Die Produkte entlang der Architektur, von OT-Bus und SPS über die Netztrennung bis zu Unternehmens-IT, Internet und Cloud. Jedes Netzwerk ist als L2-Segment dargestellt; die Verbindungslinie links zeigt die Übergänge. Ein Klick erklärt Aufgabe und Position eines Produkts und markiert alle seine Einsatzorte.
Wo Agenten installiert werden
Zwei Ansichten der Geräteschichten: ein virtualisierter Server und ein Arbeitsplatzrechner. Markierte Zeilen zeigen installierte Komponenten aus dem Yellow Cube Portfolio oder Telemetriequellen. Auf dem Arbeitsplatz läuft ein vollständiger Agent; auf dem Server wird er pro Gastbetriebssystem installiert, nicht auf dem Hypervisor.
{{ sel.what }}
Architekturkarte
Purdue L5 · Cloud & Internet
SaaS-Mandanten, öffentliche Clouds und mobile Geräte außerhalb des Büro-LANs.
- Cloud-Sicherheitszustand (CSPM)
- WithSecure Elements Cloud Security oder Cynet AutoXDR CSPM oder Stellar Cyber Cloud Sensors oder OPSWAT MetaDefender Cloud
- Identität und MFA
- Imprivata SSO + MFA oder Microsoft Entra ID oder Google Workspace — Identitätsverwaltung
- Integrität der Lieferkette
- OPSWAT Software-Lieferkette oder Cymulate Überprüfung der Angreifbarkeit oder Group-IB Angriffsflächenmanagement
- Mobile Geräte
- iVerify Mobile EDR oder WithSecure Elements Mobile Protection
- Cloud-Postfach
- IronScales Erkennung und Abwehr von E-Mail-Bedrohungen + MailStore E-Mail-Archiv
Grenze · Internet-Perimeter
- DDoS und Edge
- A10 Networks Thunder TPS
- Perimeter-Firewall
- Stormshield SNS-Firewall
- DNS-Sicherheit
- Whalebone DNS-Sicherheit
Purdue L4 · DMZ · IT-DMZ
Veröffentlichte, internetbasierte Dienste. Der Office-Endpunkt-Stack plus Edge- und Identitätskontrollen.
- WAF + Load Balancer
- A10 Networks Thunder ADC + WAF
- Identitätssicherheit (ITDR)
- Varonis ITDR oder Imprivata PAM
- Agent auf veröffentlichten Servern
- Cynet AutoXDR-Agent oder WithSecure Elements EDR oder Group-IB Verwaltetes XDR oder Stellar Cyber Server Sensor
- Datei-Uploads in
- OPSWAT MetaDefender ICAP Server oder OPSWAT MetaDefender Core
Grenze · Interne Segmentierung
- DMZ ↔ Office-Firewall
- Stormshield SNS-Firewall
- DNS-Sicherheit
- Whalebone DNS-Sicherheit
Purdue L4 · Büronetzwerk
Ein L2-Büronetzwerk: Server, Workstations, der SPAN-Port und der Protokollpfad zum SOC.
- Endpunktagent – Server und Workstations
- Cynet AutoXDR-Agent oder WithSecure Elements EDR oder Group-IB Verwaltetes XDR
- NDR-Sensor auf SPAN / TAP
- Stellar Cyber NDR sensor oder Group-IB Analyse des Netzwerkverkehrs oder OPSWAT MetaDefender NDR
- Protokollsammlung → SOC
- Stellar Cyber Offene XDR-Plattform oder Cynet AutoXDR-Agent
- Patch- und Schwachstellenmanagement
- WithSecure Elements oder Cynet AutoXDR-Agent
- Endpoint-Sicherheitsstatus (ESPM)
- WithSecure Elements oder Cynet AutoXDR-Agent
- Daten- und Insiderrisiko
- Varonis Erkennung und Abwehr von Datenbedrohungen oder Teramind Insider-Bedrohungsmanagement
Purdue L3.5 · Netztrennung (Air Gap)
Elektronische oder optische Trennung. Telemetrie verlässt OT Richtung Norden; nichts wird zurückgeleitet.
- Einseitige Übertragung
- OPSWAT NetWall Unidirectional Gateway oder Waterfall Security Unidirectional Security Gateway
- Wechselmedien und Laptops externer Dienstleister
- OPSWAT MetaDefender Kiosk + OPSWAT MetaDefender Drive oder OPSWAT Managed File Transfer
Purdue L3–L2 · OT-Kontrollnetzwerk
SCADA, Prozessdatenarchive, HMIs und Engineering-Arbeitsplätze. Windows-Hosts nutzen hier immer noch einen Agenten – sofern der OEM dies zulässt.
- Industrielle Firewall – Zonenkontrolle
- Stormshield SNS-Industrie-Firewall oder OPSWAT Industrielle Firewall
- Agent für HMI / Engineering WS
- Cynet AutoXDR-Agent oder WithSecure Elements EDR oder OPSWAT MetaDefender Endpoint
- Sichtbarkeit von OT-Assets
- OPSWAT MetaDefender OT Security oder OPSWAT MetaDefender NDR
- Fernzugriff des Anbieters
- OPSWAT MetaDefender OT Access oder Imprivata PAM
Grenze · Zellsegmentierung
- Steuerung ↔ Bus
- Stormshield SNS-Industrie-Firewall
Purdue L1–L0 · OT-Bus / SPS-Netzwerk
Feldbus und Controller. Hier unten ist nichts installiert – der Schutz ist integriert und transparent.
- Vor der SPS
- OPSWAT Industrielle Firewall oder Stormshield SNS-Industrie-Firewall
- Feldgeräte
- Mit Absicht Kein Agent möglich
Übergreifend
Yellow Cube Verwaltetes SOC rund um die Uhr + Cymulate Überprüfung der Angreifbarkeit + CYBER RANGES Cyber-Range-Schulung
WithSecure Elements Cloud Security
CSPM
Kontinuierliche Status- und Fehlkonfigurationsprüfungen in M365, Entra, Azure und AWS – in derselben Konsole wie die unten aufgeführten Endpunktagenten.
SaaS. Keine netzwerkinterne Komponente.
OPSWAT MetaDefender Cloud
Cloud-Dateianalyse
Multiscanning, Deep CDR und Sandboxing werden als Cloud-API für Dateien angeboten, die in die Organisation gelangen.
SaaS-API, aufgerufen von Apps und Gateways.
Stellar Cyber Cloud Sensors
Cloud-Telemetrie
Zieht Cloud-Audit-, Identitäts- und SaaS-Protokolle in den Open XDR Data Lake, sodass Cloud-Ereignisse mit Netzwerk- und Endpunktereignissen korrelieren.
Cloud-Mandant + lokaler Collector.
Stellar Cyber Server Sensor
Host-Telemetriesensor
Softwaresensor für unterstützte Windows- und Linux-Server, der Systemereignisse und Host-Telemetrie als Interflow weiterleitet, damit Open XDR die Aktivität mit dem Rest des Stacks korrelieren kann.
Agent auf jedem veröffentlichten Server in der IT-DMZ.
Imprivata SSO + MFA
Identität und Zugriff
Single Sign-on, Anmeldung per Ausweis und MFA für gemeinsam genutzte Arbeitsplätze und Schichtbetrieb — in Kliniken, Werkhallen und Leitständen.
Cloud-Identitätsdienst + Endpunkt-Client.
OPSWAT Software-Lieferkette
Integrität der Lieferkette
SBOM-Erstellung, Scannen und Bereinigen von Anbieterpaketen, bevor Software, Updates oder Firmware von Drittanbietern in den Bestand aufgenommen werden.
Release-Gate/CI-Pipeline.
Cymulate Überprüfung der Angreifbarkeit
Sicherheitsvalidierung
Greift sicher Ihre eigenen Kontrollen an, um zu beweisen, dass der Stack das blockiert, was er behauptet – pro Zone, einschließlich der OT-Grenze.
Leichte Agenten über Zonen hinweg.
Group-IB Angriffsflächenmanagement
Externe Angriffsfläche und Lieferkette
Erfasst kontinuierlich, was Sie dem Internet zur Verfügung stellen – Schattenressourcen, offengelegte Dienste, geleakte Zugangsdaten und die Dritten in Ihrer Lieferkette – und bewertet, was zuerst behoben werden muss.
Extern, nichts zu installieren.
Microsoft Entra ID
Identitätsanbieter
Die bestehende Identitätsplattform stellt die Token aus, denen die übrigen Systeme vertrauen. Unsere Identitätsschutzlösungen ergänzen diese Plattform, sie ersetzen sie nicht.
Cloud-Identitätsanbieter.
Die eigene Plattform des Kunden – nicht bereitgestellt von Yellow Cube.
Google Workspace — Identitätsverwaltung
Identitätsanbieter
Das Google-seitige Äquivalent: der Verzeichnis- und Token-Aussteller, bei dem sich der Rest des Stacks authentifiziert.
Cloud-Identitätsanbieter.
Die eigene Plattform des Kunden – nicht bereitgestellt von Yellow Cube.
iVerify Mobile EDR
Mobile Verteidigung
Erkennt Söldner-Spyware, Jailbreaks, bösartige Profile und Konfigurationsabweichungen auf iOS und Android – echte Erkennung, nicht nur MDM-Konformität.
App auf dem Gerät. Keine Netzwerkposition.
WithSecure Elements Mobile Protection
Mobile AV
Malware-, Phishing- und Browsing-Schutz für verwaltete Telefone und Tablets, gemeldet in derselben Elements-Konsole wie die Desktops.
App auf dem Gerät.
Whalebone DNS-Sicherheit
DNS-Filterung
Blockierung von Phishing-, Malware- und C2-Domänen auf Resolver-Ebene. Deckt Gäste, IoT und alles ab, auf dem Sie keine Software installieren können.
Netzwerk-Resolver oder Roaming-Client auf Mobiltelefonen.
IronScales Erkennung und Abwehr von E-Mail-Bedrohungen
E-Mail-Sicherheit
Phishing-Erkennung nach der Zustellung und Behebung mit einem Klick in M365 oder Google, mit Benutzerberichten, die das Modell trainieren.
API-integriert in das Postfach – keine MX-Änderung.
MailStore E-Mail-Archiv
Aufbewahrung & Beweise
Manipulationssicheres Journalarchiv jeder E-Mail – gesetzliche Aufbewahrungspflicht, E-Discovery und die von Prüfern geforderte Beweisführung.
Server im Büronetzwerk.
A10 Networks Thunder ADC + WAF
Load Balancer + Web-App-Firewall
Terminiert TLS-Verbindungen, verteilt Anfragen auf veröffentlichte Dienste und schützt sie auf derselben Appliance mit WAF, Bot-Abwehr und API-Sicherheitsregeln.
DMZ, in Reihe vor der Webschicht.
A10 Networks Thunder TPS
DDoS-Abwehr
Filtert volumetrische und anwendungsbezogene DDoS-Angriffe am Internet-Übergang, bevor die Verbindungstabelle der Firewall zum Engpass wird.
Internet-Perimeter, Inline oder On-Demand.
Stormshield SNS-Firewall
NGFW
Perimeter- und interne Segmentierung mit IPS und Anwendungskontrolle – die gleiche Richtlinien-Engine wie die industrielle SNi40 weiter unten, gemeinsam verwaltet.
Internet-Perimeter und zwischen internen Zonen.
Varonis ITDR
Erkennung von Identitätsbedrohungen
Überwacht Active Directory und Entra auf Rechte-Missbrauch, Kerberos-Angriffe und veraltete Admin-Zugänge. Zeigt außerdem den möglichen Schadensumfang kompromittierter Konten.
Collector im DMZ oder Büronetzwerk.
Imprivata PAM
PAM
Verwahrt Anmeldeinformationen und zeichnet privilegierte Sitzungen auf Servern, Jump-Hosts und OT-Ressourcen auf – der Prüfpfad dafür, wer was getan hat.
Jump-Host in der DMZ.
Cynet AutoXDR-Agent
EDR/XDR-Agent
Ein Agent, der NGAV, EDR, Täuschung und automatisierte Reaktion abdeckt, mit einem 24x7-MDR-Team dahinter. Der pragmatische Standard, bei dem das Sicherheitsteam klein ist.
Installiert auf jedem Windows-, Linux- und macOS-Host.
WithSecure Elements EDR
EDR-Agent
Erkennung und Reaktion auf Endgeräten mit Eskalation an Elevate-Spezialisten. Dieselbe Agentenfamilie unterstützt auch die Mobil- und Cloud-Module.
Auf jedem Server und jeder Workstation installiert.
Group-IB Verwaltetes XDR
Verwaltetes XDR
Agenten und Netzwerksensoren, unterstützt durch Bedrohungsinformationen und Incident-Response-Erfahrung von Group-IB. Besonders relevant, wenn die Zuordnung von Angriffen und die Vorfallbearbeitung wichtig sind.
Agent auf Hosts + Sensor im Netzwerk.
OPSWAT MetaDefender ICAP Server
Prüfung hochgeladener Dateien
Jede über den Reverse-Proxy hochgeladene Datei wird mehrfach gescannt und mit Deep CDR bereinigt, bevor sie die Anwendung erreicht.
DMZ, neben dem Load Balancer.
OPSWAT MetaDefender Core
Engine zur Dateibereinigung
Zentrale Scan- und Deep-CDR-Engine für ICAP, Managed File Transfer und Kioske. Einmal bereitstellen und an mehreren Dateieingängen nutzen.
Server im DMZ oder Büronetzwerk.
Stellar Cyber NDR sensor
NDR
Passiver Sensor an SPAN oder TAP: erkennt Ost-West-Verkehr, laterale Bewegungen und nicht verwaltete Geräte, die kein Agent meldet.
SPAN/TAP-Port am Core-Switch.
Group-IB Analyse des Netzwerkverkehrs
NDR
Verkehrsanalyse mit Inline-Dateidetonation, verknüpft mit Group-IB-Informationen über die Akteure, die es auf Ihren Sektor abgesehen haben.
SPAN/TAP, plus eine Kopie des Nachrichtenflusses.
OPSWAT MetaDefender NDR
NDR
Auf konvergenten IT/OT-Verkehr abgestimmte Netzwerkerkennung – versteht sowohl Industrieprotokolle als auch Unternehmensprotokolle.
SPAN/TAP auf beiden Seiten der Grenze.
Stellar Cyber Offene XDR-Plattform
Protokollsammlung und Korrelation
Sammelt Protokolle von jeder Ebene dieses Diagramms, normalisiert sie und stellt die Korrelation her, auf der das SOC tatsächlich basiert – konzeptionell herstellerunabhängig.
Collector vor Ort, Plattform in der Cloud.
Varonis Erkennung und Abwehr von Datenbedrohungen
Datensicherheit
Findet die sensiblen Daten, behebt zu weitreichende Berechtigungen und warnt bei abnormalem Zugriff auf Dateifreigaben, SharePoint und E-Mail.
Collector neben den Datei- und Mailservern.
Teramind Insider-Bedrohungsmanagement
Insiderrisiko und DLP
Überwachung der Benutzeraktivität, Sitzungsaufzeichnung und DLP für die Konten, die bereits über legitimen Zugriff verfügen.
Agent auf Workstations und Terminalservern.
Stormshield SNS-Industrie-Firewall
OT-Firewall
Die SNi-Reihe umfasst robuste Industrie-Firewalls für DIN-Schiene und Rack mit Protokoll-IPS und Hardware-Bypass. Das Modell richtet sich nach den Anforderungen der Fertigungszelle.
Zwischen Kontrollzonen, Zellen und Maschinen.
OPSWAT Industrielle Firewall
OT-Firewall / IPS
Der Lernmodus zeichnet das normale Verkehrsmuster auf und setzt es dann durch – protokollspezifische DPI für Modbus TCP, S7, DNP3, EtherNet/IP und BACnet. Entwickelt, um zwischen Purdue L2 und L3.5 zu sitzen.
Vor einer Zelle, einer Maschine oder einer einzelnen SPS.
OPSWAT MetaDefender OT Security
Sichtbarkeit von OT-Assets
Passive und sichere aktive Erkennung jedes OT-Assets, seiner Firmware-Version und seiner bekannten Schwachstellen – das Inventar, das die Risikobewertung benötigt.
Sensor im Steuernetzwerk.
OPSWAT MetaDefender OT Access
Sicherer Fernzugriff
Vermittelter, zeitgesteuerter und sitzungsprotokollierter Anbieterzugriff auf OT-Ressourcen – ohne VPN-Tunnel in das Kontrollnetzwerk.
Broker am IT/OT-Edge.
OPSWAT MetaDefender Endpoint
Sicherheitszustand und Virenschutz für OT-Hosts
Leichte Status-, Patch- und Malware-Prüfungen für Hosts, bei denen der OEM keinen vollständigen EDR-Agenten zertifiziert.
HMI und Engineering-Arbeitsplätze.
OPSWAT NetWall Unidirectional Gateway
Unidirektionales Gateway
Einweg-Gateway mit Protokollemulation, sodass Prozessdatenarchive, OPC-Server und Dateifreigaben nach Norden replizieren, als ob die Verbindung bidirektional wäre.
L3.5, gekoppelte Geräte.
Waterfall Security Unidirectional Security Gateway
Unidirektionales Gateway
Hardwaregestützte unidirektionale Replikation mit einer langen Erfolgsgeschichte in den Bereichen Energie und Wasser und der damit verbundenen Vertrautheit mit den Regulierungsbehörden.
L3.5, gekoppelte Geräte.
OPSWAT MetaDefender Kiosk
Steuerung von Wechselmedien
Kontrollierte Schleuse: USB-Sticks und Dateien externer Dienstleister werden vor der Freigabe für die OT gescannt und bereinigt.
Am physischen Zugang zum OT-Bereich.
OPSWAT Managed File Transfer
Kontrollierte Dateiübernahme
Der überwachte Pfad für Dateien, die die Grenze überschreiten müssen – gescannt, bereinigt, genehmigt und protokolliert, ohne dazwischenliegendes freigegebenes Laufwerk.
Auf beiden Seiten des Luftspalts.
OPSWAT MetaDefender Drive
Offline-Geräteinspektion
Starten Sie einen Auftragnehmer-Laptop oder eine Inbetriebnahmemaschine von einem vertrauenswürdigen Laufwerk und scannen Sie ihn offline, bevor er jemals mit dem OT-Netzwerk verbunden wird.
Tragbar, am Luftspalt einsetzbar.
CYBER RANGES Cyber-Range-Schulung
Fertigkeiten & Übungen
Realistische Angriffs- und Abwehrübungen für IT und OT, mit denen das Blue Team diese Architektur unter Zeitdruck erprobt.
Gehostete Plattform.
Yellow Cube Verwaltetes SOC rund um die Uhr
Verwaltete Erkennung und Reaktion
Das Team, das außerhalb der Geschäftszeiten alles oben in der IT und OT überwacht, anhand der Telemetrie, die die Agenten und Sensoren hier erzeugen.
Yellow Cube SOC, gespeist von den Kollektoren.
Cynet AutoXDR CSPM
Cloud-Sicherheitszustand
Verwaltung der Cloud-Sicherheitslage in derselben AutoXDR-Konsole wie die Endpunktagenten – Fehlkonfigurationen, offengelegter Speicher und Identitätsdrift an einem Ort.
Agentenlos, mit dem Cloud-Mandanten verbunden.
WithSecure Elements
Endpoint-Status, Patching und Schwachstellenmanagement
Ein Agent und eine Konsole für Endpunktschutz, Drittanbieter-Patches und Schwachstellenmanagement mit Statusbewertung im gesamten Unternehmen.
Server und Workstations im Büronetzwerk.
Mit Absicht Kein Agent möglich
Feldgeräte
SPS, RTUs, Antriebe und Sensoren erlauben keine Installation von Sicherheitsagenten. Ihr Schutz liegt daher transparent im vorgelagerten Netzwerkpfad — insbesondere in der Firewall vor der Produktionszelle.
Purdue L0–L1.
FAQ
01 Wo steht jedes Yellow Cube-Produkt im Purdue-Modell? +
Yellow Cube platziert sein Portfolio über den gesamte Sicherheitsarchitektur, von unten nach oben gelesen: Purdue L1–L0 ist der OT-Bus, der SPS, RTUs, Laufwerke und Sensoren trägt; L3–L2 ist das OT-Steuerungsnetzwerk mit SCADA, Prozessdatenarchiven, HMIs und Engineering-Workstations; L3,5 ist der Luftspalt; L4 deckt das Büronetzwerk und die IT-DMZ ab; L5 ist Cloud, SaaS und die mobile Flotte. Dazwischen liegen Firewall-Grenzen – Internet-Perimeter, interne Segmentierung und Zellsegmentierung.Jedes Netzwerk wird als einzelnes L2-Segment dargestellt, an dem die Hosts hängen. Sie lesen also eine Netzwerkposition und keine Produktkategorie.
02 Wie schützt Yellow Cube Geräte auf den Purdue-Ebenen L0–L1, auf denen kein Sicherheitsagent laufen kann? +
Für SPS, RTUs, Antriebe und Sensoren, auf denen kein Sicherheitsagent laufen kann, übernehmen vorgelagerte Netzwerkkomponenten den Schutz.In der Praxis sitzt eine industrielle Firewall vor der Produktionszelle, der Maschine oder der einzelnen SPS. OPSWAT Industrial Firewall lernt den normalen Datenverkehr und setzt Regeln anhand der Protokolle Modbus TCP, S7, DNP3, EtherNet/IP und BACnet durch. Eine Alternative ist die robuste Stormshield-SNi-Reihe für die DIN-Schiene mit Hardware-Bypass. Auf dieser Ebene übernimmt die Firewall vor der Produktionszelle einen wesentlichen Teil des Schutzes.
03 Wie überwindet die Telemetrie die Luftlücke, ohne einen Weg zurück ins OT zu öffnen? +
Auf Purdue-Ebene L3.5 erfolgt die Übertragung bewusst nur in eine Richtung. Die erste Option ist OPSWAT NetWall Unidirectional Gateway: zwei gekoppelte Appliances mit Protokollemulation. Damit werden Prozessdatenarchive, OPC-Server und Dateifreigaben in Richtung IT repliziert, als wäre die Verbindung bidirektional. Telemetrie verlässt die OT, ohne einen Rückweg ins Netz zu öffnen.Das Unidirectional Security Gateway von Waterfall Security gehört ebenfalls zum Yellow Cube-Portfolio und bietet eine Alternative für hardwareseitig erzwungene Einwegkommunikation. Wechselmedien und Laptops von Auftragnehmern gehen einen völlig anderen Weg: Ein MetaDefender-Kiosk fungiert als Luftschleusentür und scannt und bereinigt jeden USB-Stick und jede Datei, bevor sie für den OT-Bereich freigegeben wird.
04 Müssen wir den bestehenden Identitätsanbieter oder die Firewalls des Kunden ersetzen? +
Nein. Bei den gestrichelten Kästchen in dieser Architektur handelt es sich um Plattformen von Drittanbietern, die in den meisten Systemen bereits laufen – zum Beispiel Microsoft Entra ID oder Google Workspace als Identitätsanbieter – und sie werden ausdrücklich nicht von Yellow Cube bereitgestellt. Die Identitätsprodukte von Yellow Cube bauen auf dem Anbieter auf, den der Kunde bereits hat, anstatt ihn zu ersetzen, da diese Plattform die Token ausgibt, denen alles andere vertraut.Sind zwei Produkte mit „oder“ verbunden, erfüllen sie dieselbe Aufgabe. Wählen Sie eine der beiden Alternativen.
05 Welche Angebote decken die gesamte Architektur statt nur einer Purdue-Ebene ab? +
Drei Angebote decken mehrere Ebenen ab. Das rund um die Uhr betriebene SOC von Yellow Cube überwacht IT und OT anhand der Telemetrie aus dieser Architektur. Cymulate Exposure Validation prüft die eingesetzten Schutzmaßnahmen mit sicheren Angriffssimulationen — einschließlich der OT-Grenze.CYBER RANGES fügt Live-Fire-Übungen zu realistischen IT- und OT-Szenarien hinzu, sodass ein blaues Team diese Architektur unter Druck und nicht während eines Vorfalls erlernt.
Lassen Sie uns wirksamere Cyberabwehr aufbauen — gemeinsam
Vertrauen, Fachwissen und gemeinsamer Erfolg sind die Basis unserer Partnerschaften. Ob Sie Ihr Geschäft ausbauen, Ihr Cybersicherheitsangebot erweitern oder innovative Lösungen auf neuen Märkten einführen möchten: Yellow Cube begleitet Sie langfristig.
Kontaktieren Sie Yellow Cube