Junte-se a nós na Spark 2026 — a Conferência de Clientes d Nozomi Networks !
Inscreva-se
O monitoramento passivo de rede é o padrão para o inventário de ativos d OT , bem como para a detecção de ameaças e anomalias; no entanto, atualmente, os ambientes industriais podem contar com segurança por uma combinação de monitoramento passivo de rede e de redes sem fio, além de técnicas de sondagem ativa, coleta remota e segurança de terminais.
A dependência do monitoramento passivo de rede se deve, principalmente, à natureza sensível e à importância crítica dos ambientes industriais, o que é agravado pela forte dependência de sistemas legados com protocolos proprietários e inseguros, que podem ser desestabilizados ou ficar fora do ar devido a varreduras ativas. Os sistemas de controle de processos ( OT ) frequentemente dão suporte a infraestruturas críticas, controlando processos que podem afetar a segurança, a proteção e a prestação de serviços essenciais. O monitoramento passivo permite visibilidade sem qualquer interferência, enquanto técnicas de varredura e sondagem ativas, comuns em ambientes de TI, podem ser perturbadoras, levando potencialmente a falhas operacionais ou riscos à segurança.
As ferramentas passivas de monitoramento de redes industriais funcionam ao serem conectadas a uma porta SPAN ou espelhada de um switch ou roteador e observarem as comunicações da rede. Por exemplo, Nozomi Guardian os sensores aplicam essa abordagem para oferecer visibilidade e monitoramento abrangentes de ativos OT e IoT . Eles identificam dispositivos sem a necessidade de agentes ou interrogação ativa. Guardian Os sensores podem monitorar continuamente a atividade para descobrir novos ativos que se comunicam na rede, fornecer visualizações da rede para solução de problemas e pesquisa, identificar vulnerabilidades críticas e detectar ameaças à segurança cibernética e problemas operacionais.
Especificamente, os sensores Guardian usam a inspeção passiva de pacotes profundos para descobrir automaticamente, em tempo real, a rede industrial, incluindo seus componentes, conexões e topologia. Em seguida, seu recurso de aprendizado avançado cria perfis específicos para cada ICS e usa a análise comportamental para monitorar atividades anômalas, suspeitas e mal-intencionadas. O resultado é a detecção rápida de ataques cibernéticos e anomalias críticas de processos.
Os coletores remotos são outra forma de monitoramento passivo projetada para cobrir locais de difícil acesso e não tripulados. Esses sensores pequenos e de baixo consumo de recursos funcionam em conjunto com sensores de rede para capturar dados de locais remotos em campo, plataformas offshore, subestações elétricas e instalações menores dentro de um campus maior, onde a instalação de um sensor completo do Guardian não é viável. Ocoletor remoto Nozomi Networks captura, desduplica, compacta e criptografa esse tráfego antes de enviá-lo a um sensor associado do Guardian para processamento.
À medida que a tecnologia sem fio se tornou mais difundida em ambientes de “ OT ”, ela também se transformou em um vetor de ataque que, tradicionalmente, não era monitorado. Os sensores sem fio oferecem outra forma de monitoramento passivo que deve ser aproveitada em ambientes industriais. Alguns casos comuns de uso de redes sem fio incluem fornecedores conectando laptops à rede Wi-Fi para visitantes ou criando pontos de acesso sem fio não autorizados. É difícil detectar ameaças específicas à rede sem fio, como ataques de força bruta, spoofing e bluejacking, e ainda mais difícil determinar a localização dos dispositivos que estão realizando os ataques.
Além do Wi-Fi e do Bluetooth, as redes de controle de processos contam com protocolos sem fio especializados, projetados para facilitar a comunicação confiável entre sensores e controladores com baixo consumo de energia. Esses protocolos desempenham um papel crucial na coleta, concatenação e transmissão de dados que possibilitam tanto a operação quanto a monitorização do sistema. Por exemplo, a norma IEEE 802.15.4 é utilizada em edifícios inteligentes para o monitoramento em tempo real de sistemas de climatização e iluminação e na agricultura para o controle sem fio de sistemas de irrigação, a fim de otimizar o rendimento das culturas.
Nozomi Guardian Air é o primeiro sensor de segurança sem fio do setor desenvolvido especificamente para ambientes de rede de coisas ( OT ) e redes de coisas sem fio ( IoT ), oferecendo visibilidade sobre os ativos sem fio — desde termostatos até robôs e drones — que, até agora, só eram detectados quando conectados a uma rede com fio. Ele monitora continuamente as tecnologias de espectro sem fio que operam na faixa de 800 MHz a 5.895 MHz (Wi-Fi, Bluetooth, IEEE 802.15.4, LoRaWAN, Z-Wave, redes celulares e drones), detectando e localizando ameaças por meio de triangulação para permitir uma resposta mais rápida.
Como qualquer abordagem, o monitoramento passivo apresenta vantagens e desvantagens que vale a pena avaliar em relação às necessidades específicas de um ambiente industrial.
Os sensores de rede são os verdadeiros cavalos de batalha da segurança cibernética. No entanto, sempre haverá dezenas de cenários em que a instalação de um sensor de rede não é viável ou em que são necessários detalhes adicionais para compreender e solucionar problemas em seu ambiente. Os ambientes industriais atuais podem contar com segurança por uma combinação de rede passiva, coleta remota e monitoramento sem fio, bem como técnicas de sondagem ativa e segurança de terminais. A plataforma Nozomi Networks oferece toda a gama de métodos de monitoramento para proporcionar visibilidade contínua de todos os seus ativos e seus níveis de risco, mesmo quando eles não estão se comunicando ativamente.
A consulta ativa é uma técnica sem agente e não invasiva que pode ser utilizada para coletar informações detalhadas não disponíveis por meio de sensores passivos para ativos específicos de interesse, incluindo dispositivos incorporados OT/IoT . Conhecida como Smart Polling na plataforma Nozomi Networks , ela interroga dispositivos com base no conhecimento de seus protocolos, utilizando mensagens e instruções especiais para obter informações úteis sem afetar a estabilidade dos dispositivos.
Smart Polling pode ser usado para:
Na segurança de TI, os agentes de endpoint são onipresentes para proteção antivírus e aplicação de patches. Infelizmente, as experiências negativas com a implantação de agentes voltados para TI em dispositivos OT levaram à escassa adoção do tão necessário monitoramento de endpoints. As soluções tradicionais de monitoramento de rede ICS monitoram o tráfego Norte-Sul entre os níveis de Purdue ou firewalls, mas as comunicações Leste-Oeste entre dispositivos dentro de uma zona, especialmente nos níveis mais baixos de Purdue, há muito tempo são um ponto cego. Além disso, o monitoramento de endpoints é a única maneira de correlacionar a atividade do usuário e os eventos à medida que eles acontecem.
Na OT, ataques mal-intencionados envolvendo roubo de credenciais e outros comportamentos mal-intencionados certamente ocorrem, mas muitas ameaças envolvem erros inadvertidos cometidos por funcionários ou técnicos terceirizados autorizados que entram e saem, geralmente de forma remota. Sem a segurança do endpoint, não há como saber quem está se conectando, quando e o que está fazendo até que seus comandos sejam executados na rede. Isso é tarde demais.
Lançado em 2023, Nozomi Arc é um agente de segurança seguro e não disruptivo, desenvolvido especificamente para proteger os requisitos exclusivos de alta disponibilidade dos OT . Ao contrário das ferramentas EPP e EDR tradicionais, Arc principalmente no espaço do usuário, usando módulos do espaço do kernel apenas quando absolutamente necessário, principalmente no modo somente leitura. Esse design garante uma interação precisa e controlada com os objetos do sistema, minimizando as operações de gravação e preservando a estabilidade do sistema.
O monitoramento passivo é a base de uma estratégia sólida de segurança de OT e IoT , pois oferece visibilidade contínua e sem interrupções dos ativos, das comunicações e do comportamento, mesmo nos ambientes industriais mais sensíveis. No entanto, o monitoramento passivo por si só não é capaz de responder a todas as perguntas. Coletores remotos e sensores sem fio estendem essa mesma abordagem de monitoramento passivo a áreas de difícil acesso e conectadas sem fio da rede, enquanto consultas ativas e agentes de segurança de terminais preenchem os detalhes que o monitoramento passivo, por definição, não consegue alcançar sozinho. Juntos, esses métodos oferecem às equipes de SOC e de operações uma visão completa e em camadas de seus sistemas OT e IoT , sem nunca colocar em risco os frágeis sistemas legados.
Construir esse tipo de visibilidade em camadas do zero é um grande desafio para qualquer equipe interna, especialmente em ambientes que utilizam protocolos especializados, como OT e IoT . A plataforma Nozomi foi desenvolvida especificamente para ambientes complexos de infraestrutura industrial, comercial e crítica, combinando visibilidade desde o terminal até a rede com monitoramento contínuo e análise baseada em IA. Ela ajuda as organizações a minimizar os riscos cibernéticos, maximizar a resiliência operacional e otimizar a conformidade com as normas e regulamentações mais rigorosas, tudo isso com base no mesmo fundamento de monitoramento passivo descrito ao longo deste artigo.
Solicite uma demonstração para ver a plataforma em ação ou saiba como usamos a IA para aprimorar o monitoramento passivo por meio de análises preditivas em tempo real.
Na área de TI, as equipes de segurança se concentram na proteção de dados, enquanto no setor de energia ( OT), a disponibilidade é a prioridade. As redes de energia ( OT ) podem ficar em risco com as metodologias tradicionais de varredura de segurança de TI. Portanto, o monitoramento passivo de rede é um dos principais métodos de detecção de ameaças em ambientes de energia ( OT ) para minimizar o tempo de inatividade não planejado, que pode custar milhões ou gerar riscos à segurança. Muitos dispositivos OT também são antigos e sensíveis; assim, até mesmo uma simples varredura de rede pode fazer com que um controlador pare de funcionar. O monitoramento passivo evita esse problema, pois nunca envia tráfego para a rede e simplesmente escuta o tráfego espelhado proveniente da rede. Métodos ativos seguros, como o Smart Polling da Nozomi, podem então adicionar detalhes a essa base passiva.
O monitoramento passivo é uma capacidade de detecção, não um controle de prevenção. Ele identifica ameaças e anomalias em tempo real, mas não toma medidas a respeito. A contenção e a correção são realizadas pelo processo de resposta da equipe do SOC ou por controles no nível dos terminais, como o Arc.
Em resumo, o monitoramento passivo informa o que está acontecendo na rede, e outras ferramentas e processos determinam o que você deve fazer a respeito.
Não. Como o monitoramento passivo funciona a partir de uma cópia do tráfego por meio de uma porta SPAN ou espelhada, em vez de ficar em linha, a implantação não exige o redirecionamento do tráfego de produção nem a desativação dos sistemas. O principal trabalho inicial é configurar o switch para espelhar o tráfego correto, o que é uma alteração única, e não um risco contínuo.
O monitoramento passivo escuta uma cópia do tráfego de rede, geralmente proveniente de uma porta SPAN ou de um tap, e nunca envia nada para os seus dispositivos. O monitoramento ativo funciona de maneira oposta: ele envia solicitações diretamente aos dispositivos e usa as respostas deles para coletar informações. Em resumo, o monitoramento passivo observa o que os dispositivos já estão transmitindo, enquanto o monitoramento ativo faz perguntas a eles.
No entanto, nem todas as técnicas de varredura ativa são iguais, especialmente em OT. As ferramentas ativas tradicionais de TI varrem intervalos de IP, testam portas e consultam todos os dispositivos que encontram. Embora isso possa ser aceitável em redes corporativas, pode representar um risco em ambientes OT , que geralmente contêm dispositivos legados.
A sondagem ativa pode ser tornada segura para OT ao ser muito mais direcionada, aproveitando os protocolos nativos dos dispositivos OT . Ela entra em contato apenas com dispositivos já conhecidos, utiliza mensagens específicas do protocolo que esses dispositivos esperam receber e mantém baixo o volume de solicitações. O Smart Polling do site Nozomifoi desenvolvido dessa forma. Ele opera a partir dos dispositivos que o monitoramento passivo já detectou e recupera versões de firmware, configurações e outros detalhes que talvez não tenham sido coletados de forma passiva. Você também controla quais nós são consultados, quando e por qual método. Isso oferece aos usuários os detalhes adicionais dos métodos ativos sem o risco de uma varredura tradicional.
Não. O monitoramento passivo detecta apenas os dispositivos que se comunicam no tráfego que ele consegue observar. Um dispositivo que esteja ligado, mas inativo, ou que esteja em um segmento que você não esteja monitorando, não será detectado. Um bom posicionamento dos sensores resolve grande parte do problema, e combinar o monitoramento passivo com outros métodos, como consultas direcionadas ou dados de terminais, cobre o restante.
Sim, embora isso, por si só, não garanta a conformidade. A ferramenta oferece um inventário atualizado de ativos, monitoramento contínuo e um registro das atividades da rede, elementos que dão suporte a normas como a IEC 62443, NERC CIP, NIS2 e NIST 800-82. Os auditores ainda esperam que haja políticas, processos e procedimentos de resposta, além das ferramentas.
O “ Smart Polling ” envia apenas as mensagens específicas e nativas do protocolo que um dispositivo já espera receber, em vez de varreduras genéricas; é por isso que ele consegue preencher lacunas que o monitoramento passivo não consegue alcançar, sem o risco de instabilidade associado à varredura ativa convencional. Você escolhe quais nós serão consultados, quando e por qual método.
São camadas complementares, não opções concorrentes: o Guardian geralmente é implementado primeiro para visibilidade de ativos conectados por cabo; o Guardian , oAir e o Remote Collector ampliam essa visibilidade para ativos sem fio e de difícil acesso; e o Arc acrescenta detalhes no nível dos terminais assim que a visibilidade da rede é estabelecida. A combinação mais adequada depende de onde estão os pontos cegos específicos de cada ambiente.
