Come separo IT e OT con VLAN e liste di accesso?

Usi le VLAN per separare le reti e un firewall, non solo le liste di accesso degli switch, per controllare ciò che passa tra loro. Metta controllori di produzione, HMI e server SCADA in VLAN dedicate, ponga un firewall tra loro e la rete d'ufficio e aggiunga una piccola DMZ per i sistemi che servono a entrambi i lati, come una copia dell'historian o un gateway di accesso remoto. Scriva le regole come lista di autorizzazioni: quale host d'ufficio può raggiungere quale host OTOT: operational technology (tecnologia operativa). I computer che controllano macchine, linee di produzione, edifici e reti di acqua o energia., su quale porta, e nient'altro; il resto va negato e registrato. Le liste di accesso degli switch servono per separazioni semplici dentro l'OT, ma non tengono traccia dello stato delle connessioni ed è facile sbagliare su larga scala. Pianifichi la modifica con il tecnico OT e in una finestra di manutenzione, perché una dipendenza trascurata può fermare una linea. Poi osservi il confine: dal piano Pro NetSenX segnala il traffico che attraversa i livelli della rete di stabilimento, da una porta SPANSPAN: switch port analyser (porta mirror). Un'impostazione dello switch che invia una copia del traffico a una porta, dove un sensore può osservarlo. o TAPTAP: test access point. Un piccolo dispositivo che copia il traffico di un cavo di rete per un sensore., senza sondare alcun dispositivo OT.

Questa risposta compare anche, con più contesto, qui: Zero trust, identità e segmentazione

← Tutte le 45 domande su Zero trust, identità e segmentazioneTutti i temi