Herzlich Willkommen beim beam-Verlag in Marburg, dem Fachverlag für anspruchsvolle Elektronik-Literatur.


Wir freuen uns, Sie auf unserem ePaper-Kiosk begrüßen zu können.

Aufrufe
vor 2 Jahren

EF-SPS2022

  • Text
  • Positioniersysteme
  • Antriebe
  • Stromversorgung
  • Hmi
  • Industrielle kommunikation
  • Robotik
  • Qualitaetssicherung
  • Automatisierungstechnik
  • Bedienen und visualisieren
  • Messen steuern regeln
  • Iot
  • Industrie pc
  • Messtechnik
  • Produktionsautomatisierung
  • Elektronik
  • Electronics
  • Software
  • Electronic
  • Automation
Fachzeitschrift für Industrielle Automation, Mess-, Steuer- und Regeltechnik

Sicherheit

Sicherheit Zero-Trust-Security: Trau, schau, niemandem… Sieben Fragen hierzu an Steffen Ullrich, Technology Fellow bei genua Stefan Ullrich, Technology Fellow Genua GmbH, www.genua.de PC&Industrie: Herr Ullrich, im Zuge der Aufrüstung der Produktionsanlagen (Operational Technology, OT) sollen immer mehr Produktionsstätten mit der IT vernetzt werden. Ist das aus Ihrer Sicht nicht problematisch? Herr Ullrich: Die Anforderungen in der OT unterscheiden sich deutlich von der IT: Ungeplanter Ausfall von Systemen oder andere Fehlfunktionen können einen massiven Schaden anrichten und eventuell sogar zu Personenschäden führen. Entsprechend hoch sind die Anforderungen an Verfügbarkeit und korrekte Funktion. Schnell mal ein System patchen oder die Hardware austauschen ist typischerweise nicht möglich, sondern es muss zuerst gründlich analysiert werden, ob die Änderung ungeplante Nebenwirkungen hat. Selbst in der IT eher nebensächliche und akzeptable Veränderungen an Zeitverhalten und Performance können in der OT kritisch sein. Dazu kommt ein signifikant längerer Betrieb von Systemen, d. h. vielfach sind Systeme in Betrieb, die vom Hersteller nicht mehr ausreichend unterstützt werden. Traditionell waren OT und IT ausreichend voneinander getrennt und mit dieser Annahme wurde die Sicherheit in OT-Systemen konzipiert. Eine einfache Kopplung von OT mit IT exponiert eine per Design schwach geschützte, fragile aber gleichzeitig betriebskritische Infrastruktur und ist daher keine gute Idee. Einige erinnern sich vielleicht noch an die vielfältigen Angriffe, als in den 90iger Jahren massenhaft Computer in der IT plötzlich mit dem Internet verbunden wurden, obwohl sie eigentlich nur für den Einsatz in vertrauenswürdigen lokalen Netzen ausgelegt waren. Allerdings ist es unbestreitbar, dass erst eine Kopplung von OT und IT die Digitalisierung entscheidend voran bringen kann. Entsprechend ist die Herausforderung nicht, eine Kopplung zu verhindern, sondern diese möglichst sicher zu gestalten. PC&Industrie: Was heißt hier: „Sicher gestalten“? Herr Ullrich: Eine sichere Kopplung der OT an die IT darf einerseits die Angriffsfläche nicht wesentlich vergrößern und muss andererseits das OT-Netz robust gegen potentielle Angriffe machen. In der IT geht man seit längerem davon aus, dass eine reine Perimeter-Sicherheit zu durchlässig ist und irgendwann Teile der internen Infrastruktur kompromittiert werden. Ziel ist es daher, durch Maßnahmen wie etwa proaktive granulare Separation und reaktive frühzeitige Detektion des Angreifers mögliche Schäden zu verhindern bzw. zu verringern. Je enger IT und OT gekoppelt werden, desto wichtiger werden derartige Herangehensweisen für die gesamte Sicherheit. Abhilfe verspricht hier das Konzept des Zero-Trust Networking. Bei diesem Paradigma wird dem Netz nicht mehr im Gesamten vertraut, sondern stattdessen nur einzelnen Geräten, Anwendungen und Kommunikationsbeziehungen. Starke Separation zwischen den Teilen des OT-Netzes einerseits und selektive Anbindung nur einzelner Teile an die IT andererseits reduziert die Angriffsfläche und bremst proaktiv laterale Bewegungen eines Angreifers im Netz. Granulares Monitoring der Aktivitäten wiederum ermöglicht eine frühzeitige Detektion des Angreifers. PC&Industrie: Die Aufgabenstellungen und Prozesse werden immer komplexer und unübersichtlicher. Besteht da nicht irgendwann das Risiko eines Kontrollverlusts? Herr Ullrich: Zunehmende Komplexität ist nicht der einzige Faktor, der zu einem Kontrollverlust beiträgt. Zusätzlich werden immer mehr Teile der Infrastruktur fremd gemanagt, wie etwa Fernwartung durch den Hersteller oder die Nutzung von externen Services für Edge- und Cloudcomputing. Die Hoffnung, dass KI- und Anomalie- Erkennungssysteme hier magisch die Kontrolle zurückbringen, erfüllt sich nur eingeschränkt, denn auch diese werden unbenutzbar, wenn die Komplexität zu groß ist. Hier ist also ein smarteres Vorgehen gefragt, welches verschiedene Methoden kombiniert, um die Kontrolle wieder zu gewinnen. 82 Einkaufsführer Produktionsautomatisierung 2022

Sicherheit PC&Industrie: Was heißt hier in dem Zusammenhang smart? Herr Ullrich: Mittels Zero-Trust Networking kann man die erwarteten Kommunikationsbeziehungen granular beschreiben und durchsetzen. Die Verständlichkeit, aber auch die Granularität und Flexibilität werden dabei erhöht, indem Beziehungen nicht basierend auf physikalischen Eigenschaften wie IP-Adressen und Ports, sondern zwischen logischen Identitäten wie Geräten, Anwendungen und Nutzern modelliert werden. Eine derartige Mikrosegmentierung der Kommunikation verringert nicht nur die Angriffsfläche, sondern auch die Komplexität. Dies resultiert in einer solideren Basis für KI und Anomalieerkennung, um z. B. über die reine Kommunikationsbeziehung hinaus auch Kommunikationsmuster zu analysieren. Identitätsbasierte Zugriffskontrollen wiederum erlauben eine Minimalisierung der eingesetzten Privilegien und reduzieren somit ebenfalls die Angriffsfläche. Gleichzeitig ermöglichen sie es, kompromittierte Identitäten frühzeitig zu detektieren und damit Schäden schnell und wirksam zu begrenzen. PC&Industrie: Welche Rolle spielt der Benutzer? Herr Ullrich: Während in der IT die in eine Kommunikation involvierten Akteure zumeist Personen sind, haben wir es in der OT sehr oft mit Geräten oder Anwendungen zu tun. Aber auch diese können kompromittiert werden. Analog zu menschlichen Benutzern müssen diese industriellen Kommunikationsendpunkte daher ebenso mit solide verifizierbaren Identitäten ausgestattet, in ihren Möglichkeiten auf das Minimum beschränkt und hinsichtlich unerwartetem Verhalten beobachtet werden. PC&Industrie: Das hört sich kompliziert an; wie kann man so etwas einfach und schnell realisieren? Herr Ullrich: Mithilfe von KIgestützten Netzwerkanalysesystemen kann man sich einen Überblick über die aktuellen Geräte und Anwendungen sowie deren Kommunikationsbeziehungen schaffen Was versteht man unter Zero Trust Security? Zero Trust (eigentlich Zero Trust Network Access, ZTNA) ist eine Sicherheitsstrategie, die sich von dem bisherigen Paradigma der implizierten Sicherheit im internen Netz abwendet. Die zunehmende Vielfalt von Anwendungen und der Einsatz von IIoT, Cloud-Diensten und Fernwartungen lassen sowohl in der IT als auch der Produktion (OT) die Netze immer komplexer und unübersichtlicher werden, sodass den Administratoren zunehmend die Kontrolle entgleitet. Der Perimeter (Grenze des Firmennetzes) wird durchlässiger, die Angriffsfläche steigt und damit auch die Wahrscheinlichkeit erfolgreicher Angriffe. ZTNA zielt auf die Absicherung der einzelnen Geschäftsprozesse auch in weniger sicheren Netzen, indem es die Kommunikation zwischen Nutzern, Geräten, Anwendungen und Diensten reguliert und davon ausgehend schrittweise eine proaktive Mikrosegmentierung des Netzes vornehmen. Einfache Umsetzungen segmentieren hier nur auf der Ebene von IP-Adressen und Ports, bessere können Anwendungsprotokolle erkennen und diese bei der Mikrosegmentierung mit einbeziehen. Zusätzlich empfiehlt es sich, die erwartete Kommunikation auch auf unerwartete Ereignisse zu überwachen, um Bewegungen eines Angreifers auf erlaubten Kommunikationspfaden erkennen zu können. Zur Umsetzung können dabei Produkte wie der cognitix Thread Defender von genua benutzt werden. Dieser ermöglicht KI-gestützt Monitoring und Mikrosegmentierung auf Applikationsebene, Detektion der Geräte und Anwendungen im Netz sowie eine Überwachung von Kommunikation auf bekannte Angriffsmuster. PC&Industrie: Sie hatten vorher Prioritäten erwähnt: Was würden Sie zuerst absichern? Wo droht die meiste Gefahr und wie kämpft man dagegen am besten an? und überwacht. Zur proaktiven Reduktion der Angriffsfläche gilt das Minimalitätsprinzip, d. h. nur die wirklich benötigte Kommunikation ist erlaubt und Nutzer agieren nur mit den jeweils wirklich nötigen Zugriffsrechten. Eine Bestandsaufnahme bestehender Kommunikation und Zugriffsrechte ist daher Voraussetzung für eine gezielte Absicherung. Durchsetzung der Zugriffsbeschränkungen Herr Ullrich: Als wichtigsten Aspekt sehe ich die Bestandsaufnahme des eigenen Netzes. Oftmals findet man dabei Geräte oder Kommunikation, deren Bedeutung initial unklar ist und die eventuell unerwünscht ist. Der cognitix Thread Defender kann hier durch eine intuitive Erkennung neuer Geräte und Darstellung von Kommunikationsbeziehungen intelligent unterstützen. Ein einfaches,aber mächtiges Regelwerk ermöglicht darauf aufbauend die gewünschte Kommunikation proaktiv zu beschränken, d. h. eine Mikrosegmentierung nach Zero-Trust Prinzipien vorzunehmen. Durch Einbeziehung bekannter Angriffs- und Bewegungsmuster wird eine frühzeitige Detektion von Angreifern möglich, wobei betroffene Anwendungen oder Systeme isoliert oder partiell in der Kommunikation eingeschränkt werden können. Viele externe Bedrohungen entstehen durch unzureichende Beschränkungen bei Fernwartungszugriffen. Neben schwacher Authentisierung findet hier häufig eine Netzkopplung statt, was einem Angreifer in Zur Durchsetzung der Zugriffsbeschränkungen gibt es verschiedene ZTNA-Konzepte. Für bestehende Industrienetze eignet sich eine netzbasierte Mikrosegmentierung mittels Middleboxen, da hier Restriktionen transparent ohne Änderungen an den Geräten und Anwendungen eingefügt werden. Fernwartung wiederum lässt sich über einen Software Defined Perimeter umsetzen, der authentisierten externen Teilnehmern den selektiven Zugriff auf interne Dienste ermöglicht. Eine Authentisierung und Zugriffskontrolle direkt an jedem Dienst wie bei Beyond- Corp bzw. BeyondProd wiederum eignet sich z. B. für die Anbindung interner IIoT Systeme an externe Clouddienste. Zur frühzeitigen Detektion erfolgreicher Angriffe sollten neben der proaktiven Zugriffskontrolle auch eine Analyse der übertragenen Daten und Kommunikationsmuster auf potentielle Anomalien erfolgen. Der Aufbau einer ZTNA ist ein ressourcenaufwändiges langfristiges Projekt, das aber gut schrittweise und bedarfsorientiert umgesetzt werden kann. Dabei können verschiedene ZTNA- Konzepte miteinander kombiniert werden, einerseits abhängig von den Use Cases aber andererseits auch für zusätzlichen Schutz durch Defense in Depth. dem kompromittierenden Netz des Dienstleisters eine laterale Bewegung in das OT-Netz erlaubt. genua bietet mit der genubox Fernwartung eine sichere und einfach zu betreibende Lösung nach Zero- Trust-Prinzipien an. Diese ermöglicht einen authentisierten Zugriff auf dedizierte Anwendungen, ohne dass dabei eine Netzkopplung erfolgt. Aufzeichnen der kompletten Fernwartungssession als Video ermöglicht extensives Monitoring und Multi-Faktor Authentisierung schützt zuverlässig gegen eine Kompromittierung von Accounts. Die Applikation benötigt keine Installation und bietet eine einfache Bedienbarkeit bei höchster Sicherheit. Darüber hinaus bietet das Unternehmen mit der cyber-diode eine Möglichkeit, Daten absolut sicher aus der OT in die IT oder in die Cloud zu transportieren. Ein Datentransport findet dabei garantiert nur eine Richtung statt. Neben Protokollen wie TCP oder FTP werden für diese Einwegkommunikation auch dedizierte Protokolle für Logdaten oder komplexe Industrieprotokolle wie OPC UA unterstützt. ◄ Einkaufsführer Produktionsautomatisierung 2022 83

hf-praxis

PC & Industrie

© beam-Verlag Dipl.-Ing. Reinhard Birchel