Segmentação e fortificação de redes OT: O díodo de dados
A incorporação de dispositivos que fortifiquem o acesso perimetral e a correta segmentação de redes é uma das contramedidas básicas que devem ser consideradas dentro de uma estratégia de defesa...
A incorporação de dispositivos que fortifiquem o acesso perimetral e a correta segmentação de redes é uma das contramedidas básicas que devem ser consideradas dentro de uma estratégia de defesa em profundidade.
Por que é tão importante a fortificação de redes?
O facto de carecer de dispositivos que permitam o acesso seguro à rede OT, não os configurar corretamente, implementá-los com configurações por defeito e/ou a falta de políticas de segmentação de rede, faz com que os equipamentos, processos e sistemas localizados no ambiente de operações sejam mais vulneráveis a ameaças tanto externas como internas.
Tendo em conta a arquitetura de rede existente em cada fábrica e a criticidade dos processos, devem ser adotadas as soluções de segmentação e fortificação mais apropriadas. Em qualquer caso, considerando a idiossincrasia dos ambientes OT e para aumentar a segurança das suas redes industriais, é imprescindível auditar o seu estado; inventariando os dispositivos que se conectam a elas, identificando os meios através dos quais são acessíveis e analisando o seu grau de segmentação.
Uma das ferramentas mais usadas para a fortificação de redes é o díodo de dados. Trata-se de um dispositivo hardware (não existe firmware como o caso das firewalls) que separa/protege duas redes assegurando a unidirecionalidade no fluxo de informação, garantindo que a informação de uma rede chegue a outra rede (mas não vice-versa). É altamente recomendável para ambientes realmente críticos nos quais é necessário dotar as infraestruturas de um nível de segurança quase inexpugnável.
Entre as alternativas a ter em conta encontra-se o díodo de dados da FOX IT: é composto por um hardware que garante a unidirecionalidade no trânsito de informação (através de transceetores de fibra ótica) e por dois servidores (denominados proxies). Estes incorporam aplicações específicas para transmitir unidirecionalmente a informação que é gerida em infraestruturas críticas e em ambientes industriais sobre protocolos como Modbus ou OPC, ou que é armazenada sobre bases de dados industriais como OSIsoft PI ou Wonderware Historian.
A chave deste díodo de dados reside em que é capaz de interpretar protocolos bidirecionais (típico, TCP, que requer o handshaking de três vias), “quebrá-los” e convertê-los em unidirecionais (entre os proxies e o hardware do díodo) para depois apresentá-los na rede não comprometida de novo como bidirecionais.
Para ter uma informação mais precisa e completa sobre o funcionamento deste díodo de dados, a FoxIT organizou o webinar ‘Seamless integration of Active Directory with the Fox DataDiode!’ para o próximo dia 29 de março. Pode aceder ao formulário do mesmo a partir da seguinte ligação.
