Design einer industriellen DMZ: Aufbau der OT/IT-Pufferzone auf Level 3.5

01Wichtigste Erkenntnisse

1. 01

   Eine industrielle DMZ ist ein Puffernetzwerk auf Purdue Level 3.5, das Daten zwischen IT und OT vermittelt, sodass sich keine der beiden Seiten direkt mit der anderen verbindet.

2. 02

   Die zentrale Design-Regel lautet: kein Durchschleifen. Eine Sitzung endet innerhalb der DMZ, und eine neue, separat autorisierte Sitzung setzt sie fort, sodass es keinen direkten Pfad von Level 4 zu Level 2 gibt.

3. 03

   Betreiben Sie die richtigen Dienste in der DMZ: einen Patch- und Anti-Malware-Spiegel, ein Historian-Replikat, einen Fernzugriffs-Broker, ein Dateiübertragungs-Relais sowie replizierte Verzeichnis- oder Zeitdienste.

4. 04

   Sowohl die IEC-62443-Conduits als auch NIST SP 800-82 setzen diesen Puffer voraus; in der DMZ werden viele Entscheidungen zu Zonen und Conduits zu konkreten Firewall-Regeln und Hosts.

5. 05

   Für reine Publish-Flüsse aus der OT heraus, etwa den Export von Historian- oder Log-Daten, reduziert ein Einwegpfad die eingehende Erreichbarkeit, die eine DMZ mit doppelter Firewall technisch weiterhin zulässt.

02Was eine industrielle DMZ ist

Eine industrielle DMZ, manchmal auch IDMZ oder OT-DMZ geschrieben, ist ein dediziertes Netzwerksegment, das ein Unternehmens-IT-Netzwerk von einem Netzwerk der Betriebstechnik trennt. Im Purdue-Referenzmodell befindet sie sich auf Level 3.5, zwischen Level 3 (Standortbetrieb, einschließlich Historians und Engineering-Systemen) und Level 4 und 5 (Geschäfts- und Unternehmenssysteme). Sie ist der einzige Ort, an dem IT und OT Daten austauschen dürfen.

Die entscheidende Eigenschaft ist nicht die Anzahl der Firewalls oder das VLAN-Schema. Es ist die Regel, dass kein Gerät in der OT direkt mit einem Gerät in der IT spricht, und umgekehrt gilt dasselbe. Jeder grenzüberschreitende Fluss landet zuerst auf einem Host innerhalb der DMZ. Dieser Host erzeugt den Datenverkehr neu. Das Ergebnis sind zwei kurze, kontrollierte Gespräche statt eines langen, durchgehenden.

Kurzfassung: Eine industrielle DMZ ist eine Pufferzone, in der IT und OT über Broker und replizierte Kopien aufeinandertreffen, niemals über eine direkte Verbindung zwischen den beiden Netzwerken.

03Warum die Pufferzone wichtig ist

Betriebsnetzwerke wurden für Zuverlässigkeit und lange Lebensdauer gebaut, nicht für Angreifer. Viele nutzen Legacy-Protokolle ohne Authentifizierung, Geräte, die sich nicht in einem normalen Zyklus patchen lassen, und Anlagen, die fünfzehn Jahre oder länger im Einsatz bleiben. Der günstigste Weg, sie zu schützen, besteht darin, sicherzustellen, dass Angriffe sie gar nicht erst erreichen können.

Reale Eindringversuche spiegeln dies wider. MITRE ATT&CK for ICS katalogisiert Techniken wie das Ausnutzen von Remote-Diensten und laterale Bewegung über Engineering-Workstations und Fernzugriffs-Werkzeuge. Diese Techniken sind auf einen nutzbaren Netzwerkpfad vom kompromittierten Brückenkopf zum Steuerungssystem angewiesen. Eine industrielle DMZ existiert, um diesen Pfad zu unterbrechen. Wird ein Unternehmensrechner kompromittiert, erreicht der Angreifer die DMZ-Grenze und findet einen Broker vor, keine Anlage.

Hier wird das Modell auch konkret. Artikel über das Purdue-Modell und über die Zonen und Conduits nach IEC 62443 erklären, warum die Grenze existieren sollte. Dieser Artikel behandelt, wie man die Grenze so aufbaut, dass die Erklärung dem Kontakt mit einem realen Firewall-Regelwerk und einem realen Änderungsantrag standhält.

04Die Referenzarchitektur: doppelte Firewalls und Broker-Hosts

Das übliche Referenzdesign verwendet eine DMZ mit doppelter Firewall: eine Firewall zeigt zur IT, eine zur OT, und die DMZ liegt dazwischen. Zwei Firewalls unterschiedlicher Hersteller verringern die Wahrscheinlichkeit, dass ein einzelner Fehler oder eine Fehlkonfiguration beide Grenzen gleichzeitig öffnet. Eine einzelne Firewall mit drei oder mehr Schnittstellen ist eine kostengünstigere Variante, konzentriert jedoch die gesamte Grenze in einem Gerät und einem Regelwerk.

Innerhalb der DMZ befinden sich Broker- und Replikat-Hosts. Ein Broker beendet eine Verbindung von einer Seite und startet eine neue zur anderen, wobei er seine eigene Authentifizierung und Prüfung anwendet. Ein Replikat hält eine Kopie von Daten vor, die eine Seite liest, anstatt über die Grenze zu greifen. Keines der beiden Muster erlaubt es einem Paket von Level 4, auf einem Level-2-Gerät zu landen. Die oberste Regel, die in den Leitlinien von CISA und ISA wiederholt wird, lautet, dass kein Protokoll die DMZ unverändert durchquert.

IT-seitige Firewall

Schränkt ein, welche Unternehmens-Hosts und -Dienste DMZ-Broker und -Replikate erreichen dürfen, und blockiert alles andere, das in die DMZ eingeht.

OT-seitige Firewall

Schränkt ein, welche DMZ-Hosts welche OT-Zonen und -Dienste erreichen dürfen, und verweigert jeden Fluss, der IT-Datenverkehr direkt in die OT gelangen ließe.

Broker-Host

Beendet eine Sitzung und erzeugt sie neu, sodass der durchgehende Pfad in zwei separat autorisierte Teilstrecken aufgeteilt wird.

Replikat-Host

Hält eine Kopie von OT-Daten vor, etwa Historian-Datensätze, die die IT liest, ohne sich jemals in die OT-Zone zu verbinden.

05Welche Dienste in die DMZ gehören

Eine DMZ ist nur dann nützlich, wenn sie die Dienste beherbergt, die andernfalls jemanden dazu verleiten würden, eine direkte IT-zu-OT-Regel zu öffnen. Ermitteln Sie zuerst jeden grenzüberschreitenden Bedarf und platzieren Sie dann für jeden einzelnen einen Broker oder ein Replikat innerhalb der Pufferzone.

• Patch- und Anti-Malware-Staging: ein interner Spiegel, der Updates aus der IT zieht, aus dem OT-Systeme dann in der DMZ lesen, sodass die OT niemals direkt das Internet oder den Update-Server des Unternehmens erreicht.
• Historian-Replikat: eine Kopie der Historian-Daten der Anlage, die für Reporting und Analytik in der DMZ platziert wird, sodass Geschäftsanwender das Replikat abfragen und niemals den primären Historian in der OT.
• Fernzugriffs-Broker: ein gehärteter Sprung-Host oder ein Gateway, auf dem Hersteller- und Ingenieur-Sitzungen enden, authentifiziert und aufgezeichnet werden, bevor eine separate Sitzung in die OT fortgesetzt wird.
• Dateiübertragungs-Relais: ein Staging-Server zum Verschieben von Engineering-Dateien, Konfigurationen und Berichten, der direkte Freigaben zwischen den beiden Netzwerken ersetzt.
• Replizierte Verzeichnis- und Zeitdienste: ein schreibgeschützter Domänencontroller und eine NTP-Quelle, damit OT-Authentifizierung und -Uhren nicht von einer Live-Verbindung in die Unternehmensdomäne abhängen.
• Reverse-Proxy oder Web-Relais: für jede HMI oder jedes Dashboard, das aus der IT betrachtet werden muss, dargestellt über einen Proxy in der DMZ, anstatt den OT-Host preiszugeben.

Halten Sie die DMZ minimal. Jeder hinzugefügte Host ist ein weiteres Asset, das gepatcht, überwacht und gehärtet werden muss. Wenn ein Dienst keine Brücke zwischen IT und OT schlagen muss, gehört er nicht in die Pufferzone.

06Praktische Design-Regeln für den Aufbau

Das Architekturdiagramm ist einfach. Die Disziplin ist schwer. Diese Regeln sind es, die eine industrielle DMZ davor bewahren, stillschweigend zu einem flachen Segment mit einer davorgesetzten Firewall zu verkümmern.

• Kein Durchschleifen: Schreiben Sie niemals eine Regel, die einem IT-Subnetz erlaubt, ein OT-Subnetz zu erreichen, auch nicht über die DMZ. Der Datenverkehr muss auf einem DMZ-Host enden und neu erzeugt werden.
• Keine Dual-Homed-Hosts: Ein DMZ-Server darf nicht eine Schnittstelle in der IT und eine weitere in der OT haben. Eine einzelne Netzwerkschnittstelle, die beide Grenzen überbrückt, macht das gesamte Design zunichte.
• Standardmäßig verweigern in beide Richtungen, wobei jeder erlaubte Fluss bis hin zu Quelle, Ziel, Port und geschäftlichem Grund dokumentiert wird.
• Nach außen initiieren, wo möglich: Bevorzugen Sie Flüsse, die von der OT oder der DMZ ausgehend nach außen initiiert werden, statt dass die IT Sitzungen eingehend Richtung OT aufbaut.
• Die Management-Ebene trennen: Verwalten Sie DMZ-Hosts und Firewalls über einen dedizierten, isolierten Pfad, damit das Management niemals zu einem verborgenen Rückkanal über die Grenze wird.
• Die DMZ von beiden Seiten als nicht vertrauenswürdig behandeln: Die OT vertraut der DMZ nicht, und die IT vertraut der DMZ nicht, sodass ein kompromittierter Broker dennoch nicht frei in die OT gelangen kann.

Wenn Sie eine einzelne TCP-Sitzung zeichnen können, die auf einem Level-4-Host beginnt und auf einem Level-2-Gerät endet, ist die DMZ gescheitert, ganz gleich, wie viele Firewalls sie enthält.

07Wie sich die DMZ auf Standards und Compliance abbildet

Eine industrielle DMZ ist keine optionale Verfeinerung; die wichtigsten OT-Sicherheitsrahmenwerke setzen sie voraus. NIST SP 800-82 Rev. 3 beschreibt Netzwerksegmentierung und eine DMZ zwischen Unternehmens- und Steuerungsnetzwerken als grundlegende architektonische Maßnahme. ISA/IEC 62443 drückt dieselbe Idee als Zonen und Conduits aus: Die DMZ ist eine Reihe von Zonen, und jeder erlaubte Fluss ist ein definierter, überwachter Conduit.

Die Abbildung ist nützlich, weil sie abstrakte Anforderungen in konkrete Artefakte verwandelt. Eine Systemanforderung nach 62443-3-3 zum Schutz von Zonengrenzen wird zu einer Firewall-Regel und einem Broker-Host. Eine Risikobewertung, die einer OT-Zone ein Sicherheitsniveau zuweist, wird zur Strenge der Conduit-Regeln am Rand der DMZ. Prüfer und Regulierungsbehörden, einschließlich derer, die die EU-NIS2-Richtlinie und branchenspezifische Vorschriften anwenden, erwarten zunehmend, dass diese Dokumentation existiert und mit der Live-Konfiguration übereinstimmt.

NIST SP 800-82 Rev. 3

Empfiehlt eine DMZ zwischen Unternehmens- und Steuerungsnetzwerken sowie Netzwerksegmentierung, um die Erreichbarkeit in die OT hinein zu begrenzen.

ISA/IEC 62443 Zonen und Conduits

Modelliert die DMZ als Zonen, die durch definierte Conduits verbunden sind, wobei jeder Conduit nur die Flüsse führt, die sein Risikoniveau zulässt.

CISA-Leitlinien zur Defense-in-Depth

Behandelt die DMZ als eine Schicht unter vielen, kombiniert mit Überwachung, Härtung und Zugriff nach dem Least-Privilege-Prinzip.

08Häufige Fallstricke, die die DMZ aushöhlen

Die meisten gescheiterten industriellen DMZs wurden korrekt aufgebaut und dann ausgehöhlt. Die Architektur bleibt auf dem Diagramm, während das Regelwerk abdriftet. Dies sind die Muster, auf die man achten und gegen die man prüfen sollte.

• Regel-Wildwuchs: eine Reihe temporärer Any-to-Any- oder breiter Ausnahmen, die die Pufferzone allmählich in einen Transitpfad verwandeln.
• Als DMZ-Flüsse getarnte Durchschleif-Regeln: eine Regel, die technisch auf ein DMZ-Subnetz verweist, aber tatsächlich der IT erlaubt, OT-Adressen zu erreichen.
• Dual-Homed- oder überbrückende Hosts, die aus Bequemlichkeit hinzugefügt werden, etwa ein Backup-Server oder ein Hersteller-Laptop mit Schnittstellen in zwei Zonen.
• Ein Management- oder Monitoring-Werkzeug, das von der IT direkt in die OT greift und genau den Pfad wieder einführt, den die DMZ beseitigt hat.
• Ungepatchte, nicht überwachte DMZ-Hosts, die zum Ausgangspunkt des Angreifers werden, weil die Pufferzone als geringes Risiko behandelt wurde.
• Der DMZ zu vertrauen, als wäre sie OT, sodass ein einziger kompromittierter Broker weitreichenden nachgelagerten Zugriff gewährt.

Die Verteidigung ist regelmäßige Überprüfung, keine einmalige Design-Review. Leiten Sie die erlaubten Flüsse erneut aus der Firewall-Konfiguration ab und bestätigen Sie, dass keiner von ihnen ein direktes IT-zu-OT-Gespräch beschreibt.

09Wo die Einwegübertragung in die Pufferzone passt

Eine DMZ mit doppelter Firewall reduziert die Erreichbarkeit, beseitigt sie aber nicht. Jeder erlaubte Fluss ist weiterhin ein Pfad, den eine Richtlinie, ein Zugangsdatum oder eine Kompromittierung bidirektional machen könnte. Für die Flüsse, die immer nur in eine Richtung gehen müssen, lässt sich die Pufferzone stärken, indem man den Rückweg vollständig entfernt, anstatt ihn zu filtern.

Reine Publish-Conduits sind die natürlichen Kandidaten. Der Historian-Export zum DMZ-Replikat, die Weiterleitung von Logs und Ereignissen an ein SOC sowie die nach außen gerichtete Backup-Replikation teilen alle eine Eigenschaft: Die OT publiziert, die IT konsumiert, und die OT sollte niemals eine Sitzung zurückerhalten. Das Platzieren eines Einwegübertragungspfads auf diesen Conduits bedeutet, dass die eingehende Route gar nicht existiert, um missbraucht zu werden, was eine stärkere Garantie ist als eine Firewall-Regel, die lediglich verspricht, sie nicht zuzulassen.

Verwenden Sie Broker für Conduits, die ein Gespräch benötigen, und Einwegübertragung für Conduits, die nur Publikation benötigen. Die DMZ ist der Ort, an dem Sie Fluss für Fluss entscheiden, was welches ist.

10Validierung und eine Aufbau-Roadmap

Bauen Sie die DMZ als Abfolge auf, nicht als einzelne Umstellung. Beginnen Sie damit, jeden bestehenden IT-zu-OT-Fluss zu inventarisieren, denn Sie können keine Pfade ersetzen, die Sie nicht gefunden haben. Platzieren Sie dann Broker und Replikate für jeden legitimen Bedarf, migrieren Sie die Flüsse auf sie und entfernen Sie erst danach die alten direkten Regeln.

• Jeden aktuellen grenzüberschreitenden Fluss inventarisieren und dokumentieren, einschließlich der undokumentierten, die durch die Untersuchung des Datenverkehrs gefunden werden.
• Das DMZ-Segment, beide Firewalls und eine Standard-Verweigern-Baseline einrichten, bevor irgendein Host hinzugefügt wird.
• Broker und Replikate einen Dienst nach dem anderen ausbringen und jeden in einem Wartungsfenster validieren.
• Jeden Fluss auf seinen Broker oder sein Replikat migrieren und anschließend die entsprechende direkte Regel entfernen.
• Überprüfen, dass kein direkter Pfad übrig bleibt, indem Flüsse aus der Firewall-Konfiguration und nicht aus dem Diagramm nachverfolgt werden.
• Kontinuierliche Überwachung der DMZ-Hosts und des Grenzverkehrs hinzufügen und wiederkehrende Überprüfungen des Regelwerks einplanen.

Planen Sie auch langfristig. Wenn der Bedarf an OT-Daten wächst, widerstehen Sie der Versuchung, unter Termindruck direkte Regeln hinzuzufügen. Fügen Sie stattdessen einen Broker oder ein Replikat hinzu. Die Disziplin, jede neue Anforderung durch die Pufferzone zu leiten, ist es, die die DMZ auch fünf Jahre nach ihrem Aufbau sinnvoll hält.

11Abschließender Gedanke

Eine industrielle DMZ funktioniert, weil sie eine Frage verändert: von „Welchen Datenverkehr erlauben wir zwischen IT und OT?“ zu „Wie erhält die IT die Daten, die sie benötigt, ohne die OT jemals zu berühren?“. Die erste Frage lädt zu Ausnahmen ein. Die zweite erzwingt Broker, Replikate und Einwegpfade, von denen keiner eine direkte Linie in die Anlage hinterlässt.

Bauen Sie sie Fluss für Fluss, Host für Host auf, und überprüfen Sie sie anhand der Konfiguration statt anhand des Diagramms. Der Lohn ist konkret: Wenn ein Unternehmensrechner kompromittiert wird, erreicht der Angreifer eine Pufferzone und bleibt stehen, weil der Pfad, mit dem er gerechnet hat, nie existiert hat.

FAQHäufig gestellte Fragen

SRCQuellen