Cybersicherheit in der Industrie: So richten Sie cyberresiliente Backups ein

Ein mechanischer Ausfall oder ein Cyberangriff verursacht für einen Industriebetrieb weitaus höhere Kosten als für den IT-Betrieb eines gewöhnlichen Unternehmens. Unvorhergesehene Ausfallzeiten belaufen sich bei großen Fertigungsunternehmen mittlerweile auf durchschnittlich 260.000 US-Dollar pro Stunde. Diese Zahl schwankt jedoch drastisch von Branche zu Branche, wobei die Automobilindustrie am oberen Ende des Spektrums liegt.

Schätzungen zufolge belaufen sich die Verluste eines Automobilherstellers aufgrund von Ausfallzeiten, die durch mechanische Ausfälle oder Cyberbedrohungen wie Ransomware verursacht werden, auf kolossale 2,3 Millionen US-Dollar pro Stunde. Laut IBM X-Force entfallen 27,7 % aller Cyberangriffe auf die Fertigungsindustrie, womit diese seit fünf Jahren in Folge die am häufigsten angegriffene Branche ist. Und da Ausfallzeiten einem Hersteller solch astronomische Verluste verursachen, wissen Angreifer, dass das Opfer im Falle eines Angriffs das Lösegeld wahrscheinlich schnell zahlen wird, um den Betrieb wieder aufzunehmen

Um den industriellen Betrieb zu schützen und sich von einem Cyberangriff zu erholen, muss ein Hersteller eine cyberresiliente, mehrkomponentige, modulare Softwarelösung einsetzen, die sowohl mit OT- als auch mit IT-Systemen kompatibel ist und eine sofortige Wiederherstellung zum Zeitpunkt des Vorfalls ermöglicht.

In diesem Artikel erläutern wir, wie IT- und OT-Systeme geschützt werden, welche Herausforderungen industrielle Systeme häufig bewältigen müssen und wie sie ihre Systeme wirksam vor Cyberbedrohungen schützen und Ausfallzeiten im Falle eines Systemabsturzes reduzieren können.

Was sind industrielle Steuerungssysteme (ICS)?

Einfach ausgedrückt ist ein industrielles Steuerungssystem (ICS) die zugrunde liegende Hardware und Software, die physische Anlagen in Fabriken und Werken steuert. Es besteht aus vier Kernkomponenten: speicherprogrammierbare Steuerungen (SPSen), die die Befehle zur Steuerung einer Produktionslinie ausführen; SCADA-Systeme zur Überwachung und Steuerung von Prozessen in einer Anlage; Mensch-Maschine-Schnittstellen (HMIs), über die Bediener diese Prozesse einsehen und anpassen können; sowie Sensoren, die dazu dienen, Temperatur-, Druck-, Durchfluss- und andere Messwerte an das System zurückzumelden. ICS ist eine spezifische Komponente innerhalb der OT (Operational Technology), deren Schutz sich erheblich von dem eines IT-betriebenen Systems unterscheidet.

Was ist der Unterschied zwischen OT- und IT-Sicherheit?

Der Hersteller betreibt sowohl IT- als auch OT-Systeme. Ersteres ist der Unternehmensbereich mit seinen Geschäftssystemen. Der Produktionsbereich mit seinen Steuerungen und Produktionssystemen ist Letzteres und kann nicht auf dieselbe Weise gesichert werden wie die IT. Die Standardmaßnahme in IT-Umgebungen besteht in der Regel darin, das betroffene System abzuschalten und den Schaden einzudämmen.

Im Vergleich dazu können OT-Systeme nicht einfach abgeschaltet werden, da der physikalische Prozess, den ein System ausführt, gefährlich wird, wenn er ohne sofortige Vorsichtsmaßnahmen gestoppt wird. Mit anderen Worten: Eine Maßnahme, die einen Angriff in einem Büro eindämmt, kann in der Produktionsstätte zu einem katastrophalen Unfall führen.

Das zweite große Problem bei OT-Umgebungen besteht darin, dass ein Großteil der Anlagen in der Produktionsstätte mit veralteten Betriebssystemen läuft, für die keine Sicherheitspatches mehr bereitgestellt werden, wodurch bekannte Schwachstellen ungeschützt bleiben.

In Fabriken müssen Steuerungen auf eine bekanntermaßen fehlerfreie Konfiguration zurückgesetzt und überprüft werden, bevor sie physische Anlagen ansteuern. Jede Stunde Ausfallzeit bedeutet Umsatzverluste und erhöht das Sicherheitsrisiko; da sich diese Kosten mit zunehmender Dauer des Ausfalls kontinuierlich summieren, ist die Fähigkeit des Herstellers zur schnellen Wiederherstellung von entscheidender Bedeutung, um weiteren Schaden einzudämmen.

Um ein aktives industrielles System zu schützen, sollten Unternehmen eine cyberresiliente Backup- und Wiederherstellungslösung einsetzen, die sowohl die IT- als auch die OT-Wiederherstellung abdeckt und auf das industrielle Sicherheitsframework IEC 62443 abgestimmt ist.

Was ist die Norm IEC 62443 und warum ist sie für die Absicherung industrieller Systeme wichtig?

Im Bereich der industriellen Cybersicherheit ist die Norm IEC 62443 ein weit verbreiteter Standard, der festlegt, wie Betriebstechnologie (OT) und industrielle Automatisierungs- und Steuerungssysteme (IACS) abgesichert werden müssen. Dieses Rahmenwerk ist insbesondere in Branchen wie Energie, Fertigung, Transport, Wasserversorgung und Gesundheitswesen weit verbreitet.

Das Zonen- und Kanäle-Modell zum Schutz industrieller Systeme

Die Philosophie der IEC 62443 basiert auf der Aufteilung des Betriebssystems in Zonen und Kommunikationskanäle, denen jeweils eine eigene Sicherheitsstufe von 1 bis 4 zugewiesen wird. Zonen sind physische Gruppierungen industrieller Anlagen wie Maschinen und Steuerungssysteme, die mehr oder weniger die gleichen Sicherheitsanforderungen aufweisen. Kommunikationskanäle hingegen sind streng kontrollierte Kommunikationswege, die diese Zonen miteinander verbinden.

Durch diese Art der Segmentierung können Angreifer im Falle eines Sicherheitsverstoßes nicht lateral in kritische Zonen vordringen. Auf die Frage, ob „es nicht besser wäre, für den ultimativen Schutz in allen Bereichen die gleiche Sicherheitsstufe SL4 nach militärischem Standard anzuwenden“, lautet die Antwort: Nein. Würden alle Komponenten mit denselben Sicherheitsmaßnahmen abgesichert, würde dies zu unerwünschtem Über- und Unterdimensionieren von Zonen mit geringen Folgen sowie von Zonen zur Gewährleistung der Lebenssicherheit führen, was eine Vielzahl von Komplikationen nach sich ziehen würde.

So würde beispielsweise die Anwendung von Kontrollen der Sicherheitsstufe 4 nach militärischem Standard auf Bürodrucker immense Ressourcen verschwenden und alltägliche Arbeitsabläufe lahmlegen, während die Anwendung grundlegender Abwehrmaßnahmen der Sicherheitsstufe 1 auf Turbinenventile eine katastrophale physische Katastrophe heraufbeschwören würde.

Sicherheitsstufensystem (SL1–SL4)

Die Norm IEC 62443 definiert vier Sicherheitsstufen, die jeweils auf die Fähigkeiten des Angreifers abgestimmt sind, gegen den Sie sich verteidigen. Anstatt eine einheitliche Stufe auf die gesamte Anlage anzuwenden, bewerten Hersteller das Risiko jeder Zone und weisen ihr eine Zielsicherheitsstufe zu.

– SL1 schützt vor menschlichem Versagen und nicht zielgerichteter Malware mit geringen Auswirkungen (z. B. wenn ein Mitarbeiter einen infizierten privaten USB-Stick anschließt).

– SL2 schützt vor kostengünstigen Angriffen durch opportunistische Hacker, die öffentliche Tools nutzen, um grundlegende Schwachstellen auszunutzen

– SL3 dient dem Schutz vor ausgeklügelten Cyberbedrohungen durch organisierte Cyberkriminelle, die über spezialisiertes Wissen über industrielle Systeme verfügen (z. B. eine professionelle Ransomware-Gruppe, die aktiv versucht, die SPSen einer bestimmten Anlage zu kapern).

– SL4 schützt vor massiv finanzierten militärischen oder nachrichtendienstlichen Stellen von Nationalstaaten, die fortschrittliche und unbegrenzte Ressourcen einsetzen, um physische Zerstörung zu verursachen

Die Sicherheit industrieller Systeme kann durch eine cyberresiliente Backup- und Wiederherstellungslösung gewährleistet werden, die in der Lage ist, ihren Schutz an das für jede Zone erforderliche Sicherheitsniveau anzupassen. Die Datensicherung und Wiederherstellung von Bacula Enterprise wird von fünf unabhängigen Komponenten (Director, File Daemon, Storage Daemon, Catalog und Console) durchgeführt, die entsprechend der Zonenstruktur einer Anlage verteilt und konfiguriert werden können, um Sicherheit im gesamten Werk zu gewährleisten.

Reale Cyberangriffe auf industrielle Steuerungssysteme

Die folgenden drei realen Cyberangriffe veranschaulichen, was geschieht, wenn einem OT-System angemessene Schutzmaßnahmen wie die oben beschriebenen fehlen, und welche katastrophalen Folgen daraus resultieren können.

Der Angriff auf das ukrainische Stromnetz (Ausnutzung aus der Ferne)

Am 23. Dezember 2015 wurden drei ukrainische regionale Stromversorgungsunternehmen Ziel eines Angriffs durch Cyberkriminelle, der zu einem flächendeckenden Stromausfall für 225.000 Einwohner führte.

Die Angreifer kapern VPN-Sitzungen, bei denen keine Zwei-Faktor-Authentifizierung zum Einsatz kam, und verschafften sich so direkten Zugriff auf das SCADA-System der Unternehmen. Nach dem Eindringen manipulierten sie die Steuerungssysteme des Stromnetzes und öffneten manuell die Leistungsschalter in über fünfzig Umspannwerken.

Anschließend schleusten die Angreifer Malware in den Wiederherstellungspfad ein und löschten Dateien auf Servern und Arbeitsplätzen, wodurch die für die Systemwiederherstellung erforderlichen Sicherungs- und Konfigurationsdateien vernichtet wurden. Die unterbrechungsfreie Stromversorgung der Leitstelle selbst wurde abgeschaltet, und der Wiederherstellungspfad wurde zunichte gemacht.

Da die Wiederherstellungsdaten weder auf einem Air-Gapped-System noch auf einem unveränderlichen Speichermedium gespeichert waren, konnten die Versorgungsunternehmen den Betrieb nicht eigenständig wiederherstellen, und es mussten Techniker vor Ort entsandt werden, um die Leistungsschalter manuell zu schließen.

Der Angriff auf Colonial Pipeline (Kompromittierung von Anmeldedaten)

Colonial Pipeline transportiert Kraftstoff über 260 Lieferpunkte in dreizehn Bundesstaaten und liefert 45 % des an der Ostküste verbrauchten Kraftstoffs. Zudem handelt es sich um die größte Pipeline für raffinierte Produkte in den Vereinigten Staaten.

Am 7. Mai 2021 fiel das Sicherheitssystem von Colonial einem Ransomware-Angriff zum Opfer, der von DarkSide durchgeführt wurde. Durch den Zugriff auf das durchgesickerte Passwort gelangten die Angreifer an ein veraltetes VPN-Konto, das nicht mehr genutzt wurde, was ihnen einen Einstieg in die Systeme von Colonial ermöglichte.

Die Angreifer verschlüsselten IT-Systeme und stahlen rund 100 GB an Daten. Obwohl sie niemals Zugriff auf die Steuerungssysteme der Pipeline erlangten, legte Colonial die Pipeline noch am selben Tag still und genehmigte innerhalb weniger Stunden die Zahlung eines Lösegelds in Höhe von 4,4 Millionen US-Dollar. Die Kraftstofflieferungen wurden sechs Tage lang unterbrochen, was dazu führte, dass die Tankstellen im gesamten Südosten der USA leer liefen.

Colonial stellte den Betrieb ein, da das Unternehmen nicht nachweisen konnte, dass seine Steuerungssysteme unbeeinträchtigt waren, da die Ransomware das Büronetzwerk befallen hatte. Was Colonial sechs Tage gekostet hat, war die Ungewissheit darüber, was die Angreifer manipuliert hatten, sowie das Fehlen einer schnellen Möglichkeit, die Steuerungssysteme wiederherzustellen, falls diese angegriffen worden waren.

Um die oben genannten Vorfälle zu überstehen, unterteilt eine cyberresiliente Backup-Plattform ihre Architektur in fünf unabhängige Komponenten, um durch die strikte Isolierung von Datenpfaden und Sicherheitsrollen zu verhindern, dass ein Sicherheitsverstoß in der Produktionsstätte den Backup-Speicher erreicht.

Diese absolute Isolierung hält Ihre Audit-Protokolle sauber, sodass Sie genau sehen können, worauf ein Angreifer zugegriffen hat, während die Bare-Metal-Wiederherstellung es Ihnen ermöglicht, kompromittierte Steuerungssysteme schnell aus einem bekanntermaßen fehlerfreien Zustand wiederherzustellen.

Der SolarWinds-Hack (Risiko in der Lieferkette)

Rund 18.000 Organisationen installierten eine Backdoor-Malware namens SUNBURST in ihren eigenen Netzwerken, indem sie ein routinemäßiges Software-Update eines Anbieters installierten, dem sie vertrauten. Darunter befanden sich das US-Heimatschutzministerium, das Außenministerium, das Energieministerium und das Finanzministerium.

Angreifer drangen im August 2019 bei SolarWinds ein und schleusten bösartigen Code in den Build-Prozess für Orion (die Netzwerküberwachungsplattform des Unternehmens) ein. Die Kunden erhielten die mit einem Trojaner verseuchten Updates als legitime, signierte Software. Die Angriffe wurden später APT29 zugeschrieben, dem russischen Auslandsgeheimdienst. FireEye entdeckte die Hintertür später im Dezember 2020 bei der Untersuchung eines Sicherheitsvorfalls im Zusammenhang mit seinen eigenen Red-Team-Tools.

Da es sich bei Orion um IT-Software handelt, die im Rechenzentrum und nicht in der Produktionshalle eingesetzt wird, würde man nicht erwarten, dass sie die OT gefährdet. Dennoch ist dies der Fall, da das Büronetzwerk und das Werksnetzwerk miteinander verbunden sind und eine Kompromittierung auf der einen Seite ohne großen Aufwand auf die andere Seite übergreifen kann.

Herausforderungen bei der Cybersicherheit in der Fertigung

Im Gegensatz zu einem Rechenzentrum besteht eine Produktionsstätte aus vielen Umgebungen zugleich und ist eine Kombination aus jahrzehntealten SPSen, modernen, mit der Cloud verbundenen IIoT-Geräten, Historian-Datenbanken und Unternehmenssystemen, von denen jedes seinen eigenen Patch-Zyklus und seine eigene Ausfalltoleranz aufweist.

Diese Heterogenität ist der Grund, warum der Schutz von OT-Systemen im Vergleich zu IT-Systemen eine größere Herausforderung darstellt, da es keinen einheitlichen Backup-Ansatz gibt, der sowohl für eine veraltete Steuerung mit einem nicht mehr unterstützten Betriebssystem als auch für einen aktiven Historian, der nicht angehalten werden kann, geeignet ist.

Wiederherstellung über einen 30-jährigen Lebenszyklus der Anlagen hinweg

Industrieanlagen sind oft zwei Jahrzehnte älter als alles, was man in einem Serverraum eines Unternehmens vorfindet, und bleiben noch lange im Einsatz, nachdem IT-Hardware längst ersetzt worden wäre. So können beispielsweise eine Turbine, eine Presse oder eine SPS zwanzig oder dreißig Jahre lang in Betrieb sein, während ein Laptop alle drei bis fünf Jahre ausgetauscht wird.

Jahrzehntelang stellte dies kein Sicherheitsproblem dar, da das Anlagennetzwerk durch einen „Air Gap“ von allen externen Netzwerken isoliert war, über die ein Angreifer Zugang hätte erlangen können. Da Industrie 4.0 dies jedoch beendet hat, arbeiten moderne Anlagen über die gesamte Purdue Enterprise Reference Architecture (Ebenen L0 bis L5) hinweg, wonach sich eine einzige Backup-Strategie je nach Ebene an völlig unterschiedliche Anforderungen hinsichtlich des Recovery Point Objective (RPO) und des Recovery Time Objective (RTO) anpassen muss.

Durch die Anbindung an die Unternehmens-IT und die Cloud riskieren Hersteller, die jahrzehntealten Steuerungen der Anlage Bedrohungen auszusetzen, mit denen der Konstrukteur nicht gerechnet hatte.

Eine Anlage muss Daten noch lange nach dem Wegfall der Backup-Software, mit der sie geschrieben wurden, wiederherstellen können. Durch den Einsatz einer cyberresilienten Backup- und Wiederherstellungslösung mit einem dokumentierten, selbstlesbaren Volume-Format bleiben die Daten aus sich selbst heraus wiederherstellbar, ohne dass das ursprüngliche Backup-System intakt bleiben muss. Ein heute geschriebenes Volume lässt sich auch Jahrzehnte später problemlos wiederlesen, selbst wenn die zugrunde liegende Backup-Infrastruktur längst außer Betrieb genommen wurde.

Sicherung eines Live-Historian

Ein Daten-Historian ist eine spezialisierte Software, die kontinuierlich Zeitreihendaten von Anlagenkomponenten erfasst und speichert, die auf SPSen und SCADA-Systemen laufen.

In regulierten Branchen wie der Pharmaindustrie enthalten Datenbanken wie AVEVA PI und GE Proficy die gesetzlich vorgeschriebenen Prüfpfade. Im Falle eines Cyberangriffs, der diese Aufzeichnungen löscht oder verschlüsselt, verliert ein Unternehmen seinen Nachweis der Compliance. Folglich kann ein Ransomware-Angriff auf den Datenspeicher der Anlage die Fähigkeit eines Unternehmens, Produkte rechtmäßig auszuliefern, gefährden – selbst ohne dass die Maschinen selbst jemals beeinträchtigt werden.

Allerdings besteht der Nachteil eines Live-Historian darin, dass es sich um eine ständig schreibende Datenbank handelt und die Schreibgeschwindigkeit die zentrale Designbeschränkung darstellt. Da eine Kopie einer aktiven Datenbank auf Dateiebene zu beschädigten Daten führt, ist es unmöglich, einen Live-Historian während des Betriebs zu sichern. In der Vergangenheit mussten Betreiber das System vollständig anhalten, was zu Verstößen gegen Vorschriften und Compliance-Vorgaben führte.

Eine fortschrittliche, modulare Backup-Software wie Bacula Systems kann einen Live-Historian mithilfe nativer Tools wie RMAN für Oracle sichern oder ihr spezielles bpip-Plugin nutzen, das Live-Datendumps in den Speicher streamt.

Cybersicherheit, Datensicherung und Wiederherstellung in der Fertigung mit Bacula Enterprise

Bacula Enterprise ist eine cyberresiliente Lösung für Datensicherung und Wiederherstellung, die für sicherheitskritische Umgebungen entwickelt wurde und auf die Organisationen wie die US-Luftwaffe, die NASA, die US-Marine und andere Großkonzerne vertrauen.

Es handelt sich um eine modulare Software mit fünf unabhängigen Komponenten wie dem Director, dem File Daemon, dem Storage Daemon, dem Katalog und der Konsole. Sie folgt einem segmentierten Workflow, um im Falle eines Sicherheitsvorfalls eine laterale Ausbreitung zu verhindern, wodurch lebenswichtige Infrastrukturen sicher und unberührt bleiben.

Im Gegensatz zum einheitlichen All-in-One-Design der meisten älteren Backup-Tools läuft jede dieser fünf Komponenten als separater Netzwerkdienst. Dadurch kann die Kompromittierung einer einzelnen Komponente nicht den gesamten Betrieb lahmlegen.

Mit seinen globalen Endpunkt-Deduplizierungs- und Komprimierungstechnologien, die die Speicherkosten senken, nutzt Bacula Enterprise ein flaches, transparentes, abonnementbasiertes Lizenzmodell, das eine kapazitätsabhängige Preisgestaltung vollständig ausschließt.

Wie Bacula die Sicherheitsstufen der IEC 62443 erfüllt

Bacula entspricht der Norm IEC 62443 für industrielle Cybersicherheit. Gemäß dem IEC 62443-Rahmenwerk können Sie verschiedenen Zonen in Ihrer Anlage unterschiedliche Sicherheitsstufen (SL) zuweisen, wobei S1 für die Basisauthentifizierung und SL4 für Datensicherheit auf Militärniveau verwendet wird.

• SL1. Die Kommunikation zwischen den fünf Bacula-Komponenten erfolgt standardmäßig über TLS mit automatischen Handshakes mit vorab geteilten Schlüsseln zwischen dem Director, dem File Daemon und dem Storage Daemon. Daher wird der Backup-Datenverkehr niemals unverschlüsselt übertragen (selbst in der Basisversion).
• SL2. Jeder Bediener ist auf bestimmte Aktionen beschränkt, um zu verhindern, dass jemand, der ein Backup ausführen kann, dieses löscht oder den Katalog verändert. Die Daten werden pro Client mit AES 128, 192 oder 256 verschlüsselt und können auf dem Speicherziel im Ruhezustand verschlüsselt werden.
• SL3. Die Multi-Faktor-Authentifizierung erfolgt über ein TOTP-Plugin, das mit RFC 6238 kompatibel ist und für den Konsolenzugriff einen zweiten Faktor über eine Authentifizierungs-App auf dem Smartphone erfordert. Auch hier kommt ein Air-Gapped-Speicher zum Einsatz. Bänder, die aus der Bibliothek ausgeworfen oder auf Offline-Medien geschrieben wurden, sind für keine Komponente im Netzwerk erreichbar.
• SL4. Bacula führt eine nach FIPS 140-3 validierte Verschlüsselung über sein OpenSSL-FIPS-Kryptografiemodul durch, was hochsichere, geprüfte Arbeitsabläufe ermöglicht. Zudem erfolgt die Authentifizierung zwischen Daemons mittels SCRAM-SHA-256, und für jedes Backup-Ereignis werden manipulationssichere Prüfprotokolle mit Nachverfolgungskette erstellt. Das Profil „Verteidigung und Militär“ unterstützt kompartimentierte Backups in klassifizierten Bereichen.

Baculas Architektur gewährleistet die Unversehrtheit der Backups

Sowohl beim Angriff auf das ukrainische Stromnetz als auch bei der Colonial-Ransomware erstreckte sich der Schaden so weit, wie der Zugriff des Angreifers reichte. Bei diesen Cyberangriffen wurden in einem Fall Wiederherstellungsdateien gelöscht, im anderen Fall wurden alle erreichbaren Systeme verschlüsselt.

Der Bacula-Dateidaemon läuft auf dem geschützten Rechner, der in der Regel die erste Komponente ist, die ein Angreifer kompromittiert. Er verfügt über keine Schnittstelle zum Backup-Speicherrepository. Ein Angreifer, der die vollständige Kontrolle über eine Arbeitsstation in der Anlage hat, kann diese nicht nutzen, um auf die Backups zuzugreifen oder diese zu verschlüsseln, da der Pfad schlichtweg nicht existiert.

Dies ist ein wesentlicher Vorteil gegenüber anderer Backup-Software für Hersteller. In der Betriebstechnik (OT) werden die Client-Rechner als Erstes kompromittiert, und da diese Rechner keinen Zugriff auf die Backups haben, bleiben die Wiederherstellungsdaten unversehrt.

• Cyber-Resilienz – Bacula wendet die 0-3-2-1-Regel über seine Kopier- und Migrationsaufträge an: drei Kopien, zwei Medientypen, eine externe Speicherung, null Fehler. Ein Werk kann sein primäres Backup auf eine lokale Festplatte schreiben, es anschließend automatisch in einen Cloud-Objektspeicher kopieren und später eine dritte Kopie auf ein „Air-Gapped“-Band übertragen – ganz ohne manuelle Schritte, die man leicht vergessen könnte.
• Unveränderlicher Speicher – WORM-gestützte Volumes und „Append-Only“-Festplattensperren sichern Wiederherstellungspunkte nach dem Schreiben vor Änderungen, auch wenn die softwaregesteuerte Unveränderlichkeit weniger absolut ist als bei Bändern in einem Tresorraum.
• Erkennung von Datenvergiftung – BGuardian analysiert jeden Sicherungsauftrag statistisch und erkennt Abweichungen. Eine Vollsicherung, die plötzlich keine Daten mehr schützt, oder ein Auftrag, dessen Größe und Dateianzahl außerhalb des erwarteten Bereichs liegen, wird erkannt, da dieses Muster ein Anzeichen dafür ist, dass Ransomware eine Quelle vor der Ausführung der Sicherung verschlüsselt hat. BGuardian überprüft zudem die Konfiguration der Umgebung selbst und erstellt Sicherheitsberichte, um Schwachstellen aufzudecken, bevor ein Angreifer sie findet.

Wiederherstellung speziell für industrielle Systeme

Intakte Backups sind nutzlos, wenn Sie sie nicht schnell und am richtigen Ort wiederherstellen können. Bacula ist für beide Szenarien ausgelegt: ganz gleich, ob eine Anlage eine vollständige Systemwiederherstellung von Grund auf benötigt oder eine punktgenaue Wiederherstellung kritischer Daten zu einem bestimmten Zeitpunkt.

• Bare-Metal-Wiederherstellung – Bacula kann sowohl unter Linux als auch unter Windows eine vollständige Wiederherstellung (ab dem Betriebssystem) eines Controllers oder einer Engineering-Workstation durchführen, falls diese verschlüsselt oder zerstört wurden. Diese Funktion verwandelt eine normalerweise mehrtägige Betriebsunterbrechung in eine Wiederherstellung, die in nur wenigen Stunden abgeschlossen sein kann.
• Wiederherstellung auf einem sauberen Rechner – Bacula kann Daten auf jedem beliebigen Client wiederherstellen. Ein Werk, das sich von einem Ransomware-Angriff erholt, kann Daten auf einem isolierten System wiederherstellen, während infizierte Rechner noch untersucht werden. Die Reihenfolge der Wiederherstellung kann ebenfalls angepasst werden, sodass wichtige Prozessdaten zunächst in die Produktion zurückgeführt werden, während die infizierten Systeme zur forensischen Analyse an ein Labor geschickt werden.
• Point-in-Time-Recovery (PITR) – Bacula erfasst System- und Datenänderungen in Echtzeit, sobald sie auftreten. Dies ermöglicht es den Betreibern, granulare Wiederherstellungen bis auf die Millisekunde genau vor einem Vorfall durchzuführen, wodurch potenzielle Datenverluste auf Sekunden statt auf Stunden reduziert werden.
• Eine Plattform für das gesamte Werk – Bacula läuft auf mehr als 34 Betriebssystemen und schützt physische Maschinen, VMware, Hyper-V, Proxmox, Nutanix, Container, Kubernetes sowie die Datenbanken, auf denen Historien-Systeme laufen – alles unter einem Director. Die globale Endpunkt-Deduplizierung mit hoher Geschwindigkeit reduziert den Speicher- und Bandbreitenbedarf, den umfangreiche Telemetrie- und Historien-Daten andernfalls verursachen würden.

Skalierbarkeit und Lizenzierung

• B LizenzierungB – Darüber hinaus berechnet Bacula die Gebühren anhand der Größe der Umgebung und nicht anhand des Datenvolumens. Daher steigen die Backup-Kosten einer Anlage nicht jedes Mal, wenn ein neuer Sensor hinzugefügt wird. Moderne Fabriken produzieren immer größere Datenmengen, doch der Betrieb muss dafür keine astronomischen Summen bezahlen. Dieses Konzept eignet sich auch für Umgebungen mit Milliarden von Dateien.
• Hochleistungsfähiges Telemetrie-Management – Um die riesigen Ströme von Zeitreihendaten und Historienprotokollen, die in einer modernen Produktionsstätte anfallen, problemlos zu verwalten, setzt Bacula hochleistungsfähige globale Endpunkt-Deduplizierung und fortschrittliche Komprimierungstechnologien ein. Dies minimiert die Kosten für die physische Speicherinfrastruktur drastisch und reduziert die Gesamtnetzwerklast, ohne dass dabei kritische Backup-Geschwindigkeiten beeinträchtigt werden.
• Edge-Computing und Skalierbarkeit für Smart Factories – Da moderne Smart Factories Daten zunehmend am Netzwerkrand verarbeiten, zeichnet sich Bacula durch die Verwaltung von Backups für stark verteilte Umgebungen und dezentrale Edge-Geräte aus.

Häufig gestellte Fragen

Was sollte eine OT-Sicherheitsstrategie beinhalten?

Eine wirksame OT-Sicherheit hält sich an die Standards der Norm IEC 62443 mit vier Kontrollstufen und unterteilt die Netzwerksegmentierung in Zonen und Kanäle. Dadurch kann sich ein Sicherheitsverstoß in einem Bereich auf kritische Steuerungen ausbreiten.

Sind Fabriksysteme nicht durch Air-Gaps von externem Zugriff abgeschottet?

Das ist heutzutage nur noch selten der Fall. Ein echtes Air-Gap, bei dem ein Netzwerk physisch isoliert ist und keine Verbindung zu externen Systemen besteht, ist mittlerweile die Ausnahme. Moderne Anlagen verbinden ihre OT-Systeme mit der Unternehmens-IT, Cloud-Analyseplattformen und Fernzugriffstools, da dies den Betrieb effizienter macht. Doch jede dieser Verbindungen hebt auch einen Teil der Isolation auf, die sie früher geschützt hat.

Was ist der Unterschied zwischen IT-Sicherheit und OT-Sicherheit?

IT-Sicherheit und OT-Sicherheit unterscheiden sich in vielerlei Hinsicht. Bei der IT-Sicherheit liegt der Schwerpunkt vor allem auf dem Schutz der Vertraulichkeit digitaler Ressourcen. Im OT haben die Integrität der Produktionsprozesse und die physische Sicherheit Vorrang vor der Vertraulichkeit. Der Schutz von OT-Umgebungen ist oft schwieriger und erfordert eine cyberresiliente Backup- und Wiederherstellungslösung, die in der Lage ist, den ständig laufenden Live-Historian konsistent zu sichern.

Wie oft sollten industrielle Systeme gesichert werden?

So oft, wie es die Toleranz jedes Systems gegenüber Datenverlusten erfordert – was unterschiedliche Zeitpläne für verschiedene Bereiche der Anlage bedeutet. Es gibt keine allgemeingültige Antwort, da eine Anlage aus vielen Umgebungen mit unterschiedlichen Wiederherstellungsanforderungen besteht. Im Gegensatz zu Unternehmenssystemen, bei denen tägliche Backups der Standard sind, variiert die Backup-Häufigkeit für industrielle Systeme je nachdem, wie viel Datenverlust jedes System tolerieren kann.

Kann Ransomware auch physische Anlagen beeinträchtigen?

Ja, und zwar auf zweierlei Weise. Erstens kann Ransomware oder Malware eine Produktionslinie durch Verschlüsselung oder Zerstörung der Systemsteuerungen außer Betrieb setzen. Häufiger ist jedoch, dass ein Angriff auf die IT-Seite automatisch eine vorsorgliche Abschaltung der OT auslöst, selbst wenn die Malware die Steuerungen gar nicht erst erreicht. Diese Notabschaltung, die außerhalb der normalen Sicherheits-Stopp-Sequenz der Anlage erfolgt, kann selbst Maschinen beschädigen, die für den Dauerbetrieb ausgelegt sind.