EASM pro OT/ICS

Standardní IT skenery průmyslové systémy zcela minou. Vybudovali jsme specializovaný OT pipeline, který detekuje PLC, RTU, HMI a SCADA systémy vystavené internetu pomocí pasivních sond napříč 6 průmyslovými protokoly — Modbus, DNP3, OPC-UA, S7comm, IEC 104 a BACnet. Každá sonda je read-only. Žádné zápisy, fuzzing ani změny stavu. Automatické mapování na shodu IEC 62443 a pokrytí technik MITRE ATT&CK for ICS.

Hledáte EASM pro IT?

Pro standardní řízení externího útočného prostoru IT viz náš produkt Discovero.io — automatické objevování aktiv, průběžný monitoring a reporty ověřené experty.

Navštívit discovero.io

Co je zahrnuto

Fingerprinting OT protokolů

Aktivní detekce napříč 6 průmyslovými protokoly s read-only sondami: Modbus TCP, DNP3, OPC-UA, S7comm, IEC 60870-5-104, BACnet/IP. Plus detekce portů pro EtherNet/IP, PROFINET a HART-IP. Automatická identifikace 11 OT výrobců — Siemens, Schneider, ABB, Rockwell, Honeywell a další.

Hodnocení zón Purdue modelu

Každé OT aktivum klasifikováno podle úrovně Purdue. Detekujeme porušení zón — PLC (úroveň 1) přímo na internetu (úroveň 5) bez DMZ je kritické zjištění. Mezery v IT/OT segmentaci zmapovány a reportovány.

Hodnocení bezpečnostní úrovně IEC 62443

Automatické mapování na bezpečnostní úrovně IEC 62443 (SL0-SL4). Každé aktivum dostane hodnocení na základě detekovaných kontrol, autentizace, šifrování a expozice. Jasný obraz, kde stojíte vs. kde potřebujete být.

Mapování MITRE ATT&CK for ICS

Nálezy mapované na techniky ATT&CK for ICS — Unauthorized Command (T0855), Manipulation of Control (T0831), Program Download (T0843), Internet Accessible Device (T0883) a další. 10 technik automaticky detekovaných z externího skenování.

Korelace CVE

Detekované kombinace výrobce/produktu korelované vůči NVD API a katalogu CISA Known Exploited Vulnerabilities. Nejen co je vystaveno — konkrétní CVE platné pro vaše verze firmware.

Skenování s prioritou bezpečnosti provozu

Intenzita přizpůsobená podle typu aktiva: pasivní pro PLC/RTU, opatrně pro HMI, střídmě pro kandidáty. Detekce fragility RTT, spouštěče přerušení při anomáliích, kompletní audit trail. Nikdy nebruteforcujeme, nefuzzujeme ani nezapisujeme do zařízení.

Profesionální hodnotící zpráva

Manažerské shrnutí, inventář OT vystavených internetu, analýza porušení zón, bezpečnostní nálezy protokolů s 3-úrovňovou nápravou (okamžitá/střednědobá/dlouhodobá), mapování ATT&CK, hodnocení IEC 62443 SL a korelace CVE.

Jak to funguje

1

Rozsah a souhlas

Definice IP rozsahů, domén, dceřiných společností. Podepsaný souhlas s audit trailem. Dohoda na úrovních intenzity a maintenancových oknech. Bezpečnost provozu je priorita — každé omezení probereme před skenováním.

2

Identifikace a fingerprinting

Pasivní předklasifikace z vzorů názvů hostů, HTTP klíčových slov a OSINT. Pak aktivní fingerprinting protokolů napříč 6 protokoly s read-only sondami. Dvouúrovňová klasifikace: kandidáti + potvrzení.

3

Hodnocení zón a shody

Klasifikace úrovní Purdue. Detekce porušení zón. Automatické mapování na bezpečnostní úrovně IEC 62443 a MITRE ATT&CK for ICS. Korelace CVE z NVD a CISA KEV.

4

Plánování nápravy

Každé zjištění dostane okamžitou akci (pravidla firewallu), střednědobé opatření (DMZ, VPN, segmentace) a dlouhodobý plán nápravy (bezpečnost na úrovni protokolu, program shody IEC 62443).

5

Report a debrief

Komplexní report s prioritizovanými zjištěními. Osobní debrief. Volitelný průběžný monitoring nových expozic přes platformu Discovero.

Pro koho je to určeno

Průmysloví výrobci s OT připojeným k internetu
Energetika a utility (rozsah IEC 62443 / NIS2)
Provozovatelé kritické infrastruktury
Ropné a plynové společnosti
Automatizace budov / chytré budovy (BACnet)
Zařízení na úpravu vody
Firmy, které měly IT pentest, ale nikdy nezkontrolovaly OT expozici

Související služby

Jste připraveni začít?

Domluvte si bezplatné posouzení a probereme vaše bezpečnostní potřeby.

Domluvit bezplatné posouzení