Detegujte a reagujte tam, kde rozhoduje rýchlosť. Predchádzajte a oddeľujte tam, kde rozhoduje fyzická bezpečnosť. Vybudujte jedno riadiace centrum, ktoré chápe rozdiel.
15-minútový sprievodca pre partnerov a bezpečnostných lídrov
ITDetegovať. Reagovať.
70 % detekcia a reakcia
Jednosmerný tok dôkazov←
OTPredchádzať. Oddeliť.
70 % prevencia
Jeden pohľad na hrozbu. Odlišné pravidlá zásahu.
01 / Prevádzkový model
Jeden SOC. Dve odlišné zodpovednosti.
Bezpečnostné operačné centrum (SOC) tvorí tím, technológia a prevádzkový proces, ktorý premieňa bezpečnostné signály na rozhodnutia. Zhromažďuje dôkazy, vyšetruje podstatné udalosti, obmedzuje útoky a zlepšuje obranu do budúcnosti. Nákup konzoly je len začiatok: každý vážny incident musí mať zodpovednú osobu, aj o tretej ráno.
V informačných technológiách (IT) je prioritou ochrana identít, aplikácií a dát pri neustálych zmenách podnikania. V prevádzkových technológiách (OT) ide o zachovanie bezpečného fyzického procesu: výroby energie, úpravy vody, prevádzky vlakov alebo výrobnej linky.
Spoločný obraz útoku. Reakcia primeraná prostrediu. Izolovať kompromitovaný kancelársky notebook môže byť rozumné. Izolovať priemyselný riadiaci prvok bez pochopenia jeho procesných závislostí môže samo osebe spôsobiť incident.
Prístup Yellow Cube
Jedno riadiace centrum. Jasné hranice reakcie.
IT
Detegujte rýchlo. Zasahujte s istotou. Investujte do rýchlej detekcie a reakcie; automatizáciu obmedzte na schválené úkony na koncových bodoch, identitách a podnikových systémoch.
OT
Udržte hrozbu mimo siete. Uprednostnite oddelenie a prevenciu. Monitorujte pasívne a rozhodovanie o priemyselných zásahoch ponechajte ľuďom zodpovedným za závod.
SOC
Spojte dôkazy. Prepojte signály IT a OT do jedného vyšetrovania s určenými vlastníkmi incidentov a otestovaným eskalačným plánom.
Ukážte na číslo alebo naň ťuknite a preskúmajte danú fázu.
Reťazec útoku v IT
Prieskum
Vstup
Pretrvanie
Laterálny pohybMožný prienik do OT →
Incident
Obnova ↻
Reťazec útoku v OT
Prieskum
Laterálny pohyb
Incident
ŠkodaTu sa cyklus môže skončiť.
IT sa môže obnoviť a cyklus zopakovať. Fyzická škoda v OT môže byť nezvratná. Prienik vyžaduje dostupný vstupný bod do OT.
Nastaviť. Prevádzkovať. Neustále zlepšovať.
SOC je služba, ktorú neustále budujete.
Začnite dohodnutou zodpovednosťou a hranicami reakcie. Potom cyklus opakujte podľa zmien podnikania, závodu a prostredia hrozieb.
Jeden spoločný prehľad. Reakcia v IT. Bezpečnosť OT.
01
Pripojiť nové signály
Zmapujte aktíva, zodpovedné osoby a kritické procesy. Pripojte schválené EDR, NDR, identitné a aplikačné toky do Open XDR; nové OT toky pripravte, ale aktivujte až po overení oddelenia.
02
Zabezpečiť a overiť oddelenie
Vybudujte a otestujte jednosmernú monitorovaciu cestu z OT do IT. Overte obchádzkové cesty a pred použitím schváľte každý exportovaný tok aj postup offline importu; po zmenách kontrolu zopakujte.
03
Zhromaždiť dôkazy a vyšetrovať
Sledujte stav tokov a chýbajúce logy. Korelujte dôkazy z koncových bodov, siete a identít s kritickosťou aktív, aby ste objasnili udalosti a určili priority incidentov.
04
Rozhodnúť, reagovať a obnoviť
Obmedzujte hrozby v IT pomocou schválených postupov a overujte obnovu. OT zásahy eskalujte k zodpovedným za závod a bezpečnosť podľa otestovaných miestnych postupov.
05
Učiť sa, udržiavať a zlepšovať
Vyhodnocujte incidenty a cvičenia, dolaďujte detekcie, udržiavajte senzory a konektory a znovu testujte reakciu aj obnovu. Medzery v pokrytí a konfiguračné zmeny zahrňte do ďalšieho cyklu.
↻
Každá zmena spúšťa novú kontrolu. Kontrolujte po nových integráciách, zmenách infraštruktúry a incidentoch aj pri plánovaných cvičeniach. Poznatky využite na zlepšenie pokrytia a opätovné overenie oddelenia. Bezpečnosť OT: usmernenie [6]
02 / Riaďte sa dôsledkami
Rovnaký rozpočet. Iné ťažisko.
Náš východiskový bod pre rozdelenie bezpečnostného úsilia vo vyspelom prostredí. Ide o plánovacie odporúčania Yellow Cube, nie o odvetvové priemery ani nákupný vzorec.
IT
Nájsť. Obmedziť. Obnoviť.
30%prevencia70%detekcia a reakcia
Investujte aj za prvú líniu obrany: do správania, identít, prehľadu o sieti, vyšetrovania a účinného reakčného tímu.
OT
Udržte útok mimo siete.
70%prevencia30%detekcia a reakcia
Dôraz klaďte na oddelenie, riadené prenosy a bezpečné technické riešenia. Zachovajte pasívne monitorovanie a nacvičený plán reakcie.
Toto rozdelenie použite až po dohode o rozsahu. Neznamená opustenie kontroly identít, záloh, školení ani bezpečnostného inžinierstva. Skutočnú investíciu určujú existujúca vyspelosť, vystavenie hrozbám a následky zlyhania.
Prečo sa pomer medzi IT a OT mení
Rozhodnutie
Podnikové IT
Priemyselné OT
Čo treba chrániť?
Informácie, identity a kontinuitu služieb.
Ľudí, zariadenia a fyzický proces.
Môžeme systém meniť?
Časté aktualizácie a centrálne riadené koncové body sú často realizovateľné.
Zmeny závisia od podpory výrobcu, testovania a okien údržby.
Môžeme zásah vrátiť späť?
Mnohé kroky možno zvrátiť, hoci narušenie podnikania zostáva dôležité.
Odstavenie alebo strata riadiaceho signálu môžu mať okamžité fyzické dôsledky.
Čo obnova obnoví?
Otestované zálohy môžu obnoviť systémy; neodstránia následky krádeže informácií.
Zálohy môžu obnoviť logiku a konfigurácie; neopravujú poškodené stroje.
82%
detekcií CrowdStrike v roku 2025 bolo bez malvéru.
82 % bez malvéru · 18 % ostatné detekcie. CrowdStrike 2026 Global Threat Report. Ide o ich pozorované detekcie, nie o podiel všetkých útokov na svete. [1]
To je presvedčivý dôvod pozerať sa aj za signatúry. Útočník sa môže prihlásiť ukradnutými prihlasovacími údajmi, zneužiť nástroj vzdialenej správy alebo sa pohybovať prostredím cez legitímny shell. „Bez malvéru“ je širší pojem než „bez súborov“: zahŕňa aj činnosť, ktorá škodlivý program vôbec nepotrebuje.
Útoky living-off-the-land menia nástroje, ktorým správcovia dôverujú, na útočné nástroje. Otázkou je, kto ich použil, na ktorom stroji, s akými oprávneniami a čo nasledovalo. Detekcia a reakcia na koncových bodoch (EDR), v sieti (NDR), udalosti identít a cloudové logy odhaľujú jednotlivé časti príbehu. Rozšírená detekcia a reakcia (XDR) ich spája.
Vybudujte spoľahlivý 30 % základ
10% Prevencia na koncových bodoch
Antivírus založený na signatúrach je základ, posilnený behaviorálnou prevenciou, riadením aplikácií a ochranou pred exploitmi. Preventívna vrstva zostáva dôležitá, aj keď nevidí každý útok.
10% Stav zabezpečenia
Odstráňte zbytočné vystavenie, nadmerné oprávnenia, slabé nastavenia identít a rizikové cloudové konfigurácie. Inventár a určená zodpovednosť premieňajú zistenia na konkrétne úlohy.
10% Správa zraniteľností a záplat
Uprednostnite zneužiteľné, vystavené aktíva a obchodný dopad. Overte skutočné nasadenie opravy; naplánovaná záplata nie je odstránená zraniteľnosť.
Výskum podporovaný AI zvyšuje tlak na túto poslednú oblasť. V marci 2026 Anthropic uviedol, že spolu s Mozillou našiel za dva týždne 22 zraniteľností Firefoxu. Je to konkrétny príklad zrýchleného odhaľovania, nie dôkaz, že AI spôsobila každý nárast počtu CVE. Praktický záver: skrátiť cestu od relevantnej zraniteľnosti k overenej oprave. [2]
Premeňte zvyšných 70 % na fungujúcu prevádzku
Spúšťať na každom notebooku viacero súperiacich antivírusových motorov v reálnom čase je zvyčajne nepraktické: problémom sa stávajú kompatibilita, výkon a prevádzka. Vyhradený skener prenosu súborov má inú záťaž a na riadenom kontrolnom bode môže kombinovať viacero motorov.
V IT investujte zvyšné úsilie do pozorovania správania, vyšetrovania incidentov a rýchleho konania. Vopred schváľte zvratné reakcie, napríklad izoláciu nekritickej pracovnej stanice alebo zrušenie rizikovej relácie. Privilegované a servisné účty chráňte prísnejšími pravidlami. Testujte obnovu zo záloh aj obnovu po havárii; hlásenie zálohovacej úlohy „úspech“ ich nenahrádza.
04 / Útok je cesta
Útočníci sa nerodia vo vnútri OT siete.
Potrebujú cestu dnu, užitočné oprávnenia a spôsob ovplyvnenia procesu. Každá závislosť je príležitosťou útok prerušiť.
01
Získať oporný bod
Identita získaná phishingom, vystavená služba alebo kompromitované zariadenie dodávateľa umožní počiatočný prístup.
Sledovať: identita, e-mail, koncový bod
02
Pripraviť cestu
Útočník objavuje systémy, zbiera prihlasovacie údaje a hľadá most smerom k prevádzke.
Sledovať: EDR, NDR, privilegovaný prístup
03
Prekročiť hranicu
Vzdialená relácia, dôveryhodný prenos alebo údržbové zariadenie sa stanú pokusom o vstup.
Predchádzať: oddelenie, pravidlá prenosu
04
Ovplyvniť proces
Zmeny logiky, nastavení alebo prehľadu operátora môžu zmeniť kybernetický incident na fyzickú škodu.
Chrániť: miestna bezpečnosť a technické riadenie
Ide o ilustračnú cestu, nie o prísľub hodín či dní na reakciu. Niektorí útočníci postupujú rýchlo, iní sa pripravujú týždne. Včasné odhalenie oporného bodu v IT môže odstrániť plánovaný prístup skôr, než dosiahnu priemyselné systémy.
Interaktívne vzdialené ovládanie potrebuje komunikačnú cestu. Správne navrhnutá dióda smerujúca iba von odstraňuje spätnú cestu. Vopred umiestnený malvér, interné osoby a kompromitované vymeniteľné médiá však môžu konať aj bez živého operátora zadávajúceho príkazy. Oddelenie a súborová prevencia musia fungovať spolu.
Izolácia oporného bodu v IT môže odrezať útočníka, ktorý od neho závisí. Nedokazuje však, že už kompromitované OT prostredie je čisté.
05 / Referenčná architektúra
Zjednoťte dôkazy. Zachovajte hranicu.
Umiestnite ochranné prvky do známej mapy Purdue: EDR na IT koncových bodoch, pasívne NDR v oboch sieťach a jedno riadiace centrum nad hranicou oddelenia.
Dôkazy z koncových bodov a siete korelované v jednom vyšetrovaní.
EDR na IT pracovných staniciach a serveroch
Pozorovania IT NDR
Dôkazy OT NDR cez diódu
Analýza a reakcia podporovaná AI
Automatizujte schválené IT úkony. Rozhodnutia o závode eskalujte k OT technikom.
L3.5
Hardvérovo vynútené oddelenie
Monitorovacie dáta môžu opustiť OT. Do závodu nevedie spätná relácia ani riadiaca cesta zo SOC.
Jednosmerná dátová diódaIba z OT do IT
OPSWAT alebo Waterfall Overený export / replikácia
V chránenej OT zóne
OT NDR senzor
Iba zrkadlená prevádzka. Zachytávacie rozhranie pozoruje kópiu z OT prepínača alebo TAP.
Pasívny zber. Bez blokovania v dátovej ceste. V tomto návrhu bez aktívneho sondovania.
Cez diódu vyššie sa exportujú iba schválené monitorovacie dôkazy.
L3–L2
OT prevádzka a riadenie
Inžinierska pracovná stanica
HMI / SCADA
Historizačný server
OT prepínač / TAP · zrkadlená kópia do OT NDR senzora
Výrobná prevádzka zostáva v OT sieti. Senzor dostáva samostatnú pozorovaciu kópiu.
L1–L0
Riadiace prvky a fyzický proces
PLC / RTU
Pohony / prevádzkové senzory
Stroje / proces
Miestne riadenie a bezpečnostné systémy zostávajú v právomoci závodu.
Kópia prináša prehľad. Dióda zachováva oddelenie.
Samotné zrkadlenie SPAN alebo TAP nestačí na bezpečnosť OT ani ako bezpečnostná hranica medzi IT a OT. Hardvérovo vynútená jednosmerná cesta zabraňuje SOC posielať prevádzku späť cez toto monitorovacie spojenie.
Zjednodušené umiestnenie podľa Purdue; skutočné zóny vychádzajú z návrhu lokality. Plné spojnice medzi panelmi prenášajú bezpečnostné dôkazy, prerušované označujú zrkadlenú prevádzku. OT snímanie je pasívne a cez diódu prechádzajú iba schválené monitorovacie dáta. Overte kombináciu senzora a brány a zabezpečte miestne aktualizácie senzorov. Pozrite si pokyny Stellar Cyber k nasadeniu [8].
Čo tu znamená „airgap“
Doslovná vzduchová medzera nemá sieťové spojenie. Tento návrh používa hardvérovo vynútenú jednosmernú hranicu, ktorá pri exporte dát zachováva oddelenie. Nemožno ju zamieňať s bežným pravidlom firewallu, ktoré možno zmeniť tak, aby povoľovalo relácie späť do OT.
Syslog možno zbierať v OT a znovu vysielať mimo neho. FTP a ďalšie obojsmerné protokoly vyžadujú kompatibilné replikačné alebo proxy koncové body; bežná FTP relácia jednoducho neprechádza jednosmerným vodičom. Waterfall tento prístup dokumentuje pre bezpečnostné monitorovanie a OPSWAT ponúka optické diódy aj brány. [3][4]
Navrhnite celú hranicu
Pre každý schválený tok zvoľte smer, protokoly, objem a toleranciu straty dát. Kolektor umiestnite tak, aby fungoval bez prichádzajúcej cloudovej správy, potom overte ukladanie do vyrovnávacej pamäte, synchronizáciu času a aktualizácie senzorov. Vybranú kombináciu produktov overte praktickým testom konceptu.
Zaznamenajte každú alternatívnu cestu: VPN výrobcov, notebooky pripojené do dvoch sietí, bezdrôtové spojenia, mobilné modemy a spoločné administrátorské vzťahy dôvery. Dióda chráni svoju vlastnú cestu; prehliadnuté spojenie môže architektúru oslabiť. Umiestnenie senzora oddeľte od predpokladu, že každý senzor dokáže fungovať cez každú diódu.
OT nám dáva príležitosť, ktorú mobilný notebook poskytuje len zriedka: sústrediť prichádzajúce súbory do malého počtu riadených prenosových bodov. Balíky údržby, konfiguračné súbory a médiá dodávateľov možno skontrolovať skôr, než sa dostanú na chránenú inžiniersku stanicu.
OPSWAT MetaDefender Kiosk a Core podporujú tento prístup založený na prevencii kontrolou viacerými motormi a pri vhodných formátoch neutralizáciou a rekonštrukciou obsahu. Cieľom je dôkladnejšia kontrola na hranici s auditovateľným rozhodnutím o uvoľnení. Skenovanie nie je záruka; podpísaný firmvér a riadiace programy stále potrebujú overenie pravosti a technickú validáciu. [5]
Identifikovať. Zaznamenajte dodávateľa, cieľové aktívum, typ súboru a obchodný účel.
Skontrolovať. Použite schválenú sadu motorov, pravidlá súborov a postup čistenia. Zlyhania alebo nejednoznačné výsledky presuňte do karantény.
Schváliť. Oprávnená zodpovedná osoba potvrdí, že obsah je vhodný, kompatibilný a očakávaný.
Preniesť a overiť. Uvoľnite iba schválený súbor, zachovajte auditnú stopu a overte jeho použitie v plánovanom okne údržby.
Keď je záplatovanie náročné, kompenzujte to cielene
Záplatovanie OT je obmedzené, nie neexistujúce. Niektoré aktíva majú dlhé cykly podpory alebo úzke okná odstávky; iné neprijmú agenta ani bežný sken. Udržiavajte inventár aktív a zraniteľností, používajte aktualizácie schválené výrobcom, keď je to možné, a dokumentujte kompenzačné opatrenia, ak oprava musí počkať.
Pasívne monitorovanie zostáva hodnotné. Neočakávaná inžinierska činnosť, nové zariadenie alebo zmenený komunikačný vzor môžu odhaliť problém skôr, než dôjde ku škode. Detekcia po nebezpečnom riadiacom príkaze však môže nechať príliš málo času na zásah. Architektúra má zabrániť prístupu k tejto príkazovej ceste skôr, než sa spoľahne na preteky v odhalení jej zneužitia.
Konfiguráciu riadiaceho prvku možno obnoviť. Poškodenú turbínu zo zálohy neobnovíte. OT naďalej potrebuje otestované zálohy, postupy obnovy, náhradné diely a plány bezpečného opätovného spustenia. Riešia obnovu, nie odstránenie fyzických následkov. Podľa NIST bezpečnosť OT zahŕňa aj spoľahlivosť, prevádzkovú bezpečnosť a obnovu. [6]
Riadený import / OPSWAT MetaDefender
Jeden prenosový bod. Osem vrstiev kontroly.
Získajte istotu skôr, než súbor dosiahne OT. Každá vrstva odpovedá na inú otázku o jeho pôvode, obsahu alebo správaní.
Začnite nedôveryhodným súborom dodávateľa alebo vymeniteľným médiom
Identifikujte skutočný typ súboru, skontrolujte podporované archívy a počas požadovaných kontrol ponechajte originál v karanténe.
Identifikujte geografický pôvod podporovaného softvéru podľa odtlačkov a metadát. Neznámy alebo obmedzený pôvod postúpte na posúdenie podľa pravidiel organizácie.
Korelujte reputáciu súborov, známe indikátory hrozieb a behaviorálne spravodajstvo. Označte spojenia so škodlivou infraštruktúrou, súvisiacim malvérom alebo známymi kampaňami.
Pred inštaláciou overte v podporovaných spustiteľných súboroch, inštalátoroch a knižniciach známe zraniteľné komponenty a verzie. Udržte odstrániteľné CVE mimo závodu.
Kombinujte popredné antimalvérové motory od výrobcov z celého sveta. Široké pokrytie signatúr posilňuje prevenciu proti známym hrozbám, doplnenú heuristikami a ďalšími metódami detekcie.
Pred spustením skúmajte štrukturálne a sémantické signály súborov, aby ste identifikovali potenciálne škodlivé, dosiaľ neznáme súbory. Pridajte skorú vrstvu ochrany pred hrozbami nultého dňa.
Emulujte súbory v izolovanom analytickom prostredí, aby ste odhalili skrytý škodlivý obsah, úhybné správanie a spätné sieťové spojenia skôr, než dosiahnu produkciu.
Odhaľujte citlivé informácie, prihlasovacie údaje a regulovaný obsah. Blokujte alebo redigujte podľa pravidiel prenosu; osobitne užitočné pri súboroch opúšťajúcich chránené prostredie.
Podporované dokumenty znovu vytvorte zo schváleného obsahu a odstráňte rizikové aktívne prvky. Predstavte si vytvorenie PDF z čistých strán: nový použiteľný súbor namiesto dôvery v pôvodné skripty a vložené objekty.
ZADRŽAŤ / ODMIETNUŤ
Neúspešná alebo neúplná kontrola zastaví uvoľnenie.
Presuňte súbor do karantény na vyšetrovanie. Neznáme výsledky a výnimky z pravidiel vyžadujú rozhodnutie zodpovednej osoby.
SCHVÁLIŤ / PRENIESŤ
Uvoľnite schválený súbor offline postupom.
Pri podporovaných dokumentoch použite rekonštruovanú kópiu. Pri záplatách a firmvéri zachovajte autentický balík výrobcu; overte podpis, zamýšľanú verziu a cieľ, potom pred nasadením otestujte očakávanú opravu.
Navrhnutý kontrolný postup, nie pevné poradie vykonávania produktu. Kontroly môžu bežať paralelne; pracovný postup určujú typ súboru, pravidlá a licencované moduly. CDR slúži pre podporované formáty dokumentov, nie na prestavbu podpísaného firmvéru. Spravodajstvo o hrozbách podporuje posúdenie záplaty; technická validácia potvrdzuje, či opravuje zamýšľaný problém. Nevytvára sa živé spojenie z IT do OT.
Stavajte na aktívach a prevádzkových schopnostiach zákazníka. Zachovajte užitočné existujúce opatrenia, vyplňte medzery a prepojte dôkazy.
01 / Riadiace centrum
Stellar Cyber Open XDR
Spojte dôkazy z koncových bodov, identít, siete, cloudu a bezpečnostných produktov do spoločného vyšetrovania. Obohacovanie, korelácia a triedenie podporované AI pomáhajú analytikom obmedziť šum a sústrediť sa na významné incidenty. Automatizovaná reakcia sa riadi schválenými postupmi a skutočne udelenými oprávneniami. [7]
02 / Prehľad
NDR v IT aj OT
Pozorujte prevádzku tam, kam sa koncoví agenti nedostanú. Usmernenie Stellar Cyber pre OT podporuje sieťové senzory a priemyselné zdroje logov v spoločnej analytickej platforme. Potvrďte pokrytie protokolov a obmedzenia nasadenia závodu; „univerzálne“ znamená jeden vyšetrovací model, nie rovnaký prehľad na každom zariadení. [8]
03 / Ľudia nepretržite
Cynet + CyOps
Cynet spája ochranu a detekciu na koncových bodoch s odbornou službou 24×7. Zvoľte úroveň služby a vopred schválenú právomoc obmedziť hrozby podľa potrieb zákazníka. Pokrytie sa vzťahuje na dohodnuté prostredie Cynet; nezahŕňa automatickú prevádzku každého nástroja tretej strany pripojeného k Stellar Cyber. [9]
04 / Priemyselná hranica
OPSWAT + Waterfall
MetaDefender použite na riadenú kontrolu súborov a prenosové postupy. Pre schválené dátové cesty zvoľte jednosmerné riešenie OPSWAT alebo Waterfall. Ide o dopĺňajúce sa architektonické úlohy; presná kombinácia, podpora protokolov a údržbový proces sa overujú s partnerom.
Zapojte aj zvyšok portfólia
Podozrivý shell poskytuje viac informácií, keď je spojený s predchádzajúcim e-mailom, použitou identitou a sprístupnenými dátami. Podľa projektu môže Yellow Cube pridať tieto špecializované schopnosti. Dostupnosť konektorov a oprávnenia na reakciu sa overujú jednotlivo.
Zastavte a odhaľte vstupnú cestu
IronScales pre ochranu e-mailu; Whalebone pre DNS bezpečnosť; WithSecure alebo Cynet pre ochranu koncových bodov; iVerify pre riziká mobilných zariadení.
Riaďte prístup a pohyb
Stormshield: segmentácia siete; Imprivata pre privilegovaný prístup; A10 Networks pre ochranu pred DDoS a ochranu aplikácií/API.
Pochopte zámer a dopad
Group-IB pre spravodajstvo o hrozbách a vonkajšie vystavenie; Varonis pre bezpečnosť dát; Teramind pre kontext interných rizík. MailStore podporuje archiváciu e-mailov, ktorá je odlišnou požiadavkou než systémové zálohovanie.
Preukážte prevádzkové schopnosti
Cymulate pre validáciu opatrení; CYBER RANGES a Yellow Cube HackLab pre praktické cvičenia, vyšetrovacie zručnosti a nacvičenú eskaláciu.
AI môže obohatiť upozornenie, spojiť súvisiace udalosti, zhrnúť vyšetrovanie a navrhnúť alebo vykonať povolenú reakciu. Môže sa aj mýliť. Potláčanie falošných pozitívnych nálezov vnímajte ako ladený proces s auditom a kontrolou, nie ako prísľub, že každé uzavreté upozornenie bolo neškodné.
Pred prvým incidentom dohodnite maticu úkonov. Miera istoty, kritickosť aktíva a obchodný kontext určujú, čo beží automaticky. Dôkazy, rozhodnutie a úkon uchovávajte spolu, aby analytik mohol zrekonštruovať priebeh.
Automatizovať podľa pravidiel
Rutinné obmedzenie hrozieb v IT
Zhromaždite dôkazy, otvorte prípad, informujte zodpovednú osobu a izolujte výslovne schválenú triedu nekritických koncových bodov. Zaznamenajte úkon a zabezpečte cestu obnovy.
Vyžadovať schválenie
Úkony so širším dopadom
Privilegovaný účet deaktivujte, zdieľaný server izolujte alebo sieťový prístup meňte iba podľa dohodnutých eskalačných pravidiel. Servisný účet môže podporovať viacero podnikových procesov.
Právomoc v OT zostáva miestna
Zmeny v závode
Eskalujte k prevádzkovému a bezpečnostnému personálu. Na zmeny riadiacich prvkov, odstavenie procesu a reštart používajte overené miestne postupy. Podnikový SOC ich nesmie spúšťať naslepo.
Útočník môže chcieť vyvolať prehnanú reakciu obrancu. Aj falošný poplach vedúci k zbytočnému zastaveniu výroby môže dosiahnuť narušenie. Riešením nie je ignorovať OT upozornenia, ale spojiť dôkazy SOC s technickou právomocou a bezpečným rozhodovaním.
09 / Od konceptu k fungujúcej službe
Začnite jednou skutočnou lokalitou. Overte celý pracovný postup.
Obchodnou príležitosťou pre partnerov je prevádzková schopnosť: návrh, integrácia, validácia a priebežná služba okolo existujúcich investícií zákazníka.
01
Zmapujte prostredie a dôsledky
Identifikujte kritické procesy, IT závislosti, existujúce nástroje a každé spojenie IT/OT. Dohodnite, ktoré systémy možno izolovať a kto vlastní každé rozhodnutie. Výstupom je architektúra s jasným rozsahom, nie všeobecný zoznam materiálu.
02
Overte dátové cesty
Pripojte reprezentatívny súbor IT zdrojov a pasívnej OT telemetrie. Otestujte spracovanie, časové značky, replikáciu cez diódu, vyrovnávaciu pamäť a stav kolektorov. Preukážte, že monitorovacia cesta sa nemôže stať riadiacou cestou.
03
Nacvičte reakciu
Precvičte kompromitáciu IT, odmietnutý súbor údržby a OT anomáliu. Potvrďte, kto dostane prípad mimo pracovného času, čo smie urobiť a ako sa kontaktuje personál závodu. Overte obnovu aj obmedzenie incidentu.
04
Prevádzkujte, merajte a zlepšujte
Sledujte pokrytie telemetrie, čas vyšetrovania, čas schváleného obmedzenia, výnimky prenosu a výsledky cvičení obnovy. So zákazníkom prehodnocujte zmenené aktíva, nové spojenia a končiace výnimky údržby.
Prineste náčrt siete a svoje súčasné bezpečnostné riešenia.
Môžeme s vami pracovať na návrhu hranice, chýbajúcom prehľade, vhodnosti produktov a prevádzkovom modeli 24×7. Spoločne definujeme praktické overenie konceptu a službu, ktorú váš tím dokáže spoľahlivo poskytovať.
Začnite tým, čo funguje. Open XDR dokáže spojiť podporované zdroje dát do jedného vyšetrovania. Pred odporúčaním konsolidácie alebo výmeny overujeme pokrytie konektorov, uchovávanie dát, duplicity a oprávnenia na reakciu.
02Znamená silné oddelenie, že môžeme prestať monitorovať OT?+
Nie. Pasívne monitorovanie a miestna pripravenosť na incidenty zostávajú nevyhnutné pre činnosť interných osôb, chyby údržby, škodlivé importy a neočakávané spojenia. Prevencia znižuje vystavenie hrozbám; monitorovanie overuje, či predpoklady stále platia.
03Kto zodpovedá za incident mimo pracovného času?+
Dohodnite to výslovne pri návrhu služby. Cynet CyOps pokrýva zmluvne dohodnutý rozsah Cynet. Partner, zákazník a prípadný ďalší poskytovateľ SOC musia určiť zodpovednosť za ostatné zdroje, eskaláciu k personálu závodu a právomoc konať. Spoločná konzola nenahrádza zmluvu o službe.
04Môžeme začať s IT a pridať OT neskôr?+
Áno. Najprv vytvorte základ detekcie a reakcie v IT, potom pridávajte prehľad o OT cez schválené cesty. Priemyselné závislosti zmapujte hneď na začiatku, aby skorá automatizácia IT náhodou nenarušila prevádzku. Hranicu ochrany vybudujte pred pripojením závodu.
05Čo máme preukázať pred širším nasadením?+
Začnite jednou reprezentatívnou lokalitou a pred výberom finálnej zostavy dohodnite kritériá úspechu. Preukážte užitočné IT a OT dôkazy v jednom vyšetrovaní, spoľahlivú jednosmernú telemetriu, riadené importy súborov a nacvičenú reakciu s menovite určenými zodpovednými osobami. Merajte pokrytie, čas vyšetrovania a výnimky pri prenose. Výsledok má ukázať, čo funguje, čo vyžaduje technickú prácu a čo bude potrebné na prevádzku vo väčšom rozsahu.
06Čo určuje cenu a potrebujeme celý súbor riešení?+
Rozsah služby prispôsobte aktívam a rizikám, ktoré potrebujete pokryť. Počet koncových bodov a lokalít, objem a uchovávanie telemetrie, OT senzory, brány, moduly kontroly súborov, integrácie a pokrytie služby ovplyvňujú ponuku. Zachovajte účinné existujúce opatrenia a dopĺňajte schopnosti tam, kde sú medzery. Implementáciu, opakované licenčné poplatky, podporu a prevádzkovú zodpovednosť dohodnite ako samostatné časti obchodného rozsahu.
07Môžeme to svojim zákazníkom ponúkať ako spravovanú službu?+
Áno. Partneri môžu vybudovať službu na posúdení, integrácii, monitorovaní, riadených prenosoch a priebežnom zlepšovaní. Yellow Cube ponúka technickú podporu pri návrhu architektúry, výbere produktov a overovaní riešenia aj podporu predaja. Určte, kto prevádzkuje každú platformu, kto rieši incidenty mimo pracovného času a ktoré kroky vyžadujú súhlas zákazníka. Pred prijatím záväzkov voči zákazníkovi potvrďte rozsah služieb výrobcov a obchodné podmienky vybranej kombinácie.
08Môžeme pridať prehľad o OT bez narušenia výroby?+
Plánujte pasívne pozorovanie a postupné nasadenie; tím závodu schvaľuje umiestnenie senzorov, export dát a okná údržby. Pred zapnutím nového toku overte monitorovaciu cestu a jej závislosti a dohodnite kritériá prijatia a návratu k pôvodnému stavu. Monitorovanie sa nesmie stať riadiacou závislosťou vloženou do prevádzkovej dátovej cesty. Zmeny výrobných zariadení alebo sieťových spojení naďalej vyžadujú technické schválenie pre konkrétnu lokalitu.
09Čo treba udržiavať po spustení SOC?+
Určte zodpovedné osoby pre konektory, senzory, replikáciu cez brány, pravidlá kontroly súborov a detekčný obsah. Sledujte chýbajúce logy a stav kolektorov, plánujte schválené aktualizácie, preverujte oprávnenia na reakciu a precvičujte eskaláciu a obnovu. Pri zmene aktív alebo spojení znovu overte oddelenie. Pravidelné hodnotenie služby má sledovať pokrytie, čas vyšetrovania, výnimky pri prenose a dokončené opatrenia, aby SOC držal krok s chráneným prostredím.
10Čo si máme pripraviť na prvý rozhovor?+
Prineste jednoduchý náčrt siete, zoznam súčasných bezpečnostných nástrojov, zahrnuté lokality a aktíva a známe spojenia medzi IT a OT. Povedzte nám, kto rieši incidenty, ktoré výrobné obmedzenia sú dôležité a kde chýba pokrytie. Partneri by mali opísať aj službu, ktorú chcú ponúkať. Na tomto základe môžeme navrhnúť praktické overenie konceptu a ďalšie technické a obchodné kroky.
Budujme účinnejšiu kybernetickú obranu spoločne
Partnerstvá staviame na dôvere, odbornosti a spoločnom úspechu. Či už chcete rozvíjať podnikanie, rozšíriť ponuku kybernetickej bezpečnosti alebo uviesť inovatívne riešenia na nové trhy, v Yellow Cube nájdete spoľahlivého dlhodobého partnera.
