OT-Mikrosegmentierung, die Ihr SIEM speist.

Sie stellen ein Overlay neben Ihr bestehendes Netzwerk. Es teilt das Netzwerk in kleine logische Zonen (ausgerichtet an den Zonen und Conduits nach IEC 62443) und legt genau fest, welches Gerät welches erreichen darf, über welches Protokoll und zu welchen Uhrzeiten. Jeder erlaubte Flow ist ausdrücklich beschrieben, und jeder blockierte Flow wird protokolliert. Da das Overlay das Netzwerk nicht neu adressiert und die Anlagen nicht berührt, ersparen Sie sich das VLAN-Redesign und den Stillstand, die ein klassisches Segmentierungsprojekt verlangt.

Access Gate sendet seine Ereignisse per TCP-Syslog (RFC 5424) an Ihr SIEM. Splunk, Elastic, IBM QRadar und Microsoft Sentinel nehmen sie ohne Zusatzkonnektor direkt an. Sie wählen, welche Erkennungsregeln weitergeleitet werden, und jedes Ereignis trägt vier Felder: die Ereignisbeschreibung, die MITRE-ATT&CK-Technik, die Quelle und die ausgelöste Regel. Das gibt dem SOC den OT-Kontext, der ihm sonst fehlt.

Nein. Ein Overlay setzt die Segmentierung auf Netzwerkebene durch und braucht daher keine Software auf PLCs, HMIs oder SCADA-Servern. Das ist in der OT entscheidend, wo die meisten Steuerungen keinen Agenten ausführen können und dafür auch nicht abgeschaltet werden können. Access Gate ist agentenlos und wird ohne Neuverkabelung und ohne Wartungsfenster eingeführt.

Alarme, Flows und Audit-Ereignisse. In der Praxis sind das Zugriffs- und Anmeldealarme, Sitzungs- und Flow-Protokolle mit vollständiger Zuordnung, Regelerkennungen mit ihrer MITRE-ATT&CK-Technik als Tag sowie Ereignisse zu blockierten Flows. Da die Ereignisse an eine Identität gebunden sind, lassen sie sich direkt als Audit-Nachweis für CMMC, NERC CIP, NIS2 und die Wasserregeln des DOH und des DEC von New York verwenden, nicht nur zur Alarmierung.

Da das Overlay weder Neuverkabelung noch Agenten braucht, ist Access Gate an einem Tag pro Standort installiert. Danach erfassen Sie Netzwerk und Assets, definieren Zonen und Regeln, setzen sie durch und richten den Ereignisstrom auf das SIEM. Sie haben vom ersten Tag an Sichtbarkeit und härten die Zonen Schritt für Schritt, ohne die Produktion anzuhalten.

Die Ereignisse gehen als RFC-5424-Syslog über TCP hinaus. Für IBM QRadar können Sie sie als CEF (Common Event Format) oder LEEF (Log Event Extended Format) ausgeben. Die DSMs von QRadar parsen beide Key-Value-Formate ohne Zusatzkonnektor, sodass Felder wie die MITRE-ATT&CK-Technik und der Principal in den richtigen QRadar-Eigenschaften landen. Splunk, Elastic und Microsoft Sentinel nehmen den RFC-5424-Strom direkt auf.

Access Gate protokolliert Zugriffs-, Sitzungs-, Flow- und Blockierungsereignisse, keine rohe Paketmitschnitte. Das Volumen folgt daher der Zahl Ihrer kontrollierten Nord-Süd-Sitzungen, nicht dem gesamten OT-Verkehr. So bleiben Ereignisse pro Sekunde und SIEM-Lizenzkosten weit unter der Datenflut eines Span-Ports. Dimensionieren Sie anhand Ihrer Sitzungszahl im Pilotbetrieb statt nach Faustregel, und leiten Sie nur die Erkennungsregeln weiter, die Sie wirklich brauchen, um das Volumen weiter zu senken.

Jede Regelerkennung trägt die zugeordnete ATT&CK-for-ICS-Technik als Tag, sodass das SOC den OT-Kontext erhält, der ihm sonst fehlt. Typische Abdeckung umfasst unautorisierte Befehlsnachrichten (T0855), Parameteränderungen (T0836) sowie die Fernzugriffs- und Lateral-Movement-Techniken, die ihnen vorausgehen. Das Tag reist im Ereignis mit, sodass Sie OT-Erkennungen gegen dieselbe ATT&CK-Matrix korrelieren können, die Sie bereits für die IT nutzen.

Ja. Das Syslog-Ziel ist nicht exklusiv: Sie können denselben Ereignisstrom an Ihr SIEM zur Erkennung und an einen Historian, Data Lake oder ein Langzeitarchiv zur Aufbewahrung und für Audits verteilen. Die beiden Pfade sind unabhängig, sodass ein SIEM-Ausfall Sie nicht den Audit-Nachweis kostet.

Die Aufbewahrung legt eine Richtlinie auf Seite des SIEM und des Archivs fest. Das Overlay begrenzt sie nicht. Da die Ereignisse an eine Identität gebundene Audit-Datensätze sind, bewahren die meisten Teams sie so lange auf, wie es die längste geltende Vorschrift verlangt, üblicherweise ein Jahr oder mehr für Nachweise nach NERC CIP, CMMC und NIS2. Das Muster mit zwei Zielen erlaubt es, heiße Daten im SIEM und kalte Daten in günstigerem Speicher zu halten.

Das Overlay läuft neben dem Netzwerk, sodass der zyklische Verkehr zwischen Steuerungen und I/O nie davon abhing und in jedem Fall weiterläuft. Für die kontrollierten Nord-Süd-Sitzungen ist Fail-open oder Fail-closed eine protokollierte Entscheidung pro Asset. Ein Sammelpfad zu einem Historian kann zum Beispiel auf Fail-open stehen, um die Kontinuität zu wahren, während ein Dienstleisterpfad auf Fail-closed steht. Access Gate läuft als Hochverfügbarkeitspaar, damit ein einzelner Fehler kein Single Point of Failure ist. Der Notfallzugang (Break-Glass) ist authentifiziert und protokolliert. Während einer Unterbrechung der Durchsetzung werden die Ereignisse vermittelter Sitzungen für dieses Asset nicht aufgezeichnet. Genau deshalb gibt es das HA-Paar und den protokollierten Notfallzugang.