TXOne Networks | EdgeFire 1012

EdgeFire jest to 10 portowe urządzenie IPS/IDS, które jest częścią rodziny Edge od firmy TXone Networks (TXOne Networks to firma która powstała w ramach współpracy firm Moxa oraz Trend Micro).

Implementacja urządzenia

EdgeFire może być skonfigurowany w jednym z dwóch trybów:

Gateway Mode - w tym trybie EdgeFire działa jako router i odpowiedzialny jest za segmentacje sieci na strefy bezpieczeństwa (LAN1, LAN2, DMZ oraz WAN1/WAN2). Komunikacja między strefami odbywa się z wykorzystaniem routingu oraz NAT. EdgeFire jako firewall monitoruje ruch między strefami na bazie skonfigurowanych reguł firewalla (inspekcja obejmuje filtrowanie adresów IP, portów, DPI dla protokołów przemysłowych, plików oraz znanych podatności na bazie sygnatur). 

Bridge Mode - w tym trybie EdgeFire odpowiedzialny jest za filtrowanie ruchu między wszystkimi swoimi fizycznymi portami. Urządzeniej jest transparentne dla adresacji IP - tzn. można do niego podłączyć kilka segmentów sieci, nawet o różnej adresacji. EdgeFire w tym trybie nie jest odpowiedzialny za routing. 

Oba tryby (Bridge oraz Gateway Mode) mogą być dodatkowo skonfigurowane w jednym z dwóch trybów blokowania/logowania wykrytych naruszeń:

• Monitor Mode - w tym trybie wszystkie naruszenia polityk bezpieczeństwa (reguł firewalla) są tylko logowane. 
• Prevention Mode - w tym trybie urządzenie realnie zaczyna blokować wszelkie naruszena reguł bezpieczeństwa. Urządzenie nie będzie blokować ruchu bez wyraźnej zgody administratora systemu. 

Virtual patching

EdgeFire zasilany jest bazą sygnatur (w ramach organizacji Zero Day Initiative (ZDI)). Daje to ochronę przez znanymi podatnościami (znanymi zagrożeniami) przede wszystkim urządzeniom starszego typu, które nie są wspierane i aktualizowane przez producenta. Dodatkowo silnik sygnaturowy może być wykorzystany do wirtualnej aktualizacji urządzeń, które mogą być zaktualizowane dopiero w kolejnym oknie serwisowym (np. za pół roku) oferując w ten sposób szybką ochronę przed znanymi zagrożeniami. Aktualizacja bazy sygnatur może być w pełni zautomatyzowana (z wykorzystaniem konsoli EdgeOne) oraz nie wymaga restartu urządzenia. 

DPI (Głęboka Inspekcja Pakietów) dla protokołów OT

Większość protokołów komunikacyjnych w OT jest nieszyfrowana. Aby "dobezpieczyć" komunikację przemysłową można wykorzystać EdgeFire jako whitelisting komend/rozkazów dla protokołów przemysłowych. Na przykład system SCADA komunikujący się po protokole Modbus TCP może korzystać z komend Modbus Read Only, natomiast dyspozytornia możne wykorzystywać komendy również Write. Tworząc odpowiednie polityki bezpieczeństwa na EdgeFire możemy takie zadanie zrealizować. Firewall aplikacyjny zadba o to, aby poszczególne funkcje, komendy dla danego protokołu komunikacyjnego byłu dopuszczane lub blokowane. 
W EdgeFire wspierana jest większość otwartych protokołów OT m.in. Modbus TCP, BACNet, CIP, FINS, MELSOFT, Profinet, S7Comm, DNP3, SLMP, IEC 61850 (GOOSE, MMS), IEC 104 i inne. 

Przykład tworzenia profilu DPI dla protokołu Modbus TCP.

Tryb nauki - ułatwienie w tworzeniu reguł firewalla 

Tworzenie polityk bezpieczeństwa może być czasochłonnym zajęciem. Zwłaszcza z uwzględnieniem polityk DPI, których poprawne utworzenie wymaga szczegółowej znajomości systemu - kto z kim się komunikuje i na jakich zasadach. Aby ten proces uprościć w EdgeFire dostępna jest funkcja Policy Rule Auto-Learning. 

• EdgeFire posiada funkcję Policy Rule-Autolearning, której zadaniem jest przygotowanie reguł Policy Enforcement dla ruchu sieciowego
• EdgeFire możemy włączyć w tryb nauki – na przykład na 1h lub 1 tydzień
• Ruch sieciowy, który w trybie nauki przez urządzenie będzie transferowany zostanie wykorzystany do wygenerowania reguł.
• Po etapie nauki użytkownik może wybrać które reguły chce, aby zostały wykorzystane (jest możliwość edycji reguł jako wynik nauki lub później).
• Policy Rule Auto-Learning jest w stanie rozpoznać protokoły OT i utworzyć dla nich odpowiedni profil DPI
• Proces nauki można powtarzać – np. w przypadku zmian w systemie, EdgeFire może nauczyć się nowego ruchu.
• W czasie nauki silnik sygnaturowy jest wykorzystywany do wykrywania znanych zagrożeń (użytkownik może wybrać tryb pracy - monitor lub prevention nawet w trybie nauki). 

Przykład reguł wygenerowanych przez funkcję Policy Rule Auto-Learning

EdgeIPS - porównanie funkcjonalności produktów z całej rodziny