Entwurfsmuster für die Industrial DMZ. Legacy-OT ohne Umbau schützen.
Vier Architekturen, vom flachen Netz bis zur proxybasierten Segmentierung. Jede schützt Legacy-OT, ohne Anlagen auszutauschen.
Zuletzt aktualisiert:
Industrienetze wurden zuerst für Zuverlässigkeit gebaut.
Frühe Automatisierungsnetze waren geschlossene, zweckgebundene Ökosysteme. Als Ethernet und TCP/IP in die Werke kamen, wurden sie über Umgebungen gelegt, die ihre ursprünglichen Annahmen behielten: Stabilität und Verfügbarkeit vor allem.
Die klassische DMZ wurde zur gemeinsamen Servicezone.
Die DMZ auf Ebene 3.5 war für ein eng umrissenes Problem gedacht. Danach übernahm sie Aufgaben, für die sie nie gebaut wurde: Historians, Patch-Server und Fernzugriffs-Tools. Nach und nach wurde sie zu einer weiteren vertrauenswürdigen Umgebung mit eigener Komplexität.
Sicherheit hing zunehmend von Konfigurationsdisziplin ab.
Mit wachsender industrieller Vernetzung wurde die zentrale DMZ zum Knotenpunkt für unzusammenhängende Abläufe. Architektonische Klarheit wich betrieblicher Bequemlichkeit. Sicherheit wurde zu einer Frage der Konfigurationshygiene.
Die meiste Exposition läuft über vertrauenswürdige Zugänge.
Ein großer Teil der tatsächlichen OT-Exposition verläuft über autorisierte Engineering- und Dienstleisterpfade. Denken Sie an die vertrauenswürdige Wartungsverbindung, die Remote-Support-Sitzung und den Jump-Host. Unbefugte Netzwerkeinbrüche machen den kleineren Teil aus. Eine gemeinsame DMZ lässt diese vertrauenswürdigen Pfade ungeprüft durch.
Das Risiko hängt davon ab, was eine Verbindung tut.
Eine Steuerung, die Telemetrie teilt, trägt ein grundlegend anderes Risiko als dieselbe Steuerung, die Konfigurationsänderungen annimmt, selbst wenn beides über dasselbe Netzwerksegment läuft.
Der betriebliche Kontext zählt.
Die Absicht zu verstehen ist wichtiger, als die Topologie abzubilden. Ein Modbus-FC3-Lesevorgang von Holding-Registern über TCP 502 und ein Logik-Download über dieselbe S7comm-Sitzung auf TCP 102 nehmen denselben Pfad, tragen aber ein gegensätzliches Risiko. Sicherheit muss bewerten, was eine Verbindung auf der Ebene des Funktionscodes tut, nicht nur, wohin sie geht.
Segmentierung allein reicht nicht.
Netzwerkgrenzen verringern die Exposition. Sie können zulässige nicht von unsicherer Konnektivität unterscheiden. Wirksame Sicherheit braucht Vermittlung: explizite, eingegrenzte Austausche mit klarem Zweck.
Interaktionen überwachen, statt Systeme zu trennen.
Verkehrsnetze regeln den Verkehr mit Signalen und Kontrollpunkten, ohne die Straßen neu zu planen. Industrielle Cybersicherheit folgt demselben Prinzip. Überwachen Sie Interaktionen, statt Systeme vollständig trennen zu wollen.
Eine verteilte Vermittlungsschicht.
Sicherheit greift im Moment der Interaktion.
Die Industrial DMZ muss zu einer verteilten Kontrollschicht werden. Sie vermittelt Interaktionen zwischen Systemen und lässt diese Systeme unverändert. Durchsetzungspunkte werden sorgfältig platziert, damit sie den Betrieb der industriellen Infrastruktur respektieren. Der zyklische Verkehr zwischen Steuerung und E/A bleibt im Underlay. Nur routbare Sitzungen aus Leitwarte, Engineering und von Dienstleistern werden vermittelt. Die deterministische Regelschleife liegt nie im Durchsetzungspfad.
Vier Muster, um OT ohne Umbau zu sichern.
Sitzungs- vermittlung
- Durchsetzung im Sitzungspfad, über eine Appliance, die an Ihr bestehendes Netzwerk angebunden wird
- Beobachtet und steuert den Austausch, ohne Änderungen zu verlangen
- Geringes Einführungsrisiko, die Topologie bleibt intakt
- Betriebsteams finden sich in ihrer Umgebung weiter zurecht
- Durchsetzung im Sitzungspfad, über eine Appliance, die an Ihr bestehendes Netzwerk angebunden wird
- Beobachtet und steuert den Austausch, ohne Änderungen zu verlangen
- Geringes Einführungsrisiko, die Topologie bleibt intakt
- Betriebsteams finden sich in ihrer Umgebung weiter zurecht
Sitzungs- vermittlung
Den vollständigen Leitfaden zu den Entwurfsmustern laden.
Der vollständige Leitfaden: die Grenzen der klassischen DMZ, vier Entwurfsmuster für proxybasierte Segmentierung und wie Sie Zero-Trust-Prinzipien anwenden, ohne Werksnetze zu verändern.
Was Sie erfahren
Wie Industrienetze zu dem wurden, was sie heute sind. Warum das Konzept der zentralen DMZ im großen Maßstab scheitert. Vier Entwurfsmuster, die Kontrolle schaffen, ohne den Betrieb zu stören: Sitzungsvermittlung, funktionale Segmentierung, Overlay-Konnektivität und betriebliche Beobachtbarkeit.
Mit Access Gate umsetzen.
Access Gate setzt alle vier Entwurfsmuster aus einer einzigen Appliance um. Es wird an Ihr bestehendes Netzwerk angebunden, und Sie leiten die zu schützenden Flows Standort für Standort darüber. Kein Netzwerkumbau, nichts auf Maschinen zu installieren, keine Änderungen an bestehenden OT-Assets.
Häufige Fragen zum Design der Industrial DMZ.
Entwurfsmuster zur Sicherung von OT-Umgebungen. Jedes adressiert eine eigene Architekturaufgabe: Einführung, Segmentierung, Overlay und Beobachtbarkeit.
Sitzungsvermittlung platziert einen transparenten Durchsetzungspunkt auf dem Pfad zwischen zwei Systemen, ohne eines davon neu zu konfigurieren. Access Gate wird an Ihr bestehendes Netzwerk angebunden, und nur die Flows, die Sie darüber leiten, werden vermittelt. In OT sind Ausfallzeiten inakzeptabel, und Anlagen laufen jahrzehntelang. Die Vermittlung bringt Sicherheit in bestehende Signalpfade, ohne den Prozess zu stören. Werke ergänzen Instrumentierung und Sicherheitsverriegelungen bereits auf dieselbe Weise.
VLAN-Segmentierung teilt Adressräume auf. Funktionale Segmentierung legt Richtlinien nach betrieblicher Absicht fest. Eine Wartungssitzung, ein Telemetriestrom und ein Konfigurations-Update können über dasselbe Kabel laufen. Ihr Risiko ist trotzdem grundverschieden. Mit funktionaler Segmentierung beschreibt die Richtlinie, welche betrieblichen Aktionen unter welchen Umständen erlaubt sind, und nicht nur, welches Subnetz mit welchem sprechen darf.
Ein Overlay ergänzt eine logische Schicht, die Vertrauensbeziehungen regelt, ohne die physische Infrastruktur zu ändern. Switching, Routing, IP-Adressierung und VLANs bleiben vollständig unverändert. Access Gate baut authentifizierte, verschlüsselte Kommunikationspfade als Overlay auf. Das bestehende Netz bleibt genau, wie es ist, und erhält darüber Identitäts- und Richtliniendurchsetzung.
Ja. Die vier Entwurfsmuster in diesem Whitepaper unterstützen Compliance durch Vermittlung statt Migration. Die Sitzungsvermittlung liefert die Zugriffskontrolle und den Audit-Trail, die NIS2 und CMMC verlangen. Die funktionale Segmentierung unterstützt das Zonen- und Conduit-Modell der IEC 62443. Keines davon erfordert einen Umbau der Infrastruktur oder den Austausch von Anlagen.
Ja. Das Muster der Sitzungsvermittlung erfordert keine Änderung an Endgeräten. Ältere SPS, HMIs, RTUs und SCADA-Systeme, auf denen keine moderne Sicherheitssoftware läuft, werden über die Proxy-Schicht geschützt. Das OT-Gerät kommuniziert genau wie bisher. Die Durchsetzung erfolgt am Access Gate, nicht auf dem Gerät selbst.
