Pentest OT i ICS bez niekontrolowanego ryzyka dla procesu.

Tak, ale wyłącznie na podstawie uzgodnionych ROE i po analizie ryzyka dla dostępności, jakości, środowiska oraz bezpieczeństwa ludzi. Techniki mogące zmienić stan procesu są wyłączane albo przenoszone do laboratorium.

Nie. Zakres może opierać się na pasywnej obserwacji, przeglądzie konfiguracji, analizie architektury i kontrolowanej walidacji wybranych ścieżek. Aktywne skanowanie stosujemy tylko wtedy, gdy producent, właściciel procesu i ROE na to pozwalają.

Tak. Sprawdzamy relacje zaufania, konta, zdalny dostęp, systemy pośredniczące, reguły firewall, usługi zarządzające i scenariusze ruchu bocznego. Celem jest wykazanie, gdzie należy przerwać ścieżkę przed zasobami procesowymi.

Tak. Wyniki możemy mapować do stref i kanałów IEC 62443 oraz taktyk i technik MITRE ATT&CK for ICS. Raport zachowuje jednak perspektywę biznesową: wpływ na produkcję, jakość, bezpieczeństwo i ciągłość działania.

Tak. Sprawdzamy VPN, jump hosty, narzędzia zdalnego pulpitu, modemy, bramy serwisowe, MFA, konta współdzielone, ograniczenia czasowe i rejestrowanie sesji. Oceniamy również możliwość wykorzystania poświadczeń dostawcy w innych lokalizacjach.

Tak. Weryfikujemy faktyczne przepływy między poziomami, DMZ przemysłową, dostęp administracyjny, wyjątki firewall i kanały omijające projektowaną segmentację. Model Purdue traktujemy jako pomoc architektoniczną, a nie automatyczny dowód bezpieczeństwa.

Tak. Analizujemy konfigurację, uprawnienia, projekty, hasła, makra, biblioteki, aktualizacje i możliwość modyfikacji logiki lub parametrów. Każdą aktywną walidację uzgadniamy z właścicielem procesu i wykonujemy poza ścieżką krytyczną.

Tak. Sprawdzamy uwierzytelnianie, role, aplikacje webowe, bazy danych, udziały, zdalne usługi, integracje i dane procesowe. Weryfikujemy scenariusze utraty widoczności, manipulacji widokiem oraz dostępu do konfiguracji.

Tak, jeżeli występują w zakresie i można je bezpiecznie obserwować lub walidować. Sprawdzamy ekspozycję, uwierzytelnianie, szyfrowanie, role, nieautoryzowane komunikaty i możliwość wpływu na urządzenia bez wysyłania destrukcyjnych poleceń.

Może obejmować architekturę, segmentację, kontrolę dostępu i procedury wokół SIS, ale nie wykonujemy nieuzgodnionych działań mogących wpłynąć na funkcję bezpieczeństwa. Aktywna walidacja wymaga odrębnego planu, laboratorium i udziału odpowiedzialnych inżynierów.

Tak. Weryfikujemy konta lokalne, serwisowe, domenowe, awaryjne i producenta, a także rotację, rozliczalność i przechowywanie poświadczeń. Próby logowania są limitowane, aby nie spowodować blokady lub problemu z urządzeniem legacy.

Tak. Analizujemy polityki użycia nośników, kioski transferowe, skanowanie, kontrolę urządzeń, laptopy serwisowe i ryzyko przeniesienia złośliwego kodu. Możemy przeprowadzić warsztat i bezpieczną symulację procesu transferu plików.

Tak. Oceniamy kontrolę wersji, podpisy, sumy kontrolne, prawa do modyfikacji, kopie offline, procedury odtwarzania i możliwość podmiany artefaktu. Nie wgrywamy firmware ani logiki do urządzenia produkcyjnego bez osobnej, pisemnej zgody.

Tak. Zakres może obejmować Wi-Fi przemysłowe, łącza radiowe, Bluetooth, sieci komórkowe, sensory, bramy IIoT i chmurowe platformy zarządzające. Badamy również granice zaufania między urządzeniem, gateway, chmurą i systemem OT.

Tak na poziomie scenariuszy i bezpiecznej walidacji. Analizujemy, czy atakujący mógłby wyłączyć alarmy, zablokować komunikację, zmienić tryb, parametry lub logikę, ale nie realizujemy skutku, który mógłby zagrozić procesowi, ludziom lub środowisku.

Tak. Poza CVSS opisujemy konsekwencje dla dostępności procesu, jakości produktu, bezpieczeństwa ludzi, środowiska, utraty widoczności i utraty sterowania. Priorytet napraw wynika z kontekstu zakładu, nie tylko z wyniku technicznego.

Tak. To preferowana forma dla agresywnych technik, urządzeń legacy i scenariuszy wymagających zmian stanu. Pomagamy zdefiniować reprezentatywne środowisko, wymagane wersje, konfiguracje i warunki porównania z produkcją.

Tak. Raport zawiera priorytety dla stref i kanałów, zdalnego dostępu, kont, hardeningu, backupów oraz monitoringu. Dla kluczowych ścieżek wskazujemy źródła telemetryczne i propozycje detekcji możliwe do wdrożenia w SOC/SIEM lub NDR OT.

Pentest OT rozpoczyna się od analizy bezpieczeństwa procesu, architektury, stref, kanałów komunikacyjnych i technik wyłączonych. Następnie wykorzystujemy pasywne rozpoznanie, przegląd konfiguracji i kontrolowaną walidację ścieżek ataku. Metodykę dopasowujemy do IEC 62443, MITRE ATT&CK for ICS oraz zasad zakładu.

Poza opisem technicznym powinien wskazywać wpływ na produkcję, jakość, widoczność procesu, sterowanie, bezpieczeństwo ludzi i środowisko. Potrzebne są dowody, strefy i kanały, ścieżki IT/OT, priorytety napraw, bezpieczne kryteria retestu oraz zalecenia dla monitoringu i procedur operacyjnych.

Powinna obejmować inwentarz, segmentację IT/OT, DMZ, zdalny dostęp, konta dostawców, stacje inżynierskie, HMI, historian, backupy, firmware, protokoły przemysłowe, monitoring i reakcję. Sama checklista nie zastąpi analizy procesu i konsekwencji fizycznych specyficznych dla zakładu.

Test bezpieczeństwa OT / ICS zaczyna się od 4 999 PLN netto. Realizacja zajmuje od 5 dni roboczych, a aktywne prace mogą zostać podzielone na uzgodnione okna. Cena i harmonogram zależą od liczby lokalizacji, linii, stref, dostawców, urządzeń i ograniczeń bezpieczeństwa procesu; ostateczne warunki potwierdza oferta.

W IT często priorytetem jest poufność danych, natomiast w OT kluczowe są bezpieczeństwo ludzi, ciągłość i przewidywalność procesu oraz integralność sterowania. Urządzenia mogą mieć długi cykl życia i ograniczoną odporność na skanowanie. Dlatego techniki, okna i sposób potwierdzania podatności muszą być znacznie bardziej restrykcyjne.

SCADA służy do nadzoru i sterowania procesami przemysłowymi, często łącząc HMI, serwery, historian, sieć i urządzenia polowe. Przejęcie konta, serwera lub zdalnego dostępu może wpłynąć na widoczność albo sterowanie. Test pozwala przerwać ścieżkę ataku zanim dotrze ona do procesu.

Tak, poprzez techniczną weryfikację segmentacji, zdalnego dostępu, podatności, detekcji i odporności łańcucha dostaw. Mapowanie możemy dostosować do IEC 62443 i wymagań organizacji. Pentest nie zastępuje jednak pełnej oceny zgodności produktu z CRA ani ustawowego audytu KSC.

Przegląd architektury i część konfiguracji można wykonać zdalnie, ale wiarygodna ocena przepływów, urządzeń i dostępu serwisowego często wymaga pracy na miejscu. Model hybrydowy ogranicza czas obecności w zakładzie, a działania aktywne planujemy w uzgodnionych oknach i z kontaktem do operatorów.

Wykonawca powinien rozumieć ryzyko procesu fizycznego, umieć pracować pasywnie i posiadać procedury dla środowisk produkcyjnych. Warto wymagać przykładowej metodyki, zasad eskalacji, raportu opisującego wpływ procesowy oraz doświadczenia w infrastrukturze, sieciach i systemach przemysłowych.