Seien Sie dabei bei der Spark 2026 – der Kundenkonferenz von „ Nozomi “Networks!
Anmelden
Die passive Netzwerküberwachung ist der Standard für die Bestandsaufnahme von „ OT “-Ressourcen sowie für die Erkennung von Bedrohungen und Anomalien. Heutzutage können sich industrielle Umgebungen jedoch getrost auf eine Kombination aus passiver Netzwerk- und WLAN-Überwachung sowie auf aktive Abfrageverfahren, Fernerfassung und „ endpoint “-Sicherheitstechniken verlassen.
Der Rückgriff auf passive Netzwerküberwachung ist insbesondere auf die Sensibilität und Kritikalität industrieller Umgebungen zurückzuführen, was durch die starke Abhängigkeit von Altsystemen mit unsicheren, proprietären Protokollen noch verstärkt wird, die durch aktives Scannen destabilisiert oder außer Betrieb gesetzt werden können. Systeme zur industriellen Automatisierung ( OT ) unterstützen häufig kritische Infrastrukturen und steuern Prozesse, die sich auf Sicherheit und die Bereitstellung wesentlicher Dienste auswirken können. Die passive Überwachung ermöglicht Transparenz ohne jegliche Störung, während aktive Scan- und Abfragetechniken, wie sie in IT-Umgebungen üblich sind, störend wirken und möglicherweise zu Betriebsausfällen oder Sicherheitsrisiken führen können.
Passive Tools zur Überwachung industrieller Netzwerke werden an einen SPAN- oder Mirror-Port eines Switches oder Routers angeschlossen und beobachten dort den Netzwerkverkehr. Beispielsweise Nozomi Guardian nutzen Sensoren diesen Ansatz, um eine umfassende Transparenz und Überwachung von „ OT “ und „ IoT “-Geräten zu gewährleisten. Sie identifizieren Geräte ohne Agenten oder aktive Abfragen. „ Guardian “-Sensoren können Aktivitäten kontinuierlich überwachen, um neue, im Netzwerk kommunizierende Geräte zu erkennen, Netzwerkvisualisierungen für die Fehlerbehebung und Recherche bereitzustellen, kritische Schwachstellen zu identifizieren sowie Cybersicherheitsbedrohungen und betriebliche Probleme zu erkennen.
Die Guardian nutzen die passive Deep-Packet-Inspection, um automatisch und in Echtzeit das industrielle Netzwerk mit seinen Komponenten, Verbindungen und seiner Topologie zu erkennen. Die fortschrittliche Lernfunktion erstellt dann spezifische Profile für jedes ICS und verwendet Verhaltensanalysen, um anomale, verdächtige und bösartige Aktivitäten zu überwachen. Das Ergebnis ist die schnelle Erkennung von Cyberangriffen und kritischen Prozessanomalien.
Remote-Collectors sind eine weitere Form der passiven Überwachung, die für schwer zugängliche und unbemannte Standorte konzipiert ist. Diese kleinen, ressourcenschonenden Sensoren arbeiten mit Netzwerksensoren zusammen, um Daten von abgelegenen Außenstandorten, Offshore-Plattformen, Umspannwerken und kleineren Anlagen innerhalb eines größeren Campus zu erfassen, an denen der Einsatz eines vollwertigen „ Guardian “-Sensors nicht realisierbar ist. Der„ Nozomi “ (Networks ) Remote-Collector erfasst, dedupliziert, komprimiert und verschlüsselt diesen Datenverkehr, bevor er zur Verarbeitung an einen zugehörigen „ Guardian “-Sensor gesendet wird.
Da drahtlose Technologien in „ OT “-Umgebungen immer weiter verbreitet sind, haben sie sich auch zu einem Angriffsvektor entwickelt, der bislang nicht überwacht wurde. Drahtlose Sensoren bieten eine weitere Form der passiven Überwachung, die in industriellen Umgebungen genutzt werden sollte. Zu den gängigen Anwendungsfällen im drahtlosen Bereich gehören beispielsweise Anbieter, die Laptops mit dem Gäste-WLAN verbinden, oder die Einrichtung von unberechtigten WLAN-Zugangspunkten. Es ist schwierig, drahtlosspezifische Bedrohungen wie Brute-Force-Angriffe, Spoofing und Bluejacking zu erkennen, und noch schwieriger, den Standort der Geräte zu bestimmen, von denen aus die Angriffe durchgeführt werden.
Neben WLAN und Bluetooth stützen sich Prozesssteuerungsnetzwerke auf spezielle drahtlose Protokolle, die eine zuverlässige Kommunikation zwischen Sensoren und Steuerungen bei geringem Stromverbrauch ermöglichen sollen. Diese Protokolle spielen eine entscheidende Rolle bei der Erfassung, Zusammenführung und Übertragung von Daten, die sowohl den Systembetrieb als auch die Überwachung ermöglichen. So wird beispielsweise der Standard IEEE 802.15.4 in intelligenten Gebäuden zur Echtzeitüberwachung von HLK- und Beleuchtungssystemen sowie in der Landwirtschaft zur drahtlosen Steuerung von Bewässerungssystemen zur Optimierung der Ernteerträge eingesetzt.
Nozomi Guardian Air ist der branchenweit erste drahtlose Sicherheitssensor, der speziell für „ OT “- und „ IoT “-Umgebungen entwickelt wurde und Einblick in drahtlose Geräte bietet – von Thermostaten über Roboter bis hin zu Drohnen –, die bisher erst erkannt wurden, sobald sie mit einem kabelgebundenen Netzwerk verbunden waren. Er überwacht kontinuierlich drahtlose Funktechnologien im Frequenzbereich von 800 MHz bis 5895 MHz (WLAN, Bluetooth, IEEE 802.15.4, LoRaWAN, Z-Wave, Mobilfunk und Drohnen) und erkennt sowie lokalisiert Bedrohungen mittels Triangulation, um eine schnellere Reaktion zu ermöglichen.
Wie jeder Ansatz bringt auch die passive Überwachung Vor- und Nachteile mit sich, die gegen die spezifischen Anforderungen einer industriellen Umgebung abgewogen werden sollten.
Netzwerksensoren sind die Arbeitspferde der Cybersicherheit. Es wird jedoch immer Dutzende von Szenarien geben, in denen der Einsatz eines Netzwerksensors nicht möglich ist oder zusätzliche Details erforderlich sind, um Ihre Umgebung zu verstehen und Fehler zu beheben. Moderne industrielle Umgebungen können sich heute getrost auf eine Kombination aus passiver Netzwerküberwachung, Fernerfassung und drahtloser Überwachung sowie auf aktive Abfrageverfahren und „ endpoint “-Sicherheitstechniken verlassen. Die Plattform „ Nozomi “ (Networks ) bietet das gesamte Spektrum an Überwachungsmethoden, um einen kontinuierlichen Überblick über alle Ihre Anlagen und deren Risikostufen zu gewährleisten – selbst wenn diese nicht aktiv kommunizieren.
Die aktive Abfrage ist eine agentenlose, nicht-invasive Technik, mit der detaillierte Informationen zu bestimmten Objekten von Interesse gesammelt werden können, die mit passiven Sensoren nicht erfasst werden können – darunter auch eingebettete Geräte mit OT/IoT . Diese Technik wird Smart Polling in der Nozomi -Networks -Plattform bezeichnet, befragt es Geräte auf der Grundlage der Kenntnis ihrer Protokolle und nutzt spezielle Nachrichten und Anweisungen, um nützliche Informationen zu erhalten, ohne die Stabilität der Geräte zu beeinträchtigen.
Smart Polling kann verwendet werden, um:
In der IT-Sicherheit sind endpoint für Virenschutz und Patching allgegenwärtig. Leider haben negative Erfahrungen mit dem Einsatz von IT-fokussierten Agenten auf OT dazu geführt, dass die dringend benötigte endpoint nur selten eingesetzt wird. Herkömmliche ICS-Netzwerküberwachungslösungen überwachen den Nord-Süd-Verkehr zwischen Purdue-Ebenen oder Firewalls, aber die Ost-West-Kommunikation zwischen Geräten innerhalb einer Zone, insbesondere auf niedrigeren Purdue-Ebenen, war lange Zeit ein blinder Fleck. Darüber hinaus ist die endpoint die einzige Möglichkeit, Benutzeraktivitäten und Ereignisse zu korrelieren, während sie stattfinden.
Im OT gibt es sicherlich böswillige Angriffe, die den Diebstahl von Anmeldeinformationen und andere böswillige Handlungen beinhalten, aber viele Bedrohungen gehen auf unbeabsichtigte Fehler von Mitarbeitern oder autorisierten Technikern von Drittanbietern zurück, die kommen und gehen, oft aus der Ferne. Ohne endpoint gibt es keine Möglichkeit, herauszufinden, wer sich wann einklinkt und was er tut, bis seine Befehle im Netzwerk ausgeführt wurden. Dann ist es zu spät.
Veröffentlicht im Jahr 2023, Nozomi Arc ist ein sicherer, unterbrechungsfreier Sicherheitsagent, der speziell zum Schutz der besonderen Hochverfügbarkeitsanforderungen für OT entwickelt wurde. Im Gegensatz zu herkömmlichen EPP- und EDR-Tools Arc hauptsächlich im Benutzerbereich und verwendet Kernel-Space-Module nur, wenn dies unbedingt erforderlich ist, hauptsächlich im schreibgeschützten Modus. Dieses Design gewährleistet eine präzise, kontrollierte Interaktion mit Systemobjekten, minimiert Schreibvorgänge und gewährleistet die Systemstabilität.
Die passive Überwachung bildet die Grundlage einer soliden Sicherheitsstrategie für „ OT “ und „ IoT “, da sie selbst in den sensibelsten industriellen Umgebungen einen kontinuierlichen, störungsfreien Einblick in Ressourcen, Kommunikation und Verhalten bietet. Doch die passive Überwachung allein kann nicht alle Fragen beantworten. Fernabfragegeräte und drahtlose Sensoren erweitern diesen passiven Überwachungsansatz auf schwer zugängliche und drahtlos verbundene Bereiche des Netzwerks, während aktive Abfragen und Sicherheitsagenten für „ endpoint “ die Details ergänzen, die die passive Überwachung aufgrund ihrer Konzeption allein nicht erfassen kann. Zusammen bieten diese Methoden SOC- und Betriebsteams einen vollständigen, mehrschichtigen Überblick über ihre Systeme unter OT und IoT , ohne dabei empfindliche Altsysteme jemals einem Risiko auszusetzen.
Der Aufbau einer solchen mehrschichtigen Transparenz von Grund auf ist für jedes interne Team ein großes Unterfangen, insbesondere in Umgebungen, in denen spezielle Protokolle wie „ OT “ und „ IoT “ zum Einsatz kommen. Die „ Nozomi “-Plattform wurde speziell für komplexe industrielle, gewerbliche und kritische Infrastrukturumgebungen entwickelt und kombiniert Transparenz vom „ endpoint “ bis hin zur Luft mit kontinuierlicher Überwachung und KI-gestützter Analyse. Sie hilft Unternehmen dabei, Cyberrisiken zu minimieren, die betriebliche Widerstandsfähigkeit zu maximieren und die Einhaltung strengster Standards und Vorschriften zu optimieren – und das alles auf derselben Grundlage passiver Überwachung, die in diesem Artikel beschrieben wird.
Fordern Sie eine Demo an, um die Plattform in Aktion zu erleben, oder erfahren Sie, wie wir KI einsetzen, um die passive Überwachung durch vorausschauende Echtzeitanalysen zu verbessern.
In der IT konzentrieren sich Sicherheitsteams auf den Schutz von Daten, während in OT die Verfügbarkeit oberste Priorität hat. OT Netzwerke können durch herkömmliche IT-Sicherheitsscan-Methoden gefährdet werden. Daher ist die passive Netzwerküberwachung eine der wichtigsten Methoden zur Sicherheitserkennung in OT Umgebungen, um ungeplante Ausfallzeiten zu minimieren, die Millionen kosten oder Sicherheitsrisiken verursachen können. Viele „ OT “-Geräte sind zudem veraltet und empfindlich, sodass bereits ein einfacher Netzwerkscan dazu führen kann, dass ein Controller ausfällt. Die passive Überwachung umgeht dieses Problem, da sie keinerlei Datenverkehr ins Netzwerk sendet, sondern lediglich den gespiegelten Datenverkehr aus dem Netzwerk abhört. Sichere aktive Methoden, wie beispielsweise „ Smart Polling “ von Nozomi, können diese passive Grundlage dann um weitere Details ergänzen.
Die passive Überwachung ist eine Erkennungsfunktion, keine Präventionsmaßnahme. Sie identifiziert Bedrohungen und Anomalien in Echtzeit, ergreift jedoch keine Maßnahmen dagegen. Die Eindämmung und Behebung erfolgt im Rahmen des Reaktionsprozesses Ihres SOC-Teams oder durch Kontrollen auf der Ebene der „ endpoint “ ( Arc).
Kurz gesagt: Die passive Überwachung liefert Ihnen Informationen darüber, was im Netzwerk vor sich geht, und andere Tools und Prozesse legen fest, wie Sie darauf reagieren.
Nein. Da die passive Überwachung auf einer SPAN- oder Mirror-Port-Kopie des Datenverkehrs basiert und nicht inline erfolgt, ist für die Bereitstellung weder eine Umleitung des Produktionsdatenverkehrs noch eine Außerbetriebnahme von Systemen erforderlich. Der größte Aufwand im Vorfeld besteht in der Konfiguration des Switches, damit dieser den richtigen Datenverkehr spiegelt – dies ist jedoch eine einmalige Änderung und stellt kein fortlaufendes Risiko dar.
Bei der passiven Überwachung wird eine Kopie des Netzwerkverkehrs abgehört, in der Regel von einem SPAN-Port oder einem Tap, und es werden keinerlei Daten an Ihre Geräte gesendet. Die aktive Überwachung funktioniert umgekehrt: Sie sendet Anfragen direkt an die Geräte und nutzt deren Antworten, um Informationen zu sammeln. Kurz gesagt: Bei der passiven Überwachung wird beobachtet, was die Geräte bereits senden, während bei der aktiven Überwachung Fragen an sie gestellt werden.
Allerdings sind nicht alle aktiven Abfrageverfahren gleich, insbesondere im Bereich „ OT “. Herkömmliche aktive IT-Tools durchsuchen IP-Bereiche, prüfen Ports und fragen jedes gefundene Gerät ab. Während dies in Unternehmensnetzwerken akzeptabel sein mag, könnte es in „ OT “-Umgebungen, in denen in der Regel ältere Geräte zum Einsatz kommen, Risiken mit sich bringen.
Aktives Polling lässt sich für „ OT “ sicher gestalten, indem es wesentlich gezielter erfolgt und die nativen Protokolle der „ OT “-Geräte nutzt. Dabei werden nur bereits bekannte Geräte kontaktiert, protokollspezifische Nachrichten verwendet, die diese Geräte erwarten, und das Anforderungsvolumen gering gehalten. Der „ Smart Polling “ von Nozomiist auf diese Weise aufgebaut. Er greift auf die Geräte zu, die bereits durch passive Überwachung erkannt wurden, und ruft Firmware-Versionen, Konfigurationen und andere Details ab, die passiv möglicherweise nicht erfasst wurden. Sie können zudem steuern, welche Knoten wann und mit welcher Methode abgefragt werden. Dies bietet Anwendern die zusätzlichen Details aktiver Methoden, ohne das Risiko eines herkömmlichen Scans einzugehen.
Nein. Bei der passiven Überwachung werden nur Geräte erkannt, die über den Datenverkehr kommunizieren, der beobachtet werden kann. Ein Gerät, das zwar eingeschaltet ist, aber keinen Datenverkehr sendet, oder eines, das sich in einem Segment befindet, das nicht gespiegelt wird, wird nicht angezeigt. Durch eine gute Platzierung der Sensoren lässt sich diese Lücke größtenteils schließen, und die Kombination der passiven Überwachung mit anderen Methoden, wie gezielten Abfragen oder Daten aus dem „ endpoint “, deckt den Rest ab.
Ja, auch wenn dies allein noch nicht ausreicht, um die Compliance-Anforderungen zu erfüllen. Es bietet Ihnen ein aktuelles Bestandsverzeichnis der Anlagen, eine kontinuierliche Überwachung und eine Aufzeichnung der Netzwerkaktivitäten – allesamt Elemente, die Rahmenwerke wie IEC 62443, NERC CIP, NIS2 und NIST 800-82 unterstützen. Die Prüfer erwarten jedoch weiterhin, dass neben den Tools auch Richtlinien, Prozesse und Reaktionsverfahren vorhanden sind.
Nr. „ Smart Polling “ sendet ausschließlich die spezifischen, protokollspezifischen Nachrichten, die ein Gerät bereits erwartet, und keine generischen Scans. Aus diesem Grund kann es Lücken schließen, die durch passive Überwachung nicht abgedeckt werden können, ohne dabei das Risiko einer Instabilität zu bergen, das bei herkömmlichen aktiven Scans besteht. Sie entscheiden, welche Knoten wann und mit welcher Methode abgefragt werden.
Es handelt sich um sich ergänzende Ebenen, nicht um konkurrierende Optionen: „ Guardian “ wird in der Regel zuerst eingesetzt, um die Sichtbarkeit kabelgebundener Anlagen zu gewährleisten, „ Guardian “, „Air “ und „Remote Collector“ erweitern dies auf drahtlose und schwer zugängliche Anlagen, und „ Arc “ liefert detaillierte Informationen auf „ endpoint “-Ebene, sobald die Netzwerksichtbarkeit hergestellt ist. Welche Kombination sinnvoll ist, hängt davon ab, wo die spezifischen „blinden Flecken“ einer Umgebung liegen.
