Anybus Defender 6004 - Typ licence: NAT/FW

Anybus Defender 6004

Anybus Defender 6004 je priemyselný firewall na oddelenie a zabezpečenie strojov, výrobných liniek a ďalších častí OT siete. Pomáha obmedziť nežiaducu komunikáciu, riešiť konflikty IP adries a chrániť pripojené zariadenia pri komunikácii s výrobnou alebo podnikovou sieťou. Podľa zvoleného variantu ponúka aj kontrolu priemyselných protokolov, ochranu zraniteľných zariadení bez nutnosti ich aktualizácie, VPN a pokročilé sieťové funkcie.

Prečo zvoliť Anybus Defender 6004?

• Prepája až štyri fyzické sieťové segmenty – 1× WAN a 3× samostatne konfigurovateľné LAN porty umožňujú oddeliť viac častí technológie jedným zariadením.
• Znižuje riziko šírenia problémov v sieti – jednotlivé stroje, linky alebo technologické celky možno navzájom oddeliť a povoliť medzi nimi iba potrebnú komunikáciu.
• Uľahčuje pripojenie rovnakých strojov – pomocou NAT možno zapojiť technológie s rovnakými vnútornými IP adresami bez zmeny ich nastavenia.
• Možno ho doplniť do existujúcej siete – v zapojení bridge kontroluje komunikáciu bez zmeny IP adries PLC, HMI a ďalších zariadení.
• Poskytuje prehľad o pripojených zariadeniach – funkcia Asset Discovery & Inventory pomáha identifikovať zariadenia v OT sieti.
• Zjednodušuje nastavenie firewallu – konfigurácia prebieha cez webové rozhranie so sprievodcami a pravidlá možno vytvárať priamo zo zaznamenanej komunikácie.
• Možno ho prispôsobiť požadovanej úrovni ochrany – k dispozícii sú varianty NAT/FW, DPI/FW a PRO/FW s rovnakým hardvérom, ale rozdielnym rozsahom funkcií.

Varianty Anybus Defender 6004

Anybus Defender 6004 sa dodáva v troch variantoch s rovnakým hardvérom, ale odlišným rozsahom bezpečnostných a sieťových funkcií:

• NAT/FW – základná ochrana na oddelenie sietí, riadenie komunikácie a preklad IP adries,
• DPI/FW – všetky funkcie NAT/FW + kontrola priemyselnej komunikácie, IPS, ochrana zraniteľných zariadení bez nutnosti ich aktualizácie a VPN,
• PRO/FW – všetky funkcie DPI/FW + pokročilé smerovanie, riadenie sieťovej prevádzky a vysoká dostupnosť.

Porovnanie variantov Anybus Defender

Anybus Defender 6004 NAT/FW

Variant NAT/FW je určený na oddelenie strojov a výrobných sietí, riadenie povolenej komunikácie a riešenie konfliktov IP adries. Vďaka trom samostatne konfigurovateľným portom LAN možno jedným Defenderom oddeliť viac fyzických sieťových segmentov.

Obsahuje stavový firewall, NAT, transparentné zapojenie bridge, správu certifikátov, Asset Discovery & Inventory a podporu centrálnej správy.

Typickým použitím je oddelenie viacerých strojov alebo výrobných buniek od nadradenej siete, vytvorenie riadeného prepojenia medzi OT a IT alebo pripojenie viacerých technológií s rovnakými či prekrývajúcimi sa IP adresami.

Anybus Defender 6004 DPI/FW

Variant DPI/FW obsahuje všetky funkcie NAT/FW a rozširuje ich o detailnú kontrolu priemyselných protokolov EtherNet/IP CIP, Siemens TCP/IP a Modbus. Firewall tak nevyhodnocuje iba IP adresy a porty, ale môže kontrolovať aj samotnú priemyselnú komunikáciu.

Integrovaný analyzátor prevádzky s funkciou automatického učenia pomáha zistiť používanú priemyselnú komunikáciu a zjednodušuje vytváranie zodpovedajúcich pravidiel. Systémy IPS Snort a Suricata umožňujú detegovať známe hrozby a chrániť napríklad staršie PLC, HMI a ďalšie zraniteľné zariadenia bez nutnosti inštalovať opravu priamo do zariadenia (Virtual Patching).

DPI/FW podporuje aj vzdialené VPN pripojenie, zabezpečené VPN tunely pomocou WireGuard, OpenSSL a IPsec, overovanie používateľov cez RADIUS a LDAP / Active Directory, DHCP server a preposielanie DHCP požiadaviek a časové plánovanie pravidiel.

Variant DPI/FW je vhodný tam, kde nestačí iba oddelenie sietí a bežné filtrovanie komunikácie a je potrebná aj podrobnejšia kontrola priemyselnej prevádzky, ochrana zraniteľných zariadení alebo zabezpečený vzdialený prístup.

Anybus Defender 6004 PRO/FW

Variant PRO/FW obsahuje všetky funkcie DPI/FW a rozširuje ich o pokročilé smerovanie, riadenie sieťovej prevádzky a vysokú dostupnosť.

Podporuje smerovacie protokoly RIPv1, RIPv2 a BGPv4, Load Balancing, Multi-WAN a Traffic Shaping. Umožňuje tak riadiť dátové cesty, využitie viacerých sieťových pripojení, prenosovú kapacitu a prioritu sieťovej prevádzky.

Súčasťou variantu PRO/FW je aj Captive Portal, ktorý umožňuje vyžadovať prihlásenie používateľa pred povolením prístupu do chránenej siete.

Dve zariadenia možno zapojiť v režime vysokej dostupnosti active-standby. Pri poruche aktívnej jednotky môže jej funkciu prevziať záložný Defender, čím sa znižuje riziko prerušenia dôležitej sieťovej komunikácie.

Variant PRO/FW je vhodný pre rozsiahlejšie výrobné siete, aplikácie s viacerými sieťovými pripojeniami a prostredia s vyššími požiadavkami na dostupnosť, smerovanie a riadenie sieťovej prevádzky.

Neviete, ktorý Defender zvoliť?

Opíšte nám svoju sieť a čo potrebujete zabezpečiť. Odporučíme vám vhodný model aj variant.

Konzultovať výber Defenderu

Oddelenie viacerých fyzických aj logických sietí

Anybus Defender 6004 je vybavený jedným gigabitovým portom WAN a tromi gigabitovými portmi LAN. Tri samostatne konfigurovateľné porty LAN umožňujú pripojiť a oddeliť niekoľko strojov, výrobných buniek alebo ďalších sieťových segmentov bez nutnosti ďalšieho routera alebo firewallu.

Každému rozhraniu možno nastaviť vlastné pravidlá komunikácie. Jednotlivé časti technológie tak môžu komunikovať s nadradenou sieťou alebo medzi sebou iba v povolenom rozsahu. Podpora VLAN umožňuje na fyzických rozhraniach vytvoriť ďalšie logicky oddelené siete.

Defender 6004 je preto vhodný napríklad na oddelenie viacerých výrobných buniek, servisnej siete, zberu dát alebo ďalších častí OT infraštruktúry. Jeden z LAN portov možno pre vhodné aplikácie nakonfigurovať aj ako druhý port WAN.

Firewall, ktorý povolí iba potrebnú komunikáciu

Všetka komunikácia medzi pripojenými sieťami prechádza cez stavový firewall. Defender používa princíp „čo nie je povolené, je zakázané“, takže sieťová komunikácia je blokovaná, pokiaľ nie je výslovne povolená nastavenými pravidlami.

Možno napríklad povoliť komunikáciu PLC iba s konkrétnym servisným počítačom, sprístupniť výrobné dáta systému SCADA alebo MES a zároveň zabrániť prístupu do ostatných častí výrobnej siete. Pravidlá možno nastaviť pre jednotlivé rozhrania alebo ako spoločné pravidlá platné pre viac rozhraní.

Dva spôsoby zapojenia

Bridge – bez zmeny IP adries

Pri zapojení typu bridge možno Defender vložiť do existujúceho sieťového prepojenia bez zmeny IP adries pripojených zariadení. PLC, HMI, roboty, pohony alebo ďalšie prvky si ponechajú pôvodné nastavenie, ale ich komunikácia začne prechádzať cez firewall.

Tento spôsob je vhodný najmä pri dodatočnom zabezpečení už prevádzkovaného stroja alebo výrobnej linky, kde by zmena sieťového nastavenia znamenala zložitý zásah alebo odstávku.

Gateway – oddelenie sietí a využitie NAT

Pri zapojení typu gateway pracuje Defender ako router medzi oddelenými sieťami. Jednotlivé segmenty môžu používať rozdielne rozsahy IP adries a ich komunikácia sa riadi pomocou smerovania, NAT a pravidiel firewallu.

NAT, teda preklad sieťových adries, umožňuje ponechať pôvodné IP adresy vo vnútri stroja a v nadradenej sieti komunikovať so zariadeniami pomocou preložených adries. To je vhodné najmä pri pripájaní viacerých rovnakých strojov s rovnakou vnútornou adresáciou.

Prehľad o zariadeniach v OT sieti

Funkcia Asset Discovery & Inventory vyhľadáva zariadenia v pripojených sieťach a podľa dostupných údajov môže zistiť napríklad ich výrobcu, typ, verziu softvéru, úroveň aktualizácií alebo sériové číslo.

Pomáha tak vytvoriť prehľad o skutočne pripojených zariadeniach a odhaliť neznáme alebo neočakávané prvky v sieti. Súčasťou výsledku je aj hodnotenie presnosti identifikácie. Funkcia je dostupná vo všetkých variantoch Defender 6004.

Webové rozhranie a diagnostika

Konfigurácia prebieha cez integrované webové rozhranie priamo v internetovom prehliadači. K dispozícii sú sprievodcovia pre bežné spôsoby zapojenia a nastavenie sieťových a bezpečnostných funkcií.

Pravidlá možno vytvárať aj priamo z komunikácie zaznamenanej vo firewallových protokoloch. Funkcia One-Click Easy Rule tak uľahčuje vytváranie pravidiel potrebných na prevádzku technológie. K dispozícii sú aj spoločné pravidlá použiteľné naprieč viacerými rozhraniami.

Súčasťou sú diagnostické nástroje a nástroje na analýzu sieťovej prevádzky. Na integráciu do nadradených systémov je dostupné REST API a na údržbu aj prístup cez CLI prostredníctvom SSH alebo miestnej konzoly. Viac zariadení možno voliteľne spravovať pomocou centrálnej Anybus Cybersecurity Console.

Online dokumentácia

Na nastavenie a prácu s funkciami Anybus Defender je k dispozícii online dokumentácia výrobcu. Obsahuje informácie k inštalácii, konfigurácii firewallu, NAT, DPI, VPN, smerovaniu a ďalším funkciám podľa konkrétneho modelu a variantu.

Otvoriť online dokumentáciu Anybus Defender →