OT-Netzwerke in Brownfield-Umgebungen sicher modernisieren

Systemintegratoren stehen unter Druck: Sie müssen IEC-62443-Anforderungen erfüllen, Brownfield-Infrastrukturen schützen und gleichzeitig einen unterbrechungsfreien Betrieb sicherstellen. Dieser Beitrag zeigt drei typische Fallstricke und wie sich sichere, zuverlässige und konforme OT-Netzwerke effizienter umsetzen lassen.

Der Aufbau ausfallsicherer OT-Netzwerke ist komplexer denn je. Systemintegratoren (SIs) müssen strenge Cybersicherheitsanforderungen wie IEC 62443 mit den unverhandelbaren Anforderungen an einen unterbrechungsfreien Betrieb in Einklang bringen. Besonders in Brownfield-Umgebungen kann die Implementierung fortschrittlicher Sicherheitsmaßnahmen schnell zu hohem Integrationsaufwand, unerwarteten Risiken und möglichen Produktionsunterbrechungen führen.

Wie können Systemintegratoren Projekte beschleunigen, ohne in versteckte Fallen zu tappen? Dieser Beitrag zeigt drei typische Herausforderungen und wie sich sichere, zuverlässige und konforme OT-Netzwerke effizienter umsetzen lassen.

Fallstrick 1: IEC 62443 auf Systemebene umsetzen

Spüren Sie den Druck von Kunden, die die strikte Einhaltung der IEC-62443-Normen fordern? Die IEC 62443 ist ein umfassendes Regelwerk für Cybersicherheitsanforderungen, das Komponenten und Systeme industrieller Automatisierungs- und Steuerungssysteme sowie deren Integration abdeckt.

Eine häufige Herausforderung für Systemintegratoren ist der beträchtliche Aufwand, der nötig ist, um die Lücke zwischen den Sicherheitsfunktionen einzelner Komponenten und der Umsetzung auf Systemebene zu schließen. Der Einsatz von IEC-62443-4-2-konformen, sicherheitsoptimierten Geräten ist ein guter Anfang. Dennoch müssen sich SIs und Anlagenbetreiber weiterhin mit den komplexen, systemweiten Anforderungen der IEC 62443-3-3 auseinandersetzen. Anfällige Netzwerke so umzugestalten, dass sie diesen strengen Standards entsprechen, kostet viel Zeit und Arbeitsaufwand.

Lösungsansatz: Den Weg zur Konformität beschleunigen

Konformität auf Systemebene erfordert nicht zwangsläufig den Einsatz ausschließlich individuell zertifizierter Komponenten. Die Entscheidung für Geräte, die innerhalb eines strengen Sicherheitsrahmens entwickelt wurden, bietet SIs eine umfassendere und zuverlässigere Auswahl an Optionen. Moxa setzt einen nach IEC 62443-4-1 zertifizierten Secure Development Life Cycle (SDL) Prozess um und schafft damit eine Secure-by-Design-Grundlage für das gesamte Netzwerkportfolio.

Für Projekte, die zertifizierte Hardware erfordern, bietet Moxa ein komplettes Portfolio an Komponenten, die nach IEC 62443-4-2 Security Level 2 zertifiziert sind. Dazu gehören insbesondere die sicheren Managed Switches der EDS-4000/G4000-Serie und die industriellen Firewalls der EDR-G9010-Serie.

Indem SIs mit einem Anbieter zusammenarbeiten, der sowohl eine sichere Entwicklungsphilosophie als auch ein umfassendes Sortiment an zertifizierten Produkten bietet, können sie den Aufbau einer konformen Architektur mit mehrschichtigen Sicherheitsmaßnahmen erheblich beschleunigen.

Als IEC-62443-4-1-zertifiziertes Unternehmen und Anbieter von IEC-62443-4-2-zertifizierten Netzwerklösungen unterstützt Moxa Sie beim Aufbau einer widerstandsfähigen Netzwerksicherheit und bei der Umsetzung systemweiter Konformität mit IEC 62443-3-3. Laden Sie unser Whitepaper herunter, um zu erfahren, wie Moxa die Implementierung von IEC 62443-3-3 aus Netzwerkperspektive unterstützt.

Fallstrick 2: Der „Rip and Replace“-Albtraum in Brownfield-Umgebungen

Für SIs in Brownfield-Umgebungen besteht eine große Hürde darin, dass Aktualisierungen der Netzwerksegmentierung häufig Änderungen an den IP-Adressen von SPS erfordern. Das ist ein riskanter Schritt, der die Produktion zum Stillstand bringen kann. Darüber hinaus kann der Ausfall einer Inline-Sicherheitskomponente zu einem Fail-Close-Szenario führen, bei dem kritische Regelkreise abgeschaltet werden und minütlich erhebliche finanzielle Verluste entstehen.

Hinzu kommt der wachsende Bedarf, große Datenmengen im gesamten Werk zu übertragen. Die gleichzeitige Verwaltung mehrerer Projekte ist bereits anspruchsvoll. Die Beschaffung und Prüfung von Lösungen für Kunden mit sehr unterschiedlichen Anforderungen an Sicherheit und Verfügbarkeit macht diese Aufgabe für SIs noch komplexer und zeitaufwändiger.

Lösungsansatz: Brownfield-Modernisierung schrittweise umsetzen

Um den vielfältigen Sicherheits- und Leistungsanforderungen gerecht zu werden, bietet Moxa ein umfassendes Portfolio an Managed Switches und industriellen Firewalls. Damit können SIs widerstandsfähige Netzwerke für ihre Kunden aufbauen, ohne Lösungen verschiedener Anbieter mühsam kombinieren zu müssen.

Schritt 1: Grundlegende Segmentierung einrichten

Für schnelle Sicherheitsverbesserungen in Brownfield-Umgebungen können bestehende Unmanaged Switches durch sichere Managed Switches ersetzt werden. Dadurch erhalten Betreiber Einblick in den Netzwerkstatus und können VLANs oder Subnetze für eine einfache und effektive Segmentierung nutzen.

Schritt 2: Altsysteme transparent schützen

Die EDF-G1002-BP Firewalls von Moxa können als transparente Layer-2-Brücke eingesetzt werden. Dies ist besonders geeignet, um Altsysteme zu schützen, die nicht gepatcht werden können, beispielsweise Windows XP HMIs. Die Firewall wird unauffällig vor den Altgeräten positioniert, während bestehende IP-Adressen und Routing-Konfigurationen beibehalten werden.

In OT-Umgebungen, in denen Kontinuität höchste Priorität hat, empfiehlt sich ein schrittweiser Ansatz. Beginnen Sie mit dem Intrusion Detection System (IDS) Mode, also der passiven Überwachung und Protokollierung des Datenverkehrs ohne Blockierungsmaßnahmen. So gewinnen Sie Einblick in normale OT-Kommunikationsmuster.

Dieser IDS-first-Ansatz adressiert ein zentrales OT-Anliegen: Was passiert, wenn die Firewall etwas blockiert, das nicht blockiert werden sollte, und dadurch die Verbindung unterbricht? Der Ansatz liefert die Daten und die Sicherheit, die Sie benötigen, um diese Frage vor der aktiven Durchsetzung von Schutzmaßnahmen zu beantworten.

Nachdem eine verlässliche Basis für den Datenverkehr festgelegt wurde, können schrittweise Regeln für das Intrusion Prevention System (IPS) und die Deep Packet Inspection (DPI) für erkannte Bedrohungssignaturen aktiviert werden. Zeitkritischer Steuerungsverkehr kann von der IPS-Prüfung ausgenommen werden. So bleibt die Determinierbarkeit von OT-Regelkreisen erhalten und die Betriebsleistung wird nicht durch Sicherheitsmaßnahmen beeinträchtigt.

Schritt 3: Segmentierung und Fernzugriff ausbauen

Für eine umfassende Netzwerksegmentierung ermöglichen die Firewalls der EDR-8010-Serie den Aufbau mehrerer komplexer Segmente. Sie unterstützen 1:1 NAT für identische OEM Skids und bieten sichere VPN-Tunnel für den Fernzugriff.

Schritt 4: Kompromisslose Zuverlässigkeit gewährleisten

Moxa versteht das zentrale OT-Gebot: Verfügbarkeit hat höchste Priorität. Deshalb sind die Sicherheitslösungen so konzipiert, dass Single Points of Failure vermieden werden.

Fortschrittliche industrielle Firewalls wie die Serien EDF-G1002-BP und EDR-G9004 verfügen über Gen3-LAN-Bypass-Technologie. Sollte die Firewall keinen Strom mehr haben oder einen Systemabsturz erleiden, aktivieren mechanische Relais sofort einen Fail-to-Wire-Bypass. Dadurch wird die kritische Kommunikation zwischen SPS und E/A unterbrechungsfrei aufrechterhalten.

Gleichzeitig bieten die sicheren Managed Switches sowie die Firewalls der Serien EDR-8010 und EDR-G9010 robuste Redundanzmechanismen, um den reibungslosen Betrieb groß angelegter Netzwerke auch bei hoher Datenlast zu gewährleisten.

Fallstrick 3: Komplexe Bereitstellung und kostenpflichtige Wartung

Viele Firewall-Lösungen auf dem Markt verfügen über äußerst komplexe Verwaltungsoberflächen und aggressive kostenpflichtige Abonnementmodelle. Für SIs entsteht dadurch ein massiver Engpass bei der Inbetriebnahme. Die Bereitstellung von Netzwerkeinstellungen und Firewall-Regeln auf Dutzenden von Geräten kann so schnell zu einem arbeitsintensiven Prozess werden.

Nach der Projektübergabe verschärft sich diese Herausforderung häufig. Kunden müssen komplexe Konfigurationen im laufenden Betrieb warten, obwohl routinemäßige Anpassungen ohne fundierte Netzwerkkenntnisse kaum möglich sind. Hinzu kommt: Obligatorische wiederkehrende Abonnements können zu einem Risiko werden. Wenn eine Lizenz nicht rechtzeitig verlängert wird, können einige Lösungen auf dem Markt Anwender aussperren oder die Weiterleitung des Datenverkehrs beeinträchtigen. Solche Probleme führen im schlimmsten Fall zu vermeidbaren Systemausfällen und können den Ruf der SIs schädigen.

Lösungsansatz: Abläufe vereinfachen und Gesamtbetriebskosten planbar machen

Die Lösungen von Moxa ermöglichen schnellere Bereitstellungen, einfachere Fehlerbehebung und sichere Projektübergaben. Durch die Reduzierung von Komplexität können Projekte effizienter installiert und anschließend von Kunden einfacher gewartet werden.

Umfassende Netzwerk- und Sicherheitstransparenz

Moxa bietet einen leistungsstarken Dual-Software-Ansatz, der speziell für Industriepersonal entwickelt wurde und komplexe Befehlszeilen durch intuitives visuelles Management ersetzt:

• MXview One: Erstellt automatisch eine Übersicht der gesamten physischen Netzwerktopologie und bietet SIs sowie Betreibern Echtzeit-Einblicke in den Gerätezustand, den Verbindungsstatus und die Netzwerkredundanz. So können Probleme mit physischen Verbindungen während der Bereitstellung schnell lokalisiert werden.
• MXsecurity: Fungiert als zentrale Management-Plattform und ermöglicht es SIs, Firewall-Richtlinien, NAT-Regeln und die Bedrohungsüberwachung über zahlreiche Remote-Geräte hinweg über eine zentrale visuelle Oberfläche zu koordinieren. Dies unterstützt eine konsistente Richtlinienumsetzung über viele Knoten hinweg und reduziert das Risiko menschlicher Fehler bei groß angelegten Bereitstellungen.

CapEx-freundliche Lizenzierung mit sofort einsatzbereitem Schutz

Moxa setzt auf ein OT-freundliches Kaufmodell. Kernfunktionen wie Routing, NAT und Firewall-Filterung sind fest in die Hardware integriert, ohne dass ein wiederkehrendes Abonnement erforderlich ist.

Fortschrittliche industrielle Firewalls wie die EDF-G1002-BP verfügen über werkseitig installierte IPS-Lizenzen sowie punktbasierte Abonnements für zusätzliche IPS-Signatur-Updates zum Schutz vor neuen Bedrohungen.

Sollte die Verlängerung des Abonnements für IPS-Signatur-Updates versäumt werden, funktionieren die IPS-Funktionen weiterhin, empfangen jedoch keine neuen IPS-Signatur-Updates mehr. Der Datenverkehr wird dadurch nicht unterbrochen, nur weil ein Abonnement abgelaufen ist. So entstehen klare, vorhersehbare Gesamtbetriebskosten: keine abonnementbedingten Ausfallzeiten, keine überraschenden Funktionsdeaktivierungen, sondern eine Lösung, die zuverlässig weiterarbeitet.

Fazit: OT-Netzwerksicherheit ohne unnötige Integrationsrisiken

Sind Sie bereit, Netzwerksicherheit und Zuverlässigkeit zu verbessern, ohne neue Integrationsprobleme zu schaffen? Echte Ausfallsicherheit in OT-Netzwerken erfordert mehr als eine einzelne Komponente. Das Portfolio für sichere Netzwerke von Moxa, bestehend aus Managed Switches, industriellen Firewalls und zentraler Management-Software, unterstützt SIs dabei, Fallstricke in Brownfield-Umgebungen zu umgehen und sichere Netzwerkarchitekturen effizient umzusetzen.

Entdecken Sie das komplette Angebot an sicheren Netzwerklösungen von Moxa und finden Sie die passende Lösung für Ihr nächstes Integrationsprojekt.