Înlocuirea unui firewall industrial ajuns la sfârșitul ciclului de viață este o decizie care se ia cel mai bine pe baza modelului de implementare, a acoperirii protocoalelor, a metodei de creare a politicilor, a certificărilor și a condițiilor de licențiere, nu doar pe baza numelui mărcii. Acești cinci factori determină dacă înlocuitorul păstrează arhitectura de rețea deja existentă, protejează dispozitivele industriale specifice aflate în funcțiune și se încadrează în cerințele de conformitate și bugetare ale mediului respectiv. Modelul succesor propus de un furnizor reprezintă un punct de plecare rezonabil pentru cercetare, dar nu poate înlocui verificarea acestuia pe baza acestei liste de control.
Principalele concluzii
- Modelul de implementare determină cât de mult din rețea trebuie să reproiectați. Un firewall transparent, în linie, fără adresă IP, păstrează adresarea existentă; un firewall rutabil o modifică.
- Compatibilitatea cu protocoalele trebuie să corespundă mediului dumneavoastră, nu listei generale a unui furnizor. Unii furnizori limitează accesul la anumite familii de protocoale prin niveluri de licențiere separate și reciproc exclusive, așa că asigurați-vă că știți exact ce SKU este inclus în ofertă.
- Modul în care se elaborează politicile este la fel de important ca și ceea ce blochează un firewall. Un firewall capabil să monitorizeze traficul în timp real și să elaboreze o bază de referință pentru politici folosind învățarea automată evită o eroare frecventă: scrierea regulilor pe baza unei diagrame de rețea învechite.
- Certificările variază în funcție de modelul specific, nu doar de furnizor. Certificările principale ale unui furnizor, cum ar fi IEC 61850-3 pentru stațiile de transformare, nu se aplică automat tuturor modelelor de echipamente din gama respectivului furnizor.
- „Asigură conformitatea” și „este certificat” sunt afirmații diferite. Majoritatea firewall-urilor industriale nu sunt certificate independent, ca dispozitive, în conformitate cu standarde precum IEC 62443 sau NERC CIP; ele asigură segmentarea și înregistrarea evenimentelor cerute de aceste standarde. Orice afirmație privind certificarea unui dispozitiv în conformitate cu oricare dintre aceste standarde trebuie considerată un semnal de alarmă care merită verificat direct.
Începeți cu modelul de implementare, nu cu numele mărcii
Un firewall industrial poate fi implementat în două moduri, iar alegerea acestora influențează amploarea modificărilor necesare în rețeaua existentă. Un dispozitiv transparent, montat în linie, este plasat pe traseul traficului fără a avea o adresă IP proprie, ceea ce permite menținerea sistemului de adresare și a rutării deja existente. Un dispozitiv rutabil are propria adresă IP și participă direct la stratul de rețea, ceea ce poate oferi funcționalități suplimentare, dar implică și eforturi suplimentare de reproiectare.
Niciunul dintre cele două modele nu este universal superior. O implementare transparentă reduce la minimum impactul migrării, aspect care contează cel mai mult atunci când se înlocuiește un firewall care funcționează de ani de zile, cum ar fi modelul Tofino Xenon de la Belden. O implementare rutată poate oferi mai multă flexibilitate pentru mediile nou-construite, în care rețeaua este proiectată în jurul firewall-ului, și nu invers.
Adaptați acoperirea protocolului la mediul dvs. real
Inspecția aprofundată a pachetelor pentru protocoale industriale, precum Modbus, DNP3, EtherNet/IP și IEC 61850, este ceea ce diferențiază un firewall industrial de un firewall de rețea generic utilizat într-o rețea OT. Întrebarea relevantă nu este câte protocoale enumeră un furnizor, ci dacă protocoalele specifice care rulează în mediul respectiv sunt acoperite de codul de produs (SKU) pentru care se solicită o ofertă.
- Solicitați lista de protocoale în funcție de SKU, nu în funcție de familia de produse. Unii furnizori acordă licențe pentru familii de protocoale – cum ar fi un set de uz general, în comparație cu un set specific unui anumit furnizor, precum protocoalele GE – ca opțiuni separate, care se exclud reciproc și sunt impuse la nivel de firmware.
- Confirmați dacă inspecția se extinde și la tunelurile criptate. Dacă mediul utilizează IPsec sau OpenVPN pentru accesul furnizorilor sau pentru conectivitatea între mai multe locații, întrebați în mod specific dacă inspecția protocolului se aplică în interiorul acestor tuneluri sau doar traficului necriptat. Obțineți această informație în scris, în loc să o deduceți dintr-o listă de caracteristici.
Evaluează modul în care se elaborează și se menține politica de securitate
Motivul cel mai frecvent pentru care firewall-urile industriale ajung să funcționeze pe termen nelimitat în modul „doar monitorizare” este faptul că nimeni nu are o imagine clară și actualizată a modului în care arată traficul legitim. Există două abordări care rezolvă această problemă în moduri diferite.
- Crearea manuală a politicilor presupune ca cineva să elaboreze reguli de firewall pe baza unei diagrame de rețea, care este corectă în ziua în care este realizată, dar care, ulterior, nu mai corespunde realității.
- Modurile de învățare sau de referință comportamentală monitorizează traficul în timp real pe o perioadă definită și elaborează o politică pe baza datelor colectate, semnalând ulterior abaterile de la acea referință. Acest lucru scurtează timpul necesar de la instalare până la aplicarea efectivă a politicii.
Verificați dacă certificările corespund domeniului dvs. specific și modelului respectiv
Certificările se obțin pentru fiecare model de echipament în parte și nu se aplică automat întregii game de produse a unui furnizor. Este posibil ca modelul de vârf al unui furnizor să dețină o certificare, cum ar fi IEC 61850-3 sau IEEE 1613 pentru substații și rețele electrice, pe care un model mai mic sau cu un număr mai redus de porturi din aceeași familie să nu o dețină. Verificați întotdeauna fișa tehnică a modelului concret pe care îl aveți în vedere.
Vertical / Cerințe | Certificarea care să ateste | De ce este important |
Substații electrice | IEC 61850-3, IEEE 1613 | Reglementează compatibilitatea electromagnetică și rezistența la condițiile de mediu a echipamentelor din stațiile de transformare |
Locații periculoase sau clasificate | C1D2 | Necesar pentru instalare în medii în care există riscul prezenței gazelor combustibile sau a prafului |
Certificări generale privind echipamentele hardware | CE, FCC | Așteptări de bază privind fiabilitatea în medii industriale necontrolate |
Industrial Securitatea cibernetică | IEC 62443-4-2 (SL2, SL3) | Verifică în mod independent capacitățile de securitate ale firewall-ului și procesul de dezvoltare securizat al furnizorului, în loc să se bazeze pe declarațiile proprii ale acestuia |
„Asigură conformitatea” nu este același lucru cu „Este certificat”
Standardele precum IEC 62443 și NERC CIP reglementează programele organizaționale și arhitectura sistemelor, nu un singur dispozitiv luat izolat; prin urmare, majoritatea firewall-urilor industriale nu sunt certificate în mod independent în conformitate cu niciunul dintre aceste standarde ca produse de sine stătătoare. Un firewall poate asigura segmentarea, controlul accesului și înregistrarea evenimentelor de audit cerute de aceste standarde, fără a fi el însuși „certificat conform IEC 62443” sau „certificat conform NERC CIP”. Dacă un furnizor susține că dispozitivul în sine deține o astfel de certificare specifică, întrebați ce organism a emis-o și pentru ce domeniu de aplicare.
Înțelegerea modelului de licențiere și proprietate
Industrial Firewall-urile sunt comercializate în cadrul mai multor structuri de licențiere: dispozitive cu licență perpetuă (cost unic de hardware), reînnoiri de abonament (taxe recurente), pe bază de funcționalități (suplimente de protocol sau capacități), pe bază de debit (niveluri de lățime de bandă), pe bază de protocol (licențiere pe protocol) și licențiere pentru gestionare centralizată (platforme de vizibilitate multi-locație). Fiecare model influențează în mod diferit costul total de proprietate pe durata de viață a dispozitivului. Trecerea de la licențele perpetue la cele pe bază de abonament sau adăugarea de licențe pentru funcționalități, lățime de bandă sau gestionare implică obligații bugetare continue, pe care merită să le înțelegeți în mod explicit încă din faza de evaluare, mai degrabă decât să le descoperiți abia în timpul implementării sau reînnoirii.
Plan pentru gestionarea centralizată a mai multor locații
O soluție de înlocuire care necesită autentificarea individuală pe fiecare dispozitiv nu poate fi extinsă la mai mult de câteva locații. Gestionarea centralizată, fie că este găzduită la sediu sau în cloud, ar trebui să poată distribui politici, să colecteze informații despre starea dispozitivelor și să susțină generarea de rapoarte pentru toate unitățile implementate, dintr-un singur loc.
Solicitați un proiect-pilot limitat înainte de a vă angaja la nivelul întregii proprietăți
Un proiect-pilot cu o singură zonă, derulat în modul de monitorizare înainte de implementarea efectivă, cu criterii de succes definite și convenite în prealabil, reduce riscul ca o modificare a arhitecturii să provoace întreruperi neplanificate. Înlocuirea la nivel de rețea este o discuție secundară, nu una prioritară.
O listă de verificare pentru evaluarea pieselor de schimb
- Model de implementare: transparent/în linie sau cu rutare, și care dintre acestea păstrează arhitectura de rețea existentă
- Acoperirea protocolului: confirmată în funcție de mediul dvs. real și de codul de produs (SKU) specific pentru care se face oferta, nu pe baza unei liste generale a familiei de produse
- Metoda de creare a politicilor: elaborarea manuală a regulilor sau o bază de referință bazată pe învățare/comportament
- Certificări: verificate pentru modelul exact în cauză, nu deduse pe baza produsului de vârf al producătorului
- Formularea din punct de vedere al conformității: „susține” cerințele unui cadru de referință, în comparație cu o afirmație neverificată privind certificarea unui dispozitiv
- Modelul de licențiere: licență perpetuă sau abonament, precum și costul total de proprietate asociat fiecăruia dintre acestea
- Gestionare centralizată: distribuirea politicilor și raportarea pentru toate locațiile dintr-un singur loc
- Domeniul de aplicare al proiectului-pilot: o demonstrație de concept cu o singură zonă, în modul de monitorizare, cu criterii de succes convenite înainte de luarea oricărei decizii la nivel de rețea
Cum se aplică „ MetaDefender ”, „Industrial ” și „Firewall ” la această listă de verificare
MetaDefender Industrial Firewall™ este un firewall industrial de l OPSWAT, destinat rețelelor OT, conceput special pentru tehnologia operațională și sistemele ciber-fizice, fără a fi o adaptare a unui produs IT. În raport cu lista de verificare de mai sus: acesta suportă atât implementarea transparentă, în linie, cât și implementarea prin rutare; modul său de învățare (Learning Mode) elaborează politica de securitate pe baza traficului observat, fără a necesita un set de reguli configurat manual; este disponibil în variante hardware cu patru și opt porturi, modelul cu opt porturi fiind compatibil cu standardele IEC 61850-3 și IEEE 1613 pentru utilizare în substații și rețele electrice; și se integrează cu soluția OPSWAT™ Central Management de l My , pentru gestionarea politicilor și raportarea la nivel de mai multe locații. Acesta suportă segmentarea rețelei în conformitate cu cerințele standardelor IEC 62443 și NERC CIP, în concordanță cu distincția de conformitate menționată mai sus: aceasta este o declarație de suport, nu o declarație de certificare a dispozitivului. De asemenea, este certificat C1D2 pentru medii ostile.
Efectuați propria evaluare a soluțiilor alternative pe baza acestei liste de verificare, apoi vedeți în ce măsură MetaDefender Industrial Firewall corespund cerințelor acesteia în contextul mediului dumneavoastră specific.
Întrebări frecvente
Care este diferența dintre o implementare transparentă și una de tip „routed” a unui firewall industrial?
Un firewall transparent, de tip inline, este, în esență, o punte de nivel 2 care nu are adresă IP și se află direct în calea traficului, ceea ce permite păstrarea adresării de rețea existente. Un firewall rutabil funcționează ca un dispozitiv de nivel 3. Acesta are propria adresă IP și intervine la nivelul rețelei, ceea ce poate oferi funcționalități suplimentare, dar necesită o reproiectare mai amplă a rețelei pentru a fi implementat.
Un firewall industrial trebuie să fie certificat conform standardului IEC 62443 sau NERC CIP?
Majoritatea firewall-urilor industriale nu sunt certificate independent în cadrul niciunui dintre aceste cadre ca dispozitive autonome, deoarece ambele cadre reglementează programele organizaționale și arhitectura sistemelor, mai degrabă decât un singur produs. Căutați un firewall care să îndeplinească cerințele de segmentare și audit impuse de aceste cadre și tratați orice afirmație privind certificarea unui dispozitiv fără calificative ca pe un aspect care trebuie verificat direct.
De ce este important modul în care un firewall industrial își creează politica de securitate?
Un firewall care necesită scrierea manuală a regulilor pe baza unei diagrame de rețea este la fel de precis ca acea diagramă, care tinde să devină depășită. Un firewall care poate monitoriza traficul în timp real și poate elabora o politică de bază scurtează timpul necesar de la instalare până la aplicarea efectivă a regulilor și reflectă cu exactitate starea actuală a rețelei.
De ce certificările diferă de la un model la altul al aceluiași producător?
Certificările precum IEC 61850-3 sau IEEE 1613 sunt obținute și publicate pentru fiecare model de hardware în parte, nefiind valabile pentru întreaga familie de produse. Este posibil ca modelul de vârf al unui furnizor să dețină o certificare pe care un model mai mic sau cu un număr mai redus de porturi din aceeași gamă nu o are; prin urmare, modelul specific avut în vedere trebuie verificat pe baza fișei sale tehnice.
Cât timp ar trebui să dureze o implementare pilot înainte de lansarea completă?
Suficient de mult timp pentru a observa o gamă reprezentativă de operațiuni normale, derulată în modul de monitorizare cu criterii de succes definite și convenite în prealabil, limitată la o singură zonă. Obiectivul este dobândirea încrederii în linia de bază a politicii înainte de punerea în aplicare, nu atingerea unui număr fix de zile.
Modelul de licențiere influențează costul total de proprietate?
Da. O soluție cu licență perpetuă presupune o cheltuială inițială pentru hardware, cu posibilitatea reînnoirii serviciilor de asistență, în timp ce modelul de abonament include licența în plățile recurente. Niciuna dintre cele două opțiuni nu este, în mod inerent, mai ieftină; comparația corectă depinde de durata de viață preconizată a dispozitivului și de modul în care organizația își alocă bugetul între cheltuielile de capital și cele recurente.
