OT i IoT

Tak, od planu Pro. NetSenX odczytuje Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm z pasywnego przechwytywania na porcie SPAN lub TAP. Urządzenia sklasyfikowane jako OT nigdy nie są aktywnie skanowane, więc sterowniki PLC i systemy SCADA nie są narażone.

Tak, dzięki monitoringowi pasywnemu: sensor odczytuje kopię ruchu z portu SPAN lub TAP-a i nigdy niczego nie wysyła do sterowników. Tak działa NetSenX od planu Pro i nigdy aktywnie nie odpytuje urządzeń sklasyfikowanych jako OT.

Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm, z pasywnego przechwytywania ruchu, w planie Pro i wyższych.

Nie trzeba żadnego urządzenia NetSenX: agent to oprogramowanie działające na wybranym przez Ciebie hoście. Jeden agent podłączony do portu SPAN lub TAP obserwuje cały segment i liczy się jako jedno urządzenie.

NIS2 dotyczy podmiotów z sektorów takich jak energetyka, transport, woda pitna, ochrona zdrowia i produkcja wybranych wyrobów (załączniki I i II dyrektywy (UE) 2022/2555). Środki z art. 21 dotyczą sieci i systemów informatycznych, z których podmiot korzysta w swojej działalności, a to mogą być także systemy OT. Zakres potwierdź u krajowego organu.

Monitoring pasywny nie może, bo tylko słucha kopii ruchu i nigdy niczego nie wysyła do sterowników. Aktywne skanowanie to co innego: niektóre starsze sterowniki PLC i stacje RTU zawieszają się, restartują albo przechodzą w stan błędu, gdy odpytuje je narzędzie do wykrywania urządzeń lub skaner podatności. Dlatego wiele zakładów w ogóle nie dopuszcza skanerów do sieci sterowania. Kopię ruchu pobierz z portu SPAN na przełączniku przemysłowym albo z pasywnego TAP-a i sprawdź u producenta przełącznika, czy mirroring nie przeciąży starego urządzenia. NetSenX od planu Pro odczytuje Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm z pasywnego przechwytywania ruchu i nigdy aktywnie nie odpytuje urządzeń sklasyfikowanych jako OT. Na sterownikach niczego się nie instaluje i żadne ich ustawienie się nie zmienia.

Tak. Kamery, drukarki, kontrolery drzwi, ekrany i czujniki są często stare, rzadko aktualizowane i nie da się na nich zainstalować agenta, co czyni je częstą drogą do sieci i dobrą kryjówką dla napastnika, który już jest w środku. Zacznij od darmowych kroków: spisz je, zmień domyślne hasła, zaktualizuj oprogramowanie, wyłącz nieużywane funkcje chmurowe i przenieś je do osobnego segmentu sieci z regułami, które pozwalają tylko na to, czego potrzebują. Monitoring pokazuje potem, czy te reguły działają. Sensor w tym segmencie widzi ich ruch bez dotykania urządzeń; NetSenX wykrywa z nich skanowanie, beaconing i nietypowy wolumen danych wychodzących, w każdym planie, a mapa sieci pokazuje urządzenia, które komunikują się w sieci. Urządzenie, które milczy albo stoi w segmencie bez kopii ruchu, pozostaje poza zasięgiem.

Mniejszym, ale tak. Osobna wirtualna sieć LAN (VLAN) pomaga tylko wtedy, gdy reguły między nią a resztą sieci są ścisłe, a kamery i rejestratory często dostają szerokie wyjątki, żeby pracownicy mogli oglądać obraz z dowolnego komputera czy telefonu. Zwykle potrzebują też dostępu do internetu dla aplikacji i aktualizacji, a to jest również droga wyjścia dla napastnika. Pozwól docierać do kamer tylko stanowisku podglądu albo serwerowi wideo, odetnij VLAN kamer od całej reszty, zablokuj niepotrzebny dostęp do internetu, zmień domyślne hasła i zaktualizuj oprogramowanie. Sensor w tym VLAN-ie widzi ich ruch; NetSenX wykrywa z nich skanowanie, beaconing i nietypowy wolumen danych wychodzących, w każdym planie, więc kamera, która zaczyna łączyć się z nowymi miejscami, od razu się wyróżnia.

Obserwuj ruch do sterowników i od nich, bo programowalny sterownik logiczny (PLC) prawie nie prowadzi własnego dziennika bezpieczeństwa. Przydatne sygnały są proste: zapis albo wgranie programu z komputera, który nie jest Twoją stacją inżynierską, nieplanowane polecenie stop lub start, komputery biurowe rozmawiające bezpośrednio ze sterownikami oraz aktywność w nocy lub w weekend, gdy nikt nie pracuje przy linii. Zacznij od darmowych kroków: spisz, które stacje mogą programować każdy sterownik, sprawdź, czy sieć biurowa nie sięga do sieci sterowania, i zostaw przełączniki trybu sterowników w pozycji RUN, jeśli Twój sprzęt je ma. Od planu Pro NetSenX odczytuje Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm z portu SPAN lub TAP i zgłasza cztery rodzaje alertów OT: nieuprawnione zapisy, ruch przekraczający poziomy sieci zakładu, aktywność OT poza godzinami pracy i polecenia S7comm. Nigdy nie odpytuje sterowników i nie widzi łączy szeregowych ani segmentów, z których nie ma kopii ruchu.

Bo nie ma uwierzytelniania ani szyfrowania: każde urządzenie, które dosięgnie sterownika Modbus/TCP, może odczytać jego wartości, a jeśli sam sterownik tego nie ogranicza, także zapisać cewki i rejestry. Modbus powstał w 1979 roku dla łączy szeregowych między zaufanymi urządzeniami, na długo przed połączeniem sieci sterowania z siecią biurową i internetem. Istnieje zabezpieczony wariant z TLS, ale obsługuje go niewiele zainstalowanych urządzeń. W praktyce chroni się Modbus z zewnątrz: port 502 nie może być dostępny z internetu, do sterowników dopuszcza się tylko wskazane stacje inżynierskie i serwery SCADA, a jeśli PLC ma ochronę przed zapisem, warto jej używać. Ponieważ ruch nie jest szyfrowany, pasywny sensor widzi, która stacja czyta z którego sterownika i do którego zapisuje. NetSenX robi to od planu Pro i zgłasza alert, gdy zapis wysyła host, który nie ma do tego uprawnień; nie zmienia protokołu i nie blokuje polecenia.

Potrzebujesz czegoś, co odczytuje protokół przemysłowy w sieci i wie, które hosty mogą zapisywać, bo sterownik zwykle przyjmie zapis bez sprzeciwu i niczego nie zapisze w dzienniku. Najpierw spisz, które stacje w ogóle powinny zmieniać ustawienia: zwykle jedna lub dwie stacje inżynierskie oraz serwery SCADA lub HMI. Potem, gdzie się da, wymuś to w sieci regułami zapory, które dopuszczają do sterowników tylko te hosty. Monitoring pokrywa to, co reguły przeoczą: laptopa podpiętego do linii, komputer biurowy z zapomnianą trasą, złośliwe oprogramowanie na dozwolonej stacji. Od planu Pro NetSenX odczytuje żądania zapisu z pasywnego przechwytywania na porcie SPAN lub TAP i zgłasza alert, gdy zapis pochodzi z hosta bez uprawnień, podając źródło, sterownik, funkcję i czas. Nie zapisuje wpisanej wartości ani tego, kto siedział przy klawiaturze.

Te, które oznaczają zmianę w procesie: zapis albo wgranie programu z nieoczekiwanego komputera, zatrzymanie, uruchomienie lub zmianę trybu sterownika, ruch z biura docierający do poziomu sterowania, a także każde z tych zdarzeń poza godzinami pracy. W normalnej pracy zdarzają się rzadko, więc każde zasługuje na telefon do osoby odpowiedzialnej za linię. Alerty o wolumenie albo nowych celach połączeń też są ważne, ale po stronie IT, gdzie zaczyna się większość ataków na zakłady. Ustal z góry, kto dostaje alerty OT, jak szybko ktoś je sprawdza i że nikt nie odłącza hosta produkcyjnego bez zgody kierownika zmiany, bo nagłe odłączenie może kosztować więcej niż sam alert. Od planu Pro NetSenX zgłasza dokładnie takie alerty OT: nieuprawnione zapisy, ruch przekraczający poziomy sieci zakładu, aktywność OT poza godzinami pracy i polecenia S7comm, obok alertów o beaconingu, skanowaniu, ruchu lateralnym i nietypowym wolumenie danych wychodzących, które działają w każdym planie.

Połącz zapis tego, kiedy inżynierowie naprawdę pracują przy sterownikach, z sensorem, który widzi w sieci wgrania programu i zapisy. Zmiana programu o 2:00 w niedzielę nie dowodzi ataku, bo konserwacja często odbywa się, gdy linia stoi, ale następnego ranka ktoś powinien umieć ją wyjaśnić. Prowadź prosty rejestr zmian z planowanymi oknami serwisowymi, porównuj go z tym, co pokazuje sieć, i trzymaj offline sprawdzoną kopię programu każdego sterownika, żeby móc go porównać i przywrócić. Niektóre sterowniki potrafią też zgłosić zmianę programu do systemu SCADA. Od planu Pro NetSenX oznacza aktywność OT poza godzinami pracy i dekoduje żądania S7comm, takie jak wgranie bloku programu, razem z nazwą bloku, z portu SPAN lub TAP. Nie odczytuje treści programu i nie porównuje wersji; to zadanie Twojego oprogramowania inżynierskiego.

Tak, jeśli polecenie stop idzie przez sieć w protokole S7comm, którego sterowniki Siemens S7 używają do programowania i diagnostyki. S7comm nie jest szyfrowany, więc pasywny sensor, który dostaje kopię ruchu, rozpozna żądanie jako stop, razem z komputerem, który je wysłał, i czasem. Zatrzymanie przełącznikiem na samym sterowniku albo z jego panelu nigdy nie przechodzi przez sieć, więc nie zobaczy go żaden sensor. Nowsze sterowniki mogą korzystać z chronionego następcy, S7comm-plus; zanim zaczniesz polegać na NetSenX przy takim ruchu, zapytaj nas. Od planu Pro NetSenX dekoduje żądania S7comm na nazwy poleceń, takie jak zatrzymanie PLC, zapis zmiennej czy wgranie bloku programu, i zgłasza alert polecenia S7comm z portu SPAN lub TAP, niczego nie wysyłając do sterownika. Informuje inżynierów; nie blokuje polecenia.

Pokaże, który komputer wysłał zapis i kiedy, a to zwykle wystarcza, żeby znaleźć osobę. Większość protokołów przemysłowych nie przenosi nazwy użytkownika, więc sieć zna tylko adres źródłowy. Powiązanie adresu z osobą zapewnia dziennik zdarzeń HMI lub SCADA, log oprogramowania inżynierskiego i grafik zmian. Żeby było to możliwe później, daj każdej stacji inżynierskiej stały adres, wymagaj imiennych logowań do HMI i SCADA i przechowuj ich logi tak długo jak dokumentację jakości. Od planu Pro NetSenX odczytuje zapisy z pasywnego przechwytywania na porcie SPAN lub TAP, a gdy zapisuje host bez uprawnień, zgłasza alert z hostem źródłowym, sterownikiem, kodem funkcji i czasem. Nie zapisuje wpisanej wartości i nigdy nie identyfikuje osoby: obserwuje urządzenia i połączenia, nie ludzi.

Nie. NetSenX odnotowuje, że zapis nastąpił, z którego hosta, do którego sterownika, z jakim kodem funkcji i kiedy, ale nie wpisaną wartość ani zawartość bloku programu. To świadome ograniczenie: wartości procesowe i programy to Twoje know-how, a alert potrzebuje informacji kto i kiedy, nie receptury. Jeśli potrzebujesz wartości, na przykład żeby odtworzyć wadliwą partię, znajdziesz je w systemie historian, w dzienniku zdarzeń SCADA lub HMI albo w diagnostyce sterownika. Zaplanuj to, zanim będzie potrzebne: sprawdź, jak długo historian przechowuje dane i czy zmiany w HMI są logowane z nazwą użytkownika. NetSenX od planu Pro odczytuje Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm z pasywnego przechwytywania ruchu i nigdy niczego nie wysyła do urządzeń.

Tak, jako jedno z kilku źródeł dowodów. Alert OT mówi, że sterownik otrzymał zapis od hosta bez uprawnień, polecenie S7comm albo ruch poza godzinami pracy, i podaje host źródłowy, sterownik oraz czas. Ułóż go na osi czasu obok danych z systemu historian, dziennika HMI, książki zmian i zapisów serwisowych, a zwykle zawęzisz, kiedy i skąd przyszła zmiana. Zadbaj o zgodność zegarów, bo kilka minut różnicy między systemami sprawia, że oś czasu wprowadza w błąd. Pamiętaj też, czego alerty nie obejmują: uprawniony zapis w trakcie zmiany nie wywołuje alertu, więc dziennik HMI pozostaje zapisem codziennych zmian. NetSenX przechowuje alerty przez okres historii alertów Twojego planu; przeglądasz je w panelu, przez API od planu Pro albo w swoim SIEM od planu Business. Nie zawierają wpisanych wartości i nie wskazują żadnej osoby.

Nie. NetSenX odczytuje pięć protokołów przemysłowych, Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm, ale nie ma osobnego alertu anomalii dla każdego z nich, na przykład dla nietypowego odpytywania Modbus czy dziwnego ruchu BACnet. Alerty OT to cztery rodzaje, które działają na wszystkim, co odczytuje: zapis do sterownika z hosta bez uprawnień, ruch przekraczający poziomy sieci zakładu, aktywność OT poza godzinami pracy oraz polecenia S7comm, takie jak stop czy wgranie programu. Te same hosty obserwują też ogólne detekcje: beaconing, skanowanie, ruch lateralny i nietypowy wolumen danych wychodzących. Jeśli Twoja analiza ryzyka wymaga głębokiego wykrywania anomalii dla konkretnego protokołu, na przykład dla telemechaniki w przedsiębiorstwie energetycznym, zapytaj nas, co jest objęte, zanim zaczniesz na tym polegać, albo użyj obok NetSenX wyspecjalizowanego narzędzia OT. Funkcje OT są dostępne od planu Pro.

Nie. NetSenX słucha kopii ruchu i informuje inżynierów; nie stoi na drodze pakietów, więc nie może żadnego odrzucić, i nigdy nie ingeruje w proces. To celowe: urządzenie w linii, które blokuje polecenia przemysłowe, może przez pomyłkę zatrzymać linię, a NetSenX nie jest systemem bezpieczeństwa funkcjonalnego. Ochronę przed niebezpiecznymi poleceniami dają inne warstwy: zapora między strefami, która przepuszcza tylko wskazane hosty, ochrona przed zapisem i przełączniki trybu na sterownikach oraz przyrządowy system bezpieczeństwa niezależny od sieci sterowania. NetSenX dokłada do tego, od planu Pro, alert, gdy zapisuje host, który nie powinien, gdy sterownik otrzymuje polecenie S7comm, takie jak stop, albo gdy w nocy pojawia się ruch OT, tak żeby ktoś mógł to sprawdzić przed następną zmianą.

Obecnie nie. NetSenX od planu Pro odczytuje z pasywnego przechwytywania pięć protokołów przemysłowych: Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm. Inny ruch przemysłowy w monitorowanym segmencie nadal widać jako połączenia między hostami: beaconing, skanowanie, ruch lateralny i nietypowy wolumen danych wychodzących dalej działają, a mapa sieci dalej pokazuje urządzenia. Brakuje dekodowania poleceń tego protokołu, więc alerty OT dotyczące zapisów i poleceń go nie obejmują. Jeśli Twój zakład działa głównie na PROFINET, OPC UA albo protokole telemechaniki IEC 60870-5-104, powiedz nam o tym przed zakupem i zapytaj, co zostałoby objęte w Twojej sieci, albo połącz NetSenX z narzędziem, które te protokoły dekoduje. Lepiej wiedzieć to teraz niż odkryć lukę podczas audytu.

Nie. Sensor sieciowy widzi ruch Ethernet i IP, którego kopię dostaje. Łącza szeregowe, takie jak Modbus RTU po RS-485, Profibus DP i inne magistrale polowe, nigdy nie trafiają do Ethernetu, więc polecenia na nich są poza jego zasięgiem. Widzi natomiast bramkę, która tłumaczy między Ethernetem a magistralą szeregową: kto z nią rozmawia, kiedy i jak często. W wielu zakładach to przydatny sygnał, bo każdy, kto chce dosięgnąć urządzenia szeregowego z sieci, musi przejść przez tę bramkę. Spisz swoje bramki, chroń je jak sterowniki i kopiuj ruch z segmentu, w którym stoją. NetSenX od planu Pro odczytuje z pasywnego przechwytywania Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm. Po stronie szeregowej polegaj na diagnostyce samych sterowników i na zamkniętych szafach.

Oznacza, że sensor nigdy nie wysyła pakietu do urządzenia sklasyfikowanego jako OT: żadnego skanowania w celu wykrycia urządzeń, żadnego skanowania portów, żadnego zapytania protokołu, żadnej próby logowania. Odczytuje tylko kopię ruchu, który Twoje systemy i tak wymieniają, pobraną z portu SPAN albo TAP-a. Narzędzia aktywne działają inaczej: zadają każdemu urządzeniu pytania, a niektóre starsze sterowniki PLC, stacje RTU i panele HMI źle reagują na nieoczekiwane żądania, od spowolnienia po awarię. Dla kierownika zakładu oznacza to w praktyce, że włączenie NetSenX nie dodaje żadnego ruchu do sieci sterowania i nie może zmienić stanu sterownika, więc na samych sterownikach nie potrzeba okna serwisowego. Ceną jest to, że pasywny sensor wie tylko to, co urządzenia mówią: sterownik, który nigdy nie komunikuje się w segmencie z kopią ruchu, nie jest widoczny. Monitoring OT jest dostępny od planu Pro.

Nie. Monitoring pasywny nie wymaga żadnego oprogramowania, zmiany konfiguracji ani firmware w sterownikach PLC, panelach HMI czy napędach. Zmiana dotyczy sieci: port SPAN (lustrzany) na zarządzalnym przełączniku albo pasywny TAP na kablu wysyła kopię ruchu do małego komputera, na którym działa sensor. Zaplanuj tę zmianę jak każdą inną w sieci produkcyjnej: uzgodnij ją z inżynierem OT, sprawdź, czy przełącznik może kopiować potrzebne porty bez przeciążenia, i wykonaj ją w oknie serwisowym, jeśli wymagają tego Twoje zasady. Potem zdecyduj, gdzie stanie host sensora i jak będzie wysyłał alerty, najlepiej przez regułę zapory, która pozwala tylko na to. W NetSenX agent działa na wybranym przez Ciebie hoście z Linuksem i od planu Pro odczytuje Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm; jeden agent na porcie lustrzanym liczy się jako jedno urządzenie.

Użyj TAP-a sieciowego albo dodaj zarządzalny przełącznik tam, gdzie potrzebujesz widoczności. Przełączniki niezarządzalne, częste w szafach maszyn, nie potrafią kopiować ruchu. TAP to małe urządzenie wpinane w jeden kabel, na przykład w łącze między przełącznikiem linii a rdzeniem sieci zakładu, które kopiuje ruch w obu kierunkach do portu monitorującego i nie jest widoczne w sieci. Wiele modeli utrzymuje łącze także po utracie zasilania; sprawdź to dla modelu, który kupujesz. Wybierz łącze, które przenosi najważniejszy dla Ciebie ruch: między biurem a produkcją albo między serwerami SCADA a sterownikami. Ruch między dwoma urządzeniami na tym samym przełączniku niezarządzalnym nigdy nie przechodzi przez to łącze i pozostaje niewidoczny. NetSenX działa z portu SPAN albo z TAP-a; jeden agent liczy się jako jedno urządzenie, a protokoły OT są odczytywane od planu Pro.

Tak. Wszystko, co maszyna robi w sieci, da się obserwować z zewnątrz, z kopii jej ruchu pobranej z portu SPAN lub TAP-a. Tak zwykle postępuje się ze sterownikami, panelami HMI, stanowiskami testowymi, urządzeniami medycznymi i każdym systemem, którego dostawca zabrania zmian albo uzależnia od nich gwarancję. Widać jego zachowanie: z którymi hostami rozmawia, o jakich porach, ile danych przesyła, a w dekodowanych protokołach przemysłowych także, czego żąda od sterowników. Nie widać tego, co dzieje się w środku: pliki, procesy i lokalne logowania pozostają ukryte, podobnie jak ruch na łączach bez kopii. Tak działa NetSenX: jeden agent na porcie lustrzanym obserwuje cały segment i liczy się jako jedno urządzenie. Beaconing, skanowanie, ruch lateralny i nietypowy wolumen danych wychodzących są wykrywane w każdym planie; protokoły i alerty OT są dostępne od planu Pro.

Tak. Większość ataków, które zatrzymują produkcję, zaczyna się w sieci biurowej, przez e-mail, skradzione hasło albo dostęp dostawcy, a płaska sieć pozwala im dojść prosto do sterowników. Oddzielenie nie musi oznaczać fizycznej izolacji. Typowy projekt stawia zaporę między biurem a produkcją, z małą strefą zdemilitaryzowaną (DMZ) pośrodku dla systemów potrzebnych obu stronom, takich jak kopia systemu historian, serwer aktualizacji czy brama zdalnego dostępu, i bez bezpośredniego połączenia z komputera biurowego do sterownika. Zacznij od spisania połączeń, których produkcja naprawdę potrzebuje, dopuść tylko je i loguj to, co zostało odrzucone. Później sprawdzaj, czy oddzielenie działa w praktyce, bo wyjątków przybywa. Od planu Pro NetSenX zgłasza alert, gdy ruch przekracza poziomy sieci zakładu, na przykład z hosta biurowego prosto do sterownika, na podstawie kopii ruchu z portu SPAN lub TAP.

Model Purdue to wzorcowy układ, który dzieli systemy zakładu na poziomy: na dole proces fizyczny i czujniki, nad nimi sterowniki, potem systemy nadzoru, takie jak HMI i SCADA, dalej systemy zarządzania produkcją, takie jak historian i planowanie, a na górze sieć biznesowa. Liczy się zasada, że każdy poziom rozmawia głównie z sąsiednimi, a ruch między biznesem a produkcją przechodzi przez kontrolowaną granicę, zwykle DMZ. Ruch, który przeskakuje poziomy, na przykład komputer biurowy rozmawiający bezpośrednio z PLC, jest albo błędem projektu, albo czymś, z czego korzysta napastnik, i należy do najwyraźniejszych sygnałów ostrzegawczych w OT. Wiele prawdziwych zakładów nie pasuje do modelu idealnie i to nic złego; ważne, żebyś wiedział, które przejścia są zamierzone. Od planu Pro NetSenX oznacza ruch przekraczający poziomy modelu Purdue, na podstawie pasywnego przechwytywania.

Przetestuj, a potem obserwuj. Do testu weź zwykłego laptopa biurowego i, w porozumieniu z inżynierem OT, spróbuj otworzyć połączenie z adresem i portem sterownika oraz z serwerami HMI i SCADA; użyj prostego testu połączenia, nigdy skanera wobec urządzeń produkcyjnych. Przejrzyj reguły zapory między biurem a produkcją pod kątem zbyt szerokich zezwoleń i starych wyjątków, których nikt nie umie wyjaśnić. Potem przez kilka tygodni obserwuj prawdziwy ruch, bo liczą się zwykle zapomniane drogi: komputer z jedną kartą sieciową w każdej z sieci, VPN dostawcy kończący się na produkcji, most bezprzewodowy. Od planu Pro NetSenX oznacza ruch przekraczający poziomy sieci zakładu, na przykład host biurowy docierający do sterownika, więc droga, która nie powinna istnieć, pokazuje się przy pierwszym użyciu. Droga, która istnieje, ale nikt z niej nie korzysta, pozostaje niewidoczna dla każdego pasywnego sensora.

Tak, i to najczęstszy sposób, w jaki incydent cybernetyczny zatrzymuje produkcję, nawet gdy same maszyny pozostają nietknięte. Linie zależą od systemów IT: zamówień, receptur, etykiet, wysyłek i dokumentacji jakości. Gdy ERP, serwer etykiet albo udziały plikowe zostaną zaszyfrowane, wiele zakładów woli stanąć, niż produkować bez identyfikowalności. Inne wyłączają produkcję zapobiegawczo, dopóki nie ustalą, jak daleko dotarł napastnik. Ochrona produkcji zaczyna się więc po stronie IT: spisz systemy IT, których potrzebuje każda linia, zaplanuj, jak pracować bez nich przez jeden dzień, trzymaj ich kopie zapasowe offline i testuj odtwarzanie. NetSenX w każdym planie obserwuje kroki po stronie IT, które poprzedzają szyfrowanie: beaconing, skanowanie, ruch lateralny i nietypowy wolumen danych wychodzących. Od planu Pro pokazuje ruch OT w tym samym panelu. Nie zatrzymuje ransomware; daje czas na reakcję.

Traktuj je jak gości z kluczem: wpuszczonych do konkretnej pracy, przez znany port i obserwowanych, dopóki są na miejscu. Uzgodnij z każdym producentem maszyn i integratorem, który laptop może się podłączyć, gdzie i w jakim celu. Daj im osobny port serwisowy albo VLAN, który sięga tylko do ich maszyny, zamiast dowolnego wolnego gniazda w przełączniku linii, i wyłącz ten port po zakończeniu pracy. Poproś o sprawdzenie laptopa pod kątem złośliwego oprogramowania przed podłączeniem albo pożycz serwisantowi firmowego laptopa z oprogramowaniem inżynierskim, co wiele zakładów woli. Prowadź krótki rejestr wizyt: kto, kiedy, która maszyna. Po stronie sieci laptop pojawia się jako nowe urządzenie na mapie sieci NetSenX, w każdym planie, a jeśli skanuje albo zaczyna rozmawiać z wieloma hostami, uruchamiają się alerty skanowania i ruchu lateralnego. Od planu Pro zapis do sterownika z hosta bez uprawnień wywołuje alert OT.

Tak, jeśli z segmentu, którego używał laptop, kopia ruchu trafia do sensora: każde jego połączenie przeszło przez sieć i można je potem wyliczyć po adresie. To odpowiedź na pytanie, które kierownicy zakładów i audytorzy zadają po wizycie: czy laptop dotknął tylko maszyny, do której przyjechał? Ułatw to sobie, dając gościom adresy ze znanej puli albo osobny VLAN serwisowy, żeby ich ruch łatwo było odróżnić od Twojego. Na mapie sieci NetSenX, w każdym planie, laptop widnieje jako urządzenie z listą hostów, z którymi rozmawiał, i czasem pierwszego oraz ostatniego pojawienia się. Od planu Pro NetSenX dekoduje też Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm, więc zapisy z hosta bez uprawnień i polecenia S7comm wywołują alerty OT. Połączenie przez własny router 4G producenta maszyny albo przez przełącznik w maszynie bez kopii ruchu nigdy nie przechodzi przez Twoją monitorowaną sieć i nie jest widoczne.

Przez jeden kontrolowany punkt wejścia, który należy do Ciebie i jest włączany tylko wtedy, gdy trzeba. W praktyce: brama zdalnego dostępu albo serwer przesiadkowy w DMZ między biurem a produkcją, uwierzytelnianie wieloskładnikowe dla każdego konta dostawcy, imienne konto dla każdego technika zamiast wspólnego, dostęp ograniczony do maszyn, które dany dostawca obsługuje, sesje włączane na żądanie i wyłączane po pracy oraz logi lub nagrania tego, co zrobiono. Gdy taka droga już istnieje, usuń stałe narzędzia dostawców, na przykład aplikacje zdalnego pulpitu na panelach HMI i routery 4G w szafach. NIS2 oczekuje też środków bezpieczeństwa łańcucha dostaw, więc wpisz te zasady do umów. W sieci sesja dostawcy wygląda jak połączenia z bramy do produkcji; NetSenX wykrywa z niej skanowanie i ruch lateralny w każdym planie, a od planu Pro także zapisy z hostów bez uprawnień. NetSenX nie decyduje, kto dostaje dostęp; robi to Twoja brama.

Tak. Router komórkowy zainstalowany do zdalnego serwisu łączy maszynę z internetem przez sieć komórkową, zupełnie z pominięciem Twojej zapory, więc nie obowiązują go żadne Twoje reguły, logi ani zabezpieczenia VPN. Jeśli portal dostawcy albo sam router zostanie przejęty, albo nikt nie zmienił domyślnego hasła, napastnik ląduje w Twojej sieci produkcyjnej. Wiele takich routerów nie figuruje na żadnym schemacie, bo przyjechało razem z maszyną. Zapytaj każdego dostawcę maszyn na piśmie, czy jego urządzenia zawierają modem albo router komórkowy, sprawdź szafy, a potem usuń router, trzymaj go wyłączonego do czasu umówionej sesji serwisowej albo zastąp go własną, kontrolowaną drogą zdalnego dostępu. Sensor sieciowy nie widzi samego łącza 4G, bo ten ruch nigdy nie przechodzi przez Twoją sieć; widzi tylko stronę LAN routera, jeśli z tego segmentu trafia do niego kopia ruchu.

Patrz jednocześnie na szafy i na sieć. Fizycznie: przy najbliższym planowanym postoju otwórz szafy maszyn i szukaj małych routerów, modemów i anten, a każdego dostawcę poproś o listę urządzeń komunikacyjnych w jego sprzęcie. W sieci: szukaj urządzeń, które zachowują się jak bramy, na przykład maszyny, której ruch idzie na adres inny niż Twój router, urządzenia, które samo rozdaje adresy, albo hosta, który odbiera połączenia z zewnątrz w porach, gdy nikt z Twojej strony ich nie inicjował. Urządzenie, które jest na mapie sieci, ale nie ma go na żadnym schemacie, zasługuje na pytanie. Mapa sieci NetSenX, w każdym planie, pokazuje urządzenia komunikujące się w monitorowanych segmentach z czasem pierwszego i ostatniego pojawienia się, a urządzenia, które łączą się na zewnątrz w regularnych odstępach, są oznaczane jako beaconing. Routera, który rozmawia tylko przez łącze komórkowe i milczy w Twojej sieci LAN, nie znajdziesz z poziomu sieci; znajdzie go przegląd szaf.

Otocz go zabezpieczeniami, skoro nie możesz go naprawić. Panele operatorskie, HMI i komputery stanowisk testowych często działają na systemie, którego producent już nie wspiera, a dostawca maszyny zabrania zmian. Odłącz go od każdej sieci, której nie potrzebuje, zablokuj mu internet, dopuść tylko połączenia ze sterownikami i serwerami, z którymi pracuje, wyłącz porty USB i zbędne usługi, jeśli dostawca na to pozwala, użyj białej listy aplikacji, jeśli producent ją obsługuje, i trzymaj sprawdzony obraz, żeby móc go odtworzyć. Poproś dostawcę o ścieżkę modernizacji i zapisz pozostałe ryzyko. Potem obserwuj go z poziomu sieci, bo nic nie da się na nim zainstalować: NetSenX widzi jego połączenia z portu SPAN lub TAP i wykrywa beaconing, skanowanie, ruch lateralny i nietypowy wolumen danych wychodzących w każdym planie, a od planu Pro także zapisy do sterowników z hostów bez uprawnień. Nie widzi tego, co działa wewnątrz komputera.

To środek, który zmniejsza ryzyko, którego nie da się usunąć u źródła. Gdy sterownika nie można zaktualizować, nie ma hasła albo działa na niewspieranym systemie, chronisz go z zewnątrz: segmentacją i regułami zapory, żeby docierały do niego tylko wskazane hosty, brakiem dostępu do internetu, kontrolowaną drogą zdalnego dostępu, zamkniętymi szafami, kopiami offline programów i konfiguracji oraz monitoringiem, który mówi, kiedy ktoś te zabezpieczenia obchodzi. Audytorzy pracujący z IEC 62443 albo z zarządzaniem ryzykiem według NIS2 zwykle oczekują, że takie zabezpieczenia będą udokumentowane: jakie ryzyko, jaki środek, kto za niego odpowiada i jak sprawdzasz, że nadal działa. Monitoring to część, która dostarcza dowodów tego sprawdzania. NetSenX może ją zapewnić: z portu SPAN lub TAP pokazuje, kto rozmawia ze starym systemem, a od planu Pro zgłasza alerty OT o nieuprawnionych zapisach, ruchu przekraczającym poziomy sieci zakładu, aktywności poza godzinami pracy i poleceniach S7comm.

Połącz trzy pasywne źródła: to, co mówią dokumenty, to, co wiedzą narzędzia inżynierskie, i to, co pokazuje sieć. Zacznij od schematów, plików projektów inżynierskich, które wymieniają każdy skonfigurowany sterownik, napęd i moduł zdalnych wejść/wyjść, oraz dokumentacji dostawcy każdej maszyny. Potem obejdź zakład: szafy, pulpity, obiekty zdalne. Na koniec dodaj to, co widać w ruchu: pasywny sensor na porcie lustrzanym widzi każde urządzenie komunikujące się w tym segmencie, także te, których nikt nie zapisał. Dla każdego zasobu zanotuj adres, funkcję, właściciela, wersję firmware i to, czy da się go aktualizować. Mapa sieci NetSenX, w każdym planie, pokazuje urządzenia widziane w monitorowanych segmentach z nazwami, które same ogłaszają, i czasem pierwszego oraz ostatniego pojawienia się, a od planu Pro NetSenX odczytuje Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm. Nigdy nie odpytuje urządzeń OT, więc nie pobiera wersji firmware; te dadzą Ci narzędzia inżynierskie.

Tych, które nie komunikują się w segmencie, z którego masz kopię ruchu. To urządzenia milczące przez większość czasu, na przykład zapasowy sterownik albo moduł, który odpowiada tylko urządzeniu nadrzędnemu, którego nie widzisz; urządzenia na szeregowych magistralach polowych, takich jak Modbus RTU czy Profibus; urządzenia za przełącznikiem niezarządzalnym, których ruch nigdy nie dociera do łącza z kopią; sprzęt, który rozmawia wyłącznie przez własny router komórkowy; oraz obiekty zdalne bez sensora. Monitoring pasywny widzi też mniej w protokołach szyfrowanych i nie odczyta wersji firmware, której urządzenie samo nie ogłasza. Luki uzupełnij obchodem, plikami projektów inżynierskich, a jeśli zakład to akceptuje, starannie zaplanowanym zapytaniem z narzędzi producenta w oknie serwisowym. NetSenX działa wyłącznie pasywnie, więc jego mapa sieci pokazuje to, co komunikuje się w monitorowanych segmentach, i nic ponad to.

Zwykle po jednym na każdy segment sieci, który chcesz obserwować w danym zakładzie, czyli najczęściej od jednego do trzech na zakład. Liczba zależy od tego, gdzie da się skopiować ruch: port SPAN na przełączniku rdzeniowym zakładu często widzi ruch między biurem a produkcją oraz między serwerami SCADA a przełącznikami linii, a ruch wewnątrz przełącznika maszyny wymaga sensora albo TAP-a bliżej niej. Zacznij od granicy między biurem a produkcją w każdym zakładzie, potem dodaj segmenty, w których programuje się sterowniki. Każdy zakład potrzebuje małego hosta dla sensora i drogi wysyłania alertów na zewnątrz. W NetSenX każdy agent na porcie SPAN lub TAP liczy się jako jedno urządzenie dla całego obserwowanego segmentu, wszystkie zakłady widać w jednym panelu, a protokoły OT są odczytywane od planu Pro. Na stronie cennika sprawdzisz, ile urządzeń obejmuje każdy plan.

Tak, jeśli ktoś ma czas, żeby je prowadzić. Istnieją dojrzałe narzędzia open source do monitorowania sieci, które odczytują kilka protokołów przemysłowych z portu SPAN. Kosztem nie jest licencja, tylko praca: instalacja i aktualizacja sensorów, pisanie lub strojenie reguł dla Twojego zakładu, przechowywanie logów, budowa paneli, a przede wszystkim ktoś, kto patrzy na alerty. W zakładzie z inżynierem OT, który lubi taką pracę, to może być dobry początek. Jeśli nikt nie ma na to czasu, logi gromadzą się nieprzeczytane, co daje poczucie monitorowania bez jego efektu. NetSenX to alternatywa zarządzana: agent na porcie SPAN lub TAP, alerty z wyjaśnieniem prostym językiem i protokoły OT od planu Pro, bez reguł do utrzymywania po Twojej stronie. Niezależnie od wyboru zacznij od granicy między biurem a produkcją.

IEC 62443 to seria międzynarodowych norm bezpieczeństwa przemysłowych systemów automatyki i sterowania. Obejmuje program bezpieczeństwa właściciela instalacji, obowiązki integratorów i usługodawców, wymagania dla całego systemu podzielonego na strefy i kanały komunikacyjne oraz wymagania dla samych produktów, z poziomami bezpieczeństwa opisującymi, jak sprawnemu napastnikowi strefa ma się oprzeć. Norma jest dobrowolna: typowego producenta żadne prawo nie zmusza do certyfikacji, ale klienci, ubezpieczyciele i audytorzy coraz częściej traktują ją jako miarę, a podejście stref i kanałów to praktyczny sposób na uporządkowanie środków zarządzania ryzykiem według NIS2 w zakładzie. Nie potrzebujesz certyfikatu, żeby skorzystać: podziel zakład na strefy, spisz kanały między nimi i ustal, co każdy może przenosić. Monitoring sprawdza potem kanały w praktyce. NetSenX może dostarczyć tych dowodów: od planu Pro pasywnie odczytuje protokoły przemysłowe i oznacza ruch przekraczający poziomy sieci zakładu.

Zwykle dowodu, że wykrywanie istnieje, obejmuje właściwe miejsca i prowadzi do działania: które segmenty OT są monitorowane i jak, jakie rodzaje zdarzeń są wykrywane, kto przegląda alerty i jak szybko, przykładów obsłużonych alertów z podjętą decyzją oraz informacji, jak długo przechowuje się zapisy. W Niemczech Federalny Urząd Bezpieczeństwa Informacji (BSI) opublikował wytyczne dotyczące systemów wykrywania ataków dla operatorów infrastruktury krytycznej, z których audytorzy często korzystają; inne kraje mają własne oczekiwania, więc sprawdź je u krajowego organu. Sama lista narzędzi nie wystarczy: audytorzy szukają działającego procesu. Mapa sieci z czasem pierwszego i ostatniego pojawienia się, alerty ze znacznikami czasu i Twoje notatki o każdej decyzji czynią ten proces widocznym. NetSenX przechowuje alerty przez okres historii alertów Twojego planu, a od planu Pro dodaje alerty OT o nieuprawnionych zapisach, ruchu między poziomami, aktywności poza godzinami pracy i poleceniach S7comm. Nie certyfikuje Cię i nie zastępuje oceny audytora.

Tak, i to niedoceniane. Ogrzewanie, wentylacja, oświetlenie, windy i kontrola dostępu działają dziś na sieciowych sterownikach, często w protokole BACnet/IP, ze zdalnym dostępem dla firmy serwisowej i aplikacją w chmurze dla zarządcy obiektu. Rzadko są aktualizowane, często mają domyślne hasła i zwykle zarządza nimi inny zespół albo zewnętrzny wykonawca, a nie dział IT. Napastnik może ich użyć, żeby zakłócić pracę budynku, albo jako cichego przyczółka do sieci biurowej, jeśli obie sieci nie są rozdzielone. Zapytaj wykonawcę, z czym łączy się system, kto ma zdalny dostęp i w jaki sposób, i przenieś sterowniki budynku do osobnego segmentu sieci z dostępem do internetu ograniczonym do tego, czego dostawca naprawdę potrzebuje. NetSenX od planu Pro odczytuje BACnet/IP z pasywnego przechwytywania, a w każdym planie wykrywa beaconing, skanowanie i nietypowy wolumen danych wychodzących z tych sterowników. Nie ma osobnego alertu anomalii BACnet.

Tak, jeśli oba systemy dzielą sieć albo reguły między nimi są luźne. Wykonawcy często instalują systemy budynku na tych samych przełącznikach i w tej samej puli adresów co biuro albo z wygodną trasą, żeby zarządca obiektu mógł otworzyć oprogramowanie sterujące na komputerze biurowym. Napastnik, który wejdzie przez zdalny dostęp do systemu budynku albo słabo zabezpieczony sterownik, może wtedy dosięgnąć komputerów biurowych tak, jakby był w środku. Sprawdź, gdzie stoją sterowniki budynku i ich serwer, czy mogą dotrzeć do hostów biurowych i czy hosty biurowe mogą dotrzeć do nich; zwykle potrzebuje tego tylko jedno stanowisko zarządzania. Rozdziel je zaporą albo VLAN-em ze ścisłymi regułami, a zdalny dostęp wykonawcy poprowadź przez własną bramę. W monitorowanym segmencie NetSenX wykrywa w każdym planie skanowanie i ruch lateralny ze sterownika budynku w stronę hostów biurowych, więc sterownik, który zaczyna przeszukiwać sieć, od razu się wyróżnia.

Może tak być, ale warto wiedzieć dlaczego. Wiele rejestratorów kamer utrzymuje stałe połączenie z chmurą producenta, żeby aplikacja w telefonie mogła pokazywać obraz bez otwierania portu na routerze, a te serwery mogą stać w innym kraju albo na innym kontynencie. To połączenie jest też kanałem zdalnego dostępu, którego nigdy nie konfigurowałeś, prowadzonym przez stronę trzecią, a starsze rejestratory mają długą historię luk bezpieczeństwa. Dowiedz się od instalatora albo z dokumentacji producenta, jaka to usługa, zdecyduj, czy w ogóle potrzebujesz zdalnego podglądu, a jeśli nie, wyłącz funkcję chmurową i zablokuj rejestratorowi dostęp do internetu. Jeśli jej potrzebujesz, aktualizuj oprogramowanie i zmień domyślne hasła. NetSenX pokazuje cele połączeń rejestratora z portu SPAN lub TAP i wykrywa beaconing oraz nietypowy wolumen danych wychodzących w każdym planie, więc rejestrator, który nagle wysyła dużo więcej niż zwykle, od razu się wyróżnia. To, czy chmura producenta jest do przyjęcia, pozostaje Twoją decyzją.

Może być. Telewizory smart, ekrany konferencyjne i panele rezerwacji sal działają na własnych systemach operacyjnych, łączą się z producentem po aktualizacje, aplikacje i reklamy i po instalacji rzadko są aktualizowane. W sieci biurowej stoją obok laptopów, z których wyświetla się na nich prezentacje, a niektóre mają mikrofony i kamery. Większość tego ruchu trafia do usług producenta, ale z zewnątrz nie da się tego stwierdzić bez sprawdzenia. Wyłącz nieużywane funkcje, takie jak sterowanie głosem, sklepy z aplikacjami i statystyki oglądania, zaktualizuj oprogramowanie i przenieś ekrany do osobnej sieci dla urządzeń, z dostępem do internetu ograniczonym do tego, czego potrzebują, i bez dostępu do hostów biurowych. Laptopy mogą wtedy udostępniać obraz kablem albo przez urządzenie do przesyłania obrazu w tej sieci. NetSenX obserwuje takie urządzenia bez żadnego oprogramowania na nich, z portu SPAN lub TAP, i wykrywa beaconing, skanowanie oraz nietypowy wolumen danych wychodzących w każdym planie.

Zwykle ze zwyczajnych powodów: aktualizacje oprogramowania, raporty o tonerze i zużyciu dla dostawcy, drukowanie w chmurze i skanowanie do chmury. Umowy na obsługę druku często obejmują raportowanie, więc zapytaj dostawcę, co drukarka wysyła i dokąd. Ryzyko polega na tym, że drukarki to pełne komputery ze starym oprogramowaniem, panelami administracyjnymi z domyślnymi hasłami i zapisanymi kopiami zeskanowanych dokumentów, a nikt ich nie obserwuje. Sprawdź w ustawieniach drukarki funkcje chmurowe i zdalne, których nie używasz, i je wyłącz, zaktualizuj oprogramowanie, ustaw hasło administratora i ogranicz jej dostęp do internetu do usług dostawcy. Drukarka, która zaczyna łączyć się z wieloma adresami wewnętrznymi albo z nowymi miejscami na zewnątrz, zasługuje na sprawdzenie tego samego dnia. NetSenX widzi drukarki z portu SPAN lub TAP bez oprogramowania na nich, pokazuje je na mapie sieci i wykrywa skanowanie, beaconing oraz nietypowy wolumen danych wychodzących w każdym planie.

Głównie projektem sieci, bo na tych urządzeniach nie da się uruchomić oprogramowania zabezpieczającego. Umieść skanery ręczne, drukarki etykiet, sterowniki przenośników i magazynowe Wi-Fi w osobnym segmencie sieci, który sięga tylko do serwera systemu magazynowego i potrzebnych drukarek, a nie do komputerów biurowych czy dowolnych miejsc w internecie. Użyj osobnej sieci Wi-Fi z uwierzytelnianiem urządzeń albo certyfikatami zamiast jednego wspólnego hasła, które zna każdy były pracownik tymczasowy, aktualizuj system i aplikacje terminali przez narzędzie do zarządzania nimi i zablokuj je w aplikacji magazynowej. Wycofuj urządzenia, których producent już nie aktualizuje. Potem obserwuj segment, bo jeden przejęty terminal w płaskiej sieci magazynu dosięga całej reszty. NetSenX obserwuje segment jednym agentem na porcie SPAN lub TAP: mapa sieci pokazuje urządzenia, a skanowanie, beaconing i nietypowy wolumen danych wychodzących są wykrywane w każdym planie.

Nie. NetSenX liczy uruchomione agenty, a nie urządzenia, które obserwują. Jeden agent na porcie SPAN lub TAP liczy się jako jedno urządzenie dla całego monitorowanego segmentu, więc czterdzieści skanerów ręcznych, drukarki etykiet i sterownik przenośnika w jednym segmencie z kopią ruchu obejmuje ten jeden agent. Agent zainstalowany bezpośrednio na serwerze albo laptopie też liczy się jako jedno urządzenie i obserwuje ten host. Przy planowaniu pytanie brzmi więc: ile segmentów chcesz obserwować i gdzie da się skopiować ich ruch, a nie ile masz urządzeń. Magazyn z własnym przełącznikiem zwykle potrzebuje tam jednego agenta. Terminale w Wi-Fi, których punkty dostępowe są podłączone do tego przełącznika, są widoczne, gdy ich ruch przechodzi przez port z kopią. Limit urządzeń każdego planu, od Free wzwyż, znajdziesz na stronie cennika.

Z poziomu sieci, tak samo jak sprzęt przemysłowy. Analizatory, aparaty obrazowe, pompy infuzyjne i przyrządy laboratoryjne często działają na starych systemach, które producent certyfikuje i zabrania zmieniać, więc agent na urządzeniu nie wchodzi w grę. Umieść je w osobnym segmencie sieci, który sięga tylko do systemów, do których raportują, takich jak laboratoryjny system informatyczny czy archiwum obrazów, zablokuj niepotrzebny dostęp do internetu, a zdalny serwis każdego producenta poprowadź przez własną bramę. Sensor na porcie SPAN lub TAP tego segmentu widzi wtedy ich połączenia bez dotykania urządzeń. NetSenX pokazuje urządzenia na mapie sieci i wykrywa beaconing, skanowanie, ruch lateralny i nietypowy wolumen danych wychodzących w każdym planie. Nie dekoduje protokołów medycznych, takich jak HL7 czy DICOM, i nigdy nie odszyfrowuje ruchu. Zanim włączysz monitoring, zapytaj inspektora ochrony danych, jak wpisuje się on w Twój rejestr czynności przetwarzania.