La sostituzione di un firewall industriale giunto a fine vita è una decisione che va presa tenendo conto del modello di implementazione, della copertura dei protocolli, del metodo di creazione delle policy, delle certificazioni e dei termini di licenza, non solo del marchio. Questi cinque fattori determinano se la sostituzione preserva l’architettura di rete già in atto, protegge i dispositivi industriali specifici in funzione e soddisfa i requisiti di conformità e di budget dell’ambiente. Il modello successivo suggerito da un fornitore rappresenta un punto di partenza ragionevole per la ricerca, ma non sostituisce la verifica attraverso questa lista di controllo.
Punti di forza
- Il modello di implementazione determina quale parte della rete è necessario riprogettare. Un firewall trasparente e in linea, privo di indirizzo IP, mantiene l'indirizzamento esistente; un firewall con instradamento lo modifica.
- Il supporto dei protocolli deve essere adeguato al proprio ambiente, non all’elenco generale di un fornitore. Alcuni fornitori subordinano l’accesso a specifiche famiglie di protocolli a livelli di licenza distinti e mutuamente esclusivi, pertanto è necessario verificare con esattezza quale SKU sia stato indicato nell’offerta.
- Il modo in cui vengono definite le politiche è importante tanto quanto ciò che il firewall blocca. Un firewall in grado di monitorare il traffico in tempo reale e di definire una linea guida per le politiche tramite l’apprendimento automatico evita il comune errore di redigere regole basate su uno schema di rete obsoleto.
- Le certificazioni variano a seconda del modello specifico, non solo del fornitore. Le certificazioni di punta di un fornitore, come la norma IEC 61850-3 per le sottostazioni, non si applicano automaticamente a tutti i modelli hardware della gamma di quel fornitore.
- "Garantisce la conformità" e "è certificato" sono affermazioni diverse. La maggior parte dei firewall industriali non è certificata in modo indipendente, a livello di dispositivo, secondo standard quali IEC 62443 o NERC CIP; tuttavia, supporta la segmentazione e la registrazione dei dati richieste da tali standard. Considerate un'affermazione relativa alla certificazione di un dispositivo secondo uno di questi standard come un campanello d'allarme che vale la pena verificare direttamente.
Partite dal modello di implementazione, non dal marchio
Un firewall industriale può essere implementato in due modi diversi, e la scelta influisce sull'entità delle modifiche da apportare alla rete esistente. Un dispositivo trasparente in linea si inserisce nel percorso del traffico senza un proprio indirizzo IP, preservando così l'indirizzamento e il routing già in uso. Un dispositivo con routing dispone di un proprio indirizzo IP e partecipa direttamente al livello di rete, il che può aggiungere funzionalità ma comporta anche un lavoro di riprogettazione.
Nessuno dei due modelli è universalmente migliore. Un’implementazione trasparente riduce al minimo l’impatto della migrazione, aspetto fondamentale quando si sostituisce un firewall in uso da anni, come il Tofino Xenon di Belden. Un’implementazione instradata può offrire maggiore flessibilità per gli ambienti di nuova realizzazione, in cui la rete viene progettata intorno al firewall anziché il contrario.
Adatta la copertura del protocollo al tuo ambiente effettivo
L'ispezione approfondita dei pacchetti per i protocolli industriali, quali Modbus, DNP3, EtherNet/IP e IEC 61850, è ciò che distingue un firewall industriale da un firewall di rete generico applicato a una rete OT. La domanda rilevante non è quanti protocolli un fornitore elenchi, ma se i protocolli specifici in esecuzione nell'ambiente siano coperti dalla SKU oggetto del preventivo.
- Richiedete l'elenco dei protocolli in base allo SKU, non alla famiglia di prodotti. Alcuni fornitori concedono in licenza le famiglie di protocolli, ad esempio un set generico rispetto a uno specifico del fornitore come i protocolli GE, come opzioni separate e mutuamente esclusive applicate nel firmware.
- Verificate se l'ispezione si estende ai tunnel crittografati. Se l'ambiente utilizza IPsec o OpenVPN per l'accesso dei fornitori o la connettività multisito, chiedete specificatamente se l'ispezione del protocollo si applica all'interno di tali tunnel o solo al traffico non crittografato. Richiedete una conferma scritta, piuttosto che dare per scontato quanto riportato in un elenco di funzionalità.
Valutare in che modo vengono elaborate e gestite le politiche di sicurezza
Il motivo più comune per cui i firewall industriali finiscono per rimanere indefinitamente in modalità di solo monitoraggio è che nessuno ha un quadro chiaro e aggiornato di come si presenti il traffico legittimo. Due approcci risolvono questo problema in modi diversi.
- La creazione manuale delle politiche richiede che qualcuno rediga le regole del firewall sulla base di uno schema di rete, che è accurato nel giorno in cui viene redatto ma che in seguito si discosta dalla realtà.
- Le modalità di apprendimento o di riferimento comportamentale osservano il traffico in tempo reale in un intervallo di tempo definito e elaborano una politica sulla base di ciò che è in esecuzione, per poi segnalare le deviazioni da tale riferimento in futuro. Ciò accorcia il percorso dall’installazione all’applicazione effettiva.
Verifica le certificazioni relative al tuo specifico settore verticale e modello
Le certificazioni vengono ottenute per singolo modello hardware e non sono valide per l'intera gamma di prodotti di un fornitore. È possibile che il modello di fascia più alta di un fornitore sia in possesso di una certificazione, come la norma IEC 61850-3 o IEEE 1613 per le sottostazioni e le reti elettriche, mentre un modello più piccolo o con un numero inferiore di porte della stessa famiglia non ne disponga. Verificare sempre la scheda tecnica del modello specifico che si intende acquistare.
Verticale / Requisiti | Certificazione a conferma di | Perché è importante |
Sottostazioni elettriche | IEC 61850-3, IEEE 1613 | Regola la compatibilità elettromagnetica e la tolleranza ambientale delle apparecchiature delle sottostazioni |
Luoghi pericolosi o soggetti a restrizioni | C1D2 | Obbligatorio per l'installazione in ambienti in cui sussiste il rischio di presenza di gas o polveri infiammabili |
Certificazioni hardware generali | CE, FCC | Aspettative di base in materia di affidabilità per ambienti industriali non controllati |
Industrial Sicurezza informatica | IEC 62443-4-2 (SL2, SL3) | Verifica in modo indipendente le funzionalità di sicurezza del firewall e il processo di sviluppo sicuro del fornitore, anziché basarsi su autodichiarazioni |
"Garantisce la conformità" non equivale a "È certificato"
Standard quali IEC 62443 e NERC CIP regolano i programmi organizzativi e l’architettura di sistema, non un singolo dispositivo considerato isolatamente; pertanto, la maggior parte dei firewall industriali non è certificata in modo indipendente in base a nessuno dei due standard come prodotto autonomo. Un firewall può supportare la segmentazione, il controllo degli accessi e la registrazione degli audit richiesti da tali standard senza essere esso stesso “certificato IEC 62443” o “certificato NERC CIP”. Se un fornitore dichiara che il dispositivo stesso possiede quella specifica certificazione, chiedete quale ente l’abbia rilasciata e per quale ambito di applicazione.
Comprendere il modello di licenza e di proprietà
Industrial I firewall sono disponibili con diverse strutture di licenza: apparecchiature con licenza perpetua (costo una tantum per l’hardware), rinnovi in abbonamento (canoni ricorrenti), licenze basate sulle funzionalità (moduli aggiuntivi per protocolli o funzionalità), licenze basate sulla velocità di trasmissione (livelli di larghezza di banda), licenze basate sui protocolli (licenze per singolo protocollo) e licenze per la gestione centralizzata (piattaforme di visibilità multisito). Ciascun modello incide in modo diverso sul costo totale di proprietà nel corso della vita utile del dispositivo. Il passaggio da una licenza perpetua a un abbonamento, oppure l’aggiunta di licenze relative a funzionalità, throughput o gestione, comporta impegni di bilancio continuativi che è opportuno comprendere in modo esplicito durante la fase di valutazione, piuttosto che scoprirli solo in fase di implementazione o rinnovo.
Piano per la gestione centralizzata di più sedi
Una soluzione sostitutiva che richieda l'accesso individuale a ciascun dispositivo non è scalabile oltre una manciata di siti. La gestione centralizzata, sia essa ospitata in loco o nel cloud, dovrebbe essere in grado di distribuire le politiche, raccogliere dati sullo stato e supportare la generazione di report su tutte le unità installate da un'unica postazione.
Richiedere un progetto pilota circoscritto prima di un impegno a livello dell’intero complesso residenziale
Un progetto pilota su una singola zona, condotto in modalità di monitoraggio prima dell’implementazione definitiva, con criteri di successo definiti e concordati in anticipo, riduce il rischio che una modifica dell’architettura provochi tempi di inattività non pianificati. La sostituzione a livello dell’intero parco immobiliare è un argomento da affrontare in un secondo momento, non come prima cosa.
Lista di controllo per la valutazione dei ricambi
- Modello di implementazione: trasparente/in linea o instradato, e quale dei due preserva l'architettura di rete esistente
- Copertura del protocollo: confermata in base al vostro ambiente effettivo e allo specifico SKU oggetto del preventivo, non in base a un elenco generico della famiglia di prodotti
- Metodo di creazione delle politiche: definizione manuale delle regole o linea di base basata sull’apprendimento/sul comportamento
- Certificazioni: verificate per il modello specifico in esame, non dedotte dal prodotto di punta del fornitore
- Formulazione relativa alla conformità: "soddisfa" i requisiti di un quadro normativo rispetto a una dichiarazione di certificazione del dispositivo non verificata
- Modello di licenza: licenza perpetua o abbonamento, e il costo totale di proprietà associato a ciascuno di essi
- Gestione centralizzata: distribuzione delle politiche e reportistica per tutte le sedi da un'unica piattaforma
- Ambito del progetto pilota: una prova di fattibilità a zona singola in modalità di monitoraggio, con criteri di successo concordati prima di qualsiasi decisione a livello di intera struttura
In che modo MetaDefender Industrial Firewall si applicano a questa lista di controllo
MetaDefender Industrial Firewall™ è il firewall industrial OPSWAT, progettato specificamente per le reti OT (tecnologia operativa) e i sistemi cyber-fisici, anziché essere un prodotto IT adattato a tale scopo. In riferimento alla checklist sopra riportata: supporta sia l’implementazione trasparente in linea (inline) che quella instradata; la sua modalità di apprendimento (Learning Mode) elabora le politiche di sicurezza sulla base del traffico osservato, anziché richiedere un insieme di regole definite manualmente; è disponibile in versioni hardware a quattro e otto porte, con il modello a otto porte conforme alle norme IEC 61850-3 e IEEE 1613 per l’impiego in sottostazioni e aziende elettriche; inoltre, si integra con My OPSWAT™ Central Management per la gestione delle politiche e la reportistica su più siti. Supporta la segmentazione della rete in linea con i requisiti delle norme IEC 62443 e NERC CIP, in linea con la precisazione sulla conformità di cui sopra: si tratta di una dichiarazione di supporto, non di una dichiarazione di certificazione del dispositivo. Inoltre, è certificato C1D2 per ambienti difficili.
Effettua una valutazione autonoma della sostituzione sulla base di questa checklist, quindi verifica in che misura MetaDefender Industrial Firewall si adattino al tuo ambiente specifico.
Domande frequenti
Qual è la differenza tra un'implementazione di firewall industriale trasparente e una di tipo routed?
Un firewall trasparente in linea è essenzialmente un bridge di livello 2 privo di indirizzo IP, posizionato direttamente nel percorso del traffico, che preserva l'indirizzamento di rete esistente. Un firewall instradato opera come dispositivo di livello 3. Dispone di un proprio indirizzo IP e opera a livello di rete, il che può aggiungere funzionalità ma richiede una maggiore riprogettazione della rete per la sua implementazione.
Un firewall industriale deve essere certificato secondo la norma IEC 62443 o NERC CIP?
La maggior parte dei firewall industriali non è certificata in modo indipendente in base a nessuno dei due standard come dispositivo autonomo, poiché entrambi gli standard regolano i programmi organizzativi e l’architettura di sistema piuttosto che un singolo prodotto. È opportuno cercare un firewall che soddisfi i requisiti di segmentazione e di audit previsti da tali standard e considerare qualsiasi dichiarazione di certificazione del dispositivo non accompagnata da qualifiche come un elemento da verificare direttamente.
Perché è importante il modo in cui un firewall industriale definisce la propria politica di sicurezza?
Un firewall che richiede la creazione manuale delle regole sulla base di uno schema di rete è accurato solo quanto lo schema stesso, che tende a diventare obsoleto. Un firewall in grado di monitorare il traffico in tempo reale e di definire una linea guida per le politiche riduce i tempi che intercorrono tra l'installazione e l'applicazione effettiva delle regole e riflette la situazione reale.
Perché le certificazioni variano da un modello all'altro dello stesso produttore?
Le certificazioni quali IEC 61850-3 o IEEE 1613 vengono ottenute e pubblicate per singolo modello hardware e non sono valide per l’intera famiglia di prodotti. È possibile che il modello di fascia più alta di un fornitore sia in possesso di una certificazione di cui non disponga un modello più piccolo o con un numero inferiore di porte appartenente alla stessa linea; pertanto, è necessario verificare le specifiche del modello in esame consultandone la scheda tecnica.
Per quanto tempo dovrebbe durare una fase di implementazione pilota prima di procedere al lancio completo?
Abbastanza a lungo da poter osservare una gamma rappresentativa di operazioni normali, in modalità di monitoraggio con criteri di successo definiti e concordati in anticipo, limitatamente a una singola zona. L’obiettivo è acquisire fiducia nella linea guida della politica prima della sua applicazione, non raggiungere un numero fisso di giorni.
Il modello di licenza influisce sul costo totale di proprietà?
Sì. Un’apparecchiatura a vita comporta un costo hardware una tantum con rinnovi opzionali dell’assistenza, mentre un modello in abbonamento include le licenze nei pagamenti ricorrenti. Nessuna delle due opzioni è intrinsecamente più economica; il confronto corretto dipende dalla durata di vita prevista del dispositivo e dal modo in cui l’organizzazione gestisce il budget tra spese in conto capitale e spese ricorrenti.
