Pri výbere OT monitoringu posudzujte celý reťazec od odberného bodu po reakciu človeka. Riešenie má vidieť do dohodnutých častí siete, rozumieť používaným protokolom, priznať hranice pasívneho merania, chrániť dáta a dať tímu overiteľný postup práce s nálezom. Dodávateľ má tieto vlastnosti preukázať na vašom rozsahu a pomenovať, kto bude monitoring po nasadení prevádzkovať.

Rýchle zhrnutie

  1. Mapa kritérií pre výber OT monitoringu
  2. Rozsah viditeľnosti musí byť zakreslený do vašej siete
  3. Zberné body rozhodujú o úplnosti pozorovaných dát
  4. Protokolové pokrytie sa overuje na vašej prevádzke
  5. Pasívny monitoring má presnú technickú hranicu
  6. Práca s dátami patrí do ponuky aj do preberania
  7. Nález musí prejsť overením s prevádzkou
  8. Prevádzkový model určuje, kto urobí ďalší krok
  9. Dôkaz má byť súčasťou akceptačných kritérií
  10. Kontrolný zoznam do porovnania ponúk
  11. Časté otázky

Mapa kritérií pre výber OT monitoringu

Ponuky porovnajte v siedmich oblastiach:

  • rozsah viditeľnosti v konkrétnych segmentoch,
  • návrh a kontrola zberných bodov,
  • pokrytie protokolov a hĺbka ich interpretácie,
  • hranice pasívneho merania,
  • umiestnenie, prístup, uchovanie a vymazanie dát,
  • overovanie nálezov s ľuďmi z prevádzky,
  • prevádzkový model a dôkaz, že sľúbený postup funguje.

Každé kritérium potrebuje dve časti: otázku do zadania a dôkaz, ktorý pri preberaní skontrolujete. Preto zoznam funkcií bez spôsobu overenia necháva rozhodnutie na prezentácii dodávateľa.

Rozsah viditeľnosti musí byť zakreslený do vašej siete

Veta „monitorujeme OT sieť“ neurčuje rozsah. Sonda vidí komunikáciu, ktorú k nej privedú nakonfigurované SPAN porty alebo TAP. Zariadenie mimo týchto ciest zostáva mimo pohľadu riešenia aj vtedy, keď je fyzicky pripojené v tej istej prevádzke.

Do zadania preto vložte zoznam lokalít a segmentov, ktoré majú vstúpiť do monitoringu. Pri každom segmente si vypýtajte odberný bod, smer komunikácie, ktorý pokrýva, a pomenovanie častí siete, ktoré zostanú mimo rozsahu. Dodávateľ má túto mapu potvrdiť po nasadení podľa skutočnej konfigurácie, nie iba podľa pôvodnej schémy.

Toto kritérium nežiada zoznam všetkých budúcich výstupov. Ten patrí do samostatného článku Čo z monitoringu OT siete reálne uvidíte. Pri výbere riešite, z akej časti siete môžu tieto výstupy vôbec vzniknúť.

Zberné body rozhodujú o úplnosti pozorovaných dát

SPAN port poskytuje sonde kópiu komunikácie zo sieťového prvku. Nesprávne nastavený alebo preťažený prepínač môže časť zrkadlenej prevádzky vynechať. Ponuka má preto popísať, kto navrhne zberné body, kto pripraví konfiguráciu a ako sa pri preberaní overí, že k sonde prichádza zamýšľaná komunikácia.

Ak vhodný SPAN port nie je dostupný, komunikáciu možno priviesť cez TAP. Jeho vloženie do hlavného uzla si vyžiada krátke prerušenie siete pri inštalácii. Samotné meranie potom ostáva pasívne. Dodávateľ má túto situáciu odhaliť pred termínom nasadenia a dohodnúť zásah s prevádzkou.

Pýtajte si aj zodpovednosť za zmenu. Nový switch, presun linky alebo úprava segmentácie môže zmeniť to, čo sonda vidí. Preto musí byť zmluvne jasné, kto po zmene siete skontroluje zrkadlenie a aktualizuje mapu pokrytia.

Protokolové pokrytie sa overuje na vašej prevádzke

Počet podporovaných protokolov v datasheete je slabé porovnávacie kritérium. Pre rozhodnutie je dôležité, či riešenie rozumie protokolom a konkrétnym implementáciám, ktoré používate vy, a aký detail z nich vie spoľahlivo vyčítať.

Pasívne nástroje majú pri asset discovery známe hranice. Proprietárny protokol môže zostať nečitateľný, podobné zariadenia sa môžu zameniť a údaj o firmvéri môže byť neurčitý. Model protokolu v sonde sa tiež môže rozchádzať s implementáciou konkrétneho výrobcu. V zadaní si preto vypýtajte názov protokolu, hĺbku interpretácie, známe obmedzenia a spôsob, akým dodávateľ neurčitý výsledok označí.

Pasívny monitoring má presnú technickú hranicu

Pasívny zber analyzuje odklonenú kópiu komunikácie a sonda sama do siete nič neposiela. Aktívne dotazovanie a skenovanie predstavujú druhý model: podľa typu posielajú zariadeniam dopyty, skenujú porty, kontrolujú zraniteľnosti alebo používajú vopred poskytnuté prihlasovacie údaje. Agentový zber je tretí model. Agenta pred zberom inštaluje človek alebo nástroj na správu zariadení; aktívny sken ho neinštaluje.

Zariadenie, ktoré počas pozorovania nekomunikuje, sa nemusí objaviť. Udalosť v nezrkadlenom segmente zostane neviditeľná. Pasívne určený model alebo firmvér navyše nevzniká priamym prihlásením na zariadenie a potrebuje následné overenie.

Dobré zadanie pomenúva, čo sa bude robiť pasívne počas prevádzky, kde môže byť potrebná inštalácia TAP a kedy by prichádzal do úvahy aktívny krok v odstávke alebo pred uvedením zariadenia do prevádzky. Rozdiel oboch metód rozoberá téma Pasívny verzus aktívny monitoring v OT sieti.

Práca s dátami patrí do ponuky aj do preberania

Sieťová komunikácia z výroby môže opustiť prevádzku len podľa vopred dohodnutého režimu. V ponuke si preto nechajte pomenovať, kde sa dáta spracúvajú, kto k nim má prístup, ako dlho sa uchovávajú, kedy sa mažú a čo si zákazník môže exportovať pre vlastné overenie alebo ďalšiu prácu.

Nález musí prejsť overením s prevádzkou

Monitoring pracuje s tým, čo vie vyčítať z komunikácie a čo sa naučil ako bežné alebo známe správanie. Anomália preto pomenúva odchýlku od rozpoznaného vzoru. Jej príčinou môže byť bezpečnostná udalosť aj legitímny servisný zásah, odstávka alebo zmena technológie.

Pri výbere si nechajte ukázať cestu jedného nálezu. Potrebujete vidieť, z ktorého odberného bodu pochádza, aké pozorovanie ho vyvolalo, kto ho technicky preverí, kto doplní kontext výrobného procesu a kde zostane zaznamenaný výsledok. Takto rozlíšite nástroj, ktorý vyrába upozornenia, od služby, ktorá ich mení na rozhodnutia.

Súčasťou zadania má byť aj práca s neurčitým výsledkom. Dodávateľ má označiť, čo sonda iba odhadla, čo potvrdili dáta a čo musí preveriť vlastník zariadenia. Rovnaká hranica je dôležitá pri inventári a pri téme asset discovery a shadow OT.

Prevádzkový model určuje, kto urobí ďalší krok

Platforma môže byť nasadená správne a aj tak zostať bez človeka, ktorý nález prevezme. Pred podpisom preto rozdeľte činnosti medzi interný tím a dodávateľa: dohľad nad chodom zberu, triedenie upozornení, doplnenie OT kontextu, eskaláciu, úpravu pravidiel a kontrolu pokrytia po zmene siete.

Pri každej činnosti pomenujte vlastníka, čas dostupnosti, spôsob odovzdania a dôkaz o vykonaní. Ak má časť práce riešiť SLA, musí stáť už v porovnávanej ponuke. Tenderový podklad KFB ukazuje, že pozáručná prevádzka môže v zadaní úplne chýbať a zostať odložená na budúcu dohodu. Vtedy sa pri nákupe porovná jednorazová dodávka, hoci skutočný rozdiel vznikne až pri každodennej prevádzke.

Dôkaz má byť súčasťou akceptačných kritérií

Namiesto všeobecného sľubu si ku každému kritériu vypýtajte overiteľný artefakt alebo úkon. Rozsah dokladá mapa segmentov a zberných bodov. Protokolové pokrytie dokladá výsledok nad dátami z vašej prevádzky. Prácu s nálezom dokladá prechod od upozornenia cez technické preverenie po potvrdenie človekom, ktorý pozná proces. Prevádzkový model dokladá záznam o tom, kto nález prevzal a čo s ním urobil.

Takto postavené preberanie testuje spôsob úsudku a práce, nie iba názov platformy. Ak ten istý produkt dodáva viac integrátorov, rozdiel ukáže až konkrétny postup. Preto sa návrh zberu, interpretácia OT komunikácie a schopnosť udržať monitoring v prevádzke ukážu až na konkrétnom postupe.

Kontrolný zoznam do porovnania ponúk

Pri každej ponuke si zapíšte odpoveď aj dôkaz:

  • Ktoré segmenty a komunikačné cesty budú viditeľné a ktoré zostanú mimo rozsahu?
  • Kde budú SPAN porty alebo TAP a ako sa overí správnosť zberu?
  • Ktoré naše protokoly riešenie interpretuje a s akým detailom?
  • Ktoré zariadenia alebo udalosti môže pasívny prístup vynechať?
  • Kde budú dáta, kto k nim pristúpi a kedy sa vymažú?
  • Kto preverí nález technicky a kto doplní kontext výroby?
  • Kto riešenie prevádzkuje po odovzdaní a čo pokrýva SLA?
  • Akým akceptačným testom dodávateľ tieto odpovede preukáže?

Ak odpoveď nemožno premeniť na kontrolovateľný bod pri preberaní, zostáva vlastnosťou prezentácie, nie kritériom výberu. Preto do tabuľky pridajte odkaz na konkrétny dôkaz namiesto samostatného stĺpca „áno“.

Časté otázky

Stačí pri výbere porovnať počet podporovaných OT protokolov?

Rozhoduje podpora protokolov používaných vo vašej prevádzke, hĺbka ich interpretácie, známe obmedzenia a spôsob označenia neurčitého výsledku; samotný počet nestačí.

Je pasívny monitoring vždy bez zásahu do prevádzky?

Samotné pasívne meranie do siete nič neposiela. Ak nie je dostupný vhodný SPAN port a treba vložiť TAP do hlavného uzla, krátke prerušenie vznikne pri inštalácii.

Ako overíme, že sonda vidí do dohodnutého rozsahu?

Rozsah sa viaže na konkrétne segmenty a zberné body. Pri preberaní treba potvrdiť ich konfiguráciu, prichádzajúcu komunikáciu a časti siete, ktoré zostávajú mimo pohľadu sondy.

Kto má posudzovať upozornenia z OT monitoringu?

Technické preverenie potrebuje doplniť človek, ktorý pozná výrobný proces. Preto má zmluva určiť, čo robí dodávateľ, čo interný tím a ako sa výsledok zaznamená a eskaluje.

Aký dôkaz si pýtať od dodávateľa?

Pýtajte si mapu pokrytia, overenie zberných bodov, výsledok nad vašimi protokolmi a ukážku celého postupu od upozornenia po potvrdené rozhodnutie. Dôkaz má byť naviazaný na akceptačné kritérium.

Ďalší krok

Ak si chcete kritériá overiť na údajoch z vlastnej prevádzky pred rozhodnutím o dlhodobom riešení, dohodnite si s KFB Control technický bezpečnostný audit siete.