Tenable OT Security for Web Apps

Sie betreiben also eine Produktionsanlage oder verwalten eine kritische Infrastruktur und verfügen über webbasierte OT-Systeme? Ja, das ist ein Albtraum, der darauf wartet, passiert zu werden. Ich war in Ihrer Lage und habe versucht, alte SPS- und SCADA-Systeme zu schützen und sie gleichzeitig mit dem Internet kommunizieren zu lassen. Hier kam Tenable OT Security for Web Apps ins Spiel. Es ist nicht auffällig, aber eines macht es wirklich gut: Es behält Ihre OT-Webressourcen im Auge wie ein paranoider Wachhund.

Die guten Sachen

Was wirklich auffiel, war die Geschwindigkeit, mit der exponierte Endpunkte gefunden wurden. Ich hatte ein vergessenes Admin-Panel auf einem alten HMI-Server, an dessen Existenz sich niemand erinnern konnte. Die App hat es innerhalb von Minuten nach dem Scannen erkannt. Keine ausgefallene Benutzeroberfläche, nur Rohdaten – aber die Schwachstellenberichte waren klar und umsetzbar. Die Echtzeitüberwachung ist legitim. Wenn sich in Ihrem Netzwerk etwas ändert – beispielsweise wenn ein neues Gerät eine Verbindung herstellt oder ein Port geöffnet wird – erhalten Sie eine Benachrichtigung. Und die Risikobewertung? Viel nützlicher als generische „Hoch-Mittel-Niedrig“-Kennzeichnungen. Es zeigt Ihnen tatsächlich, was aufgrund der Ausnutzbarkeit und Auswirkung dringend ist.

Das nicht so Gute

Schauen Sie, das ist nichts für Startups oder kleine Teams. Es wurde für Unternehmen mit engagierten OT-Sicherheitsleuten entwickelt. Die Lernkurve ist real – kein Händchenhalten, keine Tutorials. Von Ihnen wird erwartet, dass Sie wissen, was ein TCP-SYN-Scan ist, bevor Sie überhaupt beginnen. Auch das Fehlen eines kostenlosen Kontingents oder einer Testversion ist gravierend. Ich musste ein Verkaufsgespräch führen, um Zugang zu erhalten. Und das Armaturenbrett? Funktional zwar, aber schön ist es nicht. Fühlt sich an wie Unternehmenssoftware aus dem Jahr 2015. Wenn Sie an Tools wie Wiz oder Prisma Cloud gewöhnt sind, wird Ihnen dies im Vergleich dazu umständlich vorkommen. Da es sich außerdem nur um ein Abonnement handelt und der Entwickler unbekannt ist, ist das Vertrauen ein kleiner Sprung.

Fazit

Wenn Sie für die Sicherung von OT-Webanwendungen in der Energie-, Versorgungs- oder Schwerindustrie verantwortlich sind und Einblick in Ihre Angriffsfläche benötigen, ist dies einen Blick wert. Es ist nicht auffällig, aber es erledigt den Job, wenn Sie es mit Legacy-Systemen zu tun haben, die ständig gefährdet sind. Aber wenn Sie ein Solo-Entwickler sind oder gerade erst mit der OT-Sicherheit beginnen, überspringen Sie es – es gibt bessere Lösungen. Für seine Nische bietet Tenable OT Security for Web Apps for Web-apps jedoch gute Ergebnisse, ohne zu viel zu versprechen. Gehen Sie mit offenen Augen hinein, aber schlafen Sie nicht darauf.