Die Entscheidung zum Austausch einer ausgedienten Industrie-Firewall sollte in erster Linie auf der Grundlage des Bereitstellungsmodells, der Protokollabdeckung, der Methode zur Erstellung von Richtlinien, der Zertifizierungen und der Lizenzbedingungen getroffen werden – und nicht allein aufgrund des Markennamens. Diese fünf Faktoren bestimmen, ob durch den Austausch die bereits vorhandene Netzwerkarchitektur erhalten bleibt, die spezifischen industriellen Geräte geschützt werden und die Anforderungen hinsichtlich Compliance und Budget erfüllt werden. Der vom Anbieter vorgeschlagene Nachfolger ist ein sinnvoller Ausgangspunkt für die Recherche, ersetzt jedoch nicht die Überprüfung anhand dieser Checkliste.
Wichtigste Erkenntnisse
- Das Bereitstellungsmodell bestimmt, in welchem Umfang Sie das Netzwerk neu gestalten müssen. Eine transparente Inline-Firewall ohne IP-Adresse behält die bestehende Adressierung bei; eine geroutete Firewall ändert sie.
- Die Protokollunterstützung muss zu Ihrer Umgebung passen, nicht zur Masterliste eines Anbieters. Einige Anbieter binden bestimmte Protokollfamilien an separate, sich gegenseitig ausschließende Lizenzstufen, daher sollten Sie genau prüfen, welche SKU im Angebot enthalten ist.
- Wie Richtlinien erstellt werden, ist genauso wichtig wie das, was die Firewall blockiert. Eine Firewall, die den Datenverkehr in Echtzeit überwacht und mithilfe von maschinellem Lernen eine Richtliniengrundlage erstellt, vermeidet den häufigen Fehler, dass Regeln auf der Grundlage eines veralteten Netzwerkdiagramms geschrieben werden.
- Zertifizierungen variieren je nach konkretem Modell und nicht nur je nach Hersteller. Die wichtigsten Zertifizierungen eines Herstellers, wie beispielsweise die IEC 61850-3 für Umspannwerke, gelten nicht automatisch für jedes Hardwaremodell im Produktportfolio dieses Herstellers.
- „Unterstützt die Einhaltung von Vorschriften“ und „ist zertifiziert“ sind zwei unterschiedliche Aussagen. Die meisten industriellen Firewalls sind nicht als Geräte nach Rahmenwerken wie IEC 62443 oder NERC CIP unabhängig zertifiziert; sie unterstützen jedoch die Segmentierung und Protokollierung, die diese Rahmenwerke vorschreiben. Betrachten Sie die Behauptung einer Gerätezertifizierung für eines dieser Rahmenwerke als Warnsignal, das einer direkten Überprüfung bedarf.
Beginnen Sie mit dem Bereitstellungsmodell, nicht mit dem Markennamen
Eine industrielle Firewall lässt sich auf zwei Arten implementieren, wobei die Wahl davon abhängt, inwieweit das bestehende Netzwerk angepasst werden muss. Ein transparentes Inline-Gerät wird ohne eigene IP-Adresse in den Datenpfad eingebunden, wodurch die bereits vorhandene Adressierung und das Routing beibehalten werden. Ein geroutetes Gerät verfügt über eine eigene IP-Adresse und ist direkt in die Netzwerkschicht eingebunden, was zwar zusätzliche Funktionen bietet, aber auch einen höheren Aufwand für die Neugestaltung mit sich bringt.
Keines der beiden Modelle ist in jeder Hinsicht besser. Eine transparente Bereitstellung minimiert den Migrationsaufwand, was vor allem dann von Bedeutung ist, wenn eine seit Jahren im Einsatz befindliche Firewall, wie beispielsweise die „Tofino Xenon“ von Belden, ersetzt wird. Eine geroutete Bereitstellung kann mehr Flexibilität für Neuanlagen bieten, bei denen das Netzwerk um die Firewall herum konzipiert wird und nicht umgekehrt.
Passen Sie die Protokollabdeckung an Ihre tatsächliche Umgebung an
Die Deep-Packet-Inspection für industrielle Protokolle wie Modbus, DNP3, EtherNet/IP und IEC 61850 ist das, was eine industrielle Firewall von einer generischen Netzwerk-Firewall unterscheidet, die in einem OT-Netzwerk eingesetzt wird. Die entscheidende Frage ist nicht, wie viele Protokolle ein Anbieter auflistet, sondern ob die spezifischen Protokolle, die in der Umgebung laufen, von der angebotenen SKU abgedeckt sind.
- Fragen Sie nach der Protokoll-Liste nach SKU und nicht nach Produktfamilie. Einige Anbieter lizenzieren Protokollfamilien – beispielsweise einen universellen Satz im Gegensatz zu einem herstellerspezifischen Satz wie den GE-Protokollen – als separate, sich gegenseitig ausschließende Optionen, die in der Firmware durchgesetzt werden.
- Vergewissern Sie sich, ob die Überprüfung auch verschlüsselte Tunnel umfasst. Falls in der Umgebung IPsec oder OpenVPN für den Zugriff auf Lieferanten oder die Anbindung mehrerer Standorte verwendet wird, fragen Sie ausdrücklich nach, ob die Protokollüberprüfung auch innerhalb dieser Tunnel gilt oder nur für unverschlüsselten Datenverkehr. Lassen Sie sich dies schriftlich bestätigen, anstatt es lediglich aus einer Funktionsliste zu entnehmen.
Beurteilen Sie, wie Sicherheitsrichtlinien erstellt und gepflegt werden
Der häufigste Grund dafür, dass industrielle Firewalls auf unbestimmte Zeit im reinen Überwachungsmodus verbleiben, ist, dass niemand einen verlässlichen und aktuellen Überblick darüber hat, wie legitimer Datenverkehr aussieht. Zwei Ansätze lösen dieses Problem auf unterschiedliche Weise.
- Bei der manuellen Erstellung von Richtlinien muss jemand Firewall-Regeln anhand eines Netzwerkdiagramms verfassen, das zwar am Tag der Erstellung korrekt ist, danach aber von der Realität abweicht.
- Lern- oder Verhaltens-Baseline-Modi beobachten den Live-Datenverkehr über einen definierten Zeitraum, erstellen anhand der aktuellen Situation Richtlinienentwürfe und kennzeichnen anschließend Abweichungen von dieser Baseline. Dies verkürzt den Weg von der Installation bis zur aktiven Durchsetzung.
Überprüfen Sie die Zertifizierungen hinsichtlich Ihrer spezifischen Branche und Ihres Modells
Zertifizierungen werden für jedes einzelne Hardwaremodell erteilt und gelten nicht automatisch für die gesamte Produktpalette eines Herstellers. Das Spitzenmodell eines Herstellers verfügt möglicherweise über eine Zertifizierung – beispielsweise nach IEC 61850-3 oder IEEE 1613 für Umspannwerke und Stromversorgungsunternehmen –, die ein kleineres Modell oder ein Modell mit weniger Anschlüssen derselben Produktfamilie nicht aufweist. Überprüfen Sie daher stets das Datenblatt des jeweiligen Modells, das Sie in Betracht ziehen.
Vertikal / Anforderung | Bescheinigung zur Bestätigung | Warum es wichtig ist |
Umspannwerke | IEC 61850-3, IEEE 1613 | Regelt die elektromagnetische Verträglichkeit und die Umweltverträglichkeit von Umspannwerksausrüstung |
Gefährliche oder klassifizierte Bereiche | C1D2 | Erforderlich für den Einsatz in Umgebungen, in denen die Gefahr durch brennbare Gase oder Staub besteht |
Allgemeine Hardware-Zertifizierungen | CE, FCC | Grundlegende Zuverlässigkeitserwartungen für unkontrollierte industrielle Umgebungen |
Industrial Cybersicherheit | IEC 62443-4-2 (SL2, SL3) | Überprüft unabhängig die Sicherheitsfunktionen der Firewall und den sicheren Entwicklungsprozess des Anbieters, anstatt sich auf Selbsterklärungen zu verlassen |
„Unterstützt die Einhaltung von Vorschriften“ ist nicht dasselbe wie „ist zertifiziert“
Rahmenwerke wie IEC 62443 und NERC CIP regeln organisatorische Programme und die Systemarchitektur, nicht jedoch einzelne Geräte isoliert betrachtet; daher sind die meisten industriellen Firewalls unter keinem dieser Rahmenwerke als eigenständiges Produkt zertifiziert. Eine Firewall kann die von diesen Rahmenwerken geforderte Segmentierung, Zugriffskontrolle und Protokollierung unterstützen, ohne selbst „IEC 62443-zertifiziert“ oder „NERC CIP-zertifiziert“ zu sein. Falls ein Anbieter eine solche spezifische Zertifizierungsangabe für das Gerät selbst macht, fragen Sie nach, welche Stelle die Zertifizierung ausgestellt hat und für welchen Geltungsbereich sie gilt.
Das Lizenz- und Eigentumsmodell verstehen
Industrial Firewalls werden im Rahmen verschiedener Lizenzmodelle angeboten: als einmalig zu erwerbende Geräte (einmalige Hardwarekosten), als Abonnementverlängerungen (wiederkehrende Gebühren), funktionsbasiert (Protokoll- oder Funktionserweiterungen), durchsatzbasiert (Bandbreitenstufen), protokollbasiert (Lizenzierung pro Protokoll) und als zentrale Verwaltungslizenzen (Plattformen für die standortübergreifende Transparenz). Jedes Modell wirkt sich während der Lebensdauer des Geräts unterschiedlich auf die Gesamtbetriebskosten aus. Der Wechsel von einer unbefristeten Lizenz zu einem Abonnement oder die Einbindung von Lizenzen für Funktionen, Durchsatz oder Verwaltung führt zu laufenden Budgetverpflichtungen, die man bereits während der Evaluierungsphase genau kennen sollte, anstatt sie erst bei der Implementierung oder Verlängerung zu entdecken.
Plan für eine zentralisierte Verwaltung über mehrere Standorte hinweg
Eine Ersatzlösung, bei der man sich bei jedem Gerät einzeln anmelden muss, lässt sich nicht über eine Handvoll Standorte hinaus skalieren. Eine zentralisierte Verwaltung – egal, ob vor Ort oder in der Cloud – sollte in der Lage sein, Richtlinien zu verteilen, Statusdaten zu erfassen und die Berichterstellung für alle eingesetzten Geräte von einem einzigen Ort aus zu unterstützen.
Bitten Sie um einen begrenzten Pilotversuch, bevor Sie sich auf eine unternehmensweite Umsetzung festlegen
Ein Pilotprojekt in einer einzelnen Zone, das vor der flächendeckenden Einführung im Überwachungsmodus durchgeführt wird und für das im Vorfeld festgelegte Erfolgskriterien vereinbart wurden, verringert das Risiko, dass eine Architekturänderung zu ungeplanten Ausfallzeiten führt. Der flächendeckende Austausch ist ein Thema für ein späteres Gespräch, nicht für das erste.
Checkliste zur Bewertung von Ersatzteilen
- Bereitstellungsmodell: transparent/inline oder geroutet – und welches davon bewahrt Ihre bestehende Netzwerkarchitektur?
- Protokollabdeckung: bestätigt anhand Ihrer tatsächlichen Umgebung und der konkret angebotenen SKU, nicht anhand einer allgemeinen Liste der Produktfamilie
- Methode zur Richtlinienerstellung: manuelle Regelerstellung oder eine Lern-/Verhaltensbasislinie
- Zertifizierungen: für das jeweils betrachtete Modell überprüft, nicht vom Flaggschiffprodukt des Anbieters abgeleitet
- Formulierung in Bezug auf die Konformität: „erfüllt“ die Anforderungen eines Rahmenwerks im Gegensatz zu einer nicht überprüften Angabe zur Gerätezertifizierung
- Lizenzmodell: unbefristete Appliance-Lizenz oder Abonnement – und die damit jeweils verbundenen Gesamtbetriebskosten
- Zentralisierte Verwaltung: Verteilung von Richtlinien und Berichterstellung für alle Standorte von einem zentralen Ort aus
- Umfang des Pilotprojekts: Ein einzoniger Proof-of-Concept im Überwachungsmodus mit vereinbarten Erfolgskriterien, bevor eine unternehmensweite Entscheidung getroffen wird
Inwiefern gelten „ MetaDefender “, „Industrial “ und „Firewall “ für diese Checkliste?
MetaDefender Industrial Firewall™ ist die industrielle Firewall v OPSWAT für OT-Netzwerke, die speziell für Betriebstechnologie und cyber-physische Systeme entwickelt wurde und nicht aus einem IT-Produkt adaptiert ist. Im Hinblick auf die obige Checkliste: Sie unterstützt sowohl den transparenten Inline-Einsatz als auch den gerouteten Einsatz; ihr „Learning Mode“ erstellt Sicherheitsrichtlinien auf der Grundlage des beobachteten Datenverkehrs, anstatt einen manuellen Regelsatz zu erfordern; sie ist als Hardware mit vier oder acht Ports erhältlich, wobei das Acht-Port-Modell die Standards IEC 61850-3 und IEEE 1613 für den Einsatz in Umspannwerken und bei Energieversorgungsunternehmen unterstützt; und sie lässt sich in die OPSWAT™- Central Management von My integrieren, um Richtlinien und Berichte standortübergreifend zu verwalten. Es unterstützt eine Netzwerksegmentierung gemäß den Anforderungen der IEC 62443 und NERC CIP, im Einklang mit der oben genannten Unterscheidung hinsichtlich der Konformität: Dabei handelt es sich um eine Unterstützungsangabe, nicht um eine Angabe zur Gerätezertifizierung. Außerdem ist es C1D2-zertifiziert für raue Umgebungen.
Führen Sie anhand dieser Checkliste Ihre eigene Bewertung einer möglichen Ablösung durch und prüfen Sie anschließend, inwieweit MetaDefender ,Industrial undFirewall für Ihre spezifische Umgebung geeignet sind.
Häufig gestellte Fragen
Was ist der Unterschied zwischen einer transparenten und einer gerouteten industriellen Firewall-Bereitstellung?
Eine transparente Inline-Firewall ist im Wesentlichen eine Layer-2-Brücke, die keine IP-Adresse besitzt und direkt im Datenpfad liegt, wodurch die bestehende Netzwerkadressierung erhalten bleibt. Eine geroutete Firewall arbeitet als Layer-3-Gerät. Sie verfügt über eine eigene IP-Adresse und ist in die Netzwerkschicht eingebunden, was zwar zusätzliche Funktionen bietet, für deren Bereitstellung jedoch ein umfangreicherer Umbau des Netzwerks erforderlich ist.
Muss eine industrielle Firewall nach IEC 62443 oder NERC CIP zertifiziert sein?
Die meisten industriellen Firewalls sind unter keinem der beiden Rahmenwerke als eigenständiges Gerät unabhängig zertifiziert, da beide Rahmenwerke eher organisatorische Programme und die Systemarchitektur regeln als ein einzelnes Produkt. Achten Sie auf eine Firewall, die die in diesen Rahmenwerken geforderten Segmentierungs- und Audit-Anforderungen erfüllt, und überprüfen Sie Angaben zur Gerätezertifizierung, die nicht ausdrücklich bestätigt sind, unbedingt selbst.
Warum ist es von Bedeutung, wie eine industrielle Firewall ihre Sicherheitsrichtlinie erstellt?
Eine Firewall, bei der Regeln manuell anhand eines Netzwerkdiagramms erstellt werden müssen, ist nur so genau wie dieses Diagramm, das jedoch schnell veraltet sein kann. Eine Firewall, die den Live-Datenverkehr überwacht und eine Richtliniengrundlage entwirft, verkürzt den Weg von der Installation bis zur aktiven Durchsetzung und spiegelt den aktuellen Betriebszustand wider.
Warum unterscheiden sich die Zertifizierungen zwischen Modellen desselben Anbieters?
Zertifizierungen wie IEC 61850-3 oder IEEE 1613 werden für jedes Hardwaremodell einzeln erworben und veröffentlicht; sie gelten nicht automatisch für die gesamte Produktfamilie. Das Spitzenmodell eines Anbieters kann eine Zertifizierung aufweisen, über die ein kleineres Modell oder ein Modell mit weniger Anschlüssen aus derselben Produktreihe nicht verfügt. Daher muss das jeweilige Modell anhand seines eigenen Datenblatts überprüft werden.
Wie lange sollte eine Pilotphase dauern, bevor die vollständige Einführung erfolgt?
Lang genug, um einen repräsentativen Querschnitt des normalen Betriebs zu beobachten; der Betrieb erfolgt im Überwachungsmodus mit vorab festgelegten Erfolgskriterien und beschränkt sich auf eine einzige Zone. Das Ziel ist es, vor der Durchsetzung Vertrauen in die Richtlinien-Baseline zu gewinnen – es geht nicht um eine festgelegte Anzahl von Tagen.
Hat das Lizenzmodell Auswirkungen auf die Gesamtbetriebskosten?
Ja. Bei einer „Perpetual“-Lösung fallen einmalige Hardwarekosten mit optionalen Support-Verlängerungen an, während beim Abonnementmodell die Lizenzkosten in wiederkehrende Zahlungen eingebunden sind. Keine der beiden Optionen ist grundsätzlich günstiger; der richtige Vergleich hängt von der erwarteten Nutzungsdauer des Geräts ab und davon, wie das Unternehmen zwischen Investitions- und laufenden Kosten abwägt.
