A substituição de uma firewall industrial em fim de vida útil é uma decisão que deve ser tomada com base no modelo de implementação, na cobertura de protocolos, no método de criação de políticas, nas certificações e nos termos de licenciamento, e não apenas na marca. Estes cinco fatores determinam se a substituição preserva a arquitetura de rede já existente, protege os dispositivos industriais específicos em funcionamento e se adapta aos requisitos de conformidade e orçamentais do ambiente. O modelo sucessor sugerido por um fornecedor constitui um ponto de partida razoável para a pesquisa, mas não substitui a análise desta lista de verificação.
Principais conclusões
- O modelo de implementação determina que parte da rede terá de ser redesenhada. Uma firewall transparente e em linha, sem endereço IP, mantém o endereçamento existente; uma firewall com encaminhamento altera-o.
- O suporte a protocolos tem de corresponder ao seu ambiente, e não à lista principal de um fornecedor. Alguns fornecedores condicionam o acesso a famílias específicas de protocolos a níveis de licenciamento distintos e mutuamente exclusivos; por isso, confirme exatamente qual é o SKU que está a ser cotado.
- A forma como as políticas são criadas é tão importante quanto o que o firewall bloqueia. Um firewall capaz de monitorizar o tráfego em tempo real e definir uma base de referência para as políticas através da aprendizagem automática evita o erro comum de regras criadas com base num diagrama de rede desatualizado.
- As certificações variam consoante o modelo específico, e não apenas consoante o fornecedor. As certificações principais de um fornecedor, como a IEC 61850-3 para subestações, não se aplicam automaticamente a todos os modelos de hardware da gama desse fornecedor.
- «Assegura a conformidade» e «está certificado» são afirmações diferentes. A maioria das firewalls industriais não possui certificação independente, enquanto dispositivos, ao abrigo de normas como a IEC 62443 ou a NERC CIP; no entanto, suportam a segmentação e o registo de eventos exigidos por essas normas. Considere qualquer afirmação relativa à certificação de um dispositivo ao abrigo de qualquer uma dessas normas como um sinal de alerta que deve ser verificado diretamente.
Comece pelo modelo de implementação, não pela marca
Uma firewall industrial pode ser implementada de duas formas, e a escolha determina a extensão das alterações necessárias na rede existente. Um dispositivo transparente e em linha é colocado no caminho do tráfego sem ter um endereço IP próprio, o que preserva o endereçamento e o encaminhamento já existentes. Um dispositivo encaminhado tem o seu próprio endereço IP e participa diretamente na camada de rede, o que pode aumentar as capacidades, mas também implica um trabalho de reestruturação.
Nenhum dos modelos é universalmente melhor. Uma implementação transparente minimiza o impacto da migração, o que é mais importante quando se substitui uma firewall que está em funcionamento há anos, como a Tofino Xenon da Belden. Uma implementação encaminhada pode oferecer mais flexibilidade para ambientes de nova construção, em que a rede está a ser concebida em função da firewall, e não o contrário.
Adapte a cobertura do protocolo ao seu ambiente real
A inspeção profunda de pacotes para protocolos industriais, tais como Modbus, DNP3, EtherNet/IP e IEC 61850, é o que distingue uma firewall industrial de uma firewall de rede genérica aplicada a uma rede OT. A questão relevante não é quantos protocolos um fornecedor indica, mas sim se os protocolos específicos em execução no ambiente estão abrangidos pela referência do produto (SKU) que está a ser cotada.
- Solicite a lista de protocolos por SKU, e não por família de produtos. Alguns fornecedores licenciam famílias de protocolos — como, por exemplo, um conjunto de uso geral em comparação com um conjunto específico do fornecedor, como os protocolos da GE — como opções separadas e mutuamente exclusivas, aplicadas no firmware.
- Confirme se a inspeção se estende aos túneis encriptados. Se o ambiente utilizar IPsec ou OpenVPN para acesso de fornecedores ou conectividade entre vários locais, pergunte especificamente se a inspeção de protocolos se aplica no interior desses túneis ou apenas ao tráfego não encriptado. Obtenha esta informação por escrito, em vez de partir do pressuposto de que consta numa lista de funcionalidades.
Avaliar como a política de segurança é criada e mantida
A razão mais comum pela qual as firewalls industriais acabam por ficar indefinidamente no modo de monitorização é o facto de ninguém ter uma visão clara e atualizada do que constitui tráfego legítimo. Existem duas abordagens que resolvem esta questão de forma diferente.
- A criação manual de políticas exige que alguém redija regras de firewall com base num diagrama de rede, que é preciso no dia em que é elaborado, mas que, posteriormente, se desfasará da realidade.
- Os modos de aprendizagem ou de referência comportamental observam o tráfego em tempo real durante um período definido e elaboram uma política com base no que está em execução, sinalizando posteriormente quaisquer desvios em relação a essa referência. Isto encurta o percurso desde a instalação até à aplicação efetiva.
Verifique as certificações de acordo com o seu setor específico e modelo
As certificações são obtidas por modelo de hardware e não são aplicadas a toda a gama de produtos de um fornecedor. O modelo topo de gama de um fornecedor pode possuir uma certificação, como a IEC 61850-3 ou a IEEE 1613 para ambientes de subestações e empresas de energia elétrica, que um modelo mais pequeno ou com menos portas da mesma família não possui. Verifique sempre a ficha técnica do modelo específico em questão.
Setor / Requisito | Certificação para confirmar | Porque é que é importante |
Subestações de energia elétrica | IEC 61850-3, IEEE 1613 | Regula a compatibilidade eletromagnética e a tolerância ambiental dos equipamentos das subestações |
Locais perigosos ou classificados | C1D2 | Obrigatório para a instalação em ambientes com risco de gás combustível ou poeira |
Certificações gerais de hardware | CE, FCC | Expectativas básicas de fiabilidade para ambientes industriais não controlados |
Industrial Cibersegurança | IEC 62443-4-2 (SL2, SL3) | Verifica de forma independente as capacidades de segurança da firewall e o processo de desenvolvimento seguro do fornecedor, em vez de se basear em autodeclarações |
«Assegura a conformidade» não é a mesma afirmação que «está certificado»
Normas como a IEC 62443 e a NERC CIP regulam os programas organizacionais e a arquitetura dos sistemas, e não um único dispositivo isoladamente; por isso, a maioria das firewalls industriais não possui certificação independente ao abrigo de nenhuma dessas normas enquanto produto autónomo. Uma firewall pode suportar a segmentação, o controlo de acesso e o registo de auditorias exigidos por estas normas sem que ela própria seja «certificada pela IEC 62443» ou «certificada pela NERC CIP». Se um fornecedor alegar essa certificação específica para o próprio dispositivo, pergunte qual o organismo que a emitiu e qual o âmbito da mesma.
Compreender o modelo de licenciamento e propriedade
Industrial Os firewalls são comercializados sob várias estruturas de licenciamento: dispositivos com licença perpétua (custo único de hardware), renovações de subscrição (taxas recorrentes), baseadas em funcionalidades (complementos de protocolos ou capacidades), baseadas na taxa de transferência (níveis de largura de banda), baseadas em protocolos (licenciamento por protocolo) e licenciamento de gestão centralizada (plataformas de visibilidade multissítio). Cada modelo afeta o custo total de propriedade de forma diferente ao longo da vida útil do dispositivo. A mudança do modelo perpétuo para o de subscrição, ou a adição de licenças de funcionalidades, largura de banda ou gestão, introduz obrigações orçamentais contínuas que vale a pena compreender explicitamente durante a avaliação, em vez de as descobrir durante a implementação ou renovação.
Plano para a gestão centralizada em vários locais
Uma solução de substituição que exija o início de sessão em cada dispositivo individualmente não é escalável para além de um pequeno número de locais. A gestão centralizada, quer seja alojada no local ou na nuvem, deve ser capaz de distribuir políticas, recolher informações sobre o estado e permitir a elaboração de relatórios para todas as unidades implementadas a partir de um único local.
Solicite um projeto-piloto de âmbito restrito antes de assumir um compromisso a nível de todo o complexo imobiliário
Um projeto-piloto numa única zona, executado em modo de monitorização antes da implementação, com critérios de sucesso definidos e acordados antecipadamente, reduz o risco de uma alteração na arquitetura causar tempo de inatividade não planeado. A substituição em toda a infraestrutura é um assunto a abordar posteriormente, não em primeiro lugar.
Lista de verificação para a avaliação de substituições
- Modelo de implementação: transparente/em linha ou encaminhado, e qual deles preserva a sua arquitetura de rede existente
- Cobertura do protocolo: confirmada em relação ao seu ambiente real e ao SKU específico objeto da cotação, e não com base numa lista geral da família de produtos
- Método de criação de políticas: definição manual de regras ou uma linha de base de aprendizagem/comportamental
- Certificações: verificadas para o modelo específico em questão, não inferidas a partir do produto emblemático do fabricante
- Formulação relativa à conformidade: «é compatível com» os requisitos de um quadro normativo, em oposição a uma alegação de certificação de um dispositivo não verificada
- Modelo de licenciamento: aparelho com licença perpétua ou subscrição, e o custo total de propriedade associado a cada um deles
- Gestão centralizada: distribuição de políticas e elaboração de relatórios em todos os locais a partir de um único ponto
- Âmbito do projeto-piloto: uma demonstração de viabilidade numa única zona, em modo de monitorização, com critérios de sucesso previamente acordados, antes de qualquer decisão a nível de toda a rede
Como MetaDefender Industrial Firewall se aplicam a esta lista de verificação
MetaDefender Industrial O Firewall™ é o firewall industrial d OPSWAT para redes OT, concebido especificamente para tecnologia operacional e sistemas ciberfísicos, em vez de ser uma adaptação de um produto de TI. Em relação à lista de verificação acima: suporta tanto a implementação transparente e em linha como a implementação encaminhada; o seu «Modo de Aprendizagem» elabora políticas de segurança a partir do tráfego observado, em vez de exigir um conjunto de regras manual; está disponível em hardware de quatro e oito portas, sendo que o modelo de oito portas suporta as normas IEC 61850-3 e IEEE 1613 para utilização em subestações e empresas de eletricidade; e integra-se com o OPSWAT™ Central Management d My para a gestão de políticas e a elaboração de relatórios em vários locais. Suporta a segmentação de rede em conformidade com os requisitos da norma IEC 62443 e do NERC CIP, em consonância com a distinção de conformidade acima referida: trata-se de uma declaração de suporte, não de uma declaração de certificação do dispositivo. Além disso, possui certificação C1D2 para ambientes adversos.
Faça a sua própria avaliação de substituição com base nesta lista de verificação e, em seguida, veja como MetaDefender Industrial Firewall se adequam ao seu ambiente específico.
Perguntas mais frequentes
Qual é a diferença entre uma implementação de firewall industrial em modo transparente e uma em modo de roteamento?
Uma firewall transparente e em linha é, essencialmente, uma ponte de Camada 2 que não possui endereço IP e se situa diretamente no caminho do tráfego, o que preserva o endereçamento de rede existente. Uma firewall encaminhada funciona como um dispositivo de Camada 3. Possui o seu próprio endereço IP e participa na camada de rede, o que pode acrescentar funcionalidades, mas requer uma maior reformulação da rede para a sua implementação.
Um firewall industrial tem de ter certificação IEC 62443 ou NERC CIP?
A maioria das firewalls industriais não possui certificação independente ao abrigo de nenhuma dessas estruturas enquanto dispositivo autónomo, uma vez que ambas as estruturas regulam programas organizacionais e a arquitetura de sistemas, em vez de um único produto. Procure uma firewall que cumpra os requisitos de segmentação e auditoria exigidos por essas estruturas e considere qualquer alegação de certificação de dispositivo não qualificada como algo a verificar diretamente.
Por que é importante a forma como uma firewall industrial define a sua política de segurança?
Uma firewall que exige que as regras sejam definidas manualmente com base num diagrama de rede tem uma precisão limitada à desse diagrama, que tende a ficar desatualizado. Uma firewall capaz de monitorizar o tráfego em tempo real e elaborar uma base de referência para as políticas reduz o tempo entre a instalação e a aplicação efetiva das regras e reflete o que está efetivamente a funcionar.
Por que razão as certificações variam entre modelos do mesmo fabricante?
As certificações, como a IEC 61850-3 ou a IEEE 1613, são obtidas e publicadas por modelo de hardware, não sendo aplicadas a toda a família de produtos. O modelo topo de gama de um fornecedor pode possuir uma certificação que um modelo mais pequeno ou com menos portas da mesma gama não possui; por isso, é necessário verificar o modelo específico em questão com base na sua própria ficha técnica.
Durante quanto tempo deve decorrer uma implementação piloto antes de se proceder à implementação total?
Durante um período suficientemente longo para observar um leque representativo de operações normais, a execução deve decorrer em modo de monitorização, com critérios de sucesso definidos e acordados previamente, limitando-se a uma única zona. O objetivo é garantir a confiança na linha de base da política antes da sua aplicação, e não atingir um número fixo de dias.
O modelo de licenciamento afeta o custo total de propriedade?
Sim. Um equipamento perpétuo representa um custo único de hardware com renovações opcionais do suporte, enquanto um modelo de subscrição inclui o licenciamento em pagamentos recorrentes. Nenhuma das opções é, por si só, mais barata; a comparação correta depende da vida útil prevista do dispositivo e da forma como a organização distribui o orçamento entre despesas de capital e despesas recorrentes.
