Tesis: anonim proses + ambalaj kompleksi
Yöntem: pasif ağ dinleme + walkdown korelasyonu (canlı kontrol VLAN’larında aktif tarama yok)
Kayıt: OT güvenilirlik / kontrol koordinasyonu
Amaç: biri “gelecek çeyrek segmentasyon” vaat etmeden önce savunulabilir bir varlık envanteri kurmak
Bu bir keşif günlüğüdür, çerçeve beyaz kitabı değil. NIS2 tiyatrosu istiyorsanız burada durun.
Gün 0 — Charter (paketlerden önce)
Tahtaya üç kural yazdık:
- Üretim sırasında Seviye 0–1’de aktif tarama yok.
- Her “bilinmeyen” MAC, bir insan kabini görmeden bilinmeyen kalır.
- Envanter bir elektronik tablo kahramanlık projesi değil—sahipleri olan yaşayan bir CMDB’dir.
Bu kurallar olmadan Gün 1 ping fırtınası ve ramak-kala olur.
Gün 1 — Önce dinle
OT SPAN üzerindeki pasif tap’ler resmi listeden fazla konuşmacı gösterdi. Beklediğimiz kontrolörler. Korktuğumuz mühendislik laptop’ları. 2019’dan beri kimse sahiplenmediği seri-Ethernet dönüştürücüsü.
| Bulgu | Resmi liste | Pasif duyum | Disposition | | --- | --- | --- | --- | | PLC ailesi A | 14 | 14 | Eşleşme | | HMI paneller | 9 | 11 | İki “geçici” hâlâ canlı | | Protokol dönüştürücüler | 2 | 5 | Üç yetim | | Bilinmeyen MAC | 0 | 17 | Walkdown kuyruğu |
Konuşuyorsa vardır—CMDB’niz kabul etse de etmesin de.
Gün 2 — Kabinler yalan söylemez (insanlar söyler)
Bilinmeyen listeye karşı walkdown. İki “devre dışı” VFD hâlâ bus’ta. Yedek rafında “yedek firmware” için beslemeli bir güvenlik PLC klonu. Panel arkasında zip-tie’lı tedarikçi hücresel modem, turnaround’dan solmuş SIM notuyla.
Kaydedilen ders: güç kesilmeden devre dışı bırakma kurgudur.
Gün 3 — Firmware alandır, söylenti değil
“Yaklaşık sürüm 12” kabul etmeyi bıraktık. Her kontrolör, mühendislik istasyonu dışa aktarımından veya faceplate’ten—asla hafızadan—firmware dizesi kazandı. Üç ünite OEM desteğini geçmiş ve hâlâ kritik yoldaydı.
Obsolesans aynı gün envanter sütunlarına girdi: firmware, support_end, spare_board_qty.
Gün 4 — Kanallar, his değil
Kimin kiminle konuştuğunu çizdik—güzel bir Purdue posteri için değil, gelecekteki segmentasyon için önemli kanalları işaretlemek için. Seviye 3 historian toplayıcılarının iki tesisin Seviye 2’sine konuşması rahatsız edici çizimdi.
Kanal eskizi, ‘sıfır güven’ deyip hiçbir şey adlandırmayan slayttan iyidir.
Gün 5 — Uzaktan erişim dürüstlüğü
Jump host’lar, tedarikçi VPN’leri ve “geçici” TeamViewer sınıfı yollar (marka ne olursa) sahip ve son kullanma tarihi olan varlıklar olarak envantere girdi. İki yolun son kullanma tarihi yoktu. Birinin sahibi şirketten ayrılmıştı.
Eklenen kural: son kullanma tarihi olmayan uzaktan yol = açık bulgu.
Gün 6 — Güvenlik ve kalite ile korelasyon
Her MAC eşit değil. SIS arayüzlerine, batch release’e veya mülkiyet devrine dokunan varlıkları etiketledik. Envanter önceliği alfabe değil sonuç takip etti.
Gün 7 — v0.9 dondur ve sahip adlandır
Envanter v0.9’u yayınladık:
- Varlık ID, konum, rol, firmware, son görülme, sahip, kritiklik
- Bilinmeyenler bilinmeyen olarak listelendi (temiz görünmek için silinmedi)
- Tek adlı bir kişinin sahip olduğu haftalık “yeni konuşmacı” incelemesi
O sahip olmadan Gün 8 tesisi tekrar söylenceye bırakır.
Bu günlüğün reddettikleri
- Canlı döngülerde varsayılan keşif olarak aktif tarama
- “Tespit kutusu aldık” ile “envanterimiz var”yı eşitlemek
- IT laptop CMDB hijyenini Seviye 0 I/O gerçeğiyle karıştırmak
- Adlandıramadığınız tag’lerde ajanik AI vaat etmek
Bitişik sınırlar
OT siber güvenlik genel bakışları politika ve bölgeleme felsefesine sahiptir. Historian tag veri kalitesi kötü noktalar ve historian içi adlandırma günahına sahiptir. OT semantik katalogları AI eylemi için anlama sahiptir. Alarm yönetimi rasyonelleştirmeye sahiptir. Hiçbiri pasif keşif kadansı ve kabin-korele varlık gerçeğine sahip değildir. SOC oyun kitabı alıp hangi dönüştürücünün hâlâ beslemeli olduğunu bilmeyi beklemeyin.
Kapanış
Adlandıramadığınızı segmente edemez, yamalayamaz veya güvenle otomatikleştiremezsiniz. Yedi gün dinleme ve yürüme işi bitirmez—ama resmi listenin hiçbir zaman tesis olduğu fantezisini sona erdirir.