Sie übernehmen ein Anlagennetz voller SPS (PLC). Ihr IT-Schwachstellenscanner und Patch-Zyklus stehen bereit – wie passen Sie sie an OT an?
Kurzantwort
Wenden Sie das IT-Playbook nicht auf produktive SPS an. NIST SP 800-82r3 sagt, dass aktive Scan-Werkzeuge vor dem OT-Einsatz getestet werden sollten und schaden können, empfiehlt passives Netzwerk-Monitoring (SPAN-Ports oder Taps) als ersten Schritt und verlangt, Patches in einer Sandbox zu testen und in geplanten Wartungsfenstern mit Wiederherstellungsplan einzuspielen. Lässt sich ein Gerät nicht patchen, setzen Sie kompensierende Maßnahmen wie Segmentierung oder Bump-in-the-Wire-Geräte ein.
Die Falle dieser Frage: ein OT-Netz wie ein größeres Büro-LAN zu behandeln. Industrielle Steuerungen wirken auf die physische Welt – ein Scan oder Patch, der auf einem Laptop Routine ist, kann eine Pumpe oder Produktionslinie stoppen.
Was NIST sagt
NIST SP 800-82r3 stellt OT-Sicherheit auf die besonderen Anforderungen an Performance, Zuverlässigkeit und Sicherheit (Safety). Die Empfehlungen sind konkret:
- Patchen: Updates lassen sich nicht immer zeitnah einspielen; sie brauchen gründliche Tests durch Hersteller und Betreiber, Stillstände, die Tage oder Wochen vorher geplant werden, und teils eine Revalidierung. Patches sollten zuerst in einer Sandbox getestet und in geplanten Wartungsfenstern mit Wiederherstellungsplan eingespielt werden.
- Aktives Scannen: Organisationen sollten prüfen, ob aktive Scan-Werkzeuge OT-Systeme beeinträchtigen können, und sie vor dem Einsatz offline testen.
- Monitoring: Netzwerküberwachung im passiven Modus (SPAN-Ports oder Taps) ist ein sinnvoller erster Schritt.
- Nicht patchbare Geräte: kompensierende Maßnahmen nutzen, etwa Bump-in-the-Wire-Geräte davor.
Warum die Distraktoren scheitern
Alles heute Nacht zu scannen ignoriert die Testvorgaben. OT gar nicht abzusichern ist defätistisch: passives Monitoring, Segmentierung und geplantes Patchen funktionieren. Scans zur Spitzenzeit maximieren den Schaden, wenn ein empfindliches Gerät ausfällt.
Was Interviewer hören wollen
Eine Senior-Antwort zeigt, dass Sie Methoden an die Umgebung anpassen: passiv entdecken, zuerst testen, in Fenstern ändern, kompensieren, wo Patchen nicht geht.
Wahrscheinliche Anschlussfragen
- Wie würden Sie ein OT-Asset-Inventar aufbauen, ohne ein einziges Paket an eine SPS zu senden?
- Welche kompensierenden Maßnahmen setzen Sie ein, wenn sich eine Steuerung gar nicht patchen lässt?
- Wie verschieben Verfügbarkeit und Safety die CIA-Prioritäten im OT?