OT Asset
Discovery.
OT Asset Discovery macht industrielle Anlagen sichtbar, ohne sie zu gefährden. Entscheidend sind passives DPI, Protokolltiefe, sichere Abfragen, Purdue-Kontext und die Übersetzung in IT-, SOC- und Risikosichten.
Sichtbarkeit ohne Störung.
In OT-Umgebungen kann ein falscher Scan mehr Schaden auslösen als die Schwachstelle, die man sucht. Gute Discovery beginnt deshalb passiv, versteht industrielle Protokolle und erkennt Steuerungen, Engineering-Stationen, Sensorik, Firmware und Kommunikationsbeziehungen.
Der Wert entsteht, wenn aus IP-Adressen eine Anlagenlogik wird: Zone, Zelle, Purdue-Level, Hersteller, Firmware, kritische Verbindung und Betriebsrisiko.
IT Asset Discovery erkennt Systeme. OT Asset Discovery erkennt technische Anlagenzusammenhänge. OT Detection bewertet Anomalien und Bedrohungen. Industrial Vulnerability Management ergänzt Schwachstellen, aber nur mit Rücksicht auf Anlagenverträglichkeit.
Für KritIS, Energie, Produktion, Pharma oder Healthcare zählt nicht nur Vollständigkeit. Zählen muss, ob die Erhebung sicher, nachvollziehbar und für Betrieb sowie Security nutzbar ist.
Das Asset ist Teil des Prozesses.
Die Matrix trennt spezialisierte OT-Plattformen, agentenlose Asset-Intelligence, Netzwerkzugang, integrierte Security-Fabric-Ansätze und industrielle Security-Suiten.
| Hersteller | Produkt | Einordnung | Betrieb | Passives Deep Packet Inspection (DPI) | Aktives Polling / Safe Queries | Purdue-Modell und Topologie-Mapping |
|---|---|---|---|---|---|---|
| Claroty Ltd. | Claroty CTD / xDome | Spezialisierte CPS/OT Security Plattform | On-Premises Appliance / SaaS (xDome) / Hybrid | Native DPI-Engine für hunderte industrielle Protokolle | Selektive, herstellerspezifische Active Queries (nicht störend) | Automatische 3D-Topologiekarten & Zuordnung zu Purdue-Leveln |
| Nozomi Networks Inc. | Nozomi Networks Guardian & Vantage | Spezialisierte OT/IoT Asset Discovery & Security | On-Premises Appliance / Cloud (Vantage) / Edge | Passiver Traffic-Decodierung via SPAN/TAP Ports | Smart Active Polling für nicht-kommunizierende OT-Geräte | Interaktive Grafen zur Visualisierung von Netzwerk-Zone & Conduits |
| Dragos, Inc. | Dragos Platform | Spezialisierte OT/ICS Threat & Asset Discovery | On-Premises Appliance / Hybrid / SaaS | Tiefgehende passive DPI-Inspektion auf Netzwerkebene | Unterstützte, sichere Active Scans für unvollständige Asset-Daten | Automatische Zuordnung von Assets nach Purdue-Modell & Systemrollen |
| Forescout Technologies, Inc. | Forescout Vistaro / eyeSight | Agentless Network & OT Access Discovery | On-Premises Appliance / Virtual / Hybrid | Passiver Sensor-Traffic-Import & DPI via Command Control | Multi-Method Active Queries & Infrastructure API Ingestion | Purdue-Modell Abbildung & kontinuierliches Zone-Mapping |
| Tenable, Inc. | Tenable OT Security | Vulnerability & OT Exposure Management | On-Premises Appliance / Hybrid / SaaS | Passives DPI Network-Sniffing für OT-Traffic | Proprietäre, patentierte Active Queries für detaillierte PLC-Snapshots | Visualisierung von OT-Steuerungsnetzen & verbundenen IT-Systemen |
| Armis Inc. | Armis Centrix for OT/IoT | Agentless Asset Intelligence & Exposure | SaaS (Cloud Native) / Virtual Collectors | Passives Netzwerktraffic-Profiling via bestehende Network-Switches/TAPs | Agentenlose API-Schnittstellen zu WLC, Switches & Cloud-Suiten | Topologie-Mapping über IT, IoT, OT und medizinische Netzwerke hinweg |
| Cisco Systems, Inc. | Cisco Cyber Vision | Embedded OT Security & Network Discovery | Hardware (Switches/Routers) / Virtual / Cloud | Sensor-Software läuft direkt als Container auf Cisco Industrial Switches (IOx) | Selektives Active Polling zur Vervollständigung von Gerätedaten | Automatische Dynamik-Abbildung der Netzwerk-Topologie nach Purdue-Ebenen |
| Fortinet, Inc. | FortiOS OT Asset Discovery / FortiNAC | Integrated Network & OT Access Security | Hardware Appliance, Virtual, Cloud | Passives DPI direkt auf der FortiGate NGFW & FortiSwitch | Active Scanning & Profiling via FortiNAC | Automatische Einteilung der Assets in Sicherheitszonen & Conduits |
| Microsoft Corporation | Microsoft Defender for IoT | Cloud-Integrated OT/ICS Security | Cloud-SaaS / On-Premises Sensor Appliances | Passiver Collector-Mirroring-Port Traffic Ingestion | Selektives, sicheres Polling via integrierte Abfrage-Module | Automatische Generierung interaktiver Purdue-Modell-Karten |
| Kaspersky | Kaspersky Industrial CyberSecurity for Networks (KICS for Networks) | Specialized Industrial Security Suite | On-Premises Appliance / Virtual | Passives Traffic-Sniffing & DPI industrieller Befehle | Sicheres aktives Prüfverfahren für tiefergehende Gerätedaten | Grafische Topologie-Darstellung industrieller Segmente |
| TXOne Networks | TXOne EdgeOps / Element Platform | Specialized OT Native Security Specialist | Hardware / Virtual / Edge Appliances | Passive Dateninspektion an OT-Netzknoten und Edge-Devices | Selektives Profiling & Active Fingerprinting für Industrieanlagen | Sichtbarkeit der Verbindungspfade bis auf Maschinenebene |
| SCADAfence (Rubrik) | SCADAfence Platform | Operational Technology Asset Discovery | On-Premises / SaaS Analytics Option | Non-intrusives passives Monitoring grosser Datenmengen | Schonende Abfragemechanismen für tiefere Inventar-Attribute | Automatische Zonen- und Conduits-Visualisierung im Netz |
Was die Plattformen sichtbar machen.
Claroty Ltd.
Claroty CTD / xDome
Frühere Namen / Kontext: Medigate
Native DPI-Engine für hunderte industrielle Protokolle
Selektive, herstellerspezifische Active Queries (nicht störend)
Automatische 3D-Topologiekarten & Zuordnung zu Purdue-Leveln
Tiefe Decodes proprietärer Protokolle (Siemens, Rockwell, Schneider etc.)
Erfassung von Seriennummern, Firmware-Versionen & Backplane-Subkomponenten
Höchste Detailtiefe bei CPS- und Medizintechnik-Spezifika (Medigate)
VolleFunktionalität in Air-Gapped Netzen setzt lokale CTD Appliances voraus
Nozomi Networks Inc.
Nozomi Networks Guardian & Vantage
Frühere Namen / Kontext: Nozomi Networks
Passiver Traffic-Decodierung via SPAN/TAP Ports
Smart Active Polling für nicht-kommunizierende OT-Geräte
Interaktive Grafen zur Visualisierung von Netzwerk-Zone & Conduits
Breites Spektrum industrieller Protokolle (Modbus, Profinet, DNP3, BACnet)
In-depth Analyse von PLC/RTU-Zuständen, Firmware & I/O-Modulen
Sehr hohe Skalierbarkeit für globale Multi-Site-Industrieflotten
Aktive Abfragen erfordern präzise Einrichtung pro Herstellertyp
Dragos, Inc.
Dragos Platform
Frühere Namen / Kontext: Dragos
Tiefgehende passive DPI-Inspektion auf Netzwerkebene
Unterstützte, sichere Active Scans für unvollständige Asset-Daten
Automatische Zuordnung von Assets nach Purdue-Modell & Systemrollen
Spezialisiert auf SCADA, DCS, PLC & Safety Instrumentation Systems (SIS)
Sichtbarkeit von Logik-Änderungen, Firmware & Konfigurationsständen
Marktführerschaft im Bereich spezifischer ICS/SCADA Threat Intelligence
Ursprünglich reiner Fokus auf Schwerindustrie; weniger Office-IT-Mix
Forescout Technologies, Inc.
Forescout Vistaro / eyeSight
Frühere Namen / Kontext: SilentDefense / SecurityMatters / CounterACT
Passiver Sensor-Traffic-Import & DPI via Command Control
Multi-Method Active Queries & Infrastructure API Ingestion
Purdue-Modell Abbildung & kontinuierliches Zone-Mapping
Abdeckung von 250+ IT-, OT-, IoT- & Building-Automation-Protokollen
Erfassung von OS-, Firmware- & Hardware-Klassifizierungs-Attributen
Einzigartige Verbindung aus OT-Discovery und aktiver Netzwerk-Isolierung (NAC)
Komplexer Infrastruktur-Footprint bei der Erstinstallation
Tenable, Inc.
Tenable OT Security
Frühere Namen / Kontext: Indegy
Passives DPI Network-Sniffing für OT-Traffic
Proprietäre, patentierte Active Queries für detaillierte PLC-Snapshots
Visualisierung von OT-Steuerungsnetzen & verbundenen IT-Systemen
Decodierung aller gängigen Industrieprotokolle (Profinet, Ethernet/IP, Modbus)
Einzigartige Einsicht in PLC Ladder Logic, Firmware & Code-Sicherungskopien
Exzellentes Snapshotting von Steuerungsprogrammen (Ladder Logic Changes)
Tiefes Asset Management erfordert die Nutzung der Tenable-Gesamtsuite
Armis Inc.
Armis Centrix for OT/IoT
Frühere Namen / Kontext: Armis Platform
Passives Netzwerktraffic-Profiling via bestehende Network-Switches/TAPs
Agentenlose API-Schnittstellen zu WLC, Switches & Cloud-Suiten
Topologie-Mapping über IT, IoT, OT und medizinische Netzwerke hinweg
Decodierung von Industrieprotokollen sowie IoT/Wireless-Signalen
Verhaltensbasierte Klassifizierung via Armis Collective Asset Knowledgebase
Keine dezidierten Hardware-Sensoren zwingend nötig (nutzt bestehende IT/Switches)
In reinen Air-Gapped / Offline-Fabriken ohne Cloud-Upstream eingeschränkt
Cisco Systems, Inc.
Cisco Cyber Vision
Frühere Namen / Kontext: Sentryo
Sensor-Software läuft direkt als Container auf Cisco Industrial Switches (IOx)
Selektives Active Polling zur Vervollständigung von Gerätedaten
Automatische Dynamik-Abbildung der Netzwerk-Topologie nach Purdue-Ebenen
Tiefe Erkennung von Profinet, Modbus, CIP, IEC 60870-5-104 etc.
Erfassung von Steuerungsparametern, Firmware & Systemdetails
Einzigartiges Konzept durch Nutzung von Switches als verteilte OT-Sensoren
Voller Architektureffekt setzt weitgehend Cisco-Netzwerk-Hardware voraus
Fortinet, Inc.
FortiOS OT Asset Discovery / FortiNAC
Frühere Namen / Kontext: FortiGate OT Extensions
Passives DPI direkt auf der FortiGate NGFW & FortiSwitch
Active Scanning & Profiling via FortiNAC
Automatische Einteilung der Assets in Sicherheitszonen & Conduits
Dekodierung gängiger Industrieprotokolle durch FortiGuard OT Rules
Basis-Identifikation von Herstellern, Typen & OS/Firmware-Versionen
Direktes Durchsetzen von OT-Mikrosegmentierung ohne Zusatz-Tools
Weniger detaillierte Ladder-Logic/Code-Analyse im Vergleich zu Dragos/Tenable
Microsoft Corporation
Microsoft Defender for IoT
Frühere Namen / Kontext: CyberX
Passiver Collector-Mirroring-Port Traffic Ingestion
Selektives, sicheres Polling via integrierte Abfrage-Module
Automatische Generierung interaktiver Purdue-Modell-Karten
Breites Spektrum industrieller Protokolle (BACnet, Modbus, S7, DNP3)
Detaillierte Identifikation von PLC-Zuständen, Firmware & Herstellereigenschaften
Kostenfreie/Nahtlose Anbindung an Azure Sentinel für umfassendes Monitoring
Tiefer Funktionsumfang ist stark auf die Azure-Cloud-Welt optimiert
Kaspersky
Kaspersky Industrial CyberSecurity for Networks (KICS for Networks)
Frühere Namen / Kontext: KICS
Passives Traffic-Sniffing & DPI industrieller Befehle
Sicheres aktives Prüfverfahren für tiefergehende Gerätedaten
Grafische Topologie-Darstellung industrieller Segmente
Tiefe Erkennung von Feldbus- und Steuerungsprotokollen
Inspektion von Prozessparametern, Befehlssätzen & Firmware-Versionen
Sehr tiefe Validierung von Prozess-Kommandos auf Protokollebene
Vorbehalte bezüglich geopolitischer Compliance in manchen westlichen Märkten
TXOne Networks
TXOne EdgeOps / Element Platform
Frühere Namen / Kontext: Trend Micro OT Division
Passive Dateninspektion an OT-Netzknoten und Edge-Devices
Selektives Profiling & Active Fingerprinting für Industrieanlagen
Sichtbarkeit der Verbindungspfade bis auf Maschinenebene
Unterstützung branchenspezifischer Protokolle (Semiconductor SECS/GEM etc.)
Tiefes Asset Profiling & Statusüberwachung von OT-Endgeräten
Hochspezialisiert auf Fertigungslinien, Reinräume & Halbleiterfertigung
Erfordert Hardware-Deployment direkt vor den kritischen Maschinen
SCADAfence (Rubrik)
SCADAfence Platform
Frühere Namen / Kontext: SCADAfence
Non-intrusives passives Monitoring grosser Datenmengen
Schonende Abfragemechanismen für tiefere Inventar-Attribute
Automatische Zonen- und Conduits-Visualisierung im Netz
Unterstützung aller gängigen Automatisierungsnetzwerk-Standards
Inventarisierung aller Hardware-Typen, OS, Firmware & Seriennummern
Sehr schnelle Einsatzbereitschaft und geringe Fehlalarm-Raten in Fertigungsstrassen
Nach der Rubrik-Übernahme fokussiert auf Integration in Cyber-Resilience
Kandidaten für später.
Einige Werkzeuge sind relevant, aber in der aktuellen Quelle noch nicht ausreichend belastbar als eigenständige OT Asset Discovery eingeordnet.
- Radiflow iNDUS (iSIGHT)Spezialisierte OT-Sicherheits- und Risk-Assessment-Plattform.
- Opswat MetaDefender ICS SecurityAsset-Fingerprinting und sicherer Datenaustausch für OT-Netzwerke.
- Waterfall Security SolutionsAnbieter von Unidirectional Security Gateways (Hardware-Dioden zur sicheren Datenauskopplung).
Mit echter Anlagenlogik testen.
- Passive Erkennung an einem realen OT-Spiegelport testen, bevor aktive Abfragen erlaubt werden.
- Purdue-Level, Zonen, Hersteller, Firmware und Kommunikationsbeziehungen prüfen.
- Integration in CMDB, SIEM, SOC und Vulnerability Management kontrollieren.
- Safe Active Queries nur mit Betrieb und Anlagenverantwortlichen freigeben.
- Berichte so prüfen, dass Betrieb, CISO und Audit dieselbe Realität sehen.
Security Tool Navigator · Gebiet 13
Im Gebiet OT, IoT und Cyber-Physical Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet OT, IoT und Cyber-Physical Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.