Подключение Kaspersky Industrial CyberSecurity for Networks к промышленной сети через диод данных

Для подключения Kaspersky Industrial CyberSecurity for Networks к промышленной сети вы можете дополнительно использовать специальные устройства, обеспечивающие одностороннюю передачу данных из промышленной сети. Такие устройства называются диодами данных.

Получение трафика промышленной сети через диоды данных

Для передачи трафика промышленной сети в Kaspersky Industrial CyberSecurity for Networks диоды данных должны поддерживать передачу сетевых пакетов без фильтрации для всех протоколов канального уровня, включая служебные протоколы. Диоды данных устанавливаются на линиях соединений точек мониторинга Kaspersky Industrial CyberSecurity for Networks и SPAN-портов сетевых коммутаторов.

На рисунке ниже показана схема развертывания с подключением через диод данных к точке мониторинга на Сервере. Через диод данных поступает трафик от SPAN-порта сетевого коммутатора в промышленной сети. В этой схеме применяется способ установки Сервера без внешних сенсоров.

Схема, иллюстрирующая подключение диода данных на канале связи между SPAN-портом сетевого коммутатора в промышленной сети предприятия и точкой мониторинга на Сервере программы. Программа получает сетевой трафик только через этот диод данных.

Типовая схема с подключением Сервера через диод данных

На рисунке ниже показана схема развертывания с подключением нескольких сенсоров Kaspersky Industrial CyberSecurity for Networks через диоды данных. Через диоды данных поступает трафик от SPAN-портов сетевых коммутаторов в промышленной сети. В этой схеме применяется способ установки Сервера и трех сенсоров.

Схема, иллюстрирующая подключение диодов данных на каждом канале связи между SPAN-портами сетевых коммутаторов в промышленной сети предприятия и точками мониторинга на сенсорах программы. Программа получает сетевой трафик только через эти диоды данных.

Типовая схема с подключением сенсоров через диоды данных

Если вы хотите дополнительно разграничить сегменты промышленной сети, в которых установлены сенсоры, и сегмент выделенной сети Kaspersky Industrial CyberSecurity, в котором установлен Сервер, вы можете использовать межсетевой экран на линиях соединений сенсоров и Сервера.

Получение трафика промышленной сети и работа в режиме интеграции с EPP-приложениями через диоды данных

При работе в режиме интеграции с EPP-приложениями возможности передачи данных через диоды должны поддерживаться как на стороне диодов данных, так и на стороне EPP-приложений.

На рисунке ниже показана схема развертывания для случая, когда на сенсоры Kaspersky Industrial CyberSecurity for Networks поступает трафик от SPAN-портов сетевых коммутаторов и данные телеметрии от EPP-приложений из нескольких технологических площадок.

Схема, иллюстрирующая подключение EPP-приложений и SPAN-портов сетевых коммутаторов через диоды данных к сенсорам программы. Для данных телеметрии и сетевого трафика используются диоды данных с разными функциональными возможностями.

Схема получения трафика и данных от EPP-приложений на сенсоры

Трафик от SPAN-портов сетевых коммутаторов поступает на точки мониторинга сенсоров Kaspersky Industrial CyberSecurity for Networks через диоды данных, которые поддерживают передачу сетевых пакетов без фильтрации для всех протоколов канального уровня, включая служебные протоколы.

Данные телеметрии от EPP-приложений поступают на сенсоры через сетевые интерфейсы, которые не используются в качестве точек мониторинга. Эти данные передаются в виде сообщений по протоколу MQTT, поэтому для их передачи диоды данных должны поддерживать функциональность MQTT-брокера. Для приема и обработки поступающих MQTT-сообщений используются компьютеры-подписчики с установленными EPP-приложениями.

Отправку и прием MQTT-сообщений с данными телеметрии выполняют программные компоненты Endpoint Agent. Для получения дополнительных сведений о настройке EPP-приложений при такой схеме передачи данных телеметрии вы можете обратиться к вашему персональному техническому менеджеру (TAM).

Для разграничения сегментов технологических площадок и сегмента сети демилитаризованной зоны используется межсетевой экран.

В начало