OT e IoT

Sì, dal piano Pro. NetSenX legge Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm tramite cattura passiva su una porta SPAN o TAP. I dispositivi classificati come OT non vengono mai interrogati attivamente, quindi nessun rischio per PLC e sistemi SCADA.

Sì, con il monitoraggio passivo: il sensore legge una copia del traffico da una porta SPAN o da un TAP e non invia mai nulla ai controllori. NetSenX funziona così dal piano Pro e non sonda mai attivamente i dispositivi classificati come OT.

Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm, tramite cattura passiva, nel piano Pro e superiori.

Non serve alcuna appliance NetSenX: l'agente è software che gira su un host a Sua scelta. Un agente collegato a una porta SPAN o TAP osserva l'intero segmento e conta come un solo dispositivo.

La NIS2 si applica ai soggetti di settori come energia, trasporti, acqua potabile, sanità e fabbricazione di determinati prodotti (allegati I e II della direttiva (UE) 2022/2555). Le misure dell'articolo 21 riguardano i sistemi informativi e di rete che un soggetto usa per le proprie attività, e tra questi possono esserci i sistemi OT. Verifichi l'ambito con la Sua autorità nazionale.

Il monitoraggio passivo no, perché ascolta soltanto una copia del traffico e non invia mai nulla ai controllori. La scansione attiva è un'altra cosa: alcuni PLC e unità remote più vecchi si bloccano, si riavviano o vanno in errore quando uno strumento di rilevamento dei dispositivi o uno scanner di vulnerabilità li interroga, ed è per questo che molti stabilimenti tengono gli scanner lontani dalla rete di controllo. Prenda la copia da una porta SPAN di uno switch industriale o da un TAP di rete passivo, e verifichi con il produttore dello switch che il mirroring non sovraccarichi un modello vecchio. NetSenX legge Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm tramite cattura passiva, dal piano Pro, e non sonda mai attivamente i dispositivi classificati come OT. Sui controllori non si installa nulla e nessuna delle loro impostazioni cambia.

Sì. Telecamere, stampanti, controller delle porte, schermi e sensori sono spesso vecchi, aggiornati di rado e impossibili da dotare di un agente, il che li rende una via d'ingresso frequente e un buon nascondiglio per un attaccante già dentro. Cominci dai passi gratuiti: li censisca, cambi le password predefinite, aggiorni il firmware, disattivi le funzioni cloud che non usa e li metta in un segmento di rete dedicato, con regole che consentano solo ciò che serve. Il monitoraggio Le dice poi se quelle regole reggono. Un sensore in quel segmento ne vede il traffico senza toccare i dispositivi; NetSenX rileva da essi scansioni, beaconing e volumi in uscita insoliti, in ogni piano, e la mappa di rete elenca i dispositivi che vede comunicare. Un dispositivo che resta in silenzio, o che si trova in un segmento senza mirroring, rimane fuori vista.

Minore, ma sì. Una rete locale virtuale (VLAN) separata aiuta solo se le regole tra essa e il resto della rete sono rigorose, e telecamere e videoregistratori ricevono spesso eccezioni ampie perché il personale possa guardare le immagini da qualsiasi PC o telefono. Inoltre di solito hanno bisogno di internet per app e aggiornamenti, che è anche una via d'uscita per un attaccante. Consenta solo alla postazione di visione o al server video di raggiungere le telecamere, impedisca alla VLAN delle telecamere di raggiungere tutto il resto, blocchi l'accesso a internet che non serve, cambi le password predefinite e aggiorni il firmware. Un sensore su quella VLAN ne vede il traffico; NetSenX rileva da esse scansioni, beaconing e volumi in uscita insoliti, in ogni piano, così una telecamera che inizia a contattare nuove destinazioni si nota subito.

Osservando il traffico da e verso i controllori, perché un controllore logico programmabile (PLC) non tiene quasi alcun registro di sicurezza proprio. I segnali utili sono semplici: una scrittura o un download di programma da un computer che non è la Sua stazione di ingegneria, un comando di arresto o avvio non previsto, PC d'ufficio che parlano direttamente con i controllori e attività di notte o nel fine settimana, quando nessuno lavora sulla linea. Cominci dai passi gratuiti: annoti quali stazioni possono programmare ciascun PLC, verifichi che la rete d'ufficio non raggiunga la rete di controllo e lasci i selettori di modalità dei controllori su RUN, se il Suo hardware li prevede. Dal piano Pro NetSenX legge Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm da una porta SPAN o TAP e genera quattro tipi di avviso OT: scritture non autorizzate, traffico che attraversa i livelli della rete di stabilimento, attività OT fuori orario e comandi S7comm. Non sonda mai i controllori e non vede i collegamenti seriali né i segmenti senza mirroring.

Perché non ha né autenticazione né cifratura: qualsiasi dispositivo che raggiunga un controllore Modbus/TCP può leggerne i valori e, se il controllore stesso non lo limita, scriverne bobine e registri. Modbus è nato nel 1979 per collegamenti seriali tra dispositivi fidati, molto prima che le reti di controllo venissero unite alle reti d'ufficio e a internet. Esiste una variante protetta con TLS, ma pochi dispositivi installati la supportano. In pratica Modbus si protegge dall'esterno: la porta 502 non deve essere esposta su internet, solo host di ingegneria e SCADA ben individuati devono raggiungere i controllori, e conviene usare qualsiasi protezione in scrittura offerta dal PLC. Poiché il traffico non è cifrato, un sensore passivo può leggere quale stazione legge da quale controllore o vi scrive. NetSenX lo fa dal piano Pro e genera un avviso quando invia una scrittura un host non autorizzato a scrivere; non modifica il protocollo e non blocca il comando.

Le serve qualcosa che legga il protocollo industriale in rete e sappia quali host possono scrivere, perché il PLC di norma accetta la scrittura senza obiezioni e non registra nulla. Prima annoti quali stazioni devono poter cambiare un'impostazione: di solito una o due workstation di ingegneria e i server SCADA o HMI. Poi faccia rispettare questa regola dalla rete dove possibile, con regole firewall che lascino raggiungere i controllori solo da quegli host. Il monitoraggio copre ciò che le regole non vedono: un portatile collegato alla linea, un PC d'ufficio con un instradamento dimenticato, un malware su una stazione autorizzata. Dal piano Pro NetSenX legge le richieste di scrittura tramite cattura passiva su una porta SPAN o TAP e genera un avviso quando una scrittura arriva da un host non autorizzato, indicando origine, controllore, funzione e ora. Non registra il valore scritto né chi sedeva alla tastiera.

Quelli che indicano un cambiamento nel processo: una scrittura o un download di programma da un computer inatteso, un controllore arrestato, avviato o messo in un'altra modalità, traffico d'ufficio che raggiunge il livello di controllo, e tutto questo fuori dall'orario di lavoro. Nel funzionamento normale sono eventi rari, quindi ciascuno merita una telefonata al responsabile della linea. Anche gli avvisi su volumi o nuove destinazioni contano, ma sul lato IT, dove inizia la maggior parte degli attacchi agli stabilimenti. Stabilisca in anticipo chi riceve gli avvisi OT, in quanto tempo qualcuno li guarda e che nessuno scolleghi un host di produzione senza sentire il capoturno, perché un distacco brusco può costare più dell'avviso. Dal piano Pro NetSenX genera proprio questi avvisi OT: scritture non autorizzate, traffico che attraversa i livelli della rete di stabilimento, attività OT fuori orario e comandi S7comm, accanto agli avvisi di beaconing, scansioni, movimento laterale e volumi in uscita insoliti che genera su tutti i piani.

Unendo un registro di quando i Suoi tecnici lavorano davvero sui controllori a un sensore che veda in rete i download di programma e le scritture. Una modifica al programma alle 2:00 di domenica non prova un attacco, perché la manutenzione si fa spesso a linea ferma, ma la mattina dopo qualcuno dovrebbe saperla spiegare. Tenga un semplice registro delle modifiche con le finestre di manutenzione previste, lo confronti con ciò che mostra la rete e conservi offline una copia verificata del programma di ogni PLC per poter confrontare e ripristinare. Alcuni controllori sanno anche segnalare al sistema SCADA una modifica del programma. Dal piano Pro NetSenX segnala l'attività OT fuori orario e decodifica le richieste S7comm, come il download di un blocco di programma con il suo nome, da una porta SPAN o TAP. Non legge il contenuto del programma e non confronta versioni; questo è compito del Suo software di ingegneria.

Sì, quando il comando di arresto viaggia in rete in S7comm, il protocollo che i controllori Siemens S7 usano per programmazione e diagnostica. S7comm non è cifrato, quindi un sensore passivo che riceve una copia del traffico può decodificare la richiesta come arresto, insieme al computer che l'ha inviata e all'ora. Un arresto dato con il selettore o il pannello del controllore stesso non passa mai dalla rete, quindi nessun sensore lo vede. I controllori più recenti possono usare un successore protetto, S7comm-plus; ci chieda prima di affidarsi a NetSenX per quel traffico. Dal piano Pro NetSenX decodifica le richieste S7comm in nomi di comando come arresto del PLC, scrittura di variabile o download di un blocco di programma e genera un avviso di comando S7comm da una porta SPAN o TAP, senza inviare nulla al PLC. Informa i Suoi tecnici; non blocca il comando.

Può mostrare quale computer ha inviato la scrittura e quando, e di solito basta per risalire alla persona. La maggior parte dei protocolli industriali non trasporta un nome utente, quindi la rete conosce solo l'indirizzo di origine. Il legame con una persona si ricava dall'audit trail dell'HMI o dello SCADA, dal log del software di ingegneria e dai turni. Perché sia possibile in seguito, dia a ogni stazione di ingegneria un indirizzo fisso, richieda accessi nominativi su HMI e SCADA e conservi i loro log quanto la documentazione di qualità. Dal piano Pro NetSenX legge le scritture tramite cattura passiva su una porta SPAN o TAP e, quando chi scrive non è autorizzato, genera un avviso con host di origine, controllore, codice funzione e ora. Non registra il valore scritto e non identifica mai una persona: osserva dispositivi e connessioni, non persone.

No. NetSenX registra che c'è stata una scrittura, da quale host, verso quale controllore, con quale codice funzione e a che ora, ma non il valore scritto né il contenuto di un blocco di programma. È un limite voluto: i valori di processo e i programmi sono il Suo know-how, e un avviso ha bisogno del chi e del quando, non della ricetta. Se Le servono i valori, per esempio per ricostruire un lotto difettoso, li trova nell'historian, nell'audit trail dello SCADA o dell'HMI o nella diagnostica del controllore. Ci pensi prima che serva: verifichi per quanto tempo l'historian conserva i dati e se le modifiche sull'HMI vengono registrate con il nome utente. NetSenX legge Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm tramite cattura passiva, dal piano Pro, e non invia mai nulla ai dispositivi.

Sì, come una fonte di prova tra diverse. Un avviso OT dice che un controllore ha ricevuto una scrittura da un host non autorizzato, un comando S7comm o traffico fuori orario, con host di origine, controllore e ora. Lo collochi su una linea temporale accanto ai dati dell'historian, all'audit trail dell'HMI, al registro dei turni e ai rapporti di manutenzione, e di solito potrà restringere quando e da dove è arrivata una modifica. Si assicuri che gli orologi coincidano, perché pochi minuti di scarto tra sistemi rendono fuorviante una linea temporale. Tenga presente anche ciò che gli avvisi non coprono: una scrittura autorizzata durante il turno non genera avvisi, quindi l'audit trail dell'HMI resta la Sua traccia delle modifiche quotidiane. NetSenX conserva gli avvisi per la durata dello storico del Suo piano; li consulta nella dashboard, tramite API dal piano Pro o nel Suo SIEM dal piano Business. Non contengono valori scritti e non nominano alcuna persona.

No. NetSenX legge cinque protocolli industriali, Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm, ma non esiste un avviso di anomalia specifico per ciascun protocollo, per esempio per un polling Modbus insolito o un traffico BACnet strano. I suoi avvisi OT sono quattro tipi che valgono per tutto ciò che legge: una scrittura su un controllore da un host non autorizzato, traffico che attraversa i livelli della rete di stabilimento, attività OT fuori orario e comandi S7comm come un arresto o un download di programma. In più, i rilevamenti generali osservano gli stessi host: beaconing, scansioni, movimento laterale e volumi in uscita insoliti. Se la Sua analisi dei rischi richiede un rilevamento di anomalie approfondito e specifico per protocollo, per esempio per il telecontrollo di un'azienda di servizi, ci chieda che cosa è coperto prima di farvi affidamento, oppure affianchi a NetSenX uno strumento OT specializzato. Le funzioni OT sono disponibili dal piano Pro.

No. NetSenX ascolta una copia del traffico e informa i Suoi tecnici; non si trova sul percorso dei pacchetti, quindi non può scartarne nessuno, e non agisce mai sul processo. È voluto: un dispositivo in linea che blocca comandi industriali può fermare una linea per errore, e NetSenX non è un sistema di sicurezza funzionale. La protezione dai comandi pericolosi viene da altri livelli: un firewall tra zone che lasci passare solo host ben individuati, la protezione in scrittura e i selettori di modalità dei controllori, e un sistema strumentato di sicurezza indipendente dalla rete di controllo. Ciò che NetSenX aggiunge, dal piano Pro, è l'avviso quando scrive un host che non dovrebbe, quando un controllore riceve un comando S7comm come un arresto o quando di notte compare traffico OT, così che qualcuno possa verificare prima dell'inizio del turno successivo.

Oggi no. NetSenX legge tramite cattura passiva, dal piano Pro, cinque protocolli industriali: Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm. Il resto del traffico industriale in un segmento monitorato resta visibile come connessioni tra host: beaconing, scansioni, movimento laterale e volumi in uscita insoliti continuano a valere, e la mappa di rete continua a elencare i dispositivi. Manca la decodifica dei comandi di quel protocollo, quindi gli avvisi OT su scritture e comandi non lo coprono. Se il Suo stabilimento lavora soprattutto con PROFINET, OPC UA o il protocollo di telecontrollo IEC 60870-5-104, ce lo dica prima dell'acquisto e chieda che cosa sarebbe coperto nella Sua rete, oppure abbini NetSenX a uno strumento che decodifichi quei protocolli. Meglio saperlo ora che scoprire la lacuna durante un audit.

No. Un sensore di rete vede il traffico Ethernet e IP che gli viene copiato. I collegamenti seriali come Modbus RTU su RS-485, Profibus DP e gli altri bus di campo non arrivano mai su Ethernet, quindi i loro comandi sono fuori dalla sua vista. Ciò che vede è il gateway che traduce tra Ethernet e bus seriale: chi gli parla, quando e con che frequenza. In molti stabilimenti è un segnale utile, perché chi vuole raggiungere un dispositivo seriale dalla rete deve passare da quel gateway. Censisca i Suoi gateway, li protegga come controllori e copi il traffico del segmento in cui si trovano. NetSenX legge Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm tramite cattura passiva, dal piano Pro. Per il lato seriale si affidi alla diagnostica dei controllori stessi e ad armadi chiusi a chiave.

Significa che il sensore non invia mai un pacchetto a un dispositivo classificato come OT: nessuna scansione di rilevamento, nessuna scansione delle porte, nessuna interrogazione del protocollo, nessun tentativo di accesso. Legge soltanto una copia del traffico che i Suoi sistemi già si scambiano, presa da una porta SPAN o da un TAP di rete. Gli strumenti attivi funzionano diversamente: fanno domande a ogni dispositivo, e alcuni PLC, unità remote e HMI più vecchi reagiscono male a richieste inattese, dal rallentamento al blocco. Per un direttore di stabilimento significa in pratica che attivare NetSenX non aggiunge traffico alla rete di controllo e non può cambiare lo stato di un controllore, quindi sui controllori non serve alcuna finestra di manutenzione. Il prezzo è che un sensore passivo sa solo ciò che i dispositivi dicono: un controllore che non comunica mai su un segmento con mirroring non viene visto. Il monitoraggio OT è disponibile dal piano Pro.

No. Il monitoraggio passivo non richiede software, modifiche di configurazione né di firmware su PLC, HMI o azionamenti. La modifica avviene in rete: una porta SPAN (mirror) su uno switch gestito, o un TAP passivo su un cavo, invia una copia del traffico a un piccolo computer su cui gira il sensore. Pianifichi questa modifica come qualsiasi altra sulla rete di produzione: la concordi con il tecnico OT, verifichi che lo switch possa copiare le porte necessarie senza sovraccarico e la esegua in una finestra di manutenzione se le Sue regole lo richiedono. Decida poi dove collocare l'host del sensore e come invierà gli avvisi, idealmente tramite una regola firewall che consenta solo quello. Con NetSenX l'agente gira su un host Linux a Sua scelta e legge Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm dal piano Pro; un agente su una porta mirror conta come un solo dispositivo.

Allora usi un TAP di rete, oppure aggiunga uno switch gestito dove le serve visibilità. Gli switch non gestiti, frequenti negli armadi delle macchine, non possono copiare il traffico. Un TAP è un piccolo apparecchio inserito su un cavo, per esempio il collegamento tra lo switch di linea e il nucleo della rete di stabilimento, che copia il traffico nei due sensi verso una porta di monitoraggio senza essere visibile in rete. Molti modelli mantengono il collegamento anche se perdono l'alimentazione; lo verifichi per il modello che acquista. Scelga il collegamento che trasporta il traffico più importante per Lei: tra ufficio e produzione, o tra server SCADA e controllori. Il traffico tra due dispositivi sullo stesso switch non gestito non passa mai da quel collegamento e resta invisibile. NetSenX funziona da una porta SPAN o da un TAP; un agente lì conta come un solo dispositivo, e i protocolli OT vengono letti dal piano Pro.

Sì. Tutto ciò che la macchina fa in rete si può osservare dall'esterno, da una copia del suo traffico presa da una porta SPAN o da un TAP. È l'approccio abituale per controllori, HMI, banchi di prova, dispositivi medici e qualsiasi sistema il cui fornitore vieti modifiche o vi leghi la garanzia. Ciò che vede è il suo comportamento: con quali host parla, a che ore, quanti dati e, nei protocolli industriali decodificati, che cosa chiede ai controllori. Ciò che non vede è quanto accade all'interno: file, processi e accessi locali restano nascosti, come il traffico sui collegamenti senza mirroring. NetSenX funziona così: un agente su una porta mirror osserva l'intero segmento e conta come un solo dispositivo. Beaconing, scansioni, movimento laterale e volumi in uscita insoliti vengono rilevati su tutti i piani; protocolli e avvisi OT arrivano con il piano Pro.

Sì. La maggior parte degli attacchi che fermano la produzione inizia nella rete d'ufficio, con una e-mail, una password rubata o l'accesso di un fornitore, e una rete piatta li lascia arrivare direttamente ai controllori. Separare non significa per forza isolare fisicamente. Lo schema abituale mette un firewall tra ufficio e produzione, con una piccola zona demilitarizzata (DMZ) nel mezzo per i sistemi di cui hanno bisogno entrambi i lati, come una copia dell'historian, un server di aggiornamenti o il gateway di accesso remoto, e senza connessione diretta da un PC d'ufficio a un controllore. Cominci elencando le connessioni di cui la produzione ha davvero bisogno, consenta solo quelle e registri ciò che viene rifiutato. Poi verifichi che la separazione regga nella pratica, perché le eccezioni si accumulano. Dal piano Pro NetSenX genera un avviso quando il traffico attraversa i livelli della rete di stabilimento, per esempio da un host d'ufficio direttamente a un controllore, a partire da una porta SPAN o TAP.

Il modello Purdue è un'architettura di riferimento che ordina i sistemi di uno stabilimento in livelli: in basso il processo fisico con i suoi sensori, sopra i controllori, poi i sistemi di supervisione come HMI e SCADA, quindi le operazioni di stabilimento come historian e pianificazione della produzione, e in cima la rete aziendale. La regola che conta è che ogni livello parli soprattutto con quelli vicini e che il traffico tra rete aziendale e produzione passi da un confine controllato, di solito una DMZ. Il traffico che salta livelli, come un PC d'ufficio che parla direttamente con un PLC, è o un errore di progetto o qualcosa che un attaccante sta usando, ed è uno dei segnali d'allarme più chiari in OT. Molti stabilimenti reali non corrispondono perfettamente al modello, e va bene così; l'importante è sapere quali passaggi sono voluti. Dal piano Pro NetSenX segnala il traffico che attraversa i livelli Purdue, tramite cattura passiva.

Lo provi, poi lo osservi. Per la prova prenda un normale portatile d'ufficio e, d'accordo con il tecnico OT, provi ad aprire una connessione verso l'indirizzo e la porta di un controllore e verso i server HMI e SCADA; usi un semplice test di connessione, mai uno scanner, sui dispositivi di produzione. Esamini le regole del firewall tra ufficio e produzione cercando autorizzazioni troppo ampie ed eccezioni vecchie che nessuno sa spiegare. Poi osservi il traffico reale per qualche settimana, perché i percorsi che contano sono spesso quelli dimenticati: un PC con una scheda di rete in ciascuna rete, la VPN di un fornitore che termina dentro la produzione, un ponte wireless. Dal piano Pro NetSenX segnala il traffico che attraversa i livelli della rete di stabilimento, come un host d'ufficio che raggiunge un controllore, così un percorso che non dovrebbe esistere emerge la prima volta che viene usato. Un percorso che esiste ma non viene mai usato resta invisibile a qualsiasi sensore passivo.

Sì, ed è il modo più comune in cui un incidente informatico ferma la produzione, anche quando le macchine restano intatte. Le linee dipendono dai sistemi IT per ordini, ricette, etichette, spedizioni e registrazioni di qualità; quando ERP, server delle etichette o cartelle condivise vengono cifrati, molti stabilimenti preferiscono fermarsi piuttosto che produrre senza tracciabilità. Altri sospendono la produzione per precauzione finché non capiscono fin dove è arrivato l'attaccante. Proteggere la produzione comincia quindi dal lato IT: elenchi i sistemi IT di cui ogni linea ha bisogno, pianifichi come lavorare un giorno senza di essi, tenga backup offline di quei sistemi e provi il ripristino. NetSenX osserva su tutti i piani i passi lato IT che precedono la cifratura: beaconing, scansioni, movimento laterale e volumi in uscita insoliti. Dal piano Pro mostra il traffico OT nella stessa dashboard. Non ferma il ransomware; Le dà il tempo di agire.

Li tratti come visitatori con una chiave: ammessi per un intervento, da una porta nota e osservati finché sono presenti. Concordi con ogni costruttore di macchine e integratore quale portatile può collegarsi, dove e per fare che cosa. Assegni loro una porta o una VLAN di manutenzione dedicata che raggiunga solo la loro macchina, invece di una presa libera qualsiasi dello switch di linea, e disattivi quella porta a lavoro finito. Chieda che il portatile venga controllato contro il malware prima del collegamento, oppure presti loro un portatile aziendale con il software di ingegneria, soluzione che molti stabilimenti preferiscono. Tenga un breve registro delle visite: chi, quando, quale macchina. In rete il portatile compare come nuovo dispositivo sulla mappa di rete di NetSenX, in ogni piano, e se esegue scansioni o inizia a parlare con molti host scattano gli avvisi di scansione e movimento laterale. Dal piano Pro, una scrittura su un controllore da un host non autorizzato genera un avviso OT.

Sì, se il segmento usato dal portatile viene copiato a un sensore: ogni connessione che ha aperto è passata dalla rete e si può elencare in seguito in base al suo indirizzo. Questo risponde alla domanda che direttori di stabilimento e auditor pongono dopo una visita: il portatile ha toccato solo la macchina per cui era venuto? Se lo renda più facile assegnando ai visitatori indirizzi di un intervallo noto o una VLAN di manutenzione dedicata, così il loro traffico si distingue facilmente dal Suo. Sulla mappa di rete di NetSenX, in ogni piano, il portatile compare come dispositivo con gli host con cui ha parlato e quando è stato visto per la prima e l'ultima volta. Dal piano Pro NetSenX decodifica anche Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm, quindi le scritture da un host non autorizzato e i comandi S7comm generano avvisi OT. Una connessione fatta tramite il router 4G del costruttore, o su uno switch interno alla macchina senza mirroring, non passa mai dalla Sua rete monitorata e non viene vista.

Con un unico punto d'ingresso controllato, di Sua proprietà, attivato solo quando serve. In pratica: un gateway di accesso remoto o un jump server nella DMZ tra ufficio e produzione, autenticazione a più fattori per ogni account dei fornitori, un account nominativo per ciascun tecnico invece di uno condiviso, accesso limitato alle macchine seguite da quel fornitore, sessioni abilitate su richiesta e chiuse al termine, e log o registrazioni di quanto è stato fatto. Quando questo percorso esiste, rimuova gli strumenti permanenti dei fornitori, come le app di desktop remoto sugli HMI e i router 4G negli armadi. NIS2 si aspetta anche misure di sicurezza della catena di approvvigionamento, quindi scriva queste regole nei contratti. In rete una sessione del fornitore appare come connessioni dal gateway verso la produzione; NetSenX vi rileva scansioni e movimento laterale su tutti i piani e, dal piano Pro, scritture da host non autorizzati. Non è NetSenX a decidere chi ottiene l'accesso; lo fa il Suo gateway.

Sì. Un router cellulare installato per l'assistenza remota collega la macchina a internet tramite la rete mobile, aggirando completamente il Suo firewall, quindi non gli si applica nessuna delle Sue regole, dei Suoi log o dei controlli VPN. Se il portale del fornitore o il router stesso vengono compromessi, o se la password predefinita non è mai stata cambiata, un attaccante arriva nella Sua rete di produzione. Molti di questi router non compaiono in nessuno schema perché sono arrivati insieme alla macchina. Chieda per iscritto a ogni fornitore di macchine se le sue apparecchiature contengono un modem o un router cellulare, ispezioni gli armadi e poi lo rimuova, lo tenga spento finché non è prevista una sessione di assistenza, oppure lo sostituisca con un Suo percorso di accesso remoto controllato. Un sensore di rete non può vedere il collegamento 4G in sé, perché quel traffico non passa mai dalla Sua rete; vede solo il lato LAN del router, se quel segmento gli viene copiato.

Guardando insieme armadi e rete. Fisicamente: al prossimo fermo programmato apra gli armadi delle macchine e cerchi piccoli router, modem e antenne, e chieda a ogni fornitore l'elenco dei dispositivi di comunicazione presenti nelle sue apparecchiature. In rete: cerchi dispositivi che si comportano da gateway, per esempio una macchina il cui traffico va verso un indirizzo che non è il Suo router, un dispositivo che assegna da sé gli indirizzi, o un host che riceve connessioni dall'esterno in orari in cui nessuno dalla Sua parte le ha avviate. Un dispositivo che compare sulla mappa di rete ma in nessuno schema merita una domanda. La mappa di rete di NetSenX, in ogni piano, elenca i dispositivi che vede comunicare nei segmenti monitorati con prima e ultima comparsa, e i dispositivi che chiamano l'esterno a intervalli regolari vengono segnalati come beaconing. Un router che parla solo tramite il suo collegamento cellulare e resta muto sulla Sua LAN non si trova dalla rete; lo trova l'ispezione degli armadi.

Circondandolo di protezioni, visto che non può correggerlo. Pannelli operatore, HMI e computer dei banchi di prova girano spesso su un sistema operativo che il produttore non supporta più, e il fornitore della macchina vieta modifiche. Lo tolga da ogni rete di cui non ha bisogno, blocchi il suo accesso a internet, consenta solo le connessioni necessarie verso i controllori e i server con cui lavora, disattivi porte USB e servizi superflui se il fornitore lo permette, usi una whitelist delle applicazioni se il produttore la supporta e tenga un'immagine collaudata per poterlo ricostruire. Chieda al fornitore un percorso di aggiornamento e documenti il rischio residuo. Poi lo osservi dalla rete, visto che non vi si può installare nulla: NetSenX ne vede le connessioni da una porta SPAN o TAP e rileva su tutti i piani beaconing, scansioni, movimento laterale e volumi in uscita insoliti e, dal piano Pro, scritture sui controllori da host non autorizzati. Non vede ciò che gira all'interno del PC.

È una misura che riduce un rischio che non si può eliminare alla fonte. Quando un controllore non si può aggiornare, non ha password o gira su un sistema non più supportato, lo si protegge dall'esterno: segmentazione e regole firewall perché lo raggiungano solo host ben individuati, nessun accesso a internet, un percorso di accesso remoto controllato, armadi chiusi, backup offline di programmi e configurazioni, e un monitoraggio che segnali quando qualcuno aggira la protezione. Gli auditor che lavorano con la IEC 62443 o con la gestione del rischio NIS2 di solito si aspettano che questi controlli siano documentati: quale rischio, quale misura, chi ne è responsabile e come si verifica che funzioni ancora. Il monitoraggio è la parte che produce questa prova di verifica. NetSenX può fornirla: da una porta SPAN o TAP mostra chi parla con il sistema datato e, dal piano Pro, genera avvisi OT per scritture non autorizzate, traffico che attraversa i livelli della rete di stabilimento, attività fuori orario e comandi S7comm.

Unendo tre fonti passive: ciò che dicono i documenti, ciò che sanno gli strumenti di ingegneria e ciò che mostra la rete. Cominci da schemi, file di progetto di ingegneria, che elencano ogni controllore, azionamento e modulo di I/O remoto configurato, e documentazione del fornitore di ogni macchina. Poi percorra lo stabilimento: armadi, pulpiti, siti remoti. Infine aggiunga ciò che mostra il traffico: un sensore passivo su una porta mirror vede ogni dispositivo che comunica in quel segmento, compresi quelli che nessuno ha annotato. Registri per ogni asset indirizzo, funzione, responsabile, versione del firmware e se può essere aggiornato. La mappa di rete di NetSenX, in ogni piano, elenca i dispositivi visti nei segmenti monitorati con i nomi che annunciano e la prima e l'ultima comparsa, e dal piano Pro NetSenX legge Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm. Non sonda mai i dispositivi OT, quindi non rileva le versioni del firmware; quelle le forniscono i Suoi strumenti di ingegneria.

Quelli che non comunicano in un segmento con mirroring. Rientrano qui i dispositivi silenziosi per la maggior parte del tempo, come un controllore di riserva o un modulo che risponde solo a un master che Lei non vede; i dispositivi su bus di campo seriali come Modbus RTU o Profibus; quelli dietro uno switch non gestito il cui traffico non raggiunge mai il collegamento copiato; le apparecchiature che comunicano solo tramite il proprio router cellulare; e i siti remoti senza sensore. Il monitoraggio passivo vede anche meno nei protocolli cifrati e non può leggere una versione del firmware che il dispositivo non annuncia. Colmi queste lacune con un sopralluogo, i file di progetto di ingegneria e, se lo stabilimento lo accetta, un'interrogazione pianificata con cura con gli strumenti del produttore durante una finestra di manutenzione. NetSenX è soltanto passivo, quindi la sua mappa di rete mostra ciò che comunica nei segmenti monitorati, e niente di più.

Di solito uno per ogni segmento di rete che vuole osservare in ciascun sito, quindi in genere da uno a tre per stabilimento. Il numero dipende da dove si può copiare il traffico: una porta SPAN sullo switch centrale di uno stabilimento spesso vede il traffico tra ufficio e produzione e tra i server SCADA e gli switch di linea, mentre il traffico interno allo switch di una macchina richiede un sensore o un TAP più vicino a essa. Cominci dal confine tra ufficio e produzione in ogni stabilimento, poi aggiunga i segmenti in cui si programmano i controllori. Ogni stabilimento ha bisogno di un piccolo host per il sensore e di un modo per inviare gli avvisi all'esterno. Con NetSenX ogni agente su una porta SPAN o TAP conta come un solo dispositivo per l'intero segmento che osserva, tutti gli stabilimenti compaiono in un'unica dashboard e i protocolli OT vengono letti dal piano Pro. La pagina dei prezzi indica quanti dispositivi comprende ciascun piano.

Sì, se qualcuno ha il tempo di gestirli. Esistono strumenti open source di monitoraggio di rete maturi, in grado di leggere diversi protocolli industriali da una porta SPAN. Il costo non è la licenza ma il lavoro: installare e aggiornare i sensori, scrivere o regolare le regole per il Suo stabilimento, conservare i log, costruire dashboard e, soprattutto, avere qualcuno che guardi gli avvisi. In uno stabilimento con un tecnico OT a cui piace questo lavoro può essere un buon inizio. Se nessuno ha quel tempo, i log si accumulano senza essere letti, e si ha la sensazione di monitorare senza il risultato. NetSenX è l'alternativa gestita: un agente su una porta SPAN o TAP, avvisi spiegati in linguaggio semplice e protocolli OT dal piano Pro, senza regole da mantenere da parte Sua. Qualunque cosa scelga, cominci dal confine tra ufficio e produzione.

La IEC 62443 è una serie di norme internazionali sulla sicurezza dei sistemi industriali di automazione e controllo. Copre il programma di sicurezza del gestore dell'impianto, gli obblighi di integratori e fornitori di servizi, i requisiti di un intero sistema suddiviso in zone e condotti, e i requisiti dei prodotti stessi, con livelli di sicurezza che descrivono a quale attaccante una zona deve resistere. È volontaria: la legge non obbliga un produttore tipico a certificarsi, ma clienti, assicuratori e auditor la usano sempre più come metro di giudizio, e il suo approccio per zone e condotti è un modo pratico di organizzare in uno stabilimento le misure di gestione del rischio NIS2. Non serve la certificazione per trarne vantaggio: suddivida lo stabilimento in zone, elenchi i condotti tra di esse e decida che cosa può trasportare ciascuno. Il monitoraggio verifica poi i condotti nella pratica. NetSenX può fornire questa prova: dal piano Pro legge in modo passivo i protocolli industriali e segnala il traffico che attraversa i livelli della rete di stabilimento.

Di solito la prova che il rilevamento esiste, copre i punti giusti e porta ad agire: quali segmenti OT sono monitorati e come, quali tipi di eventi vengono rilevati, chi esamina gli avvisi e con quale rapidità, esempi di avvisi gestiti con la decisione presa e per quanto tempo si conservano le registrazioni. In Germania l'Ufficio federale per la sicurezza informatica (BSI) ha pubblicato linee guida sui sistemi di rilevamento degli attacchi per gli operatori di infrastrutture critiche, che gli auditor usano spesso come riferimento; altri Paesi hanno aspettative proprie, quindi verifichi con la Sua autorità nazionale. Un elenco di strumenti da solo non basta: gli auditor cercano un processo che funzioni. Una mappa di rete con prima e ultima comparsa, avvisi con marca temporale e le Sue note su ogni decisione rendono visibile quel processo. NetSenX conserva gli avvisi per la durata dello storico del Suo piano e, dal piano Pro, aggiunge avvisi OT per scritture non autorizzate, traffico tra livelli, attività fuori orario e comandi S7comm. Non La certifica e non sostituisce il giudizio dell'auditor.

Sì, e un rischio sottovalutato. Riscaldamento, ventilazione, illuminazione, ascensori e controllo accessi funzionano oggi con controllori in rete, spesso in BACnet/IP, con accesso remoto per la ditta di manutenzione e un'app cloud per il facility manager. Vengono aggiornati di rado, spesso mantengono le password predefinite e di solito li gestisce un altro team o un appaltatore esterno, non l'IT. Un attaccante può usarli per disturbare il funzionamento dell'edificio, o come testa di ponte discreta verso la rete d'ufficio se le due non sono separate. Chieda al Suo appaltatore dove si collega il sistema, chi ha accesso remoto e come, e metta i controllori dell'edificio in un segmento di rete dedicato, con un accesso a internet limitato a ciò che serve davvero al produttore. NetSenX legge BACnet/IP tramite cattura passiva dal piano Pro e, su tutti i piani, rileva beaconing, scansioni e volumi in uscita insoliti da quei controllori. Non esiste un avviso di anomalia BACnet dedicato.

Sì, se i due condividono la rete o le regole tra loro sono permissive. Gli impianti dell'edificio vengono spesso installati da un appaltatore sugli stessi switch e nello stesso intervallo di indirizzi dell'ufficio, o con un instradamento comodo perché il facility manager apra il software di controllo su un PC d'ufficio. Un attaccante che entra dall'accesso remoto dell'impianto o da un controllore debole può allora raggiungere i computer d'ufficio come se fosse dentro. Verifichi dove si trovano i controllori dell'edificio e il loro server, se possono raggiungere gli host d'ufficio e se gli host d'ufficio possono raggiungerli; di solito ne ha bisogno solo una postazione di gestione. Li separi con un firewall o una VLAN con regole rigorose, e faccia passare l'accesso remoto dell'appaltatore dal Suo gateway. In un segmento monitorato, NetSenX rileva su tutti i piani scansioni e movimento laterale da un controllore dell'edificio verso gli host d'ufficio, così un controllore che inizia a esplorare la rete si nota subito.

Può esserlo, ma deve sapere perché lo fa. Molti videoregistratori mantengono una connessione permanente con il cloud del produttore perché l'app sul telefono mostri le immagini senza aprire una porta sul router, e quei server possono trovarsi in un altro Paese o in un altro continente. Quella connessione è anche un canale di accesso remoto che Lei non ha mai configurato, gestito da terzi, e i videoregistratori più vecchi hanno una lunga storia di falle di sicurezza. Chieda all'installatore o consulti la documentazione del produttore per capire di quale servizio si tratta, decida se la visione da remoto Le serve davvero e, se no, disattivi la funzione cloud e blocchi l'accesso a internet del videoregistratore. Se Le serve, tenga aggiornato il firmware e cambi le password predefinite. NetSenX mostra le destinazioni del videoregistratore da una porta SPAN o TAP e rileva beaconing e volumi in uscita insoliti su tutti i piani, così un videoregistratore che all'improvviso invia molto più del solito si nota. Se il cloud del produttore sia accettabile resta una Sua decisione.

Può esserlo. Smart TV, schermi per videoconferenza e pannelli di prenotazione delle sale girano su sistemi operativi propri, contattano il produttore per aggiornamenti, app e pubblicità e, una volta installati, vengono aggiornati di rado. Nella rete d'ufficio stanno accanto ai portatili che vi vengono proiettati, e alcuni hanno microfoni e telecamere. La maggior parte di quel traffico va ai servizi del produttore, ma dall'esterno non lo si può sapere senza guardare. Disattivi le funzioni che non usa, come comandi vocali, store di app e statistiche di visione, aggiorni il firmware e sposti gli schermi in una rete separata per i dispositivi, con accesso a internet limitato al necessario e senza accesso agli host d'ufficio. I portatili potranno allora condividere lo schermo via cavo o tramite un dispositivo di trasmissione su quella rete. NetSenX osserva questi dispositivi senza alcun software installato, da una porta SPAN o TAP, e rileva beaconing, scansioni e volumi in uscita insoliti su tutti i piani.

Di solito per motivi ordinari: aggiornamenti del firmware, segnalazioni di toner e consumi al fornitore, stampa dal cloud e scansione verso il cloud. I contratti di stampa gestita includono spesso queste segnalazioni, quindi chieda al fornitore che cosa invia la stampante e dove. Il rischio è che le stampanti sono veri computer con software vecchio, pagine di amministrazione con password predefinite e copie salvate dei documenti scansionati, e nessuno le osserva. Controlli nelle impostazioni le funzioni cloud e remote che non usa e le disattivi, aggiorni il firmware, imposti una password di amministratore e limiti l'accesso a internet ai servizi del fornitore. Una stampante che inizia a collegarsi a molti indirizzi interni, o a nuove destinazioni all'esterno, merita un controllo il giorno stesso. NetSenX vede le stampanti da una porta SPAN o TAP senza software installato, le elenca sulla mappa di rete e rileva scansioni, beaconing e volumi in uscita insoliti su tutti i piani.

Soprattutto con la progettazione della rete, perché questi dispositivi non possono eseguire software di sicurezza. Metta lettori portatili, stampanti di etichette, controllori dei nastri trasportatori e il Wi-Fi del magazzino in un segmento di rete dedicato che raggiunga solo il server del sistema di gestione del magazzino e le stampanti necessarie, non i PC d'ufficio né internet in generale. Usi una rete Wi-Fi separata con autenticazione per dispositivo o tramite certificato, invece di un'unica password condivisa che conosce ogni ex lavoratore temporaneo, tenga aggiornati sistema e app dei terminali con il loro strumento di gestione e li blocchi sull'app di magazzino. Dismetta i dispositivi che il produttore non aggiorna più. Poi osservi il segmento, perché un solo terminale compromesso in una rete di magazzino piatta raggiunge tutto il resto. NetSenX osserva il segmento con un agente su una porta SPAN o TAP: la mappa di rete elenca i dispositivi, e scansioni, beaconing e volumi in uscita insoliti vengono rilevati su tutti i piani.

No. NetSenX conta gli agenti che Lei esegue, non i dispositivi che osservano. Un agente su una porta SPAN o TAP conta come un solo dispositivo per l'intero segmento che monitora, quindi quaranta lettori portatili, le stampanti di etichette e il controllore del nastro trasportatore su un unico segmento copiato sono coperti da quell'agente. Anche un agente installato direttamente su un server o un portatile conta come un dispositivo e osserva quell'host. La domanda da porsi nella pianificazione è quindi quanti segmenti vuole osservare e dove può copiarne il traffico, non quanti dispositivi possiede. Un magazzino con un proprio switch di solito ha bisogno di un agente lì. I terminali collegati ad access point Wi-Fi connessi a quello switch vengono visti quando il loro traffico passa dalla porta copiata. La pagina dei prezzi indica il limite di dispositivi di ciascun piano, a partire dal Free.

Dalla rete, come per le apparecchiature industriali. Analizzatori, apparecchi di diagnostica per immagini, pompe di infusione e strumenti di laboratorio girano spesso su sistemi vecchi che il produttore certifica e vieta di modificare, quindi un agente non è un'opzione. Li metta in un segmento di rete dedicato che raggiunga solo i sistemi a cui riferiscono, come il sistema informativo di laboratorio o l'archivio delle immagini, blocchi l'accesso a internet non necessario e faccia passare l'assistenza remota di ogni produttore dal Suo gateway. Un sensore su una porta SPAN o TAP di quel segmento ne vede allora le connessioni senza toccarli. NetSenX elenca i dispositivi sulla mappa di rete e rileva beaconing, scansioni, movimento laterale e volumi in uscita insoliti su tutti i piani. Non decodifica protocolli medicali come HL7 o DICOM e non decifra mai il traffico. Prima di attivarlo, chieda al Suo responsabile della protezione dei dati come il monitoraggio si inserisce nel registro dei trattamenti.