Bild 1: Lynx-Secure separiert und kontrolliert im Edge Gateway 5000 die Kommunikationsströme zwischen IT- und OT-Netzwerken.

Bild 1: Lynx-Secure separiert und kontrolliert im Edge Gateway 5000 die Kommunikationsströme zwischen IT- und OT-Netzwerken. Lynx

Weltweit werden bald Milliarden vernetzte Geräte einen Internetzugang haben, wodurch eine neue Gefahrendimension aus dem Netz entsteht. Es ist kaum möglich, diese zahlreichen Geräte vor Cyberangriffen zu schützen , zumal viele von ihnen nicht einmal ein Betriebssystem besitzen. Als entscheidender Schutzknotenpunkt für die angeschlossenen Endpunkte hingegen kann sich Lynx-Secure erweisen. Auf Edge-Gateways ausgeführt lassen sich damit verschiedene IoT-Kommunikationsströme voneinander abschirmen. Alternativ wird das IoT-Sensornetzwerk vom Hauptangriffspunkt Internet abgetrennt.

Für die Umsetzung von IoT-Vorhaben ist das rechte Maß an Sicherheit am passenden Platz wichtig. Eine Sicherheitslösung wie Lynx-Secure ermöglicht es den neuen IoT-Edge-Gateways von Dell, Information-Technology- (IT) und Operation-Technology-Anwendungen (OT) vollständig, aber ohne Leistungsverlust, zu isolieren. Lynx-Secure hilft nicht nur, Angriffe über das Gateway zu stoppen. Dank der Kombination aus Isolierung und Virtualisierung lassen sich außerdem Separationen zwischen den Applikations-Stacks unterschiedlicher Interessenten aufrechterhalten, welche ihre Daten aus dem mit den gleichen Sensoren bestückten Netzwerk beziehen.

Eckdaten

Für die neue Edge-Gateway-5000-Serie von Dell ist nun die Sicherheitsplattform Lynx-Secure verfügbar. Die Virtualisierungslösung basiert auf dem Least Privilege Separation Kernel, der IT- und OT-Netzwerke unterschiedlicher Klassifizierungsebenen voneinander trennt, voreinander schützt und die Datenübermittlung sorgfältig überwacht. So können verschiedene Betriebssysteme und Anwendungen in sicheren separaten Domänen ausgeführt werden, wobei Echtzeit-Determinismus und ein leistungsstarker Netzwerk-Datendurchsatz erhalten bleiben. Die Sicherheitssoftware bindet zudem die Verschlüsselungskomponente LSA.connect und das IoT-Security-Toolkit von Webroot ein.

Damit hilft  die Sicherheitslösung, eines der aktuell drängendsten Sicherheitsprobleme des IoT zu lösen. Es sitzt da, wo Edge-Gateways als Brücke zwischen OT- und IT-Netzwerken die Datenübermittlung von Sensoren in die Cloud gestatten. Diese Gateways können zu einem Angriffspunkt für bösartige Attacken werden, die von der IT-Seite aus einfallen, und versuchen, Daten der OT-Seite zu kapern oder diese zu kontrollieren. Lynx-Secure ist eine sichere Virtualisierungslösung auf Basis eines Least Privilege Separation Kernels, der ursprünglich dazu entwickelt wurde, militärische Netzwerke unterschiedlicher Klassifizierungsebenen voneinander abzutrennen und voreinander zu schützen. Damit bietet die Sicherheitssoftware jetzt denselben Grad an Separierung auch für IT- und OT-Netzwerke. Dank der Virtualisierungstechnologie lassen sich verschiedene Betriebssysteme und Anwendungen in sicheren separaten Domänen ausführen, wobei Echtzeit-Determinismus und ein leistungsstarker Netzwerk-Datendurchsatz erhalten bleiben. Die Datenübermittlung von OT zu IT wird dabei sorgfältig überwacht und geschützt.

Das Edge Gateway 5000 ist die neueste Erweiterung von Dells End-to-End-IT-Angebot zur Realisierung von IoT-Lösungen. Dells Portfolio bietet Unternehmen Produkte zur Gestaltung ihrer IoT-Umgebung: am Endpunkt, in der Cloud oder im Rechenzentrum. Das Gateway ist sowohl für OEMs zur Integration in ihre eigenen IoT-Lösungen als auch für Anwender in der industriellen und Gebäudeautomation konzipiert.

Bild 2: Lynx-Secure separiert und kontrolliert die Kommunikationsströme und nutzt dabei die Verschlüsselungskomponente LSA.Connect.

Bild 2: Lynx-Secure separiert und kontrolliert die Kommunikationsströme und nutzt dabei die Verschlüsselungskomponente LSA.Connect. Lynx

Sicherheit für das Internet der Dinge

Der Erfolg sicherheitskritischer IoT-Anwendungen beruht auf der Lösung zweier wichtiger Sicherheitsprobleme. Erstens muss der robuste Schutz nicht nur die Endpunkte und Gateways schützen sondern auch die Kommunikationskanäle zwischen ihnen und dann vom Gateway hinaus über das Internet. Zweitens ist die Erkennung von Bedrohungen sowie deren Eindämmung in Echtzeit erforderlich.

Lynx-Secure schützt Gateways und Endpunkte, doch die weitere Komponente LSA.connect, die Bare-Metal-Anwendungen unter Lynx-Secure nutzt, ist die Verschlüsselungskomponente für sichere Netzwerke (Bild 2).

In ihrer einfachsten Konfiguration lässt sich LSA.connect einsetzen, um Netzwerkverkehr zu verschlüsseln, ohne bösartigen Schädlingen eine große für sie nutzbare Angriffsfläche zu bieten. Die Netzwerkverschlüsselungsalgorithmen befinden sich dabei in einer eigenen sicheren Domäne abseits des ans Internet angeschlossenen Betriebssystems und der Kodierungsschlüssel selbst.

Bild 3: Ein vernetztes Fahrzeug kann verschlüsselt und über separate Domänen Firmware-Updates ausführen, Telematikdaten kommunizieren und Infotainment-Informationen runterladen.

Bild 3: Ein vernetztes Fahrzeug kann verschlüsselt und über separate Domänen Firmware-Updates ausführen, Telematikdaten kommunizieren und Infotainment-Informationen runterladen. Lynx

In einer anspruchsvolleren Konfiguration lässt sich LSA.connect dazu verwenden, das Prinzip der Domänentrennung auf das Netzwerk auszuweiten. Hierzu gibt es zahlreiche isolierte Verschlüsselungstunnel über eine einzige physikalische Netzwerkverbindung, wobei wiederum jede in ihrer eigenen isolierten Domäne untergebracht ist.

Die großen Angriffsoberflächen monolithischer Betriebssysteme wie Linux setzen die verbundenen IoT-Geräte und die Netzwerkverschlüsselungsalgorithmen einer potentiellen Ausbeutung durch Schadsoftware aus. In Kombination bieten Lynx-Secure und LSA.connect isolierte Domänen für jedes Netzwerk und eine separate Bare-Metal-Verschlüsselung, wodurch das vernetzte IoT-Gateway vom Angriffspunkt zum Verteidigungspunkt wird. Ein Beispiel zur Mehrfachstream-Kommunikation veranschaulicht dieses: Ein vernetztes Fahrzeug kann separate Domänen nutzen, um Firmware-Aktualisierungen auszuführen, Telematikdaten zu kommunizieren und herunterladbare Inhalte für das Board-Infotainment (IVI) zu transferieren – und das alles unter Nutzung dedizierter sicherer Verschlüsselungstunnels (Bild 3).

Cloud-basierte Bedrohungserkennung

Bild 4: Lynx-Secure und das IoT-Security-Toolkit von Webroot leisten in Kombination eine Bedrohungserkennung in Echtzeit.

Bild 4: Lynx-Secure und das IoT-Security-Toolkit von Webroot leisten in Kombination eine Bedrohungserkennung in Echtzeit. Lynx

Lynx-Secure und das IoT-Security-Toolkit von Webroot leisten in Kombination eine Bedrohungserkennung in Echtzeit und stellen intelligente Cybersecurity Device Agents zum Schutz kritischer IoT- und IIoT-Systeme vor Rootkits und anderen Advanced Persistent Threats(Advanced Persistent Threats, APT) zur Verfügung. Durch die Einbettung von Komponenten des Toolkits von Webroot innerhalb einer eigenen Domäne auf Lynx-Secure können Bedrohungen entdeckt, identifiziert und entfernt werden ohne die Beschränkungen oder Risiken, die Lösungen auf Betriebssystemebene eigen sind (Bild 4).

Beide Softwarekomponenten wirken verknüpft mit Webroots Threat-Intelligence-Platform der sogenannten Erkennungslücke entgegen, in der bösartige Angriffe nach der Erstinfektion noch monatelang unsichtbar bleiben. Untergebracht in ihrer eigenen Lynx-Secure-Domäne identifiziert die Echtzeiterkennungstechnologie augenblicklich das erstmalige Eindringen einer Bedrohung in das System. Sicherheitsbeauftragte und -systeme können diese schnell einschätzen und analysieren, noch bevor irgendein Schaden entsteht.