Kullanım ömrü sona ermiş bir endüstriyel güvenlik duvarının değiştirilmesi, yalnızca marka adına değil; dağıtım modeline, protokol kapsamına, politika oluşturma yöntemine, sertifikalara ve lisans koşullarına göre alınması gereken bir karardır. Bu beş faktör, yeni sistemin mevcut ağ mimarisini koruyup korumayacağını, çalışmakta olan belirli endüstriyel cihazları koruyup korumayacağını ve ortamın uyumluluk ve bütçe gereksinimlerine uyup uymayacağını belirler. Bir tedarikçinin önerdiği yeni model, araştırma için makul bir başlangıç noktasıdır; ancak bu kontrol listesini gözden geçirme işleminin yerine geçmez.
Önemli Çıkarımlar
- Dağıtım modeli, ağın ne kadarını yeniden tasarlamanız gerektiğini belirler. IP adresi olmayan şeffaf, sıralı bir güvenlik duvarı mevcut adreslemeyi korur; yönlendirmeli bir güvenlik duvarı ise bunu değiştirir.
- Protokol desteği, bir tedarikçinin ana listesine değil, sizin ortamınıza uygun olmalıdır. Bazı tedarikçiler, belirli protokol ailelerini birbirinden ayrı ve birbirini dışlayan lisans kademeleri altında sunmaktadır; bu nedenle, teklifte tam olarak hangi SKU’nun belirtildiğini teyit edin.
- Politikanın nasıl oluşturulduğu, güvenlik duvarının neyi engellediği kadar önemlidir. Canlı trafiği izleyebilen ve makine öğrenmesini kullanarak bir politika temel şablonu oluşturabilen bir güvenlik duvarı, güncel olmayan bir ağ şemasına dayalı olarak yazılmış kuralların yol açtığı yaygın hataları önler.
- Sertifikalar sadece üreticiye göre değil, belirli modele göre de değişiklik gösterir. Bir üreticinin trafo merkezleri için IEC 61850-3 gibi başlıca sertifikaları, o üreticinin ürün yelpazesindeki her donanım modeline otomatik olarak uygulanmaz.
- "Uyumluluğu destekler" ve "sertifikalıdır" ifadeleri birbirinden farklı iddialardır. Endüstriyel güvenlik duvarlarının çoğu, IEC 62443 veya NERC CIP gibi çerçeveler kapsamında bir cihaz olarak bağımsız bir sertifikaya sahip değildir; bu çerçevelerin gerektirdiği segmentasyon ve günlük kaydı özelliklerini desteklerler. Her iki çerçeve için de cihaz sertifikası iddiasını, doğrudan doğrulanması gereken bir uyarı işareti olarak değerlendirin.
Marka Adıyla Değil, Dağıtım Modeli ile Başlayın
Endüstriyel bir güvenlik duvarı iki yöntemden biriyle kurulur ve bu seçim, mevcut ağın ne kadarının değiştirilmesi gerektiğini etkiler. Şeffaf, sıralı bir cihaz, kendi IP adresi olmadan trafik yolunda yer alır; bu da halihazırda mevcut olan adresleme ve yönlendirme yapılarını korur. Yönlendirmeli bir cihaz ise kendi IP adresine sahiptir ve ağ katmanına doğrudan dahil olur; bu, ek işlevler sağlayabilir ancak aynı zamanda yeniden tasarım çalışması gerektirir.
Hiçbir model her durumda daha iyi değildir. Şeffaf kurulum, geçiş sürecinin etkisini en aza indirir; bu durum, Belden’in Tofino Xenon gibi yıllardır kullanımda olan bir güvenlik duvarını değiştirirken en önemli faktördür. Yönlendirilmiş kurulum ise, ağın güvenlik duvarına göre tasarlandığı yeni kurulan ortamlarda daha fazla esneklik sağlayabilir.
Protokol Kapsamını Gerçek Ortamınıza Uyumlaştırın
Modbus, DNP3, EtherNet/IP ve IEC 61850 gibi endüstriyel protokoller için derin paket incelemesi, bir endüstriyel güvenlik duvarını OT ağına uygulanan genel bir ağ güvenlik duvarından ayıran unsurdur. Asıl önemli olan, bir tedarikçinin kaç protokolü listelediği değil, ortamda çalışan belirli protokollerin teklif edilen ürün kodunun (SKU) kapsamına girip girmediğidir.
- Protokol listesini ürün ailesine göre değil, SKU’ya göre isteyin. Bazı satıcılar, genel amaçlı bir set ile GE protokolleri gibi satıcıya özgü bir set gibi protokol ailelerini, donanım yazılımında uygulanan ayrı ve birbirini dışlayan seçenekler olarak lisanslamaktadır.
- Denetimin şifreli tünellere de uzanıp uzanmadığını teyit edin. Ortamda tedarikçi erişimi veya çoklu tesis bağlantısı için IPsec veya OpenVPN kullanılıyorsa, protokol denetiminin bu tünellerin içinde de geçerli olup olmadığını yoksa yalnızca şifrelenmemiş trafiğe mi uygulandığını özellikle sorun. Bunu bir özellik listesinden varsaymak yerine yazılı olarak teyit edin.
Güvenlik Politikasının Nasıl Oluşturulduğunu ve Sürdürüldüğünü Değerlendirin
Endüstriyel güvenlik duvarlarının süresiz olarak “sadece izleme” modunda kalmasının en yaygın nedeni, meşru trafiğin neye benzediğine dair kimsenin kesin ve güncel bir fikre sahip olmamasıdır. Bu sorunu çözmek için iki farklı yaklaşım vardır.
- Manuel politika oluşturma, bir kişinin ağ şemasına göre güvenlik duvarı kuralları yazmasını gerektirir; bu şema, yazıldığı gün doğru olsa da daha sonra gerçek durumdan sapmaya başlar.
- Öğrenme veya davranışsal temel durum modları, tanımlanmış bir zaman aralığı boyunca canlı trafiği izler ve o anda yürürlükte olan durumdan yola çıkarak bir politika taslağı oluşturur; ardından, bu temel durumdan sapmaları ilerleyen süreçte işaretler. Bu, kurulumdan aktif uygulamaya kadar geçen süreci kısaltır.
Sertifikaları, Sektörünüze ve Modelinize Göre Doğrulayın
Sertifikalar donanım modeli bazında alınır; bir üreticinin tüm ürün yelpazesine genel olarak geçerli değildir. Bir üreticinin en üst düzey modeli, trafo merkezi ve elektrik dağıtım şebekesi ortamları için IEC 61850-3 veya IEEE 1613 gibi bir sertifikaya sahip olabilirken, aynı ürün ailesindeki daha küçük veya daha az bağlantı noktasına sahip bir modelde bu sertifika bulunmayabilir. Her zaman, değerlendirilen modelin teknik özellik belgesini kontrol edin.
Dikey / Gereksinim | Onaylayıcı Sertifika | Neden Önemli? |
Elektrik dağıtım trafo merkezleri | IEC 61850-3, IEEE 1613 | Trafo merkezi ekipmanlarının elektromanyetik uyumluluğunu ve çevresel dayanıklılığını düzenler |
Tehlikeli veya sınıflandırılmış alanlar | C1D2 | Yanıcı gaz veya toz riski bulunan ortamlarda kurulum için gereklidir |
Genel donanım sertifikaları | CE, FCC | Kontrolsüz endüstriyel ortamlar için temel güvenilirlik beklentileri |
Industrial Siber güvenlik | IEC 62443-4-2 (SL2, SL3) | Kendi beyanlarına güvenmek yerine, güvenlik duvarının güvenlik özelliklerini ve satıcının güvenli geliştirme sürecini bağımsız olarak doğrular |
"Uyumluluğu destekler" ifadesi, "Sertifikalıdır" ifadesiyle aynı anlama gelmez
IEC 62443 ve NERC CIP gibi çerçeveler, tek başına bir cihazı değil, kurumsal programları ve sistem mimarisini düzenler; bu nedenle çoğu endüstriyel güvenlik duvarı, bu çerçevelerin hiçbirinde bağımsız bir ürün olarak sertifikalandırılmamıştır. Bir güvenlik duvarı, kendisi “IEC 62443 sertifikalı” veya “NERC CIP sertifikalı” olmasa bile, bu çerçevelerin gerektirdiği segmentasyon, erişim kontrolü ve denetim günlüğü özelliklerini destekleyebilir. Bir satıcı, cihazın kendisi için bu özel sertifikasyona sahip olduğunu iddia ederse, sertifikayı hangi kurumun hangi kapsamda verdiğini sorun.
Lisanslama ve Mülkiyet Modelini Anlamak
Industrial Güvenlik duvarları, çeşitli lisanslama yapıları altında satılmaktadır: kalıcı cihazlar (tek seferlik donanım maliyeti), abonelik yenilemeleri (tekrarlayan ücretler), özellik tabanlı (protokol veya işlev eklentileri), veri aktarım hızı tabanlı (bant genişliği kademeleri), protokol tabanlı (protokol başına lisanslama) ve merkezi yönetim lisanslaması (çoklu tesis görünürlük platformları). Her model, cihazın hizmet ömrü boyunca toplam sahip olma maliyetini farklı şekillerde etkiler. Kalıcı lisanslamadan abonelik modeline geçiş yapmak ya da özellik, verim veya yönetim lisanslamasını katmanlara ayırmak, uygulama veya yenileme aşamasında farkına varılmak yerine değerlendirme sırasında açıkça anlaşılması gereken sürekli bütçe yükümlülükleri getirir.
Birden Fazla Tesis Kapsamında Merkezi Yönetim Planı
Her cihaza ayrı ayrı oturum açmayı gerektiren bir çözüm, birkaç tesisin ötesinde ölçeklenemez. Merkezi yönetim, ister şirket içinde ister bulutta barındırılsın, tek bir yerden tüm devreye alınmış birimlere politika dağıtabilmeli, durum bilgilerini toplayabilmeli ve raporlamayı destekleyebilmelidir.
Tüm mülkü kapsayan bir taahhütte bulunmadan önce sınırlı kapsamlı bir pilot uygulama talep edin
Uygulamaya geçilmeden önce izleme modunda yürütülen, önceden belirlenmiş başarı kriterlerine sahip tek bölgeli bir pilot uygulama, mimari değişikliğinin planlanmamış kesintilere yol açma riskini azaltır. Tüm sistem genelinde yapılacak yenileme ise ikinci aşamada ele alınacak bir konudur, ilk aşamada değil.
Yedek Parça Değerlendirme Kontrol Listesi
- Dağıtım modeli: şeffaf/sıralı veya yönlendirilmiş; hangisi mevcut ağ mimarinizi korur?
- Protokol kapsamı: Genel bir ürün ailesi listesi değil, gerçek ortamınız ve teklif edilen belirli SKU’ya göre doğrulanmıştır
- Politika oluşturma yöntemi: manuel kural oluşturma veya öğrenme/davranışsal referans noktası
- Sertifikalar: Söz konusu model için doğrulanmıştır; satıcının amiral gemisi ürününden varsayılmamıştır
- Uyum ifadesi: Bir çerçevenin gerekliliklerini “destekler” ifadesi ile doğrulanmamış bir cihaz sertifikasyonu iddiası arasındaki fark
- Lisanslama modeli: kalıcı cihaz lisansı veya abonelik; her birinin toplam sahip olma maliyeti şöyledir
- Merkezi yönetim: tek bir yerden tüm tesislerde politika dağıtımı ve raporlama
- Pilot kapsam: Kurum genelinde herhangi bir karar alınmadan önce, üzerinde mutabık kalınan başarı kriterlerine sahip, tek bölgeli, izleme modunda bir kavram kanıtı çalışması
MetaDefender ,Industrial veFirewall sitelerinin bu kontrol listesiyle nasıl ilişkili olduğu
MetaDefender Industrial Firewall™, OPSWAT adresinde yer alan, OT ağları için tasarlanmış endüstriyel bir güvenlik duvarıdır; bu ürün, bir BT ürününden uyarlanmak yerine, operasyonel teknoloji ve siber-fiziksel sistemler için özel olarak geliştirilmiştir. Yukarıdaki kontrol listesine göre: hem şeffaf, sıralı (inline) hem de yönlendirilmiş (routed) dağıtımı destekler; Öğrenme Modu (Learning Mode), manuel kural seti gerektirmek yerine gözlemlenen trafikten güvenlik politikası taslağı oluşturur; dört bağlantı noktalı ve sekiz bağlantı noktalı donanım seçenekleri mevcuttur; sekiz bağlantı noktalı model, trafo merkezi ve elektrik dağıtım şebekesi kullanımı için IEC 61850-3 ve IEEE 1613 standartlarını destekler; ve birden fazla tesiste politika ve raporlama iç My 'ın OPSWAT™ Central Management ürünüyle entegre olur. Yukarıdaki uyumluluk ayrımına uygun olarak, IEC 62443 ve NERC CIP gerekliliklerine uygun ağ segmentasyonunu destekler: bu bir destek beyanıdır, cihaz sertifikası beyanı değildir. Ayrıca zorlu ortamlar için C1D2 sertifikasına sahiptir.
Bu kontrol listesi temelinde kendi yedekleme değerlendirmenizi yapın, ardından MetaDefender ,Industrial veFirewall adreslerindeki çözümlerin sizin ortamınıza nasıl uyduğunu inceleyin.
Sıkça Sorulan Sorular
Şeffaf ve yönlendirilmiş endüstriyel güvenlik duvarı kurulumları arasındaki fark nedir?
Şeffaf, hat içi bir güvenlik duvarı, esasen IP adresi olmayan ve trafik yolunun tam ortasında yer alan bir Katman 2 köprüsüdür; bu sayede mevcut ağ adresleme yapısı korunur. Yönlendirmeli bir güvenlik duvarı ise Katman 3 cihazı olarak çalışır. Kendi IP adresine sahiptir ve ağ katmanında yer alır; bu, ek işlevler sağlayabilir ancak kurulumu için ağın daha kapsamlı bir şekilde yeniden tasarlanmasını gerektirir.
Endüstriyel bir güvenlik duvarının IEC 62443 veya NERC CIP sertifikasına sahip olması gerekir mi?
Endüstriyel güvenlik duvarlarının çoğu, tek başına bir cihaz olarak bu iki çerçeve altında bağımsız bir sertifikasyona sahip değildir; zira her iki çerçeve de tek bir üründen ziyade kurumsal programları ve sistem mimarisini düzenlemektedir. Bu çerçevelerin gerektirdiği segmentasyon ve denetim şartlarını destekleyen bir güvenlik duvarı arayın ve cihaz sertifikasyonuna ilişkin doğrulanmamış iddiaları mutlaka doğrudan teyit etmelisiniz.
Endüstriyel bir güvenlik duvarının güvenlik politikasını nasıl oluşturduğu neden önemlidir?
Bir ağ şemasına göre kuralların manuel olarak yazılmasını gerektiren bir güvenlik duvarı, o şema kadar doğrudur ve bu şema zamanla güncelliğini yitirme eğilimindedir. Canlı trafiği izleyebilen ve bir politika temelini oluşturabilen bir güvenlik duvarı, kurulumdan etkin uygulamaya kadar geçen süreyi kısaltır ve sistemde çalışanları doğru bir şekilde yansıtır.
Aynı üreticinin farklı modelleri arasında sertifikalar neden farklılık gösterir?
IEC 61850-3 veya IEEE 1613 gibi sertifikalar, donanım modeli bazında alınır ve yayınlanır; tüm ürün ailesi genelinde geçerli değildir. Bir üreticinin en üst düzey modeli, aynı ürün serisindeki daha küçük veya daha az bağlantı noktasına sahip bir modelde bulunmayan bir sertifikaya sahip olabilir; bu nedenle, değerlendirilen belirli modelin kendi teknik özellik belgesine göre kontrol edilmesi gerekir.
Tam çaplı uygulamaya geçmeden önce pilot uygulama ne kadar süreyle yürütülmelidir?
Normal işlemlerin temsili bir yelpazesini gözlemleyebilecek kadar uzun süre, önceden kararlaştırılmış belirli başarı kriterlerine göre tek bir bölgeyle sınırlı olarak izleme modunda çalıştırılmalıdır. Amaç, uygulamanın başlamasından önce politika temeline güven duymaktır; belirli bir gün sayısı değildir.
Lisanslama modeli, toplam sahip olma maliyetini etkiliyor mu?
Evet. Kalıcı lisanslı cihaz, isteğe bağlı destek yenilemeleriyle birlikte tek seferlik bir donanım maliyetiyken, abonelik modelinde lisans ücreti tekrarlayan ödemelere dahil edilir. Hiçbiri doğası gereği daha ucuz değildir; doğru karşılaştırma, cihazın beklenen hizmet ömrüne ve kuruluşun sermaye harcamaları ile tekrarlayan giderler arasında nasıl bir bütçe dağılımı yaptığına bağlıdır.
