OT-Segmentierung ohne Umverkabelung oder VLAN-Redesign.
Mit zunehmender Verzahnung von IT und OT sind Netzwerksegmentierung und Purdue-Zonen (die Standardmethode zur Schichtung von OT-Netzwerken) bewährte Best Practices, und die meisten Umgebungen nutzen sie bereits in gewissem Umfang. Access Gate baut darauf auf, indem es den Zugang absperrt, Identitäten durchsetzt und Aktivitäten protokolliert.
Das Purdue Reference Model und das OT-Sicherheitsproblem.
Das Purdue-Referenzmodell gliedert ein Industrienetzwerk in Ebenen. Ebene 0 ist der physische Prozess: die Sensoren und Aktoren an der Linie. Ebene 1 ist die Basissteuerung, die PLCs und RTUs, die diesen Prozess antreiben. Ebene 2 ist die übergeordnete Steuerung, die SCADA-Server und HMIs. Ebene 3 ist der Anlagenbetrieb, wo der Historian und das MES angesiedelt sind. Ebenen 4 und 5 bilden die Unternehmensebene: ERP, E-Mail und der Rest der unternehmensweiten IT.
Die IT/OT-Grenze ist der Knotenpunkt, auf den Angreifer abzielen. Sie wird durch zunehmende Digitalisierung auch immer fragiler. Fernwartung und cloudgebundene Datenflüsse sind Paradebeispiele für Herausforderungen an Purdue und Segmentierungsmaßnahmen.
Das Ergebnis ist, dass die meisten Standorte flach oder nur teilweise segmentiert bleiben, nicht weil die Betreiber das Modell nicht kennen, sondern weil die Nachrüstung in einem laufenden Netzwerk zu störend ist.
IEC 62443-Zonen und Konduits.
In IEC 62443: Eine Zone ist eine Gruppierung von Assets, die dieselben Sicherheitsanforderungen und ein gemeinsames Security Level teilen. Der Standard definiert vier Stufen, von SL1 (Schutz gegen unbeabsichtigte oder zufällige Verstöße) bis SL4 (Schutz gegen einen staatlich unterstützten Angreifer mit umfangreichen Ressourcen). Ein Conduit ist der kontrollierte Kommunikationspfad zwischen zwei Zonen.
Der schwierige Teil ist die Implementierung von Konduits in einem bereits laufenden Netzwerk, was traditionell eine VLAN-Neugestaltung erfordert: Geräte neu adressieren, Switches neu konfigurieren und die Produktion für die Umstellung herunterfahren. Für die meisten Betreiber ist diese Ausfallzeit das Hindernis, das ein flaches Netzwerk ein weiteres Jahr lang flach hält.
OT-Cybersicherheit ohne Netzwerk-Neugestaltung.
Access Gate mit dem Netzwerk verbinden
Access Gate wird neben dem bestehenden Netzwerk in einer Aggregations- oder Lollipop-Architektur eingesetzt. Keine VLAN-Änderungen. Keine Agenten auf PLCs oder OT-Endpunkten.
Zero-Trust-Konsolidierung.
Das Overlay wird zum neuen Zero-Trust-Fabric. Die Migration läuft mit etwa 10 Systemen pro Stunde über den Access Gate Proxy, sodass ein Standort mit 100 Systemen innerhalb eines einzigen Tages abgeschlossen ist. IT-Administratoren und OT-Betreiber verwalten Richtlinien über rollenbasierte Zugriffssteuerung in einer gemeinsamen Benutzeroberfläche.
Bereitstellungsszenarien.
Standortübergreifende Industriegruppe
Eine große Gruppe mit heterogener OT (Siemens in einem Werk, Rockwell im nächsten, Schneider in einem dritten) kann sich nicht auf die Tools eines einzelnen Anbieters standardisieren. Das Overlay ist herstellerunabhängig: Es setzt Zonen und Konduits auf der Netzwerkschicht oberhalb der jeweiligen PLCs und Protokolle eines jeden Standorts durch und zentralisiert die Richtlinienverwaltung für alle.
Mehr erfahrenEinzelstandort-Hersteller unter NIS2
Eine wichtige Einrichtung gemäß NIS2 muss die Segmentierung und Zugangskontrolle nach Artikel 21 nachweisen, ohne ein Investitionsprojekt durchzuführen. Phase 1 bringt den Standort innerhalb von Stunden in den Geltungsbereich; Phase 2 konsolidiert in den folgenden Tagen zu einem vollständigen Zero-Trust-Fabric, wobei Prüfnachweise ab der ersten Sitzung generiert werden.
Mehr erfahrenVersorgungsunternehmen mit Legacy-SCADA
Ein Versorgungsunternehmen, das Legacy-SCADA auf den Ebenen 1-2 betreibt, kann weder Agenten auf RTUs installieren noch aktives Scanning in der Nähe von Sicherheitssystemen akzeptieren. Das parallele Overlay beobachtet passiv und vermittelt den Zugriff, ohne die Feldgeräte zu berühren, und wird anschließend zum Durchsetzungspunkt, während die Umgebung dahinter migriert wird.
Mehr erfahrenAccess Gate passt sich Ihrem Netzwerk an
Wählen Sie Ihre Umgebung aus, um zu sehen, wo das Access Gate eingesetzt wird, wie viel Zero-Trust-Abdeckung Sie erhalten und wie der Migrationspfad aussieht, von vollständiger bis zu partieller Abdeckung.
Access Gate sichert zuerst Ihre Assets und stellt dann die einfachen, sicheren Dienste bereit, die Ihre Teams und Dienstleister wirklich wollen, damit sie den freigegebenen Weg nehmen und nicht daran vorbei.
OT läuft durch Sie, nicht an Ihnen vorbei.
Vertrauen von Betreibern industrieller und kritischer Infrastrukturen.
verteilte Standorte in anspruchsvollen Betriebsumgebungen geschützt, kritische Infrastrukturen gesichert, ohne Agenten oder Ausfallzeiten.
Vertraut von führenden Unternehmen
OT-Netzwerksicherheit, beantwortet.
Purdue, IEC 62443-Zonen, standortübergreifende Richtlinien und die zweiphasige Access-Gate-Bereitstellung
Das Purdue-Referenzmodell (Teil von ISA-95) ist die Standardarchitektur für industrielle Steuerungssysteme. Es definiert sechs logische Ebenen, von Ebene 0 (der physische Prozess: Sensoren und Aktoren) über Ebene 1 (Grundsteuerung: PLCs und RTUs), Ebene 2 (übergeordnete Steuerung: SCADA und HMIs), Ebene 3 (Standortbetrieb und MES) bis zu den Ebenen 4 und 5 (Unternehmens-IT). In der OT-Sicherheit ist das Modell relevant, weil es die IT/OT-Grenze auf Ebene 3 verortet und definiert, welche Systeme niemals direkt miteinander kommunizieren sollten. Das ist die Grundlage für die Segmentierung.
IEC 62443 formalisiert die Purdue-artige Segmentierung in zwei Konstrukte. Eine Zone ist eine Gruppierung von Assets, die dieselben Sicherheitsanforderungen und ein gemeinsames Security Level (SL1 bis SL4) teilen. Ein Konduit ist der kontrollierte Kommunikationspfad zwischen Zonen. Er legt genau fest, welcher Datenverkehr eine Zonengrenze unter welchen Bedingungen passieren darf, und setzt dies durch. Ohne Konduits bleibt ein Zonendiagramm rein theoretisch: Jedes Gerät kann weiterhin jedes andere erreichen.
Access Gate wird in zwei Phasen eingesetzt. In Phase 1 wird es benachbart zum bestehenden Netzwerk an der Ebene 3/DMZ-Grenze platziert und erstellt ein Zero-Trust-Overlay über die Purdue-Zonen. Keine VLAN-Neukonfiguration, keine Agenten auf PLCs oder OT-Endpunkten, keine Produktionsausfallzeiten. Transparenz und identitätsbasierte Zugangskontrolle sind sofort verfügbar. In Phase 2 wird dieses Overlay zum neuen Zero-Trust-Fabric, während Systeme hinter das Gate migriert werden, ohne dass Switches durch neue ersetzt werden müssen.
Phase 1, das benachbarte Overlay, ist in Stunden betriebsbereit, nicht in Monaten. Die Migration in Phase 2 läuft mit etwa 10 Systemen pro Stunde über den Access-Gate-Proxy, sodass eine OT-Umgebung mit 100 Systemen in etwa einem einzigen Arbeitstag abgeschlossen ist. Verglichen damit dauert ein traditionelles VLAN-Neudesign und Konsolidierungsprojekt Monate, wobei der Großteil auf Change-Control und Validierung entfällt, nicht auf die eigentliche Umstellung.
Artikel 21 der NIS2 nennt IEC 62443 nicht explizit, aber die technischen Maßnahmen (Netzwerksegmentierung, Zugangskontrolle, Protokollierung) entsprechen direkt dem Zonen-und-Konduit-Modell. Nationale Leitlinien für OT-Betreiber, einschließlich der ANSSI-Leitlinien in Frankreich, behandeln IEC 62443 als anerkannten technischen Implementierungsstandard für diese Verpflichtungen. Der Aufbau nach IEC-62443-Zonen ist daher der praktische Weg, um die Segmentierungsanforderungen gemäß Artikel 21 nachzuweisen.
Access Gate bietet eine zentrale Richtlinienverwaltung für alle Standorte über eine einzige rollenbasierte Benutzeroberfläche. Jeder Standort wird in Phase 1 unabhängig bereitgestellt, ohne standortübergreifende Abhängigkeiten und ohne einen Big-Bang-Umstieg. Ab dem ersten Tag von Phase 2 werden die Standorte in ein einheitliches Zero-Trust-Fabric zusammengeführt. IT-Administratoren legen unternehmensweite Richtlinien fest, während OT-Betreiber die standortbezogene Kontrolle behalten. So kann eine Gruppe mit 50 Standorten eine einheitliche IEC-62443-Zonenposture aufrechterhalten, ohne ein Netzwerkteam in jedes Werk entsenden zu müssen.
OT-Sicherheit (operational technology) schützt die industriellen Systeme, die physische Prozesse steuern: PLC, HMI, SCADA und die dahinterliegenden Altserver. Anders als die IT-Sicherheit kann sie sich nicht auf Endpunkt-Agenten oder häufiges Patchen verlassen, deshalb setzt Access Gate Identität, Segmentierung und Überwachung auf der Netzwerkebene durch, mit einem Zero-Trust-Proxy vor jedem Asset, ohne Agenten und ohne Ausfallzeiten.
Die IT-Sicherheit schützt Daten und Benutzergeräte, bei denen Agenten, Patches und Neustarts Routine sind. Die OT-Sicherheit schützt Verfügbarkeit und Sicherheit von Anlagen, die sich oft nicht patchen, mit Agenten ausstatten oder abschalten lassen. Access Gate ergänzt Zero-Trust-Zugriff, Mikrosegmentierung und Auditierung auf der Netzwerkebene statt auf dem Gerät, sodass der Schutz die Produktion nicht stört.