Produktionsanlagen, industrielle Steuerungen und Unternehmensnetzwerke sind heute eng miteinander verbunden. Das ermöglicht effizientere Abläufe, vorausschauende Wartung und einen besseren Austausch von Betriebsdaten. Gleichzeitig entstehen Verbindungen, über die sich Cyberangriffe bis in die Produktion auswirken können. Umso wichtiger ist es, Sicherheitsvorfälle frühzeitig zu erkennen, richtig einzuordnen und mögliche Reaktionen mit Blick auf den laufenden Betrieb abzuwägen.
Ein OT-SOC erweitert Sicherheitsüberwachung um die Anforderungen industrieller Umgebungen. Der größte Mehrwert entsteht dabei durch die gemeinsame Betrachtung von OT und IT. Eine wichtige Grundlage dafür ist die Telemetrie aus der OT: Sie macht Kommunikation, technische Veränderungen und sicherheitsrelevante Aktivitäten in der Produktionsumgebung sichtbar.
Vier Handlungsempfehlungen für mittelständische Unternehmen
Ein OT-SOC verbindet Angriffserkennung mit Verständnis für die Produktion
Ein Security Operations Center, kurz SOC, überwacht sicherheitsrelevante Ereignisse, bewertet Auffälligkeiten und koordiniert die Reaktion auf mögliche Angriffe. Ein OT-SOC berücksichtigt dabei zusätzlich die Besonderheiten der Operational Technology (OT): jener Systeme, die physische Prozesse überwachen und steuern. Dazu gehören beispielsweise industrielle Steuerungen, Leit- und Bedienungssysteme sowie Engineering-Arbeitsplätze.
In der OT hat die zuverlässige Erkennung und Bewertung von Auffälligkeiten besondere Bedeutung. Denn Reaktionsmaßnahmen können unmittelbare Auswirkungen auf den Anlagenbetrieb haben. Ein verdächtiges System vom Netzwerk zu trennen, kann einen Angriff eindämmen. Bei einer produktionskritischen Komponente kann dieselbe Maßnahme jedoch Produktionsprozesse beeinträchtigen oder gar ganz unterbrechen.
Deshalb müssen neben dem Sicherheitsvorfall auch die betrieblichen Auswirkungen möglicher Maßnahmen berücksichtigt werden. Verfügbarkeit, funktionale Sicherheit und zeitkritische Abläufe spielen dabei eine zentrale Rolle. Insbesondere automatisierte Eingriffe sind mit besonderer Vorsicht zu betrachten. Maßnahmen an produktionskritischen Systemen erfordern daher eine enge Abstimmung zwischen Security-Team und Anlagenverantwortlichen.
Mehr dazu im NIST-Leitfaden zur OT-Sicherheit
OT-Telemetrie schafft Sichtbarkeit in der Produktion
Für eine fundierte Bewertung benötigt das SOC Informationen aus der industriellen Umgebung selbst. OT-Telemetrie liefert dafür wichtige Anhaltspunkte.
In der Praxis ist der Zugang zu diesen Daten jedoch häufig eingeschränkt: Auf vielen produktionskritischen Systemen dürfen oder können keine EDR-Agenten installiert werden, wie sie in der klassischen IT zur Überwachung von Endgeräten eingesetzt werden. Hinzu kommen über Jahre gewachsene Produktionsnetze, in denen Anlagen unterschiedlicher Hersteller und Generationen verschiedene, teils proprietäre oder ältere Kommunikationsprotokolle nutzen. Informationen müssen deshalb vielfach passiv aus dem Netzwerk oder über vorhandene Protokolle und Schnittstellen gewonnen werden.
Dazu gehören, abhängig von den eingesetzten Systemen und der verfügbaren Datenerfassung, beispielsweise:
- Kommunikationsbeziehungen zwischen Anlagenkomponenten
- Neue Geräte oder bislang unbekannte Verbindungen
- Zugriffe auf Steuerungen und Engineering-Systeme
- Änderungen an Konfigurationen oder Steuerungsprogrammen
- Geräteereignisse und ausgewählte Zustandsinformationen
Diese Daten helfen, den üblichen Betrieb zu verstehen und Abweichungen zu untersuchen. Kommuniziert ein Engineering-Arbeitsplatz erstmals mit einer bestimmten Steuerung? Erfolgt ein Zugriff außerhalb eines vorgesehenen Wartungsfensters? Wird eine Konfiguration verändert, obwohl kein entsprechender Auftrag vorliegt?
Gerade die netzwerkbasierte Erfassung kann Kommunikationsmuster und Anomalien sichtbar machen, ohne direkt in die produktionskritischen Systeme einzugreifen. Allerdings stehen nicht in jedem Netzsegment geeignete Mirror-Ports, Sensoren oder zentrale Protokolldaten zur Verfügung. Die technische Anbindung muss daher für jede Umgebung einzeln geplant werden – möglichst ohne zusätzliche Last oder Eingriffe in den laufenden Betrieb.
Der Wert der OT-Telemetrie liegt darin, die verfügbaren Aktivitäten für die Sicherheitsanalyse sichtbar und bewertbar zu machen. Sie ergänzt die Sicht auf Benutzerkonten, Endgeräte und Wartungszugänge um Informationen darüber, was innerhalb der Produktionsumgebung geschieht.
Dabei hängt die Aussagekraft von der Abdeckung und Tiefe der Datenerfassung ab. Netzwerkdaten allein zeigen beispielsweise nicht jede lokale Änderung an einer Steuerung. Deshalb sollten Datenquellen gezielt ausgewählt, ihre technische Erschließung mit den Betriebsverantwortlichen abgestimmt und verbleibende Sichtbarkeitslücken berücksichtigt werden.
Vier typische Herausforderungen für ein OT-SOC
Nicht jede OT-Komponente lässt sich wie ein klassischer IT-Endpunkt überwachen. EDR-Agenten können auf produktionskritischen Systemen oft nicht eingesetzt werden. Ältere Protokolle und Netzsegmente ohne geeignete Sensorik führen zu Datenlücken, die bei der Bewertung berücksichtigt werden müssen.
Ein technischer Alarm allein sagt noch wenig über seine Bedeutung für die Produktion aus. Ohne ein aktuelles Asset-Inventar sowie Wissen über Funktionen, Abhängigkeiten, Wartungsarbeiten und Anlagenzustände kann das SOC Ereignisse nur eingeschränkt priorisieren und bewerten.
Security-Teams betrachten Angriffswege und Sicherheitsereignisse, Anlagenverantwortliche Verfügbarkeit und Prozessstabilität. Sind Bewertungs-, Entscheidungs- und Eskalationswege nicht gemeinsam festgelegt, fehlen im Vorfall wichtige Informationen und klare Verantwortlichkeiten. Ein wirksames OT-SOC muss beide Perspektiven und Prozesse zusammenführen.
Maßnahmen wie Isolation oder automatisierte Eingriffe können Auswirkungen auf den Produktionsprozess haben. Reaktionen müssen deshalb mit dem betrieblichen Kontext abgestimmt werden, um Produktion, Verfügbarkeit und funktionale Sicherheit nicht zu beeinträchtigen.
IT und OT liefern gemeinsam ein aussagekräftigeres Bild
Die IT-Sicherheit bringt Erfahrung in der Analyse von Angriffsmustern, Benutzerkonten, Endgeräten und Netzwerkereignissen mit – Hinweise auf einen möglichen Angriff. Die OT-Verantwortlichen kennen die Anlagen, ihre Abhängigkeiten und die Bedingungen für einen sicheren und stabilen Betrieb. OT-Telemetrie verbindet diese Perspektiven mit konkreten Beobachtungen aus der Produktion.
Gemeinsam lassen sich dadurch Fragen beantworten, die für die Bewertung eines Vorfalls relevant sind:
- Ist ein Wartungszugang autorisiert und für die aktuelle Wartung vorgesehen?
- Welche Anlagenkomponenten wurden während dieses Zugriffs angesprochen?
- Gehört die beobachtete Kommunikation zum normalen Betrieb?
- Ist eine erkannte Änderung an einer Steuerung geplant?
- Welche Folgen hätte die Einschränkung eines betroffenen Systems?
Die Kombination liefert eine belastbare Grundlage für Priorisierung und Reaktion.
Der Mehrwert entsteht durch die Verknüpfung der Ereignisse
Wie wichtig die gemeinsame Überwachung ist, zeigt ein beispielhaftes Angriffsszenario: Ein Angreifer nutzt einen kompromittierten Wartungszugang und greift über einen vermittelnden Server auf einen Engineering-Arbeitsplatz zu. Die IT-Überwachung erkennt möglicherweise eine ungewöhnliche Anmeldung. Die OT-Telemetrie zeigt anschließend eine neue Verbindung zu einer Steuerung und – sofern die entsprechenden Daten verfügbar sind – eine Änderung an deren Programm.
Erst die Verknüpfung dieser Ereignisse macht den möglichen Angriffsweg deutlich:
- Ein auffälliger Zugriff erfolgt über einen Wartungszugang.
- Der Zugriff führt zu einem System mit Zugang zur Produktion.
- Von dort wird eine industrielle Steuerung angesprochen.
- Die beobachtete Aktivität passt zu keinem freigegebenen Wartungsauftrag.
So unterstützt OT-Telemetrie sowohl die Erkennung als auch die Untersuchung eines Vorfalls. Sie hilft, betroffene Systeme einzugrenzen, Abläufe zeitlich nachzuvollziehen und technische Hinweise mit betrieblichen Informationen abzugleichen.
Auch legitime Aktivitäten lassen sich dadurch besser einordnen. Wenn eine Auffälligkeit zu einem dokumentierten Wartungsauftrag passt, kann dieser Kontext unnötige Eskalationen vermeiden.
Telemetrie benötigt Anlagenwissen
Eine sinnvolle Überwachung beginnt mit dem Wissen darüber, welche Systeme vorhanden sind und welche Aufgaben sie erfüllen. Ein Asset-Inventar unterstützt dabei, Geräte zuzuordnen und ihre Bedeutung für den Betrieb zu verstehen. Asset Management gehört damit zu den Grundlagen einer wirksamen OT-Sicherheitsüberwachung. Die CISA-Leitlinie zum OT-Asset-Inventar beschreibt diese Bestandsaufnahme als Grundlage der OT-Sicherheit.
Zur CISA Leitlinie zum OT Asset Inventar
Für das SOC reicht eine Liste von IP-Adressen jedoch nicht aus. Eine beobachtete Verbindung erhält mehr Aussagekraft, wenn bekannt ist, welche Funktion die beteiligten Geräte erfüllen und welche Produktionsprozesse von ihnen abhängen. Technische Erkennung und betriebliches Wissen müssen deshalb zusammenkommen: Erst der Anlagenkontext zeigt, welche Bedeutung eine beobachtete Aktivität für den Betrieb hat.
Dadurch kann ein ungewöhnlicher Zugriff auf eine zentrale Steuerung nach seinen möglichen betrieblichen Auswirkungen priorisiert werden. Eine neue Verbindung während einer Anlagenumrüstung lässt sich wiederum im Kontext der geplanten Arbeiten bewerten.
Datenerfassung muss zum Anlagenbetrieb passen
Auch die Erhebung von Telemetrie muss die Anforderungen der OT berücksichtigen. Passive Netzwerkbeobachtung kann Kommunikationsdaten erfassen, ohne die überwachten Geräte aktiv abzufragen. Ergänzend können vorhandene Protokolle und geeignete Systemschnittstellen weitere Informationen liefern.
Welche Verfahren geeignet sind, hängt von der jeweiligen Anlage ab. Erfassung, Anbindung und zusätzliche Last müssen mit den Verantwortlichen abgestimmt werden. Denn für OT gelten besondere Anforderungen an Verfügbarkeit, Zuverlässigkeit und Safety, die bei Sicherheitsmaßnahmen berücksichtigt werden müssen.
Mehr dazu im NIST-Leitfaden zur OT-Sicherheit
Für den Aufbau eines OT-SOC bedeutet das: Datenquellen sollten nach ihrem Nutzen für konkrete Erkennungs- und Untersuchungsaufgaben ausgewählt werden. Entscheidend sind eine ausreichende Abdeckung, verlässliche Zeitstempel und die Zuordnung der Ereignisse zu den richtigen Anlagenkomponenten.
Gemeinsame Prozesse machen die Überwachung handlungsfähig
Auch aussagekräftige Telemetrie hilft wenig, wenn im Ernstfall Zuständigkeiten offenbleiben. Ein ganzheitliches SOC benötigt deshalb nicht nur abgestimmte Abläufe, sondern auch ein gemeinsames Verständnis von Risiken und betrieblichen Auswirkungen zwischen Security-Team, IT-Betrieb, Produktion und Instandhaltung.
Dabei sollte vorab geklärt sein:
- Wer bewertet einen Alarm aus der Produktion?
- Wer ergänzt Informationen zu Wartung und Anlagenzustand?
- Wer entscheidet über Eingriffe in den Anlagenbetrieb?
- Welche Maßnahmen sind bereits freigegeben?
- Wann müssen Anlagenverantwortliche oder Hersteller eingebunden werden?
Regelmäßige gemeinsame Übungen helfen, diese Abläufe zu überprüfen. Dabei lässt sich auch feststellen, ob die vorhandene Telemetrie ausreicht, um einen Vorfall zu untersuchen oder ob an relevanten Stellen Informationen fehlen.
Ganzheitliche Überwachung verbindet Daten und Kompetenzen
IT und OT gemeinsam zu überwachen bedeutet, ihre Informationen und Prozesse sinnvoll miteinander zu verbinden. Dabei gelten für beide Bereiche unterschiedliche Anforderungen: Eine industrielle Steuerung benötigt andere Erkennungs- und Reaktionsverfahren als ein Büroarbeitsplatz.
Für Unternehmen liegt der eigentliche Nutzen nicht allein in mehr Sicherheitsdaten. Er liegt darin, aus diesen Daten schneller die möglichen betrieblichen Auswirkungen eines Vorfalls ableiten zu können.
Ein ganzheitlicher SOC-Ansatz verbindet sicherheitsrelevante Informationen aus IT und OT. Informationen über Identitäten, Endgeräte und Zugriffe werden um Beobachtungen aus der Produktion ergänzt. Gemeinsam mit dem Wissen der Anlagenverantwortlichen lässt sich fundierter beurteilen, was passiert, welche Prozesse betroffen sein könnten und welche Reaktion angemessen ist.
Vier Handlungsempfehlungen für mittelständische Unternehmen
1.
IT und OT gemeinsam verantwortlich machen
2.
OT-Telemetrie gezielt erschließen
3.
Ereignisse mit Betriebsinformationen verknüpfen
4.
Erkennung und Reaktion gemeinsam erproben
Ein OT-SOC muss nicht nur erkennen, sondern richtig einordnen
Ein OT-SOC schafft seinen größten Nutzen nicht dadurch, möglichst viele Daten zu sammeln. Entscheidend ist, sicherheitsrelevante Ereignisse mit dem betrieblichen Kontext der Produktion zu verbinden.
So wird aus einem technischen Alarm eine belastbare Grundlage für Entscheidungen: Welche Anlage ist betroffen? Welche Auswirkungen sind möglich? Muss unmittelbar reagiert werden? Und welche Maßnahme lässt sich umsetzen, ohne unnötig in den Produktionsbetrieb einzugreifen?
Genau darin liegt die Stärke eines ganzheitlichen SOC-Ansatzes: IT-Sicherheitskompetenz, OT-Telemetrie und Anlagenwissen zusammenzuführen, damit Unternehmen im Ernstfall schneller und angemessener handeln können.
Weitere Artikel zum Thema OT Security:
OT SECURITY
>> Wenn Cybervorfälle die Produktion treffen: Was OT-Security mit Geschäftskontinuität zu tun hat <<
OT VISIBILITY
>> Blinde Flecken im Produktionsnetz: Was für wirksame OT-Sicherheit sichtbar werden muss <<