OT-Schwachstellen stellen Betreiber und Forschende vor schwierige Entscheidungen

Die Sicherheit von Betriebstechnologie (OT) bringt Herausforderungen mit sich, die sich deutlich von denen in herkömmlichen IT-Umgebungen unterscheiden. Viele industrielle Systeme wurden auf Zuverlässigkeit und lange Betriebszeiten statt auf moderne Sicherheitskontrollen ausgelegt. Dadurch müssen Unternehmen veraltete Software, eingeschränkte Hardware und schwierige Wartungsanforderungen bewältigen.

Bei älteren OT-Geräten wurde häufig davon ausgegangen, dass Systemen im selben Netzwerk vertraut werden kann. Ihnen fehlen möglicherweise eine starke Authentifizierung, eine Eingabevalidierung und Speicherschutztechnologien, die auf modernen Plattformen üblich sind. Da industrielle Netzwerke zunehmend mit der Unternehmens-IT und Remote-Diensten verbunden werden, erweisen sich diese Annahmen als immer riskanter.

Verfügbarkeit kann das wichtigste Sicherheitsanliegen sein

In der IT konzentriert sich die Schwachstellenforschung häufig auf Folgen wie die Ausführung von Code aus der Ferne oder eine Rechteausweitung. In einer industriellen Umgebung kann eine Denial-of-Service-Bedingung jedoch genauso schwerwiegend oder sogar noch folgenschwerer sein. Ein fehlerhaft formatiertes Paket, eine anhaltende Traffic-Flut oder die Auslösung eines Sicherheitssystems könnte Maschinen zum Stillstand bringen, Roboter stoppen oder einen kritischen Prozess unterbrechen.

Solche Unterbrechungen können die Produktion, öffentliche Dienste und in manchen Fällen die Sicherheit von Beschäftigten beeinträchtigen. Anders als viele IT-Systeme können Industrieanlagen nicht ohne Weiteres auf kostengünstige Reservesysteme umschalten oder beschädigte Geräte schnell ersetzen. Selbst ein vorübergehender Ausfall kann erhebliche betriebliche und finanzielle Folgen haben.

Die Offenlegung wird durch begrenzte Möglichkeiten zur Behebung erschwert

Forschende, die eine OT-Schwachstelle entdecken, müssen den Nutzen einer Offenlegung gegen die Möglichkeit abwägen, dass öffentliche Details Angreifern dabei helfen könnten, kritische Dienste ins Visier zu nehmen. Die Koordination mit dem betroffenen Anbieter und die Vergabe einer Schwachstellenkennung sind möglicherweise erst der Beginn eines langwierigen Prozesses.

Selbst nach der Bestätigung einer Schwachstelle kann die Installation einer Fehlerbehebung schwierig sein. Geräte befinden sich möglicherweise in abgelegenen Anlagen, unterliegen einer behördlichen Genehmigung oder können keine Softwareupdates empfangen. Für manche Systeme ist Ersatzhardware erforderlich, und neuere Geräte funktionieren möglicherweise nicht mit der vorhandenen Steuerungsinfrastruktur. Bis dahin können Betreiber auf Netzwerksegmentierung, eingeschränkten Zugriff und eine engmaschige Überwachung setzen, um die Angriffsfläche zu verringern.

Die Konvergenz erhöht den Einsatz

Die Segmentierung bleibt eine wichtige OT-Schutzmaßnahme. Die zunehmende Integration in Unternehmensnetzwerke und internetverbundene Dienste bedeutet jedoch, dass industrielle Schwachstellen nicht länger als isolierte Probleme betrachtet werden können. Sicherheitsforschende werden dazu angehalten, vermutete Schwachstellen über etablierte Kanäle zu melden, darunter den Meldeprozess der CISA für Software- und ICS-Schwachstellen, damit Anbieter und zuständige Behörden Maßnahmen zur Risikominderung koordinieren können, bevor technische Details umfassend missbraucht werden.