Definition und Funktionsweise:
Die Anomalieerkennung ist eine zentrale Methode der OT-Security. Anders als klassische Virenscanner, die nach bekannten Signaturen suchen, lernt ein System zur Anomalieerkennung zunächst den „Normalzustand“ (Baseline) eines Automatisierungsnetzwerks. Es überwacht kontinuierlich den Datenverkehr zwischen Engineering-Stationen, SPS-Steuerungen, HMIs und Feldgeräten. Weicht das Verhalten ab – zum Beispiel wenn eine SPS plötzlich mit einer unbekannten externen IP-Adresse kommuniziert, ungewöhnlich hohe Datenmengen sendet oder Programmbausteine außerhalb der typischen Wartungsfenster übertragen werden – schlägt das System Alarm.
Relevanz für SPS und Automatisierungstechnik:
- Frühwarnsystem: Ermöglicht die Erkennung von Zero-Day-Exploits oder schleichenden Manipulationen am SPS-Code, bevor Anlagenausfälle oder Maschinenschäden auftreten.
- Protokoll-Verständnis (DPI): Spezielle OT-Anomalieerkennung versteht industrielle Protokolle (wie PROFINET, OPC UA, Modbus TCP) bis in die Tiefe (Deep Packet Inspection) und erkennt unautorisierte Schreibbefehle auf Variablen-Ebene.
- Zusammenspiel mit IT/OT-Konvergenz: Da Produktionsnetze zunehmend mit IT-Netzen verbunden sind, schützt die Anomalieerkennung die Steuerungsebene vor Bedrohungen, die aus dem Office-Netzwerk überspringen könnten.
→ Siehe auch: OT-Security, Intrusion Detection System (IDS) für OT, Industrial Firewall
