ISA/IEC 62443

• Glossar

---

"Die Rolle der ISA/IEC 62443 in der Sicherung von OT-Netzwerken: Ein umfassender Überblick"

Die Netzwerkte der OT (Operational Technology) am Shopfloor und auf der SCADA Ebene spielen im Kontext der IEC 62443 eine entscheidende Rolle, da diese internationale Norm speziell für die Sicherheit von Netzwerk- und Informationssystemen in der industriellen Automatisierung und Steuerung entwickelt wurde.

In der heutigen industriellen Landschaft erleben wir eine signifikante Zunahme der Komplexität von OT-Netzwerken. Dies ist hauptsächlich auf die steigende Anzahl und Vielfalt von Applikationen wie PROFINET, TCP/IP und anderen zurückzuführen, die auf diesen Netzwerken laufen. Gleichzeitig wachsen homogene Feldbus-Systeme zunehmend zu umfassenderen OT-Netzwerken zusammen.

Diese Entwicklung bringt viele Vorteile in Bezug auf Effizienz, Flexibilität und Konnektivität, sondern stellt auch Herausforderungen in puncto OT-Security dar. Für OT-Security-Manager und Werksleiter resultieren daraus spezifische Herausforderungen: Die Gewährleistung der Integrität, Verfügbarkeit und Vertraulichkeit kritischer industrieller Steuerungssysteme bei gleichzeitiger Anpassung an die wachsende Vernetzung und Digitalisierung. Die effektive Sicherung der OT-Netzwerke erfordert einen ganzheitlichen Ansatz, der sowohl die physischen als auch die cyber-technologischen Aspekte berücksichtigt und stetig an aktuelle sowie zukünftige Sicherheitsanforderungen angepasst wird.

Wesentliche Schlüsselpunkte zur Bedeutung der OT-Netzwerktechnologie in Bezug auf die IEC 62443 sind:

Integration von Sicherheit in OT-Netzwerke

• Anpassung an OT-Spezifika: OT-Systeme haben andere Anforderungen und Charakteristiken als die Systeme in der IT und IIT-Ebene. Die IEC 62443 berücksichtigt dies und bietet Richtlinien, die auf die spezifischen Bedürfnisse und Herausforderungen von OT-Netzwerken zugeschnitten sind.
• Sicherheitsbewertung: Der Standard ermöglicht eine strukturierte Bewertung der Sicherheitsrisiken in OT-Umgebungen und unterstützt die Implementierung angepasster Sicherheitsmaßnahmen.

Sicherheitsmanagement und -kontrolle

• Sicherheitslevels: Die Definition von Sicherheitslevels (SLs) im Rahmen der IEC 62443 ermöglicht es, die Sicherheitsanforderungen für OT-Systeme entsprechend ihrem Risikoprofil anzupassen. Die 4 Sicherheitslevel (SL) der IEC 62443-3-3 sind:
• SL1 – Protection Against Casual or Coincidental Violation (Schutz gegen zufällige oder gelegentliche Verstöße): SL1 zielt darauf ab, Systeme gegen zufällige oder unbeabsichtigte Sicherheitsrisiken zu schützen. Dies umfasst Maßnahmen, die grundlegende Sicherheitsbedrohungen adressieren, die durch allgemeine Unachtsamkeit oder zufällige Ereignisse entstehen könnten.
  • Maßnahmen:
    • Grundlegende physische Sicherheitskontrollen
    • Einfache Authentifizierungs- und Autorisierungsmechanismen
    • Grundlegende Netzwerksicherheitsmaßnahmen (z.B. Firewall, Segmentierung)
• SL2 – Protection Against Intentional Violation Using Simple Means (Schutz gegen absichtliche Verstöße mit einfachen Mitteln): Bei SL2 geht es darum, Sicherheitsmaßnahmen zu implementieren, die sich gegen Angreifer richten, die über ein gewisses Maß an Fähigkeiten und Ressourcen verfügen, aber nur einfache Methoden zur Durchführung eines Angriffs verwenden.
  • Maßnahmen:
    • Fortgeschrittene Authentifizierung und Verschlüsselung
    • Detaillierte Zugriffskontrollen und Protokollierung
    • Implementierung von Netzwerküberwachung und -erkennung
• SL3 – Protection Against Intentional Violation Using Sophisticated Means (Schutz gegen absichtliche Verstöße mit ausgefeilten Mitteln): SL3 ist darauf ausgerichtet, Schutz gegen fortgeschrittene Bedrohungen zu bieten. Es berücksichtigt Angreifer, die über spezialisiertes Wissen und ausgefeilte Mittel verfügen, um gezielte Angriffe auf das System durchzuführen.
  • Maßnahmen:
    • Mehrstufige Authentifizierung (MFA)
    • Umfassende Netzwerksegmentierung und strenge Zugriffskontrollen
    • Regelmäßige Sicherheitsbewertungen und Penetrationstests
    • Einsatz von Anomalie-Erkennungssystemen
• SL4 – Protection Against Intentional Violation Using Sophisticated Means with Extended Resources (Schutz gegen absichtliche Verstöße mit ausgefeilten Mitteln und erweiterten Ressourcen): SL4 repräsentiert das höchste Sicherheitsniveau. Es bietet Schutz gegen hochqualifizierte Angreifer, die nicht nur über fortgeschrittene Kenntnisse und Techniken verfügen, sondern auch in der Lage sind, erhebliche Ressourcen für einen langfristigen und komplexen Angriff zu mobilisieren.
  • Maßnahmen:
    • Hochgradige Verschlüsselung und Sicherheit für physische und Netzwerkinfrastrukturen
    • Fortgeschrittene Bedrohungsanalyse und -reaktion
    • Strenge Kontrollen für den Zugriff auf Hardware und Software
    • Ausgefeilte Überwachungs- und Reaktionssysteme für Sicherheitsvorfälle
• Proaktive Sicherheitsmaßnahmen: Die Richtlinien unterstützen die Entwicklung proaktiver Sicherheitsstrategien, um Bedrohungen und Schwachstellen in OT-Netzwerken zu begegnen.

Implementierung von Defence in Depth und Zones and Conduits

• Mehrschichtige Sicherheitsansätze: Die Konzepte von Defence in Depth und Zones and Conduits sind zentral für die Sicherheit in OT-Netzwerken. Sie ermöglichen eine mehrschichtige Sicherheitsarchitektur, die sowohl physische als auch netzwerkbasierte Sicherheitsebenen umfasst.
• Segmentierung: Die Einteilung in Sicherheitszonen und die Kontrolle des Datenverkehrs durch Conduits helfen, das Risiko von Netzwerkangriffen zu minimieren und die Auswirkungen von Sicherheitsvorfällen zu begrenzen.

Compliance und Standardisierung

• Einhaltung internationaler Standards: Durch die Anwendung der IEC 62443 können Betreiber und Errichter sicherstellen, dass ihre OT-Netzwerke international anerkannten Sicherheitsstandards entsprechen.
• Verbesserung der Vertrauenswürdigkeit: Ein nach IEC 62443 zertifiziertes OT-Netzwerk erhöht das Vertrauen von Stakeholdern, einschließlich Kunden und Partnern, in die Sicherheit und Zuverlässigkeit der betreffenden Systeme.

Blocking vs. Logging: Zwei Säulen der Netzwerksicherheit im Rahmen der IEC 62443

Im Kontext der IEC 62443 werden verschiedene Sicherheitsstrategien und -mechanismen diskutiert, um die Integrität, Verfügbarkeit und Vertraulichkeit von Automatisierungssystemen zu gewährleisten. Zwei wesentliche Ansätze in der Netzwerksicherheit, die auch im Rahmen der IEC 62443 relevant sind, umfassen das Blocking (Blockieren) und das Logging (Protokollieren). Beide Ansätze spielen eine entscheidende Rolle in der Sicherheitsarchitektur eines OT-Netzwerks, haben jedoch unterschiedliche Ziele und Einsatzgebiete.

Blocking (Blockieren)

Der Blocking-Ansatz bezieht sich auf präventive Maßnahmen, die den unerlaubten Zugriff oder die unerwünschte Kommunikation innerhalb eines Netzwerks verhindern. Dabei werden spezifische Aktionen, Verbindungen oder Datenpakete aktiv blockiert, um die Sicherheit des Netzwerks zu gewährleisten. In der Praxis kann das Blockieren durch verschiedene Technologien und Maßnahmen umgesetzt werden, wie z.B. Firewalls, Intrusion Prevention Systeme (IPS) und Zugriffskontrolllisten (Access Control Lists, ACLs). Der Fokus liegt hierbei auf der direkten Abwehr von Bedrohungen, indem potenziell schädliche Aktivitäten gestoppt werden, bevor sie Schaden anrichten können.

Logging (Protokollieren)

Im Gegensatz dazu konzentriert sich der Logging-Ansatz auf die Überwachung und Aufzeichnung von Netzwerkaktivitäten. Hierbei werden Daten über Ereignisse, Transaktionen und Verhaltensweisen im Netzwerk gesammelt, um eine detaillierte Nachverfolgung und Analyse zu ermöglichen. Logging-Tools und Sicherheitsinformationen- und Ereignismanagement-Systeme (SIEM) spielen eine zentrale Rolle bei der Implementierung dieser Strategie. Durch das Protokollieren von Netzwerkaktivitäten können ungewöhnliche oder verdächtige Vorgänge identifiziert, analysiert und nachvollzogen werden. Dies ist besonders wichtig für die forensische Analyse nach einem Sicherheitsvorfall sowie für die kontinuierliche Verbesserung der Sicherheitsstrategie.

Unterschiede und Zusammenwirken

• Zielsetzung: Blocking zielt darauf ab, Sicherheitsbedrohungen aktiv zu verhindern, während Logging die Aufgabe hat, Informationen über Netzwerkaktivitäten zu sammeln und auszuwerten.
• Prävention vs. Detektion: Blocking dient der Prävention von Sicherheitsvorfällen, indem es den Zugang oder die Ausführung von potenziell schädlichen Aktionen unterbindet. Logging hingegen ermöglicht die Detektion und Analyse von Sicherheitsvorfällen, indem es ein detailliertes Bild der Netzwerkaktivitäten bietet.
• Zeitpunkt der Maßnahme: Beim Blocking werden Maßnahmen in Echtzeit getroffen, um unmittelbare Bedrohungen abzuwehren. Logging sammelt kontinuierlich Daten, die zu einem späteren Zeitpunkt für Analysen herangezogen werden können.

In einer umfassenden Sicherheitsstrategie, wie sie von der IEC 62443 empfohlen wird, ergänzen sich Blocking und Logging gegenseitig. Das Blockieren schützt das Netzwerk durch unmittelbares Eingreifen, während das Protokollieren wertvolle Einblicke für die langfristige Sicherheitsplanung und Reaktion auf Vorfälle bietet. Beide Ansätze tragen somit entscheidend dazu bei, die Sicherheitsziele in industriellen Automatisierungsumgebungen zu erreichen.

Die Bedeutung einer professionellen, vorausschauenden und security-orientierten Netzwerkplanung

Die sorgfältige Planung von OT-Netzwerken im Einklang mit der IEC 62443 ist essentiell für die langfristige Sicherheit und Stabilität industrieller Steuerungssysteme. Eine vorausschauende und sicherheitsorientierte Netzwerkplanung ermöglicht:

• Frühzeitige Risikoerkennung: Proaktive Identifizierung und Minderung potenzieller Sicherheitsrisiken.
• Compliance und Standardkonformität: Sicherstellung der Einhaltung relevanter Industriestandards, was zu einer höheren Vertrauenswürdigkeit führt.
• Langfristige Netzwerksicherheit: Aufbau einer robusten, anpassungsfähigen und zukunftssicheren Sicherheitsarchitektur.
• Kosteneffizienz: Vermeidung kostspieliger Nachbesserungen durch frühzeitige Integration von Sicherheitsmaßnahmen.

Eine derartige Planung bildet das Fundament für ein sicheres und zuverlässiges OT-Netzwerk, das effektiv gegen aktuelle und zukünftige Bedrohungen geschützt ist und somit zum langfristigen Erfolg des Unternehmens beiträgt.

Fazit

Die OT-Netzwerktechnologie ist im Rahmen der IEC 62443 von zentraler Bedeutung, da sie die Grundlage für die Implementierung und das Management von Sicherheitsmaßnahmen und OT-Security Systemen in industriellen Automatisierungs- und Steuerungssystemen bildet. Diese Integration trägt wesentlich dazu bei, die Sicherheit, Stabilität und Zuverlässigkeit von OT-Systemen in einem zunehmend vernetzten und potenziell gefährdeten technologischen Umfeld zu gewährleisten.

• Nach oben