Secure kritische Datenübertragung im großen Maßstab
Hersteller stehen vor der ständigen Herausforderung, ihre Energie- und Wartungskosten zu kontrollieren. Die Anlagen in ihren Fabriken können jährlich Millionen von Dollar an Energie und Wasser verbrauchen, und selbst kleine Leistungsprobleme können dazu führen, dass sich die Kosten schnell summieren.
Unerwartete Geräteausfälle sind ein weiteres großes Problem. Eine fehlende vorausschauende Wartung kann zu einem Produktionsstopp führen, der mit jeder Stunde Ausfallzeit erhebliche Umsatzeinbußen zur Folge hat.
Nach Angaben von Aberdeen Research können Hersteller durch ungeplante Ausfallzeiten bis zu 260.000 Dollar pro Stunde verlieren. Angesichts der Tatsache, dass Angriffe heute im Durchschnitt 21 Tage Ausfallzeit verursachen, könnte der Einsatz nicht höher sein.
Um diese Probleme zu bekämpfen, nutzen die Hersteller Analyseplattformen und Verträge über Energieeinsparungen, um die Wartungsteams zu unterstützen. Sie nutzen OPC und andere Datenströme, um den Überblick über kritische Anlagen in jeder Anlage zu behalten, Aufgaben zu priorisieren und Investitionen zu steuern.
Interne OT (Operational Technology)-Sicherheitsteams sehen jedoch enorme Cybersicherheitsrisiken bei der Anbindung der Fabrikhalle an das Internet:
- Älteren OT-Geräten fehlt es oft an integrierten Sicherheits- oder Patching-Funktionen.
- Die Freigabe von OPC-Datenfeeds nach außen kann Angriffsvektoren für Angreifer schaffen.
- Die Änderung von Produktionssystemen ist kostspielig und birgt das Risiko von Ausfallzeiten.
Diese Sicherheitsbedenken sind wohlbegründet und werden durch Bundesrichtlinien unterstützt. Im März 2022 empfahl die CISA (Cybersecurity & Infrastructure Security Agency) die Verwendung von Einweg-Kommunikationsdioden, um die Netzwerksegmentierung zu verbessern und industrielle Steuerungssysteme vor Cyberangriffen zu schützen. Diese Empfehlung wurde im Jahr 2023 weiter bekräftigt, als sowohl das NIST als auch das Verteidigungsministerium in den neuesten NIST SP 800-82r3 und UFC 4-010-06 Datendioden als Option zur Sicherung von OT-Infrastrukturen empfahlen.
Die Einrichtung benötigte eine Möglichkeit, OT-Daten sicher zu extrahieren und weiterzugeben, ohne dass störende Systemänderungen erforderlich waren oder neue Schwachstellen hinzukamen.
MetaDefender Optical Diode mit Enero-Protokollkonvertierung
Der Hersteller arbeitete mit OPSWAT und Enero Solutions zusammen, um eine sichere Datenübertragungsarchitektur mit niedriger Latenz zu entwickeln.
Der Einsatz von MetaDefender Optical Diode (Fend) nutzt die optische Isolierung, um Daten nur in eine Richtung zu senden, und schützt so wichtige Ressourcen physisch. Sie bietet Systemtransparenz und verhindert, dass Malware, Ransomware und andere Angriffe die Netzwerkverbindung durchdringen.
In Zusammenarbeit mit Enero Solutions haben wir OPC UA-Daten aus Altsystemen übernommen, ohne dass die ursprünglichen Systeme modifiziert werden mussten. Die OPC-Protokollkonvertierung mit MetaDefender Optical Diode (Fend) verwendet einen mehrstufigen Ansatz mit geringer Latenz, um OPC-Daten sicher außerhalb des OT-Netzwerks zu übertragen, ohne potenzielle Angriffsvektoren für bösartige Akteure zu schaffen.
Wie es funktioniert
Ein OPC Client auf der geschützten Seite konsumiert OPC UA oder DA Abonnements.
Die Daten werden für TCP Passthrough am OT-seitigen Edge Device serialisiert, an die MetaDefender Optical Diode (Fend) weitergeleitet und an einen TCP Server auf der Unternehmensseite weitergeleitet, mit dem IT-seitigen Edge Device deserialisiert und als brauchbare OPC Punkte (Pfad, Wert, Zeitstempel) extrahiert. Ein OPC Client auf dem Enterprise (IT) Edge Device schreibt Punkte auf einen OPC UA Server, auf die der Kunde mit einem Abonnement zugreifen kann.
Ergebnis
Mit der integrierten Lösung erreichte die Produktionsstätte:
- Vollständige OT/IT-Isolierung: Hardware Einwegübertragung stellt sicher, dass keine externen Bedrohungen in das OT-Netzwerk eindringen können.
- Sichtbarkeit in Echtzeit: Secure, kontinuierliche Bereitstellung von OPC UA Daten an IT-Systeme, die schnellere Reaktionszeiten, verbesserte Überwachung und datengesteuerte Entscheidungen ermöglichen.
- Erhaltene Betriebszeit und Investitionen: Ältere OT-Systeme blieben unangetastet, wodurch kostspielige Ersetzungen oder störende Ausfallzeiten vermieden werden konnten.
- Geringeres Cyber-Risiko: Durch die Beseitigung von Angriffsvektoren, die mit direkten Verbindungen oder reinen Software-Ansätzen verbunden sind, hat die Einrichtung ihre allgemeine Cybersicherheitslage verbessert.
- Anpassung an die Vorschriften: Die Implementierung folgt den Best Practices für Cybersicherheit auf Bundesebene, erfüllt die CISA-Empfehlungen für Einweg-Kommunikationsdioden und steht im Einklang mit den Richtlinien NIST SP 800-82r3 und DoD UFC 4-010-06 zur Sicherung von OT-Infrastrukturen.
Blick in die Zukunft
Ältere OT-Systeme müssen keine Sicherheitsrisiken darstellen. Mit dem richtigen Ansatz können Hersteller wertvolle Betriebsdaten extrahieren und gleichzeitig eine vollständige Netzwerkisolierung aufrechterhalten und bestehende Investitionen schützen.
Setzen Sie sich noch heute mit OPSWAT in Verbindung, um zu erfahren, wie MetaDefender Optical Diode (Fend) eine sichere Datenextraktion aus Ihren Legacy-Systemen ermöglicht und gleichzeitig einen hardwaregestützten Schutz bietet.
