Was Deception Solutions sind – und was nicht
Eine Deception Solution setzt im gesamten Netzwerk Attrappenversionen realer OT-Ressourcen ein. Diese Attrappen öffnen nicht einfach nur Ports und warten ab, sondern verhalten sich in einer gut implementierten Lösung auf Protokollebene glaubwürdig. Ein überzeugender Köder für eine Schaltanlage reagiert beispielsweise plausibel auf MMS-Abfragen nach IEC 61850, verarbeitet Modbus-Anfragen oder ahmt das DNP3-Verhalten nach. Angreifende, die das Netzwerk ausloten, sollten es nicht von einem echten Gerät unterscheiden können. Wenn ein Eindringling mit einem dieser Köder interagiert, erhalten die Verteidigenden eine Warnmeldung – oft weitaus früher, als es bei herkömmlichen Überwachungstools der Fall wäre.
Dies wird häufig mit Honeypots verwechselt, doch beide dienen unterschiedlichen Zwecken:
Honeypots
Forschungsinstrumente, die das Verhalten von Angreifenden in kontrollierten Umgebungen untersuchen und deren Methoden sammeln und analysierenDeception Solutions
Operative Erkennungswerkzeuge: Sie fangen Angreifende ab, die sich bereits in Ihrem Netzwerk befinden, bevor sie kritische Systeme erreichen – nicht, um sie zu beobachten und von ihnen zu lernen, sondern um sie zu entlarven.
Deception Solutions nutzen authentische Köder, die im gesamten Netzwerk nicht von echten OT-Ressourcen zu unterscheiden sind.
Warum Deception Solutions Sicherheitsreife benötigt
Deception Solutions generieren eine bestimmte Art von Alarm: geringes Volumen, hohe Zuverlässigkeit. Ein Köder sollte niemals legitimen Datenverkehr empfangen. Jede Interaktion mit ihm ist per Definition verdächtig. Das ist die Stärke dieses Ansatzes – aber es offenbart auch eine versteckte Abhängigkeit.
Die Reaktion auf einen präzisen, hochgradig zuverlässigen Alarm erfordert Fähigkeiten, die viele OT-Sicherheitsprogramme erst noch aufbauen müssen. Ohne eine vollständige Bestandsaufnahme der Ressourcen lassen sich Köder nicht überzeugend platzieren – ein Köder, der nicht mit der Topologie Ihres echten Netzwerks übereinstimmt, täuscht versierte Angreifende nicht, die bereits Aufklärung betrieben haben. Ohne Netzwerktransparenz lassen sich Angreifende, die mit einem Köder interagieren, nicht zuverlässig von einem falsch konfigurierten echten Gerät unterscheiden, das dasselbe tut. Und ohne etablierte Prozesse zur Reaktion auf Vorfälle landet der Alarm, so genau er auch sein mag, einfach in der Warteschlange der Dinge, die nicht weiterverfolgt werden konnten.
Aus diesem Grund gehört Deception in eine spätere Phase des OT-Sicherheitsreifeprozesses und nicht in die erste.
Die folgenden Voraussetzungen müssen erfüllt sein, damit der Deception-Alarm zu einer Maßnahme führen kann:
- Netzwerksegmentierung und ein regelmäßig aktualisiertes Asset-Inventar
- Firewall-Architektur mit definiertem Zonenübergang (Conduit)
- Endgeräteschutz
- Netzwerk-Intrusion-Detection-System (NIDS) mit aktiver Überwachung
- Netzwerkzugangskontrolle (NAC)
- Protokollierung, Alarmierung und festgelegte Reaktionsverfahren
- Qualifiziertes Personal, das in der Lage ist, Vorfälle zu untersuchen und zu eskalieren
Was die gängigen Frameworks betrifft, entspricht dies in etwa der mittleren bis oberen Stufe der Sicherheitsreifegradmodellen. Wenn sich Ihr Unternehmen noch auf den unteren Stufen befindet, führt Deception zunächst zu mehr Komplexität, anstatt einen Mehrwert zu schaffen.
Wie Deception die Verweildauer verkürzt
Für Unternehmen, die bereits die Grundlagen geschaffen haben, ist der Nutzen erheblich – und er steht in direktem Zusammenhang mit dem hartnäckigsten Problem im Bereich der OT-Sicherheit: die Verweildauer.
Branchenzahlen zu OT- und ICS-Vorfällen zeigen regelmäßig, dass sich Angreifende monatelang in einem Netzwerk aufhalten, bevor sie entdeckt werden. In diesem Zeitraum häufen sich die Schäden an: Aufklärung, laterale Bewegung, Positionierung für maximale Wirkung. Eine Verkürzung dieses Zeitraums beeinflusst das Risikoprofil eines Vorfalls erheblich.
Deception Solutions greifen gezielt in der Phase der lateralen Bewegung ein, wenn Angreifende das Netzwerk auslotet, um Ressourcen zu erfassen und Ziele zu finden. Genau in diesem Moment wird ein Köder attraktiv – und genau dann hat das Auslösen eines Alarms den größten defensiven Wert. Werden Angreifende hier und nicht erst am Ort des Angriffs abgefangen, haben die Verteidigenden Zeit zu reagieren, bevor der Betrieb beeinträchtigt wird.
Es gibt zudem ein Argument hinsichtlich der asymmetrischen Kosten, das es zu berücksichtigen gilt. Die Wartung eines Köders ist kostengünstig im Vergleich zur Absicherung jedes einzelnen echten Assets. Für Energieversorger mit großen, heterogenen OT-Umgebungen – veraltete Feldgeräte, Geräte verschiedener Hersteller, lange Austauschzyklen – spielt diese Asymmetrie eine wichtige Rolle. Man kann nicht alles gleichermaßen absichern, aber man kann Köder strategisch platzieren.
Der regulatorische Rahmen untermauert dies. NIS2 und die deutschen KRITIS-Vorschreibungen verlangen von Energieversorgern zunehmend, nicht nur Schutzmaßnahmen nachzuweisen, sondern auch Erkennungs- und Reaktionsfähigkeiten. Deception Solutions tragen wesentlich zu dieser Sicherheitslage bei, jedoch nur als Teil einer umfassenderen Erkennungsarchitektur, die bereits Überwachung, Protokollierung und definierte Reaktionsprozesse umfasst.
Wie passen Deception Solutions in Ihr OT-Sicherheitsprogramm
Deception Solutions sind nicht der richtige Ausgangspunkt für Ihr OT-Sicherheitsprogramm. Sie sind vielmehr der Punkt, an dem ein ausgereiftes Programm den nächsten Schritt gehen kann.
Die gewinnbringendsten Investitionen für Unternehmen, die ihre Kompetenzen noch ausbauen, sind nach wie vor:
- Einrichtung einer angemessenen Netzwerksegmentierung
- Schaffung von Transparenz über alle OT-Ressourcen
- Einführung von Protokollierung und Überwachung
- Sicherstellung, dass Alarme – aus beliebigen Quellen – effektiv untersucht werden können
Sobald diese Grundlage geschaffen ist, werden Deception Solutions zu etwas wirklich Nützlichem: einer Frühwarnstufe, die raffinierte Angreifende genau in dem Moment abfängt, in dem sie am verwundbarsten sind, die Verweildauer verkürzt, bevor sie kritische Systeme erreichen, und dies zu geringen Kosten, die sie zu einem der effizientesten verfügbaren Werkzeuge für Betreiber kritischer Infrastrukturen machen.
Das Sahnehäubchen sozusagen – aber nur, wenn darunter auch ein Kuchen ist.
News und Aktuelles
