Lösungen für die Cybersicherheit in der Industrie von Bacula Enterprise

Home > Die besten Backup-Lösungen für Unternehmen. Enterprise Backup-Lösungen. > Lösungen für die industrielle Cybersicherheit für Hersteller

Die Fertigungsindustrie steht seit fünf Jahren in Folge im Epizentrum von Cyberangriffen und macht 27,7 % der beobachteten Vorfälle aus. Die Schutzmaßnahmen für OT unterscheiden sich erheblich von denen für IT, und die meisten älteren Backup-Tools mit einem All-in-One-Konzept sind nicht in der Lage, kritische Daten im Falle eines Sicherheitsvorfalls zu sichern und wiederherzustellen.

Zum Schutz eines industriellen Betriebs, in dem OT und IT nebeneinander laufen, setzt Bacula Enterprise – auf das die NASA, die US-Luftwaffe und die US-Marine vertrauen – eine mehrmodulige Architektur mit cyberresilienten Backups ein, die es Herstellern ermöglichen, Wiederherstellungsdaten zugänglich zu halten und diese selbst bei einer aktiven Netzwerkkompromittierung ultraschnell zu einem beliebigen Zeitpunkt wiederherzustellen.

Testversion herunterladen

5 wichtige Funktionen für die Cybersicherheit in der Industrie in Bacula Enterprise

Produktionsstätten sind besonders attraktive Ziele für Cyberangriffe, da eine Stunde Ausfallzeit einen Hersteller 260.000 US-Dollar kostet – eine astronomische Summe, die in den am stärksten betroffenen Branchen wie der Automobilindustrie sogar auf 2,3 Millionen US-Dollar ansteigt. Cyberkriminelle berücksichtigen diese Zahl bei der Auswahl ihrer Ziele und setzen darauf, dass der finanzielle Druck durch jede weitere Stunde Ausfallzeit die Zahlung eines Lösegelds gegenüber einer langwierigen Wiederherstellung begünstigt.

Bacula Enterprise nutzt die folgenden fünf entscheidenden Funktionen, um OT-Umgebungen vor Cyberbedrohungen und mechanischen Ausfällen zu schützen und diese zügig wiederherzustellen.

1. Bare-Metal- und Point-in-Time-Wiederherstellung (PITR)

Bacula stellt einen SCADA-Knoten oder eine Engineering-Workstation auf unterschiedlicher Hardware vom Betriebssystem an neu auf, und die Point-in-Time-Wiederherstellung versetzt einen Controller in den Zustand zurück, in dem er sich befand, bevor die Malware ihn infizieren und sich über die gesamten OT- und IT-Systeme ausbreiten konnte.

2. IEC 62443, Zonen und das Conduits-Modell

Der industrielle Sicherheitsstandard IEC 62443 unterteilt ein industrielles System in Zonen und Kanäle und weist jeder Zone ein Zielsicherheitsniveau von SL1 bis SL4 zu. Bacula verteilt seine fünf Komponenten auf diese Zonen und passt die Kontrollmaßnahmen jeder Zone an das ihr zugewiesene Sicherheitsniveau an, von TLS auf SL1 bis hin zu FIPS 140-3 auf SL4.

3. Modulare Architektur mit fünf Komponenten

Bacula Enterprise trennt seine fünf Betriebskomponenten voneinander, um zu verhindern, dass sich eine Kompromittierung einer Komponente auf die übrigen ausbreitet. Der Director, der File-Daemon, der Storage-Daemon, der Katalog und die Konsole sind in unabhängige Netzwerkdienste aufgeteilt, die über getrennte LAN-, DMZ- und Standalone-Zonen verteilt werden können.

4. Offline- und Air-Gapped-Medien

Bacula läuft ohne Internetverbindung und schreibt auf ausgeworfene Bänder, Wechselmedien und WORM-Geräte, die physisch vom Netzwerk getrennt sind, sodass weder Angreifer noch Schadsoftware darauf zugreifen und sie beschädigen können.

5. Plattformübergreifende Unveränderlichkeit von Datenträgern

Bacula schützt jedes Backup vor Änderungen oder Löschungen, um eine saubere Kopie zu gewährleisten, auf die ein Angreifer keinen Zugriff hat. Durch die „Append-only“-Eigenschaften werden die eigenen Festplattenvolumes gesperrt, und das System steuert die integrierten Aufbewahrungssperren in NetApp SnapLock, DataDomain RetentionLock, HPE StoreOnce und S3 Object Lock.

Cybersicherheitsfunktionen speziell für industrielle Umgebungen

Cyberkriminelle nehmen Hersteller ins Visier, da durch Industrie 4.0 die Fertigungsbereiche mit dem Unternehmensnetzwerk vernetzt wurden, wodurch bekannte Schwachstellen offengelegt wurden. Da OT- und IT-Server nun miteinander verbunden sind, kann die Kompromittierung einer veralteten All-in-One-Backup-Lösung das gesamte System lahmlegen.

Die cyberresiliente Architektur von Bacula und die FIPS-konforme Verschlüsselung reduzieren den Schaden, den ein Sicherheitsvorfall in einer OT-Umgebung anrichten kann, durch die folgenden Funktionsgruppen drastisch auf nahezu null.

Mehrstufiger Zonenschutz, SL1 bis SL4 (Sicherheitsstufen gemäß IEC 62443)

Die verschiedenen Zonen in einer Produktionsanlage erfordern unterschiedliche Sicherheitsstufen. So sind beispielsweise die Zone, in der sich die Bürodrucker befinden, und die Zone, in der die Turbinenventile untergebracht sind, unterschiedlichen Bedrohungen ausgesetzt. Der IEC 62443-Standard dient dazu, jede Zone angemessen zu schützen, ohne dass eine Zone über- oder unterdimensioniert wird.

SL1 – Die erste Stufe schützt vor menschlichem Versagen und Malware mit geringen Auswirkungen, beispielsweise wenn ein Mitarbeiter einen infizierten USB-Stick anschließt. Bacula verschlüsselt den Datenverkehr zwischen seinen fünf Komponenten standardmäßig mithilfe von TLS mit automatischem Schlüsselaustausch, sodass jeder, der das Werksnetzwerk abhört, nur verschlüsselte Daten statt lesbarer Backups erhält.
SL2 — Die zweite Stufe dient dem Schutz eines OT-Systems vor opportunistischen Cyberkriminellen, die öffentlich zugängliche Tools nutzen. Auf dieser Stufe werden die Berechtigungen der Bediener pro Aktion eingeschränkt, wodurch verhindert wird, dass jemand, der ein Backup ausführen kann, dieses löscht oder den Katalog verändert; zudem werden die Daten pro Client mit AES-128, 192 oder 256 verschlüsselt und im Ruhezustand auf dem Speicherziel erneut verschlüsselt.
SL3 — Die dritte Stufe ist darauf ausgelegt, organisierten Cyberkriminellen mit industriellem Fachwissen entgegenzuwirken. Hier erfolgt die Multi-Faktor-Authentifizierung über ein mit RFC 6238 kompatibles TOTP-Plugin und erfordert einen Authentifikator auf dem Smartphone für den Konsolenzugriff; zudem wird die letzte Kopie durch Air-Gapped-Medien physisch vom Netzwerk getrennt aufbewahrt.
SL4 — Die vierte Stufe, auch als Sicherheitsstufe auf Militärniveau bezeichnet, dient dem Schutz kritischer Infrastrukturen vor staatlich gestützten Angreifern. Bacula nutzt über sein OpenSSL-FIPS-Modul FIPS 140-3-validierte Kryptografie, ersetzt CRAM-MD5 durch SCRAM-SHA-256 für die Daemon-Authentifizierung, erstellt manipulationssichere Prüfprotokolle mit Nachverfolgungskette für jedes Ereignis und unterstützt über sein „Defense and Military“-Profil eine kompartimentierte Datensicherung in klassifizierten Zonen.

Isolierung des Backup-Speichers

Verhinderung der Eskalation von Angriffen – Der Datei-Daemon läuft auf dem Host in der Produktionsstätte, den ein Angreifer als Erstes angreift, und verfügt über keine Schnittstelle zum Backup-Speicher. Das bedeutet, dass die vollständige Kontrolle über eine HMI oder eine Engineering-Workstation keinen Zugriff auf die Backups ermöglicht.
Architektur mit umgekehrter Verbindungsrichtung – Der Speicher-Daemon initiiert die Verbindung zum Datei-Daemon, niemals umgekehrt; somit hat ein kompromittierter Host in der Produktionsumgebung keine Möglichkeit, einen Zugang zum Backup-Vault zu eröffnen. Er kann lediglich auf eine Verbindung reagieren, die er nicht selbst initiiert hat.
Maschinenunabhängiges Volume-Format – Bacula schreibt ein dokumentiertes, aufwärtskompatibles Volume-Format, aus dem ältere Volumes stets gelesen werden können. Dies ist in einer Anlage von entscheidender Bedeutung, in der eine Druckmaschine oder eine SPS dreißig Jahre lang im Einsatz bleibt und die Daten die Backup-Lösung, mit der sie erstellt wurden, überdauern müssen.
Windows-Sicherheitsmodul – Ein speziell für Windows-Daten und -Anwendungen entwickeltes Sicherheitsmodul schützt die HMIs und Engineering-Workstations, die von Windows-spezifischen Ransomware-Familien als Erstes angegriffen werden, während die Bacula-Engine selbst auf einem gehärteten Linux-System außerhalb dieses Angriffsradius läuft.
Begrenzung von Verschlüsselungsschlüsseln auf einzelne Speicherziele – Verschlüsselungsschlüssel sind auf einzelne Speicherziele beschränkt, sodass ein aus einem Repository wiederhergestellter Schlüssel keine Daten an anderen Orten entsperren kann.
Granulare Verschlüsselung für nicht vertrauenswürdige Speichermedien – Daten, die an einen Cloud-Objektspeicher oder ein beliebiges gemeinsames Ziel gesendet werden, werden verschlüsselt, bevor sie den Client verlassen; zusätzlich steht eine globale „Storage Daemon“-Verschlüsselung für Festplatten-, Band- und Cloud-Volumes zur Verfügung.

Erkennung von Bedrohungen vor der Ausführung

Einbruchserkennung nach dem „Tripwire“-Prinzip – Verify Jobs vergleicht Live-Dateisysteme anhand von SHA256- und SHA512-Signaturen mit dem katalogisierten Zustand und erkennt dabei ersetzte Binärdateien, geänderte Controller-Konfigurationen sowie eingeschleuste Skripte auf jedem überwachten Host.
Off-Host-Analyse – Der Katalog, der diesen als einwandfrei bekannten Zustand enthält, befindet sich auf einem gesicherten System, das von den geschützten Clients getrennt ist; ein Cyberkrimineller, der eine Workstation im Werk kontrolliert, kann die Basislinie, anhand derer die Überprüfung erfolgt, nicht bearbeiten, und ein Versuch, einen Dateidaemon zu deaktivieren, wird als Ereignis registriert.
Erkennung von Datenvergiftung – BGuardian analysiert Jobgröße, Dateianzahl und Dauer statistisch und meldet Abweichungen. Dadurch werden Vollsicherungen erkannt, die plötzlich keine Daten mehr schützen, sowie Verschlüsselungsangriffe, die langsam genug ablaufen, um unter einem pro Host festgelegten Schwellenwert zu bleiben.
Automatischer Malware-Schutz – Bei der Sicherung, Wiederherstellung und Überprüfung werden Hash-Prüfungen gegen die „abuse.ch“-Datenbank durchgeführt, und das ClamAV-Antiviren-Plugin führt Scans am Speicherziel durch, wo ein Virus aus einer infizierten Quelle weder ausgeführt werden noch der Erkennung entgehen kann.
Unauffällige Datenintegritätsprüfungen – Verifizierungsaufträge bestätigen die Integrität der geschriebenen Daten ohne Wiederherstellungs- oder Entschlüsselungszyklus und erkennen fehlerhafte Wiederherstellungspunkte, bevor ein Vorfall den Hersteller dazu zwingt, diese zu verwenden.
Personalisierte Warnmeldungen und Sicherheitskennzahlen – BGuardian gibt Erkennungsergebnisse als konfigurierbare JSON-Warnmeldungen aus, die automatisch an jede bereits im Systemstapel vorhandene SIEM-, SOAR- oder Überwachungsplattform weitergeleitet werden.

Verteilte und heterogene Anlagenabdeckung

Jedes Edge-Gateway, jeder IIoT-Sensor und jede Remote-Leitung, die einer Smart Factory hinzugefügt wird, stellt einen neuen Zugangspunkt dar, und alles, was die Backup-Plattform nicht erreichen kann, wird zu einer Lücke im Wiederherstellungsplan.

Client hinter NAT und clientseitig initiiertes Backup – Edge-Geräte und Remote-Standorte initiieren ihre eigenen ausgehenden Backups. Es wird keine eingehende Firewall-Regel zum OT-Segment geöffnet, und die Daten werden erfasst, ohne dass ein neuer Zugangspunkt geschaffen wird.
Abdeckung über Legacy- und moderne Systeme hinweg – Ein Director schützt vierzig Jahre alte proprietäre Unix- und Linux-Controller ebenso wie cloudverbundene IIoT-Geräte, VMware, Hyper-V, Proxmox, Nutanix, Kubernetes sowie die Datenbanken, auf denen MES- und Historian-Systeme laufen, und deckt dabei jede Purdue-Ebene von L0 bis L5 lückenlos ab.
API-gesteuerte Integration ohne Neuaufbau – Offene APIs und eine daemon-spezifische Konfiguration ermöglichen die Einbindung von Bacula in bestehende MES- und Anlageninfrastrukturen, ohne dass Änderungen an der Produktionsumgebung erforderlich sind. So lässt sich die Sicherheitslage verbessern, ohne dass eine Produktionslinie dafür offline genommen werden muss.
Nicht kapazitätsbasierte Lizenzierung – Im Gegensatz zu Wettbewerbern, die pro Terabyte abrechnen, richtet Bacula seine Lizenzgebühren nach der Größe der Umgebung und nicht nach dem Datenvolumen aus, um die Kosten auch bei wachsenden Telemetrie- und Historian-Daten konstant zu halten. Die globale Endpunkt-Deduplizierung sorgt unabhängig davon für niedrige Speicher- und Bandbreitenkosten für diese Telemetriedaten.

Zugriffskontrolle, Protokollierung und Nachweise zur Einhaltung von Vorschriften

Jeder Zugriffsweg auf ein Backup-System stellt einen potenziellen Angriffsvektor dar. Diese Kontrollmaßnahmen legen fest, wer auf Bacula zugreifen darf, welche Aktionen dort durchgeführt werden dürfen und welche Spuren dabei hinterlassen werden.

Rollenbasierte Zugriffskontrolle und eingeschränkte Konsolen – Normale Benutzer können Sicherungsaufträge ausführen, jedoch keine Volumes löschen oder Aufträge abbrechen, da diese destruktiven Befehle strengen Administratorrechten unterliegen. Eingeschränkte Konsolen setzen diese Grenze auf Befehlsebene durch und beschränken jedes Konto somit auf einen definierten Satz von Pfaden und Vorgängen.
Mehrpersonen-Autorisierung – Destruktive Vorgänge wie das Löschen von Volumes oder das Überschreiben von Aufbewahrungsrichtlinien erfordern vor der Ausführung die Freigabe durch zwei separate autorisierte Manager, um zu verhindern, dass ein einzelnes kompromittiertes Konto oder ein verärgerter Insider das Backup-Repository löscht.
LDAP- und Active-Directory-Integration – Bacula lässt sich in Active Directory und LDAP integrieren und wendet dabei strenge Gruppenfilter an, um sicherzustellen, dass ein Einbruch in das allgemeine Unternehmensverzeichnis keinen Zugriff auf die Backup-Management-Engine gewährt.

Manipulationssicherer Prüfpfad – Bacula erstellt unveränderliche Aktivitätsprotokolle für jeden Sicherungsvorgang und überträgt diese in Echtzeit an SIEM- und SOAR-Plattformen, wobei für bereits damit arbeitende Werksteams eine SNMP-Überwachung bereitgestellt wird. Rüstungshersteller erhalten die von NIST SP 800-171 und CMMC geforderte Nachverfolgung der Kontrollkette, und EU-Hersteller erhalten die von NIS2 geforderten Prüfnachweise von Betreibern, deren Führungskräfte nun persönlich dafür haften.
Sicherheitskonfigurationsbewertung – BGuardian überprüft kontinuierlich die Passwortstärke, Verschlüsselungseinstellungen, Dateiberechtigungen, Dienstkonten, Datenträgerschutz und FIPS-Konformität aller Daemons, um schwache Konfigurationen aufzudecken und Sicherheitsoptimierungsberichte zu erstellen, bevor ein Angreifer diese ausnutzen kann.

Robuste Datensicherung und Wiederherstellung für OT-Systeme

Vorbeugende Cybersicherheitsmaßnahmen verschaffen Zeit, doch keine Abwehr ist absolut sicher. Wenn es dennoch zu einem Sicherheitsverstoß kommt, verhindert eine schnelle und vollständige Wiederherstellung der OT-Systeme, dass sich Ausfallzeiten zu katastrophalen Verlusten ausweiten.

Backup-Richtlinie für die verschiedenen Purdue-Stufen

RPO und RTO pro Stufe – Zeitpläne, Backup-Stufen und Aufbewahrungsfristen werden pro Client und pro Auftrag konfiguriert, um beispielsweise einem SCADA-Knoten ein Recovery Point Objective (RPO) von fünf Minuten und einem Geschäftssystem der Stufe 4 einen nächtlichen Zyklus zuzuweisen, wobei beide unter einem Director laufen, ohne dass der Zeitplan des einen dem anderen aufgezwungen wird.
Voll-, Differenz- und inkrementelle Sicherungsstufen – Bacula führt alle drei Sicherungsstufen mit einem integrierten Planer aus, und „Progressive Virtual Full“ erstellt eine aktuelle Vollsicherung auf der Speicherseite, um die Netzwerkbelastung durch wiederkehrende Vollsicherungen während der Produktionszeiten zu vermeiden.
Kontinuierlicher Datenschutz (CDP) – Für Systeme, bei denen ein nächtlicher Sicherungszyklus zu grobmaschig ist, erfasst CDP Änderungen in Echtzeit und verkürzt das Datenverlustfenster von Stunden auf Sekunden.
Automatische Ressourcenerkennung – Bacula katalogisiert Backup-Ziele im Zuge des Wachstums der Umgebung, um sicherzustellen, dass ein neues Edge-Gateway oder eine neue Leitung, die mitten im Quartal hinzugefügt wird, nicht ungeschützt bleibt, weil niemand daran gedacht hat, es bzw. sie einem Job hinzuzufügen.

Telemetrie und Historian-Volumenmanagement

Globale Endpunkt-Deduplizierung – Die Deduplizierung erfolgt vom Client bis zum Speicher, um Redundanzen in Zeitreihendatensätzen zu beseitigen, bevor diese den Speicher erreichen. Selbst wenn Tausende von Sensoren ähnliche Daten schreiben, bestimmt das Rohvolumen nicht mehr das Infrastrukturbudget.
Adaptive Komprimierung und Zeilenkomprimierung – Die Komprimierung ist pro Auftrag konfigurierbar, und die Zeilenkomprimierung reduziert die Backup-Datenmenge, die über das Netzwerk zwischen einem Remote-Standort und der Backup-Zone übertragen wird, um WAN-Bandbreite für den Produktionsdatenverkehr freizugeben, ohne die Backup-Häufigkeit zu verringern.
Backup von aktiven Datenbanken und Historian-Systemen – Native Plugins unterstützen Oracle, SQL Server, MySQL, PostgreSQL, SAP HANA sowie weitere Datenbanken, auf denen Historian- und MES-Systeme laufen. Jedes Plugin erstellt eine transaktionskonsistente Kopie, während die Datenbank weiterhin schreibt.
Skalierung auf Milliarden von Dateien – Die Katalogarchitektur bewältigt Umgebungen mit Milliarden von Dateien – eine Größenordnung, die eine moderne Smart Factory erreicht, sobald sich Telemetrie-, Historian- und Qualitätsdaten über Jahre hinweg angesammelt haben. Die meisten Backup-Plattformen stoßen bereits lange vor diesem Punkt an ihre Grenzen.

OT-Wiederherstellungspfade

Bare-Metal-Wiederherstellung auf unterschiedlicher Hardware – Das Bare-Metal-Wiederherstellungs-Plugin baut eine Linux- oder Windows-Entwicklungsworkstation oder einen SCADA-Knoten vom Betriebssystem aus neu auf und bietet dabei UEFI- und EFI-Unterstützung. Die Wiederherstellung erfolgt auf jeder verfügbaren Hardware, ohne dass ein identischer Ersatz erforderlich ist, der für einen zwanzig Jahre alten Rechner möglicherweise nicht mehr erhältlich ist.
Wiederherstellung auf einem isolierten Zielsystem – Bacula führt die Wiederherstellung auf einem beliebigen Client durch, um Produktionsdaten auf sauberer Hardware wiederherzustellen, während kompromittierte Maschinen für forensische Untersuchungen ausgeschaltet und unversehrt bleiben.
Granulare und zeitpunktbezogene Wiederherstellung – Betreiber stellen eine einzelne Datei, eine einzelne Datenbank oder einen vollständigen Systemzustand zu einem bestimmten Zeitstempel wieder her. Eine beschädigte Controller-Konfiguration wird ersetzt, ohne dass alle anderen seitdem vorgenommenen Änderungen rückgängig gemacht werden müssen.
B Plattformübergreifende WiederherstellungB – Sicherungsdaten lassen sich auf einem anderen Betriebssystem als dem Ursprungssystem wiederherstellen, um Anlagen abzudecken, die von Plattformen migrieren, für die kein Support mehr angeboten wird und die nicht mehr in ihrer ursprünglichen Form wiederhergestellt werden können.
Verifizierte Wiederherstellbarkeit – Automatisierte Wiederherstellungstests bestätigen, dass ein Wiederherstellungspunkt funktioniert, bevor er benötigt wird. BGuardian kennzeichnet jeden Job, der noch nie wiederhergestellt oder verifiziert wurde, separat, um zu verhindern, dass eine ungetestete Sicherung im Katalog als fehlerfrei angezeigt wird.
Neustart unvollständiger Aufträge – Ein Auftrag, der durch einen Netzwerkausfall oder ein Wartungsfenster unterbrochen wurde, wird an der Stelle fortgesetzt, an der er unterbrochen wurde, damit ein umfangreiches Backup innerhalb des Zeitfensters abgeschlossen werden kann, das der Produktionsplan zulässt.

Speicherebenen und automatisierte Datensicherung

Automatisierte 3-2-1-0-Kopierkette – Kopier- und Migrationsaufträge schreiben das primäre Backup auf eine lokale Festplatte, replizieren es in einen Cloud-Objektspeicher und übertragen eine dritte Kopie auf ein „Air-Gapped“-Band – ganz ohne manuelle Schritte, die jemand vergessen könnte –, um sicherzustellen, dass die Offline-Kopie an dem Tag vorhanden ist, an dem ein Angreifer Zugriff auf alle Online-Daten erhält.
Speicherunabhängige Ziele – Backups werden auf lokale Festplatten, NAS, SAN, Bandbibliotheken und S3-kompatiblen Objektspeicher beliebiger Anbieter geschrieben, wodurch ein Betrieb unabhängig vom Hardware-Erneuerungszyklus eines einzelnen Anbieters oder dessen Cloud-Preismodell bleibt.
Mehrstufige Aufbewahrung – Wiederherstellungspunkte durchlaufen automatisch verschiedene Speicherebenen. Dadurch verbleiben aktuelle Wiederherstellungspunkte auf schnellen Festplatten, während Compliance-Daten mit langer Aufbewahrungsdauer auf Band oder in den Cold-Cloud-Speicher verschoben werden.
Replikation von Speicher-Daemon zu Speicher-Daemon – SD2SD verschiebt deduplizierte Daten zwischen Speicherknoten, um eine Kopie an einem geografisch getrennten Standort zu platzieren. Dadurch bleiben die Wiederherstellungspunkte intakt, falls ein standortweiter Ausfall den gesamten Betrieb lahmlegt.

Häufig gestellte Fragen

Wie sollte ein Fertigungsunternehmen auf einen Cybersicherheitsvorfall im Bereich der Betriebstechnik (OT) reagieren?

Im Gegensatz zu IT-Vorfällen muss bei einer OT-Reaktion die physische Sicherheit Vorrang vor der Eindämmung des Netzwerks haben. Bringen Sie die Produktionsprozesse mithilfe vorgefertigter Notabschaltsequenzen in einen sicheren Zustand, bevor Sie Netzwerkverbindungen unterbrechen, da das Abbrechen eines laufenden Prozesses außerhalb der vorgesehenen Abschaltsequenz zu Schäden an den Anlagen oder zu Sicherheitsrisiken führen kann. Stellen Sie anschließend den Betrieb in einer isolierten Staging-Umgebung wieder her und überprüfen Sie jede wiederhergestellte SPS-Konfiguration anhand kryptografisch signierter Baseline-Daten, bevor eine Steuerung erneut physische Anlagen ansteuert. Schalten Sie die Produktion Zelle für Zelle wieder ein und übergeben Sie die Steuerung erst dann an das Bedienpersonal, wenn die sicherheitsgerichteten Systeme ihre Selbsttests abgeschlossen haben.

Werden die Systeme in der Fertigung in Zukunft stärker mit IT-Netzwerken vernetzt sein?

Ja, und die meisten Werke sind bereits so eingerichtet. Im Rahmen von Industrie 4.0 wurden SPSen und SCADA-Systeme mit den ERP-Plattformen des Unternehmens, Cloud-Analyse-Pipelines und Fernzugriffstools von Anbietern vernetzt, da die damit verbundenen Effizienzgewinne im Betrieb real und messbar sind. Edge-Computing treibt diese Entwicklung weiter voran, indem es die Datenverarbeitung direkt in die Fertigung verlagert und neue Netzwerkpfade zwischen OT-Geräten und der externen Infrastruktur schafft. Eine SPS, die vor fünf Jahren noch durch ein „Air Gap“ isoliert war, befindet sich heute in einem Netzwerk mit Internetanbindung. Das bedeutet, dass jahrzehntealte Steuerungen, die nie unter Berücksichtigung von Cybersicherheit konzipiert wurden, für dieselben Angreifer erreichbar sind, die es auf die Unternehmens-IT abgesehen haben.

Sind industrielle Steuerungssysteme noch vollständig von externen Netzwerken isoliert?

Selten. Ein echtes „Air Gap“ ist mittlerweile die Ausnahme. Anlagen verbinden OT mit der Unternehmens-IT, Cloud-Plattformen und Fernzugriffslösungen von Anbietern, da diese Verbindungen den Betrieb effizienter machen. SolarWinds hat gezeigt, wie ein „Air-Gap“ sein Ziel verfehlen kann, wenn er nicht korrekt umgesetzt wird, da in diesem Fall eine Kompromittierung der Software im Rechenzentrum dennoch in die Anlagennetzwerke vordringen konnte. Ein echter „Air-Gap“ wird jedoch oft als Best Practice angesehen, wenn er als Kontrollmaßnahme für bestimmte Ressourcen eingesetzt wird – beispielsweise für Bänder, die aus einer Bibliothek entnommen wurden –, und nicht als eine Eigenschaft, über die das Anlagennetzwerk weiterhin verfügt. Bacula hebt sich durch seine fortschrittlichen Band- und echten Air-Gapping-Lösungen deutlich von der Konkurrenz ab – gerade zu einer Zeit, in der diese in sicherheitsbewussten Organisationen eine Art Renaissance erleben.

Muss ich jede OT-Komponente absichern oder nur diejenigen mit dem höchsten Risiko, und wie identifiziere ich, welche das sind?

Jedes System, jedoch nicht mit denselben Kontrollmaßnahmen. Ein einheitliches SL4 verschwendet Ressourcen in Zonen mit geringen Folgen, während ein einheitliches SL1 die gefährlichen Zonen unzureichend schützt. Beginnen Sie mit einer Bestandsaufnahme, denn ein undokumentiertes System wird niemals bewertet. Gruppieren Sie anschließend die Systeme in Zonen und bewerten Sie jede nach ihren Folgen: Was fällt physisch aus, ob jemand zu Schaden kommt und wie lange die Anlage ohne das System weiterläuft. Ein Turbinenventil und ein Bürodrucker befinden sich an entgegengesetzten Enden dieser Skala.

Schützt Bacula Enterprise OT-Umgebungen?

Ja. Bacula Enterprise schützt sowohl OT- als auch IT-Umgebungen auf einer einzigen Plattform. Seine aus fünf Komponenten bestehende Architektur erstreckt sich über die Zonengrenzen gemäß IEC 62443 hinweg und kann sowohl den Live-Historian als auch Datenbanken über native Plugins sichern, ohne das System anzuhalten.