisten.

Der Schlüssel hier ist, einen Ansatz der „Punktlösung“ zu vermeiden und sich stattdessen für eine integrierte Lösung zu entscheiden, die UEBA mit einer modernen SIEM-Plattform kombiniert, um eine unternehmensweite Sicht auf die IT- und OT-Sicherheit zu liefern Dies ermöglicht eine verstärkte Erkennung von Bedrohungen – einschließlich schwer zu erkennender Techniken wie seitlicher Bewegungen.

Damit kann ein einzelnes SOC-Team das SIEM nutzen, um Daten aus allen Quellen des Unternehmens aufzunehmen und zu analysieren und einen Echtzeitüberblick über die gesamte Sicherheit zu erhalten – einschließlich der vollständigen Transparenz aller Geräte in ihren OT-Umgebungen.

Der Autor ist Trevor Daughney, Vice President of Product Marketing bei Exabeam