Sollte das OT-Netz vom Büronetz getrennt sein?
Ja. Die meisten Angriffe, die eine Produktion stoppen, beginnen im Büronetz, über E-Mail, ein gestohlenes Passwort oder den Zugang eines Dienstleisters, und ein flaches Netz lässt sie direkt bis zu den Steuerungen durch. Trennung muss keinen Air Gap bedeuten. Das übliche Design setzt eine Firewall zwischen Büro und Produktion, mit einer kleinen demilitarisierten Zone (DMZ) dazwischen für Systeme, die beide Seiten brauchen, etwa eine Historian-Kopie, einen Patch-Server oder das Gateway für den Fernzugang, und ohne direkte Verbindung von einem Büro-PC zu einer Steuerung. Erfassen Sie zuerst die Verbindungen, die die Produktion wirklich braucht, lassen Sie nur diese zu und protokollieren Sie, was abgewiesen wird. Prüfen Sie danach, ob die Trennung in der Praxis hält, denn Ausnahmen sammeln sich an. Ab dem Pro-Plan alarmiert NetSenX, wenn Verkehr Ebenen des Werksnetzes überschreitet, etwa von einem Büro-Host direkt zu einer Steuerung, auf Basis eines SPANSPAN: Switch Port Analyzer (Spiegelport). Eine Switch-Einstellung, die eine Kopie des Verkehrs an einen Port schickt, wo ein Sensor ihn beobachten kann.- oder TAPTAP: Test Access Point. Ein kleines Gerät, das den Verkehr auf einem Netzwerkkabel für einen Sensor kopiert.-Ports.
Weiterlesen
Verwandte Fragen
- Was ist das Purdue-Modell, und warum zählt Verkehr über Ebenen hinweg?
- Wie prüfe ich, dass unser Büronetz die Produktionssteuerungen nicht erreicht?
- Kann ein Ransomware-Angriff auf die Büro-IT eine Produktionslinie stoppen?
- Wie kontrollieren wir Wartungs-Notebooks, die sich mit dem Produktionsnetz verbinden?
- Können wir sehen, mit welchen Steuerungen das Notebook eines Servicetechnikers gesprochen hat?
Begriffe auf dieser Seite
- SPAN (Switch Port Analyzer (Spiegelport))
- Eine Switch-Einstellung, die eine Kopie des Verkehrs an einen Port schickt, wo ein Sensor ihn beobachten kann.
- TAP (Test Access Point)
- Ein kleines Gerät, das den Verkehr auf einem Netzwerkkabel für einen Sensor kopiert.