Wie trenne ich IT und OT mit VLANs und Zugriffslisten?

Nutzen Sie VLANs, um die Netze zu trennen, und eine Firewall, nicht nur Switch-Zugriffslisten, um zu steuern, was zwischen ihnen fließt. Legen Sie Produktionssteuerungen, HMIs und SCADA-Server in eigene VLANs, setzen Sie eine Firewall zwischen sie und das Büronetz und ergänzen Sie eine kleine DMZ für Systeme, die beide Seiten brauchen, etwa eine Historian-Kopie oder ein Fernzugangs-Gateway. Schreiben Sie die Regeln als Freigabeliste: welcher Büro-Host welchen OTOT: Operational Technology (Betriebstechnik). Die Rechner, die Maschinen, Produktionslinien, Gebäudetechnik und Versorgungsnetze steuern.-Host auf welchem Port erreichen darf, und sonst nichts; der Rest wird abgewiesen und protokolliert. Switch-Zugriffslisten taugen für einfache Trennung innerhalb der OT, kennen aber keinen Verbindungszustand und sind in größerem Umfang fehleranfällig. Planen Sie die Änderung mit dem OT-Ingenieur und in einem Wartungsfenster, denn eine übersehene Abhängigkeit kann eine Linie stoppen. Beobachten Sie dann die Grenze: Ab dem Pro-Plan markiert NetSenX Verkehr über Ebenen des Werksnetzes hinweg, von einem SPANSPAN: Switch Port Analyzer (Spiegelport). Eine Switch-Einstellung, die eine Kopie des Verkehrs an einen Port schickt, wo ein Sensor ihn beobachten kann.- oder TAPTAP: Test Access Point. Ein kleines Gerät, das den Verkehr auf einem Netzwerkkabel für einen Sensor kopiert.-Port, ohne ein OT-Gerät abzufragen.

← Alle 45 Fragen zu Zero Trust, Identität und SegmentierungAlle Themen