OT Security Professional Training
Vier Tage von der Steuerung bis zur Meldepflicht. Komponenten und Protokolle, Angriffswege, IEC 62443 und NIS-2, Netzarchitektur, Angriffserkennung und Vorfallreaktion. Die Übungen laufen in einem virtuellen Wasserwerk, das durch alle vier Tage führt.
Auf einen Blick
Der OT Security Professional ist unser Einstiegstraining in die Sicherheit industrieller Anlagen. Vier Tage, 32 Unterrichtseinheiten, auf Deutsch. Tag 1 behandelt den Aufbau einer Anlage, Tag 2 ihre Protokolle und die Angriffe darauf, Tag 3 IEC 62443 und die Regulatorik, Tag 4 Angriffserkennung und Vorfallreaktion. Rund 40 Prozent der Zeit arbeiten Sie selbst, überwiegend in einem virtuellen Wasserwerk, das als Beispiel durch alle vier Tage läuft.
- Dauer. Vier Tage, 32 Unterrichtseinheiten zu 45 Minuten.
- Format. Inhouse für ein Unternehmen, remote oder vor Ort. Oder als offener Termin für Einzelne, remote.
- Sprache. Deutsch.
- Praktische Arbeit. Rund 40 Prozent, vier geführte Übungen und eine Notfallübung.
- Abschluss. Notfallübung und Teilnahmebescheinigung.
- Voraussetzungen. Grundlegende IT- und Netzwerkkenntnisse, Grundkenntnisse in IT-Sicherheit. Automatisierungstechnik nicht.
Termine stimmen wir auf Anfrage ab, für Inhouse wie für offene Durchführungen.
An wen sich das Training richtet
- OT-Verantwortliche
- Automatisierungsingenieurinnen und -ingenieure
- IT- und Cybersecurity-Fachleute, die mit OT-Umgebungen arbeiten oder künftig arbeiten werden
- Auditorinnen und Auditoren
- Beratende
Vorausgesetzt werden grundlegende IT- und Netzwerkkenntnisse sowie Grundkenntnisse in IT-Sicherheit. Automatisierungstechnik ist nicht erforderlich.
Danach können Sie
- IT- und OT-Sicherheit voneinander abgrenzen und die Wechselwirkungen zwischen Safety und Security einordnen
- OT-Komponenten, Kommunikationsprotokolle und typische Schwachstellen in Architekturen einordnen
- OT-Angriffe, Bedrohungsakteure und Lieferkettenrisiken mit ihren Auswirkungen einordnen und MITRE ATT&CK for ICS anwenden
- IEC 62443, ISO 27019, NIST SP 800-82, CIS Controls und die BSI-Empfehlungen sowie NIS-2, KRITIS und den Cyber Resilience Act zuordnen
- die Funktionsweise eines OT-IDS beschreiben und die Reaktion auf OT-Vorfälle strukturieren
- die Bausteine eines OT-Sicherheitsmanagements in Ihrer Organisation einordnen, vom Managementsystem über Assessments und Awareness bis zur Vorfallreaktion
Der Professional vermittelt das Verständnis für Konzeption, Bewertung und Steuerung von OT-Sicherheit. Wer Angriffe auf Industrieprotokolle selbst ausführen, Erkennungsregeln schreiben und forensisch arbeiten will, ist im dreitägigen Präsenztraining OT Security Expert richtig, das auf dem Professional aufbaut.
Die Anlage ist keine eigene Welt mehr
Industrielle Anlagen waren jahrzehntelang für sich. Fernwartung durch den Hersteller, Produktionsdaten im ERP, Funkstrecken zu Außenstandorten, ein Servicelaptop im Schaltschrank. Die Anlage hängt heute an der IT, meist an mehreren Stellen gleichzeitig.
Stuxnet, die Stromausfälle in der Ukraine, Triton, Colonial Pipeline und FrostyGoop zeigen dieselbe Entwicklung. Am Anfang standen Staaten mit jahrelanger Vorbereitung. Inzwischen genügt Ransomware, die auf die Produktion gar nicht gezielt hat, um sie anzuhalten. FrostyGoop brauchte 2024 nur Modbus TCP, um in Lwiw mitten im Winter die Fernwärme abzustellen.
Behandeln lässt sich eine Anlage trotzdem nicht wie ein Serverraum. Verfügbarkeit steht vor Vertraulichkeit. Ein Patch wartet auf ein Wartungsfenster, ein Neustart kostet Produktion.
Unterrichtsform und Laborumgebung
Rund 55 Prozent der Zeit sind Vortrag mit Diskussion, rund 40 Prozent praktische Arbeit. Der Rest geht in Reflexion und Quiz, mit denen jeder Tag endet. Das Quiz dient Ihrem eigenen Lernstand und wird nicht bewertet.
Durch alle vier Tage läuft dieselbe Anlage. Komponenten, Protokolle, Angriffe, Schutzmaßnahmen und Vorfallreaktion werden an diesem einen Beispiel besprochen, sodass sich das Bild über die vier Tage zusammensetzt.
Das OT-Labor bildet drei Ebenen des Purdue-Modells ab. Auf der Feldebene stehen Sensoren, Tanks, Pumpen, Antriebe und Schieber. Die Steuerungsebene kommuniziert über Modbus TCP und OPC UA. Auf der Leitebene liegen ein OPC-UA-Client und die Bedienoberfläche. Die Notfallübung am vierten Tag läuft am Simulator der Modellstadt YekCity.
Woran sich das zeigt, erleben Sie an Tag 2. Sie verändern über Modbus einen Prozesswert. Der Schreibbefehl braucht keine Anmeldung. Die Anzeige in der Leitwarte bleibt dabei plausibel.
Tag 1: OT Security Grundlagen
Ziel des Tages: IT- und OT-Sicherheit abgrenzen, OT-Komponenten im Purdue-Modell verorten und die Rollen in OT-Sicherheitsprojekten zuordnen.
- OT- und IT-Sicherheit. Schutzziele, Lebenszyklen, Betriebsphilosophie und die Grenzen klassischer IT-Sicherheit in der OT
- Safety und Security. Wie beide zusammenhängen und wo sie einander in die Quere kommen
- Rollen. Betreiber, Integrator, Hersteller, Servicedienstleister und Informationssicherheitsbeauftragte. Dazu die Stellen, an denen zwischen ihnen Verantwortung verloren geht
- Aufbau industrieller Produktionsanlagen. Vom Prozess zur Leitebene
- Komponenten. SPS, RTU, HMI, SCADA, DCS, Historian, Engineering-Workstation, sicherheitsgerichtete Systeme, Gebäudeautomation, Zutrittskontrolle, IEDs und IIoT, an Beispielen von Siemens, Rockwell, Schneider, Phoenix Contact und WAGO
- Purdue-Modell nach ISA-95. Die Ebenen und die Übergänge zwischen IT und OT
- Übung. Erkundung des virtuellen Wasserwerks
Tag 2: Modbus, S7, OPC UA und die Angriffe darauf
Ziel des Tages: Industrieprotokolle und ihre Schwächen benennen, Bedrohungsakteure und Angriffswege einordnen und reale Vorfälle mit MITRE ATT&CK for ICS analysieren.
- Protokolle. Modbus TCP und RTU, S7 und S7+, OPC UA, Profinet und Industrial Ethernet
- Fernwirktechnik. IEC 60870-5-104 und IEC 61850 im Überblick
- Feldbusse. Modbus RTU, CAN-Bus und Profibus DP
- Schwachstellen. In Komponenten, in Protokollen und in Architekturen
- Werkzeuge. Wireshark mit ICS-Dissektoren und ein OPC-UA-Client
- Bedrohungsakteure. Staatliche Gruppen, Ransomware, Hacktivisten und Innentäter
- Angriffswege. Lieferkettenrisiken, Cyber Kill Chain und MITRE ATT&CK for ICS
- Fallstudien. Stuxnet, die Stromausfälle in der Ukraine, Triton, Industroyer, NotPetya, Colonial Pipeline, FrostyGoop und Pipedream
- Folgen von OT-Vorfällen. Physisch, finanziell, regulatorisch und für die Reputation
- Übung. Analyse von Netzwerkmitschnitten aus dem virtuellen Wasserwerk
- Übung. Manipulation eines Prozesswerts über Modbus und die Auswirkung an der Bedienoberfläche
Tag 3: IEC 62443, Regulatorik und Netzarchitektur
Ziel des Tages: Standards und Frameworks zuordnen, die regulatorischen Anforderungen und Meldewege im deutschen Markt benennen und die Grundprinzipien sicherer OT-Netzarchitektur beschreiben. Dazu gehört auch, was das KRITIS-Dachgesetz von einem Betreiber verlangt.
- IEC 62443. Zonen, Conduits und Security Levels
- Weitere Rahmenwerke. ISO 27001 und ISO 27019, NIST CSF 2.0, NIST SP 800-82, CIS Controls und das ICS-Security-Kompendium des BSI. Dazu, wie sie zusammenhängen
- Typische Richtlinien. Patch-Management, Backup, Vorfallreaktion und Awareness
- Recht. NIS-2, KRITIS-Dachgesetz, IT-Sicherheitsgesetz, Cyber Resilience Act und die branchenspezifischen Sicherheitsstandards B3S
- Meldewege und Fristen. Wer wann an wen meldet
- Netzsegmentierung. Entlang der Purdue-Ebenen, mit industrieller DMZ und der Kommunikation zwischen Zonen
- Weitere Zugänge. WLAN, USB, mobile Geräte und Modems, also die Wege, die an der Segmentierung vorbeiführen
- Fernzugriff. VPN, Jump Hosts, Bastion-Architekturen, Fernwartung durch Hersteller und Zero Trust in der OT
- Übung. Skizze eines Zonen- und Conduit-Konzepts
Tag 4: Schutz, Angriffserkennung und Vorfallreaktion
Ziel des Tages: die Bausteine technischer OT-Sicherheit benennen, Funktionsweise und Auswahl von OT-IDS und SIEM beschreiben, die Vorfallreaktion strukturieren und einen realen Angriff in einer simulierten Vorfallsituation analysieren.
- Asset-Erfassung. Passive und aktive Verfahren, Werkzeugkategorien und die Datenqualität im Inventar
- Härtung. Patch-Management, Virenschutz, Whitelisting und EDR in der OT
- Backup und Wiederherstellung. Einschließlich der SPS-Programmstände, dazu Authentifizierung, Berechtigungen und physische Sicherheit
- Angriffserkennung. Netzwerk- und hostbasierte IDS, passive Erfassung über SPAN und TAP, anomalie- und signaturbasierte Erkennung, Auswahlkriterien und die Abgrenzung zum SIEM
- Use Cases. Nach MITRE ATT&CK for ICS, mit Threat Intelligence als Grundlage
- Vorfallreaktion. Phasen und Pläne, der Vorrang der Safety, Eindämmung ohne Produktionsstopp, das Zusammenspiel von IT-Sicherheit, OT-Engineering und Geschäftsleitung, externe Unterstützung, Krisenkommunikation und Dokumentation
- Playbooks und Wiederanlaufplanung
- Meldepflichten. Nach NIS-2 und für KRITIS-Betreiber
- Assessments. Gap-Analyse, Schwachstellenanalyse und OT-Penetrationstests
- Notfallübung. Rund 90 Minuten, verteilte Rollen, am YekCity-Simulator, mit Auswertung
Notfallübung und Bescheinigung
Nach der Notfallübung am vierten Tag erhalten Sie eine Teilnahmebescheinigung von Yekta IT. Sie weist den Umfang von 32 Unterrichtseinheiten aus, dazu die Inhalte und die Notfallübung. Als Schulungsnachweis nach NIS-2 ist sie verwendbar. Ob sie im Einzelfall genügt, entscheidet Ihre Aufsicht.
Das OT Security Training ist deutschsprachig und auf die deutsche und europäische Regulatorik ausgerichtet, also auf NIS-2, das KRITIS-Dachgesetz, die B3S und die Empfehlungen des BSI.
Formate
Beide Wege laufen auf Deutsch. Das Remote-Training läuft über eine Online-Sitzung. Das virtuelle Wasserwerk steht dabei allen Teilnehmenden offen.
Inhouse-Schulung
Für ein Team aus Ihrem Haus, remote oder bei Ihnen vor Ort. Den Termin vereinbaren wir nach Absprache. Die Beispielanlage wählen Sie, Wasserwerk oder Umspannwerk, passend zu Ihrer Branche.
Offener Termin
Für einzelne Teilnehmende, remote. Termine stimmen wir auf Anfrage ab. Nennen Sie uns im Formular weiter unten Ihren Wunschzeitraum.
Trainer
Häufige Fragen
Das hängt am Format, an der Teilnehmerzahl und daran, ob wir zu Ihnen kommen. Tragen Sie sich unten ein, dann bekommen Sie Konditionen und einen Ansprechpartner.
Termine stimmen wir auf Anfrage ab, für Inhouse wie für offene Durchführungen. Nennen Sie uns im Formular Ihren Wunschzeitraum, dann melden wir uns mit konkreten Terminen.
Acht bis zwölf Personen. Größere Gruppen teilen wir auf zwei Termine auf.
Nein. Grundlegende IT- und Netzwerkkenntnisse genügen, dazu Grundkenntnisse in IT-Sicherheit. Das Training beginnt bei der Frage, was eine Steuerung von einem Server unterscheidet.
Inhouse unterrichten wir bei Ihnen, geübt wird aber im virtuellen Wasserwerk. Ihre eigene Anlage fassen wir dabei nicht an. Wenn Sie die geprüft haben wollen, ist das ein OT-Penetrationstest.
Der Professional vermittelt das Verständnis für Konzeption, Bewertung und Steuerung von OT-Sicherheit. Der Expert ist dreitägige Präsenzarbeit am Gerät, mit Angriffen auf Industrieprotokolle und eigenen Erkennungsregeln. Er baut auf dem Professional auf.
Die Bescheinigung weist Umfang, Inhalte und die Notfallübung aus und ist als Nachweis regelmäßiger Schulung verwendbar. Ob sie im Einzelfall genügt, entscheidet Ihre Aufsicht.
Das OT Security Training läuft auf Deutsch. Für eine englische Durchführung sprechen Sie uns an.
Termine und Konditionen anfragen
Sagen Sie uns Format und Teilnehmerzahl. Sie bekommen Termine, Konditionen und einen Ansprechpartner.