AWS Germany – Amazon Web Services in Deutschland

Zehn goldene Sicherheitsregeln für industrielle IoT-Lösungen

von Ryan Dsouza übersetzt durch Robert Hanuschke

Die industrielle digitale Transformation führt zu Veränderungen in der Operational Technology (OT) -Landschaft und sorgt dafür, dass sie stärker mit dem Internet, IT-Systemen und -Lösungen verbunden ist. Operational Technology ist der Einsatz von Hardware und Software zur Überwachung und Steuerung physischer Anlagen und des Produktionsbetriebs. Industrielle Steuerungssysteme (Industrial Control Systems – ICS), ein Element von OT, sind ein allgemeiner Begriff, der verschiedene Arten von Steuerungssystemen und zugehörigen Instrumenten umfasst, die für die industrielle Prozesssteuerung verwendet werden. Während sich diese Umgebungen ständig weiterentwickeln, nutzen OT-Umgebungen immer mehr IT-Lösungen, um die Produktivität und Effizienz der Produktionsabläufe zu verbessern. Diese Konvergenz von IT- und OT-Systemen führt zu einer Mischung aus Technologien, die entwickelt wurden, um feindlichen Netzwerkumgebungen standzuhalten, und solchen, die dies nicht waren, was zu Risikomanagementschwierigkeiten führt, die es zu kontrollieren gilt. Das Industrielle Internet der Dinge (IIoT) sind Systeme, die industrielle Steuerungssysteme mit Unternehmenssystemen und dem Internet, Geschäftsprozessen und Analysen verbinden und integrieren. Es ist eine wichtige Voraussetzung für intelligente Fertigung und Industrie 4.0 und  hat das Spektrum der verfügbaren Technologien für den Einsatz in industriellen Umgebungen erheblich erweitert. In diesem Blogbeitrag besprechen wir diese OT/IT-Konvergenz, die neue Sicherheitsrisiken und Herausforderungen mit sich bringt, die Industriekunden angemessen bewältigen müssen.

Um Unternehmen dabei zu unterstützen, ihre industrielle digitale Transformation sicher und geschützt zu planen, empfiehlt AWS einen mehrstufigen Ansatz zur Sicherung der ICS/OT-, IIoT- und Cloud-Umgebungen, der in den folgenden zehn goldenen Regeln zusammengefasst ist.

1. Führen Sie eine Bewertung des Cybersicherheitsrisikos anhand eines üblichen Frameworks (wie MITRE ATT&CK) durch und verwenden Sie diese als Grundlage für das Systemdesign

  • Bevor Sie IT-Technologien in OT-Umgebungen nutzen, sollten Sie eine Bewertung des Cybersicherheitsrisikos durchführen, damit die Risiken, Lücken und Schwachstellen vollständig verstanden und proaktiv verwaltet werden können. Erstellen und pflegen Sie ein aktuelles Bedrohungsmodell.
  • Segmentieren Sie industrielle Anlagennetzwerke auf der Grundlage eines vordefinierten Zonenmodells, das die Einrichtung einer demilitarisierten Zone (IDMZ) und die Steuerung des Verkehrs zwischen den Zonen umfasst, z. B. nach dem Purdue-Modell.
  • Folgen Sie dem Ansatz der Mikrosegmentierung, d. h. bauen Sie kleine Inseln von Komponenten innerhalb eines einzigen Netzwerks auf, die nur miteinander kommunizieren, und kontrollieren Sie den Netzwerkverkehr zwischen den Segmenten.
  • Verwenden Sie Firewalls und unidirektionale Gateways, um den Informationsfluss zwischen Netzwerksegmenten zu steuern.
  • Verwenden Sie Protokollkonverter, um unsichere Protokolle in sichere Protokolle umzuwandeln.
  • Wenn möglich, isolieren Sie sicherheitskritische Netzwerke von Geschäfts- und Kontrollnetzwerken.
  • Wenn Sie unsichere Ressourcen nicht schützen können, isolieren Sie sie oder trennen Sie sie vom Netzwerk.
  • Sorgen Sie außerdem für sichere Netzwerkgrundlagen in der Cloud.

AWS-Ressourcen

AWS bietet die folgenden Services, um Sie bei der Erstellung und Aufrechterhaltung einer angemessenen Netzwerksegmentierung und einer sicheren Verkehrskontrolle zur und in der AWS-Cloud zu unterstützen:

  • AWS Virtual Private Network (VPN) Lösungen stellen sichere Verbindungen zwischen Industrieanlagen und dem globalen AWS-Netzwerk her.
  • AWS Direct Connect ist eine Cloud-Servicelösung, mit der Sie auf einfache Weise eine dedizierte Netzwerkverbindung von Ihren Räumlichkeiten zu AWS einrichten können.
  • AWS Transit Gateway verbindet VPCs und lokale Netzwerke über einen zentralen Hub.
  • AWS Network Firewall ist ein verwalteter Service, mit dem Sie auf einfache Weise wichtige Netzwerkschutzmaßnahmen für all Ihre Amazon Virtual Private Clouds (VPCs) bereitstellen können.
  • AWS Virtual Private Cloud (Amazon VPC) ist ein Service, mit dem Sie AWS-Ressourcen in einem logisch isolierten virtuellen Netzwerk starten können, das Sie definieren.

2. Führen Sie ein Inventar aller verbundenen Assets und des neuesten Stands der Netzwerkarchitektur

  • Ein wichtiger Aspekt eines guten Sicherheitsprogramms ist es, einen Überblick über Ihr gesamtes OT/IIoT-System zu haben und zu wissen, welche Systeme offene Netzwerke und moderne Sicherheitskontrollen nicht unterstützen.
  • Erstellen und verwalten Sie ein Anlageninventar für alle OT/IIoT-Anlagen, die als Aufzeichnungssystem und zentrale Informationsquelle für vernetzte Anlagen in der Fertigung sowie deren Hauptmerkmale wie Marke und Modell, Standort und Hardware- und Softwarekonfiguration dienen können.
  • Kategorisieren Sie sie nach ihrer Funktion (sicherheitskritisch, Kontrollsystem, Edge usw.), ob Softwareupdates auf sie angewendet werden können (patchbar oder nicht patchbar), ihrem Netzwerkdesign (konzipiert für offene oder geschlossene Netzwerke), sodass Sie sich ihrer Kritikalität bewusst sind und dass sie moderne Sicherheitskontrollen unterstützen können, sodass bei Bedarf kompensierende Kontrollen installiert werden können, um das Risiko zu mindern.
  • Erstellen und pflegen Sie eine aktuelle Netzwerkarchitektur, die zeigt, wie diese Ressourcen und ihre Beziehungen (Asset-Hierarchien) miteinander verbunden sind, und führen Sie eine Überprüfung der Netzwerksicherheitsarchitektur durch.
  • Erwägen Sie die Konsolidierung von OT/IIoT-Asset-Informationen in Ihrem Unternehmens-Asset-Management-System.

AWS-Ressourcen

AWS bietet die folgenden Ressourcen und Services, um Sie bei der Erstellung und Verwaltung eines vernetzten Asset-Inventars zu unterstützen:

3. Stellen Sie moderne IIoT-Geräte und -Systeme mit eindeutigen Identitäten und Anmeldeinformationen bereit und wenden Sie Authentifizierungs- und Zugriffskontrollmechanismen an

  • Weisen Sie modernen IIoT-Geräten eindeutige Identitäten zu, sodass ein Gerät, wenn es eine Verbindung zu anderen Geräten oder Cloud-Diensten herstellt, Vertrauen aufbauen muss, indem es sich mithilfe von Prinzipien wie X.509-Zertifikaten, Sicherheitstoken oder anderen Anmeldeinformationen authentifiziert.
  • Schaffen Sie Mechanismen, um die Generierung, Verteilung, Rotation und den Widerruf von Anmeldeinformationen zu erleichtern.
  • Richten Sie Root of Trust ein, indem Sie hardwaregeschützte Module wie Trusted Platform Modules (TPMs) verwenden, sofern diese auf dem Gerät verfügbar sind.
  • Sorgen Sie für Zugriffskontrollen mit den geringsten Rechten für OT/IIoT-Geräte, Edge-Gateways und Agentensoftware, die auf lokale und Cloud-Ressourcen zugreifen.
  • Vermeiden Sie es, Anmeldeinformationen und Geheimnisse fest zu codieren oder lokal auf OT/IIoT-Geräten zu speichern.

AWS-Ressourcen

AWS bietet die folgenden Ressourcen und Services, um Sie bei der Bereitstellung und Sicherung moderner IIoT-Ressourcen zu unterstützen:

4. Priorisieren und implementieren Sie OT- und IIoT-spezifisches Patchmanagement und definieren Sie geeignete Aktualisierungsmechanismen für Software- und Firmware-Updates

  • Mit zunehmender Akzeptanz und Komplexität von Software steigt auch die Anzahl der Fehler, von denen einige ausnutzbare Sicherheitslücken sein werden. Während Sie Sicherheitslücken beseitigen, priorisieren Sie sie nach Wichtigkeit (z. B. CVSS-Score), indem Sie zuerst die kritischsten Ressourcen patchen.
  • Verfügen Sie über einen Mechanismus, mit dem Software und Firmware auf Geräte vor Ort übertragen werden können, um Sicherheitslücken zu schließen und die Gerätefunktionalität zu verbessern.
  • Überprüfen Sie die Integrität der Software, bevor Sie sie ausführen, und stellen Sie sicher, dass sie aus einer zuverlässigen Quelle stammt (vom Anbieter signiert) und auf sichere Weise bezogen wird.
  • Setzen Sie Authentifizierungs- und Zugriffskontrollen für die Bereitstellungs-Artefakt-Repositorys und deren Verteilungssysteme ein.
  • Führen Sie ein Inventar der bereitgestellten Software in Ihrem OT/IIoT-System, einschließlich Versionen und Patchstatus.
  • Überwachen Sie den Status der Bereitstellungen in Ihrem gesamten OT/IIoT-System und untersuchen Sie alle ausgefallenen oder ins Stocken geratenen Bereitstellungen.
  • Sorgen Sie für Benachrichtigungsmechanismen, um alle Beteiligten sofort zu alarmieren, wenn Ihre Infrastruktur keine Sicherheitsupdates für Ihre Geräte bereitstellen kann.
  • Schaffen Sie Mechanismen zur Identifizierung, Netzwerkisolierung und/oder zum Ersatz veralteter Geräte und IIoT-Systeme, die nicht zum Empfang von Updates fähig sind.
  • Führen Sie die Bereitstellung von Patches für die OT/IIoT-Geräte erst durch, nachdem Sie die Patches in einer Testumgebung getestet haben, bevor Sie sie in der Produktion implementieren.

AWS-Ressourcen

AWS bietet die folgenden Ressourcen und Services, um Sie bei der Organisation und Aufrechterhaltung einer kontinuierlichen Entwicklungs- und Bereitstellungspipeline zu unterstützen:

5. Schützen Sie Fertigungsdaten an der Edge und in der Cloud, indem Sie gespeicherte Daten verschlüsseln und Mechanismen für sicheren Datenaustausch, Verwaltung und Souveränität schaffen

  • Identifizieren und klassifizieren Sie die in Ihrem IIoT-System gesammelten Daten auf der Grundlage der früheren Risikoanalyse.
  • Überwachen Sie die gespeicherten Produktionsdaten, um mögliche unbefugte Datenänderungen zu erkennen.
  • Wenden Sie Zugriffskontrollen nach dem Prinzip der geringsten Rechte an und überwachen/überprüfen Sie den Datenzugriff.
  • Zugriffskontrollen sollten auch auf der Konnektivitätsebene mithilfe von Sicherheitsgeräten wie Firewalls oder unidirektionalen Netzwerkgeräten sowie Datendioden angewendet werden.
  • Identifizieren Sie Möglichkeiten, die Erfassung ungenutzter Daten zu beenden oder deren Granularität und Aufbewahrungszeit anzupassen, und setzen Sie sie um.
  • Berücksichtigen Sie die Datenschutz- und Transparenzerwartungen Ihrer Kunden und die entsprechenden gesetzlichen Anforderungen in den Ländern, in denen Sie Ihre IoT-Geräte und -Systeme herstellen, vertreiben und betreiben.

AWS-Ressourcen

AWS bietet die folgenden Ressourcen und Services, um Sie bei der Sicherung von Fertigungsdaten an der Edge und in der Cloud zu unterstützen:

6. Verschlüsseln Sie nach Möglichkeit alle übertragenen Daten, einschließlich Sensor-/Gerätedaten, Verwaltung, Versorgung und Bereitstellung. Wenn Sie unsichere Industrieprotokolle verwenden, konvertieren Sie diese so nah wie möglich an der Quelle in standardisierte und sichere Protokolle.

  • Schützen Sie die Vertraulichkeit und Integrität der eingehenden und ausgehenden Netzwerkkommunikationskanäle, die Sie für Datenübertragungen, Überwachung, Verwaltung, Versorgung und Bereitstellung verwenden, indem Sie moderne, interneteigene kryptografische Netzwerkprotokolle auswählen.
  • Wenn möglich, begrenzen Sie die Anzahl der in einer bestimmten Umgebung implementierten Protokolle und deaktivieren Sie Standardnetzwerkdienste, die nicht verwendet werden.
  • Wählen Sie die neuere Version der Industrieprotokolle, die Sicherheitsfunktionen bieten, und konfigurieren Sie die höchste verfügbare Verschlüsselungsstufe, wenn Sie ICS-Protokolle wie CIP Security, Modbus Secure und OPC UA verwenden.
  • Wenn die Verwendung sicherer Industrieprotokolle keine Option ist, sollten Sie die Vertrauensgrenze mithilfe eines Protokollkonverters verschärfen, um das unsichere Protokoll so nah wie möglich an der Datenquelle in ein sicheres Protokoll zu übersetzen. Alternativ können Sie das Anlagennetz in kleinere Zellen/Bereichszonen unterteilen, indem Sie ICS-Geräte in Funktionsbereiche gruppieren, um den Umfang und den Bereich unsicherer Kommunikation einzuschränken. Verwenden Sie unidirektionale Gateways und Datendioden für einen in nur eine Richtung verlaufenden Datenfluss und spezielle Firewall- und Inspektionsprodukte, die ICS-Protokolle verstehen, um den Datenverkehr zu überprüfen, der in Zellen/Bereichszonen ein- und ausläuft, und anomales Verhalten im Kontrollnetzwerk erkennen können.
  • Wenn Netzwerksegmentierung/-segregation bei unsicheren Controllern/Protokollen keine Option ist, isolieren Sie diese unsicheren Systeme oder trennen Sie sie vom Netzwerk.
  • Verfügen Sie über einen Mechanismus zur Identifizierung und Deaktivierung anfälliger drahtloser Netzwerke in der Fertigung, die im Rahmen von Machbarkeitsstudien, Prototypen usw. oft ohne die erforderlichen Sicherheitsgenehmigungen installiert werden.

AWS-Ressourcen

AWS bietet die folgenden Ressourcen und Services, um Sie bei der sicheren Netzwerkkommunikation zu unterstützen:

7. Schützen Sie alle verbundenen Ressourcen, insbesondere die mit dem Internet verbundenen Ressourcen, und stellen Sie sichere Verbindungen zu Cloud-Diensten und sicheren Fernzugriff auf lokale Ressourcen her

  • Mit dem Internet verbundene Netzwerkressourcen wie IIoT-Geräte und Edge-Gateways müssen gemäß den NIST-Richtlinien verstärkt werden.
  • Verwenden Sie Gerätezertifikate und temporäre Anmeldeinformationen anstelle von langfristigen Anmeldeinformationen, um auf AWS-Cloud-Services zuzugreifen, und sichern Sie die Anmeldeinformationen von Geräten im Speicher, indem Sie Mechanismen wie ein dediziertes Kryptoelement oder Secure Flash verwenden.
  • Verwenden Sie vor Ort verwaltete Infrastrukturlösungen, um die Verwaltung und Überwachung zu vereinfachen.
  • Richten Sie einen Mechanismus für die bidirektionale Kommunikation mit Remote-Geräten über eine sichere Verbindung ein.
  • Stellen Sie sichere Verbindungen zu Cloud-Diensten her und überwachen Sie diese Verbindungen.
  • Überprüfen und identifizieren Sie regelmäßig Möglichkeiten zur Minimierung der Angriffsfläche, während sich Ihr IIoT-System weiterentwickelt.
  • Verwenden Sie physische Gehäuse, um OT/IIoT-Anlagen zu schützen.

AWS-Ressourcen

AWS bietet die folgenden Ressourcen und Services, um mit der Cloud verbundene Netzwerkressourcen zu sichern und lokale Computerressourcen sicher zu verwalten:

8. Stellen Sie Sicherheitsüberprüfungs- und Überwachungsmechanismen für OT und IIoT bereit und verwalten Sie Sicherheitswarnungen aus OT/IIoT und der Cloud zentral

  • Setzen Sie Prüf- und Überwachungsmechanismen ein, um kontinuierlich Aktivitätsmetriken und Protokolle aus Ihrem gesamten OT/IIoT-System zu erfassen und zu protokollieren.
  • Implementieren Sie eine Überwachungslösung in den OT- und IIoT-Umgebungen, um eine Basislinie für den industriellen Netzwerkverkehr zu erstellen und Anomalien und die Einhaltung der Basiswerte zu überwachen.
  • Führen Sie regelmäßige Überprüfungen der Netzwerkprotokolle, Zugriffskontrollrechte und Anlagenkonfigurationen durch.
  • Erfassen Sie Sicherheitsprotokolle und analysieren Sie sie in Echtzeit mit speziellen Werkzeugen, z. B. Lösungen für Sicherheitsinformations- und Event-Management (SIEM) innerhalb eines Security Operation Centers (SOC).
  • Überprüfen Sie kontinuierlich, ob Ihre Sicherheitskontrollen und -systeme intakt sind, indem Sie sie explizit testen.

AWS-Ressourcen

AWS bietet die folgenden Ressourcen und Services, mit denen Sie Ihre Sicherheit auf verschiedenen Ebenen überwachen können:

9. Erstellen Sie Playbooks zur Reaktion auf Vorfälle und automatisieren Sie ihre Sicherheitsreaktionen, sobald sie ausgereift sind, um Ereignisse einzudämmen und zu einem bekanntermaßen funktionierenden Zustand zurückzukehren

  • Pflegen Sie einen Plan zur Reaktion auf Sicherheitsvorfälle und führen Sie ihn regelmäßig durch, um die Überwachungsfunktionen zu testen.
  • Sammeln Sie Sicherheitsprotokolle und analysieren Sie sie mithilfe automatisierter Tools in Echtzeit. Erstellen Sie Playbooks mit unerwarteten Ergebnissen.
  • Erstellen Sie ein Playbook zur Reaktion auf Vorfälle mit klar definierten Rollen und Verantwortlichkeiten.
  • Testen Sie die Verfahren zur Reaktion auf Vorfälle regelmäßig.
  • Wenn die Verfahren stabiler werden, automatisieren Sie ihre Ausführung, behalten Sie jedoch die menschliche Interaktion bei. Sobald die automatisierten Verfahren validiert sind, automatisieren Sie die Auslösung ihrer Ausführung.

AWS-Ressourcen

AWS stellt die folgenden Ressourcen und Services bereit, um Sie bei der Überwachung und Erstellung von Playbooks zur Reaktion auf Vorfälle zu unterstützen:

10. Erstellen Sie einen Plan für Geschäftskontinuität und Wiederherstellung, einschließlich eines Plans für Backups und Cybersicherheitstests

  • Konzentrieren Sie sich darauf, die Widerstandsfähigkeit von Industrie 4.0-Systemen sicherzustellen, indem Sie einen Plan für die Geschäftskontinuität und einen Plan zur Notfallwiederherstellung erstellen. Testen Sie die Pläne regelmäßig und passen Sie sie an die Erfahrungen aus Tests und tatsächlichen Sicherheitsvorfällen an.
  • Beziehen Sie in Pläne zur Geschäftskontinuität und zur Wiederherstellung des Geschäftsbetriebs Aspekte Dritter ein.
  • Definieren Sie wichtige Parameter für die Geschäftskontinuität Ihres Unternehmens, wie z. B. Recovery Time Objective (RTO), Recovery Point Objective (RPO), usw.
  • Verwenden Sie Resilienzfunktionen an der Edge, um die Anforderungen an Datenstabilität und Backups zu erfüllen.
  • Verwenden Sie Cloud-Dienste für Backup und Geschäftskontinuität.
  • Führen Sie regelmäßig Cybersicherheitstests für OT und IIoT durch, um Geräte und OT-Systeme, Edge-Gateways, Netzwerke sowie Kommunikations- und Cloud-Dienste zu testen.

AWS-Ressourcen

AWS stellt die folgenden Ressourcen und Services bereit, um Sie bei Sicherungs-, Wiederherstellungs- und Cybersicherheitstests zu unterstützen:

Fazit

In diesem Blogbeitrag wurden einige der bewährten Methoden für die Sicherheit Ihrer IIoT-Infrastruktur mithilfe des vielschichtigen Sicherheitsansatzes und der umfassenden Sicherheitsservices und -funktionen von AWS beschrieben. Die industrielle IoT-Sicherheit von AWS basiert auf offenen Standards und anerkannten Cybersicherheits-Frameworks. Industrieunternehmen haben eine große Auswahl an AWS-Sicherheitsdiensten und die Flexibilität, aus einem Netzwerk sicherheitsorientierter Partnerlösungen für IIoT-Workloads zu wählen, die von AWS-Kompetenzpartnern für Sicherheit angeboten werden. AWS bietet Kunden einen einfacheren, schnelleren und kostengünstigeren Weg zu umfassenden, kontinuierlichen und skalierbaren IIoT-Sicherheits-, Compliance- und Governance-Lösungen. Weitere Informationen finden Sie unter Industrielles Internet der Dinge und Bewährte Methoden für AWS Security in der Fertigungs-OT.