This post is also available in:
Künstlich-intelligente Angriffszyklen verkürzen die Zeitspanne zwischen der Offenlegung einer Schwachstelle und deren Ausnutzung von Wochen auf Minuten. In den meisten OT-Umgebungen dauern die Prozesse zur Anwendung von Patches und zur Behebung von Sicherheitslücken mehrere Monate. Dieses Zeitfenster der Verwundbarkeit – also die Zeitspanne zwischen dem Auftreten eines Exploits und der Möglichkeit für ein Unternehmen, Patches anzuwenden – wird zu einem der entscheidenden Sicherheitsprobleme, mit denen industrielle Organisationen heute konfrontiert sind.
Früher erforderten die Entwicklung zuverlässiger Exploits sowie die Anpassung von Malware an spezifische Umgebungen Zeit, Fachkenntnisse und wiederholte Versuche – wodurch Verteidigern ein Zeitfenster blieb, um Risiken zu bewerten und Schutzmaßnahmen umzusetzen, bevor Angriffe ausweiten konnten.
Frontier-KI verringert dieses Zeitfenster rapide. Große Modelle können die Forschung zu Schwachstellen, die Entwicklung von Exploits, die Analyse von Angriffspfaden, die Anpassung von Malware sowie die Automatisierung von Angriffen so beschleunigen, dass die Reaktionszeiten der Verteidiger von Wochen auf Tage und zunehmend von Tagen auf Stunden verkürzt werden. Statt einen einzelnen Angriff zu beschleunigen, ermöglicht Frontier-KI Angreifern, mehr Ziele zu evaluieren, mehr Angriffspfade zu testen, Techniken schneller anzupassen und in einem Tempo zu iterieren, das mit herkömmlichen, menschlich gesteuerten Verteidigungsprozessen kaum nachvollzogen werden kann.
Operative Technologien wurden nicht für rasche Veränderungen konzipiert. Sicherheitszertifizierungen, Anforderungen an die Prozesskontinuität, Abhängigkeiten von Herstellern sowie veraltete Infrastrukturen begrenzen die Geschwindigkeit, mit der industrielle Systeme gepatcht werden können – selbst wenn die Risiken klar erkannt sind. Viele Geräte, die derzeit in Produktionsumgebungen eingesetzt werden – darunter veraltete SPS, RTU und alte HMI-Geräte – werden niemals mehr von ihren Herstellern mit Patches versorgt.
Die Zeitpläne der Angreifer werden immer kürzer. Die Zeitpläne für die Behebung von OT-Schwachstellen sind nicht ausreichend.
Die Herausforderung besteht nicht mehr nur darin, Schwachstellen zu finden. Es geht vielmehr darum, festzustellen, welche Schwachstellen ein bedeutendes operatives Risiko darstellen und dieses Risiko schnell genug zu mindern, bevor die Behebungszyklen tatsächlich nachziehen können. Unternehmen benötigen zunehmend eine Möglichkeit, die Schwachstellen zu identifizieren, die am wahrscheinlichsten die Betriebsabläufe stören, und kompensierende Maßnahmen schnell genug umzusetzen, um das Risiko zu reduzieren – während die Behebungszeiten ablaufen.
Nicht jede kritische Schwachstelle birgt dasselbe operative Risiko
Herkömmliche Ansätze zur Schwachstellenverwaltung waren in industriellen Umgebungen schon immer schwer effektiv umzusetzen, weil technische Schweregrade und operative Folgen nicht dasselbe sind.
Eine Schwachstelle in einem sicherheitsrelevanten Steuerungssystem, einem für die Produktion entscheidenden SPS oder einem Druckentlastungsregler kann ein deutlich größeres operatives Risiko darstellen als ein höher bewerteter CVE auf einem unwichtigen Arbeitsplatzrechner. In OT-Umgebungen zählt nicht nur, ob eine Schwachstelle ausgenutzt werden kann, sondern was im Prozess passiert, wenn dies geschieht.
Wenn Verteidigungsteams unter Tausenden von Alerts, wenig zuverlässigen Detektionen und wachsenden Beständen an potenziellen Schwachstellen zu leiden haben, konzentrieren sich Teams, die ausschließlich nach dem CVSS-Score priorisieren, oft auf Schwachstellen mit geringen operativen Auswirkungen, während die Risiken, die die Produktion tatsächlich stören könnten, unzureichend adressiert werden. Die Priorisierung nach operativem Risiko hilft, diese Lücke zu schließen, indem sie die Aufmerksamkeit auf die Schwachstellen lenkt, die für die operative Widerstandsfähigkeit am wichtigsten sind.
Eine effektive Risikopriorisierung geht längst über CVSS-Scores hinaus. Der CISA KEV-Status, die Exploitabilität nach EPSS sowie Hinweise auf bewaffnete Exploits gelten auf der IT-Seite bereits als Standard. Doch OT-Umgebungen erfordern eine weitere Ebene an Kontextinformationen, die von IT-orientierten Tools nicht bereitgestellt werden. Palo Alto Networks adressiert dies mit seinen umfassenden Lösungen für den Schutz kritischer Infrastrukturen<2>, indem es die Sichtbarkeit, Durchsetzung und Bedrohungsprävention für OT auf Basis von NGFWs ohne neue Sensoren oder zusätzliche Hardware ermöglicht. OT-Gerätesicherheit baut auf dieser Grundlage auf, um jedes verbundene Gerät zu erkennen, die Risiken zu priorisieren, die am wahrscheinlichsten die Betriebsabläufe stören, und den Schutz direkt umzusetzen. Im Vergleich zu IT-orientierten Schwachstellen-Tools geht es dabei drei spezifischen OT-Kontexten nach:
- Identität und Kritikalität von OT-Assets: Die Priorisierung berücksichtigt, welche Funktion ein Gerät im operativen Kontext erfüllt – seine Rolle im Prozess und seine Sicherheitsklassifizierung. Ein SPS, der einen kritischen Produktionsprozess steuert, weist ein deutlich höheres Risikogewicht auf als ein HMI in einer Testzelle – selbst wenn beide dieselbe Schwachstelle aufweisen.
- Operativer Auswirkungsradius: Ein Jump-Server mag isoliert betrachtet unbedeutend erscheinen – doch wenn er die administrative Steuerung über Hunderte von SPSen oder RTU-Geräten auf dem Werksgelände übernimmt, stellt eine Schwachstelle auf diesem Server einen einzigen Zugangspunkt zu einem weitreichenden operativen Schadensbereich dar. OT Device Security modelliert diese Zusammenhänge so, dass die Ausnutzbarkeit einer Schwachstelle anhand des Ausbreitungspotenzials innerhalb des industriellen Netzwerks gemessen wird – nicht nur am isolierten Asset selbst.
- Kompensierende Maßnahmen: Da OT Device Security die NGFW sowohl als Sichtbarkeitssensor als auch als Durchsetzungspunkt nutzt, werden bestehende Firewall-Richtlinien und Netzwerksegmentierungen direkt in den effektiven Risikowert einbezogen. Eine Schwachstelle, die bereits durch eine aktive NGFW-Richtlinie geschützt wird, wird nicht genauso bewertet wie eine Schwachstelle mit einem offenen Netzwerkpfad zum betroffenen Asset – eine Unterscheidung, die die Kombination aus Detektion und Durchsetzung auf derselben Plattform erfordert; etwas, das reine Detektions- oder rein sichtbarkeitsorientierte Anbieter nicht nachbilden können.
Das Ergebnis ist ein Risikomodell, das den „Lärm“ herausfiltert, indem es zahlreiche kontextuelle Parameter berücksichtigt, um ein aussagekräftiges Signal zu liefern – eines, das sowohl die Wahrscheinlichkeit einer Ausnutzung als auch die operativen und wirtschaftlichen Auswirkungen eines erfolgreichen Angriffs widerspiegelt. Sicherheitsteams können ihre begrenzten Ressourcen auf die Schwachstellen lenken, die tatsächlich zu Betriebsstörungen führen könnten, anstatt sich mit einer Vielzahl von Alerts zu beschäftigen, die keine konkreten Folgen für die Prozesse haben.
Schwachstellen reduzieren – ohne Betriebsunterbrechungen
Die Priorisierung des operativen Risikos zeigt den Sicherheitsteams, worauf sie sich konzentrieren sollen. Die nächste Herausforderung besteht darin, bei nicht absehbaren Remediationszeitplänen dennoch entsprechend zu handeln. Geplante Ausfälle treten oft nur ein- oder zweimal im Jahr auf. Einige Systeme bleiben auch nach Ablauf der Herstellerunterstützung weiterhin im Einsatz, weil deren Austausch erhebliche Ausfallzeiten oder kostspielige Prozessumgestaltungen erfordern würde. Andere Systeme lassen sich schlichtweg nicht modifizieren, ohne ein inakzeptables operatives Risiko einzugehen.
Hier kommt virtuelles Patching als essentielle kompensierende Maßnahme für industrielle Umgebungen ins Spiel. Virtuelles Patching verlagert den Schutz auf die Netzwerkebene und blockiert Exploit-Versuche bereits bevor sie ein anfälliges Gerät erreichen – ohne dass dafür Wartungsfenster, Herstellerunterstützung oder Modifikationen der Produktionssysteme nötig wären. In OT-Umgebungen, in denen die Remediation Monate dauern könnte oder ganz unmöglich ist, verschiebt virtuelles Patching die Frage von „Wann können wir patchen?“ hin zu „Wie schnell können wir schützen?“
Palo Alto Networks verknüpft die Priorisierung des operativen Risikos direkt mit der Durchsetzung mittels künstlicher Intelligenz gesteuerten virtuellen Patching. OT Device Security identifiziert die Schwachstellen, die am wahrscheinlichsten Auswirkungen auf den Betrieb haben, korreliert sie mit verfügbaren Bedrohungsabwehr-Signaturen und generiert automatisch durchsetzbare Schutzmaßnahmen – sodass Sicherheitsteams direkt von der Risikoerkennung zur Risikominderung gelangen, ohne dazwischen manuelle Untersuchungen durchführen zu müssen. Da die NGFW sowohl als Sichtbarkeitssensor als auch als Durchsetzungspunkt fungiert, können Schutzmaßnahmen sofort umgesetzt werden – ohne auf ein Wartungsfenster oder einen Hersteller-Remediationszyklus warten zu müssen.
Diese Qualität der Durchsetzung ist bei großem Umfang entscheidend.} In unabhängigen Tests des SecureIQLab blockierte Advanced Threat Prevention 69 % mehr ausweichenden Command-and-Control-Verkehr als konkurrierende IPS-Lösungen – einschließlich verschlüsselten und ständig sich verändernden Beaconing-Datenverkehrs, der zunehmend mit KI-gestützten Malware-Angriffen in Verbindung gebracht wird. Dadurch können kritische Systeme weiterhin betrieben werden, während die Angriffsfläche sofort reduziert wird. Doch das Abwehren bekannter Angriffe ist nur ein Teil der Gleichung.
Da Frontier-KI-Modelle die Entdeckung neuer Schwachstellen und Exploit-Pfade beschleunigen, wird das Volumen an neu auftretenden CVEs, mit denen Unternehmen fertig werden müssen, weiter zunehmen. Palo Alto Networks bietet bereits heute KI-gestützte virtuelle Patches für OT-Umgebungen an und entwickelt aktiv die nächste Generation proaktiver virtueller Patching-Funktionen, um Unternehmen dabei zu unterstützen, diese Entwicklung zu überholen.
Frontier-KI-gestützte Angriffe haben die Notwendigkeit eines besseren Schutzes für OT-Sicherheit erhöht
Frontier-KI beschleunigt nicht nur einzelne Angriffe. Sie ermöglicht Angreifern, mehr Ziele zu evaluieren, Schwachstellen schneller zu missbrauchen und in einem Tempo zu iterieren, das traditionelle Verteidigungsprozesse übertrifft. Das Ergebnis ist eine stetig wachsende Anzahl an CVEs, mit denen industrielle Unternehmen fertig werden müssen – und zwar schneller, als die OT-Behebungszyklen nachkommen können.
Um die OT-Sicherheitsinfrastruktur auf diese Realität vorzubereiten, sind zwei Fähigkeiten erforderlich, die zusammenarbeiten. Operative Risikopriorisierung ermöglicht es Sicherheitsteams, sich auf die Schwachstellen zu konzentrieren, die am wahrscheinlichsten den Betrieb stören würden. KI-gestütztes virtuelles Patching reduziert die Angriffsfläche sofort – ohne auf Wartungsfenster oder Lieferantenzyklen zu warten. Zusammen schließen sie die Lücke zwischen der Geschwindigkeit, mit der Bedrohungen auftreten, und der Realität, wie schnell industrielle Unternehmen reagieren können. Vereinbaren Sie ein 30-minütiges Strategiegespräch, um Ihre Sicherheitslage für OT, IoT und private 5G-Netze im Hinblick auf KI-Angriffe mit maschineller Geschwindigkeit und Transparenzlücken in Legacy-Umgebungen zu bewerten.
Hinweise über vorausschauende Aussagen
Dieser Blogbeitrag enthält vorausschauende Aussagen, die Risiken, Unsicherheiten und Annahmen beinhalten, darunter zum Beispiel Aussagen bezüglich der Vorteile, Auswirkungen und der Leistung oder der potenziellen Vorteile, Auswirkungen und des Leistungspotenzials unserer Produkte und Technologien. Bislang unveröffentlichte Services und Funktionen (sowie alle Services oder Funktionen, die nicht allgemein für Kunden zur Verfügung stehen), auf die in dieser oder anderen Pressemitteilungen oder in öffentlichen Erklärungen Bezug genommen wird, sind derzeit nicht verfügbar (oder noch nicht allgemein für Kunden verfügbar) und werden möglicherweise nicht zum erwarteten Zeitpunkt oder auch gar nicht bereitgestellt. Kunden, die Anwendungen von Palo Alto Networks erwerben, wird empfohlen, ihre Kaufentscheidungen anhand der derzeit allgemein verfügbaren Services und Funktionen zu treffen.