TXOne Networks | EdgeIPS Pro 2008

EdgeIPS Pro 2008 to ośmioportowe urządzenie IPS/IDS, które jest częścią rodziny EdgeIPS od firmy TXone Networks (TXOne Networks to firma która powstała w ramach współpracy firm Moxa oraz Trend Micro). Porty Ethernet w modelu EdgeIPS 2008 pracują w parach – urządzenie nie obsługuje 8 niezależnych interfejsów, lecz 4 logiczne połączenia (pary portów).

Implementacja urządzenia

Pod kątem adresacji IP urządzenie jest w pełni transparentne. EdgeIPS to rodzina produktów dedykowana do mikrosegmentacji, monitoriwania i inspekcji ruchu sieciowego typu wschód-zachód (do segmentacji sieci dedykowany jest EdgeFire). 
EdgeIPS może być skonfigurowany w jednym z dwóch trybów:

Inline Mode - czyli urządzenie wpięte jest bezpośrednio w linię. W tym trybie możliwa jest ochrona kilku urządzeń końcowych. EdgeIPS może być również wpięty w linię między dwa przełączniki zarządzalne na interfejsach typu trunk (wspierana jest inspekcja ruchu i tworzenie polityk bezpieczeństwa w uwzględnieniem znacznika VLAN ID). Tryb inline pozwala na wybranie dodatkowo jednego z dwóch trybów pracy firewalla:

• Monitor Mode - w tym trybie wszystkie naruszenia polityk bezpieczeństwa (reguł firewalla) są tylko logowane. 
• Prevention Mode - w tym trybie urządzenie realnie zaczyna blokować wszelkie naruszena reguł bezpieczeństwa. Urządzenie nie będzie blokować ruchu bez wyraźnej zgody administratora systemu. 

W przypadku awarii EdgeIPS, w trybie inline, automatycznie zadziała funkcja Fail Safe w postaci sprzętowego bypassu - ruch między wybraną parą portów zostanie automatycznie wznowiony (w EdgeIPS Pro 2008 możliwe jest skonfigurowanie trybu pracy funkcji bypass). 

Offline mode  - urządzenie zasilane jest kopią ruchu sieciowego - np. ze SPAN portu. W tym trybie możliwa jest inspekcja ruchu sieciowego na bazie polityk bezpieczeństwa. Naruszenia reguł mogą być jedynie raportowane (realne blokowanie pakietów może być zaimplementowane tylko w trybie inline mode). 

Virtual patching

EdgeIPS zasilany jest bazą sygnatur (w ramach organizacji Zero Day Initiative (ZDI)). Daje to ochronę przez znanymi podatnościami (znanymi zagrożeniami) przede wszystkim urządzeniom starszego typu, które nie są wspierane i aktualizowane przez producenta. Dodatkowo silnik sygnaturowy może być wykorzystany do wirtualnej aktualizacji urządzeń, które mogą być zaktualizowane dopiero w kolejnym oknie serwisowym (np. za pół roku) oferując w ten sposób szybką ochronę przed znanymi zagrożeniami. Aktualizacja bazy sygnatur może być w pełni zautomatyzowana (z wykorzystaniem konsoli EdgeOne) oraz nie wymaga restartu urządzenia. 

DPI (Głęboka Inspekcja Pakietów) dla protokołów OT

Większość protokołów komunikacyjnych w OT jest nieszyfrowana. Aby "dobezpieczyć" komunikację przemysłową można wykorzystać EdgeIPS jako whitelisting komend/rozkazów dla protokołów przemysłowych. Na przykład system SCADA komunikujący się po protokole Modbus TCP może korzystać z komend Modbus Read Only, natomiast dyspozytornia możne wykorzystywać komendy również Write. Tworząc odpowiednie polityki bezpieczeństwa na EdgeIPS możemy takie zadanie zrealizować. Firewall aplikacyjny zadba o to, aby poszczególne funkcje, komendy dla danego protokołu komunikacyjnego byłu dopuszczane lub blokowane. 
W EdgeIPS wspierana jest większość otwartych protokołów OT m.in. Modbus TCP, BACNet, CIP, FINS, MELSOFT, Profinet, S7Comm, DNP3, SLMP, IEC 61850 (GOOSE, MMS), IEC 104 i inne. 

Przykład tworzenia profilu DPI dla protokołu Modbus TCP.

Tryb nauki - ułatwienie w tworzeniu reguł firewalla 

Tworzenie polityk bezpieczeństwa może być czasochłonnym zajęciem. Zwłaszcza z uwzględnieniem polityk DPI, których poprawne utworzenie wymaga szczegółowej znajomości systemu - kto z kim się komunikuje i na jakich zasadach. Aby ten proces uprościć w EdgeIPS dostępna jest funkcja Policy Rule Auto-Learning. 

• EdgeIPS posiada funkcję Policy Rule-Autolearning, której zadaniem jest przygotowanie reguł Policy Enforcement dla ruchu sieciowego
• EdgeIPS możemy włączyć w tryb nauki – na przykład na 1h lub 1 tydzień
• Ruch sieciowy, który w trybie nauki przez urządzenie będzie transferowany zostanie wykorzystany do wygenerowania reguł.
• Po etapie nauki użytkownik może wybrać które reguły chce, aby zostały wykorzystane (jest możliwość edycji reguł jako wynik nauki lub później).
• Policy Rule Auto-Learning jest w stanie rozpoznać protokoły OT i utworzyć dla nich odpowiedni profil DPI
• Proces nauki można powtarzać – np. w przypadku zmian w systemie EdgeIPS może nauczyć się nowego ruchu.
• W czasie nauki silnik sygnaturowy jest wykorzystywany do wykrywania znanych zagrożeń (użytkownik może wybrać tryb pracy - monitor lub prevention nawet w trybie nauki). 

Przykład reguł wygenerowanych przez funkcję Policy Rule Auto-Learning

Konfigurowalny bypass

EdgeIPS Pro 2008 posiada mechanizm fail safe. Odpowiadające sobie pary portów LAN posiadają bypass, które można skonfigurować w jednym z trzech trybów:

• W trybie FAIL OPEN – w przypadku wystąpienia awarii, ruch sieciowy między portami w danej parze (np. P1 i P2) zostanie bardzo szybko wznowiony
• W trybie FAIL CLOSE – w przypadku wystąpienia awarii, ruch sieciowy miedzy portami w danej parze jest blokowany. Możesz utracić dostęp do urządzeń OT
• W trybie FORCE OPEN EdgeIPS przekazuje ruch miedzy portami w parze bez skanowania.

Tryb FORCE OPEN można włączyć gdy port zarządzający wybrany jest jako port MGMT

LFPT – Link Fault Pass Through – przekazywanie stanu połączenia na drugi port. Na przykład w przypadku odłączenia urządzenia podłączonego do P2, Port P1 automatycznie przechodzi w status DOWN

EdgeIPS - porównanie funkcjonalności produktów z całej rodziny