Anybus Defender 4002 - Typ licence: NAT/FW

Anybus Defender 4002

Anybus Defender 4002 je priemyselný firewall na oddelenie a zabezpečenie strojov, výrobných liniek a ďalších častí OT siete. Pomáha obmedziť nežiaducu komunikáciu, riešiť konflikty IP adries a chrániť pripojené zariadenia pri komunikácii s nadradenou výrobnou alebo podnikovou sieťou. Podľa zvoleného variantu ponúka aj kontrolu priemyselných protokolov, ochranu zraniteľných zariadení bez nutnosti ich aktualizácie, VPN a pokročilé sieťové funkcie.

Prečo zvoliť Anybus Defender 4002?

• Znižuje riziko odstávky výroby – oddelením strojov a výrobných sietí obmedzuje šírenie problémov a kybernetických hrozieb do ďalších častí prevádzky.
• Povolí iba potrebnú komunikáciu – stavový firewall riadi komunikáciu podľa nastavených pravidiel a nepovolené spojenia blokuje.
• Uľahčuje pripojenie rovnakých strojov – pomocou NAT možno pripojiť viac technológií s rovnakými vnútornými IP adresami bez zmeny ich nastavenia.
• Možno ho doplniť do existujúcej siete – v zapojení bridge kontroluje komunikáciu bez zmeny IP adries PLC, HMI a ďalších zariadení.
• Poskytuje prehľad o pripojených zariadeniach – funkcia Asset Discovery & Inventory pomáha identifikovať zariadenia v OT sieti.
• Zjednodušuje nastavenie a diagnostiku – konfigurácia prebieha cez webové rozhranie so sprievodcami, diagnostickými nástrojmi a možnosťou vytvárať pravidlá priamo z firewallových logov.
• Možno ho prispôsobiť požadovanej úrovni ochrany – k dispozícii sú varianty NAT/FW, DPI/FW a PRO/FW s rovnakým hardvérom, ale rozdielnym rozsahom funkcií.

Varianty Anybus Defender 4002

Anybus Defender 4002 sa dodáva v troch variantoch s rovnakým hardvérom, ale odlišným rozsahom bezpečnostných a sieťových funkcií:

• NAT/FW – základná ochrana na oddelenie sietí, riadenie komunikácie a preklad IP adries,
• DPI/FW – všetky funkcie NAT/FW + kontrola priemyselnej komunikácie, IPS, ochrana zraniteľných zariadení bez nutnosti ich aktualizácie a VPN,
• PRO/FW – všetky funkcie DPI/FW + pokročilé smerovanie, riadenie sieťovej prevádzky a vysoká dostupnosť.

Porovnanie variantov Anybus Defender

Anybus Defender 4002 NAT/FW

Variant NAT/FW je určený na oddelenie strojov a sieťových segmentov, obmedzenie prístupu a riešenie konfliktov IP adries.

Obsahuje stavový firewall, NAT, zapojenie bridge, správu certifikátov, Asset Discovery & Inventory a podporu centrálnej správy. Je vhodný pre aplikácie, kde je potrebné presne určiť, ktoré zariadenia a služby môžu medzi jednotlivými sieťami komunikovať.

Typickým použitím je zabezpečenie samostatného stroja, oddelenie výrobnej a podnikovej siete alebo pripojenie viacerých rovnakých strojov s rovnakou vnútornou IP adresáciou.

Anybus Defender 4002 DPI/FW

Variant DPI/FW obsahuje všetky funkcie NAT/FW a rozširuje ich o detailnú kontrolu priemyselných protokolov EtherNet/IP CIP, Siemens TCP/IP a Modbus. Firewall tak nevyhodnocuje iba IP adresy a porty, ale môže kontrolovať aj samotnú priemyselnú komunikáciu.

Integrovaný analyzátor prevádzky s funkciou automatického učenia pomáha zistiť používanú priemyselnú komunikáciu a zjednodušuje vytvorenie pravidiel. Systémy IPS Snort a Suricata umožňujú detegovať známe hrozby a chrániť napríklad staršie PLC, HMI a ďalšie zraniteľné zariadenia bez nutnosti inštalovať opravu priamo do zariadenia (Virtual Patching).

DPI/FW podporuje aj vzdialené VPN pripojenie, zabezpečené VPN tunely pomocou WireGuard, OpenSSL a IPsec, overovanie používateľov cez RADIUS a LDAP / Active Directory, DHCP server a preposielanie DHCP požiadaviek a časové plánovanie pravidiel.

Variant DPI/FW je vhodný tam, kde nestačí iba oddelenie sietí a bežné filtrovanie komunikácie a je potrebná aj podrobnejšia kontrola priemyselnej prevádzky, ochrana zraniteľných zariadení alebo zabezpečený vzdialený prístup.

Anybus Defender 4002 PRO/FW

Variant PRO/FW obsahuje všetky funkcie DPI/FW a rozširuje ich o pokročilé smerovanie, riadenie sieťovej prevádzky a vysokú dostupnosť.

Podporuje smerovacie protokoly RIPv1, RIPv2 a BGPv4, Load Balancing, Multi-WAN a Traffic Shaping. Umožňuje tak riadiť dátové cesty, využitie viacerých sieťových pripojení, prenosovú kapacitu a prioritu sieťovej prevádzky.

Súčasťou variantu PRO/FW je aj Captive Portal, ktorý umožňuje vyžadovať prihlásenie používateľa pred povolením prístupu do chránenej siete.

Dve zariadenia možno zapojiť v režime vysokej dostupnosti. Pri poruche aktívnej jednotky môže jej funkciu prevziať záložný Defender, čím sa znižuje riziko prerušenia sieťového spojenia.

Variant PRO/FW je vhodný pre dôležité výrobné siete, prepojenie vzdialených lokalít a aplikácie s vyššími požiadavkami na dostupnosť, smerovanie a riadenie sieťovej prevádzky.

Neviete, ktorý Defender zvoliť?

Opíšte nám svoju sieť a čo potrebujete zabezpečiť. Odporučíme vám vhodný model aj variant.

Konzultovať výber Defenderu

Zapojenie a ochrana sieťovej komunikácie

Anybus Defender 4002 sa zapája medzi chránenú sieť stroja a nadradenú výrobnú, podnikovú alebo inú sieť. Je vybavený jedným gigabitovým portom WAN a jedným gigabitovým portom LAN. Všetka komunikácia medzi oboma stranami prechádza cez firewall, ktorý ju vyhodnocuje podľa nastavených pravidiel.

Firewall používa princíp „čo nie je povolené, je zakázané“. Možno tak napríklad povoliť komunikáciu PLC iba s konkrétnym servisným počítačom, systémom SCADA alebo serverom na zber dát a ostatné spojenia zablokovať.

Dva spôsoby zapojenia

Bridge – bez zmeny IP adries

Pri zapojení typu bridge možno Defender vložiť do existujúcej siete bez zmeny IP adries pripojených zariadení. PLC, HMI, roboty alebo pohony si ponechajú pôvodné nastavenie, ale ich komunikácia s nadradenou sieťou začne prechádzať cez firewall.

Tento spôsob je vhodný najmä pri dodatočnom zabezpečení už prevádzkovaného stroja alebo výrobnej linky.

Gateway – oddelenie sietí a využitie NAT

Pri zapojení typu gateway pracuje Defender ako router medzi sieťou stroja a nadradenou sieťou. Obe strany môžu používať rozdielne rozsahy IP adries a komunikácia medzi nimi sa riadi pomocou smerovania, NAT a pravidiel firewallu.

NAT, teda preklad sieťových adries, umožňuje ponechať pôvodné adresy vo vnútri stroja a v nadradenej sieti komunikovať so zariadeniami pomocou preložených adries. To sa hodí najmä pri pripájaní viacerých rovnakých strojov, ktoré majú rovnakú vnútornú IP adresáciu.

Rozdelenie siete pomocou VLAN

Podpora VLAN umožňuje rozdeliť komunikáciu do viacerých logicky oddelených sietí aj pri použití iba dvoch fyzických ethernetových portov. Jednotlivé stroje, technológie alebo skupiny zariadení tak môžu mať vlastné sieťové pravidlá a navzájom komunikovať iba v povolenom rozsahu.

Prehľad o zariadeniach v OT sieti

Funkcia Asset Discovery & Inventory vyhľadáva zariadenia v pripojenej sieti a podľa dostupných údajov môže zistiť napríklad ich výrobcu, typ, verziu softvéru, úroveň aktualizácií alebo sériové číslo.

Pomáha tak vytvoriť prehľad o pripojených zariadeniach a odhaliť neznáme alebo neočakávané prvky v sieti. Funkcia je súčasťou všetkých variantov Defenderu 4002.

Webové rozhranie a diagnostika

Konfigurácia prebieha cez integrované webové rozhranie priamo v internetovom prehliadači. K dispozícii sú sprievodcovia pre bežné spôsoby zapojenia a nastavenie sieťových a bezpečnostných funkcií.

Pravidlá firewallu možno vytvárať aj priamo z komunikácie zaznamenanej v logu. Súčasťou sú diagnostické nástroje, správa certifikátov a systémové záznamy. Zariadenie podporuje aj upozornenia prostredníctvom e-mailu, Syslogu, Telegram Messengeru a služby Pushover.

Na integráciu do nadradených systémov je dostupné REST API. Viac zariadení možno voliteľne spravovať pomocou centrálnej Anybus Cybersecurity Console.

Online dokumentácia

Na nastavenie a prácu s funkciami Anybus Defender je k dispozícii online dokumentácia výrobcu. Obsahuje informácie k inštalácii, konfigurácii firewallu, NAT, DPI, VPN, smerovaniu a ďalším funkciám podľa konkrétneho modelu a variantu.

Otvoriť online dokumentáciu Anybus Defender →