Meine eigene Projekterfahrung liegt in klassischer Enterprise-IT. Dort arbeite ich mit Windows-Domänen, Active Directory, Exchange, Endpoint-Schutz und zentraler Telemetrie. OT- und IoT-Wissen übertrage ich deshalb nicht einfach aus eigener Betriebserfahrung, sondern stütze mich hier auf veröffentlichte Arbeit und trenne diese Grenze offen.
Der brauchbare Ausgangspunkt ist passive Sichtbarkeit an Segmentgrenzen. Sie verlangt nicht, dass auf jedem Gerät ein Agent läuft, und sie vermeidet aktive Abfragen als Standardzugang.
Quelle: Saeid Ghasemshirazi und Ghazaleh Shirvani (2024), "Securing the Future: Proactive Threat Hunting for Sustainable IoT Ecosystems", arXiv:2406.14804.
Die Segmentgrenze liefert den Beobachtungspunkt
Viele OT- und IoT-Geräte liefern weniger Endpunkt-Telemetrie als klassische Arbeitsplatzsysteme. Die verfügbare Sicht hängt stark vom Gerät und von der Architektur ab. Netzwerkverkehr an einer Zonengrenze ist deshalb oft der verlässlichere gemeinsame Nenner.
Dort lässt sich beobachten, welche Systeme miteinander sprechen, welche Protokolle verwendet werden und wohin Verbindungen die Zone verlassen. Segmentierung begrenzt damit nicht nur Kommunikation. Sie schafft einen klaren Punkt für Erfassung und Hunting.
Passive Daten brauchen eine Baseline
Ein Paketmitschnitt allein erklärt noch nichts. Das Team muss wissen, welche Kommunikationsbeziehungen und Zeitmuster zum normalen Prozess gehören. Erst dann wird eine neue externe Verbindung, ein ungewohnter Dienst oder Kommunikation zwischen bisher getrennten Geräten zu einer prüfbaren Abweichung.
Die Baseline muss mit den Menschen entstehen, die den technischen Prozess kennen. Meine Erfahrung aus klassischer IT hilft bei Analyse und Dokumentation. Sie ersetzt kein Wissen über Modbus, DNP3, BACnet oder die konkrete Anlage.
Aktive Prüfung braucht eine eigene Entscheidung
In Enterprise-IT ist ein Scan oft Routine. In OT kann eine aktive Abfrage unerwünschte Auswirkungen haben. Ob und wie gescannt werden darf, muss deshalb mit Betrieb, Herstellerangaben und Freigaben geklärt werden. Passive Überwachung ist kein Freibrief, aber ein risikoärmerer Startpunkt.
Auch Schwachstellenwerte lösen die Priorisierung nicht allein. Ein CVSS-Wert beschreibt technische Schwere. Für die Hunt-Frage zählen zusätzlich Erreichbarkeit, Kommunikationspfade und beobachtetes Verhalten in der eigenen Umgebung.
Kurz gesagt
Threat Hunting in OT und IoT beginnt mit Sichtbarkeit, die den Betrieb nicht unnötig berührt. Überwachte Segmentgrenzen, eine gemeinsam verstandene Baseline und klar begrenzte aktive Prüfungen bilden dafür einen belastbaren Anfang.
Gregor Lyttek ist Security Architect & AI Strategist und Threat Hunter im Versicherungsumfeld.