Absicherung von IIoT mit Privileged Access Management

Das jüngste Wachstum des Internets der Dinge (IoT) und seiner industriell geprägten Untergruppe, dem treffend benannten Industrial IoT (IIoT), ist atemberaubend. Auch die Wachstumsprognosen sind atemberaubend, da bessere IT-OT-Konnektivität, Sensoren und Steuergeräte immer mehr Anwendungsfälle für Implementierungen in der Fertigung, im Transportwesen und in vielen weiteren Branchen schaffen.

IIoT wächst – IIoT-Geräte vermehren sich

So vielfältig wie die Anwendungsfälle für das Industrial IoT sind, so vielfältig müssen auch die Systeme sein, die zur Nutzung einer Vielzahl von Sensoren und Steuerungssystemen eingesetzt werden. Mit Connected OT (Operational Technology) können Industrieunternehmen ihre Effizienz steigern, die Produktion optimieren und Prozesse verbessern. Es ist kein Wunder, dass OT-IT-Verbindungen ein exponentielles Wachstum erfahren, da sie eine erhebliche Kostenreduzierung und Produktivitätssteigerung bieten. Die IIoT-Implementierung in einer Fabrik kann beispielsweise den Einsatz von Tausenden oder sogar Zehntausenden von angeschlossenen Geräten erfordern, während ein IIoT-System, das für die Überwachung und Steuerung eines Hochgeschwindigkeits-Eisenbahnnetzes entwickelt wurde, eine dichte Reihe von Geräten benötigt, die eine ebenso dichte Menge an Daten erzeugen.

Mit Verbreitung von IIoT-Geräten wächst die Gefahr

Mit der zunehmenden Anzahl vernetzter Geräte steigt jedoch auch das Risiko einer Cyberbedrohung, da jedes Gerät ein potenzielles Einfallstor für Personen darstellt, die sich Zugang zu Daten und Systemen verschaffen wollen, sei es aus finanziellen Gründen oder um einfach nur Schaden anzurichten. Das Schadenspotenzial, wenn man sich Zugang zu privilegierten Ressourcen verschafft, ist enorm, nicht nur in Bezug auf die finanziellen Kosten, sondern auch in Bezug auf die Möglichkeit, dass Menschenleben gefährdet werden könnten, wenn Sicherheitssysteme beeinträchtigt werden.

Und abgesehen von den leicht vorstellbaren Möglichkeiten, wie Hacker durch Angriffe auf IIoT-Implementierungen direkt Schaden anrichten könnten, besteht auch die sehr reale Möglichkeit, dass Hacker, sobald sie über IIoT-Geräte in ein System eingedrungen sind, nicht nur die Kontrolle über die Geräte haben, sondern sich auch seitlich im IT-Netzwerk bewegen können. Das heißt, auch wenn ein IIoT-Gerät der Einstiegspunkt ist, können clevere Hacker von diesem Gerät aus leicht auf andere Ressourcen im System, wie Datenbanken und Server, zugreifen.

Mit der zunehmenden Anzahl vernetzter IoT-Geräte steigt auch die Gefährdung durch Cyber-Bedrohungen.

IIoT erfordert ein Privileged Access Management auf allen Ebenen

Daher muss das Cybersicherheitsteam eines Unternehmens, das eine IIoT-Lösung implementieren möchte, nicht nur überlegen, wie es die unzähligen Geräte, die es verwenden wird, direkt absichern kann, sondern auch die Schutzmaßnahmen für alle privilegierten Ressourcen, die über die Geräte im Netzwerk hinausgehen, gründlich prüfen. In beiden Fällen ist ein solides Verständnis und die Anwendung von Privileged Access Management (PAM) erforderlich, einschließlich des Schlüsselprinzips der geringsten Privilegien, verbunden mit Echtzeitüberwachung und -kontrolle.

Beim IIoT sind Geräte auch Benutzer

PAM wendet das Least-Privilege-Prinzip an, indem es dazu beiträgt, dass Benutzer nur auf die minimale Anzahl sensibler Ressourcen zugreifen können, die zur Erfüllung einer legitimen Aufgabe erforderlich sind – und das nur unter den richtigen Umständen. Das heißt, nur zu bestimmten Zeiten oder mit begrenztem Umfang an autorisierten Aktionen. Für Teams, die mit der IIoT-Sicherheit betraut sind, ist es besonders wichtig zu verstehen, dass die „Nutzer“ ihres Systems nicht unbedingt immer „Menschen“ sind. Das heißt, insbesondere bei IIoT-Systemen mit automatisierten Steuergeräten können diese Geräte selbst Zugriff auf privilegierte Ressourcen haben – und müssen auf die gleiche Weise überwacht und kontrolliert werden wie Menschen. Indem sichergestellt wird, dass Systemkomponenten denselben PAM-Prinzipien unterliegen wie Menschen (nur notwendige Ressourcen, Zugriff nur unter den richtigen Umständen), schalten IT-Administratoren, die für die OT-IT-Cybersicherheit verantwortlich sind, die potenzielle Bedrohung aus, die von all ihren angeschlossenen Geräten ausgeht.

PAM schützt das gesamte System

Die Sicherstellung, dass intern angemessene PAM-Kontrollen vorhanden sind, hilft dabei, alle seitlichen Bewegungen eines Hackers innerhalb eines Systems zu verhindern, sofern er in der Lage war, sich über ein IIoT-Gerät Zugang zu verschaffen. Auch hier kommen die Grundsätze der Zugangskontrolle und des geringstmöglichen Zugriffs zum Tragen: Es ist unwahrscheinlich, dass ein Schwingungsmonitor in einer Fabrikhalle jemals auf eine Kundendatenbank zugreifen muss. Eine gute PAM-Lösung macht alle fremden Ressourcen für einen Benutzer, der nicht auf sie zugreifen muss, unsichtbar. Durch die Kombination von PAM und Least Privilege kann auf einer granularen Ebene definiert werden, welcher privilegierte Zugriff erforderlich ist und wann.

Automatisierte Sitzungsüberwachung – ein Muss

In jedem Fall führt eine robuste PAM-Lösung auch eine Echtzeitüberwachung aller privilegierten Sitzungen durch, um sicherzustellen, dass jeder Zugriffsversuch auf kritische Ressourcen aufgezeichnet, aber auch gekennzeichnet oder sogar beendet wird, wenn die versuchten Aktionen nicht autorisiert sind. Diese beiden Funktionen – die Verwaltung des privilegierten Zugriffs und die Echtzeitüberwachung – sind von entscheidender Bedeutung für die Sicherung von IIoT-Lösungen, bei denen Sicherheitsteams ohne eine zentralisierte Lösung unmöglich Tausende von Geräten und den gesamten damit verbundenen Datenverkehr verwalten und überwachen könnten.

IIoT steckt noch in den Kinderschuhen und wird weiter wachsen. Mit ihr wird aber auch die Anzahl böswilliger Akteure zunehmen. Durch die Gestaltung von IIoT-Implementierungen gemäß den PAM-Grundsätzen und die Anwendung starker PAM-Lösungen auf IIoT-Implementierungen kann die Ausnutzung jedoch minimiert werden – und die Vorteile des IIoT können wirklich genutzt werden.