Eliminierung der Angriffsfläche: Aufbau eines privaten Backbones ohne öffentliche Exposition für industrielle IoT-Telemetrie
Wichtige Herausforderungen
Für industrielle Energiesysteme und Ladeinfrastrukturen für Elektrofahrzeuge ist die Übertragung missionskritischer Telemetriedaten über das öffentliche Internet ein hohes Risiko. Unser Kunde stand vor der Herausforderung, Tausende von verteilten Feldgeräten anzubinden und dabei strenge Sicherheitsauflagen des Unternehmens zu erfüllen. Sie mussten die Anbindung an das öffentliche Internet komplett vermeiden, um unbefugten Zugriff, Datenabfang und potenzielle laterale Bewegungen in ihre Cloud-Umgebung zu verhindern.
Wichtige Ergebnisse
Ankercloud implementierte eine „Security-by-Design“-Architektur, die Private-APN-Konnektivität mit einem verschlüsselten IPsec-VPN-Tunnel direkt in die Google Cloud kombinierte. Diese Lösung bot 100 % Netzwerkisolation, wodurch sichergestellt wurde, dass kein einziges Telemetrie-Paket das öffentliche Internet berührte. Durch den Einsatz von AES-256-Verschlüsselung und SIM-basierter Authentifizierung erreichte der Kunde industrielle Zuverlässigkeit und eine skalierbare Grundlage für die globale Einhaltung gesetzlicher Vorschriften.
Übersicht
In der Welt des industriellen IoT (IIoT) ist Konnektivität einfach, aber sichere Konnektivität ist komplex. Für regulierte Branchen, die Anlagen wie netzgekoppelte Batterien oder mobile Stromversorgungsgeräte verwalten, sind Sicherheit und Verfügbarkeit nicht verhandelbar. Unser Kunde benötigte ein privates, verschlüsseltes Telemetrie-Backbone, das mit ihrer wachsenden Flotte industrieller Anlagen skalieren konnte, ohne die Integrität ihrer Google Cloud-Umgebung zu beeinträchtigen.
Herausforderungen
Die bestehende Einrichtung des Kunden basierte auf standardmäßiger Mobilfunkkonnektivität, was mehrere kritische Reibungspunkte mit sich brachte:
- Exposition gegenüber dem öffentlichen Internet: Geräte waren im Wesentlichen für das Web „sichtbar“, was eine massive Angriffsfläche für potenzielle Angreifer schuf.
- Mangelnde Netzwerkisolation: Es gab keinen dedizierten privaten Tunnel zwischen den Feldgeräten und der cloudbasierten Verarbeitungsschicht.
- Authentifizierungslücken: Sich ausschließlich auf die Sicherheit auf Anwendungsebene zu verlassen, reichte für ihre Compliance-Audits auf Unternehmensebene nicht aus.
- Anforderungen an statische Konnektivität: Ohne statische IP-Adressierung innerhalb einer privaten Domäne war die Verwaltung von Diagnosen und die Remote-Bereitstellung über eine globale Flotte hinweg nahezu unmöglich.
Lösung
Ankercloud entwickelte eine mehrschichtige private Kommunikationsschicht, die das Mobilfunknetz des Anbieters und die Google Cloud VPC sicher überbrückt.
- Privates APN-Backhaul: Wir haben alle Geräte in ein vom Anbieter kontrolliertes privates APN verschoben. Dies stellt sicher, dass der gesamte Datenverkehr innerhalb einer geschlossenen Routing-Domäne verbleibt – zu keinem Zeitpunkt verlassen die Daten das öffentliche Internet.
- IPsec-VPN-Tunneling: Wir haben einen sicheren Site-to-Site-IPsec-VPN-Tunnel zwischen dem Gateway des Anbieters und Google Cloud VPN.Mithilfe von IKEv2 mit AES-256-Verschlüsselung und definierter CIDR-Segmentierung stellten wir sicher, dass jedes Datenpaket auf der Netzwerkschicht verschlüsselt wird, bevor es überhaupt übertragen wird.
- Statische IP & SIM-Authentifizierung: Jedes Gerät erhält eine statische private IP-Adresse, was eine sichere, bidirektionale Kommunikation für Diagnose und Bereitstellung ermöglicht.
- Internes Load Balancing auf GCP: Der Traffic gelangt in die private GCP VPC und wird über einen Internen TCP Load Balancergeleitet. Dies stellt sicher, dass der MQTT-Broker niemals einer öffentlichen IP-Adresse ausgesetzt ist.
- Kubernetes-basierte Verarbeitung: Telemetriedaten werden von einem regionalen Google Kubernetes Engine (GKE) Cluster erfasst und über Kafka verarbeitet, was eine hochverfügbare, Cloud-native Umgebung für Echtzeit-Analysen bietet.
Geschäftsergebnis
Durch den Wechsel zu einem privaten, verschlüsselten Telemetrie-Backbone verbesserte der Kunde seine Sicherheitslage von „anfällig“ zu „unternehmensreif“:
- Absolute Netzwerk-Privatsphäre: Keine öffentliche Internet-Routing-Exposition reduzierte die Angriffsfläche erheblich und erfüllte strenge CISO- und Compliance-Anforderungen.
- Vertraulichkeit nach Industriestandard: AES-256-Verschlüsselung stellt sicher, dass selbst im unwahrscheinlichen Fall eines Abfangens die Daten unlesbar bleiben.
- Betriebliche Kontrolle: SIM-basierte Authentifizierung und statische IP-Adressierung ermöglichten eine nahtlose Fernverwaltung von Geräten und Fehlerbehebung.
- Nahtlose Skalierbarkeit: Die Architektur ist kompatibel mit NB-IoT und LTE-M, was eine globale Expansion durch Partnerschaften mit Netzbetreibern ermöglicht, ohne das Sicherheitsmodell neu gestalten zu müssen.
- Cloud-native Agilität: Durch die Integration von GKE und Kafka kann der Kunde nun fortschrittliche Echtzeitanalysen auf einer sicheren, automatisch skalierenden Infrastruktur durchführen.
