OT-Cybersicherheit
Sicherheitsüberwachung
Erkennung von Anomalien und Eindringversuchen in OT-Netzen.
Überblick
Sicherheitsüberwachung für OT beobachtet die Gewohnheiten des Netzes — und OT-Gewohnheiten sind so regelmäßig, dass Neuartigkeit selbst ein hochwertiges Signal ist.
Technischer Zweck
Eindringversuche und Anomalien früh erkennen, aus passiver Beobachtung, die empfindliche Industriegeräte nicht stören kann.
Funktionsweise
SPAN-/TAP-Spiegelungen speisen passive Analysatoren, die Industrieprotokolle auswerten; Baselines aus Geräten, Verbindungen und Funktionscodes definieren das Normale; ein neues Gerät, ein neuer Fluss oder ein neuer Befehlstyp erzeugt Ereignisse, die an Reaktions-Runbooks gekoppelt sind.
- Passive Überwachung über SPAN/TAP beobachtet Industrieprotokolle, ohne empfindliche Geräte zu berühren.
- OT-Verkehr ist hochgradig regelmäßig — ein neues Gerät, eine neue Verbindung oder ein neuer Funktionscode ist ein starkes Signal.
- Erkennung ohne Reaktionsplan ist Rauschen: Jede Alarmklasse benötigt einen definierten Verantwortlichen und eine Handlung.
Typische Störungen
Überwachung ausschließlich an der IT-Grenze, während der Verkehr innerhalb der OT ungesehen bleibt; Alarmklassen ohne Verantwortliche, die zu Rauschen verkommen; Baselines, die nach legitimen Anlagenänderungen nie aktualisiert werden; aktives Scannen, das empfindliche Geräte zum Absturz bringt.
Diagnoseprüfungen
- 1Verifizieren, dass die Überwachung Verkehr aus jeder Zone sieht, nicht nur an der IT-Grenze.
- 2Aktuelle Meldungen zu neuen Geräten und Verbindungen gegen die Asset-Bestandsaufnahme prüfen.
- 3Verifizieren, dass die Sensorabdeckung tatsächlich den Verkehr jeder Zone einschließt und nicht bloß den bequemen Kern-Switch.
Sicherheitshinweise
In der OT ausschließlich passive Erfassung verwenden — aktives Scannen hat bereits PLCs und Messgeräte unbrauchbar gemacht; alles Aktive benötigt eine ausdrückliche technische Freigabe und ein Wartungsfenster.
Hinweise zur Inbetriebnahme
Die Verkehrs-Baseline im bekannt normalen Betrieb erfassen, jeder Alarmklasse einen Verantwortlichen und eine Handlung zuweisen und den Reaktionspfad üben.
Verwandte Konzepte
Passive SPAN-/TAP-Erfassung, Verhaltens-Baselining, Auswertung von Industrieprotokollen, Alarmverantwortung, Anomalietypen.
Verwandte Engineering-Fälle
Verwandte Artikel
Netzsegmentierung
Zonen, Conduits und DMZ-Auslegung nach IEC 62443.
Zugriffssteuerung
Identität, Fernzugriff und Least Privilege in der OT.
Audit & Protokollierung
Audit-Trails, Log-Sammlung und Compliance-Nachweise in der OT.
Industrielle Protokolle
Auswahl und Diagnose von Feldbussen und Industrial Ethernet.
Wann Hermes Brain diesen Artikel nutzt
Wird zitiert bei unbekannten Geräten in OT-Netzen, Auslegung der Angriffserkennung, Anomalie-Triage und Fragen zur Überwachungsabdeckung.
…