OT / ICS

OT-netwerken bewaken zonder de besturingen aan te raken

Passieve monitoring van een OT-netwerk betekent dat u industrieel verkeer leest uit een kopie, afgenomen op een SPAN-poort of een netwerk-TAP, zonder ook maar één pakket naar een PLC, RTU of SCADA-server te sturen. Op de besturingen wordt niets geïnstalleerd en verandert niets. Daarom is het de gebruikelijke manier om zicht te krijgen op productienetwerken die niet zomaar gepatcht, herstart of gescand kunnen worden.

Het feit om mee te plannen

Op 1 december 2023 meldden CISA en partnerorganisaties in advisory AA23-335A dat aan de IRGC gelieerde actoren PLC's van Unitronics hadden gecompromitteerd die in Amerikaanse drinkwater- en afvalwaterinstallaties worden gebruikt. De PLC's waren waarschijnlijk vanaf internet bereikbaar en gebruikten nog het standaardwachtwoord van de fabrikant.

Bron: CISA and partners — Advisory AA23-335A (IRGC-affiliated actors exploit PLCs in multiple sectors, including US water and wastewater facilities), 1 December 2023

Zo werkt passieve OT-monitoring

Het principe is eenvoudig: luister naar een kopie van het verkeer en praat nooit met de apparaten.

  1. 01Spiegelen, niet benaderen

    Een SPAN-poort op de industriële switch, of een passieve TAP op de verbinding, stuurt een kopie van het verkeer naar de sensor. De sensor luistert alleen; hij benadert nooit een apparaat en kan een proces dus niet verstoren.

  2. 02Lees de industriële protocollen

    Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP en S7comm vervoeren lees- en schrijfacties en opdrachten in structuren die een sensor kan decoderen. Zo ziet u welk station met welke besturing praat en wat het vraagt.

  3. 03Bewaak de grens tussen IT en OT

    Veel OT-incidenten beginnen in het kantoornetwerk. Verkeer dat van IT naar het besturingsnetwerk gaat, of een besturing die plotseling met internet praat, verdient aandacht.

  4. 04Houd OT-apparaten buiten actieve scans

    Actieve kwetsbaarheidsscans en ontdekkingsprobes kunnen oudere besturingen van slag brengen. Sluit apparaten die als OT zijn geclassificeerd daarvan uit; NetSenX benadert ze nooit.

Wat NetSenX vandaag doet

  • Leest vanaf het Pro-abonnement Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP en S7comm uit passieve capture op een SPAN- of TAP-poort. De OT-meldingen die het geeft: een schrijfactie naar een controller vanaf een host die niet mag schrijven, verkeer dat Purdue-niveaus overschrijdt, OT-activiteit buiten werktijd en S7comm-commando's.
  • Benadert apparaten die als OT zijn geclassificeerd nooit actief, dus geen risico voor PLC's of SCADA.
  • Toont OT-verkeer in hetzelfde dashboard als het IT-netwerk, met een begrijpelijke uitleg bij elke melding en het volgen van de termijnen van artikel 23 NIS2 bij incidenten.
  • Draait als software op een host naar keuze die op de mirrorpoort is aangesloten: er is geen NetSenX-appliance om te kopen, en één agent die een segment bewaakt, telt als één apparaat.

Wat NetSenX niet doet

NetSenX wijzigt geen configuratie van besturingen, zet geen firmware en blokkeert geen industriële opdrachten, en het is geen veiligheidssysteem in de zin van functionele veiligheid: het informeert uw engineers, het grijpt niet in het proces in. Het leest de vijf industriële protocollen op deze pagina; vraag het ons voordat u op een ander protocol rekent. Het ziet alleen de segmenten die u ernaartoe spiegelt, en seriële veldbussen die nooit Ethernet bereiken, vallen buiten zijn zicht. Er is geen aparte anomaliemelding per industrieel protocol.

Vragen van kopers

Kun je een OT-netwerk bewaken zonder de PLC's te beïnvloeden?

Ja, met passieve monitoring: de sensor leest een kopie van het verkeer vanaf een SPAN-poort of TAP en stuurt nooit iets naar de besturingen. Zo werkt NetSenX vanaf het Pro-abonnement, en apparaten die als OT zijn geclassificeerd benadert het nooit actief.

Welke industriële protocollen leest NetSenX?

Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP en S7comm, uit passieve capture, vanaf het Pro-abonnement.

Heb ik op elke locatie een hardware-appliance nodig?

Er is geen NetSenX-appliance nodig: de agent is software die op een host naar keuze draait. Eén agent op een SPAN- of TAP-poort bewaakt het hele segment en telt als één apparaat.

Geldt NIS2 ook voor OT-netwerken?

NIS2 geldt voor entiteiten in sectoren als energie, vervoer, drinkwater, gezondheidszorg en de productie van bepaalde goederen (bijlagen I en II van Richtlijn (EU) 2022/2555). De maatregelen van artikel 21 gaan over de netwerk- en informatiesystemen die een entiteit voor haar activiteiten gebruikt, en daar kunnen OT-systemen onder vallen. Controleer de reikwijdte bij uw nationale autoriteit.

Bronnen

  1. CISA and partners — Advisory AA23-335A (IRGC-affiliated actors exploit PLCs in multiple sectors, including US water and wastewater facilities), 1 December 2023
  2. Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex

Deze pagina is algemene informatie en geen juridisch advies. Controleer uw verplichtingen bij uw nationale toezichthouder of uw juridisch adviseur.

Gerelateerde pagina's

Probeer NetSenX op uw eigen netwerk

Begin met het Free-abonnement voor maximaal 3 apparaten, of boek een demo van 20 minuten.

Bekijk prijzenBoek een demo