Beispiel-Prozess zur Bereitstellung einer neuen Maschine

Eine Schritt-für-Schritt-Anleitung zur Einbindung einer neuen Maschine in Access Gate, von der Aufnahme in das Asset-Inventar bis hin zu einer Enklave, die nur die erforderlichen Zugriffe erlaubt.

Dieses Dokument beschreibt einen Beispielablauf für die Inbetriebnahme einer neuen Maschine in Access Gate in drei Schritten: Inventarisierung, Beschreibung und Zugriff.

Verwenden Sie es als Vorlage. Passen Sie die Felder, Assets und Protokolle an Ihre eigene Anlage und Ihr eigenes Runbook an, und haken Sie jeden Schritt ab.

Das folgende Beispiel nimmt eine Wasserpumpe an einer Hebestation in Betrieb. Die gleiche Abfolge gilt für eine PLC, ein HMI, eine CNC oder eine Kamera.

Schritt 1: Maschine zum Asset-Inventar hinzufügen

Beginnen Sie mit dem Minimum, das Access Gate ermöglicht, die Maschine zu erkennen und anzusprechen.

Öffnen Sie das Asset-Inventar und wählen Sie Add new Asset.
Vergeben Sie einen Asset-Namen, den ein Bediener wiedererkennt, nicht nur einen Hostnamen.
Tragen Sie die IP ein. Verwenden Sie Add IP, wenn die Maschine mehr als eine Schnittstelle hat.
Fügen Sie die Services hinzu, die sie bereitstellt, zum Beispiel modbus/tcp und ssh:22. Verwenden Sie Add Service für jeden einzelnen.
Speichern.

Hinzufügen eines neuen Assets mit Name, IP und Services

Informationen zur Erkennung bereits im Netzwerk vorhandener Assets anstelle der manuellen Erfassung finden Sie unter Building an Asset Inventory.

Schritt 2: Bekannte Informationen ergänzen

Das Asset existiert nun. Dieser Schritt verwandelt eine IP-Adresse in etwas Identifizierbares.

Öffnen Sie das Asset und wählen Sie Edit overview.
Füllen Sie alle verfügbaren Felder aus: asset tag, model, serial, category, location, installation date, status und security level.
Schreiben Sie eine description. Dieses Feld zahlt sich später aus.

Bearbeitung der Asset-Übersicht mit Tag, Modell, Seriennummer, Standort und Security Level

Keines dieser Felder ist Pflicht, und es ist verlockend, sie zu überspringen. Sie machen das Inventar bei einem Audit oder einem Vorfall nutzbar, und der security level bestimmt insbesondere, wie das Asset an anderer Stelle in der Plattform behandelt wird.

Eine nützliche Beschreibung erklärt, was die Maschine tut und womit sie verbunden ist, nicht nur, was sie ist. Das obige Beispiel enthält Modell und Seriennummer, den Schaltschrank, in dem sie sich befindet, die beiden Tauchpumpen, die sie im Haupt-/Standbybetrieb antreibt, die RS-485-Verbindung zum Gateway im selben Schrank sowie die Tatsache, dass SCADA sie über den Funklink abfragt. Das ist der Kontext, den ein Ingenieur um 3 Uhr nachts benötigt.

Schritt 3: Enclave erstellen und erforderlichen Zugriff erlauben

Die Maschine ist inventarisiert und beschrieben. Noch kann nichts auf sie zugreifen. Dieser Schritt gewährt den spezifischen Zugriff, den sie benötigt.

Erstellen Sie eine Enclave für die Maschine, oder fügen Sie sie einer vorhandenen hinzu, wenn sie zu bereits dort gruppierten Assets gehört. Im Beispiel wird die Pumpe der Enclave Cedar Street Lift Station zusammen mit den beiden HMIs am selben Standort hinzugefügt.
Geben Sie der Enclave eine Beschreibung und einen Verantwortlichen, damit ein Name vorhanden ist, wenn jemand fragt, wer Änderungen genehmigt.
Öffnen Sie Edit principals und legen Sie für jede Person fest, welche Services der Maschine sie erreichen kann.
Erlauben Sie nur das, was jeder Principal tatsächlich benötigt, und lassen Sie den Rest gesperrt.

Enclave-Berechtigungsmatrix, die jedem Principal den Zugriff pro Service auf die Wasserpumpe gewährt

Die Berechtigungsmatrix ist der eigentliche Kern dieses Schritts. Jede Zeile ist ein Principal, jede Spalte einer der in Schritt 1 deklarierten Services, und jede Zelle ist eine explizite Erlaubnis oder Sperrung. Im obigen Beispiel erreichen die beiden Ingenieure die Pumpe über ssh:22 für Wartungsarbeiten, niemand erreicht sie über modbus/tcp:502 von außen, und die Pumpe behält Local Access zu ihren eigenen Services, sodass der Prozess selbst nicht beeinträchtigt wird.

Bestätigen Sie, dass der erwartete Datenverkehr erscheint und kein anderer.

Da die Enclave standardmäßig ablehnt, zeigt sich ein vergessener Datenfluss als nicht funktionierende Verbindung, nicht als unbemerkte Öffnung. Fügen Sie ihn hinzu, wenn er auftritt. Die vollständige Beschreibung finden Sie unter Protecting an Asset with Enclaves.

Was erreicht wurde

In den drei Schritten haben wir:

Die Maschine mit Name, Adressierung und Services inventarisiert, die für den Zugriff erforderlich sind.
Sie so beschrieben, dass ein Auditor oder ein Einsatzkraft sie ohne Vor-Ort-Besuch identifizieren kann.
Nur den erforderlichen Zugriff gewährt, innerhalb einer Enclave, die standardmäßig alles andere ablehnt.

Die Maschine wurde von unbekannt auf geschützt überführt, ohne jegliche Konfiguration an der Maschine selbst. Jeder Schritt erfolgte in Access Gate, und der hinterlassene Datensatz ist gleichzeitig der Nachweis, den Sie benötigen, wenn jemand fragt, was sich im Netzwerk befindet und wer darauf zugreifen kann.