IT-/OT-Netzwerksegmentierung und Detection

Aufbau

Das Lab modelliert ein Office-Segment, ein Gateway und ein simuliertes OT-/SCADA-Segment. Das Gateway routet zwischen den Zonen und erzwingt eine Default-Deny-Policy für weitergeleiteten Verkehr.

Präventive Kontrolle

Die enthaltenen iptables-Regeln:

• erlauben Rückverkehr etablierter Verbindungen;
• geben nur explizit ausgewählte Office-zu-OT-Dienste frei;
• protokollieren ausgewählten unerlaubten Verkehr vor dem DROP; und
• blockieren alle übrigen weitergeleiteten Pakete.

Das Skript darf nur in einem isolierten Lab ausgeführt werden. Es ersetzt aktive Filterregeln und kann Verbindungen unterbrechen.

Snort Detection

Die Snort-Regeln erkennen exemplarisch TCP-/UDP-Reconnaissance, ICMP-Verkehr zum OT-Netz und wiederholte SSH-Verbindungsversuche. HOME_NET muss das überwachte OT-Segment korrekt abbilden. Statische Schwellenwerte sind Lab-Werte, keine produktionsfertige Baseline.

Testkonzept