Czy sieć OT powinna być oddzielona od sieci biurowej?
Tak. Większość ataków, które zatrzymują produkcję, zaczyna się w sieci biurowej, przez e-mail, skradzione hasło albo dostęp dostawcy, a płaska sieć pozwala im dojść prosto do sterowników. Oddzielenie nie musi oznaczać fizycznej izolacji. Typowy projekt stawia zaporę między biurem a produkcją, z małą strefą zdemilitaryzowaną (DMZ) pośrodku dla systemów potrzebnych obu stronom, takich jak kopia systemu historian, serwer aktualizacji czy brama zdalnego dostępu, i bez bezpośredniego połączenia z komputera biurowego do sterownika. Zacznij od spisania połączeń, których produkcja naprawdę potrzebuje, dopuść tylko je i loguj to, co zostało odrzucone. Później sprawdzaj, czy oddzielenie działa w praktyce, bo wyjątków przybywa. Od planu Pro NetSenX zgłasza alert, gdy ruch przekracza poziomy sieci zakładu, na przykład z hosta biurowego prosto do sterownika, na podstawie kopii ruchu z portu SPANSPAN: switch port analyser (port lustrzany). Ustawienie przełącznika, które wysyła kopię ruchu na jeden port, gdzie może go obserwować sensor. lub TAPTAP: test access point. Małe urządzenie, które kopiuje ruch z kabla sieciowego dla sensora..
Czytaj dalej
Powiązane pytania
- Czym jest model Purdue i dlaczego ruch między poziomami ma znaczenie?
- Jak sprawdzić, że sieć biurowa nie sięga do sterowników na produkcji?
- Czy atak ransomware na biurowe IT może zatrzymać linię produkcyjną?
- Jak kontrolować laptopy serwisowe podłączane do sieci produkcyjnej?
- Czy zobaczymy, z którymi sterownikami łączył się laptop serwisanta?
Pojęcia użyte tutaj
- SPAN (switch port analyser (port lustrzany))
- Ustawienie przełącznika, które wysyła kopię ruchu na jeden port, gdzie może go obserwować sensor.
- TAP (test access point)
- Małe urządzenie, które kopiuje ruch z kabla sieciowego dla sensora.