1. Įvadas: kritinė šiuolaikinio tinklo matomumo spraga
Pasaulinė įmonių IT ir pramoninė OT infrastruktūra susiduria su precedento neturinčiu kibernetinio saugumo iššūkiu: organizacijos negali sušvelninti tinklo grėsmių, kurių negali visapusiškai stebėti. Plečiantis pramoninėms valdymo sistemoms (ICS), tokioms kaip ILO-41 šviesolaidinio žiedo magistralės architektūra, siekiant integruoti prie debesies prijungtas programų magistrales, nestebimos tinklo jungtys sukuria akląsias zonas išpirkos reikalaujančioms programoms, šoniniam grėsmių judėjimui, protokolo anomalijoms ir neteisėtai prieigai prie įrenginių. Tradiciniai stebėjimo metodai, įskaitant komutatoriaus SPAN veidrodinius prievadus ir pagrindinio kompiuterio stebėjimo agentus, nesugeba užtikrinti nuostolių neturinčio, dvikrypčio tinklo srauto fiksavimo esant didžiausiam pralaidumo apkrovimui, todėl kyla nepriimtina rizika itin svarbioms operacijoms.
Šiame techniniame vadove aprašomas auksinio standarto matomumo sprendimas:Varinis atšaka (Ethernet atšaka / Pasyvi atšaka)aparatinė įranga. Šie integruoti bandymų prieigos taškų įrenginiai užtikrina 100 % tikslų, nulinio poveikio tinklo srauto fiksavimą tinklo stebėjimui, grėsmių paieškai, teismo ekspertizei ir atitikties auditui. Sutelkdami dėmesį į pirmaujantį pramonėje „Mylinking ML-TAP-2401B“ kelių prievadų gigabito vario Ethernet TAP, analizuojame realias pramoninio diegimo topologijas, skirtas šviesolaidinių žiedinių magistralių ILO-41 taikomųjų tinklų, lyginame pasyviųjų varinių ir optinių TAP architektūras ir apžvelgiame, kaip dedikuoti aparatinės įrangos TAP pašalina senųjų stebėjimo įrankių apribojimus, kad sustiprintų visapusišką tinklo saugumą.
Energetikos, gamybos, finansų ir ypatingos svarbos infrastruktūros sektoriuose IT/OT saugumo inžinieriai teikia pirmenybę pasyviai TAP įrangai dėl vienos neginčijamos priežasties: pasyvūs variniai Ethernet TAP kopijuoja pilno dvipusio ryšio tinklo paketus neprarasdami kadrų, nesukeldami delsos ir nesukurdami išnaudojamų atakų paviršių gamybos tinklo segmentuose. Šis straipsnis yra išsamus SEO šaltinis inžinieriams, tiriantiems tinklo srauto fiksavimo įrangą, vertinantiems pasyvių čiaupų diegimą ir projektuojantiems patikimus tinklo saugumo matomumo kanalus, suderintus su pramonės ir įmonių atitikties įgaliojimais.
Pirminio paieškos tikslo suderinimas
Šis tinklaraštis skirtas didelio konversijos lygio „Google“ paieškos užklausoms:
○Informacinis: Kas yra varinis atšaka? Pasyvus atšaka ir SPAN prievadas, Ethernet atšakos pramoninis stebėjimas
○Komercinis: geriausias varinis Ethernet atšaka OT tinklo saugumui, kelių prievadų pasyvus tinklo atšaka srauto surinkimui
○Transakcinis: „Mylinking ML-TAP-2401B“ tinklo atšakos duomenų lapas, pramoninių žiedinių magistralių stebėjimo atšakos diegimas
2. Kas yra varinis atšaka, eterneto atšaka ir pasyvioji atšaka? Pagrindinės techninės apibrėžtys
Siekdami pašalinti terminologinę painiavą tinklo saugumo specialistams, kiekvieną pagrindinį raktinį žodį įforminame aparatine įranga ir veikimo kontekstu:
2.1 Varinis jungtis (Ethernet jungtis)
Varinis atšaka, kitaip dar vadinama Ethernet atšaka, yra fizinis tinklo matomumo įrenginys, sukurtas BASE-T variniams Ethernet ryšiams (10/100/1000 M gigabito elektros kabeliams). Variniai atšakos, išdėstytos tiesiai tarp dviejų tinklo galinių taškų, pvz., pramoninių žiedinių magistralių komutatorių ir apsaugos stebėjimo serverių, padalija dvikryptį srautą į du identiškus srautus:
○Pagrindinis tiesioginio srauto srautas: nepakeistas persiunčiamas į tolesnį gamybinį tinklo įrenginį
○Pasikartojantis stebėjimo srautas: siunčiamas į specialią analizės įrangą (saugos serverius, NOZOMI NG-500R pramoninius grėsmių jutiklius, paketų fiksavimo zondus).
Skirtingai nuo programiniu būdu veikiančio veidrodinio atspindžio, varinių jungčių įranga naudoja specialią PHY sluoksnio grandinę elektriniams signalams regeneruoti, užtikrindama visą pralaidumą be paketų praradimo srauto pikų metu. „Mylinking ML-TAP-2401B“ yra modulinė varinė jungtis, palaikanti 16 gigabito BASE-T varinių prievadų, todėl ji idealiai tinka sujungti kelias pramonines ir įmonių varines jungtis į vieną vieningą stebėjimo kanalą.
2.2 Pasyvus bakstelėjimas
Pasyvusis atšaka yra tinklo TAP aparatinės įrangos poklasis, apibrėžiamas pagal nulinės programinės įrangos ir minimalios elektronikos dizainą. Šiuolaikinėje infrastruktūroje egzistuoja du skirtingi pasyvaus atšakos variantai:
○Pasyvus optinis TAPMaitinimo nereikalaujanti optinio skirstytuvo įranga šviesolaidiniams ryšiams (FO mūsų ILO-41 topologijos diagramose). Naudoja grynai pasyvią šviesos refrakciją šviesolaidinio srauto kopijavimui be elektrinių komponentų; nereikia maitinimo šaltinio, nulinė jungties gedimo rizika dėl aparatinės įrangos maitinimo nutraukimo.
○Varinis Ethernet čiaupasNors varinių jungčių atveju reikalingas aktyvus PHY signalo regeneravimas, įmonės lygio varinių jungčių saugumo architektūra yra pasyvi: nėra IP adreso, nėra valdymo žiniatinklio sąsajos, nėra nuotolinės prieigos galimybių. Ši uždara konstrukcija neleidžia grėsmės kūrėjams pažeisti pačios jungties ir manipuliuoti užfiksuotu srautu arba nukreipti jo į gamybinius tinklus.
Svarbus skirtumas: visi pasyvieji prisijungimai pašalina atakų vektorius, esančius valdomuose komutatoriuose, užkardose ar stebėjimo agentuose, o tai yra pagrindinis reikalavimas, taikomas nulinio pasitikėjimo tinklo saugumo sistemoms.
2.3 Pagrindiniai tinklo srauto fiksavimo ir tinklo stebėjimo naudojimo atvejai
Tinklo srauto fiksavimas apibūdina pilnų neapdorotų Ethernet paketų, kertančių tinklo ryšius, įrašymo procesą, skirtą po įvykio atliekamai teismo ekspertizei, grėsmių aptikimui realiuoju laiku ir našumo trikčių šalinimui. Tinklo stebėjimas yra platesnė operacinė darbo eiga, naudojanti užfiksuotą srautą, siekiant nuolat audituoti protokolo elgseną, aptikti neįprastus ryšio modelius ir patvirtinti tinklo saugumo politikos vykdymą. Variniai Ethernet pasyvieji jungtys sudaro pagrindinį abiejų darbo eigų duomenų rinkimo sluoksnį, perduodamos visą, nepakeistą srautą SIEM serveriams, pramoniniams IDS jutikliams ir tinklo našumo analizės platformoms.
3. Pasyvieji TAP ir SPAN/veidrodžio prievadai: kodėl aparatinės įrangos TAP dominuoja kritinių stebėjimo sistemų srityje
Daugelis organizacijų iš pradžių pasikliauja komutuojamaisiais SPAN (Switched Port Analyzer) veidrodiniais prievadais, kad užtikrintų mažą srauto matomumą, tačiau šis metodas sukuria katastrofiškas akląsias zonas didelio srauto pramonės ir įmonių aplinkoje. Žemiau pateikiamas techninis pasyvios varinės atšakos įrangos ir SPAN veidrodinio atspindžio palyginimas, turintis tiesioginės įtakos tinklo saugumui ir patikimam tinklo srauto surinkimui:
| Vertinimo metrika | Varinis Ethernet pasyvusis atšaka (Mylinking ML-TAP-2401B) | Perjungti SPAN/Veidrodinius prievadus |
| Paketų fiksavimo tikslumas | 100 % neprarandantis dvikryptis paketų fiksavimas; visi kadrai nukopijuojami nepriklausomai nuo pralaidumo apkrovos | Didelis paketų praradimas srauto pliūpsnių metu; komutatoriaus ASIC buferio perpildymas atmeta kritinius grėsmės paketus |
| Ryšio delsos poveikis | Beveik nulinis PHY sluoksnio įterpimo vėlavimas (<0,1 µs); jokių realaus laiko pramoninių ICS ryšių sutrikimų | Nėra tiesioginio ryšio delsos, tačiau sunaudojama ribotai komutatoriaus procesoriaus / ASIC išteklių, todėl sumažėja gamybos našumas |
| Saugumo atakos paviršius | Nėra IP/MAC adreso, nėra nuotolinio valdymo, nėra programinės įrangos pažeidžiamumų; oro tarpas tarp gamybos ir stebėjimo zonų | Valdomas komutatorius turi visą atakos paviršių; užpuolikai gali modifikuoti veidrodžio konfigūracijas, kad paslėptų šoninį judėjimą |
| Pilno dvipusio ryšio palaikymas | Natūraliai fiksuoja tiek perdavimo (Tx), tiek priėmimo (Rx) srautą vienu metu kiekvienoje varinėje jungtyje | Daugelis žemos/vidutinės klasės komutatorių atspindi tik vieną eismo kryptį, praleisdami svarbius grėsmių komunikacijos srautus. |
| Pramoninio OT suderinamumas | Sukurta nuolatinio veikimo pramoninių žiedinių magistralių topologijoms; aparatinės apėjimo relės palaiko ryšio tęstinumą nutrūkus maitinimui | Jungiklio SPAN perkonfigūravimas reikalauja gamybos tinklo prastovų; programinės įrangos atnaujinimai gali sutrikdyti ILO-41 magistralės automatizavimo darbo eigas |
| Agregavimo mastelio keitimas | ML-TAP-2401B sujungia 16 varinių jungčių + 8 šviesolaidinius SFP prievadus į vieningus stebėjimo išėjimus | Apribota iki 2–4 veidrodinių sesijų vienam komutatoriaus korpusui; kelių komutatorių srauto agregavimui reikalingi sudėtingi maršruto parinkimo sprendimai |
| Teismo ekspertizės atitiktis | Užfiksuoja visus neapdorotus paketų kiekius, nepakeistus komutatoriaus filtravimo logikos | Jungikliai ASIC sutrumpina didelius paketus ir filtruoja žemo prioriteto kadrus, taip anuliuodami audito tako atitikties įrodymus. |
Pramoniniuose ICS tinkluose, tokiuose kaip ILO-41 šviesolaidinio žiedo programų magistralė, paketų praradimas iš SPAN veidrodinių prievadų sukelia negrįžtamą operacinę riziką: praleistos „Modbus“, „Profinet“ arba „EtherNet/IP“ protokolo anomalijos gali sukelti neplanuotas gamyklos prastovas arba pramoninius išpirkos reikalaujančios programinės įrangos pažeidimus. Pasyvūs variniai atšakos pašalina šią riziką, užtikrindamos garantuotą viso srauto matomumą neapkraunant gamybos komutavimo įrangos.
4. Optinis pasyvusis TAP ir varinis Ethernet atšakos ryšys: pramoninių žiedinių magistralių diegimo palyginimas
Mūsų dvi etaloninės topologijos diagramos iliustruoja dvigubas ILO-41 šviesolaidinių žiedinių magistralių infrastruktūros diegimo strategijas, pabrėždamos, kada tinklo stebėjimui ir tinklo saugumo vamzdynams rinktis optinius pasyvius atšakas, o kada – „Mylinking“ varinius Ethernet atšakas:
1 topologija: tiesioginis varinių atšakų išdėstymas (1 informacinė schema)
○Architektūros apžvalga: Pagrindinis šviesolaidinio žiedinio magistralės komutatorius tiesiogiai jungiamas prie „Mylinking ML-TAP-2401B“ varinio atšakos per gigabito BASE-T elektros kabelius. Varinis atšaka padalija srautą į du stebėjimo galinius taškus:
- „Lenovo“ saugos serveris (įmonės IT grėsmių analizė, SIEM integravimas)
- NOZOMI NG-500R pramoninis OT jutiklis (ICS protokolo anomalijų aptikimas)
○Idealus naudojimo atvejis: vietos, kuriose žiedinės magistralės pagrindinis komutatorius turi laisvus varinius RJ45 prievadus, o inžinierių komandos teikia pirmenybę supaprastintam vieno etapo srauto agregavimui be tarpinės šviesolaidžių skaidymo įrangos.
○Pagrindiniai privalumai: mažiau fizinio diegimo komponentų, suvienodintas varinių laidų stebėjimo tiekimas IT ir OT saugumo įrankiams, supaprastinta kabelių priežiūra pramonės technikams vietoje.
2 topologija: hibridinis optinis pasyvus TAP + varinių atšakų blokas (2 informacinė schema)
○Architektūros apžvalga: Į šviesolaidinio pluošto (FO) magistralę, jungiančią ILO-41 žiedinės magistralės komutatorių, įterpiamas maitinimo neturintis optinis pasyvusis TAP. Padalintas šviesolaidinis stebėjimo kanalas konvertuojamas į gigabitinį varinį kabelį, kuris tiekiamas į „Mylinking ML-TAP-2401B“ agregavimo atšaką, kuri dubliuoja srautą į apsaugos serverį ir NOZOMI pramoninį jutiklį.
○Idealus naudojimo atvejis: pramoninės vietos, kuriose šviesolaidinio žiedo magistralėje vyksta kritinis automatizavimo srautas, o inžinierių komandos negali nutraukti varinių komutatorių prievadų diegimo. Optinis pasyvus atšaka veikia be maitinimo šaltinio, todėl pašalinami pavieniai gedimo taškai pagrindinėje šviesolaidinėje magistralėje.
○Pagrindiniai privalumai: Visiškas gamybinio šviesolaidžio žiedo izoliavimas nuo maitinamos stebėjimo įrangos; pasyvus optinis skirstytuvas nesukelia elektros gedimų rizikos; palaiko tolimojo šviesolaidžio magistralės stebėjimą prieš srauto konvertavimą į varinį Ethernet.
Sprendimų sistema: optinis pasyvus TAP ir varinis atšakas
○Įdiekite atskirą „Mylinking Copper Tap“ (ML-TAP-2401B): stebint varines BASE-T jungtis, apjungiant kelis elektros galinius taškus arba derinant IT/OT stebėjimo įrankius viename stelaže montuojamame matomumo pakete.
○Įdiekite hibridinį optinį + varinį atšakų steką: kai pagrindinė gamybos perdavimo terpė yra šviesolaidis, kritiniams automatizavimo magistraliniams ryšiams reikalinga nulinės energijos pasyvioji įranga arba ilgo nuotolio šviesolaidinius ryšius reikia atskirti prieš konvertuojant varį.
5. Išsami apžvalga: „Mylinking ML-TAP-2401B“ kelių prievadų varinio Ethernet TAP techninė architektūra
Kaip centrinis abiejų etaloninių pramoninių stebėjimo topologijų aparatinės įrangos komponentas, „Mylinking ML-TAP-2401B“ varinis eterneto prijungiklis užtikrina įmonės ir pramonės lygio pasyvaus tinklo srauto fiksavimą, kurio maksimali pralaidumo galia yra 24 Gbps viso dvipusio ryšio režimu. Sukurtas siekiant išspręsti vieno prievado pagrindinių varinių prijunginių mastelio keitimo apribojimus, įrenginys integruoja modulines vario ir šviesolaidines sąsajas, kad būtų galima vieningai stebėti tinklą įvairiose terpėse.
5.1 Pagrindinės aparatinės įrangos specifikacijos
○Prievadų konfigūracija: 16 x 10/100/1000M BASE-T vario atšakų prievadai + 8 x gigabito SFP šviesolaidinio ryšio lizdai
○Bendras pralaidumas: 24 Gbps dvikryptis srauto apdorojimas
○Kritinis pasyvus saugumo dizainas: nėra integruoto IP steko, nėra žiniatinklio valdymo portalo, nėra atakų paviršiaus grėsmių veikėjams
○Aparatinės įrangos gedimams atsparios apėjimo relės: kiekviename integruotame variniame prievade yra mechaninės apėjimo relės. Nutrūkus maitinimui, relės akimirksniu sujungia gamybos jungtį trumpai, palaikydamos nepertraukiamą ILO-41 žiedinės magistralės automatizavimo srautą – tai esminė funkcija, užtikrinanti pramoninių OT veikimo laiką.
○Maitinimo įvestis: standartinis 220 V kintamosios srovės maitinimo šaltinis, montuojamas ant stovo, suderinamas su pasauliniais pramoninių įrenginių elektros standartais (atitinka mūsų diegimo topologijose nurodytą maitinimo infrastruktūrą)
○Diegimo forma: 1U stovo tipo korpusas standartinėms pramoninių serverių spintelėms, kompaktiškas pagrindas ribotos erdvės valdymo patalpoms
○Palaikomi stebėjimo darbo srautai: srauto agregavimas, dvikryptis paketų dubliavimas, kryžminio šviesolaidinio/varinio ryšio konsolidavimas, kelių įrankių srauto paskirstymas į saugos serverius, IDS jutiklius ir teismo ekspertizės fiksavimo įrenginius.
5.2 Pagrindiniai skirtumai, palyginti su konkuruojančiais variniais čiaupų furnitūros gaminiais
○Dviguba terpės palaikymas: unikalus 16 varinių atšakų prievadų + 8 SFP šviesolaidžio lizdų derinys panaikina atskirų optinių skirstytuvų ir varinių atšakų įrenginių poreikį hibridinėse IT/OT aplinkose. Konkurentų variniai atšakos apsiriboja tik RJ45 BASE-T sąsajomis.
○Srauto paskirstymas naudojant kelis įrankius: vienas varinis ML-TAP-2401B kabelis gali vienu metu nukreipti srautą į kelias stebėjimo priemones (mūsų topologijoje – apsaugos serverį ir NOZOMI OT jutiklį) be papildomos agregavimo įrangos, taip sumažinant lentynų erdvę ir diegimo išlaidas.
○Pramoninio lygio patikimumas: sustiprinta fizinė grandinė toleruoja įtampos svyravimus, būdingus gamybos ir energetikos įmonėms; mechaninės apėjimo relės viršija pramonės standartų veikimo laiko reikalavimus ICS automatizavimo tinklams.
○Keičiamas pasyvus matomumas: modulinis prievado dizainas leidžia palaipsniui plėsti stebimas jungtis, augant ILO-41 žiedinės magistralės programų tinklui, išvengiant visiško aparatinės įrangos pakeitimo infrastruktūros atnaujinimo metu.
5.3 Vario Ethernet čiaupų apsaugos inžinerija
Nors variniams Ethernet prievadams PHY signalo regeneravimui reikalingas maitinimas, „Mylinking“ ML-TAP-2401B įgyvendina griežtus pasyviojo saugumo principus:
○Nėra konfigūruojamos operacinės sistemos, programinės įrangos atnaujinimo kanalų ar nuotolinės prieigos protokolų
○Fizinis vienpusis srauto atskyrimas tarp gamybos įvesties prievadų ir stebėjimo išvesties prievadų, sukuriant nuolatinį loginį oro tarpą
○Nereikia modifikuoti, filtruoti ar trumpinti paketų; kiekvienas užfiksuotas paketas stebėjimo įrankiams pristatomas originalioje, nepakeistoje būsenoje, kad būtų atlikta tinkama tinklo saugumo teismo ekspertizė.
6. Realaus pasaulio pramoninio OT diegimo topologija: ILO-41 žiedinės magistralės stebėjimo atvejo analizė
Pridedamose dviejose tinklo diagramose dokumentuojami ištisiniai tinklo saugumo matomumo diegimai, skirti ILO-41 šviesolaidinei žiedinei magistralei – plačiai naudojamai pramoninių taikomųjų magistralių architektūrai, skirtai gamybai, vandens valymui ir energetikos požiūriu kritinei infrastruktūrai. Toliau analizuojame kiekvieno komponento vaidmenį tinklo srauto surinkimo vamzdyne ir kaip „Mylinking ML-TAP-2401B“ varinis atšaka sujungia IT ir OT stebėjimo darbo eigas.
6.1 Pagrindinis gamybos tinklo sluoksnis: ILO-41 šviesolaidinė žiedinė magistralė
○Keturi pramoniniai valdomi komutatoriai sudaro atsarginę šviesolaidinio pluošto (FO) žiedinę topologiją, perduodančią pramoninės automatikos magistralės (BUS Aplicaciones) srautą. Žiedą kertantys protokolai apima realaus laiko ICS ryšį („Profinet“, „Modbus TCP“, „OPC UA“) kartu su standartiniu įmonės TCP/IP programų srautu.
○Perteklinis šviesolaidinis žiedinis dizainas pašalina pavienius gedimų taškus gamybos operacijose, todėl neprarandant nuostolių, nulinio poveikio stebėjimas per pasyvią prijungimo įrangą yra neginčijamas – bet koks stebėjimo įrangos gedimas negali sutrikdyti žiedinės magistralės.
○Pirminis žiedinės magistralės agregavimo jungiklis veikia kaip vienintelis išėjimo taškas srautui, paskirstytam į „Mylinking“ varinių atšakų stebėjimo steką.
6.2 „Mylinking ML-TAP-2401B“ vario atšakų agregavimo sluoksnis
Šis centrinis varinis atšakas yra itin svarbus matomumo tiltas tarp gamybinės OT infrastruktūros ir pasroviui skirtų saugumo analizės įrankių, atliekantis dvi pagrindines funkcijas:
○Gaunamas visas dvikryptis srautas, nukopijuotas iš ILO-41 žiedinės magistralės (tiesioginis varinis ryšys arba per optinį pasyvųjį atšakos jungtį)
○Identiškų srautų kopijavimas į du specializuotus stebėjimo įrenginius vienu metu:
a. „Lenovo Security Server“: įmonės IT tinklo saugumo darbo eigos priegloba, kurioje veikia SIEM programinė įranga, grėsmių paieškos įrankiai ir paketų teismo ekspertizės saugykla TCP/IP grėsmių aptikimui (išpirkos reikalaujančios programinės įrangos C2 ryšys, neteisėta nuotolinio darbalaukio prieiga, duomenų nutekėjimas).
b. „NOZOMI NG-500R Sonda“ pramoninis jutiklis: OT skirta IDS platforma, kuri analizuoja pramoninės automatikos protokolus, kad aptiktų ICS būdingas grėsmes: neleistiną PLC modifikavimą, nenormalų magistralės delsą, pažeistą lauko įrenginių ryšį ir pramonines kenkėjiškas programas.
6.3 Energetikos infrastruktūra
Visas stebėjimo paketas („Mylinking“ varinis atšaka, „NOZOMI“ pramoninis jutiklis) veikia standartiniu 220 V kintamosios srovės pramoninių įrenginių elektros tinklu, atitinkančiu pasaulinius gamyklų elektros standartus ir panaikina brangios energijos konvertavimo įrangos poreikį tarpvalstybiniams pramoniniams diegimams.
6.4 Topologijos diegimo kompromisų santrauka
○Tiesioginės varinės atšakos topologija (1 diagrama): supaprastintas aparatinės įrangos paketas, idealiai tinkantis įstaigoms su laisvais variniais prievadais žiedinės magistralės agregavimo komutatoriuje, sumažina fizinių kabelių ir aparatinės įrangos skaičių.
○Hibridinis optinis pasyvus atšakų blokas (2 diagrama): nulinės galios optinis skirstytuvas, įterptas į šviesolaidžio magistralę prieš vario konvertavimą, pašalina elektros įrangos riziką pirminiame gamybos šviesolaidžio žiede, tinka didelės rizikos kritinės infrastruktūros objektams, kur pagrindiniuose automatizavimo magistralėse draudžiama naudoti maitinamą integruotą įrangą.
7. Žingsnis po žingsnio darbo eiga: tinklo srauto fiksavimas ir grėsmių aptikimas nuo pradžios iki pabaigos
Remdamiesi mūsų ILO-41 žiedinės magistralės pramonine topologija, apibūdiname visą operacinį darbo eigą, kurią įgalina „Mylinking“ variniai Ethernet pasyvieji atšakos, skirtos visapusiškam tinklo stebėjimui ir tinklo saugumui:
○Gamybos srauto generavimasPramoniniai lauko įrenginiai, HMI ir programų serveriai perduoda dvikryptį ICS ir įmonės srautą per perteklinę ILO-41 šviesolaidinę žiedinę magistralę.
○Eismo paskirstymo etapas (du diegimo keliai):
- A kelias (tiesioginis varinis atšaka): agregavimo komutatorius visą srautą nukreipia per RJ45 varinį kabelį į ML-TAP-2401B varinio atšakos įvadinį prievadą.
- B kelias (hibridinis optinis TAP): pasyvus, energijos nereikalaujantis optinis skirstytuvas kopijuoja šviesolaidinio magistralės srautą; konvertuojamas į gigabitinį varį, kad maitintų „Mylinking“ agregavimo atšaką.
○Pasyvus vario čiaupų dubliavimasML-TAP-2401B regeneruoja nemodifikuotą gamybinį srautą žiedinės magistralės veikimui, tuo pačiu sukurdamas dvi identiškas stebėjimo kopijas per pasyvią atšakų grandinę.
○Lygiagrečios saugumo analizės sklaidos kanalai:
– 1 kanalas: Pasikartojantis srautas, nukreipiamas į įmonės saugos serverį IT grėsmių aptikimui, visiškam paketų fiksavimui, archyvavimui ir atitikties audito žurnalo generavimui.
- 2 kanalas: identiškas srautas, siunčiamas į NOZOMI NG-500R pramoninį jutiklį OT protokolo analizei realiuoju laiku ir pramoninių anomalijų įspėjimams.
○Vieningas reagavimo į grėsmes darbo eigaAbu prietaisai susieja užfiksuotus tinklo srauto duomenis, kad generuotų tarpdomenius IT/OT saugumo įspėjimus, leisdami saugumo komandoms pašalinti grėsmes prieš įvykstant gamybos magistralės sutrikimams.
○Teismo ekspertizės retrospektyvinė analizėNeapdoroti, neprarandantys paketiniai duomenys, užfiksuoti per varinį kabelį, saugomi teismo ekspertizės tyrimui po pažeidimo, laikantis norminių reikalavimų dėl nekintamų tinklo srauto audito takų.
Šis darbo eiga parodo, kodėl variniai Ethernet pasyvieji prievadai yra esminiai užtikrinant nulinio pasitikėjimo pramoninių tinklų saugumą: kiekvienas paketas, kertantis svarbią ILO-41 programų magistralę, yra visiškai užfiksuojamas nepakenkiant gamybos veikimui ar duomenų vientisumui.
8. Pagrindiniai „Mylinking“ pasyviųjų varinių TAP privalumai įmonių ir pramoninių tinklų saugumui
Šiame skyriuje išsamiau aptariamos didelio intensyvumo SEO paieškos užklausos, orientuotos į varinius ir pasyvius laidinius ryšius bei tinklo saugumo privalumus, suskirstytos pagal IT ir OT veiklos vertę, kad būtų lengviau skaityti:
8.1 100 % be nuostolių užtikrinantis tinklo srauto surinkimas net ir esant didžiausiam pralaidumo apkrovimui
Skirtingai nuo komutatorių SPAN veidrodinių prievadų, kurie atmeta kritinius grėsmės paketus srauto viršįtampių metu, „Mylinking“ varinių atšakų įranga naudoja specialią PHY sluoksnio grandinę, kad nukopijuotų kiekvieną kadrą, kertantį stebimas varines jungtis. Pramoninėse ILO-41 žiedinės magistralės aplinkose tai pašalina akląsias zonas, skirtas laiko atžvilgiu jautrioms automatizavimo protokolo anomalijoms ir kenkėjiškų programų ryšio pliūpsniams, kurie sukelia katastrofiškus operacinius incidentus. Visiškas dvikryptis siųstuvo/imtuvo fiksavimas suteikia išsamų kontekstą tinklo stebėjimo ir teismo ekspertizės analizės darbo eigoms.
8.2 Pasyvioji saugumo architektūra pašalina atakų paviršius
Kaip pasyvus atšakos variantas, varinis atšakos ML-TAP-2401B neturi IP adreso, programinės įrangos valdymo sąsajų ir nuotolinės prieigos galimybių. Grėsmių kūrėjai negali nukreipti atšakos įrangos, kad manipuliuotų užfiksuotu srautu, išjungtų stebėjimo kanalus arba persijungtų iš saugumo analizės zonos atgal į gamybinę ILO-41 programų magistralę – tai nepakeičiama funkcija, skirta nulinio pasitikėjimo tinklo saugumo sistemoms ir atitikčiai griežtiems pramoninio kibernetinio saugumo reglamentams (NIS2, IEC 62443, CCPA).
8.3 Apsauginės aparatinės įrangos apėjimo relės, užtikrinančios gedimų prevenciją, garantuoja pramoninį veikimo laiką
Visuose integruotuose variniuose atšakų prievaduose integruotos mechaninės apsauginės apėjimo relės. Jei ML-TAP-2401B praranda 220 V kintamosios srovės maitinimą, metaliniai kontaktai akimirksniu sujungia gamybinę Ethernet jungtį trumpai, visiškai pašalindami atšaką iš duomenų perdavimo kelio. Ši konstrukcija pašalina vieno gedimo taško riziką, kuri kamuoja aktyvios stebėjimo įrangą – privalomą reikalavimą atsarginei pramoninei šviesolaidinių žiedinių magistralių infrastruktūrai, tokiai kaip ILO-41 architektūra, kur bet koks jungties prastovos sukelia brangius gamybos ar energijos gamybos nuostolius.
8.4 Vieningas daugialypės terpės srauto agregavimas sumažina diegimo sudėtingumą
Unikalus ML-TAP-2401B 16 gigabito varinių atšakų prievadų ir 8 SFP šviesolaidinių lizdų derinys sujungia varinių ir šviesolaidinių tinklo jungčių stebėjimą viename 1U stelaže. Organizacijos, diegiančios hibridinę IT/OT infrastruktūrą (šviesolaidinių žiedų automatizavimo magistralės + variniai įmonės serverių segmentai), panaikina poreikį diegti atskirus optinius pasyviuosius skirstytuvus ir vieno prievado varinius atšakas, taip sumažindamos aparatinės įrangos kapitalo išlaidas, stelažų erdvės naudojimą ir priežiūros vietoje išlaidas.
8.5 Lygiagretus kelių įrankių srauto paskirstymas optimizuoja tinklo stebėjimo infrastruktūrą
Vienas „Mylinking“ varinis jungtis vienu metu paskirsto identiškas viso srauto kopijas keliems nepriklausomiems analizės įrenginiams – tai įrodo mūsų topologija, tiekianti duomenis tiek įmonės saugos serveriui, tiek specialiam NOZOMI pramoniniam OT jutikliui. Ši galimybė panaikina antrinių srauto agregavimo jungiklių ar paketų tarpininkų poreikį pagrindiniams daugiafunkciniams diegimams, supaprastindama mažų ir vidutinių pramoninių objektų stebėjimo sistemas ir sumažindama vėlavimą tarp srauto fiksavimo ir grėsmių įspėjimų generavimo.
8.6 Ilgalaikis pasirengimas laikytis pasaulinių kibernetinio saugumo įgaliojimų
Kritinės infrastruktūros reguliavimo sistemos (pramoninio kibernetinio saugumo standartas IEC 62443, ES NIS2 direktyva, Šiaurės Amerikos CIP standartai energetikos įmonėms) įpareigoja visapusiškai ir nepakeistai registruoti tinklo srautą, kad būtų galima reaguoti į pažeidimus ir patvirtinti auditą. Variniai Ethernet pasyvieji prievadai užtikrina nekintamą neapdorotų paketų fiksavimą be kadrų sutrumpinimo ar modifikavimo, taip sugeneruodami priimtinus teismo ekspertizės įrodymus, kad SPAN veidrodinio prievado žurnalai negali sutapti dėl įgimto paketų praradimo ir ASIC filtravimo apribojimų.
9. Geriausia diegimo praktika: varinių TAP dydžių parinkimas, kabelių tiesimas ir didelio prieinamumo konfigūracija
Remdamiesi savo ILO-41 šviesolaidinio žiedo magistralės realaus pasaulio topologija, mes renkame praktines technines praktikas tinklo inžinieriams, projektuojantiems varinio Ethernet pasyviojo atšakų stebėjimo diegimus:
9.1 Sriegiklio dydžio skaičiavimo gairės
○Suskaičiuokite bendrą stebimų varinių BASE-T jungčių skaičių pramoninio žiedinės magistralės agregavimo jungiklio sistemoje, kad pasirinktumėte prievadų tankį: ML-TAP-2401B 16 varinių atšakų prievadų palaiko vidutinio ir didelio masto pramonės objektus su keliomis programų magistralės išėjimo jungtimis.
○Rezervuokite mažiausiai 2 SFP šviesolaidžio lizdus būsimam optinių pasyviųjų hibridinių stebėjimo stekų išplėtimui, kai ILO-41 žiedinė magistralė pritaikoma papildomoms gamybos zonoms.
○Apskaičiuokite bendrą stebimų jungčių pralaidumą: ML-TAP-2401B 24 Gbps pilno dvipusio ryšio pajėgumas palaiko iki 16 vienu metu veikiančių gigabito varinių jungčių, veikiančių 100 % didžiausiu pralaidumu ir be paketų praradimo.
9.2 Kabelių tiesimo ir fizinio diegimo standartai
○Tiesioginės varinės atšakos topologija (1 schema): tarp žiedinės magistralės agregavimo jungiklio ir ML-TAP-2401B įvesties prievadų išdėliokite ekranuotus „Cat6“ RJ45 kabelius, kad būtų išvengta elektromagnetinių trukdžių, būdingų pramoninėms valdymo patalpoms.
○Hibridinis optinis + varinis atšakų blokas (2 diagrama): pasyviajam optiniam skirstytuvui prieš varinį atšaką nurodykite mažo nuostolio vienmodžius šviesolaidinius jungiamuosius laidus, kad būtų išlaikytas signalo vientisumas tolimojo nuotolio šviesolaidiniuose žiediniuose magistraliniuose laiduose.
○Montavimas stelaže: Įrenkite „Mylinking“ varinį atšakos elementą klimatui kontroliuojamoje pramoninių serverių stelaže kartu su apsaugos serveriais ir „NOZOMI OT“ jutikliais; pastatykite įrenginį ne toliau kaip 5 metrų atstumu nuo stebimų gamybos komutatorių, kad sumažintumėte kabelių slopinimą.
9.3 Didelio prieinamumo stebėjimo konfigūracija
○Dvigubo stebėjimo įrankių srautai: atkurkite mūsų atskaitos topologiją, konfigūruodami lygiagrečius išvesties srautus, kad atskirtumėte IT ir OT analizės įrenginius, taip išvengdami vieno įrankio matomumo sutrikimų.
○Rezervinis maitinimo šaltinis: įrenginiuose, kuriuose gamybos metu nereikia jokių prastovų, į ML-TAP-2401B varinį atšakų korpusą įdiekite dvigubus 220 V kintamosios srovės maitinimo šaltinius; aparatinės įrangos apėjimo relės veikia kaip antrinė apsauga nuo gedimų.
○Žiedinės magistralės stebėjimo dubliavimas: itin svarbių energetikos paslaugų teikėjų ILO-41 diegimo atveju, įrengite antrinį varinį atšakos elementą ant dubliuoto šviesolaidinio žiedinio agregavimo jungiklio, kad būtų išlaikytas visiškas matomumas, jei pagrindinio magistralės jungiklio priežiūra būtų atliekama.
9.4 Pasyviosios atšakų įrangos priežiūros mažinimas
○Pasyviajai vario jungties įrangai nereikia jokių reguliarių programinės įrangos atnaujinimų ar konfigūracijos pakeitimų, todėl nereikia planinių priežiūros laikotarpių, reikalingų valdomo komutatoriaus SPAN prievado perkonfigūravimui.
○Kas ketvirtį atlikite fizinio kabelio vientisumo patikrinimus varinių atšakų prievaduose, kad išvengtumėte protarpinių ryšio gedimų, kurie sutrikdo tinklo srauto surinkimo kanalus.
○Nėra nuotolinės prieigos prie valdymo, todėl atakų paviršius sumažėja; visa aparatinės įrangos diagnostika atliekama naudojant vietinius fizinius LED būsenos indikatorius, esančius ML-TAP-2401B priekiniame skydelyje, todėl pašalinami nuotoliniai atakų vektoriai.
10. Dažnai užduodami techniniai klausimai (DUK) tinklo stebėjimo inžinieriams
Šiame DUK skyriuje nagrinėjamos ilgos „Google“ paieškos užklausos, skirtos vario atšakoms, pasyviems atšakoms ir pramoninio tinklo srauto surinkimui, ir atsakoma į dažniausiai inžinierių patiriamus sunkumus:
1 klausimas: Kuo skiriasi varinis atšaka, eterneto atšaka ir pasyvus atšaka?
Varinė jungtis (dar vadinama Ethernet jungtimi) apibūdina aparatinės įrangos terpės tipą: ji stebi gigabito BASE-T varines Ethernet jungtis per integruotus RJ45 prievadus. Pasyvi jungtis nurodo saugumo architektūrą: aparatinė įranga neturi IP steko, nuotolinio valdymo ar išnaudojamos programinės įrangos, todėl tarp gamybos ir stebėjimo zonų sukuriamas oro tarpas. „Mylinking ML-TAP-2401B“ sujungia abi klasifikacijas kaip pasyvi varinė Ethernet jungtis, skirta vieningam IT/OT tinklo stebėjimui.
2 klausimas: Ar varinis Ethernet čiaupas gali pakeisti jungiklio SPAN veidrodinius prievadus pramoniniam ICS stebėjimui?
Taip, ir tai primygtinai rekomenduojama itin svarbioms ILO-41 žiedinės magistralės aplinkoms. SPAN veidrodiniai prievadai praranda paketus srauto pikų metu, apkrauna procesoriaus procesorių gamybos komutatoriais ir turi potencialiai pažeidžiamas valdymo atakų sritis. Variniai Ethernet prievadai užtikrina garantuotą neprarandamą pilno dvipusio srauto surinkimą netrikdant pramoninės automatizacijos delsos ir neapsaugojant gamybos tinklų nuo papildomos kibernetinio saugumo rizikos.
3 klausimas: Ar „Mylinking ML-TAP-2401B“ variniam atšakui veikti reikalingas maitinimas? Kas nutinka, jei dingsta elektra?
Vario Ethernet signalams reikalingas PHY sluoksnio regeneravimas, todėl įrenginyje naudojami standartiniai dvigubi 100–240 V kintamosios srovės pramoniniai maitinimo šaltiniai. Nutrūkus elektros tiekimui, integruotos mechaninės apėjimo relės akimirksniu sujungia trumpai integruotą gamybinę Ethernet jungtį, visiškai atjungdamos atšakos įrangą nuo duomenų kelio, kad būtų palaikomas nenutrūkstamas ILO-41 žiedinės magistralės automatizavimo srautas. Grynai pasyviems optinio pluošto atšakoms nereikia maitinimo šaltinio ir jos naudojamos hibridinėse diegimo sistemose pagrindiniam šviesolaidinio tinklo stebėjimui.
4 klausimas: Ar vienas varinis ML-TAP-2401B čiaupas gali vienu metu maitinti kelis apsaugos stebėjimo įrenginius?
Taip, kaip parodyta mūsų pramoninėje topologijoje. Varinis atšaka kopijuoja identiškas viso srauto kopijas į atskirus išvesties prievadus, palaikydama lygiagretų įmonės saugos serverių, pramoninių OT jutiklių, paketų fiksavimo ir saugojimo įrenginių bei SIEM įrašymo įrangos tiekimą be papildomos agregavimo įrangos.
5 klausimas: Ar varinis Ethernet lizdas atitinka pramoninio kibernetinio saugumo standartus, tokius kaip IEC 62443?
Visiškai atitinka reikalavimus. Pasyvus oro tarpo dizainas pašalina šoninio judėjimo tarp zonų riziką, neprarandant duomenų paketų rinkimo atitinka nuolatinio magistralės stebėjimo reikalavimus, o maitinimo sutrikimų apėjimo relės pašalina vidinių aparatinės įrangos prastovų pavojų pramoninėse valdymo zonose, tokiose kaip ILO-41 programų žiedinė magistralė.
6 klausimas: Kada turėčiau diegti hibridinį optinį pasyvųjį atšakos ir varinių atšakų bloką vietoj atskiro varinio atšakos?
Stebėdami pagrindines šviesolaidinio pluošto (FO) žiedines magistralės linijas, kuriose maitinamos integruotos įrangos negalima tiesiogiai prijungti prie gamybos komutatorių, rinkitės hibridinį steką. Nulinės galios optinis skirstytuvas kopijuoja šviesolaidinį srautą prieš konvertavimą į varinį Ethernet, izoliuodamas maitinamą „Mylinking“ varinę atšakos įrangą nuo pagrindinės automatizavimo šviesolaidinio pluošto magistralės, kad sumažintumėte veikimo riziką.
11. Išvada: Užtikrinkite savo tinklo matomumo infrastruktūros ateitį naudodami „Mylinking TAP Solutions“
Kadangi pramoniniai OT tinklai, tokie kaip ILO-41 šviesolaidinio žiedo programų magistralė, ir toliau konverguoja su debesijos pagrindu veikiančia įmonių IT infrastruktūra, tinklo srauto fiksavimo aklosios zonos yra didžiausias kibernetinio saugumo pažeidžiamumas gamybos, energetikos ir svarbių paslaugų organizacijoms. Senesnės stebėjimo priemonės, įskaitant komutatorių SPAN veidrodinius prievadus ir pagrindiniuose kompiuteriuose veikiančius agentus, negali užtikrinti nuostolių neturinčio, nulinės rizikos matomumo, reikalingo pramoninei kenkėjiškai programinei įrangai, išpirkos reikalaujančių programų judėjimui ir protokolų anomalijoms aptikti prieš įvykstant brangiems gamybos sutrikimams ar duomenų nutekėjimui.
„Mylinking“ daugiaprievadis varinis Ethernet pasyvusis atšaka ML-TAP-2401B išsprendžia šias kritines spragas, derindamas keičiamo mastelio kelių medijų srauto agregavimą, pasyvios apsaugos architektūrą, pramoninės klasės patikimą apėjimo technologiją ir daugiafunkcį lygiagretų srauto paskirstymą viename stelaže montuojamame įrenginyje. Mūsų dvigubos pramoninio diegimo topologijos patvirtina du lanksčius integravimo kelius ILO-41 šviesolaidinių žiedinių magistralių aplinkoms: tiesioginį varinių atšakų diegimą linijoje, kad būtų supaprastintas nedidelio masto stebėjimas, ir hibridinį optinį pasyviųjų atšakų sujungimą, kad būtų užtikrintas itin svarbus šviesolaidinių magistralių matomumas su nulinės galios skirstytuvais.
Tinklo saugumo ir OT inžinierių komandoms, kurioms svarbiausia visiškas tinklo srauto surinkimas, nepertraukiamas gamybos veikimas ir atitiktis reglamentams, pasyvieji variniai Ethernet atšakos nebėra pasirenkama infrastruktūra – jos sudaro nepakeičiamą šiuolaikinių nulinio pasitikėjimo tinklo stebėjimo programų pagrindą. Visas „Mylinking“ varinių atšakų, optinių pasyviųjų atšakų ir tinklo matomumo įrangos portfelis siūlo individualiai pritaikytus sprendimus įmonių duomenų centrams, pramoninėms ICS žiedinių magistralių architektūroms ir kritinės infrastruktūros objektams visame pasaulyje.
Norėdami įvertinti savo IT/OT stebėjimo vamzdynui skirtą varinį ML-TAP-2401B atjungiklį, atsisiųskite visą techninį duomenų lapą iš oficialaus produkto puslapio:https://www.mylinking.com/mylinking-network-tap-ml-tap-2401b-product/
Įrašo laikas: 2026 m. birželio 25 d.
