Anybus Defender 4002 - Typ licence: NAT/FW

Anybus Defender 4002

Anybus Defender 4002 je průmyslový firewall pro oddělení a zabezpečení strojů, výrobních linek a dalších částí OT sítě. Pomáhá omezit nežádoucí komunikaci, řešit konflikty IP adres a chránit připojená zařízení při komunikaci s nadřazenou výrobní nebo podnikovou sítí. Podle zvolené varianty nabízí také kontrolu průmyslových protokolů, ochranu zranitelných zařízení bez nutnosti jejich aktualizace, VPN a pokročilé síťové funkce.

Proč zvolit Anybus Defender 4002?

• Snižuje riziko odstávky výroby – oddělením strojů a výrobních sítí omezuje šíření problémů a kybernetických hrozeb do dalších částí provozu.
• Povolí pouze potřebnou komunikaci – stavový firewall řídí komunikaci podle nastavených pravidel a nepovolená spojení blokuje.
• Usnadňuje připojení stejných strojů – pomocí NAT lze připojit více technologií se shodnými vnitřními IP adresami bez změny jejich nastavení.
• Lze jej doplnit do stávající sítě – v zapojení bridge kontroluje komunikaci bez změny IP adres PLC, HMI a dalších zařízení.
• Poskytuje přehled o připojených zařízeních – funkce Asset Discovery & Inventory pomáhá identifikovat zařízení v OT síti.
• Zjednodušuje nastavení a diagnostiku – konfigurace probíhá přes webové rozhraní s průvodci, diagnostickými nástroji a možností vytvářet pravidla přímo z firewallových logů.
• Lze přizpůsobit požadované úrovni ochrany – k dispozici jsou varianty NAT/FW, DPI/FW a PRO/FW se stejným hardwarem, ale rozdílnými funkcemi.

Varianty Anybus Defender 4002

Anybus Defender 4002 se dodává ve třech variantách se stejným hardwarem, ale odlišným rozsahem bezpečnostních a síťových funkcí:

• NAT/FW – základní ochrana pro oddělení sítí, řízení komunikace a překlad IP adres,
• DPI/FW – vše z NAT/FW + kontrola průmyslové komunikace, IPS, ochrana zranitelných zařízení bez nutnosti jejich aktualizace a VPN,
• PRO/FW – vše z DPI/FW + pokročilé směrování, řízení síťového provozu a vysoká dostupnost.

Porovnání variant Anybus Defender

Anybus Defender 4002 NAT/FW

Varianta NAT/FW je určena pro oddělení strojů a síťových segmentů, omezení přístupu a řešení konfliktů IP adres.

Obsahuje stavový firewall, NAT, zapojení bridge, správu certifikátů, Asset Discovery & Inventory a podporu centrální správy. Je vhodná pro aplikace, kde je potřeba přesně určit, která zařízení a služby mohou mezi jednotlivými sítěmi komunikovat.

Typickým použitím je zabezpečení samostatného stroje, oddělení výrobní a podnikové sítě nebo připojení několika stejných strojů se shodnou vnitřní adresací.

Anybus Defender 4002 DPI/FW

Varianta DPI/FW obsahuje všechny funkce NAT/FW a rozšiřuje je o detailní kontrolu průmyslových protokolů EtherNet/IP CIP, Siemens TCP/IP a Modbus. Firewall tak nevyhodnocuje pouze IP adresy a porty, ale může kontrolovat také samotnou průmyslovou komunikaci.

Integrovaný analyzátor provozu s funkcí automatického učení pomáhá zjistit používanou průmyslovou komunikaci a zjednodušuje vytvoření pravidel. Systémy IPS Snort a Suricata umožňují detekovat známé hrozby a chránit například starší PLC, HMI a další zranitelná zařízení bez nutnosti instalovat opravu přímo do zařízení (Virtual Patching).

DPI/FW podporuje také vzdálené VPN připojení, zabezpečené VPN tunely pomocí WireGuard, OpenSSL a IPsec, ověřování uživatelů přes RADIUS a LDAP / Active Directory, DHCP server a předávání DHCP požadavků a časové plánování pravidel.

Varianta DPI/FW je vhodná tam, kde nestačí pouze oddělení sítí a běžná filtrace komunikace a je potřeba také podrobnější kontrola průmyslového provozu, ochrana zranitelných zařízení nebo zabezpečený vzdálený přístup.

Anybus Defender 4002 PRO/FW

Varianta PRO/FW obsahuje všechny funkce DPI/FW a rozšiřuje je o pokročilé směrování, řízení síťového provozu a vysokou dostupnost.

Podporuje směrovací protokoly RIPv1, RIPv2 a BGPv4, Load Balancing, Multi-WAN a Traffic Shaping. Umožňuje tak řídit datové cesty, využití více síťových připojení, přenosovou kapacitu a prioritu síťového provozu.

Součástí varianty PRO/FW je také Captive Portal, který umožňuje vyžadovat přihlášení uživatele před povolením přístupu do chráněné sítě.

Dvě zařízení lze zapojit v režimu vysoké dostupnosti. Při poruše aktivní jednotky může její funkci převzít záložní Defender, čímž se snižuje riziko přerušení síťového spojení.

Varianta PRO/FW je vhodná pro důležité výrobní sítě, propojení vzdálených lokalit a aplikace s vyššími požadavky na dostupnost, směrování a řízení síťového provozu.

Nevíte, jaký Defender zvolit?

Popište nám svou síť a co potřebujete zabezpečit. Doporučíme vhodný model i variantu.

Konzultovat výběr Defenderu

Zapojení a ochrana síťové komunikace

Anybus Defender 4002 se zapojuje mezi chráněnou síť stroje a nadřazenou výrobní, podnikovou nebo jinou síť. Je vybaven jedním gigabitovým portem WAN a jedním gigabitovým portem LAN. Veškerá komunikace mezi oběma stranami prochází přes firewall, který ji vyhodnocuje podle nastavených pravidel.

Firewall používá princip „co není povoleno, je zakázáno“. Lze tak například povolit komunikaci PLC pouze s konkrétním servisním počítačem, SCADA systémem nebo serverem pro sběr dat a ostatní spojení zablokovat.

Dva způsoby zapojení

Bridge – bez změny IP adres

Při zapojení typu bridge lze Defender vložit do stávající sítě bez změny IP adres připojených zařízení. PLC, HMI, roboty nebo pohony si ponechají původní nastavení, ale jejich komunikace s nadřazenou sítí začne procházet přes firewall.

Tento způsob je vhodný zejména při dodatečném zabezpečení již provozovaného stroje nebo výrobní linky.

Gateway – oddělení sítí a využití NAT

Při zapojení typu gateway pracuje Defender jako router mezi sítí stroje a nadřazenou sítí. Obě strany mohou používat rozdílné rozsahy IP adres a komunikace mezi nimi se řídí pomocí směrování, NAT a firewallových pravidel.

NAT neboli překlad síťových adres umožňuje ponechat původní adresy uvnitř stroje a v nadřazené síti komunikovat se zařízeními pomocí přeložených adres. To se hodí především při zapojování více stejných strojů, které mají shodnou vnitřní IP adresaci.

Rozdělení sítě pomocí VLAN

Podpora VLAN umožňuje rozdělit komunikaci do více logicky oddělených sítí i při použití dvou fyzických ethernetových portů. Jednotlivé stroje, technologie nebo skupiny zařízení tak mohou mít vlastní síťová pravidla a vzájemně komunikovat pouze v povoleném rozsahu.

Přehled o zařízeních v OT síti

Funkce Asset Discovery & Inventory vyhledává zařízení v připojené síti a podle dostupných údajů může zjistit například jejich výrobce, typ, verzi softwaru, úroveň aktualizací nebo sériové číslo.

Pomáhá tak vytvořit přehled o připojených zařízeních a odhalit neznámé nebo neočekávané prvky v síti. Funkce je součástí všech variant Defenderu 4002.

Webové rozhraní a diagnostika

Konfigurace probíhá přes integrované webové rozhraní přímo v internetovém prohlížeči. K dispozici jsou průvodci pro běžné způsoby zapojení a nastavení síťových a bezpečnostních funkcí.

Firewallová pravidla lze vytvářet také přímo z komunikace zaznamenané v logu. Součástí jsou diagnostické nástroje, správa certifikátů a systémové záznamy. Zařízení podporuje také upozornění prostřednictvím e-mailu, Syslogu, Telegram Messengeru a služby Pushover.

Pro integraci do nadřazených systémů je dostupné REST API. Více zařízení lze volitelně spravovat pomocí centrální Anybus Cybersecurity Console.

Online dokumentace

Pro nastavení a práci s funkcemi Anybus Defender je k dispozici online dokumentace výrobce. Obsahuje informace k instalaci, konfiguraci firewallu, NAT, DPI, VPN, směrování a dalším funkcím podle konkrétního modelu a varianty.

Otevřít online dokumentaci Anybus Defender →