Was ist ein Industrie-Proxy?
Ein Sicherheits-Proxy für OT: Er vermittelt jede Sitzung vor der SPS, versteht industrielle Protokolle, benötigt keinen Agenten auf dem Gerät und ist so ausgelegt, dass er die Verfügbarkeit kaum beeinträchtigt, mit Failover und einem Notzugang (Break-Glass).
Ein Industrie-Proxy sitzt im Zugriffspfad vor einem OT-Asset, beendet jede Sitzung, authentifiziert den Benutzer, autorisiert den konkreten Befehl und zeichnet ihn auf, bevor irgendetwas die SPS, HMI oder den SCADA-Server erreicht. Er unterscheidet sich in drei für OT entscheidenden Punkten von einem generischen Forward- oder Reverse-Proxy: Er ist protokollbewusst (Modbus, DNP3 und mehr), agentenlos auf dem Asset und auf Ausfallsicherheit ausgelegt. Der Access Gate von Trout Software ist ein Industrie-Proxy.
Er sitzt im Fernzugriffs- und Lieferantenpfad, nicht im laufenden Steuerungskreis. Das lokale Polling zwischen HMI und SPS läuft nie über ihn, sodass er dem laufenden Prozess weder Latenz noch Jitter hinzufügt, und der Betrieb vor Ort läuft weiter, wenn das Gateway offline ist.
Was macht einen Proxy industrietauglich?
Ein Web-Proxy leitet HTTP für Browser weiter. Ein Industrie-Proxy vermittelt den Zugriff auf Steuerungen, die nie erreichbar sein sollten und sich nicht selbst schützen können. Vier Eigenschaften trennen die beiden.
Protokollbewusst
Er analysiert OT-Protokolle wie Modbus und DNP3 und setzt Regeln auf Befehls- und Registerebene durch, nicht nur auf Portebene.
Agentenlos auf dem Asset
Auf der SPS, der HMI oder dem SCADA-Server wird nichts installiert und nichts verändert. Die gesamte Durchsetzung erfolgt am Proxy.
Auf Ausfallsicherheit ausgelegt
Da in der OT die Verfügbarkeit Vorrang hat, arbeitet er mit Failover und einem Notzugang (Break-Glass), damit er nicht zum Single Point of Failure für den laufenden Prozess wird.
Identitätsgebunden und protokolliert
Jede Sitzung ist an eine authentifizierte Identität gebunden, auf das beschränkt, was diese Identität tun darf, und für Audits durchgängig aufgezeichnet.
Sie können nicht jede Steuerung modernisieren. Aber Sie können einen modernen Proxy davorsetzen.
Die meisten OT-Protokolle haben keine native Authentifizierung oder Verschlüsselung, und die meisten Steuerungen lassen sich nicht per Patch damit nachrüsten. Sie zu ersetzen ist ein Programm über mehrere Jahrzehnte. Ein Industrie-Proxy schaltet moderne Identität, Autorisierung, Verschlüsselung und Audit vor das bestehende Asset, ohne Änderung an der Steuerung und ohne Ausfallzeit. Das ist der praktische Weg, um Zero Trust in eine Anlage zu bringen, die sich nicht neu aufbauen lässt.
Der Industrie-Proxy, beantwortet
Ein Industrie-Proxy ist ein Sicherheits-Proxy, der eigens für die Betriebstechnik (OT) entwickelt wurde. Er sitzt im Zugriffspfad vor einer SPS, HMI oder einem SCADA-Server, beendet jede Sitzung, authentifiziert den Benutzer, autorisiert den konkreten Befehl anhand von Richtlinien, zeichnet ihn auf und leitet nur weiter, was erlaubt ist. Anders als ein generischer Web-Proxy versteht er OT-Protokolle wie Modbus und DNP3, und er ist auf Ausfallsicherheit ausgelegt, mit Failover und einem Notzugang (Break-Glass), um die Verfügbarkeit möglichst wenig zu beeinträchtigen. Der Access Gate von Trout Software ist ein Industrie-Proxy.
Ein Forward-Proxy sitzt vor den Clients und vermittelt deren ausgehende Anfragen; ein Reverse-Proxy sitzt vor den Servern und vermittelt die eingehenden Anfragen an sie. Ein Industrie-Proxy ist ein vermittelnder Proxy im Zugriffspfad: Er beendet die Sitzung auf beiden Seiten und wirkt so als Bastion zwischen der Person oder dem System, das Zugriff verlangt, und dem OT-Asset. Entscheidend ist nicht Forward gegen Reverse, sondern dass der Industrie-Proxy protokollbewusst für OT, agentenlos auf dem Asset und auf Verfügbarkeit ausgelegt ist.
Ein Forward-Proxy leitet die Anfragen eines Clients stellvertretend an ein Ziel weiter, üblicherweise um ausgehenden Web-Verkehr zu filtern oder zu protokollieren. OT braucht keinen generischen Forward-Web-Proxy. Es braucht einen vermittelnden Industrie-Proxy, der den Zugriff auf bestimmte Assets vermittelt, jede Sitzung an eine Identität bindet, sie auf genau das erlaubte Protokoll und den erlaubten Befehl beschränkt und aufzeichnet, ohne irgendetwas auf der Steuerung zu installieren.
Nein. Eine Firewall, auch eine anwendungsbewusste, prüft und filtert den Verkehr zwischen Zonen; sie authentifiziert keine Person, bindet die Sitzung nicht an deren Identität und zeichnet nicht auf, was sie getan hat. Ein Industrie-Proxy entscheidet, ob genau dieser Benutzer in genau dieser Sitzung genau diesen Befehl an genau dieses Asset senden darf, und zwar jetzt, und führt das vollständige Protokoll. Eine Firewall filtert; ein Proxy vermittelt und ordnet Handlungen einer Identität zu.
Auf der SPS wird nichts installiert. Der Industrie-Proxy steht davor: Der Bediener oder Lieferant verbindet sich mit dem Proxy, der ihn authentifiziert, die konkrete Modbus- oder DNP3-Anfrage anhand von Richtlinien prüft, die Sitzung aufzeichnet und nur autorisierten Verkehr an die Steuerung weiterleitet. Eine zwanzig Jahre alte SPS, die keinen Agenten ausführen kann, erhält identitätsgebundenen Zugriff, Autorisierung und Audit, die sie selbst nie bereitstellen könnte.
Access Gate sichert zuerst Ihre Assets und stellt dann die einfachen, sicheren Dienste bereit, die Ihre Teams und Dienstleister wirklich wollen, damit sie den freigegebenen Weg nehmen und nicht daran vorbei.
OT läuft durch Sie, nicht an Ihnen vorbei.