Claroty-Integrator in der Schweiz
Wir führen Claroty xDome in industriellen Netzen ein — Inventar der Geräte, Exposition und Erkennung, ohne etwas auf den Steuerungen zu installieren oder die Produktion zu stören.
Warum dieser Hersteller
Werkzeuge der Büro-IT lassen sich nicht auf ein industrielles Netz anwenden, und wer das übergeht, zahlt sofort. Ein aktiver Scan kann eine Steuerung anhalten, die auf eine unerwartete Anfrage nicht zu antworten weiss. Ein Agent lässt sich nicht auf einem Gerät installieren, dessen Firmware fünfzehn Jahre alt ist. Ein Update wird nicht an einem Dienstagmorgen auf eine laufende Anlage gespielt. Reflexe aus der Büro-IT werden hier zu Risiken.
Claroty hat seine Werkzeuge für diese Bedingungen gebaut. Die Erfassung erfolgt durch passives Mithören des Verkehrs: Die Plattform lernt durch Beobachten der Kommunikation, was vorhanden ist, ohne selbst zu senden. Sie versteht industrielle Protokolle — jene der Steuerungen, jene der Leitsysteme — und kann daher einen legitimen Schreibbefehl von einem auffälligen Eingriff unterscheiden, wo ein allgemeines Werkzeug nur Bytes sähe.
Das Inventar ist fast immer die Überraschung des Vorhabens. Die Betreiber kennen ihre Maschinen, selten aber alles, was am Netz hängt: eine von einem Integrator zurückgelassene Wartungskonsole, ein vergessenes Fernwartungsmodem, ein Sensor, der ohne Wissen der Sicherheit ergänzt wurde. Diese Entdeckung hat einen Wert für sich, noch vor jeder Schutzmassnahme.
Unser Beitrag ist es, beide Enden zu halten. Diese Umgebungen verlangen, mit den Betriebsteams in deren Begriffen zu sprechen, wo Verfügbarkeit vor Vertraulichkeit geht — die Umkehrung der üblichen Rangfolge. Ein Vorhaben ohne dieses Gespräch stösst auf Ablehnung, und es wird recht daran tun.
- Passive Erfassung, ohne zu senden
- Inventar dessen, was tatsächlich angeschlossen ist
- Dialog mit den Betriebsteams
- Segmentierung zwischen Büro-IT und Industrie
- Verzahnung mit dem IKT-Minimalstandard
Eine Plattform, vier Bereiche
Was die Plattform abdeckt
Claroty xDome ist modular: Die Bereiche werden im Takt des Reifegrads aktiviert, immer beginnend mit dem Inventar.
Asset-Inventar
Der Bereich, den der Hersteller Asset Inventory nennt. Die Erfassung erfolgt durch passives Mithören: Claroty xDome lernt durch Beobachten der Kommunikation, was vorhanden ist, ohne eine einzige Anfrage zu senden. Steuerungen, Leitsysteme, Engineering-Arbeitsplätze, Sensoren und Netzwerkgeräte werden nach Marke, Modell und Firmware-Stand erkannt. Fast immer ist es der Schritt, der am meisten überrascht.
Exposition und Schwachstellen
Der Bereich Exposure Management. Bekannte Schwachstellen werden mit dem Inventar abgeglichen, doch die Priorisierung folgt hier anderen Regeln: Eine Steuerung wird nicht gepatcht, sie wird umgangen. Die Frage lautet nicht, wann der Patch kommt, sondern wie sich die Exposition bis zum nächsten Stillstandsfenster senken lässt — oft fern, manchmal jährlich.
Netzwerkschutz
Der Bereich Network Protection. Die Plattform hilft, die erwarteten Zonen und Kanäle zwischen Büro-IT und Industrie festzulegen und anschliessend die Verbindungen zu erkennen, die sie unerlaubt überschreiten. Hier trifft sie auf das Purdue-Modell und auf die Segmentierungsanforderungen der Regelwerke für kritische Infrastrukturen.
Bedrohungserkennung
Der Bereich Threat Detection. Das Verständnis industrieller Protokolle erlaubt zu beurteilen, was tatsächlich geschieht: ein Schreibbefehl an eine Steuerung von einem Arbeitsplatz, der nie einen sendet, eine Programmänderung ausserhalb des Wartungsfensters, das Auftauchen eines unbekannten Geräts. Ein allgemeines Werkzeug sähe Verkehr; dieses sieht einen Eingriff.
In der Büro-IT wird zuerst die Vertraulichkeit geschützt. An einer Produktionsanlage geht die Verfügbarkeit allem voran, und die Sicherheit der Menschen ihr voraus. Was die Produktion anzuhalten droht, wird abgelehnt, und das zu Recht. Deshalb beginnt Claroty xDome mit Beobachten, und deshalb aktivieren wir nichts Eingreifendes ohne ausdrückliches Einverständnis der Betriebsteams.
Wie wir vorgehen
Zuerst passiv, aktiv erst danach und nur, wenn es angenommen wird. Nur diese Reihenfolge gewinnt die Betriebsteams.
Diese Leistung in der Praxis
Häufige Fragen
Wissen Sie, was angeschlossen ist?
Beschreiben Sie uns Ihre industrielle Umgebung — passives Mithören beantwortet diese Frage, ohne etwas zu stören.