OT-Netzwerkmanagement: Ihr Industrienetz sehen und prüfen

OT (Operational Technology) umfasst die Systeme, die physische Prozesse überwachen und steuern: Fertigungslinien, Stromnetze, Wasseraufbereitung, Gebäudetechnik. Beim OT-Netzwerkmanagement geht es darum, das Netzwerk zu kennen und zu kontrollieren, das sie verbindet: welche Geräte vorhanden sind, wie sie verbunden sind, wie die Switches und Firewalls konfiguriert sind, die sie segmentieren, und was sich ändert. Verfügbarkeit und Sicherheit stehen an erster Stelle, daher muss jede Probe leicht und jede Aktion kontrolliert sein.

IT-Netzwerkmanagement konzentriert sich auf Verfügbarkeit, Leistung und Sicherheit von Datennetzen. OT-Netzwerkmanagement bringt strenge Randbedingungen hinzu: Altgeräte, lange Lebenszyklen, an die Produktion gebundene Wartungsfenster und null Toleranz für Störungen. Deshalb legen Sie bei ConnectMyAssets pro Subnetz fest, was es tun darf, von gar nichts bis zur vollständigen Erfassung, und deshalb sendet die Discovery nur zwei kleine Pakete pro Adresse unter einer globalen Ratenobergrenze.

Ja, weil unsere Proben dafür entwickelt sind. ConnectMyAssets baut seine eigenen Netzwerkproben, Paket für Paket, für Massenoperationen, ohne die Netze der Kunden zu belasten: ein TCP-SYN von 44 Byte und ein ICMP-Echo von 36 Byte pro Adresse, ohne eine Verbindung zu öffnen. Die meisten Discovery-Werkzeuge setzen auf deutlich schwerere Proben (vollständige TCP-Verbindungen, SNMP-Anfragen, der übliche Ping mit 84 Byte). Dieselbe Leichtigkeit macht die Discovery schnell: In einem produktiven Kundennetz wird ein vollständiges 10.0.0.0/8, also mehr als 16 Millionen Adressen, in rund fünfzehn Minuten erkannt. Zusätzlich legen Scan-Regeln pro Subnetz fest, ob eine OT-Zelle gesperrt, nur erkannt oder geprüft wird, und eine Ratenobergrenze begrenzt die Last. Wie die Netzwerk-Discovery funktioniert, sehen Sie auf der Discovery-Seite.

Nur so weit, wie Sie es erlauben. ConnectMyAssets erfasst und ändert keine SPS-Programme. In einem Subnetz mit der Einstellung Gesperrt wird nichts gesendet. Bei nur Discovery erhält jede Adresse ein TCP-SYN an Port 22 und ein ICMP-Echo, und Sie sehen, was antwortet. Mit geprüften Ports werden offene Ports identifiziert. Die Erfassung per SSH gilt nur für die Geräte und Subnetze, die Sie auswählen, typischerweise die Netzwerk-Switches, -Router und -Firewalls der OT-Zonen.

Artikel 21 der NIS2 verpflichtet wesentliche und wichtige Einrichtungen, darunter Betreiber kritischer Infrastrukturen, zu Maßnahmen des Cybersicherheits-Risikomanagements: Management von Anlagen, Sicherheit bei der Wartung von Netzsystemen, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs und Sicherheit der Lieferkette. Für OT-Netze bedeutet das ein aktuelles Inventar, kontrollierte Konfigurationen der Geräte, die das Netz segmentieren, die Erkennung unerwarteter Geräte und Änderungen und Nachweise für all das. ConnectMyAssets hilft Ihnen, diese Anforderungen zu erfüllen.

ConnectMyAssets wird On-Premises betrieben, in Ihrer OT-DMZ oder daneben, und erreicht die Geräte per SSH. Es benötigt eine einzige ausgehende Verbindung zur ConnectMyAssets-Infrastruktur, die über Ihren HTTP-Proxy und Ihre eigene Zertifizierungsstelle laufen kann. Übertragen werden: Lizenz und Heartbeat, Gerätezahlen je Kategorie, Tripel aus Hersteller, Modell und Firmware für den CVE-Abgleich. Niemals Konfigurationen, Zugangsdaten, IP-Adressen oder Hostnamen.

Jede Adresse, die antwortet, wird erkannt, mit ihren offenen Ports, erkannten Diensten und TLS-Zertifikaten. Netzwerkgeräte, die per SSH erreichbar sind und ein unterstütztes Profil haben (Cisco, Aruba, Arista, Juniper, Huawei, Fortinet, Palo Alto ...), werden vollständig erfasst: Konfiguration, Historie, Firmware und CVEs, Compliance. Hosts, die ohne unterstütztes Profil auf SSH antworten, erscheinen mit dem Grund als nicht verwaltete Geräte, sodass Sie eine vollständige, bearbeitbare Sicht auf das Industrienetz behalten.