Comment séparer l'IT et l'OT avec des VLAN et des listes d'accès ?

Utilisez des VLAN pour séparer les réseaux et un pare-feu, pas seulement des listes d'accès de commutateur, pour contrôler ce qui passe de l'un à l'autre. Placez les automates de production, les IHM et les serveurs SCADA dans leurs propres VLAN, installez un pare-feu entre eux et le réseau bureautique et ajoutez une petite DMZ pour les systèmes dont les deux côtés ont besoin, comme une copie de l'historian ou une passerelle d'accès distant. Écrivez les règles sous forme de liste d'autorisations : quel hôte du bureau peut atteindre quel hôte OTOT: operational technology (technologies opérationnelles). Les ordinateurs qui pilotent les machines, les lignes de production, les bâtiments et les réseaux d'eau ou d'énergie., sur quel port, et rien d'autre ; refusez et journalisez le reste. Les listes d'accès des commutateurs servent à une séparation simple à l'intérieur de l'OT, mais elles ne suivent pas l'état des connexions et deviennent vite sources d'erreurs à grande échelle. Préparez le changement avec l'ingénieur OT et une fenêtre de maintenance, car une dépendance oubliée peut arrêter une ligne. Surveillez ensuite la frontière : à partir de l'offre Pro, NetSenX signale le trafic qui franchit les niveaux du réseau de l'usine, depuis un port SPANSPAN: switch port analyser (port miroir). Un réglage du commutateur qui envoie une copie du trafic vers un port, où un capteur peut l'observer. ou TAPTAP: test access point. Un petit boîtier qui copie le trafic d'un câble réseau pour un capteur., sans sonder aucun équipement OT.

← Les 45 questions sur Zero trust, identité et segmentationTous les thèmes