OT en IoT

Ja, vanaf het Pro-abonnement. NetSenX leest Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP en S7comm uit passieve capture op een SPAN- of TAP-poort. Apparaten die als OT zijn geclassificeerd, worden nooit actief bevraagd, dus er is geen risico voor PLC's of SCADA-systemen.

Ja, met passieve monitoring: de sensor leest een kopie van het verkeer vanaf een SPAN-poort of TAP en stuurt nooit iets naar de besturingen. Zo werkt NetSenX vanaf het Pro-abonnement, en apparaten die als OT zijn geclassificeerd benadert het nooit actief.

Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP en S7comm, uit passieve capture, vanaf het Pro-abonnement.

Er is geen NetSenX-appliance nodig: de agent is software die op een host naar keuze draait. Eén agent op een SPAN- of TAP-poort bewaakt het hele segment en telt als één apparaat.

NIS2 geldt voor entiteiten in sectoren als energie, vervoer, drinkwater, gezondheidszorg en de productie van bepaalde goederen (bijlagen I en II van Richtlijn (EU) 2022/2555). De maatregelen van artikel 21 gaan over de netwerk- en informatiesystemen die een entiteit voor haar activiteiten gebruikt, en daar kunnen OT-systemen onder vallen. Controleer de reikwijdte bij uw nationale autoriteit.

Passieve monitoring kan dat niet, omdat die alleen naar een kopie van het verkeer luistert en nooit iets naar de besturingen stuurt. Actief scannen is iets anders: sommige oudere PLC's en RTU's lopen vast, herstarten of gaan in storing wanneer een discoverytool of kwetsbaarheidsscanner ze bevraagt, en daarom houden veel fabrieken scanners buiten het besturingsnetwerk. Neem de kopie van een SPAN-poort op een industriële switch of van een passieve netwerk-TAP, en controleer bij de switchleverancier dat mirroring een oude switch niet overbelast. NetSenX leest Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP en S7comm uit passieve capture, vanaf het Pro-abonnement, en benadert apparaten die als OT zijn geclassificeerd nooit actief. Op de besturingen wordt niets geïnstalleerd en geen van hun instellingen verandert.

Ja. Camera's, printers, deurcontrollers, schermen en sensoren zijn vaak oud, worden zelden bijgewerkt en kunnen geen agent krijgen, wat ze een veelgebruikte toegangsweg en een goede schuilplaats maakt voor een aanvaller die al binnen is. Begin met de gratis stappen: inventariseer ze, wijzig standaardwachtwoorden, werk de firmware bij, schakel cloudfuncties uit die u niet gebruikt en zet ze in een eigen netwerksegment met regels die alleen het nodige toestaan. Monitoring laat daarna zien of die regels standhouden. Een sensor op dat segment ziet hun verkeer zonder de apparaten aan te raken; NetSenX detecteert scans, beaconing en ongewoon uitgaand volume van ze, op elk abonnement, en de netwerkkaart toont de apparaten die het ziet communiceren. Een apparaat dat zwijgt, of op een segment zit dat u niet spiegelt, blijft buiten beeld.

Een kleiner risico, maar ja. Een apart virtueel LAN (VLAN) helpt alleen als de regels tussen dat VLAN en de rest van het netwerk streng zijn, en camera's en recorders krijgen vaak ruime uitzonderingen zodat medewerkers vanaf elke pc of telefoon kunnen meekijken. Ze hebben meestal ook internettoegang nodig voor apps en updates, en dat is tevens een uitweg voor een aanvaller. Laat alleen het kijkstation of de videoserver de camera's bereiken, voorkom dat het camera-VLAN de rest bereikt, blokkeer internettoegang die ze niet nodig hebben, wijzig standaardwachtwoorden en werk de firmware bij. Een sensor op dat VLAN ziet hun verkeer; NetSenX detecteert scans, beaconing en ongewoon uitgaand volume van ze, op elk abonnement, zodat een camera die met nieuwe bestemmingen begint te praten opvalt.

Door het verkeer van en naar de besturingen te bekijken, want een programmeerbare logische controller (PLC) houdt nauwelijks een eigen beveiligingslog bij. De bruikbare signalen zijn eenvoudig: een schrijfactie of programmadownload vanaf een computer die niet uw engineeringstation is, een stop- of startcommando dat niemand plande, kantoor-pc's die rechtstreeks met besturingen praten en activiteit 's nachts of in het weekend, wanneer niemand aan de lijn werkt. Begin met gratis stappen: leg vast welke stations elke PLC mogen programmeren, controleer dat het kantoornetwerk het besturingsnetwerk niet bereikt en laat de bedrijfsmodusschakelaars op RUN staan waar uw hardware die heeft. Vanaf het Pro-abonnement leest NetSenX Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP en S7comm van een SPAN- of TAP-poort en geeft het vier soorten OT-meldingen: ongeautoriseerde schrijfacties, verkeer dat niveaus van het fabrieksnetwerk overschrijdt, OT-activiteit buiten werktijd en S7comm-commando's. Het bevraagt de besturingen nooit en ziet geen seriële verbindingen of segmenten die u niet spiegelt.

Omdat het geen authenticatie en geen versleuteling heeft: elk apparaat dat een Modbus/TCP-besturing kan bereiken, kan de waarden lezen en, tenzij de besturing het zelf beperkt, naar de coils en registers schrijven. Modbus is in 1979 ontworpen voor seriële verbindingen tussen vertrouwde apparaten, lang voordat besturingsnetwerken met kantoornetwerken en internet werden verbonden. Er bestaat een beveiligde variant met TLS, maar weinig geïnstalleerde apparaten ondersteunen die. In de praktijk beschermt u Modbus van buitenaf: poort 502 hoort niet op internet, alleen benoemde engineering- en SCADA-hosts mogen de besturingen bereiken, en gebruik de schrijfbeveiliging van de PLC waar die er is. Omdat het verkeer niet versleuteld is, kan een passieve sensor lezen welk station van welke besturing leest of ernaar schrijft. NetSenX doet dat vanaf het Pro-abonnement en geeft een melding wanneer een host die niet mag schrijven een schrijfactie stuurt; het verandert het protocol niet en blokkeert het commando niet.

U hebt iets nodig dat het industriële protocol op de lijn leest en weet welke hosts mogen schrijven, want de PLC accepteert de schrijfactie normaal gesproken zonder protest en logt niets. Leg eerst vast welke stations ooit een instelling mogen wijzigen: meestal één of twee engineeringwerkstations en de SCADA- of HMI-servers. Laat het netwerk dat daarna afdwingen waar het kan, met firewallregels die alleen die hosts bij de besturingen toelaten. Monitoring dekt wat de regels missen: een laptop die op de lijn is aangesloten, een kantoor-pc met een vergeten route, malware op een toegestaan station. Vanaf het Pro-abonnement leest NetSenX schrijfverzoeken uit passieve capture op een SPAN- of TAP-poort en geeft het een melding wanneer een schrijfactie komt van een host die niet mag schrijven, met de bron, de besturing, de functie en het tijdstip. De geschreven waarde of wie er achter het toetsenbord zat, legt het niet vast.

De meldingen die betekenen dat er iets in het proces veranderde: een schrijfactie of programmadownload vanaf een onverwachte computer, een besturing die wordt gestopt, gestart of in een andere modus gezet, kantoorverkeer dat het besturingsniveau bereikt, en dit alles buiten werktijd. In normaal bedrijf komt dat zelden voor, dus elke melding verdient een telefoontje naar de verantwoordelijke voor de lijn. Meldingen over volume of nieuwe bestemmingen zijn ook belangrijk, maar aan de IT-kant, waar de meeste aanvallen op fabrieken beginnen. Spreek vooraf af wie OT-meldingen ontvangt, hoe snel iemand kijkt en dat niemand een productiehost loskoppelt zonder overleg met de ploegleider, want een abrupte loskoppeling kan meer kosten dan de melding. Vanaf het Pro-abonnement geeft NetSenX precies deze OT-meldingen: ongeautoriseerde schrijfacties, verkeer over niveaus van het fabrieksnetwerk heen, OT-activiteit buiten werktijd en S7comm-commando's, naast de meldingen voor beaconing, scans, laterale beweging en ongewoon uitgaand volume die het op elk abonnement geeft.

Door een overzicht van wanneer uw engineers echt aan de besturingen werken te combineren met een sensor die programmadownloads en schrijfacties op het netwerk ziet. Een programmawijziging om 02:00 uur op zondag bewijst geen aanval, want onderhoud gebeurt vaak als de lijn stilstaat, maar de volgende ochtend moet iemand het kunnen verklaren. Houd een eenvoudig wijzigingslogboek bij met de geplande onderhoudsvensters, vergelijk het met wat het netwerk laat zien en bewaar offline een gecontroleerde kopie van het programma van elke PLC, zodat u kunt vergelijken en herstellen. Sommige besturingen kunnen een programmawijziging ook aan het SCADA-systeem melden. Vanaf het Pro-abonnement markeert NetSenX OT-activiteit buiten werktijd en decodeert het S7comm-verzoeken zoals de download van een programmablok, met de bloknaam, vanaf een SPAN- of TAP-poort. Het leest de inhoud van het programma niet en vergelijkt geen versies; dat doet uw engineeringsoftware.

Ja, wanneer het stopcommando over het netwerk gaat in S7comm, het protocol dat Siemens S7-besturingen gebruiken voor programmeren en diagnose. S7comm is niet versleuteld, dus een passieve sensor die een kopie van het verkeer ontvangt, kan het verzoek als stop herkennen, samen met de computer die het stuurde en het tijdstip. Een stop via de schakelaar of het paneel van de besturing zelf gaat nooit over het netwerk, dus geen sensor ziet die. Nieuwere besturingen kunnen een beveiligde opvolger gebruiken, S7comm-plus; vraag het ons voordat u voor dat verkeer op NetSenX vertrouwt. Vanaf het Pro-abonnement decodeert NetSenX S7comm-verzoeken naar commandonamen zoals een PLC-stop, het schrijven van een variabele of de download van een programmablok, en geeft het een S7comm-commandomelding vanaf een SPAN- of TAP-poort, zonder iets naar de PLC te sturen. Het informeert uw engineers; het blokkeert het commando niet.

Het kan laten zien welke computer de schrijfactie stuurde en wanneer, en dat is meestal genoeg om de persoon te vinden. De meeste industriële protocollen bevatten geen gebruikersnaam, dus het netwerk kent alleen het bronadres. De koppeling met een persoon komt uit de audittrail van de HMI of SCADA, het logboek van de engineeringsoftware en het ploegenrooster. Om dat later mogelijk te maken, geeft u elk engineeringstation een vast adres, eist u persoonlijke aanmeldingen op HMI en SCADA en bewaart u hun logs even lang als uw kwaliteitsregistratie. Vanaf het Pro-abonnement leest NetSenX schrijfacties uit passieve capture op een SPAN- of TAP-poort en geeft het, wanneer de schrijver niet mag schrijven, een melding met bronhost, besturing, functiecode en tijdstip. Het legt de geschreven waarde niet vast en identificeert nooit een persoon: het bekijkt apparaten en verbindingen, geen mensen.

Nee. NetSenX legt vast dat er een schrijfactie was, vanaf welke host, naar welke besturing, met welke functiecode en wanneer, maar niet de geschreven waarde of de inhoud van een programmablok. Dat is een bewuste grens: proceswaarden en programma's zijn uw knowhow, en een melding heeft het wie en wanneer nodig, niet het recept. Als u de waarden nodig hebt, bijvoorbeeld om een mislukte batch te reconstrueren, komen ze uit de historian, de audittrail van SCADA of HMI of de diagnose van de besturing zelf. Regel dat voordat u het nodig hebt: controleer hoe lang uw historian gegevens bewaart en of wijzigingen op de HMI met een gebruikersnaam worden gelogd. NetSenX leest Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP en S7comm uit passieve capture, vanaf het Pro-abonnement, en stuurt nooit iets naar de apparaten.

Ja, als één bewijsbron naast andere. Een OT-melding vertelt dat een besturing een schrijfactie ontving van een host die niet mag schrijven, een S7comm-commando of verkeer buiten werktijd, met bronhost, besturing en tijdstip. Zet die op een tijdlijn naast de historiangegevens, de audittrail van de HMI, het ploegenlogboek en de onderhoudsrapporten, en meestal kunt u afbakenen wanneer en vanwaar een wijziging kwam. Zorg dat de klokken overeenkomen, want enkele minuten verschil tussen systemen maakt een tijdlijn misleidend. Houd ook in gedachten wat meldingen niet dekken: een toegestane schrijfactie tijdens de dienst geeft geen melding, dus de audittrail van de HMI blijft uw registratie van dagelijkse wijzigingen. NetSenX bewaart meldingen gedurende de meldingshistorie van uw abonnement; u leest ze in het dashboard, via de API vanaf het Pro-abonnement of in uw SIEM vanaf het Business-abonnement. Ze bevatten geen geschreven waarden en noemen geen persoon.

Nee. NetSenX leest vijf industriële protocollen, Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP en S7comm, maar er is geen aparte anomaliemelding per protocol, bijvoorbeeld voor ongewone Modbus-polling of vreemd BACnet-verkeer. De OT-meldingen zijn vier soorten die werken over alles wat het leest: een schrijfactie naar een besturing vanaf een host die niet mag schrijven, verkeer dat niveaus van het fabrieksnetwerk overschrijdt, OT-activiteit buiten werktijd en S7comm-commando's zoals een stop of programmadownload. Daarnaast bewaken de algemene detecties dezelfde hosts: beaconing, scans, laterale beweging en ongewoon uitgaand volume. Vraagt uw risicoanalyse om diepe, protocolspecifieke anomaliedetectie, bijvoorbeeld voor de telecontrole van een netbeheerder, vraag ons dan eerst wat er gedekt is, of zet naast NetSenX een gespecialiseerde OT-tool in. De OT-functies zijn beschikbaar vanaf het Pro-abonnement.

Nee. NetSenX luistert naar een kopie van het verkeer en informeert uw engineers; het zit niet in het pad van de pakketten, kan er dus geen tegenhouden, en grijpt nooit in op het proces. Dat is bewust: een inline-apparaat dat industriële commando's blokkeert, kan per ongeluk een lijn stilleggen, en NetSenX is geen functioneel veiligheidssysteem. Bescherming tegen gevaarlijke commando's komt van andere lagen: een firewall tussen zones die alleen benoemde hosts doorlaat, schrijfbeveiliging en modusschakelaars op de besturingen, en een veiligheidsinstrumentatiesysteem dat niet van het besturingsnetwerk afhangt. Wat NetSenX vanaf het Pro-abonnement toevoegt, is de melding wanneer een host schrijft die dat niet zou moeten, wanneer een besturing een S7comm-commando zoals een stop krijgt of wanneer 's nachts OT-verkeer verschijnt, zodat iemand kan kijken voordat de volgende dienst begint.

Vandaag niet. NetSenX leest vanaf het Pro-abonnement uit passieve capture vijf industriële protocollen: Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP en S7comm. Ander industrieel verkeer op een bewaakt segment blijft zichtbaar als verbindingen tussen hosts: beaconing, scans, laterale beweging en ongewoon uitgaand volume blijven gelden, en de netwerkkaart toont nog steeds de apparaten. Wat ontbreekt, is het decoderen van de commando's van dat protocol, dus de OT-meldingen voor schrijfacties en commando's dekken het niet. Draait uw fabriek vooral op PROFINET, OPC UA of het telecontroleprotocol IEC 60870-5-104, zeg het ons dan vóór de aankoop en vraag wat er op uw netwerk gedekt zou zijn, of combineer NetSenX met een tool die die protocollen decodeert. U kunt dit beter nu weten dan het gat tijdens een audit ontdekken.

Nee. Een netwerksensor ziet het Ethernet- en IP-verkeer dat naar hem wordt gekopieerd. Seriële verbindingen zoals Modbus RTU over RS-485, Profibus DP en andere veldbussen komen nooit op Ethernet, dus de commando's daarop vallen buiten zijn zicht. Wat hij wel ziet, is de gateway die tussen Ethernet en de seriële bus vertaalt: wie met de gateway praat, wanneer en hoe vaak. In veel fabrieken is dat een nuttig signaal, want wie vanuit het netwerk een serieel apparaat wil bereiken, moet via die gateway. Inventariseer uw gateways, bescherm ze als besturingen en spiegel het segment waarin ze zitten. NetSenX leest Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP en S7comm uit passieve capture, vanaf het Pro-abonnement. Vertrouw voor de seriële kant op de diagnose van de besturingen zelf en op afgesloten kasten.

Het betekent dat de sensor nooit een pakket stuurt naar een apparaat dat als OT is geclassificeerd: geen discoveryscan, geen poortscan, geen protocolvraag, geen aanmeldpoging. Hij leest alleen een kopie van het verkeer dat uw systemen al uitwisselen, afgenomen op een SPAN-poort of netwerk-TAP. Actieve tools werken anders: ze stellen elk apparaat vragen, en sommige oudere PLC's, RTU's en HMI's reageren slecht op onverwachte verzoeken, van trage antwoorden tot een crash. Voor een fabrieksmanager betekent dit in de praktijk dat het inschakelen van NetSenX geen verkeer aan het besturingsnetwerk toevoegt en de toestand van een besturing niet kan veranderen, zodat er op de besturingen zelf geen onderhoudsvenster nodig is. De keerzijde is dat een passieve sensor alleen weet wat apparaten zeggen: een besturing die nooit communiceert op een gespiegeld segment, wordt niet gezien. OT-monitoring is beschikbaar vanaf het Pro-abonnement.

Nee. Passieve monitoring vraagt geen software, configuratie- of firmwarewijziging op de PLC's, HMI's of aandrijvingen. De wijziging gebeurt op het netwerk: een SPAN-poort (mirrorpoort) op een managed switch, of een passieve TAP op een kabel, stuurt een kopie van het verkeer naar een kleine computer waarop de sensor draait. Plan die wijziging zoals elke andere op het productienetwerk: stem haar af met de OT-engineer, controleer dat de switch de benodigde poorten zonder overbelasting kan spiegelen en voer haar uit in een onderhoudsvenster als uw regels dat vragen. Beslis daarna waar de sensorhost staat en hoe die meldingen naar buiten stuurt, bij voorkeur via een firewallregel die alleen dat toestaat. Bij NetSenX draait de agent op een Linux-host naar keuze en leest hij vanaf het Pro-abonnement Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP en S7comm; één agent op een mirrorpoort telt als één apparaat.

Gebruik dan een netwerk-TAP, of voeg een managed switch toe waar u zicht nodig hebt. Unmanaged switches, gebruikelijk in machinekasten, kunnen geen verkeer spiegelen. Een TAP is een klein kastje dat in één kabel wordt geplaatst, bijvoorbeeld de verbinding tussen de lijnswitch en de kern van het fabrieksnetwerk, en het verkeer in beide richtingen naar een monitorpoort kopieert zonder op het netwerk zichtbaar te zijn. Veel modellen houden de verbinding in stand als ze de stroom verliezen; controleer dat voor het model dat u koopt. Kies de verbinding die het voor u belangrijkste verkeer draagt: tussen kantoor en productie, of tussen de SCADA-servers en de besturingen. Verkeer tussen twee apparaten op dezelfde unmanaged switch gaat nooit over die verbinding en blijft buiten beeld. NetSenX werkt vanaf een SPAN-poort of een TAP; één agent daarop telt als één apparaat, en de OT-protocollen worden gelezen vanaf het Pro-abonnement.

Ja. Alles wat de machine op het netwerk doet, is van buitenaf te volgen, vanuit een kopie van haar verkeer van een SPAN-poort of TAP. Dat is de gebruikelijke aanpak voor besturingen, HMI's, testopstellingen, medische apparatuur en elk systeem waarvan de leverancier wijzigingen verbiedt of de garantie daaraan koppelt. U ziet het gedrag: met welke hosts het praat, op welke tijden, hoeveel gegevens en, bij de gedecodeerde industriële protocollen, wat het van de besturingen vraagt. U ziet niet wat er binnenin gebeurt: bestanden, processen en lokale aanmeldingen blijven verborgen, net als verkeer op verbindingen die niet gespiegeld worden. Zo werkt NetSenX: één agent op een mirrorpoort bewaakt het hele segment en telt als één apparaat. Beaconing, scans, laterale beweging en ongewoon uitgaand volume worden op elk abonnement gedetecteerd; de OT-protocollen en OT-meldingen komen met het Pro-abonnement.

Ja. De meeste aanvallen die de productie stilleggen, beginnen in het kantoornetwerk, via e-mail, een gestolen wachtwoord of de toegang van een leverancier, en een plat netwerk laat ze rechtstreeks tot bij de besturingen komen. Scheiden hoeft geen air gap te betekenen. Het gebruikelijke ontwerp plaatst een firewall tussen kantoor en productie, met daartussen een kleine gedemilitariseerde zone (DMZ) voor systemen die beide kanten nodig hebben, zoals een kopie van de historian, een patchserver of de gateway voor toegang op afstand, en zonder directe verbinding van een kantoor-pc naar een besturing. Begin met het vastleggen van de verbindingen die de productie echt nodig heeft, sta alleen die toe en log wat geweigerd wordt. Controleer daarna of de scheiding in de praktijk standhoudt, want uitzonderingen stapelen zich op. Vanaf het Pro-abonnement geeft NetSenX een melding wanneer verkeer niveaus van het fabrieksnetwerk overschrijdt, bijvoorbeeld van een kantoorhost rechtstreeks naar een besturing, op basis van een SPAN- of TAP-poort.

Het Purdue-model is een referentie-indeling die de systemen van een fabriek in niveaus ordent: onderaan het fysieke proces met zijn sensoren, daarboven de besturingen, dan toezichtsystemen zoals HMI en SCADA, vervolgens de fabrieksvoering met historian en productieplanning, en bovenaan het bedrijfsnetwerk. De regel die telt, is dat elk niveau vooral met zijn buren praat en dat verkeer tussen bedrijfsnetwerk en productie via een gecontroleerde grens loopt, meestal een DMZ. Verkeer dat niveaus overslaat, zoals een kantoor-pc die rechtstreeks met een PLC praat, is ofwel een ontwerpfout, ofwel iets wat een aanvaller gebruikt, en het is een van de duidelijkste waarschuwingssignalen in OT. Veel echte fabrieken passen niet netjes in het model, en dat is prima; het gaat erom dat u weet welke overgangen bedoeld zijn. Vanaf het Pro-abonnement markeert NetSenX verkeer dat Purdue-niveaus overschrijdt, uit passieve capture.

Test het en houd het daarna in de gaten. Neem voor de test een gewone kantoorlaptop en probeer, in overleg met de OT-engineer, een verbinding te openen naar het adres en de poort van een besturing en naar de HMI- en SCADA-servers; gebruik een eenvoudige verbindingstest, nooit een scanner, tegen productieapparatuur. Loop de firewallregels tussen kantoor en productie na op te ruime toestemmingen en oude uitzonderingen die niemand kan verklaren. Bekijk daarna een paar weken het echte verkeer, want de routes die ertoe doen zijn vaak de vergeten: een pc met een netwerkkaart in elk netwerk, een VPN van een leverancier dat binnen de productie eindigt, een draadloze brug. Vanaf het Pro-abonnement markeert NetSenX verkeer dat niveaus van het fabrieksnetwerk overschrijdt, zoals een kantoorhost die een besturing bereikt, zodat een pad dat niet zou mogen bestaan opvalt zodra het voor het eerst wordt gebruikt. Een pad dat bestaat maar nooit wordt gebruikt, blijft voor elke passieve sensor onzichtbaar.

Ja, en dat is de meest voorkomende manier waarop een cyberincident de productie stillegt, zelfs als de machines zelf onaangetast blijven. Lijnen zijn afhankelijk van IT-systemen voor orders, recepten, etiketten, verzending en kwaliteitsregistratie; als het ERP, de etiketserver of de bestandsshares versleuteld zijn, stoppen veel fabrieken liever dan zonder traceerbaarheid te produceren. Andere leggen de productie uit voorzorg stil tot duidelijk is hoe ver de aanvaller kwam. Productie beschermen begint dus aan de IT-kant: leg vast welke IT-systemen elke lijn nodig heeft, plan hoe u een dag zonder kunt werken, bewaar offline back-ups van die systemen en test het herstel. NetSenX bewaakt op elk abonnement de stappen aan de IT-kant die aan versleuteling voorafgaan: beaconing, scans, laterale beweging en ongewoon uitgaand volume. Vanaf het Pro-abonnement toont het OT-verkeer in hetzelfde dashboard. Het stopt ransomware niet; het geeft u tijd om te handelen.

Behandel ze als bezoekers met een sleutel: toegelaten voor een klus, via een bekende poort en in de gaten gehouden zolang ze er zijn. Spreek met elke machinebouwer en integrator af welke laptop mag aansluiten, waar en waarvoor. Geef ze een eigen onderhoudspoort of VLAN die alleen hun machine bereikt, in plaats van een willekeurige vrije aansluiting op de lijnswitch, en schakel die poort uit als het werk klaar is. Vraag om een malwarecontrole van de laptop voordat die aansluit, of leen de monteur een bedrijfslaptop met de engineeringsoftware, wat veel fabrieken liever doen. Houd een kort bezoeklogboek bij: wie, wanneer, welke machine. Aan de netwerkkant verschijnt de laptop als nieuw apparaat op de netwerkkaart van NetSenX, op elk abonnement, en als hij scant of met veel hosts begint te praten, gaan de meldingen voor scans en laterale beweging af. Vanaf het Pro-abonnement geeft een schrijfactie naar een besturing vanaf een host die niet mag schrijven een OT-melding.

Ja, als het segment dat de laptop gebruikte naar een sensor wordt gespiegeld: elke verbinding die hij maakte, ging over het netwerk en kan achteraf op adres worden opgesomd. Dat beantwoordt de vraag die fabrieksmanagers en auditors na een bezoek stellen: heeft de laptop alleen de machine aangeraakt waarvoor hij kwam? Maak het uzelf makkelijker door bezoekers adressen uit een bekende reeks of een eigen onderhouds-VLAN te geven, zodat hun verkeer makkelijk van het uwe te onderscheiden is. Op de netwerkkaart van NetSenX, op elk abonnement, staat de laptop als apparaat met de hosts waarmee hij praatte en wanneer hij voor het eerst en het laatst werd gezien. Vanaf het Pro-abonnement decodeert NetSenX ook Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP en S7comm, zodat schrijfacties van een host die niet mag schrijven en S7comm-commando's OT-meldingen geven. Een verbinding via de eigen 4G-router van de machinebouwer, of via een niet-gespiegelde switch in de machine, gaat nooit over uw bewaakte netwerk en wordt niet gezien.

Via één gecontroleerd toegangspunt dat van u is en alleen wordt ingeschakeld als het nodig is. In de praktijk: een gateway voor toegang op afstand of een jumpserver in de DMZ tussen kantoor en productie, meervoudige authenticatie voor elk leveranciersaccount, een persoonlijk account per monteur in plaats van een gedeeld account, toegang beperkt tot de machines die die leverancier onderhoudt, sessies die op verzoek worden opengezet en daarna weer gesloten, en logs of opnames van wat er gedaan is. Zodra die route bestaat, verwijdert u de permanente eigen tools van leveranciers, zoals apps voor bureaublad op afstand op HMI's en 4G-routers in kasten. NIS2 verwacht ook maatregelen voor de beveiliging van de toeleveringsketen, dus leg deze regels vast in de contracten. Op het netwerk verschijnt een leverancierssessie als verbindingen van de gateway naar de productie; NetSenX detecteert daaruit scans en laterale beweging op elk abonnement en, vanaf het Pro-abonnement, schrijfacties van hosts die niet mogen schrijven. NetSenX beslist niet wie toegang krijgt; dat doet uw gateway.

Ja. Een mobiele router die voor ondersteuning op afstand is geplaatst, verbindt de machine via het mobiele netwerk met internet, volledig langs uw firewall, zodat geen van uw regels, logs of VPN-controles erop van toepassing is. Als het portaal van de leverancier of de router zelf wordt gecompromitteerd, of het standaardwachtwoord nooit is gewijzigd, komt een aanvaller op uw productienetwerk terecht. Veel van deze routers staan op geen enkele tekening, omdat ze met de machine zijn meegekomen. Vraag elke machineleverancier schriftelijk of zijn apparatuur een modem of mobiele router bevat, inspecteer de kasten en verwijder het apparaat daarna, houd het uitgeschakeld tot er een ondersteuningssessie is gepland, of vervang het door uw eigen gecontroleerde route voor toegang op afstand. Een netwerksensor kan de 4G-verbinding zelf niet zien, omdat dat verkeer nooit over uw netwerk gaat; hij ziet alleen de LAN-kant van de router, als dat segment naar hem wordt gespiegeld.

Door de kasten en het netwerk samen te bekijken. Fysiek: open bij de volgende geplande stilstand de machinekasten en zoek naar kleine routers, modems en antennes, en vraag elke leverancier om een lijst van de communicatieapparatuur in zijn machines. Op het netwerk: zoek apparaten die zich als gateway gedragen, bijvoorbeeld een machine waarvan het verkeer naar een adres gaat dat niet uw router is, een apparaat dat zelf adressen uitdeelt, of een host die verbindingen van buiten ontvangt op momenten dat niemand aan uw kant iets startte. Een apparaat dat op uw netwerkkaart staat maar op geen enkele tekening, verdient een vraag. De netwerkkaart van NetSenX toont op elk abonnement de apparaten die het op bewaakte segmenten ziet communiceren, met eerste en laatste waarneming, en apparaten die met regelmatige tussenpozen naar buiten bellen, worden als beaconing gemarkeerd. Een router die alleen via zijn mobiele verbinding praat en op uw LAN stil blijft, vindt u niet via het netwerk; de inspectie van de kasten vindt hem wel.

Door hem te omringen met bescherming, omdat u hem niet kunt repareren. Bedienpanelen, HMI's en computers van testopstellingen draaien vaak op een besturingssysteem dat de fabrikant niet meer ondersteunt, en de machineleverancier verbiedt wijzigingen. Haal hem van elk netwerk dat hij niet nodig heeft, blokkeer zijn internettoegang, sta alleen de verbindingen toe die hij nodig heeft met de besturingen en servers waarmee hij werkt, schakel USB-poorten en overbodige diensten uit als de leverancier dat toestaat, gebruik application whitelisting als de fabrikant dat ondersteunt, en bewaar een geteste image om hem opnieuw te kunnen opbouwen. Vraag de leverancier om een migratiepad en leg het resterende risico vast. Bewaak hem daarna vanaf het netwerk, want er kan niets op worden geïnstalleerd: NetSenX ziet zijn verbindingen vanaf een SPAN- of TAP-poort en detecteert beaconing, scans, laterale beweging en ongewoon uitgaand volume op elk abonnement en, vanaf het Pro-abonnement, schrijfacties naar besturingen vanaf hosts die niet mogen schrijven. Wat er binnen de pc draait, ziet het niet.

Het is een maatregel die een risico verkleint dat u bij de bron niet kunt wegnemen. Als een besturing niet gepatcht kan worden, geen wachtwoord heeft of op een niet-ondersteund systeem draait, beschermt u haar van buitenaf: segmentatie en firewallregels zodat alleen benoemde hosts haar bereiken, geen internettoegang, een gecontroleerde route voor toegang op afstand, afgesloten kasten, offline back-ups van programma's en configuraties, en monitoring die meldt wanneer de bescherming wordt omzeild. Auditors die met IEC 62443 of NIS2-risicobeheer werken, verwachten doorgaans dat zulke maatregelen gedocumenteerd zijn: welk risico, welke maatregel, wie verantwoordelijk is en hoe u controleert dat ze nog werkt. Monitoring is het deel dat dat controlebewijs oplevert. NetSenX kan dat leveren: vanaf een SPAN- of TAP-poort toont het wie met het verouderde systeem praat en geeft het vanaf het Pro-abonnement OT-meldingen voor ongeautoriseerde schrijfacties, verkeer over niveaus van het fabrieksnetwerk, activiteit buiten werktijd en S7comm-commando's.

Door drie passieve bronnen te combineren: wat uw documenten zeggen, wat uw engineeringtools weten en wat het netwerk laat zien. Begin met de tekeningen, de engineeringprojectbestanden, die elke geconfigureerde besturing, aandrijving en decentrale I/O opsommen, en de leveranciersdocumentatie van elke machine. Loop daarna door de fabriek: kasten, bedienpanelen, locaties op afstand. Voeg ten slotte toe wat het verkeer laat zien: een passieve sensor op een mirrorpoort ziet elk apparaat dat op dat segment communiceert, ook de apparaten die niemand heeft opgeschreven. Leg per asset het adres, de functie, de eigenaar, de firmwareversie en de patchbaarheid vast. De netwerkkaart van NetSenX toont op elk abonnement de apparaten die op bewaakte segmenten zijn gezien, met de namen die ze zelf melden en eerste en laatste waarneming, en vanaf het Pro-abonnement leest NetSenX Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP en S7comm. Het benadert OT-apparaten nooit, dus het vraagt geen firmwareversies op; die komen uit uw engineeringtools.

Apparaten die niet communiceren op een segment dat u spiegelt. Daaronder vallen apparaten die meestal zwijgen, zoals een reservebesturing of een module die alleen antwoordt aan een master die u niet ziet; apparaten op seriële veldbussen zoals Modbus RTU of Profibus; apparaten achter een unmanaged switch waarvan het verkeer de gespiegelde verbinding nooit bereikt; apparatuur die alleen via een eigen mobiele router communiceert; en locaties op afstand zonder sensor. Passieve monitoring ziet ook minder binnen versleutelde protocollen en kan geen firmwareversie lezen die het apparaat zelf niet meldt. Dicht die gaten met een rondgang, de engineeringprojectbestanden en, als de fabriek dat accepteert, een zorgvuldig geplande bevraging met de tools van de fabrikant tijdens een onderhoudsvenster. NetSenX is uitsluitend passief, dus de netwerkkaart toont wat op bewaakte segmenten communiceert, en niets meer.

Meestal één per netwerksegment dat u op elke locatie wilt bewaken, dus doorgaans één tot drie per fabriek. Het aantal hangt af van waar verkeer gekopieerd kan worden: een SPAN-poort op de kernswitch van een fabriek ziet vaak het verkeer tussen kantoor en productie en tussen de SCADA-servers en de lijnswitches, terwijl verkeer binnen de eigen switch van een machine een sensor of TAP dichter bij die machine nodig heeft. Begin op elke locatie met de grens tussen kantoor en productie en voeg daarna de segmenten toe waar besturingen worden geprogrammeerd. Elke fabriek heeft een kleine host voor de sensor nodig en een manier om meldingen naar buiten te sturen. Bij NetSenX telt elke agent op een SPAN- of TAP-poort als één apparaat voor het hele segment dat hij bewaakt, verschijnen alle fabrieken in één dashboard en worden de OT-protocollen gelezen vanaf het Pro-abonnement. Op de prijspagina ziet u hoeveel apparaten elk abonnement omvat.

Ja, als iemand de tijd heeft om ze te beheren. Er bestaan volwassen opensourcetools voor netwerkmonitoring die verschillende industriële protocollen van een SPAN-poort kunnen lezen. De kosten zitten niet in de licentie maar in het werk: sensoren installeren en bijwerken, regels voor uw fabriek schrijven of afstellen, logs opslaan, dashboards bouwen en vooral iemand die naar de meldingen kijkt. In een fabriek met een OT-engineer die dit werk graag doet, kan dat een goed begin zijn. Heeft niemand die tijd, dan stapelen de logs zich ongelezen op, en hebt u het gevoel te monitoren zonder het resultaat. NetSenX is het beheerde alternatief: een agent op een SPAN- of TAP-poort, meldingen met een uitleg in gewone taal en de OT-protocollen vanaf het Pro-abonnement, zonder regels die u zelf moet onderhouden. Wat u ook kiest, begin bij de grens tussen kantoor en productie.

IEC 62443 is een reeks internationale normen voor de beveiliging van industriële automatiserings- en besturingssystemen. De reeks behandelt het beveiligingsprogramma van de eigenaar van de installatie, de plichten van integrators en dienstverleners, de eisen aan een volledig systeem dat in zones en conduits is verdeeld, en de eisen aan de producten zelf, met beveiligingsniveaus die beschrijven tegen welke aanvaller een zone bestand moet zijn. De norm is vrijwillig: een gewone fabrikant is wettelijk niet verplicht zich te laten certificeren, maar klanten, verzekeraars en auditors gebruiken haar steeds vaker als maatstaf, en de aanpak met zones en conduits is een praktische manier om de NIS2-risicomaatregelen in een fabriek te ordenen. U hebt geen certificaat nodig om er voordeel van te hebben: deel de fabriek in zones in, leg de conduits ertussen vast en bepaal wat elk mag vervoeren. Monitoring controleert de conduits daarna in de praktijk. NetSenX kan dat bewijs leveren: vanaf het Pro-abonnement leest het industriële protocollen passief en markeert het verkeer dat niveaus van het fabrieksnetwerk overschrijdt.

Meestal bewijs dat detectie bestaat, de juiste plekken dekt en tot actie leidt: welke OT-segmenten hoe worden bewaakt, welke soorten gebeurtenissen worden gedetecteerd, wie meldingen beoordeelt en hoe snel, voorbeelden van afgehandelde meldingen met de genomen beslissing, en hoe lang registraties worden bewaard. In Duitsland heeft het federale bureau voor informatiebeveiliging (BSI) een handreiking gepubliceerd over systemen voor aanvalsdetectie voor exploitanten van kritieke infrastructuur, die auditors vaak als referentie gebruiken; andere landen hebben eigen verwachtingen, dus controleer dat bij uw nationale autoriteit. Een lijst met tools alleen is niet genoeg: auditors zoeken een proces dat werkt. Een netwerkkaart met eerste en laatste waarneming, meldingen met tijdstempels en uw notities bij elke beslissing maken dat proces zichtbaar. NetSenX bewaart meldingen gedurende de meldingshistorie van uw abonnement en voegt vanaf het Pro-abonnement OT-meldingen toe voor ongeautoriseerde schrijfacties, verkeer tussen niveaus, activiteit buiten werktijd en S7comm-commando's. Het certificeert u niet en vervangt het oordeel van de auditor niet.

Ja, en een onderschat risico. Verwarming, ventilatie, verlichting, liften en toegangscontrole draaien tegenwoordig op netwerkcontrollers, vaak met BACnet/IP, met toegang op afstand voor het onderhoudsbedrijf en een cloudapp voor de facilitair manager. Ze worden zelden gepatcht, houden vaak standaardwachtwoorden en worden meestal door een ander team of een externe aannemer beheerd in plaats van door IT. Een aanvaller kan ze gebruiken om het gebouw te verstoren, of als stil bruggenhoofd naar het kantoornetwerk als beide niet gescheiden zijn. Vraag uw installateur waarmee het systeem verbinding maakt, wie toegang op afstand heeft en hoe, en zet de gebouwcontrollers in een eigen netwerksegment met internettoegang die beperkt is tot wat de fabrikant echt nodig heeft. NetSenX leest BACnet/IP uit passieve capture vanaf het Pro-abonnement en detecteert op elk abonnement beaconing, scans en ongewoon uitgaand volume van die controllers. Een aparte BACnet-anomaliemelding is er niet.

Ja, als beide een netwerk delen of de regels ertussen ruim zijn. Gebouwsystemen worden vaak door een installateur op dezelfde switches en in dezelfde adresreeks als het kantoor geplaatst, of met een handige route zodat de facilitair manager de besturingssoftware op een kantoor-pc kan openen. Een aanvaller die binnenkomt via de toegang op afstand van het gebouwsysteem of een zwakke controller, bereikt dan kantoorcomputers alsof hij binnen zit. Controleer waar de gebouwcontrollers en hun server staan, of ze kantoorhosts kunnen bereiken en of kantoorhosts hen kunnen bereiken; meestal heeft alleen één beheerstation dat nodig. Scheid ze met een firewall of een VLAN met strenge regels, en laat de toegang op afstand van de installateur via uw eigen gateway lopen. Op een bewaakt segment detecteert NetSenX op elk abonnement scans en laterale beweging van een gebouwcontroller richting kantoorhosts, zodat een controller die het netwerk begint te verkennen opvalt.

Dat kan, maar u moet weten waarom. Veel camerarecorders houden een vaste verbinding met de cloud van de fabrikant, zodat de telefoonapp beelden kan tonen zonder dat er een poort op uw router open moet, en die servers kunnen in een ander land of op een ander continent staan. Die verbinding is ook een kanaal voor toegang op afstand dat u nooit hebt ingesteld, beheerd door een derde partij, en oudere recorders hebben een lange geschiedenis van beveiligingslekken. Vraag de installateur of zoek in de documentatie van de fabrikant welke dienst het is, beslis of u beelden op afstand echt nodig hebt en, zo niet, schakel de cloudfunctie uit en blokkeer de internettoegang van de recorder. Hebt u het wel nodig, houd de firmware dan actueel en wijzig de standaardwachtwoorden. NetSenX toont de bestemmingen van de recorder vanaf een SPAN- of TAP-poort en detecteert beaconing en ongewoon uitgaand volume op elk abonnement, zodat een recorder die plotseling veel meer uploadt dan normaal opvalt. Of de cloud van de fabrikant aanvaardbaar is, blijft uw beslissing.

Dat kan. Smart-tv's, vergaderschermen en reserveringspanelen draaien op eigen besturingssystemen, bellen naar de fabrikant voor updates, apps en reclame en worden na installatie zelden bijgewerkt. Op het kantoornetwerk staan ze naast de laptops die erop worden gepresenteerd, en sommige hebben microfoons en camera's. Het meeste van dat verkeer gaat naar diensten van de fabrikant, maar van buitenaf ziet u dat niet zonder te kijken. Schakel functies uit die u niet gebruikt, zoals spraakbesturing, appwinkels en kijkstatistieken, werk de firmware bij en verplaats schermen naar een apart netwerk voor apparaten, met internettoegang die beperkt is tot wat nodig is en zonder toegang tot kantoorhosts. Laptops kunnen dan hun scherm delen via een kabel of een castingapparaat op dat netwerk. NetSenX bewaakt zulke apparaten zonder software erop, vanaf een SPAN- of TAP-poort, en detecteert beaconing, scans en ongewoon uitgaand volume op elk abonnement.

Meestal om gewone redenen: firmware-updates, toner- en verbruiksmeldingen aan de leverancier, printen via de cloud en scannen naar de cloud. Managed-printcontracten bevatten die meldingen vaak, dus vraag uw leverancier wat de printer verstuurt en waarheen. Het risico is dat printers volwaardige computers zijn met oude software, beheerpagina's met standaardwachtwoorden en opgeslagen kopieën van gescande documenten, en dat niemand ze in de gaten houdt. Zoek in de printerinstellingen de cloud- en afstandsfuncties op die u niet gebruikt en schakel ze uit, werk de firmware bij, stel een beheerderswachtwoord in en beperk de internettoegang tot de diensten van de leverancier. Een printer die verbinding begint te maken met veel interne adressen, of met nieuwe bestemmingen buiten, verdient dezelfde dag een blik. NetSenX ziet printers vanaf een SPAN- of TAP-poort zonder software erop, toont ze op de netwerkkaart en detecteert scans, beaconing en ongewoon uitgaand volume op elk abonnement.

Vooral met netwerkontwerp, omdat deze apparaten geen beveiligingssoftware kunnen draaien. Zet handscanners, etiketprinters, transportbandbesturingen en de magazijn-wifi in een eigen netwerksegment dat alleen de server van het magazijnbeheersysteem en de benodigde printers bereikt, niet de kantoor-pc's of internet in het algemeen. Gebruik een apart wifinetwerk met authenticatie per apparaat of met certificaten in plaats van één gedeeld wachtwoord dat elke oud-uitzendkracht kent, houd het besturingssysteem en de apps van de handhelds bij via hun beheertool en vergrendel ze op de magazijnapp. Neem apparaten uit gebruik die de fabrikant niet meer bijwerkt. Bewaak daarna het segment, want één gecompromitteerde handheld op een plat magazijnnetwerk bereikt al het andere. NetSenX bewaakt het segment met één agent op een SPAN- of TAP-poort: de netwerkkaart toont de apparaten, en scans, beaconing en ongewoon uitgaand volume worden op elk abonnement gedetecteerd.

Nee. NetSenX telt de agents die u draait, niet de apparaten die ze bewaken. Eén agent op een SPAN- of TAP-poort telt als één apparaat voor het hele segment dat hij bewaakt, dus veertig handscanners, de etiketprinters en de transportbandbesturing op één gespiegeld segment vallen onder die ene agent. Een agent die rechtstreeks op een server of laptop is geïnstalleerd, telt ook als één apparaat en bewaakt die host. De planningsvraag is dus hoeveel segmenten u wilt bewaken en waar u hun verkeer kunt kopiëren, niet hoeveel apparaten u bezit. Een magazijn met een eigen switch heeft daar meestal één agent nodig. Handhelds op wifi-accesspoints die op die switch zijn aangesloten, worden gezien wanneer hun verkeer over de gespiegelde poort gaat. De prijspagina toont de apparaatlimiet van elk abonnement, vanaf Free.

Vanaf het netwerk, net als industriële apparatuur. Analysers, beeldvormende apparatuur, infuuspompen en laboratoriuminstrumenten draaien vaak op oude systemen die de fabrikant certificeert en die u niet mag wijzigen, dus een agent is geen optie. Zet ze in een eigen netwerksegment dat alleen de systemen bereikt waaraan ze rapporteren, zoals het laboratoriuminformatiesysteem of het beeldarchief, blokkeer internettoegang die ze niet nodig hebben, en laat de service op afstand van elke fabrikant via uw eigen gateway lopen. Een sensor op een SPAN- of TAP-poort van dat segment ziet dan hun verbindingen zonder ze aan te raken. NetSenX toont de apparaten op de netwerkkaart en detecteert beaconing, scans, laterale beweging en ongewoon uitgaand volume op elk abonnement. Het decodeert geen medische protocollen zoals HL7 of DICOM en ontsleutelt nooit verkeer. Vraag uw functionaris voor gegevensbescherming vóór het inschakelen hoe de monitoring past in uw register van verwerkingsactiviteiten.