На багатьох підприємствах безпека в OT залишається «невидимою». Тоді як в IT діють процеси EDR, SIEM, SOC, в OT часто достатньо лише того, щоб мережа працювала. Така відсутність видимості — ідеальне середовище для зловмисника. Адже значна частина атак на OT відбувається непомітно: маніпулювання технологічним процесом, несанкціонований доступ, повільне горизонтальне переміщення мережею, аномалії.

Тривожний сценарій: зловмисник уже проник у мережу OT, але поки що лише прослуховує її. Він відстежує трафік, вивчає обмін даними HMI-PLC, розбирається в шаблонах команд. Потім змінює технологічний процес командами, які здаються «нормальними». Якщо ви не ведете журнали, у мережі немає NDR і відсутня синхронізація часу, на виявлення цього можуть піти тижні. Увесь цей час якість продукції погіршуватиметься, а ви не зможете знайти причину.

Моніторинг в OT має два рівні:

  1. Мережевий моніторинг (NDR/IDS): Сенсори, що розпізнають протоколи OT та виявляють аномалії.

  2. Кореляція журналів і подій: Журнали проміжного сервера доступу, міжмережевого екрана, AD, SCADA/архіватора технологічних даних, записи доступу.

Навіть базове керування інцидентами суттєво змінює ситуацію в OT:

  • «Хто, коли й до яких систем підключався?»

  • «Чи є неочікуваний трафік між сегментами?»

  • «Чи додано новий пристрій?»

  • «Чи змінилася програма PLC?»

  • «Чи змінилася конфігурація HMI?»

Належне керування інцидентами в OT означає, що в разі інциденту замість паніки діють за регламентом реагування:

  • Ізоляція: обмежте уражений сегмент

  • Збирання доказів: журнали/pcap/записи сеансів

  • Відновлення: відновіть роботу відповідно до плану DR

  • Першопричина: шлях проникнення та механізм закріплення в системі

  • Запобіжні заходи: сегментація, контроль доступу, посилення захищеності

Переконливий аргумент: без моніторингу безпека — лише «відчуття». За наявності моніторингу її можна вимірювати, підтверджувати та вдосконалювати. Мета в OT — не ідеальна безпека, а раннє виявлення + контрольоване реагування для мінімізації простоїв.