Edge Computing ist aus der Fertigungsindustrie nicht mehr wegzudenken: Nur wenn Daten direkt vor Ort ausgewertet werden, können Prozesse in Echtzeit optimiert werden. So überzeugend die Vorteile auch sind – in Sachen IT-Sicherheit hinken die dezentralen Infrastrukturen den Schutzmaßnahmen traditioneller Rechenzentren meist noch hinterher. Unternehmen sollten das Thema ernster nehmen, schließlich sind Produktionsanlagen ein begehrtes Ziel für Cyberkriminelle.
Foto: Dell
Chris Kramar, Managing Director OEM Solutions DACH bei Dell Technologies
Die Fertigungsindustrie gilt als Vorreiter für Edge Computing. Durch die Verarbeitung von Daten direkt an der Quelle können Entscheidungen ohne Zeitverzögerung getroffen werden. Das ist besonders wichtig für die Überwachung von Maschinen, die Steuerung von Produktionslinien und das Erkennen von Abweichungen oder Fehlern im Fertigungsprozess. Ein gängiges Schlagwort in diesem Zusammenhang ist Predictive Maintenance: Dank der intelligenten Analyse von Sensordaten vor Ort können Anomalien frühzeitig erkannt und Wartungsarbeiten durchgeführt werden, bevor es zu teuren Ausfällen kommt. Niedrige Latenzen durch die Rechenleistung am Netzwerkrand sind aber auch für die Steuerung von Robotern unabdingbar, die sonst schnell die Orientierung verlieren würden.
Mit den Vorteilen gehen aber auch spezifische Herausforderungen einher, insbesondere im Bereich der IT-Sicherheit. Im Gegensatz zu herkömmlichen IT-Infrastrukturen verteilt Edge Computing die Datenverarbeitung auf viele Standorte und Geräte. Diese Dezentralisierung führt zu einer größeren Angriffsfläche, da jedes einzelne Edge-Device ein potenzielles Ziel sein kann. Grundsätzlich ist es immer schwieriger, eine riesige Anzahl von Geräten zu sichern, insbesondere wenn sie in verschiedenen physischen Umgebungen und Netzwerken betrieben werden. Edge-Infrastrukturen zeichnen sich zudem durch eine Vielzahl von Lösungen unterschiedlicher Hersteller aus, die nicht immer auf dem neuesten Stand der Technik sind und veraltete Betriebssysteme oder Firmware-Versionen aufweisen.
Gerade OT (Operational Technology)- und industrielle Steuerungssysteme (SCADA) sind oft schon so lange im Einsatz, dass Sicherheitsupdates verzögert oder gar nicht eingespielt werden. Denn sollte das Aktualisieren aufgrund von Inkompatibilitäten fehlschlagen, fürchten die Verantwortlichen das Risiko eines Produktionsstillstands. Darüber hinaus verwenden viele Geräte und Systeme Protokolle, denen grundlegende Sicherheitsfunktionen wie Verschlüsselung und Authentifizierung fehlen. Schließlich ist die Edge-Hardware oft für jedermann mehr oder weniger frei zugänglich, insbesondere wenn sie in entfernten oder weniger gesicherten Bereichen installiert ist. Dies erhöht das Risiko von Manipulationen, Sabotage oder dem Einschleusen von Schadsoftware. Ein kompromittiertes Gerät kann nicht nur die Datenintegrität, sondern auch die gesamte Produktionskette des Unternehmens gefährden.
Um diese Risiken zu vermeiden, müssen Unternehmen ihre Edge-Computing-Umgebung über den gesamten Stack hinweg absichern. Dazu gehören Hardware, Betriebssysteme, Anwendungen, Daten und Netzwerk. Die Fertigungsindustrie sollte sich dabei an modernen Sicherheitsansätzen aus dem klassischen Rechenzentrum orientieren – und dort spielt die Zero-Trust-Architektur eine zentrale Rolle. Das bedeutet, dass grundsätzlich keinem Nutzer, keinem Gerät und keinem Service vertraut wird,sondern jede Datenabfrage und jede Transaktion vor der Übertragung überprüft und validiert werden muss. Bei einem Zero-Trust-Ansatz wird also jeder und alles als potenzielle Bedrohung angesehen. Neben der Zugangskontrolle mit modernen Verfahren wie der Multi-Faktor-Authentifizierung (MFA) sollten Daten, die zwischen Edge-Geräten und zentralen Systemen übertragen werden, sowohl im Ruhezustand als auch während der Übertragung verschlüsselt werden. Durch die Wahl des richtigen Protokolls kann der gefürchtete Management-Overhead vermieden werden.
Ein weiterer Punkt ist die Netzwerksegmentierung: Dank der Aufteilung in verschiedene, isolierte Segmente reduzieren Unternehmen das Risiko, dass sich Bedrohungen innerhalb der Infrastruktur weiter ausbreiten. Sie können sogar Richtlinien für einzelne Workloads und Anwendungen festlegen, was als Mikrosegmentierung bekannt ist. Damit ist die Durchsetzung deutlich granularerer Vorgaben, die auf den spezifischen Anforderungen und der Sensibilität von Anwendungen und Daten basieren, möglich. Zu guter Letzt ist es wichtig, den Netzwerkverkehr kontinuierlich auf Anomalien zu scannen. Ein auf KI-Techniken basierendes Monitoring hilft, ungewöhnliches Verhalten frühzeitig zu erkennen und sogar automatisiert Gegenmaßnahmen einzuleiten.
Ein weiteres großes Risiko, das viele gar nicht auf dem Radar haben, ist die Zunahme von Angriffen auf die Supply Chain. Kriminelle infiltrieren beispielsweise die IT-Systeme eines Zulieferers, um von dort aus auf die Netzwerke des Unternehmens zuzugreifen. Abhilfe versprechen Verfahren wie die Secured Component Verification (SCV). Sie garantiert die Authentizität und Integrität der einzelnen Hardware-Komponenten inklusive Firmware während des gesamten Herstellungs- und Vertriebsprozesses. Mit Hilfe eines digitalen Zertifikats, das in einer sicheren Cloud-Umgebung gespeichert ist und die eindeutigen System-IDs enthält, kann das IT-Team vor der Installation der Geräte überprüfen, ob Manipulationen am Produkt vorgenommen wurden. Die Software Bill of Material, kurz SBOM, überträgt wiederum das Prinzip der klassischen Stücklisten, die in der Fertigungsindustrie Standard sind, auf die Anwendungen. Typische SBOMs enthalten Lizenzinformationen, Versionsnummern und Komponentendetails. Letztendlich helfen sie, Sicherheitslücken schneller zu entdecken und zu beheben.
Am einfachsten und vor allem am sichersten ist es, die gesamte Intelligenz hinter modernen Sicherheitslösungen direktbeziehungsweise nativ an der Edge zu platzieren. Moderne Plattformen übernehmen selbstständig alle notwendigen Schutzmaßnahmen. Eine solche Plattform enthält beispielsweise vTPM, die virtuelle Version eines Trusted Platform Module, das kryptografische Funktionen und einen sicheren Speicher für Schlüssel, Zertifikate und Passwörter bereitstellt. Mit vTPM können die Funktionen nun auch für virtuelle Maschinen auf den Edge-Geräten genutzt werden. UEFI Secure Boot wiederum stellt sicher, dass nur vertrauenswürdige und autorisierte Software booten kann. So wird verhindert, dass sich Malware auf den Geräten einnistet und diese kompromittiert. Die Plattform übernimmt auch die Bereitstellung und Konfiguration der Devices, einschließlich der Erkennung, Authentifizierung und Autorisierung. Durch die Automatisierung von Hardware-, Firmware- und Software-Updates werden zudem Schwachstellen durch Zero-Day-Exploits schneller behoben.
Die Industrie jedenfalls muss den Schutz ihrer Edge-Computing-Umgebungen ernster nehmen. Die dezentrale Struktur, die Nähezu kritischen Systemen und die potenziell gravierenden Auswirkungen von Bedrohungen aller Art machen ein umfassendes Sicherheitskonzept unabdingbar. Nur so können die Vorteile der Technologie effektiv und gleichzeitig sicher genutzt werden.
