Anybus Defender 6004 - License type: NAT/FW

Anybus Defender 6004

Der Anybus Defender 6004 ist eine industrielle Firewall zur Trennung und Absicherung von Maschinen, Produktionslinien und anderen Bereichen des OT-Netzwerks. Er hilft dabei, unerwünschte Kommunikation einzuschränken, IP-Adresskonflikte zu lösen und angeschlossene Geräte bei der Kommunikation mit dem Produktions- oder Unternehmensnetzwerk zu schützen. Je nach gewählter Variante bietet er außerdem die Kontrolle industrieller Protokolle, den Schutz anfälliger Geräte ohne erforderliche Aktualisierung, VPN und erweiterte Netzwerkfunktionen.

Warum Anybus Defender 6004?

• Verbindet bis zu vier physische Netzwerksegmente – 1× WAN und 3× separat konfigurierbare LAN-Ports ermöglichen es, mehrere Bereiche der Anlage mit einem einzigen Gerät voneinander zu trennen.
• Reduziert das Risiko der Ausbreitung von Problemen im Netzwerk – einzelne Maschinen, Linien oder Anlagenteile können voneinander getrennt werden, sodass zwischen ihnen nur die erforderliche Kommunikation zugelassen wird.
• Erleichtert den Anschluss identischer Maschinen – mithilfe von NAT können Anlagen mit identischen internen IP-Adressen verbunden werden, ohne deren Konfiguration ändern zu müssen.
• Kann in ein bestehendes Netzwerk integriert werden – im Bridge-Betrieb kontrolliert er die Kommunikation, ohne die IP-Adressen von PLCs, HMIs und anderen Geräten zu ändern.
• Bietet einen Überblick über angeschlossene Geräte – die Funktion Asset Discovery & Inventory hilft bei der Identifikation von Geräten im OT-Netzwerk.
• Vereinfacht die Firewall-Konfiguration – die Konfiguration erfolgt über eine Weboberfläche mit Assistenten, und Regeln können direkt aus der aufgezeichneten Kommunikation erstellt werden.
• Lässt sich an das erforderliche Schutzniveau anpassen – die Varianten NAT/FW, DPI/FW und PRO/FW sind mit identischer Hardware, aber unterschiedlichem Funktionsumfang erhältlich.

Varianten des Anybus Defender 6004

Der Anybus Defender 6004 ist in drei Varianten mit identischer Hardware, aber unterschiedlichem Umfang an Sicherheits- und Netzwerkfunktionen erhältlich:

• NAT/FW – grundlegender Schutz zur Netzwerktrennung, Steuerung der Kommunikation und IP-Adressübersetzung,
• DPI/FW – alle Funktionen von NAT/FW + Kontrolle der industriellen Kommunikation, IPS, Schutz anfälliger Geräte ohne erforderliche Aktualisierung und VPN,
• PRO/FW – alle Funktionen von DPI/FW + erweitertes Routing, Netzwerkverkehrssteuerung und Hochverfügbarkeit.

Vergleich der Anybus Defender Varianten

Anybus Defender 6004 NAT/FW

Die Variante NAT/FW ist für die Trennung von Maschinen und Produktionsnetzwerken, die Steuerung zulässiger Kommunikation und die Lösung von IP-Adresskonflikten vorgesehen. Dank der drei separat konfigurierbaren LAN-Ports können mit einem einzigen Defender mehrere physische Netzwerksegmente voneinander getrennt werden.

Sie umfasst eine Stateful Firewall, NAT, transparenten Bridge-Betrieb, Zertifikatsverwaltung, Asset Discovery & Inventory sowie Unterstützung für die zentrale Verwaltung.

Typische Anwendungen sind die Trennung mehrerer Maschinen oder Produktionszellen vom übergeordneten Netzwerk, die Erstellung einer kontrollierten Verbindung zwischen OT und IT oder der Anschluss mehrerer Anlagen mit identischen oder sich überschneidenden IP-Adressen.

Anybus Defender 6004 DPI/FW

Die Variante DPI/FW enthält alle Funktionen von NAT/FW und erweitert diese um die detaillierte Kontrolle der industriellen Protokolle EtherNet/IP CIP, Siemens TCP/IP und Modbus. Die Firewall bewertet damit nicht nur IP-Adressen und Ports, sondern kann auch die industrielle Kommunikation selbst kontrollieren.

Der integrierte Datenverkehrsanalysator mit automatischer Lernfunktion hilft dabei, die verwendete industrielle Kommunikation zu erkennen und die Erstellung entsprechender Regeln zu vereinfachen. Die IPS-Systeme Snort und Suricata können bekannte Bedrohungen erkennen und beispielsweise ältere PLCs, HMIs und andere anfällige Geräte schützen, ohne dass ein Patch direkt auf dem Gerät installiert werden muss (Virtual Patching).

DPI/FW unterstützt außerdem Remote-VPN-Zugriff, sichere VPN-Tunnel über WireGuard, OpenSSL und IPsec, Benutzerauthentifizierung über RADIUS und LDAP / Active Directory, DHCP-Server und Weiterleitung von DHCP-Anfragen sowie zeitgesteuerte Regeln.

Die Variante DPI/FW eignet sich für Anwendungen, bei denen Netzwerktrennung und normale Kommunikationsfilterung allein nicht ausreichen und zusätzlich eine detailliertere Kontrolle des industriellen Datenverkehrs, der Schutz anfälliger Geräte oder ein sicherer Fernzugriff erforderlich sind.

Anybus Defender 6004 PRO/FW

Die Variante PRO/FW enthält alle Funktionen von DPI/FW und erweitert diese um erweitertes Routing, Netzwerkverkehrssteuerung und Hochverfügbarkeit.

Sie unterstützt die Routing-Protokolle RIPv1, RIPv2 und BGPv4, Load Balancing, Multi-WAN und Traffic Shaping. Dadurch lassen sich Datenwege, die Nutzung mehrerer Netzwerkverbindungen, Bandbreite und Priorität des Netzwerkverkehrs steuern.

Zur Variante PRO/FW gehört außerdem ein Captive Portal, mit dem eine Benutzeranmeldung verlangt werden kann, bevor der Zugriff auf das geschützte Netzwerk freigegeben wird.

Zwei Geräte können im Active-Standby-Hochverfügbarkeitsbetrieb eingesetzt werden. Fällt die aktive Einheit aus, kann der Backup-Defender ihre Funktion übernehmen und so das Risiko einer Unterbrechung wichtiger Netzwerkkommunikation reduzieren.

Die Variante PRO/FW eignet sich für größere Produktionsnetzwerke, Anwendungen mit mehreren Netzwerkverbindungen und Umgebungen mit höheren Anforderungen an Verfügbarkeit, Routing und Netzwerkverkehrssteuerung.

Sie wissen nicht, welcher Defender der richtige ist?

Beschreiben Sie uns Ihr Netzwerk und was Sie absichern möchten. Wir empfehlen Ihnen das passende Modell und die passende Variante.

Defender-Auswahl besprechen

Trennung mehrerer physischer und logischer Netzwerke

Der Anybus Defender 6004 ist mit einem Gigabit-WAN-Port und drei Gigabit-LAN-Ports ausgestattet. Die drei separat konfigurierbaren LAN-Ports ermöglichen es, mehrere Maschinen, Produktionszellen oder andere Netzwerksegmente anzuschließen und voneinander zu trennen, ohne dass ein zusätzlicher Router oder eine weitere Firewall erforderlich ist.

Für jede Schnittstelle können eigene Kommunikationsregeln festgelegt werden. Einzelne Bereiche der Anlage können dadurch nur im zulässigen Umfang mit dem übergeordneten Netzwerk oder miteinander kommunizieren. Die VLAN-Unterstützung ermöglicht die Erstellung zusätzlicher logisch getrennter Netzwerke auf den physischen Schnittstellen.

Der Defender 6004 eignet sich daher beispielsweise zur Trennung mehrerer Produktionszellen, Servicenetze, Datenerfassungssysteme oder anderer Bereiche der OT-Infrastruktur. Für geeignete Anwendungen kann außerdem einer der LAN-Ports als zweiter WAN-Port konfiguriert werden.

Firewall, die nur die erforderliche Kommunikation zulässt

Die gesamte Kommunikation zwischen den angeschlossenen Netzwerken läuft über die Stateful Firewall. Der Defender arbeitet nach dem Prinzip „Was nicht erlaubt ist, ist verboten“. Netzwerkkommunikation wird daher blockiert, sofern sie nicht ausdrücklich durch konfigurierte Regeln freigegeben wurde.

So kann beispielsweise festgelegt werden, dass eine PLC nur mit einem bestimmten Service-PC kommunizieren darf, Produktionsdaten einem SCADA- oder MES-System zur Verfügung gestellt werden und gleichzeitig der Zugriff auf andere Bereiche des Produktionsnetzwerks verhindert wird. Regeln können für einzelne Schnittstellen oder als gemeinsame Regeln für mehrere Schnittstellen konfiguriert werden.

Zwei Anschlussarten

Bridge – ohne Änderung der IP-Adressen

Im Bridge-Betrieb kann der Defender in eine bestehende Netzwerkverbindung integriert werden, ohne die IP-Adressen der angeschlossenen Geräte zu ändern. PLCs, HMIs, Roboter, Antriebe und andere Geräte behalten ihre bisherigen Einstellungen, während ihre Kommunikation anschließend über die Firewall läuft.

Diese Anschlussart eignet sich insbesondere zur nachträglichen Absicherung einer bereits betriebenen Maschine oder Produktionslinie, bei der eine Änderung der Netzwerkkonfiguration einen aufwendigen Eingriff oder eine Produktionsunterbrechung bedeuten würde.

Gateway – Netzwerktrennung und NAT

Im Gateway-Betrieb arbeitet der Defender als Router zwischen getrennten Netzwerken. Die einzelnen Segmente können unterschiedliche IP-Adressbereiche verwenden, und ihre Kommunikation wird mithilfe von Routing, NAT und Firewall-Regeln gesteuert.

NAT, also Network Address Translation, ermöglicht es, die ursprünglichen IP-Adressen innerhalb der Maschine beizubehalten und im übergeordneten Netzwerk über übersetzte Adressen mit den Geräten zu kommunizieren. Dies ist besonders beim Anschluss mehrerer identischer Maschinen mit gleicher interner IP-Adressierung hilfreich.

Überblick über Geräte im OT-Netzwerk

Die Funktion Asset Discovery & Inventory erkennt Geräte in den angeschlossenen Netzwerken und kann je nach verfügbaren Informationen beispielsweise Hersteller, Typ, Softwareversion, Update-Stand oder Seriennummer ermitteln.

Damit hilft sie, einen Überblick über die tatsächlich angeschlossenen Geräte zu erstellen und unbekannte oder unerwartete Komponenten im Netzwerk zu erkennen. Das Ergebnis enthält außerdem eine Bewertung der Identifikationsgenauigkeit. Die Funktion ist in allen Varianten des Defender 6004 verfügbar.

Weboberfläche und Diagnose

Die Konfiguration erfolgt direkt im Webbrowser über die integrierte Weboberfläche. Für gängige Anschlussarten und die Konfiguration von Netzwerk- und Sicherheitsfunktionen stehen Assistenten zur Verfügung.

Regeln können außerdem direkt aus der in den Firewall-Logs aufgezeichneten Kommunikation erstellt werden. Die Funktion One-Click Easy Rule erleichtert damit die Erstellung der für den Anlagenbetrieb erforderlichen Regeln. Zusätzlich stehen gemeinsame Regeln zur Verfügung, die über mehrere Schnittstellen hinweg angewendet werden können.

Diagnosewerkzeuge und Werkzeuge zur Analyse des Netzwerkverkehrs sind ebenfalls enthalten. Für die Integration in übergeordnete Systeme steht eine REST API zur Verfügung. Für Wartungsarbeiten ist außerdem der Zugriff auf die CLI über SSH oder die lokale Konsole möglich. Mehrere Geräte können optional über die zentrale Anybus Cybersecurity Console verwaltet werden.

Online-Dokumentation

Für die Konfiguration und Nutzung der Funktionen des Anybus Defender steht die Online-Dokumentation des Herstellers zur Verfügung. Sie enthält Informationen zu Installation, Firewall-Konfiguration, NAT, DPI, VPN, Routing und weiteren Funktionen je nach Modell und Variante.

Anybus Defender Online-Dokumentation öffnen →