Das Wichtigste in Kürze
- Cyber Vision liefert laut Cisco-Dokumentation Sichtbarkeit auf alle Assets im Industrienetz samt Profilen und Kommunikationsmustern, dazu Schwachstellen, Risiko-Scores und Anomalien.
- Die Segmentierung ist eingebaut gedacht: Assets werden zu Zonen gruppiert, und diese Information geht zur Durchsetzung an Cisco Secure Firewall oder Cisco ISE.
- Die Classic API (Version 5.5) ist eine REST-API unter https://<Center>/api/3.0/ mit Token-Auth; sie deckt Active Discovery, Activities, Sensoren, Devices, Baselines und Components ab.
- Der unterschätzte Bereich sind die Baselines: Abweichungen und Diskrepanzen lassen sich abrufen — aus „im OT ändert sich nie etwas“ wird eine prüfbare Aussage.
Es gibt einen verlässlichen Test, ob ein Monitoring-System trägt: Wer schaut hinein, wenn nichts brennt? Beim zweiten Dashboard im Haus lautet die ehrliche Antwort oft: niemand. Das ist kein Werkzeugproblem, sondern ein Anschlussproblem — die Sichtbarkeit bleibt im Bildschirm stecken, statt in den Systemen zu landen, in denen ohnehin gearbeitet wird: Ticket, Firewall-Policy, Nachweisordner.
Cisco Cyber Vision ist für den anderen Weg gebaut. Die Dokumentation beschreibt die Plattform als kontinuierliche Sichtbarkeit auf die OT-Sicherheitslage: alle Assets im Industrienetz samt detaillierten Profilen und Kommunikationsmustern, dazu Schwachstellen, Risiko-Scores, Angriffe und auffälliges Verhalten. Und sie nennt den entscheidenden Satz gleich mit: Assets werden zu Zonen gruppiert, und diese Information wird zur Durchsetzung an Cisco Secure Firewall oder Cisco ISE weitergegeben.
Die API dahinter: nüchtern, vollständig, erreichbar
Technisch ist der Zugang unspektakulär — und genau das ist die gute Nachricht. Die Classic API (Version 5.5) ist eine REST-API, jeder Aufruf beginnt mit der Basis-URL des eigenen Centers unter /api/3.0/, authentifiziert wird per API-Token, und Anfragen lassen sich direkt im Center testen. Kein zusätzliches Gateway, keine Cloud-Abhängigkeit für den Datenzugriff.
| Bereich | Was sich damit abfragen und verwalten lässt |
|---|---|
| Active Discovery | Discovery-Profile anlegen und pflegen, Scans starten und stoppen, Ergebnisse und Status abrufen |
| Activities | Kommunikation zwischen Endpunkten samt Flows und Tags — die Grundlage jeder Kommunikationsmatrix |
| Sensoren | Sensorlisten, Einstellungen, Statistiken und Pakete für das Deployment |
| Devices | Gerätedetails samt Schwachstellen, Risiko-Scores und externer Kommunikation |
| Baselines | Referenzzustände anlegen, Abweichungen und Diskrepanzen abrufen und bewerten |
| Components | Komponentendetails, Schwachstellen und Variablen für Auswertungen |
Drei Anschlüsse, die sich tragen
Was macht man mit diesen Daten? Drei Verwendungen haben sich als die tragfähigen erwiesen — jede holt die Sichtbarkeit aus dem Bildschirm heraus:
- Zonen durchsetzen statt anschauen. Die Zonen-Gruppierung geht an ISE oder Secure Firewall — aus der beobachteten Kommunikationsmatrix wird gelebte Segmentierung. Was Segmentierung als Nachweis leisten muss, steht im Beitrag zur NIS2-Netzsegmentierung.
- Baseline-Abweichungen in den Meldeweg. Wer ab dem 11. September 2026 Herstellermeldungen nach CRA empfangen und einordnen muss, braucht den eigenen Ist-Stand abrufbar — der Beitrag zur CRA-Meldepflicht beschreibt die Empfängerseite.
- Inventar und Risiko-Scores als Nachweis. Asset-Liste, Schwachstellenlage und externe Kommunikation pro Gerät sind genau die Artefakte, nach denen Auditoren und Versicherer zuerst fragen — abfragbar statt zusammengesucht.
Arbeitsteilung mit der Automatisierungskette
In unserer Arbeitsweise ersetzt Cyber Vision keine Source of Truth — es ist die Ist-Sicht auf das OT, die neben die Soll-Instanz tritt: NetBox hält, was gelten soll; Cyber Vision beobachtet, was tatsächlich spricht. Die Paarung ist dieselbe wie im IT-Netz, nur mit anderem Sensor — beschrieben im Beitrag über NetBox als Source of Truth. Wie wir Cyber Vision einführen und in den Betrieb übergeben, steht auf der Leistungsseite OT-Security.
Der Einstieg ist bewusst unspektakulär: lesend beginnen. Inventar, Activities und Risiko-Scores abfragen und dorthin legen, wo das Team ohnehin arbeitet. Steuernde Aufrufe — Discovery-Profile, Baselines — kommen erst, wenn die Leseseite verstanden ist. So wird aus dem zweiten Dashboard eine Datenquelle, die auch dann arbeitet, wenn niemand hinschaut.
Quellen
Jede belegte Aussage dieses Beitrags ist hier nachvollziehbar. Das Abrufdatum sagt, wie frisch die Prüfung ist.
- Introduction — Cisco Cyber Vision 5.5, Classic APIöffnet in neuem Tab
Cisco DevNet · abgerufen am 27. August 2026
- Getting Started — Cisco Cyber Vision 5.5, Classic API (Base URL, API-Token)öffnet in neuem Tab
Cisco DevNet · abgerufen am 27. August 2026