OT-Asset-Inventar: Man kann nicht schützen, was man nicht sieht

01Wichtigste Erkenntnisse

1. 01

   Ein genaues Asset-Inventar ist das Fundament, von dem jede andere OT-Sicherheitsmaßnahme abhängt.

2. 02

   OT-Inventarisierung ist schwierig, weil empfindliche Geräte durch das aktive Scannen, auf das sich die IT verlässt, gestört werden können.

3. 03

   Passive Erkennung, also das Beobachten des Datenverkehrs statt aktivem Sondieren, ist der sicherere Weg, OT-Assets aufzuspüren.

4. 04

   Ein nützliches Inventar erfasst mehr als eine Liste: Funktion, Konnektivität, Kritikalität und Abhängigkeiten.

5. 05

   Das Inventar ist kein Selbstzweck; sein Wert liegt darin, Segmentierung und die Reduzierung der Angriffsfläche voranzutreiben.

02Warum das Inventar das Fundament ist

Sie können nicht schützen, segmentieren, patchen oder überwachen, was Sie nicht als existent kennen. Jede sinnvolle Sicherheitsentscheidung in der OT hängt davon ab, die betroffenen Assets zu kennen, weshalb Frameworks das Asset-Management durchgängig ganz an den Anfang des Prozesses stellen.

Ein unvollständiges Inventar untergräbt alles, was darauf aufbaut. Unbekannte Assets sind per Definition unsegmentiert, unüberwacht und ungepatcht, und sie sind oft genau dort, wo Vorfälle beginnen. Das Inventar ist keine Bürokratie; es ist die Landkarte, ohne die der Rest des Programms zum Ratespiel wird.

Jede andere Maßnahme setzt stillschweigend voraus, dass das Inventar vollständig ist. Wo es das nicht ist, haben diese Maßnahmen blinde Flecken.

03Warum das OT-Asset-Inventar schwierig ist

In der IT bedeutet der Aufbau eines Inventars oft das aktive Scannen des Netzwerks. In der OT kann dieser Ansatz gefährlich sein. Empfindliche Geräte können auf unerwartete Sondierungen schlecht reagieren, und es ist bekannt, dass aktives Scannen industrielle Anlagen gestört oder zum Absturz gebracht hat.

• Legacy-Geräte können durch Scans destabilisiert werden, für deren Verarbeitung sie nie ausgelegt waren.
• Echtzeitsysteme können die Störung, die aktives Sondieren verursachen kann, nicht tolerieren.
• Viele Geräte melden sich nicht auf eine Weise, die IT-Tools erwarten.
• Die Umgebungen sind heterogen, mit Anlagen von vielen Herstellern und aus vielen Epochen.
• Undokumentierte Änderungen häufen sich über Jahre an, sodass die Aufzeichnungen von der Realität abweichen.

04Passive Erkennung

Der sicherere Ansatz zur OT-Asset-Erkennung ist passiv: den bereits im Netzwerk fließenden Datenverkehr beobachten und aus dem, was die Geräte kommunizieren, ableiten, welche existieren, anstatt sie aktiv zu sondieren.

Passives Monitoring hört die industrielle Kommunikation ab und baut ein Bild von Assets, Protokollen und Verbindungen auf, ohne Datenverkehr einzuschleusen, der den Betrieb stören könnte. Es ist nicht augenblicklich oder perfekt, denn stille Geräte geben wenig preis, aber es ist der OT-gerechte Weg, Sichtbarkeit zu gewinnen, ohne den Prozess zu gefährden.

05Was zu erfassen ist

Ein nützliches Inventar ist mehr als eine Liste von Adressen. Um Sicherheitsentscheidungen zu unterstützen, muss es erfassen, was jedes Asset ist, was es tut und wie es sich in die Umgebung einfügt.

• Identität und Typ: was das Gerät ist, sein Hersteller und seine Rolle.
• Funktion und Kritikalität: was es tut und wie sehr seine Kompromittierung ins Gewicht fiele.
• Konnektivität: womit es kommuniziert und über welche Protokolle.
• Angriffsfläche: ob und wie es aus weniger vertrauenswürdigen Netzwerken erreichbar ist.
• Abhängigkeiten: was von ihm abhängt, damit Änderungen den Betrieb nicht unterbrechen.

06Das Inventar zur Reduzierung der Angriffsfläche nutzen

Ein Inventar liefert nur dann Wert, wenn es Handeln anleitet. Sein wirkungsvollster Nutzen besteht darin, aufzudecken, wo die Angriffsfläche unnötig ist: Assets, die erreichbar sind, es aber nicht sein müssten, Verbindungen, die aus Gewohnheit bestehen, und Pfade, die es nicht geben sollte.

Sobald das Inventar zeigt, was jedes Asset benötigt und wie es erreichbar ist, kann die Angriffsfläche gezielt reduziert werden. Für Assets, die keine durchgehende Konnektivität benötigen, kann ein AIRGAPNET-Muster für kontrollierte Konnektivität sie standardmäßig getrennt halten und nur bei Bedarf erreichbar machen, wodurch die vom Inventar gelieferte Sichtbarkeit in eine konkrete Verringerung der Angriffsfläche umgesetzt wird.

07Das Inventar aktuell halten

Ein Inventar ist nur so nützlich wie genau, und OT-Umgebungen verändern sich: Geräte werden über lange Lebenszyklen hinzugefügt, ersetzt und umkonfiguriert. Ein einmaliges Inventar verfällt schnell zu einer irreführenden Momentaufnahme.

• Nutzen Sie kontinuierliches passives Monitoring, damit neue und veränderte Assets bemerkt werden.
• Verknüpfen Sie das Inventar mit Änderungsprozessen, damit Ergänzungen erfasst werden.
• Überprüfen und gleichen Sie das Inventar regelmäßig mit der Realität ab.
• Kennzeichnen Sie unerwartete neue Assets sowohl als Inventaraktualisierung als auch als mögliches Sicherheitsereignis.

08Abschließender Gedanke

Das Asset-Inventar ist der am wenigsten glamouröse und zugleich grundlegendste Teil der OT-Sicherheit. Es stoppt keinen Angriff von allein, aber nichts anderes funktioniert gut ohne es, denn jede andere Maßnahme wird davon geprägt, was Sie im Netzwerk vermuten.

Bauen Sie das Inventar sicher mit passiver Erkennung auf, erfassen Sie genug, um Entscheidungen zu treffen, halten Sie es aktuell und nutzen Sie es vor allem, um die Angriffsfläche zu reduzieren. Zu sehen, was Sie haben, ist der erste Schritt; der Wert entsteht daraus, auf das Gesehene zu reagieren.

FAQHäufig gestellte Fragen

SRCQuellen