Egy élettartamának végéhez közeledő ipari tűzfal cseréjéről szóló döntést leginkább a telepítési modell, a támogatott protokollok köre, a szabályok létrehozásának módja, a tanúsítványok és a licencfeltételek alapján érdemes meghozni, nem pedig kizárólag a márkanév alapján. Ez az öt tényező határozza meg, hogy a csere megőrzi-e a már meglévő hálózati architektúrát, védi-e a futó ipari eszközöket, és megfelel-e a környezet megfelelőségi és költségvetési követelményeinek. A gyártó által javasolt utódmodell ésszerű kiindulási pont a kutatáshoz, de nem helyettesíti az ezen ellenőrzőlista alapján történő áttekintést.
A legfontosabb tudnivalók
- A telepítési modell határozza meg, hogy a hálózat mekkora részét kell áttervezni. Egy átlátszó, beépített tűzfal, amely nem rendelkezik IP-címmel, megőrzi a meglévő címzést; egy útválasztott tűzfal viszont megváltoztatja azt.
- A protokolltámogatásnak a felhasználói környezethez kell igazodnia, nem pedig egy gyártó általános listájához. Egyes gyártók bizonyos protokollcsaládokat különálló, egymást kizáró licencszintekhez kötnek, ezért pontosan ellenőrizze, hogy melyik SKU-ra vonatkozik az ajánlat.
- Az, hogy hogyan alakulnak ki a szabályok, ugyanolyan fontos, mint az, hogy mit blokkol a tűzfal. Egy olyan tűzfal, amely képes figyelemmel kísérni az élő forgalmat, és gépi tanulás segítségével kidolgozni egy szabályalapvonalat, elkerüli azt a gyakori hibaforrást, amikor a szabályokat egy elavult hálózati ábra alapján írják meg.
- A tanúsítványok nem csupán a gyártótól, hanem az egyes modellektől függően is eltérőek. Egy gyártó legfontosabb tanúsítványai – például az alállomásokra vonatkozó IEC 61850-3 – nem vonatkoznak automatikusan a gyártó termékpalettáján szereplő minden hardvermodellre.
- A „megfelel a szabályozási követelményeknek” és a „tanúsított” kifejezések eltérő állítások. A legtöbb ipari tűzfal nem rendelkezik független tanúsítvánnyal olyan szabványok szerint, mint az IEC 62443 vagy a NERC CIP; ezek az eszközök azonban támogatják a szabványok által előírt szegmentálást és naplózást. Ha bármelyik szabványra hivatkozó eszköz-tanúsítási állítást talál, azt tekintsd figyelmeztető jelnek, amelyet érdemes közvetlenül ellenőrizni.
Kezdjük a bevezetési modellel, ne a márkanévvel!
Az ipari tűzfalat kétféle módon lehet üzembe helyezni, és a választás hatással van arra, hogy a meglévő hálózat mekkora részét kell átalakítani. Az átlátszó, inline eszköz a forgalmi útvonalon helyezkedik el, saját IP-cím nélkül, így megőrzi a már kialakult címzést és útválasztást. Az útválasztó eszköz saját IP-címmel rendelkezik, és közvetlenül részt vesz a hálózati rétegben, ami ugyan további képességeket biztosít, de egyúttal áttervezési munkát is jelent.
Egyik modell sem tekinthető általánosan jobbnak. Az átlátható telepítés minimálisra csökkenti az áttéréssel járó terhet, ami leginkább akkor fontos, ha egy évek óta üzemelő tűzfalat cserélnek le, például a Belden Tofino Xenon készüléket. Az útválasztásos telepítés nagyobb rugalmasságot biztosíthat az újonnan kiépített környezetekben, ahol a hálózatot a tűzfal köré tervezik, és nem fordítva.
A protokoll leírását igazítsa a tényleges környezetéhez
Az ipari protokollok – például a Modbus, a DNP3, az EtherNet/IP és az IEC 61850 – mélyreható csomagvizsgálata az, ami megkülönbözteti az ipari tűzfalat az operatív technológiai (OT) hálózatokra alkalmazott általános hálózati tűzfalaktól. A lényeges kérdés nem az, hogy egy gyártó hány protokollt sorol fel, hanem az, hogy az adott környezetben futó konkrét protokollokat lefedi-e az ajánlatban szereplő termékkód (SKU).
- Kérje a protokollok listáját SKU-k szerint, ne termékcsaládok szerint. Egyes gyártók a protokollcsaládokat – például az általános célú készletet szemben a gyártóspecifikus készlettel, mint például a GE-protokollok – különálló, egymást kizáró opcióként engedélyezik, amelyek érvényesítése a firmware-ben történik.
- Ellenőrizze, hogy a forgalomellenőrzés kiterjed-e a titkosított alagutakra is. Ha a környezetben IPsec-et vagy OpenVPN-t használnak a beszállítói hozzáféréshez vagy a több telephely közötti összeköttetéshez, kérdezze meg kifejezetten, hogy a protokollellenőrzés ezeken az alagutakon belül is érvényes-e, vagy csak a titkosítatlan forgalomra vonatkozik. Ezt írásban kérje meg, ne csak a funkciólistából vezesse le.
A biztonsági irányelvek kidolgozásának és karbantartásának értékelése
Az ipari tűzfalak leggyakoribb oka annak, hogy véglegesen „csak megfigyelési” üzemmódba kerülnek, az, hogy senkinek sincs pontos és naprakész képe arról, hogyan néz ki a legitim forgalom. Két különböző megközelítés létezik ennek a problémának a megoldására.
- A szabályok kézi megírásához valakinek a hálózati ábra alapján kell megírnia a tűzfalszabályokat, amelyek a megírásuk napján pontosak, de később eltérnek a valóságtól.
- A tanulási vagy viselkedésalapú alapállapot-módok egy meghatározott időtartam alatt figyelik az élő forgalmat, és a jelenleg futó folyamatok alapján kidolgoznak egy szabályzatot, majd a továbbiakban jelzik az alapállapottól való eltéréseket. Ez lerövidíti a telepítéstől az aktív érvényesítésig vezető utat.
Ellenőrizze a tanúsítványokat az Ön konkrét iparágához és modelljéhez igazodva
A tanúsítványokat hardvermodellként szerezhetik meg, azok nem vonatkoznak automatikusan a gyártó teljes termékpalettájára. Előfordulhat, hogy egy gyártó csúcsmodellje rendelkezik egy bizonyos tanúsítvánnyal – például az IEC 61850-3 vagy az IEEE 1613 szabvány szerinti tanúsítvánnyal, amely alállomásokhoz és villamosenergia-ellátó hálózatokhoz kapcsolódik –, míg ugyanazon termékcsalád egy kisebb vagy kevesebb porttal rendelkező modellje nem rendelkezik ilyennel. Mindig ellenőrizze az adott modell adatlapját.
Vertikális / Követelmény | A tanúsítás megerősítése | Miért fontos |
Villamosenergia-elosztóállomások | IEC 61850-3, IEEE 1613 | Az alállomás-berendezések elektromágneses összeférhetőségét és környezeti ellenállóképességét szabályozza |
Veszélyes vagy biztonsági besorolású helyszínek | C1D2 | Gyúlékony gáz vagy por jelenlétével járó kockázatot jelentő környezetben történő üzembe helyezéshez szükséges |
Általános hardver-tanúsítványok | CE, FCC | Alapvető megbízhatósági elvárások ellenőrizetlen ipari környezetekben |
Industrial Kiberbiztonság | IEC 62443-4-2 (SL2, SL3) | Függetlenül ellenőrzi a tűzfal biztonsági képességeit és a gyártó biztonságos fejlesztési folyamatát, ahelyett, hogy a gyártó saját nyilatkozatára támaszkodna |
A „megfelel a szabályoknak” állítás nem azonos a „tanúsított” állítással
Az olyan szabványok, mint az IEC 62443 és a NERC CIP, a szervezeti programokat és a rendszerarchitektúrát szabályozzák, nem pedig egy-egy eszközt önmagában, ezért a legtöbb ipari tűzfalat egyik szabvány szerint sem tanúsítják önálló termékként. Egy tűzfal támogathatja a szegmentálást, a hozzáférés-vezérlést és a naplózást, amelyeket ezek a szabványok előírnak, anélkül, hogy maga „IEC 62443-tanúsítvánnyal” vagy „NERC CIP-tanúsítvánnyal” rendelkezne. Ha egy gyártó ilyen konkrét tanúsítási állítást tesz magára az eszközre vonatkozóan, kérdezze meg, melyik szervezet adta ki a tanúsítványt, és milyen hatályra vonatkozik.
A licencelési és tulajdonjogi modell megértése
Industrial A tűzfalakat többféle licencelési modell keretében értékesítik: örökös használati jogú eszközök (egyszeri hardverköltség), előfizetés-megújítások (ismétlődő díjak), funkcióalapú (protokoll- vagy képesség-kiegészítők), átviteli sebesség-alapú (sávszélesség-szintek), protokollalapú (protokollonkénti licencelés) és központi felügyeleti licencelés (több telephelyet átfogó felügyeleti platformok). Minden modell másképp befolyásolja a teljes tulajdonlási költséget az eszköz élettartama alatt. Az örökös licencről előfizetésre való áttérés, illetve a funkció-, átviteli sebesség- vagy felügyeleti licencelés bevezetése folyamatos költségkötelezettségeket jelent, amelyeket érdemes már az értékelés során pontosan megérteni, ahelyett, hogy csak a megvalósítás vagy a megújítás során derülnének ki.
Terv a több telephelyre kiterjedő központosított irányításra
Egy olyan megoldás, amelynél minden eszközre külön-külön be kell jelentkezni, néhány telephelynél többet már nem képes kezelni. A központosított felügyeletnek – függetlenül attól, hogy helyben vagy a felhőben működik – képesnek kell lennie arra, hogy egy helyről osztja ki a szabályzatokat, gyűjtsön állapotadatokat és támogassa a jelentéskészítést minden üzembe helyezett egység esetében.
Kérjen zárt körű kísérleti projektet, mielőtt az egész ingatlanra kiterjedő elkötelezettséget vállalna
Egy zónára korlátozott kísérleti projekt, amelyet a bevezetés előtt megfigyelési módban futtatnak, és amelynek előre meghatározott, előre egyeztetett sikerfeltételei vannak, csökkenti annak kockázatát, hogy az architektúra-változás nem tervezett leállást okozzon. A teljes rendszerre kiterjedő cseréről később kell beszélni, nem most.
Ellenőrzőlista a csere értékeléséhez
- Telepítési modell: átlátszó/beágyazott vagy útválasztott, és melyik őrzi meg a meglévő hálózati architektúrát
- A protokoll lefedettsége: a tényleges környezetedhez és az ajánlatban szereplő konkrét SKU-hoz igazodik, nem pedig egy általános termékcsalád-listához
- Szabályalkotási módszer: kézi szabályalkotás vagy tanulási/viselkedési alapvonal
- Tanúsítványok: a szóban forgó konkrét modellre vonatkozóan ellenőrizve, nem a gyártó csúcsmodelljéből feltételezve
- A megfelelőségi szövegezés: a keretrendszer követelményeinek „támogatása” szemben a nem ellenőrzött eszköz-tanúsítási állítással
- Licencelési modell: örökös használati jog vagy előfizetés, valamint az egyes modellekhez tartozó teljes tulajdonlási költség
- Központosított irányítás: a szabályzatok terjesztése és a jelentések készítése minden telephelyről egy helyről
- A kísérleti projekt hatóköre: egyzónás, monitor módú koncepcióbizonyítás, amelynek sikerkritériumait előzetesen egyeztették, mielőtt a teljes rendszerre kiterjedő döntés születne
MetaDefender ,Industrial ésFirewall weboldalak hogyan kapcsolódnak ehhez az ellenőrzőlistához
MetaDefender Industrial A Firewall™ OPSWAT ipari tűzfala az OT-hálózatok számára, amelyet kifejezetten az operatív technológiák és a kiberfizikai rendszerek számára fejlesztettek ki, nem pedig valamely IT-termék átalakításával hoztak létre. A fenti ellenőrzőlistához viszonyítva: támogatja mind az átlátszó, inline telepítést, mind az útválasztásos telepítést; „Learning Mode” (tanulási módja) a megfigyelt forgalom alapján dolgozza ki a biztonsági szabályzatot, ahelyett, hogy manuális szabálykészletet igényelne; négy- és nyolcportos hardverváltozatban kapható, a nyolcportos modell az IEC 61850-3 és az IEEE 1613 szabványokat támogatja alállomások és villamosenergia-szolgáltatók számára; valamint integrálható az My OPSWAT™ Central Management megoldással a több telephelyre kiterjedő szabályzatkezelés és jelentéskészítés érdekében. Támogatja az IEC 62443 és a NERC CIP követelményeknek megfelelő hálózati szegmentálást, összhangban a fenti megfelelőségi megkülönböztetéssel: ez egy támogatási állítás, nem pedig eszköz-tanúsítási állítás. Emellett C1D2 tanúsítvánnyal rendelkezik zord környezeti feltételekhez.
Végezzen el saját csereértékelést ennek az ellenőrzőlistának a segítségével, majd nézze meg, hogy a MetaDefender ,Industrial ésFirewall oldalak hogyan illeszkednek ehhez az Ön konkrét környezetében.
Gyakran ismételt kérdések
Mi a különbség az átlátszó és a beágyazott ipari tűzfal-telepítés között?
Az átlátszó, beépített tűzfal lényegében egy 2. rétegű híd, amelynek nincs IP-címe, és közvetlenül a forgalom útvonalában helyezkedik el, így megőrzi a meglévő hálózati címzést. Az útválasztott tűzfal 3. rétegű eszközként működik. Saját IP-címmel rendelkezik, és részt vesz a hálózati réteg működésében, ami ugyan további képességeket biztosít, de bevezetése nagyobb mértékű hálózati átalakítást igényel.
Az ipari tűzfalnak rendelkeznie kell IEC 62443 vagy NERC CIP tanúsítvánnyal?
A legtöbb ipari tűzfalat egyik keretrendszer szerint sem tanúsították önálló eszközként, mivel mindkét keretrendszer inkább a szervezeti programokat és a rendszerarchitektúrát szabályozza, nem pedig egy adott terméket. Keressen olyan tűzfalat, amely támogatja az említett keretrendszerek által előírt szegmentációs és ellenőrzési követelményeket, és a nem megfelelő eszköz-tanúsítási állításokat mindenképpen ellenőrizze le közvetlenül.
Miért fontos, hogy egy ipari tűzfal hogyan alakítja ki a biztonsági szabályzatát?
Az a tűzfal, amelynél a szabályokat manuálisan kell megírni egy hálózati ábra alapján, csak annyira pontos, amennyire az az ábra, amely pedig gyakran elavul. Az a tűzfal viszont, amely képes figyelemmel kísérni az élő forgalmat és kidolgozni egy szabályzati alapvázlatot, lerövidíti a telepítéstől az aktív érvényesítésig vezető utat, és pontosan tükrözi a rendszer aktuális állapotát.
Miért eltérnek a tanúsítványok ugyanazon gyártó különböző modelljei között?
Az olyan tanúsítványok, mint az IEC 61850-3 vagy az IEEE 1613, hardvermodellként kerülnek megszerzésre és közzétételre, és nem vonatkoznak automatikusan az egész termékcsaládra. Előfordulhat, hogy egy gyártó csúcsmodellje rendelkezik olyan tanúsítvánnyal, amellyel ugyanazon termékcsalád egy kisebb vagy kevesebb porttal rendelkező modellje nem rendelkezik, ezért a vizsgált konkrét modellt a saját műszaki adatlapja alapján kell ellenőrizni.
Mennyi ideig kell tartania egy kísérleti bevezetésnek a teljes körű bevezetés előtt?
Elég hosszú ideig ahhoz, hogy a normál működés reprezentatív körét megfigyelhessük; a futtatásnak monitor módban kell történnie, előre egyeztetett sikerkritériumok alapján, egyetlen zónára korlátozva. A cél a szabályzat alapvonalába vetett bizalom megteremtése a végrehajtás előtt, nem pedig egy meghatározott napok száma.
Befolyásolja-e az engedélyezési modell a teljes tulajdonlási költséget?
Igen. Az örökös használatú eszköz egyszeri hardverköltséget jelent, opcionális támogatási meghosszabbításokkal, míg az előfizetési modell a licencdíjat az ismétlődő fizetésekbe építi be. Egyik sem olcsóbb eleve; a helyes összehasonlítás az eszköz várható élettartamától, valamint attól függ, hogy a szervezet hogyan osztja el a költségvetését a beruházási és az ismétlődő kiadások között.
