Unisciti a noi a Spark 2026 - la conferenza per i clienti di Nozomi Networks !
Iscriviti
Il monitoraggio passivo della rete è lo standard per l'inventario delle risorse ( OT ) e per il rilevamento di minacce e anomalie, ma oggi gli ambienti industriali possono affidarsi in tutta sicurezza a una combinazione di monitoraggio passivo della rete e delle reti wireless, oltre che a tecniche di sicurezza basate su polling attivo, raccolta remota e protezione tramite firewall ( endpoint ).
Il ricorso al monitoraggio passivo della rete è dovuto proprio alla natura sensibile e alla criticità degli ambienti industriali, a cui si aggiunge la forte dipendenza da sistemi legacy con protocolli proprietari e non sicuri, che possono essere destabilizzati o messi fuori servizio da una scansione attiva. I sistemi “ OT ” spesso supportano infrastrutture critiche, controllando processi che possono influire sulla sicurezza, sulla protezione e sulla fornitura di servizi essenziali. Il monitoraggio passivo garantisce visibilità senza alcuna interferenza, mentre le tecniche di scansione e sondaggio attive, comuni negli ambienti IT, possono essere dirompenti, causando potenzialmente guasti operativi o rischi per la sicurezza.
Gli strumenti di monitoraggio passivo delle reti industriali funzionano collegandosi a una porta SPAN o mirror di uno switch o di un router e osservando le comunicazioni di rete. Ad esempio, Nozomi Guardian i sensori adottano questo approccio per fornire una visibilità e un monitoraggio completi delle risorse OT e IoT . Essi identificano i dispositivi senza alcun agente né interrogazione attiva. I sensori Guardian possono monitorare continuamente l’attività per individuare nuove risorse che comunicano sulla rete, fornire visualizzazioni della rete per la risoluzione dei problemi e la ricerca, identificare vulnerabilità critiche e rilevare minacce cybersecurity e problemi operativi.
In particolare, i sensori Guardian utilizzano l'ispezione passiva dei pacchetti per scoprire automaticamente, in tempo reale, la rete industriale, compresi i suoi componenti, le connessioni e la topologia. La sua capacità di apprendimento avanzato costruisce quindi profili specifici per ogni ICS e utilizza l'analisi comportamentale per monitorare le attività anomale, sospette e dannose. Il risultato è il rapido rilevamento di attacchi informatici e anomalie di processo critiche.
I collettori remoti rappresentano un’altra forma di monitoraggio passivo progettata per coprire luoghi difficili da raggiungere e non presidiati. Si tratta di sensori di piccole dimensioni e a basso consumo che operano in combinazione con i sensori di rete per acquisire dati da siti remoti sul campo, piattaforme offshore, sottostazioni elettriche e impianti di dimensioni ridotte all’interno di un campus più ampio, dove l’installazione di un sensore “ Guardian ” completo non è fattibile. Ilcollettore remoto Nozomi Networks acquisisce, deduplica, comprime e crittografa questo traffico prima di inviarlo a un sensore Guardian associato per l’elaborazione.
Man mano che la tecnologia wireless ha acquisito maggiore diffusione negli ambienti OT , è diventata anche un vettore di attacco che tradizionalmente non veniva monitorato. I sensori wireless offrono un’altra forma di monitoraggio passivo che dovrebbe essere sfruttata negli ambienti industriali. Alcuni casi d’uso comuni delle reti wireless includono fornitori che collegano i propri laptop alla rete Wi-Fi per gli ospiti o che creano punti di accesso wireless non autorizzati. È difficile rilevare minacce specifiche delle reti wireless, quali attacchi di forza bruta, spoofing e bluejacking, ed è ancora più difficile determinare la posizione dei dispositivi che sferrano gli attacchi.
Oltre al Wi-Fi e al Bluetooth, le reti di controllo dei processi si avvalgono di protocolli wireless specializzati, progettati per facilitare una comunicazione affidabile tra sensori e controllori con un basso consumo energetico. Questi protocolli svolgono un ruolo cruciale nella raccolta, nell’aggregazione e nella trasmissione dei dati che consentono sia il funzionamento del sistema sia la sua sorveglianza. Ad esempio, lo standard IEEE 802.15.4 viene utilizzato negli edifici intelligenti per il monitoraggio in tempo reale dei sistemi di climatizzazione e di illuminazione e in agricoltura per il controllo wireless dei sistemi di irrigazione, al fine di ottimizzare la resa dei raccolti.
Nozomi Guardian Air È il primo sensore di sicurezza wireless del settore progettato appositamente per gli ambienti “ OT ” e “ IoT ”, che offre visibilità sulle risorse wireless — dai termostati ai robot fino ai droni — che fino ad ora venivano rilevate solo una volta connesse a una rete cablata. Monitora continuamente le tecnologie dello spettro wireless che operano tra 800 MHz e 5895 MHz (Wi-Fi, Bluetooth, IEEE 802.15.4, LoRaWAN, Z-Wave, reti cellulari e droni) e rileva e localizza le minacce tramite triangolazione per consentire una risposta più rapida.
Come ogni approccio, anche il monitoraggio passivo comporta dei compromessi che vale la pena valutare alla luce delle esigenze specifiche di un ambiente industriale.
I sensori di rete sono i veri e propri cavalli di battaglia del mondo informatico. Tuttavia, ci saranno sempre decine di scenari in cui l’aggiunta di un sensore di rete non è fattibile o in cui sono necessari ulteriori dettagli per comprendere e risolvere i problemi del proprio ambiente. Gli ambienti industriali odierni possono fare affidamento in tutta sicurezza su una combinazione di monitoraggio passivo della rete, raccolta remota e monitoraggio wireless, oltre che su tecniche di sicurezza basate su polling attivo e endpoint . La piattaforma Nozomi Networks offre l’intera gamma di metodi di monitoraggio per garantire una visibilità continua su tutte le risorse e sui relativi livelli di rischio, anche quando queste non stanno comunicando attivamente.
L'interrogazione attiva è una tecnica senza agenti e non invasiva che può essere utilizzata per raccogliere informazioni dettagliate non disponibili tramite sensori passivi su specifiche risorse di interesse, compresi i dispositivi integrati OT/IoT . Denominata Smart Polling nella piattaforma Nozomi Networks , questa tecnica interroga i dispositivi sulla base della conoscenza dei loro protocolli, utilizzando messaggi e istruzioni speciali per ottenere informazioni utili senza compromettere la stabilità dei dispositivi.
Smart Polling può essere utilizzato per:
Nella sicurezza IT, gli agenti per endpoint sono onnipresenti per la protezione antivirus e il patching. Sfortunatamente, le esperienze negative nell'implementazione di agenti focalizzati sull'IT su dispositivi OT hanno portato a una scarsa adozione del tanto necessario monitoraggio endpoint . Le soluzioni tradizionali di monitoraggio della rete ICS monitorano il traffico nord-sud tra i livelli Purdue o i firewall, ma le comunicazioni est-ovest tra i dispositivi all'interno di una zona, soprattutto ai livelli Purdue inferiori, sono state a lungo un punto cieco. Inoltre, il monitoraggio endpoint è l'unico modo per correlare le attività e gli eventi degli utenti nel momento in cui si verificano.
Nel OT si verificano certamente attacchi dolosi che comportano il furto di credenziali e altri comportamenti dannosi, ma molte minacce riguardano errori involontari di dipendenti o tecnici di terze parti autorizzati che vanno e vengono, spesso da remoto. Senza la sicurezza endpoint , non c'è modo di sapere chi si collega quando e cosa fa finché i suoi comandi non vengono eseguiti sulla rete. È troppo tardi.
Pubblicato nel 2023, Nozomi Arc è un agente di sicurezza sicuro e non invasivo, appositamente progettato per proteggere i requisiti di alta disponibilità specifici degli OT . A differenza dei tradizionali strumenti EPP ed EDR, Arc principalmente nello spazio utente, utilizzando i moduli dello spazio kernel solo quando assolutamente necessario, principalmente in modalità di sola lettura. Questo design garantisce un'interazione precisa e controllata con gli oggetti di sistema, riducendo al minimo le operazioni di scrittura e preservando la stabilità del sistema.
Il monitoraggio passivo costituisce il fondamento di una solida strategia di sicurezza OT e IoT , poiché garantisce una visibilità continua e non invasiva sulle risorse, sulle comunicazioni e sui comportamenti anche negli ambienti industriali più sensibili. Tuttavia, il monitoraggio passivo da solo non è in grado di fornire una risposta a ogni domanda. I collettori remoti e i sensori wireless estendono lo stesso approccio di monitoraggio passivo alle aree della rete difficili da raggiungere e connesse in modalità wireless, mentre le interrogazioni attive e gli agenti di sicurezza endpoint integrano i dettagli che il monitoraggio passivo, per sua natura, non è in grado di cogliere da solo. Insieme, questi metodi offrono ai team SOC e operativi una visione completa e stratificata dei loro sistemi OT e IoT senza mai mettere a rischio i fragili sistemi legacy.
Costruire da zero questo tipo di visibilità a più livelli rappresenta un’impresa significativa per qualsiasi team interno, specialmente in ambienti che utilizzano protocolli specializzati come OT e IoT . La piattaforma Nozomi è stata progettata appositamente per ambienti complessi di tipo industriale, commerciale e di infrastrutture critiche, combinando la visibilità dall’ endpoint e fino all’aria con un monitoraggio continuo e analisi basate sull’intelligenza artificiale. Aiuta le organizzazioni a ridurre al minimo i rischi informatici, massimizzare la resilienza operativa e semplificare la conformità agli standard e alle normative più rigorosi, il tutto basato sulla stessa struttura di monitoraggio passivo descritta in questo articolo.
Richiedi una demo per vedere la piattaforma in azione, oppure scopri come utilizziamo l'intelligenza artificiale per potenziare il monitoraggio passivo con analisi predittive in tempo reale.
Nel settore IT, i team di sicurezza si concentrano sulla protezione dei dati, mentre nell’ OT, la priorità è la disponibilità. Le reti OT possono essere messe a rischio dalle metodologie tradizionali di scansione della sicurezza IT. Pertanto, il monitoraggio passivo della rete è uno dei metodi principali per il rilevamento delle minacce di sicurezza negli ambienti OT , al fine di ridurre al minimo i tempi di inattività non pianificati che possono costare milioni o creare rischi per la sicurezza. Molti dispositivi OT sono inoltre obsoleti e sensibili, per cui anche una semplice scansione di rete può causare il malfunzionamento di un controller. Il monitoraggio passivo evita questo problema poiché non invia mai traffico nella rete, ma si limita ad ascoltare il traffico rispecchiato proveniente dalla rete. Metodi attivi sicuri, come Smart Polling di Nozomi, possono quindi aggiungere ulteriori dettagli a questa base passiva.
Il monitoraggio passivo è una funzionalità di rilevamento, non una misura di prevenzione. Identifica minacce e anomalie in tempo reale, ma non interviene su di esse. Il contenimento e la risoluzione dei problemi sono gestiti dal processo di risposta del vostro team SOC o da controlli a livello di " endpoint", come ad esempio Arc.
In breve, il monitoraggio passivo ti permette di sapere cosa sta succedendo sulla rete, mentre altri strumenti e processi determinano come intervenire.
No. Poiché il monitoraggio passivo si basa su una copia del traffico proveniente da una porta SPAN o mirror, anziché essere implementato in linea, la sua implementazione non richiede il reindirizzamento del traffico di produzione né la messa fuori servizio dei sistemi. Il principale lavoro iniziale consiste nel configurare lo switch in modo che replichi il traffico corretto; si tratta di una modifica una tantum, non di un rischio ricorrente.
Il monitoraggio passivo ascolta una copia del traffico di rete, solitamente proveniente da una porta SPAN o da un tap, e non invia mai nulla ai dispositivi. Il monitoraggio attivo funziona in modo opposto: invia richieste direttamente ai dispositivi e utilizza le loro risposte per raccogliere informazioni. In breve, il monitoraggio passivo osserva ciò che i dispositivi stanno già comunicando, mentre il monitoraggio attivo pone loro delle domande.
Tuttavia, non tutte le operazioni di polling attivo sono uguali, specialmente in OT. Gli strumenti IT tradizionali di tipo attivo effettuano scansioni di intervalli IP, sondano le porte e interrogano ogni dispositivo che individuano. Sebbene ciò possa essere accettabile nelle reti aziendali, potrebbe comportare dei rischi negli ambienti OT , che solitamente contengono dispositivi legacy.
Il polling attivo può essere reso sicuro per l'OT e se è molto più mirato, sfruttando i protocolli nativi dei dispositivi OT . Contatta solo i dispositivi già noti, utilizza messaggi specifici del protocollo che tali dispositivi si aspettano e mantiene basso il volume delle richieste. Il servizio Smart Polling di Nozomiè costruito in questo modo. Opera a partire dai dispositivi già rilevati dal monitoraggio passivo e recupera versioni del firmware, configurazioni e altri dettagli che potrebbero non essere stati raccolti in modo passivo. È inoltre possibile controllare quali nodi vengono interrogati, quando e con quale metodo. Ciò offre agli utenti i dettagli aggiuntivi dei metodi attivi senza il rischio di una scansione tradizionale.
No. Il monitoraggio passivo rileva solo i dispositivi che comunicano nel traffico che è in grado di osservare. Un dispositivo acceso ma inattivo, oppure uno che si trova su un segmento che non è oggetto di mirroring, non verrà rilevato. Un corretto posizionamento dei sensori colma gran parte di questa lacuna, mentre l’abbinamento del monitoraggio passivo ad altri metodi, come le query mirate o i dati dell’ endpoint , copre il resto.
Sì, anche se di per sé non garantisce la conformità. Offre un inventario aggiornato delle risorse, un monitoraggio continuo e una registrazione dell’attività di rete, tutti elementi che supportano standard quali IEC 62443, NERC CIP, NIS2 e NIST 800-82. Gli auditor continuano comunque ad aspettarsi che, oltre agli strumenti, siano presenti politiche, processi e procedure di risposta.
Smart Polling invia solo i messaggi specifici e nativi del protocollo che un dispositivo si aspetta già di ricevere, anziché eseguire scansioni generiche; proprio per questo è in grado di colmare le lacune che il monitoraggio passivo non riesce a coprire, senza il rischio di instabilità associato alla scansione attiva convenzionale. Sei tu a scegliere quali nodi interrogare, quando e con quale metodo.
Si tratta di livelli complementari, non di opzioni in concorrenza tra loro: Guardian viene solitamente implementato per primo per garantire la visibilità delle risorse cablate, Guardian Air e Remote Collector estendono tale visibilità alle risorse wireless e di difficile accesso, mentre Arc aggiunge dettagli a livello di endpoint una volta stabilita la visibilità della rete. La combinazione più appropriata dipende dalla posizione dei punti ciechi specifici di un determinato ambiente.
