Sichtbarkeit und Anomalieerkennung in der Produktion

Wie funktioniert Anomalieerkennung?

Damit Anomalien erkannt werden können, muss zunächst der „Normalzustand“ eines Systems – des Produktionsnetzes – erfasst werden. Dies geschieht immer passiv, um den Datenverkehr nicht zu manipulieren. In einem Produktionsnetzwerk ist der Traffic in der Regel immer gleich, dadurch lassen sich schnell Kommunikationsstrukturen erkennen. Dafür wird ein Switch mit SPAN-Port (Port zur Spiegelung des Traffics) eingesetzt. Der Traffic, der über einen Switch läuft wird dann gespiegelt und über einen längeren Zeitraum analysiert. Alternativ können sogenannte Network-Taps eingesetzt werden. Das System sammelt dann alle auftretenden Informationen und lernt dadurch die Netzwerkprotokolle, die Kommunikationsbeziehungen, das Zeitverhalten, die Inhalte der Kommunikation und alle Hosts mit entsprechenden Informationen, welche es im Netzwerk gibt.

Diese gewonnenen Daten bilden die Grundlage. In der Lernphase wird eine Kommunikationsmatrix erstellt, die abbildet, wer mit wem auf welchem Port und mit welchem Protokoll kommuniziert hat . Anschließend können Schwellenwerte und Triggerpunkte definiert werden, damit außergewöhnliche Zustände und Vorgänge, die vom bisher gelernten „Normalen“ abweichen, erkannt werden können. Dann wird ein Alarm ausgelöst, wenn eine Kommunikation beispielsweise auf einem anderen Port stattfindet als bisher.

Die Grundeinstellungen sollten regelmäßig überprüft werden, und kontinuierlich an aktuelle Begebenheiten angepasst werden, insbesondere wenn neue Geräte hinzukommen, oder sich eine Kommunikationsbeziehung gewollt ändert.

Wichtig ist, dass die Anomalieerkennung passiv agiert. Das bedeutet, dass Geräte nicht automatisch abgeschaltet werden, wenn eine Anomalie auftritt, denn das soll in der Produktion nicht passieren. Der Nutzer wird vielmehr benachrichtigt und kann dann gezielt reagieren.