Pasívny zber číta kópiu sieťovej komunikácie a do zariadení neposiela dopyty. Aktívny sken naopak so zariadeniami komunikuje podľa vopred určeného rozsahu. Agentový zber je tretí, samostatný model: program sa najprv cielene nasadí na podporované zariadenie a až potom z neho zbiera údaje.
Vo výrobnej sieti preto nerozhoduje iba to, čo nástroj dokáže nájsť. Pred nasadením potrebujete vedieť, čo bude v sieti robiť, na ktorých zariadeniach, v akom čase a s akým plánom návratu pri probléme.
Rýchle zhrnutie
- Pasívny, aktívny a agentový zber sú tri odlišné modely
- V bežiacej výrobe rozhoduje časovanie a rozsah zásahu
- Pasívne meranie potrebuje pripravený odber komunikácie
- Pasívny zber vidí iba komunikáciu, ktorá sa k sonde dostane
- Ponuka má pomenovať úkony, hranice aj prácu s dátami
- Časté otázky
Pasívny, aktívny a agentový zber sú tri odlišné modely
Pri pasívnom zbere privediete k sonde odklonenú kópiu komunikácie cez SPAN port alebo TAP. Sonda komunikáciu analyzuje, ale zariadeniam neposiela dopyty, nepoužíva prihlasovacie údaje a neskenuje otvorené porty. Tento model je preto vhodný na pozorovanie bežiacej prevádzky.
Aktívny sken pracuje opačným smerom. Podľa typu môže zariadeniam posielať dopyty, skenovať porty, kontrolovať zraniteľnosti alebo použiť prihlasovacie údaje vytvorené a poskytnuté na tento účel. Rozsah aktívneho kroku musí byť vopred určený. Pokus získavať prístupové údaje bez oprávnenia už nie je sken.
Agentový zber používa program, ktorý beží priamo na koncovom zariadení. Agenta neinštaluje aktívny sken. Nasadzuje ho človek alebo nástroj na správu zariadení ešte pred zberom. Agent môže zariadenie zaťažovať a vytvára ďalšiu komunikáciu, preto treba osobitne overiť podporu zariadenia, potrebné zdroje aj spôsob aktualizácie.
Tieto tri modely sa môžu v jednom riešení dopĺňať. V ponuke však musia zostať oddelené, aby bolo zrejmé, ktorý úkon sa má vykonať na ktorom zariadení.
V bežiacej výrobe rozhoduje časovanie a rozsah zásahu
OT označuje prevádzkové technológie, ktoré riadia fyzické procesy. Patria sem napríklad programovateľné automaty, systémy SCADA, operátorské panely a priemyselná sieť, ktorá ich spája. Aj krátke prerušenie riadenia môže vytvoriť škodu, preto je v OT na prvom mieste kontinuita prevádzky.
Pasívny zber patrí do bežiacej prevádzky, pretože sonda sama do siete nič neposiela. Aktívny sken má miesto najmä pri dodaní nového zariadenia, pri upgrade systému alebo počas plánovanej odstávky. Vtedy možno presne vymedziť cieľ, skontrolovať zraniteľnosti a vyriešiť nález pred uvedením zariadenia do prevádzky.
Agentový zber má inú podmienku. Koncové zariadenie musí agenta podporovať a prevádzkovateľ musí vedieť riadiť jeho inštaláciu, oprávnenia, aktualizácie a spotrebu zdrojov. Pri starších alebo citlivých riadiacich prvkoch táto možnosť nemusí existovať.
Porovnanie má viesť k výberu metódy podľa stavu prevádzky, cieľa zberu a povoleného zásahu. Jedna metóda preto nebude najlepšia pre všetky situácie.
Pasívne meranie potrebuje pripravený odber komunikácie
SPAN port je port na sieťovom prepínači, na ktorý prepínač posiela kópiu komunikácie z vybraných portov alebo VLAN. Ak je vhodné zrkadlenie dostupné, sondu možno pripojiť bez rozpojenia sieťovej trasy. Nastavenie vykoná správca siete zákazníka alebo sa vopred dohodne potrebná pomoc.
Ak zrkadlenie nemožno nastaviť alebo nie je dostupný vhodný port, komunikácia sa môže priviesť cez TAP. TAP sa vkladá priamo do trasy medzi sieťové prvky. Jeho osadenie preto môže vyžadovať krátke prerušenie spojenia v plánovanom okne.
Samotné pasívne meranie a fyzická inštalácia odberného bodu sú dva rozdielne deje. Sonda počas merania do siete nič neposiela. Zásah môže vzniknúť pri príprave zrkadlenia alebo pri vložení TAP, a preto sa topológia, porty a odstávkové okno preverujú ešte pred príchodom na miesto. Podrobný priebeh opisuje článok Ako prebieha monitoring OT siete.
Pasívny zber vidí iba komunikáciu, ktorá sa k sonde dostane
Sonda vyhodnocuje komunikáciu z pripojených zberných bodov. Nezrkadlený segment zostane mimo jej pohľadu. Zariadenie, ktoré počas pozorovania nekomunikuje, sa nemusí objaviť, kým komunikáciu nezačne.
Rovnaká hranica platí pri vzdialených prístupoch. Pasívne meranie ukáže pripojenia, ktoré počas merania prebehli v monitorovanej časti siete. Nepotvrdí existenciu všetkých možných prístupových ciest. Tie treba porovnať aj s konfiguráciou siete, evidenciou účtov a informáciami od prevádzky.
Model, firmvér alebo hostname môže nástroj odvodiť z paketov. Taká identifikácia nevzniká priamym prihlásením na zariadenie, preto ju treba overiť. Rozpoznaný model a verziu možno následne porovnať s databázou známych zraniteľností, no chybné určenie zariadenia môže vytvoriť falošne pozitívny nález.
Výstup preto čítajte ako pozorovaný stav v dohodnutom rozsahu, nie ako automaticky úplný inventár. Ako ho porovnať s prevádzkovou evidenciou, vysvetľuje článok o inventarizácii OT zariadení a shadow OT.
Ponuka má pomenovať úkony, hranice aj prácu s dátami
Pred pripojením nástroja si nechajte odpovedať na tieto otázky:
- Ktoré segmenty a komunikačné cesty budú súčasťou zberu?
- Bude nástroj iba čítať kópiu komunikácie, alebo bude zariadeniam posielať dopyty?
- Použije prihlasovacie údaje a na ktoré zariadenia?
- Budú sa nasadzovať agenti, kto ich nasadí a ktoré zariadenia ich podporujú?
- Kde sa dáta spracujú, kto k nim bude mať prístup a ako dlho sa uchovajú?
- Čo si zákazník môže exportovať a kedy sa dáta vymažú?
- Ktorý krok vyžaduje odstávkové okno a aký je plán návratu?
Konkrétny režim spracovania dát patrí do dohody s dodávateľom. Ponuka má pomenovať miesto spracovania, prístupy, dobu uchovania, export a okamih vymazania. Takto možno podmienky preveriť pri preberaní bez toho, aby ste sa spoliehali na všeobecný prísľub.
Časté otázky
Aký je rozdiel medzi pasívnym a aktívnym monitoringom OT siete?
Pasívny zber analyzuje kópiu komunikácie a sám zariadeniam neposiela dopyty. Aktívny sken podľa typu zariadenia oslovuje, skenuje porty, kontroluje zraniteľnosti alebo používa vopred poskytnuté prihlasovacie údaje. Rozsah aktívneho kroku sa preto schvaľuje vopred.
Inštaluje aktívny sken agentov?
Nie. Agenta nasadzuje človek alebo nástroj na správu zariadení pred začiatkom agentového zberu. Agentový zber je samostatný model a v ponuke má mať vlastné podmienky.
Môže pasívne meranie prerušiť výrobu?
Sonda počas pasívneho merania do siete nič neposiela. Krátke prerušenie môže vzniknúť pri fyzickom vložení TAP do trasy, ak nemožno použiť pripravené zrkadlenie cez SPAN port. Preto sa spôsob pripojenia dohodne pred inštaláciou.
Uvidí pasívny monitoring všetky zariadenia a vzdialené prístupy?
Uvidí komunikujúce zariadenia a prístupy v tej časti siete, ktorej komunikácia sa dostane k sonde. Tiché zariadenie, nezrkadlený segment alebo nevyužitá prístupová cesta sa počas merania nemusia prejaviť. Výstup treba porovnať s ďalšími evidenciami.
Kedy má aktívny sken v OT zmysel?
Najmä pred uvedením nového zariadenia do prevádzky, pri upgrade systému alebo počas plánovanej odstávky. Cieľ a rozsah sa vtedy dajú presne ohraničiť. Výsledok možno vyriešiť ešte pred návratom zariadenia do bežnej prevádzky.
Ďalší krok
Technický bezpečnostný audit siete KFB je 28-dňový zákaznícky proces. Sonda meria v sieti 21 dní a približne sedem dní pripadá na spracovanie výstupov a prípravu prezentácie. Pred nasadením sa dohodne rozsah pozorovania, spôsob pripojenia a termín inštalácie.
Dohodnite s KFB Control rozsah merania a termín inštalácie sondy.