Anybus Defender 6004 - Typ licence: NAT/FW

Anybus Defender 6004

Anybus Defender 6004 je průmyslový firewall pro oddělení a zabezpečení strojů, výrobních linek a dalších částí OT sítě. Pomáhá omezit nežádoucí komunikaci, řešit konflikty IP adres a chránit připojená zařízení při komunikaci s výrobní nebo podnikovou sítí. Podle zvolené varianty nabízí také kontrolu průmyslových protokolů, ochranu zranitelných zařízení bez nutnosti jejich aktualizace, VPN a pokročilé síťové funkce.

Proč zvolit Anybus Defender 6004?

• Propojuje až čtyři fyzické síťové segmenty – 1× WAN a 3× samostatně konfigurovatelné LAN porty umožňují oddělit více částí technologie jedním zařízením.
• Snižuje riziko šíření problémů v síti – jednotlivé stroje, linky nebo technologické celky lze vzájemně oddělit a povolit mezi nimi pouze potřebnou komunikaci.
• Usnadňuje připojení stejných strojů – pomocí NAT lze zapojit technologie se shodnými vnitřními IP adresami bez změny jejich nastavení.
• Lze jej doplnit do stávající sítě – v zapojení bridge kontroluje komunikaci bez změny IP adres PLC, HMI a dalších zařízení.
• Poskytuje přehled o připojených zařízeních – funkce Asset Discovery & Inventory pomáhá identifikovat zařízení v OT síti.
• Zjednodušuje nastavení firewallu – konfigurace probíhá přes webové rozhraní s průvodci a pravidla lze vytvářet přímo ze zaznamenané komunikace.
• Lze jej přizpůsobit požadované úrovni ochrany – k dispozici jsou varianty NAT/FW, DPI/FW a PRO/FW se stejným hardwarem, ale rozdílným rozsahem funkcí.

Varianty Anybus Defender 6004

Anybus Defender 6004 se dodává ve třech variantách se stejným hardwarem, ale odlišným rozsahem bezpečnostních a síťových funkcí:

• NAT/FW – základní ochrana pro oddělení sítí, řízení komunikace a překlad IP adres,
• DPI/FW – vše z NAT/FW + kontrola průmyslové komunikace, IPS, ochrana zranitelných zařízení bez nutnosti jejich aktualizace a VPN,
• PRO/FW – vše z DPI/FW + pokročilé směrování, řízení síťového provozu a vysoká dostupnost.

Porovnání variant Anybus Defender

Anybus Defender 6004 NAT/FW

Varianta NAT/FW je určena pro oddělení strojů a výrobních sítí, řízení povolené komunikace a řešení konfliktů IP adres. Díky třem samostatně konfigurovatelným portům LAN lze jedním Defenderem oddělit více fyzických síťových segmentů.

Obsahuje stavový firewall, NAT, transparentní zapojení bridge, správu certifikátů, Asset Discovery & Inventory a podporu centrální správy.

Typickým použitím je oddělení několika strojů nebo výrobních buněk od nadřazené sítě, vytvoření řízeného propojení mezi OT a IT nebo připojení více technologií se shodnou či překrývajícími se IP adresami.

Anybus Defender 6004 DPI/FW

Varianta DPI/FW obsahuje všechny funkce NAT/FW a rozšiřuje je o detailní kontrolu průmyslových protokolů EtherNet/IP CIP, Siemens TCP/IP a Modbus. Firewall tak nevyhodnocuje pouze IP adresy a porty, ale může kontrolovat také samotnou průmyslovou komunikaci.

Integrovaný analyzátor provozu s funkcí automatického učení pomáhá zjistit používanou průmyslovou komunikaci a zjednodušuje vytvoření odpovídajících pravidel. Systémy IPS Snort a Suricata umožňují detekovat známé hrozby a chránit například starší PLC, HMI a další zranitelná zařízení bez nutnosti instalovat opravu přímo do zařízení (Virtual Patching).

DPI/FW podporuje také vzdálené VPN připojení, zabezpečené VPN tunely pomocí WireGuard, OpenSSL a IPsec, ověřování uživatelů přes RADIUS a LDAP / Active Directory, DHCP server a předávání DHCP požadavků a časové plánování pravidel.

Varianta DPI/FW je vhodná tam, kde nestačí pouze oddělení sítí a běžná filtrace komunikace a je potřeba také podrobnější kontrola průmyslového provozu, ochrana zranitelných zařízení nebo zabezpečený vzdálený přístup.

Anybus Defender 6004 PRO/FW

Varianta PRO/FW obsahuje všechny funkce DPI/FW a rozšiřuje je o pokročilé směrování, řízení síťového provozu a vysokou dostupnost.

Podporuje směrovací protokoly RIPv1, RIPv2 a BGPv4, Load Balancing, Multi-WAN a Traffic Shaping. Umožňuje tak řídit datové cesty, využití více síťových připojení, přenosovou kapacitu a prioritu síťového provozu.

Součástí varianty PRO/FW je také Captive Portal, který umožňuje vyžadovat přihlášení uživatele před povolením přístupu do chráněné sítě.

Dvě zařízení lze zapojit v režimu vysoké dostupnosti active-standby. Při poruše aktivní jednotky může její funkci převzít záložní Defender, čímž se snižuje riziko přerušení důležité síťové komunikace.

Varianta PRO/FW je vhodná pro rozsáhlejší výrobní sítě, aplikace s více síťovými připojeními a prostředí s vyššími požadavky na dostupnost, směrování a řízení síťového provozu.

Nevíte, jaký Defender zvolit?

Popište nám svou síť a co potřebujete zabezpečit. Doporučíme vhodný model i variantu.

Konzultovat výběr Defenderu

Oddělení více fyzických i logických sítí

Anybus Defender 6004 je vybaven jedním gigabitovým portem WAN a třemi gigabitovými porty LAN. Tři samostatně konfigurovatelné porty LAN umožňují připojit a oddělit několik strojů, výrobních buněk nebo dalších síťových segmentů bez nutnosti dalšího routeru nebo firewallu.

Každému rozhraní lze nastavit vlastní pravidla komunikace. Jednotlivé části technologie tak mohou komunikovat s nadřazenou sítí nebo mezi sebou pouze v povoleném rozsahu. Podpora VLAN umožňuje na fyzických rozhraních vytvořit další logicky oddělené sítě.

Defender 6004 je proto vhodný například pro oddělení několika výrobních buněk, servisní sítě, sběru dat nebo dalších částí OT infrastruktury. Jeden z LAN portů lze pro vhodné aplikace také nakonfigurovat jako druhý port WAN.

Firewall, který povolí pouze potřebnou komunikaci

Veškerá komunikace mezi připojenými sítěmi prochází přes stavový firewall. Defender používá princip „co není povoleno, je zakázáno“, takže síťová komunikace je blokována, pokud není výslovně povolena nastavenými pravidly.

Lze například povolit komunikaci PLC pouze s konkrétním servisním počítačem, zpřístupnit výrobní data systému SCADA nebo MES a současně zabránit přístupu do ostatních částí výrobní sítě. Pravidla mohou být nastavena pro jednotlivá rozhraní nebo jako společná pravidla platná pro více rozhraní.

Dva způsoby zapojení

Bridge – bez změny IP adres

Při zapojení typu bridge lze Defender vložit do stávajícího síťového propojení bez změny IP adres připojených zařízení. PLC, HMI, roboty, pohony nebo další prvky si ponechají původní nastavení, ale jejich komunikace začne procházet přes firewall.

Tento způsob je vhodný zejména při dodatečném zabezpečení již provozovaného stroje nebo výrobní linky, kde by změna síťového nastavení znamenala složitý zásah nebo odstávku.

Gateway – oddělení sítí a využití NAT

Při zapojení typu gateway pracuje Defender jako router mezi oddělenými sítěmi. Jednotlivé segmenty mohou používat rozdílné rozsahy IP adres a jejich komunikace se řídí pomocí směrování, NAT a pravidel firewallu.

NAT neboli překlad síťových adres umožňuje ponechat původní IP adresy uvnitř stroje a v nadřazené síti komunikovat se zařízeními pomocí přeložených adres. To se hodí především při zapojování více stejných strojů se shodnou vnitřní adresací.

Přehled o zařízeních v OT síti

Funkce Asset Discovery & Inventory vyhledává zařízení v připojených sítích a podle dostupných údajů může zjistit například jejich výrobce, typ, verzi softwaru, úroveň aktualizací nebo sériové číslo.

Pomáhá tak vytvořit přehled o skutečně připojených zařízeních a odhalit neznámé nebo neočekávané prvky v síti. Součástí výsledku je také hodnocení přesnosti identifikace. Funkce je dostupná ve všech variantách Defenderu 6004.

Webové rozhraní a diagnostika

Konfigurace probíhá přes integrované webové rozhraní přímo v internetovém prohlížeči. K dispozici jsou průvodci pro běžné způsoby zapojení a nastavení síťových a bezpečnostních funkcí.

Pravidla lze vytvářet také přímo z komunikace zaznamenané ve firewallových protokolech. Funkce One-Click Easy Rule tak usnadňuje vytvoření pravidel potřebných pro provoz technologie. K dispozici jsou také společná pravidla použitelná napříč více rozhraními.

Součástí jsou diagnostické nástroje a nástroje pro analýzu síťového provozu. Pro integraci do nadřazených systémů je dostupné REST API a pro údržbu také přístup přes CLI prostřednictvím SSH nebo místní konzole. Více zařízení lze volitelně spravovat pomocí centrální Anybus Cybersecurity Console.

Online dokumentace

Pro nastavení a práci s funkcemi Anybus Defender je k dispozici online dokumentace výrobce. Obsahuje informace k instalaci, konfiguraci firewallu, NAT, DPI, VPN, směrování a dalším funkcím podle konkrétního modelu a varianty.

Otevřít online dokumentaci Anybus Defender →