IT- und OT-Sicherheit zusammenbringen, Teil 2: BAS und das Purdue-Modell

Home » Security Bloggers Network » IT- und OT-Sicherheit zusammenbringen, Teil 2: BAS und das Purdue-Modell

Gedankenführung

6. Juni 2023

Erfahren Sie in dieser neuen Blogserie mehr über die Entwicklung konvergenter IT/OT-Umgebungen und die Auswirkungen auf die Validierung von Sicherheitskontrollen.

In unserem ersten Beitrag über den Einsatz von BAS in einer Operational Technology (OT)-Umgebung gaben wir einen Überblick über ein typisches konvergentes IT/OT-Netzwerk, die Trends, die zu einem erhöhten Cyberrisiko für Besitzer von Industrieanlagen führten, und eine hochrangige Diskussion darüber, wie das geht BAS kann dazu beitragen, eine bessere Sichtbarkeit und einen besseren Schutz in der gesamten konvergenten Umgebung zu gewährleisten. In diesem Update besprechen wir die Vorteile, die BAS in diesen Anwendungsfällen bietet, und gehen detailliert darauf ein, wo und wie BAS mithilfe des Purdue-Modells in eine kombinierte IT/OT-Architektur passt.

Das Purdue-Modell wird allgemein als Standard für den Aufbau einer Netzwerkarchitektur für industrielle Steuerungssysteme (ICS) in einer Weise akzeptiert, die die OT-Sicherheit unterstützt, die Schichten des Netzwerks trennt, um einen hierarchischen Datenfluss zwischen ihnen aufrechtzuerhalten, und als solche die widerspiegelt grundlegende Architekturanforderungen für viele industrielle Steuerungssystem-Frameworks wie API 1164, ISA/IEC 62443 und NIST 800-82.

Purdue veranschaulicht, wie die typischen Elemente einer ICS-Architektur miteinander verbunden sind, indem er sie in sechs Zonen unterteilt, die Geschäftssysteme (das IT-Netzwerk) und industrielle Steuerungssysteme (das OT-Netzwerk) enthalten. Bei richtiger Implementierung trägt es dazu bei, eine „Luftlücke“ zwischen ICS/OT- und IT-Systemen zu schaffen und diese zu isolieren, sodass ein Unternehmen wirksame Zugangskontrollen durchsetzen kann, ohne das Geschäft zu behindern. Allerdings ist Purdue kein Patentrezept für die OT-Netzwerkarchitektur. Wie bei jedem Netzwerk verfügt jede Umgebung auf jeder Ebene über eine eigene einzigartige Auswahl an Geräten.

Abbildung 1:Ein einfaches Purdue-Modell

Das Purdue-Modell besteht aus sechs Netzwerkebenen, die durch die jeweiligen Systeme und Technologien definiert werden. IT-Systeme belegen die oberen beiden Ebenen, während OT-Systeme die unteren drei Ebenen belegen und zwischen ihnen eine konvergente „demilitarisierte Zone“ liegt. Schauen wir uns die einzelnen Elemente genauer an:

Level 5/4: Unternehmens- und Geschäftsnetzwerke

Während diese beiden Ebenen im traditionellen Purdue-Modell getrennt sind, wurden sie im obigen Grundmodell der Einfachheit halber kombiniert, da sie zusammen die IT-Umgebung bilden. Die Ebenen 4 und 5 umfassen unternehmensweite Dienste wie Active Directory, HR- und Dokumentenmanagementsysteme, Customer Relationship Management (CRM)-Plattformen, interne E-Mail und das Security Operations Center (SOC). Dazu gehören auch standortspezifische Dienste wie Enterprise Resource Planning (ERP), die Produktionspläne, Materialverbrauch, Versand und Lagerbestände steuern.

Geräte dieser Stufe nutzen Standard-IT-Hardware, Cloud-Plattformen und handelsübliche Betriebssysteme wie Windows und Linux.

Level 3.5: IT/OT Demilitarisierte Zone (DMZ)

Während die DMZ in IT-Netzwerken für die Trennung des Unternehmensnetzwerks vom Internet verantwortlich ist, ist die DMZ in OT-Netzwerken für die Isolierung des Industrienetzwerks vom Unternehmensnetzwerk verantwortlich. Da die Anforderungen an Geschäftsdaten seitens der OT-Seite gestiegen sind und umgekehrt, mussten Administratoren diese beiden Ebenen über DMZs verbinden.

Auf Geräten auf dieser Ebene laufen auch Standard-IT-Hardware, Cloud und Software.

Ebene 3: Betriebssysteme

Diese Ebene umfasst Überwachung, Aufsicht und Betriebsunterstützung zur Verwaltung der Produktionsabläufe in der Werkstatt. Dazu gehören Engineering- und Operations-Workstations, auf denen Fertigungsbetriebsmanagement-/Manufacturing-Execution-Systeme (MOMS/MES) laufen, sowie Datenhistoriker zur Speicherung und Analyse betrieblicher Prozessdaten.

Diese Schicht besteht in der Regel aus spezialisierten Betriebsmanagementanwendungen, die auf Standard-IT-, Cloud- und mobiler Hardware und Betriebssystemen ausgeführt werden.

Ebene 2: Aufsichtssysteme

Ebene 2 enthält SCADA-Systeme (Supervisory Control and Data Acquisition), die Gruppen von Prozessen basierend auf Funktion, Typ oder Risiko steuern. Diese Ebene umfasst auch die Human-Machine-Interface-Geräte (HMI), über die ein Bediener mit einer Steuerung interagiert.

Diese Schicht besteht typischerweise aus industrialisierter IT oder mobiler Hardware, auf der spezielle Anwendungen auf Standard-Cloud- oder Betriebssystemplattformen ausgeführt werden.

Ebene 1: Prozessleitsysteme

Die Prozesssteuerungsebene umfasst Geräte wie verteilte Steuerungssysteme (DCS), speicherprogrammierbare Steuerungen (SPS) und Remote Terminal Units (RTU) sowie Sicherheitssysteme, die die physischen Geräte, die betriebliche Prozesse ausführen, überwachen und Befehle an diese senden.

Hardware und Betriebssysteme auf dieser Ebene sind viel spezialisierter. Typisch sind proprietäre Hardware und Software, die deutlich empfindlicher auf Softwareaktualisierungen und -änderungen reagieren können.

Level 0: Physikalische Prozessgeräte

Diese unterste Ebene umfasst alle Geräte, die betriebliche Prozesse ausführen. Dazu können Aktoren, Ventile und Pumpen sowie IIoT-Geräte wie Kameras und Bewegungssensoren gehören.

Diese Geräte sind in der Regel auf ihre spezifische Aufgabe spezialisiert und darauf ausgelegt, Anweisungen anzunehmen und Daten über Protokolle wie Feldbus zu senden.

Wie wir im ersten Teil unserer IT/OT-Blogserie sagten, beginnen die meisten OT-Angriffe mit der Kompromittierung des IT-Netzwerks. Daher ist es bei jeder OT-Sicherheitsstrategie von entscheidender Bedeutung, die IT- und OT-Netzwerke als zwei Teile desselben Puzzles zu betrachten. Sie müssen nicht nur die Schwachstellen innerhalb der OT-Umgebung selbst angehen, sondern auch die Art und Weise, wie Angreifer das IT-Netzwerk kompromittieren und durchqueren könnten, um Informationen zu sammeln und seitlichen Zugriff auf tiefere OT-Kontroll- und Sicherheitssysteme zu erhalten.

In der Vergangenheit haben Betriebsteams alle OT-Ressourcen verwaltet, weil sie befürchteten, dass Softwareaktualisierungen und Konfigurationsänderungen die Betriebszeit und Produktivität gefährden könnten. Daher hatten Sicherheitsteams einen schlechten Einblick in die OT-Umgebung und konnten keine geeigneten Sicherheitskontrollen implementieren oder aktualisieren.

Da durch die digitale Transformation IT-OT-Barrieren abgebaut wurden, verfügen viele Industrieunternehmen nun über tief integrierte IT/OT-Umgebungen und Sicherheitsteams, die nun für das Management von Cyber-Risiken in diesem erweiterten Netzwerk verantwortlich sind.

Sehen wir uns nun an, wie BAS Sicherheitsteams dabei helfen kann, einen ganzheitlichen Blick auf die Bewertung und Validierung von Sicherheitskontrollen in dieser kombinierten Umgebung zu werfen.

Durch die Simulation realer Angriffe in Ihrem erweiterten OT/IT-Netzwerk kann eine BAS-Plattform dabei helfen, Sicherheitskontrollen zu validieren, anfällige Angriffspfade zu identifizieren und die Sicherheits- und Betriebsteams bei der Priorisierung und Beschleunigung der Abhilfe zu unterstützen.

BAS-Plattformen führen Angriffsszenarien durch, ohne das OT-Netzwerk dem Risiko einer Störung auszusetzen, indem sie Simulationen auf Klonen von Produktionssystemen ausführen. Simulationen können beliebig oft ausgeführt werden, um Abweichungen zu erkennen und neue Angriffsmethoden zu testen. Dies ist besonders relevant für Besitzer von OT-Anlagen, da eine aktuelle KPMG-Umfrage ergab, dass 80 % der Industrieunternehmen nur einmal im Jahr oder seltener eine ICS-Sicherheitsbewertung durchführen.

Zurück zu unserem Purdue-Modell: Im Folgenden haben wir die Architektur mit Standorten überlagert, an denen die SafeBreach BAS-Plattform eingesetzt werden würde (alle Umgebungen sind unterschiedlich, daher ist dies nur ein allgemeines Beispiel).

Auf den Stufen 4/5 stellen wir Angriffssimulatoren auf typischen Unternehmens-Desktops, Laptops und Servern bereit. Und der Inhaltsserver und der externe Angreifer werden im SOC bereitgestellt. Auf dieser Ebene validieren die simulierten Angriffe von SafeBreach Endpunktsicherheitskontrollen, Firewall-Erkennungsregeln und Zugriffskontrolllistenregeln (ACL) und überprüfen, ob Ereignisse vom SIEM protokolliert werden.

Es ist wichtig zu beachten, dass die Angriffssimulationen auf dieser und allen Ebenen darunter niemals sensible Daten oder die Systemintegrität gefährden. Die Simulatoren von SafeBreach führen Angriffssimulationen nur auf und zwischen Simulatoren durch, niemals auf dem eigentlichen Produktionssystem.

In der IT/OT-DMZ (Ebene 3.5) testen die Simulatoren die Firewall, die den Zugriff auf diese Ebene regelt, und validieren außerdem die Kontrollen des Jump-Hosts (wahrscheinlich Linux-basiert), um sicherzustellen, dass der Fernzugriff auf die unteren OT-Ebenen sicher ist.

Auf den Ebenen 2 und 3 sind wir nun fest im OT-Netzwerk verankert. Wenn man an OT-Netzwerk-Endpunkte denkt, denken viele Menschen an spezialisierte Anlagen wie SPS- und RTU-Einheiten, die Produktionsprozesse direkt steuern. Aber auch in der OT-Umgebung sind die technischen Workstations und HMIs, auf denen wahrscheinlich entweder eine Windows- oder eine Linux-Umgebung ausgeführt wird, häufig das größte Risiko einer Kompromittierung. Es ist wichtig, diese Assets in die Angriffssimulation einzubeziehen, da OT-Endpunkte häufig über andere Sicherheitskontrollen und -konfigurationen verfügen als Endpunkte im IT-Netzwerk.

Dies muss jedoch so erfolgen, dass die Verfügbarkeit des Arbeitsplatzes oder des HMI nicht gefährdet wird. Die Installation eines Simulators auf einem Produktionssystem wäre für das Betriebsteam, das auf diese Systeme angewiesen ist, nicht akzeptabel. Sie werden feststellen, dass wir auf den folgenden Ebenen 3 und 2 Workstation- und HMI-Klone eingeführt haben und den Simulator über den Klon ausführen würden. Das Produktionssystem bleibt also unberührt, wir erhalten aber dennoch eine genaue Einschätzung seiner Sicherheitskontrollen. In diesem Beispiel würden wir versuchen, vom Jump-Server zum HMI-Klon oder vom HMI-Klon zum Engineering-Workstation-Klon zu wechseln.

Die Simulation von Sicherheitsverletzungen und Angriffen ist eines der effektivsten Tools zur Bewertung und Validierung der Sicherheitskontrollen in einer kombinierten IT- und OT-Umgebung.

Unterstützen Sie die digitale OT-Transformation selbstbewusstStellen Sie sicher, dass Ihre betrieblichen IT- und Sicherheitsteams auf der Grundlage derselben Informationen zusammenarbeiten, um den Anforderungen an Produktivität und Schutz gerecht zu werden, während sich Ihre Betriebsumgebung verändert.

Ein ganzheitlicher Ansatz zur Sicherheitsvalidierung, -behebung und -berichterstattung im gesamten OT- und IT-BereichErstellen Sie eine konsolidierte Ansicht Ihrer OT- und IT-Sicherheitsumgebung, um Schwachstellen und Schwachstellen, die bei einem Angriff von einem Netzwerk auf das andere übertragen werden könnten, schnell zu erkennen und zu beheben.

Erhöhen Sie das Vertrauen der StakeholderTeilen Sie automatisierte Berichte mit wichtigen Stakeholdern, um Risiken innerhalb der Organisation klar zu kommunizieren und sicherzustellen, dass Sicherheitsinvestitionen Priorität haben.

Sichern Sie den gesamten StapelAutomatisieren Sie die Ausführung mehrstufiger Angriffe im gesamten Cloud-Stack, einschließlich Endbenutzergeräten, Netzwerken, Cloud-Diensten und Anwendungen.

Verwalten Sie das Sicherheitsrisiko der LieferketteBevor Sie mit Drittanbietern zusammenarbeiten, bewerten Sie deren Cybersicherheitsstatus genau, um die potenziellen Risiken zu verstehen, die sie für Ihre Umgebung mit sich bringen können.

Um mehr über die Simulation von Sicherheitsverletzungen und Angriffen zu erfahren und darüber zu erfahren, wie SafeBreach zu besserer Transparenz und besserem Schutz in Ihrer integrierten IT/OT-Umgebung beitragen kann, laden wir Sie ein, eine Demo zu vereinbaren.

var eingebettetFormId = '8facdd92d81dbd8a816a41fc0e0f569b7a784017'; var marketoBaseUrl = '//go.safebreach.com'; var munchkinId = '535-IXZ-934'; var formId = '1930'; var ResponseType = 'redirect'; var ResponseMessage = 'Danke!'; var weitergeleitetURL = ''; var downloadFileURL = ''; var linkOpenType = '_self'; var popupVideo = 'url'; var popupVideoURL = ''; var popupVideoUploadURL = ''; MktoForms2.loadForm(marketoBaseUrl, munchkinId, formId, function(form) { form.onSuccess(function(values, followUpUrl) { var formElement = form.getFormElem()[0]; var successTextElement = document.getElementById("int_mktoForm_" + formId ); formElement.reset(); var subscribeButton = document.querySelectorAll('button.mktoButton')[0]; subscribeButton.innerHTML = 'Submit'; subscribeButton.removeAttribute('disabled');

successTextElement.innerHTML = responseMessage; setTimeout(() =>{ successTextElement.innerHTML = ''; }, 2000); return false; }); });

Der Beitrag „IT- und OT-Sicherheit zusammenbringen, Teil 2: BAS und das Purdue-Modell“ erschien zuerst auf SafeBreach.

*** Dies ist ein vom Security Bloggers Network syndizierter Blog von SafeBreach, verfasst von SafeBreach. Lesen Sie den Originalbeitrag unter: https://www.safebreach.com/resources/blog/bringing-it-and-ot-security-together-bas-purdue/