Plattform-Überblick ​

IoTree ist eine umfassende IoT-Kommunikations-, Daten- und Serviceplattform, entwickelt von der ISO27001:2022-zertifizierten PHYSEC GmbH, mit besonderem Fokus auf IT-Sicherheit. Die Plattform bietet eine ganzheitliche Lösung für die cyberphysische Sicherheit von IoT-Systemen, indem sie den Schutz von Geräten, Kommunikationskanälen und Datenmanagementprozessen gewährleistet.

Die Verwaltung von SEAL-Geräten und -Ereignissen erfolgt über die IoTree-Plattform. Um auf IoTree zuzugreifen, öffnen Sie die von PHYSEC bereitgestellte URL und melden Sie sich an. Wenn Sie sich zum ersten Mal anmelden, folgen Sie der hier verlinkten Anleitung, um ein Passwort einzurichten: https://docs.iotree.de/de/iotree/benutzer/benutzer-erstellen.html#passwort-vergeben-und-erstmaliger-login-benutzer

Klicken Sie nach der Anmeldung auf der Startseite auf die Kachel „SEAL".

Damit gelangen Sie zur SEAL-Benutzeroberfläche, deren zentrale Navigations- und Funktionsbereiche im Folgenden erläutert werden.

1. Die obere Leiste bietet Funktionen zur Auswahl eines Mandanten (abhängig von der jeweiligen Kundeninstallation), zur Sprachumschaltung (Deutsch/Englisch), zur Passwortverwaltung, zur Aktivierung der Zwei-Faktor-Authentifizierung (2FA) sowie zum Abmelden.
2. Der SEAL-Bereich in IoTree besteht aus den folgenden Hauptbereichen, die über die Navigationsleiste auf der linken Seite erreichbar sind. a. Der Bereich „Dashboard" bietet eine Übersicht über SEAL-Geräte und -Ereignisse. Über das Dropdown-Menü „Gruppe wählen" kann das Dashboard gefiltert werden, sodass nur Informationen zu bestimmten Gerätegruppen angezeigt werden. b. Der Bereich „Karte" zeigt eine Liste Ihrer SEAL-Geräte zusammen mit einer Kartenansicht an. Wählen Sie ein Gerät aus der Liste aus, um die gerätespezifische Seite zu öffnen, den aktuellen Status einzusehen oder Einstellungen zu konfigurieren. c. Der Bereich „Alarme" bietet eine zentrale Tabelle mit Alarmen und Warnungen. Darüber hinaus stehen verschiedene Filtermöglichkeiten sowie eine Exportfunktion für die angezeigten Daten zur Verfügung. d. Im Bereich „SIEM" können SIEM-Endpunkte konfiguriert werden, um SEAL-Ereignisse an ein SIEM-System weiterzuleiten.

Einstellungen ​

Nach der Hardware-Installation wird das Gerät initialisiert. Zuvor können optional Einstellungen angepasst werden; andernfalls gelten Standardwerte.

Die „Einstellungen" eines Geräts erreichen Sie über folgenden Pfad: SEAL-Kachel → „Karte" in der linken Navigationsleiste → Gerät aus der Liste auswählen → Registerkarte „Einstellungen" auf der Geräteseite.

Die folgenden Einstellungen können hier konfiguriert werden.

• Basisdaten wie Name, Einbaudatum und Beschreibung.
• Das Scan-Intervall legt die Häufigkeit fest, mit der SEAL auf Anomalien prüft. Es umfasst vier Klassen, die entsprechend dem jeweiligen Angebot verfügbar sind.
• Die SIEM-Konfiguration ermöglicht die Auswahl eines bereits erstellten SIEM-Endpunkts zur Weiterleitung von Ereignissen.
• Die Modell-Einstellungen ermöglichen dem Benutzer die Konfiguration verschiedener Einstellungen im Zusammenhang mit der Anomalieerkennung, wie beispielsweise Sensibilität und Referenzzeitraum. Unter den Modell-Einstellungen stehen die folgenden Optionen zur Verfügung.

Stufe 1: Kurzzeitmodell ​

Dieses Modell wird deutlich schneller trainiert, bietet jedoch ein grundlegendes Sicherheitsniveau. Es eignet sich insbesondere für Umgebungen mit statischen Komponenten ohne Bewegungen.

Für das Kurzzeitmodell stehen die folgenden Einstellungen zur Verfügung:

• Wählen Sie eine geeignete Sensibilität auf einer fünfstufigen Skala von „Sehr niedrig" bis „Sehr hoch" aus. Eine sehr hohe Sensibilität erhöht auch die Wahrscheinlichkeit von Fehlalarmen aufgrund äußerst geringer Veränderungen. Eine sehr niedrige Sensibilität erhöht hingegen die Wahrscheinlichkeit, tatsächliche Veränderungen nicht zu erkennen. Abhängig von der jeweiligen Umgebung kann die passende Sensibilitätsstufe ermittelt werden, indem zunächst mit der mittleren Einstellung („Normal") gestartet wird und die Sensibilität anschließend durch die Durchführung von „Tür-auf"- und „Fremdkörper"-Tests angepasst wird (siehe Abschnitt 5 der Hardware-Installationsanleitung).
• Die Option „Gleitende Referenz" aktualisiert den Referenzzustand kontinuierlich auf Basis neuer Messungen. Dies kann hilfreich sein, um Fehlalarme in Umgebungen zu vermeiden, in denen sich die physikalische Struktur über die Zeit langsam verändert oder „driftet", beispielsweise aufgrund von Temperaturschwankungen.
• Die Option „Referenzzeitraum auswählen" definiert den Zeitraum, der zur Ermittlung des Referenzzustands für das Kurzzeitmodell verwendet wird. Längere Zeiträume ermöglichen ein robusteres und zeitvariables Modell. Während des Referenzzeitraums dürfen keine unzulässigen Veränderungen auftreten.

Nach der Konfiguration der Einstellungen stellen Sie bitte sicher, dass diese gespeichert werden. Gespeicherte Einstellungen werden erst bei der nächsten Initialisierung angewendet und haben keinen Einfluss auf eine bereits laufende Initialisierung.

Stufe 2: Langzeitmodell ​

Das Langzeitmodell bietet eine robustere Anomalieerkennung, erfordert jedoch eine längere Initialisierungsdauer. Es eignet sich besonders für dynamische Umgebungen mit beweglichen Komponenten oder wechselnden Bedingungen, beispielsweise durch Ventilatoren, Klimatisierung oder häufige Bewegungen in der Umgebung.

Für das Langzeitmodell stehen die folgenden Einstellungen zur Verfügung:

• Die Option „Referenzzeitraum auswählen" definiert für das Langzeitmodell den Zeitraum, der zur Ermittlung des Referenzzustands verwendet wird. Längere Zeiträume ermöglichen ein robusteres und zeitvariables Modell. Während des Referenzzeitraums dürfen keine unzulässigen Veränderungen auftreten. Die minimale Dauer beträgt 12 Stunden und eine maximale Dauer von 14 Tagen kann nicht überschritten werden. Bitte beachten Sie, dass das Training in besonders dynamischen Umgebungen auch bei Auswahl der minimalen Referenzdauer von 12 Stunden mehr Zeit in Anspruch nehmen kann.
• Wählen Sie eine geeignete Sensibilität auf einer fünfstufigen Skala von „Sehr niedrig" bis „Sehr hoch" aus. Eine sehr hohe Sensibilität erhöht auch die Wahrscheinlichkeit von Fehlalarmen aufgrund äußerst geringer Veränderungen. Eine sehr niedrige Sensibilität erhöht hingegen die Wahrscheinlichkeit, tatsächliche Veränderungen nicht zu erkennen. Abhängig von der jeweiligen Umgebung kann die passende Sensibilitätsstufe ermittelt werden, indem zunächst mit der mittleren Einstellung („Normal") gestartet wird und die Sensibilität anschließend durch die Durchführung von „Tür-auf"- und „Fremdkörper"-Tests angepasst wird (siehe Abschnitt 5 der Hardware-Installationsanleitung).

Automatische Initialisierung ​

Bei aktivierter Checkbox „Automatische Initialisierung aktivieren" wird nach einem Alarm und nach Ablauf einer definierten Zeitverzögerung automatisch ein neuer Umgebungszustand initialisiert. Die Verzögerungszeit kann direkt unterhalb der Checkbox konfiguriert werden. Es wird empfohlen, vor der erneuten Initialisierung die Zulässigkeit des aktuellen Umgebungszustands zu überprüfen.

Initialisierung ​

Nachdem die Einstellungen konfiguriert wurden, besteht der nächste Schritt darin, die Initialisierung zu starten. Klicken Sie auf die Registerkarte „Initialisierung" und anschließend auf „Initialisierung starten". Die konfigurierten Einstellungen werden dabei angewendet. Falls keine Einstellungen konfiguriert wurden, werden die Standardwerte verwendet. Im Zustand „Nicht initialisiert" kann die Initialisierung auch direkt im Tab „Übersicht" über den Bereich „SEAL Status verwalten" gestartet werden.

Nach Abschluss der Initialisierung zeigt die „Übersicht" des Geräts den Status „OK" an. Falls Stufe 2 in den Einstellungen deaktiviert wurde, wird ab diesem Zeitpunkt ausschließlich das Stufe-1-Kurzzeitmodell für die Anomalieerkennung verwendet.

Wenn Stufe 2 aktiviert ist, zeigt die „Übersicht" bereits nach Abschluss des Trainings von Stufe 1 den Status „OK" an. Stufe 2 sammelt jedoch weiterhin Daten und beginnt mit dem Training, sobald über den konfigurierten Referenzzeitraum für Stufe 2 ausreichend Daten erfasst wurden.

Während dieses Zeitraums werden durch das Kurzzeitmodell erkannte Veränderungen als Status „Auffälligkeit" angezeigt. Dies weist darauf hin, dass eine Veränderung erkannt wurde und der Benutzer sicherstellen sollte, dass keine unzulässigen Änderungen aufgetreten sind.

Falls unzulässige Änderungen auftreten, während das Langzeitmodell noch Daten sammelt, kann dies zu einer fehlerhaften Abbildung des Referenzzustands führen. Dies kann zukünftig Fehlalarme oder das Nichterkennen tatsächlicher Veränderungen (False Negatives) verursachen.

Sobald eine dauerhafte physikalische Veränderung auftritt, die durch einen anhaltenden Alarm- oder Auffälligkeitsstatus angezeigt wird, muss das Gerät in der Regel erneut initialisiert werden, um den neuen physikalischen Referenzzustand des Assets zu erlernen.

Für die erneute Initialisierung eines Geräts aus den Zuständen „Auffälligkeit" oder „Alarm" steht derzeit keine direkte Funktion zur Verfügung. Verwenden Sie stattdessen das folgende Vorgehen: Starten Sie zunächst den Wartungsmodus, anschließend den Wartungsmodus beenden und auf „Initialisierung starten" klicken.

Wartungsmodus ​

Der Wartungsmodus ermöglicht es, die Überwachung eines Geräts vorübergehend zu pausieren. Dies kann hilfreich sein, um Fehlalarme zu vermeiden, wenn Wartungsarbeiten oder andere geplante Veränderungen durchgeführt werden.

Klicken Sie auf die Schaltfläche „Wartungsmodus" im Tab „Übersicht" unter „SEAL Status verwalten", um den Wartungsmodus zu starten. Vergessen Sie nicht, den Wartungsmodus nach Abschluss der Wartungsarbeiten wieder zu beenden.

Nach dem Beenden des Wartungsmodus ist eine erneute Initialisierung erforderlich.

Weiterleitung & Benachrichtigung ​

Es gibt zwei Möglichkeiten, Daten-Weiterleitung und Benachrichtigung direkt in IoTree einzurichten.

SIEM-Weiterleitung ​

Durch die Anbindung von IoTree mit SEAL über einen „Syslog Emitter Service" können Kunden Protokolle an ihre eigenen SIEM-Systeme senden, wodurch effizientere Sicherheitsprozesse ermöglicht werden. Die Syslog-Nachrichten von IoTree mit SEAL werden im „Common Event Format" (CEF) über Syslog gemäß RFC 5424 und RFC 6587 übertragen.

Um einen SIEM-Endpunkt zu konfigurieren, klicken Sie in der linken Navigationsleiste auf „SIEM". Erstellen Sie hier eine neue SIEM-Konfiguration und speichern Sie diese. Der gespeicherte Endpunkt kann anschließend in den „Einstellungen" eines beliebigen Geräts zugewiesen werden.

E-Mail-Benachrichtigung ​

Um E-Mail-Benachrichtigungen einzurichten, erstellen Sie zunächst eine Gruppe von Geräten, für die die Benachrichtigung aktiviert werden soll.

Folgen Sie zum Erstellen einer Gruppe der hier beschriebenen Anleitung: https://docs.iotree.de/de/iotree/sensoren/gruppen-anlegen.html

Nachdem die Gruppe erstellt wurde, kann eine neue Regel für die E-Mail-Benachrichtigung erstellt werden. Folgen Sie hierzu dieser Anleitung: https://docs.iotree.de/de/iotree/sensoren/gruppen-regeln.html

Technischer Support ​

Bei technischen Fragen, Störungen oder Problemen steht Ihnen unser technischer Support zur Verfügung. Supportanfragen werden über das Ticketsystem in IoTree bearbeitet. Folgen Sie dazu dieser Anleitung: https://docs.iotree.de/de/iotree/ticketsystem/ticket-erstellung.html

Bitte erstellen Sie dort ein neues Ticket und beschreiben Sie Ihr Anliegen möglichst genau. Ergänzen Sie nach Möglichkeit relevante Informationen wie Fehlermeldungen, Screenshots, den betroffenen Benutzer oder das betroffene Gerät sowie den Zeitpunkt, zu dem das Problem aufgetreten ist. Diese Angaben erleichtern die Analyse und ermöglichen eine schnellere Bearbeitung Ihrer Anfrage.