OT / ICS

Monitoring sieci OT bez ingerencji w sterowniki

Pasywny monitoring sieci OT polega na odczytywaniu ruchu przemysłowego z jego kopii, pobranej z portu SPAN lub z TAP-a sieciowego, bez wysłania ani jednego pakietu do sterownika PLC, RTU czy serwera SCADA. Na sterownikach nic się nie instaluje i nic się w nich nie zmienia, dlatego to typowy sposób na uzyskanie wglądu w sieci produkcyjne, których nie można dowolnie łatać, restartować ani skanować.

Fakt, od którego warto zacząć

1 grudnia 2023 r. CISA i agencje partnerskie podały w komunikacie AA23-335A, że aktorzy powiązani z IRGC przejęli sterowniki PLC firmy Unitronics używane w amerykańskich zakładach wodociągowych i kanalizacyjnych. Sterowniki były najpewniej dostępne z internetu i wciąż miały domyślne hasło producenta.

Źródło: CISA and partners — Advisory AA23-335A (IRGC-affiliated actors exploit PLCs in multiple sectors, including US water and wastewater facilities), 1 December 2023

Jak działa pasywny monitoring OT

Zasada jest prosta: słuchaj kopii ruchu, nigdy nie rozmawiaj z urządzeniami.

  1. 01Kopiuj ruch, nie odpytuj

    Port SPAN na przełączniku przemysłowym albo pasywny TAP na łączu przesyła kopię ruchu do sensora. Sensor tylko słucha; nigdy nie odpytuje urządzeń, więc nie może zakłócić procesu.

  2. 02Odczytuj protokoły przemysłowe

    Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm przenoszą odczyty, zapisy i polecenia w strukturach, które sensor potrafi zdekodować. Dzięki temu widać, która stacja komunikuje się z którym sterownikiem i o co go prosi.

  3. 03Pilnuj granicy między IT a OT

    Wiele incydentów OT zaczyna się w sieci biurowej. Ruch przechodzący z IT do sieci sterowania albo sterownik, który nagle łączy się z internetem, zasługują na uwagę.

  4. 04Wyłącz urządzenia OT z aktywnych skanów

    Aktywne skany podatności i sondy wykrywające mogą zakłócić starsze sterowniki. Wyklucz z nich urządzenia sklasyfikowane jako OT; NetSenX nigdy ich nie odpytuje.

Co NetSenX robi już dziś

  • Od planu Pro odczytuje Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm z pasywnego przechwytywania ruchu na porcie SPAN lub TAP. Alerty OT, które zgłasza: zapis do sterownika z hosta, który nie ma do tego uprawnień, ruch przekraczający poziomy modelu Purdue, aktywność OT poza godzinami pracy oraz polecenia S7comm.
  • Nigdy aktywnie nie odpytuje urządzeń sklasyfikowanych jako OT, więc nie ma ryzyka dla sterowników PLC i systemów SCADA.
  • Pokazuje ruch OT w tym samym panelu co sieć IT, z wyjaśnieniem prostym językiem przy każdym alercie i śledzeniem terminów z art. 23 NIS2 dla incydentów.
  • Działa jako oprogramowanie na wybranym przez Ciebie hoście podłączonym do portu lustrzanego: nie trzeba kupować urządzenia NetSenX, a jeden agent obserwujący segment liczy się jako jedno urządzenie.

Czego NetSenX nie robi

NetSenX nie zmienia konfiguracji sterowników, nie wgrywa firmware'u i nie blokuje poleceń przemysłowych; nie jest też systemem bezpieczeństwa funkcjonalnego: informuje inżynierów, ale nie ingeruje w proces. Odczytuje pięć protokołów przemysłowych wymienionych na tej stronie; zanim oprzesz się na innym, zapytaj nas. Widzi tylko segmenty, których ruch do niego kopiujesz, a szeregowe magistrale polowe, które nie docierają do Ethernetu, są poza jego zasięgiem. Nie ma osobnego alertu anomalii dla każdego protokołu przemysłowego.

Pytania kupujących

Czy można monitorować sieć OT bez wpływu na sterowniki PLC?

Tak, dzięki monitoringowi pasywnemu: sensor odczytuje kopię ruchu z portu SPAN lub TAP-a i nigdy niczego nie wysyła do sterowników. Tak działa NetSenX od planu Pro i nigdy aktywnie nie odpytuje urządzeń sklasyfikowanych jako OT.

Które protokoły przemysłowe odczytuje NetSenX?

Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm, z pasywnego przechwytywania ruchu, w planie Pro i wyższych.

Czy w każdym zakładzie potrzebne jest urządzenie sprzętowe?

Nie trzeba żadnego urządzenia NetSenX: agent to oprogramowanie działające na wybranym przez Ciebie hoście. Jeden agent podłączony do portu SPAN lub TAP obserwuje cały segment i liczy się jako jedno urządzenie.

Czy NIS2 obejmuje sieci OT?

NIS2 dotyczy podmiotów z sektorów takich jak energetyka, transport, woda pitna, ochrona zdrowia i produkcja wybranych wyrobów (załączniki I i II dyrektywy (UE) 2022/2555). Środki z art. 21 dotyczą sieci i systemów informatycznych, z których podmiot korzysta w swojej działalności, a to mogą być także systemy OT. Zakres potwierdź u krajowego organu.

Źródła

  1. CISA and partners — Advisory AA23-335A (IRGC-affiliated actors exploit PLCs in multiple sectors, including US water and wastewater facilities), 1 December 2023
  2. Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex

Ta strona ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Swoje obowiązki warto potwierdzić we właściwym organie krajowym lub u doradcy prawnego.

Powiązane strony

Wypróbuj NetSenX we własnej sieci

Zacznij od planu Free dla maksymalnie 3 urządzeń albo umów 20-minutowe demo.

Zobacz cennikUmów demo