Datalit OT › Guide › Monitoraggio passivo

Monitoraggio passivo: vedere la rete OT senza fermarla

A cura del team tecnico Datalit · Lettura: 5 minuti

In un ufficio, per sapere cosa c'è in rete si lancia una scansione. In un impianto non si può fare a cuor leggero: alcuni PLC e dispositivi industriali datati possono bloccarsi se ricevono traffico inatteso. Il monitoraggio passivo risolve il problema: osserva il traffico senza mai inviare nulla ai dispositivi.

Come funziona

Sugli switch di rete si configura una porta di copia (SPAN o mirror), oppure si installa un TAP: tutto il traffico viene duplicato verso una sonda.
La sonda analizza i protocolli industriali, come Modbus, IEC 60870-5-104, DNP3, Siemens S7, EtherNet/IP e OPC UA, e capisce chi parla con chi e per fare cosa.
In pochi giorni costruisce automaticamente l'inventario dei dispositivi (marca, modello, firmware) e una mappa delle comunicazioni.
Impara il comportamento normale dell'impianto e segnala le anomalie: un nuovo dispositivo, un comando insolito a un PLC, un collegamento verso l'esterno mai visto.

Cosa si scopre, di solito, nei primi giorni

Dispositivi che nessuno sapeva di avere, o che si credevano dismessi.
PC o router di fornitori collegati direttamente alla rete di controllo.
Comunicazioni dirette tra uffici e PLC che non dovrebbero esistere.
Firmware con vulnerabilità note, da pianificare per l'aggiornamento.
Password e protocolli in chiaro.

Perché serve anche per la NIS2

La normativa chiede di conoscere i propri sistemi, gestire le vulnerabilità e notificare gli incidenti entro 24 ore. Senza visibilità sulla rete OT nessuna di queste cose è davvero possibile: un attacco all'impianto si scoprirebbe solo quando la produzione si ferma.

Monitoraggio passivo e monitoraggio delle prestazioni

Sono due cose complementari. Il monitoraggio di sicurezza, per esempio con Nozomi Networks, guarda il contenuto del traffico e cerca minacce e anomalie. Il monitoraggio delle prestazioni, con strumenti come Paessler PRTG o Hirschmann HiVision, controlla che apparati, collegamenti e banda funzionino. Negli impianti più critici li usiamo insieme.

Quanto è invasivo?

Molto poco. Si configura una porta di copia sugli switch o si inserisce un TAP, di solito senza fermare l'impianto, e si installa la sonda in un armadio rack. Nessun software va installato su PLC, HMI o server SCADA.

Datalit ha configurato sistemi di monitoraggio della rete in centrali elettriche, raffinerie e impianti Oil & Gas in Italia e in Kuwait. Contattaci per un assessment della tua rete d'impianto.