OT / ICS

OT-Netzwerküberwachung ohne Eingriff in die Steuerungen

Passive OT-Netzwerküberwachung heißt, industriellen Verkehr aus einer Kopie zu lesen, die an einem SPAN-Port oder einem Netzwerk-TAP abgegriffen wird, ohne ein einziges Paket an eine SPS, RTU oder einen SCADA-Server zu senden. Auf den Steuerungen wird nichts installiert und nichts verändert. Deshalb ist das der übliche Weg, Produktionsnetze sichtbar zu machen, die sich nicht beliebig patchen, neu starten oder scannen lassen.

Der Fakt, mit dem Sie planen sollten

Am 1. Dezember 2023 berichteten CISA und Partnerbehörden im Advisory AA23-335A, dass IRGC-nahe Akteure SPS von Unitronics in Wasser- und Abwasseranlagen in den USA kompromittiert hatten. Die SPS waren vermutlich aus dem Internet erreichbar und nutzten noch das Standardpasswort des Herstellers.

Quelle: CISA and partners — Advisory AA23-335A (IRGC-affiliated actors exploit PLCs in multiple sectors, including US water and wastewater facilities), 1 December 2023

So funktioniert passive OT-Überwachung

Das Prinzip ist einfach: einer Kopie des Verkehrs zuhören, nie mit den Geräten sprechen.

  1. 01Spiegeln statt abfragen

    Ein SPAN-Port am Industrie-Switch oder ein passiver TAP an der Leitung schickt eine Kopie des Verkehrs an den Sensor. Der Sensor hört nur zu; er fragt nie ein Gerät ab und kann deshalb keinen Prozess stören.

  2. 02Die Industrieprotokolle lesen

    Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP und S7comm transportieren Lese- und Schreibzugriffe sowie Befehle in Strukturen, die ein Sensor dekodieren kann. So wird sichtbar, welche Station mit welcher Steuerung spricht und was sie verlangt.

  3. 03Die Grenze zwischen IT und OT im Blick behalten

    Viele OT-Vorfälle beginnen im Büronetz. Verkehr, der von der IT ins Steuerungsnetz wechselt, oder eine Steuerung, die plötzlich ins Internet spricht, verdient Aufmerksamkeit.

  4. 04OT-Geräte aus aktiven Scans heraushalten

    Aktive Schwachstellenscans und Erkennungsproben können ältere Steuerungen aus dem Tritt bringen. Nehmen Sie als OT eingestufte Geräte davon aus; NetSenX fragt sie nie ab.

Was NetSenX heute leistet

  • Liest ab dem Pro-Plan Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP und S7comm aus der passiven Erfassung an einem SPAN- oder TAP-Port. Die OT-Alarme, die es auslöst: ein Schreibzugriff auf eine Steuerung von einem Host, der nicht schreiben darf, Verkehr über Purdue-Ebenen hinweg, OT-Aktivität außerhalb der Arbeitszeit und S7comm-Befehle.
  • Fragt als OT eingestufte Geräte nie aktiv ab, es gibt also kein Risiko für SPS oder SCADA.
  • Zeigt OT-Verkehr im selben Dashboard wie das IT-Netzwerk, mit einer verständlichen Erklärung zu jedem Alarm und der Verfolgung der Fristen aus Art. 23 NIS2 bei Vorfällen.
  • Läuft als Software auf einem Host Ihrer Wahl, der am Spiegelport hängt: Eine NetSenX-Appliance müssen Sie nicht kaufen, und ein Agent, der ein Segment beobachtet, zählt als ein Gerät.

Was NetSenX nicht leistet

NetSenX ändert keine Steuerungskonfiguration, spielt keine Firmware ein und blockiert keine Industriebefehle; es ist auch kein Sicherheitssystem im Sinne der funktionalen Sicherheit: Es informiert Ihre Ingenieure, es greift nicht in den Prozess ein. Es liest die fünf Industrieprotokolle, die auf dieser Seite stehen; fragen Sie uns, bevor Sie sich auf ein anderes verlassen. Es sieht nur die Segmente, die Sie zu ihm spiegeln, und serielle Feldbusse, die nie das Ethernet erreichen, liegen außerhalb seiner Sicht. Einen eigenen Anomaliealarm je Industrieprotokoll gibt es nicht.

Fragen von Käufern

Kann man ein OT-Netzwerk überwachen, ohne die SPS zu beeinflussen?

Ja, mit passiver Überwachung: Der Sensor liest eine Kopie des Verkehrs von einem SPAN-Port oder TAP und schickt nie etwas an die Steuerungen. So arbeitet NetSenX ab dem Pro-Plan, und als OT eingestufte Geräte fragt es nie aktiv ab.

Welche Industrieprotokolle liest NetSenX?

Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP und S7comm, aus passiver Erfassung, im Pro-Plan und darüber.

Brauche ich an jedem Standort eine Hardware-Appliance?

Eine NetSenX-Appliance ist nicht nötig: Der Agent ist Software auf einem Host Ihrer Wahl. Ein Agent an einem SPAN- oder TAP-Port beobachtet das ganze Segment und zählt als ein Gerät.

Erfasst NIS2 auch OT-Netze?

NIS2 gilt für Einrichtungen in Sektoren wie Energie, Verkehr, Trinkwasser, Gesundheit und Herstellung bestimmter Waren (Anhänge I und II der Richtlinie (EU) 2022/2555). Die Maßnahmen aus Art. 21 betreffen die Netz- und Informationssysteme, die eine Einrichtung für ihren Betrieb nutzt, und dazu können OT-Systeme gehören. Klären Sie den Geltungsbereich mit Ihrer nationalen Behörde.

Quellen

  1. CISA and partners — Advisory AA23-335A (IRGC-affiliated actors exploit PLCs in multiple sectors, including US water and wastewater facilities), 1 December 2023
  2. Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex

Diese Seite dient der allgemeinen Information und ist keine Rechtsberatung. Klären Sie Ihre Pflichten mit Ihrer nationalen Behörde oder Ihrer Rechtsberatung.

Verwandte Seiten

NetSenX im eigenen Netzwerk testen

Starten Sie mit dem Free-Plan für bis zu 3 Geräte oder buchen Sie eine 20-minütige Demo.

Preise ansehenDemo buchen