Dieses Dokument beschreibt einen beispielhaften Ablauf für OT-Incident-Response und -Wiederherstellung sowie den Einsatz von Access Gate in jeder Phase: Erkennung, Quarantäne und Wiederherstellung.
Verwenden Sie es als Vorlage. Passen Sie die Schwellenwerte, Assets und Maßnahmen an Ihre Anlage und Ihr eigenes Runbook an, und haken Sie jeden Schritt ab.
Phase 1: Erkennung
Diese Phase findet vor einem Vorfall statt, wenn Sie das System einrichten. Access Gate generiert Erkennungen aus dem Asset-Verhalten und einem konfigurierbaren Regelwerk und leitet diese an Ihr SIEM weiter, sodass bei einem Vorfall die Meldung Ihre Verantwortlichen bereits dort erreicht, wo sie arbeiten.
- Navigieren Sie zu Rules → Configure Forward und richten Sie Access Gate auf Ihr SIEM aus.
Die vollständige Einrichtung finden Sie unter Log-Weiterleitung und SIEM-Export. Detailliertere Anleitungen sind für spezifische SIEM-Systeme verfügbar:
Phase 2: Quarantäne
Hier beginnt die Incident-Response. Eine Meldung erreicht Ihr SIEM, und Sie melden sich bei Access Gate an, um zu handeln.
Bei einem dringenden Fall setzen Sie das Asset direkt unter Quarantäne:
- Öffnen Sie das Asset und setzen Sie seinen Status auf In Maintenance oder Disabled. Dadurch wird die gesamte Kommunikation zu und von diesem Asset ausgesetzt.
Bei nicht dringenden Fällen setzen Sie das gesamte Asset nicht unter Quarantäne.
Arbeiten Sie über das Enclave des Assets, anstatt es vollständig abzuschalten:
- Öffnen Sie das Enclave und überprüfen Sie die ein- und ausgehende Kommunikation des Assets.
- Identifizieren Sie das risikobehaftete Verhalten.
- Deaktivieren Sie gezielt den Zugriff, der dieses Verhalten überträgt, und verschieben Sie diesen Datenfluss in die Quarantäne, während der Rest des Assets weiterläuft.
- Halten Sie einen Pfad für die Fehlersuche offen, beispielsweise eine RDP-Sitzung, damit ein Techniker das Gerät weiterhin erreichen kann. Informationen zur Einrichtung finden Sie unter RDP-Flows konfigurieren.
Phase 3: Wiederherstellung
Führen Sie das Gerät nach der Fehlersuche schrittweise zurück:
- Aktivieren Sie jede Verbindung einzeln wieder.
- Überprüfen Sie dabei, ob der Datenverkehr normal aussieht.
- Führen Sie das Asset in den Produktionsbetrieb zurück.
Da die Durchsetzung auf dem Overlay liegt, aktivieren Sie Flows im Access Gate wieder, nicht auf der Maschine selbst. Das physische Asset wurde nie verändert.
Was wurde erreicht
In den drei Phasen wurde Folgendes umgesetzt:
- Erkennung des Vorfalls anhand von inline ausgeführten Regeln und Weiterleitung der Meldung an das SIEM.
- Quarantäne des Risikos, entweder durch vollständige Deaktivierung des Assets oder durch gezieltes Unterbrechen nur des risikobehafteten Flows innerhalb des Enclaves, während der Anlagenbetrieb aufrechterhalten wird.
- Wiederherstellung durch schrittweises Reaktivieren von Flows auf dem Overlay, ohne das physische Asset jemals zu berühren.
Dies ist OT-Incident-Response und -Wiederherstellung mit Respekt vor der Betriebszeit: Eindämmung und Wiederherstellung erfolgen auf der Steuerungsebene, während die physische Ebene weiterläuft.