OT / ICS-Sicherheit
AKTION ERFORDERLICH (sofort nach dem Lesen ausführen)
JETZT: Lies../field-journal/precedent-pentest.md— Fehlbedienung in der industriellen Umgebung kann physischen Schaden verursachenJETZT: Die schriftliche Genehmigung muss klar angeben: Standorte, Netzsegmente, ob aktives Scannen / Schreiben von Registern erlaubt ist.JETZT: case-init; standardmäßig passive-first;ready_for_actvor dem Schreiben auf PLCs verboten.NÄCHSTES: tool-index; Die meisten OT-Werkzeuge erfordern manuelle Verbindung mit isolierten Experimentier-Netzwerken.AKTION: Asset- und Zonenerkennung → Angriffsfläche → read-only Verifikation.
Anwendungsbereiche
- Autorisierte Sicherheitsbewertung von ICS/SCADA/DCS
- Purdue-Modell-Zonierung und Cross-Zone-Pfade
- Exposition von Protokollen wie Modbus/DNP3/S7/EtherNet/IP
- Engineering-Workstations, HMIs, Historian-Datenbanken, Sprungserver (Jump Hosts)
- IT/OT-Grenzbereiche (Firewall-Regeln, unidirektionale Datenübertragung)
Sicherheitsregeln (MÜSSEN)
DARF NICHT ohne ausdrückliche Genehmigung:
- Schreibzugriffe (Coils, Register) auf PLCs durchführen
- Produktions-OT mit hoher Rate scannen
- Sicherheitssysteme (SIS) betreffende Pfade unterbrechen
Bevorzugt: Read-only-Erkennung, Verkehrsspiegelung, Offline-Firmware/Konfigurationsanalyse
Arbeitsablauf
Phase 1 — Zonierung und Assets
□ Purdue L0–L5 Skizze: Feldgeräte → Steuerung → Überwachung → Standort-DMZ → Unternehmen
□ Asset-Liste: PLC/RTU/HMI/Engineering-WS/Historian/Jump Hosts
□ Protokoll- und Port-Baseline (nur in autorisierten Netzen)
Phase 2 — Passiv und Read-Only
□ SPAN/Mirror-PCAP → protocol-reverse / Wireshark ICS-Dissectoren
□ Offline-Audit von Konfigurations- und Projektdateien (TIA/RSLogix-Exporte etc.)
□ Standard-Passwörter und Klartext-Protokolle (Modbus ohne Authentifizierung) als Finding dokumentieren, nicht überschreiben oder ändern
Phase 3 — Eingeschränkt aktiv (nur mit Genehmigung)
□ Langsame Erkennung, Wartungsfenster
□ Bevorzugung von Read-Only-Funktionscodes
□ Jeder Schritt Evidence; bei Anomalien sofort stoppen und melden
Phase 4 — Firmware-/Patch-Oberfläche
□ Controller-Firmware-Version → CVE-Mapping (kein blindes Flashen der Firmware)
□ Gemeinsam mit firmware-pentest für Offline-Image-Analyse
Werkzeugkette
| Werkzeug | Verwendung | Hinweise |
|---|---|---|
| Wireshark ICS-Dissectoren | Passive Analyse | Verkehrsspiegelung |
| Nmap NSE (eingeschränkt) | Erkennung | Rate und Zeitfenster |
| Claroty/Nozomi usw. | Asset-Erkennung | Kommerziell/vor Ort |
| PLC-Engineering-Software | Konfigurations-Audit | Offline bevorzugt |
| binwalk / Ghidra | Firmware | Offline |
Referenzen
references/ot-safe-assessment.md../firmware-pentest/../protocol-reverse/../networkvia pentest-tools
Routing-Kontext
Upstream: MASTER R28
Downstream: Firmware-Tiefenanalyse firmware-pentest; Protokoll protocol-reverse; IT-seitig windows-ad/attack-chain
Gleichrangig: Keine Standard-Web-Scans mit Standardparametern auf OT anwenden
Aufgabenabschluss-Checkliste
- Standardmäßig passiv/read-only vorgegangen und Autorisierungsgrenzen dokumentiert?
- Schreibzugriffe auf Regelkreise vermieden (außer ausdrücklich erlaubt)?
- Finding enthält Beschreibung der physischen/prozessualen Auswirkungen?
- Checkliste / Journal geführt?