CISA und Australien raten zu Isolationsplänen für OT-Systeme

Die US-Behörde CISA hat mit dem australischen ACSC, dem FBI und internationalen Partnern die Leitlinie „CI Fortify“ veröffentlicht.

Hintergrund sind wiederholte Angriffe staatlich unterstützter Gruppen wie Volt Typhoon und Salt Typhoon, die nach Angaben der Behörden über Jahre unentdeckt in Netzwerken kritischer Infrastruktur verblieben, unter anderem bei großen US-Telekommunikationsanbietern. Auch Wasserversorger waren bereits betroffen, etwa American Water und ein Wasserwerk in Kansas. Die Leitlinie soll Organisationen helfen, sich vor einem Vorfall vorzubereiten, statt erst währenddessen zu improvisieren.

Physische und abgestufte Isolation

Empfohlen wird zunächst, die minimal notwendigen Systeme für einen kritischen Dienst zu identifizieren und alle deren Verbindungen zu Firmennetzwerken, Cloud-Diensten, Dienstleistern und dem Internet zu dokumentieren. Als wirksamsten Schutz nennt die Leitlinie die vollständige physische Trennung, alternativ eine abgestufte Isolation, bei der der Zugriff je nach Bedrohungslage schrittweise eingeschränkt wird. Ist physische Isolation nicht praktikabel, etwa bei Cloud-Abhängigkeiten, raten die Behörden zu gehärteten Netzwerkgrenzen und dedizierten Verbindungen.

Regelmäßige Tests und Betrieb im isolierten Zustand

Isolationspläne sollten regelmäßig vollständig getestet werden, da Teiltests versteckte Abhängigkeiten oft nicht aufdecken. Empfohlen wird zudem eine Offline-Kopie des Plans sowie die Fähigkeit, Systeme während der Isolation manuell zu betreiben, zu überwachen und zu aktualisieren, bis eine sichere Wiederverbindung möglich ist.

(red)