Warum Secure in OT-Umgebungen schwierig ist
Das größte Risiko war nicht der Fernzugriff an sich, sondern der Mangel an Kontrolle und Transparenz, sobald sich die Benutzer im OT-Netzwerk befanden
Die Unterstützung des Fernzugriffs in einer OT-Umgebung ist von Natur aus komplex. Das Unternehmen musste ein Gleichgewicht zwischen Verfügbarkeit, Sicherheit und Geschwindigkeit herstellen und gleichzeitig ältere Steuerungssysteme schützen, die nie für moderne Konnektivität ausgelegt waren. Interne Ingenieure und Drittanbieter benötigten häufigen Zugriff für Konfiguration, Wartung und die Reaktion auf Vorfälle, doch jede Verbindung in die OT-Umgebung vergrößerte die Angriffsfläche.
5 Gründe, warum VPNs und allgemeine Fernzugriffstools in OT-Netzwerken versagen
Das Versorgungsunternehmen stützte sich auf veraltete VPNs und generische Fernzugriffstools, die das Vertrauen auf Netzwerkebene auf sensible OT-Bereiche ausweiteten. Nach dem Verbindungsaufbau verfügten die Benutzer oft über einen umfassenderen Einblick und Zugriff, als erforderlich war, was Risiken mit sich brachte, die das Sicherheitsteam nicht ohne Weiteres eindämmen oder überwachen konnte.
5 zentrale Herausforderungen
- Übermäßige Zugriffsrechte: Die VPN-basierte Verbindung gewährte umfassenden Netzwerkzugriff, anstatt die Benutzer auf bestimmte OT-Ressourcen oder Bildschirme zu beschränken
- Eingeschränkte Sichtbarkeit der Sitzungen: Sicherheitsteams konnten nicht erkennen, was Benutzer während aktiver RDP-Sitzungen taten, und konnten nicht in Echtzeit eingreifen
- Risiko der seitlichen Ausbreitung: Sobald sie sich im System befinden, könnten sich Benutzer potenziell über OT-Segmente hinweg bewegen, wodurch sich der Wirkungsradius vergrößert
- Geöffnete Firewall-Ports: Anforderungen an den eingehenden Datenverkehr führten zu dauerhaften Schwachstellen in der kritischen Infrastruktur
- Belastung durch Audits und Compliance: Der Nachweis, wer auf welche Systeme zugegriffen hat, wie lange und welche Aktionen durchgeführt wurden, erforderte manuellen Aufwand und fragmentierte Protokolle
Auswirkungen auf das Geschäft und den Betrieb
- Erhöhtes Cyberrisiko für SCADA-, DCS-, HMI- und SPS-Umgebungen
- Längere Reaktionszeiten während Wartungsfenstern und bei Störungen aufgrund von Umgehungslösungen für den Zugriff
- Der Druck auf den CISO, strengere Kontrollmaßnahmen und Audit-Bereitschaft nachzuweisen, nimmt zu
- Geringeres Vertrauen darin, dass der Fernzugriff den Prinzipien der geringsten Berechtigungen entspricht
Was muss eine Secure -Fernzugriffslösung leisten?
Wir benötigten einen RDP-Zugang, ohne dabei das Risiko einzugehen, das mit das des OT-Netzwerks.
Das Versorgungsunternehmen benötigte eine speziell entwickelte OT-Fernzugriffslösung, die das Prinzip der geringsten Berechtigungen durchsetzen, eingehende Sicherheitsrisiken beseitigen und eine lückenlose Nachverfolgbarkeit gewährleisten sollte, ohne den Betrieb zu beeinträchtigen. Die Sicherheits- und OT-Teams einigten sich frühzeitig auf einen klaren Grundsatz: Der Fernzugriff muss die tägliche technische Arbeit unterstützen, ohne das Vertrauen auf das OT-Netzwerk selbst auszuweiten. Jede Lösung musste standardmäßig das Cyberrisiko verringern und gleichzeitig für Ingenieure, Betreiber und Drittanbieter, die an mehreren Standorten tätig sind, praktikabel bleiben.
Core
Um den VPN-basierten Zugriff sicher zu ersetzen, hat das Dienstprogramm die folgenden Kriterien festgelegt:
- Detaillierte RDP-Steuerung: Ermöglichen Sie Technikern den Zugriff auf Windows-basierte HMIs und Diagnosetools, ohne ihnen netzwerkweite Einblicke oder uneingeschränkte Berechtigungen zu gewähren
- Durchsetzung des Prinzips der geringsten Berechtigungen: Benutzer sollten nur explizit genehmigte Ressourcen sehen und mit ihnen interagieren können, ohne die Möglichkeit zu haben, sich lateral zu bewegen
- Umfassende Nachvollziehbarkeit: Jede Sitzung muss protokolliert, bei Bedarf aufgezeichnet und einem bestimmten Benutzer, einer bestimmten Ressource sowie einem bestimmten Zeitfenster zugeordnet werden
- Keine Öffnung von Ports in der Firewall: Der Fernzugriff muss funktionieren, ohne dass Ports zu OT-Netzwerken geöffnet werden
- Betriebliche Eignung für OT: Die Lösung muss Altsysteme unterstützen, architektonische Änderungen auf ein Minimum beschränken und Ausfallzeiten während der Bereitstellung vermeiden
Was sie vermeiden wollten
Die Erfahrungen der Vergangenheit haben gezeigt, was das Versorgungsunternehmen nicht wiederholen wollte:
- Allgemeine IT-Fernzugriffstools, die für den OT-Bereich umfunktioniert wurden
- Zugriff auf Netzwerkebene, der den Wirkungsradius vergrößert
- Manuelle Vorbereitung der Prüfung anhand fragmentierter Protokolle
- Sicherheitsmaßnahmen, die die Wartung oder die Reaktion auf Vorfälle verlangsamten
Für die Unternehmensleitung war der entscheidende Moment die Erkenntnis, dass der Fernzugriff an sich nicht das Problem war. Das Problem lag vielmehr darin, wie der Zugriff gewährt, durchgesetzt und überwacht wurde.
Möglichkeiten, den Secure -Zugriff auf OT-Systeme zu Secure , ohne das Netzwerk zu gefährden
Der entscheidende Schritt war die Umstellung vom Netzwerkzugang auf kontrollierte Sitzungen, ohne den Betrieb zu stören.
Das Versorgungsunternehmen reduzierte die Risiken beim Fernzugriff auf OT-Systeme und verbesserte die Betriebskontrolle, indem es von einem Zugriff auf Netzwerkebene auf eine sitzungsbasierte, durch Richtlinien geregelte RDP-Verbindung umstellte. Der Fernzugriff auf OT-Umgebungen wurde dadurch von Grund auf kontrolliert, nachvollziehbar und isoliert. Techniker und Anbieter konnten sich genau dann mit den benötigten Systemen verbinden, wenn sie diese benötigten, ohne das gesamte OT-Netzwerk offenzulegen oder eingehende Firewall-Ports zu öffnen.
Wie sie das geschafft haben
Das Versorgungsunternehmen führte MetaDefender Access™ als sicheres Fernzugriffs-Gateway ein, das speziell für OT-Umgebungen entwickelt wurde. Anstatt den VPN-Zugriff auf Steuerungsnetzwerke auszuweiten, setzte die Plattform einen Zugriff auf Sitzungsebene durch, der strenge Transparenz- und Richtlinienkontrollen vorsah, die auf die jeweiligen operativen Rollen zugeschnitten waren.
5 Schlüsselelemente der Lösung
- Detaillierter RDP-Zugriff auf OT-Systeme
Den Ingenieuren wurde RDP-Zugriff ausschließlich auf genehmigte Windows-basierte HMIs, Engineering-Workstations oder Diagnosesysteme gewährt. In Richtlinien wurde festgelegt, welche Aktionen während jeder Sitzung zulässig waren, wodurch das Risiko von Missbrauch oder versehentlichen Änderungen verringert wurde. - Durchsetzung des „Line-of-Sight“-Prinzips und des Prinzips der geringsten Berechtigungen
Benutzer konnten nur die ihnen ausdrücklich zugewiesenen Ressourcen einsehen und mit ihnen interagieren. Es bestand keine Möglichkeit, das OT-Netzwerk zu durchsuchen oder sich lateral zwischen den Systemen zu bewegen. - Sichere Verbindungs
ausschließlich für ausgehenden Datenverkehr Das OT-Zugangs-Gateway initiierte TLS-Verbindungen ausschließlich für ausgehenden Datenverkehr, wodurch keine eingehenden Firewall-Ports geöffnet werden mussten und die Angriffsfläche kritischer Infrastrukturen verringert wurde. - Sitzungsüberwachung, Protokollierung und Aufzeichnung
Alle Remote-Sitzungen wurden protokolliert und bei Bedarf aufgezeichnet. OT- und Sicherheitsteams konnten Live-Sitzungen überwachen oder Aktivitäten später nachverfolgen, um Audits und Untersuchungen zu unterstützen. - Secure in OT-Umgebungen
Wenn Konfigurationsdateien, Skripte oder Patches benötigt wurden, wurden die Dateiübertragungen mit einer verwalteten Dateiübertragung und einem Multi-Engine-Malware-Scan kombiniert, um zu verhindern, dass schädliche Inhalte in OT-Systeme gelangen.
Warum dieser Ansatz funktioniert hat
Anstatt die OT-Teams aufzufordern, ihre Arbeitsweise zu ändern, passte sich die Lösung an die betrieblichen Gegebenheiten an und setzte gleichzeitig Sicherheitskontrollen transparent im Hintergrund durch. Der Zugriff basierte nicht mehr auf Vertrauen im Netzwerk, sondern auf autorisierten Benutzern, die auf definierten Rollen und Richtlinien beruhten.
Vom riskanten Zugang zur messbaren Kontrolle
Der Fernzugriff hat sich von einem unvermeidbaren Risiko zu einer kontrollierten Betriebsfunktion entwickelt
Das Versorgungsunternehmen erlangte eine echte operative Kontrolle über den Fernzugriff auf OT-Systeme, wodurch Risiken reduziert und gleichzeitig Audits, Wartungsarbeiten und die Reaktion auf Vorfälle schneller und berechenbarer wurden. Die operativen Verbesserungen waren unmittelbar spürbar und für die Teams in den Bereichen Sicherheit, OT und Compliance gleichermaßen sichtbar. Der Fernzugriff war nun kein blinder Fleck mehr, sondern wurde zu einem geregelten, wiederholbaren Prozess.
Betriebliche Verbesserungen
- Geringere OT-Exposition: Durch TLS-Tunnel, die ausschließlich ausgehenden Datenverkehr zulassen, werden eingehende Firewall-Ports eliminiert, wodurch die Angriffsfläche nach außen verringert wird
- Strengere Zugriffskontrolle: Ingenieure und Lieferanten hatten nur Zugriff auf genehmigte Systeme, ohne sich innerhalb des Netzwerks bewegen zu können
- Schnellere Prüfungen: Sitzungsprotokolle und Aufzeichnungen ersetzen die manuelle Beweissicherung
- Verbesserte Reaktion auf Vorfälle: Teams konnten zeitlich begrenzten Zugriff schnell gewähren, ohne die Sicherheitskontrollen zu lockern
Auswirkungen auf die Teams
- Die Sicherheitsteams gewannen die Gewissheit, dass der Fernzugriff mit der Durchsetzung des Prinzips der geringsten Berechtigungen und des Zero-Trust-Ansatzes im Einklang stand
- Die OT-Teams verbrachten weniger Zeit mit der Bearbeitung von Zugriffsausnahmen und mehr Zeit mit der Wartung der Systeme
- Die Unternehmensleitung hatte die Gewissheit, dass die Risiken des Fernzugriffs unter Kontrolle waren, ohne die Verfügbarkeit zu beeinträchtigen
Vorher vs. Nachher: OT Access
Zuvor | Nachdem |
VPN-basierter Netzwerkzugang | Sitzungsbasierter RDP-Zugriff |
Umfassende Sichtbarkeit nach dem Verbinden | Nur Sichtverbindung zu zugelassenen Objekten |
Eingeschränkte Sichtbarkeit der Aktivitäten | Umfassende Protokollierung und Aufzeichnung der Sitzungen |
Eingehende Firewall-Ports öffnen | Sichere Verbindungen nur für den ausgehenden Datenverkehr |
Manuelle Vorbereitung der Prüfung | Standardmäßig auditfähige Zugriffsprotokolle |
Secure auf eine wachsende OT-Landschaft ausweiten
Wie können Versorgungsunternehmen den sicheren Fernzugriff auf OT-Systeme mit zunehmendem Betriebsvolumen skalieren?
Mit der Einführung eines kontrollierten OT-Fernzugriffs ist das Versorgungsunternehmen in der Lage, den sicheren RDP-Zugriff auszuweiten und RDP-Sitzungsprotokolle sowie -Aufzeichnungen in umfassendere Sicherheitsabläufe zu integrieren. Da das Versorgungsunternehmen seine Betriebsabläufe weiter modernisiert und digitalisiert, wird erwartet, dass die Anforderungen an den Fernzugriff sowohl hinsichtlich des Volumens als auch des Umfangs zunehmen werden. Anstatt neue Einzellösungen einzuführen, plant das Unternehmen, auf derselben Grundlage für die Zugriffskontrolle aufzubauen, um Konsistenz zu gewährleisten und die betriebliche Komplexität zu verringern.
Erwägte Expansionsmöglichkeiten
- Umfassendere RDP-Abdeckung für OT-Ressourcen
Erweitern Sie den sicheren RDP-Zugriff auf weitere Windows-basierte Systeme wie Historien-Server, Engineering-Workstations und Edge-Controller, wobei die gleichen Grundsätze der minimalen Berechtigungen und der Sichtverbindung beibehalten werden.
- Verstärkte Integration der Sicherheitsabläufe in „
“ Korrelieren Sie RDP-Sitzungsprotokolle und -Aufzeichnungen mit SIEM- und SOAR-Plattformen, um bei Untersuchungen einen umfassenderen Kontext zu bieten und eine schnellere Reaktion auf Vorfälle zu ermöglichen.
- Unterstützung für künftige digitale Initiativen
Nutzen Sie dasselbe Zugriffsframework, um die Konnektivität zu cloudbasierten Analyseplattformen oder OT-Digitalisierungsgateways sicherzustellen und so die Konsistenz der Richtlinien auch bei sich weiterentwickelnden Architekturen zu gewährleisten.
Die Lücke zwischen Zugang und Sicherheit schließen
Nicht die Konnektivität, sondern der kontrollierte Zugriff schützt kritische Betriebsabläufe.
Durch ein neues Konzept für den OT-Fernzugriff konnte das Versorgungsunternehmen Cyberrisiken reduzieren, die Prüfungsbereitschaft verbessern und den Technikern ein effizientes Arbeiten ermöglichen, ohne die kritische Infrastruktur zu gefährden. Mit der Einführung MetaDefender OT Access stellte das Unternehmen von einer Vertrauensbasis auf Netzwerkebene auf kontrollierte, richtliniengesteuerte RDP-Sitzungen um.
Der Fernzugriff wurde isoliert, überprüfbar und an den Grundsätzen der geringsten Berechtigungen ausgerichtet, ohne dass es dabei zu betrieblichen Reibungsverlusten kam. Das Ergebnis war ein sichereres, besser planbares Fernzugriffsmodell, das die Verfügbarkeit, die Einhaltung von Vorschriften und die langfristige Betriebsresilienz förderte.
Zusammenfassung
- Der Fernzugriff auf OT-Systeme muss nicht zwangsläufig mit erhöhten Risiken für den Betrieb einhergehen
- Die sitzungsbasierte Steuerung bietet mehr Sicherheit als das Vertrauensmodell auf Netzwerkebene
- Die Prüfungsbereitschaft wird verbessert, wenn der Zugriff standardmäßig protokolliert und geregelt wird
- Speziell entwickelte OT-Zugriffslösungen lassen sich besser skalieren als umfunktionierte IT-Tools
Wenn Sie den Fernzugriff auf SCADA-, DCS-, HMI- oder andere OT-Systeme sichern und vor ähnlichen Herausforderungen in Bezug auf Risiken, Transparenz und Compliance stehen, sprechen Sie mit einem OPSWAT , um zu erfahren, wie MetaDefender OT Access Ihnen dabei helfenOT Access , Ihre OT-Konnektivität zu modernisieren.
