OT / ICS

Monitoraggio delle reti OT senza toccare i controllori

Il monitoraggio passivo di una rete OT significa leggere il traffico industriale da una sua copia, presa su una porta SPAN o con un TAP di rete, senza inviare un solo pacchetto a un PLC, a una RTU o a un server SCADA. Sui controllori non si installa nulla e nulla cambia, ed è per questo il modo abituale di dare visibilità alle reti di produzione che non si possono aggiornare, riavviare o scansionare a piacimento.

Il dato da cui partire

Il 1° dicembre 2023 CISA e agenzie partner hanno riferito nell'avviso AA23-335A che attori legati all'IRGC avevano compromesso PLC Unitronics usati in impianti idrici e di trattamento delle acque reflue negli Stati Uniti. I PLC erano probabilmente raggiungibili da internet e usavano ancora la password predefinita del produttore.

Fonte: CISA and partners — Advisory AA23-335A (IRGC-affiliated actors exploit PLCs in multiple sectors, including US water and wastewater facilities), 1 December 2023

Come funziona il monitoraggio OT passivo

Il principio è semplice: ascoltare una copia del traffico, non parlare mai con i dispositivi.

  1. 01Replicare, non sondare

    Una porta SPAN sullo switch industriale, o un TAP passivo sul collegamento, invia una copia del traffico al sensore. Il sensore si limita ad ascoltare; non interroga mai un dispositivo, quindi non può disturbare un processo.

  2. 02Leggere i protocolli industriali

    Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm trasportano letture, scritture e comandi in strutture che un sensore sa decodificare. Leggerli mostra quale stazione parla con quale controllore e che cosa gli chiede.

  3. 03Sorvegliare il confine tra IT e OT

    Molti incidenti OT iniziano nella rete d'ufficio. Il traffico che passa dall'IT alla rete di controllo, o un controllore che all'improvviso comunica con internet, merita attenzione.

  4. 04Tenere i dispositivi OT fuori dalle scansioni attive

    Le scansioni di vulnerabilità e le sonde di discovery possono disturbare i controllori più vecchi. Escluda da esse i dispositivi classificati come OT; NetSenX non li sonda mai.

Che cosa fa oggi NetSenX

  • Dal piano Pro, legge Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm tramite cattura passiva su una porta SPAN o TAP. Gli avvisi OT che genera: una scrittura su un controllore da un host non autorizzato a scrivere, traffico che attraversa i livelli del modello Purdue, attività OT fuori dall'orario di lavoro e comandi S7comm.
  • Non sonda mai attivamente i dispositivi classificati come OT, quindi nessun rischio per PLC e SCADA.
  • Mostra il traffico OT nella stessa dashboard della rete IT, con una spiegazione in linguaggio semplice su ogni avviso e il monitoraggio delle scadenze dell'articolo 23 della NIS2 per gli incidenti.
  • Funziona come software su un host a Sua scelta collegato alla porta mirror: nessuna appliance NetSenX da acquistare, e un agente che osserva un segmento conta come un solo dispositivo.

Che cosa NetSenX non fa

NetSenX non modifica la configurazione dei controllori, non carica firmware e non blocca comandi industriali, e non è un sistema di sicurezza funzionale: informa i Suoi ingegneri, non agisce sul processo. Legge i cinque protocolli industriali indicati in questa pagina; ci chieda prima di contare su altri. Vede solo i segmenti che replica verso di esso, e i bus di campo seriali che non raggiungono mai Ethernet sono fuori dalla sua vista. Non esiste un avviso di anomalia separato per ciascun protocollo industriale.

Domande degli acquirenti

Si può monitorare una rete OT senza influire sui PLC?

Sì, con il monitoraggio passivo: il sensore legge una copia del traffico da una porta SPAN o da un TAP e non invia mai nulla ai controllori. NetSenX funziona così dal piano Pro e non sonda mai attivamente i dispositivi classificati come OT.

Quali protocolli industriali legge NetSenX?

Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP e S7comm, tramite cattura passiva, nel piano Pro e superiori.

Serve un'appliance hardware in ogni stabilimento?

Non serve alcuna appliance NetSenX: l'agente è software che gira su un host a Sua scelta. Un agente collegato a una porta SPAN o TAP osserva l'intero segmento e conta come un solo dispositivo.

La NIS2 riguarda anche le reti OT?

La NIS2 si applica ai soggetti di settori come energia, trasporti, acqua potabile, sanità e fabbricazione di determinati prodotti (allegati I e II della direttiva (UE) 2022/2555). Le misure dell'articolo 21 riguardano i sistemi informativi e di rete che un soggetto usa per le proprie attività, e tra questi possono esserci i sistemi OT. Verifichi l'ambito con la Sua autorità nazionale.

Fonti

  1. CISA and partners — Advisory AA23-335A (IRGC-affiliated actors exploit PLCs in multiple sectors, including US water and wastewater facilities), 1 December 2023
  2. Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex

Questa pagina ha carattere informativo generale e non costituisce consulenza legale. Verifichi i Suoi obblighi con l'autorità nazionale competente o con il Suo consulente legale.

Pagine correlate

Provate NetSenX sulla vostra rete

Iniziate con il piano Free per un massimo di 3 dispositivi, oppure prenotate una demo di 20 minuti.

Vedi i prezziPrenota una demo