Der schnellste Weg, Risiken zu minimieren

Die Risikobehebung stellt für diesen Hersteller eine enorme Herausforderung dar, da seine High-End-Ausrüstung (CNC-Maschinen, Steuerungen und Bearbeitungszentren) sowie seine zentralen OT-Geräte (SPSen, SCADA-Steuerungen, dezentrale E/A-Systeme) größtenteils auf veralteten Betriebssystemen laufen. Aufgrund strenger OEM-Garantiebestimmungen, fehlender Patches und der inhärenten Anfälligkeit dieser Systeme ist herkömmliches aktives Scannen störend, und das Installieren von Patches ist oft betrieblich nicht möglich. Die Mitbewerber von Asimily lieferten lediglich lange Listen theoretischer Schwachstellen und rieten dem Hersteller, alles zu ersetzen – was betrieblich unmöglich war. Das Unternehmen musste seine lokalen Netzwerktopologien ohne Betriebsunterbrechungen abbilden, indem es die passive Erkennung von Systemkomponenten über SPAN- oder ERSPAN-Port-Spiegelung nutzte, um die tatsächlichen Angriffspfade zu verstehen und Maßnahmen zur Risikominderung zu priorisieren, mit denen die größten Risiken schnell beseitigt werden können.

• Ermitteln Sie, bei welchen Geräten tatsächlich ein realistischer Angriffsweg besteht.
• Priorisieren Sie die Behebung von Risiken anhand der tatsächlichen Auswirkungen (Sicherheit, behördliche Auflagen, Kosten und Ausfallzeiten).
• Stellen Sie die Einhaltung strenger Cybersicherheitsstandards (einschließlich CMMC und NIST 800-171) sicher, um Ihre Sicherheitsfreigabe als Auftragnehmer der US-Bundesregierung mit auditfähigen Daten aufrechtzuerhalten.

Da dieser große Hersteller an mehreren verschiedenen Standorten tätig ist, hätte ein Produktionsstillstand katastrophale Folgen – die Ausfallkosten würden schätzungsweise 1 Million US-Dollar pro Stunde betragen. Aufgrund seiner stark verteilten Infrastruktur wären herkömmliche Sicherheitshardware-Lösungen, wie sie von Asimilys Mitbewerbern angeboten werden, unerschwinglich teuer gewesen; die Installation von Standard-Aggregationsboxen im Wert von jeweils 10.000 US-Dollar an jedem erforderlichen Netzwerkknotenpunkt hätte die Projektkosten auf mehrere hunderttausend Dollar in die Höhe getrieben. Darüber hinaus musste das Unternehmen „untergeordnete“ Geräte hinter SPSen (die oft durch industrielles NAT oder Backplane-Routing verdeckt sind) identifizieren, ohne das empfindliche OT-Netzwerk aktiv zu scannen und zu stören.

• Erhalten Sie einen vollständigen Überblick über alle industriellen Geräte an mehreren, weit verstreuten Standorten.
• Erzielen Sie umfassende Gerätetransparenz – sicher, ohne Auswirkungen auf den Betrieb und ohne Ausfallzeiten.
• Halten Sie die Hardware- und Bereitstellungskosten in einer stark verteilten Architektur überschaubar.
• Priorisieren Sie Risiken auf intelligente Weise mithilfe der ATT&CK-Analyse von Asimily, um die Behebung von Sicherheitslücken zu beschleunigen und sich auf die Maßnahmen zu konzentrieren, die die Sicherheit am stärksten verbessern.

Dieser Hersteller hatte eine entscheidende Schwachstelle: Er hatte keinerlei Einblick in das Netzwerk der Geräte, die tief hinter seinen SPSen in den unteren Zellzonen (Purdue-Ebenen 0–2) angesiedelt waren. Herkömmliche Methoden wie die Konfiguration von SPAN-Sitzungen, die Installation physischer TAPs oder der Einsatz von Low-End-Sammelboxen waren weder physisch noch architektonisch umsetzbar. Nach Pilotprojekten mit anderen namhaften OT-Sicherheitsanbietern, die sich ausschließlich auf die passive Analyse von Netzwerkdaten in höheren Schichten stützten, stellten sie fest, dass diese Anbieter keinen Einblick hinter die primären SPSen erhalten konnten. Die untergeordneten Geräte blieben während dieser Pilotprojekte unsichtbar.

• Erzielen Sie 100 % Transparenz über die hinter den SPSen betriebenen Untergeräte.
• Extrahieren Sie detaillierte Geräteprotokolle und Verhaltensdaten, ohne die standardmäßige OT-Kommunikation – einschließlich Modbus TCP, PROFINET und Ethernet/IP – zu stören.
• Arbeiten Sie mit einem Anbieter zusammen, der über umfassende technische Erfahrung im Umgang mit älteren Geräten, proprietären Backplane-Verbindungen und komplexen Industrieprotokollen verfügt.

Da dieser städtische Hafen ein riesiges, weitläufiges Netzwerk verwaltet, in dem IoT-, OT- und IT-Geräte (einschließlich SCADA-Steuerungen, dezentraler E/A-Systeme und Terminal-Betriebssysteme) miteinander verbunden sind, benötigte er eine umfassende Geräteabfrage. Rein passive Scans übersahen häufig inaktive Geräte oder hatten Schwierigkeiten mit asymmetrischem Routing und verschlüsselten Nutzdaten, während aggressive aktive Scans (wie sie für herkömmliche IT-Schwachstellenscanner typisch sind) das Risiko bargen, die empfindlichen TCP/IP-Stacks der kritischen Hafeninfrastruktur zum Absturz zu bringen. Zudem erforderte der schiere Umfang der Umgebung fast 100 Hardware-Collectors zu einem Preis von jeweils über 10.000 US-Dollar, was das Projektbudget vollständig zu sprengen drohte.

• Erzielen Sie eine umfassende, konvergente Transparenz in einer hochkomplexen, gemischten IoT-, OT- und IT-Port-Umgebung.
• Erfassen Sie auf sichere Weise detaillierte Telemetriedaten mithilfe einer Kombination aus aktiven und passiven Techniken, ohne dass es zu Netzwerklatenz oder Reaktionsausfällen der Geräte kommt.
• Reduzieren Sie den erforderlichen Hardware-Platzbedarf und die Gesamtprojektkosten drastisch.
• Es musste sichergestellt werden, dass der kontinuierliche Hafenbetrieb rund um die Uhr sowie die Logistik der Lieferkette nicht beeinträchtigt wurden.

Während sich die traditionelle OT-Sicherheit stark auf industrielle Umgebungen konzentriert, stand diese Großbank vor einer enormen Herausforderung hinsichtlich ihrer Gebäudemanagementsysteme (BMS), darunter HLK-Steuerungen, physische Zugangssysteme und Aufzüge, die Protokolle wie BACnet und LonWorks nutzen, sowie einer rasch wachsenden Flotte von IoT-Geräten im Unternehmen (VoIP, Smart Displays, vernetzte Drucker). Sie hatten nicht nur ein Problem mit der Transparenz, sondern auch mit der Risikominderung. Zu wissen, dass ein Gerät anfällig war, reichte nicht aus, wenn es keine Möglichkeit gab, es aktiv zu schützen. Wettbewerber boten zwar eine standardmäßige passive Transparenz, versagten jedoch, wenn es um umsetzbare Abhilfemaßnahmen ging, was beim Sicherheitsteam der Bank zu einer „Alarm-Müdigkeit“ führte und ihm keinen Mechanismus an die Hand gab, um tatsächlich Updates zu installieren oder die IoT-Risiken zu mindern.

• Entdecken und klassifizieren Sie präzise ein umfangreiches, verteiltes Netzwerk aus OT-Geräten in Gebäuden und IoT-Geräten im Unternehmensbereich.
• Gehen Sie über die grundlegende Netzwerktransparenz hinaus und beugen Sie Schwachstellen auf kritischen IoT-Geräten durch ein koordiniertes Patch- und Lebenszyklusmanagement aktiv vor.
• Wählen Sie einen Anbieter mit einer zukunftsorientierten technischen Roadmap, die wettbewerbsfähige Produktfunktionen für das automatisierte IoT-Lebenszyklusmanagement aufweist.

Diese Stadt verwaltet eine stark verteilte Infrastruktur, die von IT-Netzwerken über intelligente Verkehrskameras bis hin zu kritischen SCADA-Systemen für die Abwasserentsorgung reicht. Da ihr Netzwerk geografisch so weit verstreut ist, konnte durch das ausschließliche Verlassen auf einfache Scans (wie SNMP-Walks) häufig ein erheblicher Teil des Datenverkehrs nicht erfasst werden – aufgrund nicht unterstützter MIBs, deaktivierter Dienste oder durch Firewalls blockierter Daten. Sie benötigten einen Anbieter, der in der Lage war, tiefgehende, API-basierte Abfragen durchzuführen, um detaillierte Informationen von entfernten IoT-Geräten zu extrahieren, auf die mit herkömmlichen, ressourcenintensiven Hardware-Appliances kein effizienter Zugriff möglich war.

• Erhalten Sie einen umfassenden Einblick in die verteilte städtische Infrastruktur – selbst in Bereichen, in denen eine Erfassung des gesamten Datenverkehrs mit geringem Kostenaufwand und geringem Aufwand nicht möglich ist.
• Arbeiten Sie mit einem Anbieter zusammen, der über bloße Transparenz hinausgeht und echte Risikominderung sowie Segmentierung für kritische kommunale OT-Systeme (wie die Abwasserwirtschaft) bietet.
• Verschaffen Sie sich ein kontextbezogenes Verständnis der tatsächlichen Ausnutzbarkeit, um eine intelligente, dynamische Netzwerksegmentierung zu ermöglichen, die mit den sich ständig weiterentwickelnden Bedrohungen Schritt hält.

Dieser großen Gesundheitsorganisation mit über 15 Standorten fehlte die Möglichkeit, Risiken zu quantifizieren, da sie keinen Überblick über die angeschlossenen medizinischen Geräte und IoT-Geräte sowie die damit verbundenen Schwachstellen hatte. Da keine Strategie zur Behebung der Schwachstellen vorlag, wurde der Bestand an medizinischen Geräten vom klinischen Technikdienst reaktiv verwaltet. Die Organisation benötigte eine Lösung, um die Maßnahmen zur Behebung der Schwachstellen zu verwalten und zu priorisieren, um Risiken effizienter zu reduzieren, sowie eine einfache Möglichkeit, diese Maßnahmen dem Vorstand zu vermitteln.

• Verschaffen Sie sich einen umfassenden Überblick über den Bestand an vernetzten medizinischen Geräten und IoT-Geräten sowie die damit verbundenen ausnutzbaren Schwachstellen.
• Entwickeln Sie ein umfassendes, kontinuierliches Sicherheitsprogramm.
• Priorisieren Sie die Fehlerbehebung und optimieren Sie die Maßnahmen zur Risikominderung mithilfe des ausgelagerten Teams für klinische Technik.
• Informieren Sie den Vorstand über Risikominderung, Benchmarking, Compliance und die NIST-Abdeckung.