Absicherung von SCADA-Switches: SSH, Portkontrolle und MAC-Bindung in OT-Netzwerken (Teil 2)

Eine neue Verteidigungsebene entsteht innerhalb von OT-Switching-Netzwerken

Industrielle Steuerungsnetze sind keine isolierten Systeme mehr. Sie arbeiten heute in konvergierten IT/OT-Umgebungen, in denen Fernzugriff und verteilte Steuerung zum Standard gehören. Die Switch-Konfiguration ist zu einer zentralen Verteidigungslinie in der SCADA-Cybersicherheitsarchitektur geworden.

Ingenieure härten Switches heute nicht nur für die Leistung, sondern auch zur Erfüllung der IEC-62443-Anforderungen in kritischen Infrastrukturen.

Die industrielle Switching-Infrastruktur spielt heute eine direkte Rolle beim Schutz von Anlagen und der Betriebskontinuität.

Technische Aufschlüsselung der Maßnahmen zur Switch-Härtung

Sicherung des Fernzugriffs über SSH

SSH ersetzt Telnet in OT-Umgebungen, um verschlüsselte Verwaltungssitzungen zu gewährleisten. Dies verringert die Gefährdung von Anmeldedaten und Konfigurationsdaten in SCADA-Netzwerken.

In modernen Bereitstellungen erzwingen Ingenieure den ausschließlichen SSH-Zugriff auf VTY-Leitungen, um unsichere Pfade für die Remote-Anmeldung zu verhindern.

Die SSH-basierte Verwaltung gewährleistet einen kontrollierten Fernzugriff auf Industrieswitches über OT-Zonen hinweg.

Entfernen von Webschnittstellen aus kritischen Switches

Die Deaktivierung der HTTP- und HTTPS-Verwaltung reduziert die Angriffsfläche erheblich. Viele SCADA-Betreiber bevorzugen die CLI-basierte Konfiguration über sichere Shell-Sitzungen.

Dieser Ansatz begrenzt versehentliche Fehlkonfigurationen und stärkt die Betriebsdisziplin in Werksnetzen.

Authentifizierung am Rand des Steuerungsnetzes

Die Authentifizierung über lokale Benutzernamen gewährleistet die Zugriffskontrolle auch ohne zentrale Identitätsdienste. Dies ist für Umspannwerke und entfernte Anlagen mit eingeschränkter externer Konnektivität unerlässlich.

Lokal gespeicherte Anmeldedaten gewährleisten die Betriebskontinuität, wenn keine externe Authentifizierung verfügbar ist.

Port-Sperrung und Datenverkehrsdisziplin

Ungenutzte Switch-Ports zählen zu den häufigsten Schwachstellen in OT-Umgebungen. Administratoren deaktivieren nun ungenutzte Schnittstellen, um unbefugte Zugriffsstellen auf Geräte zu beseitigen.

Diese Methode gewährleistet die physische und logische Übereinstimmung zwischen dokumentierten Anlagen und der aktiven Netzwerktopologie.

Die Kontrolle auf Port-Ebene stellt sicher, dass nur validierte Endgeräte an der industriellen Kommunikation teilnehmen.

Geräte durch MAC-basierte Kontrolle binden

Die MAC-Adressbindung stärkt die Absicherung von Endgeräten, indem sie physische Geräte an bestimmte Switch-Ports bindet. Jede Abweichung löst eine sofortige Beendigung der Kommunikation aus.

Diese Technik wird häufig in HMI-intensiven Umgebungen und sicherheitskritischen SCADA-Zonen eingesetzt.

Die MAC-basierte Bindung erzwingt eine deterministische Geräteidentität am Netzwerkzugang.

Anwendungsbereiche dieser Verfahren

Diese Methoden zur Switch-Härtung werden in Umspannwerken, Prozessanlagen und diskreten Fertigungslinien breit eingesetzt. Sie gewährleisten eine stabile Kommunikation zwischen SPS, RTUs, HMIs und übergeordneten Systemen.

Ingenieure kombinieren diese Techniken häufig mit sicherer Infrastruktur-Hardware wie Leistungs- und Kommunikationssysteme industrieller Netzwerke zur Stabilisierung der OT-Architektur unter Cybersicherheitsauflagen.

Brancheneinblick: OT-Netzwerke werden zu sicherheitsdefinierten Systemen

Sicherheit auf Switch-Ebene ist heute eine Kernanforderung und nicht mehr nur eine bewährte Vorgehensweise. Standards wie IEC 62443 verändern die Art und Weise, wie Ingenieure Netzwerksegmentierung und Zugriffskontrolle entwerfen.

Wir beobachten einen Wandel, bei dem die Netzwerkkonfiguration die Sicherheitslage ebenso stark bestimmt wie Firewalls oder Endgeräte. Dies stärkt die Bedeutung der Switching-Infrastruktur für die Integrität von SCADA-Systemen.

Technische Perspektive zur Entwicklung der OT-Sicherheit

Die Härtung von Switches wird in Diskussionen über OT-Cybersicherheit häufig unterschätzt. Dennoch bildet sie die direkteste Durchsetzungsebene zwischen physischen Geräten und der Steuerungslogik.

Meiner Ansicht nach werden Unternehmen, die die Disziplin auf Switch-Ebene ignorieren, einem zunehmenden Betriebsrisiko ausgesetzt sein, während die IT/OT-Konvergenz voranschreitet. Strukturierte Konfiguration statt reaktiver Sicherheitspatches wird künftig robuste Industrienetzwerke bestimmen.

*Daniel Mercer, Industrieanalyst und Systems-Reporter, 14 Jahre Erfahrung mit Siemens-, Rockwell-Automation- und Emerson-DeltaV-Integrationsprojekten in groß angelegten Prozesssteuerungsumgebungen*