Trennen Sie IT von OT, ohne Ihr Netzwerk zu ändern.
Trout Access Gate ist eine On-Premise-Appliance, die eine Industrial DMZ zwischen Büronetz und Produktionshalle aufbaut. Nur zugelassener Verkehr überquert die IT/OT-Grenze. Ein kompromittierter Laptop erreicht die Produktion daher nicht.
Zuletzt aktualisiert:
Das Problem heute
In einem flachen Netzwerk erreicht ein einziger kompromittierter Rechner die SPS direkt. Mit der Zeit sammelt eine Industrial DMZ Ausnahmen an, bis sie IT und OT nicht mehr trennt. Steuern Sie, welche Zonen miteinander sprechen dürfen, mit einem benannten Benutzer hinter jeder Sitzung.
Warum flache OT-Netzwerke an der IT/OT-Grenze versagen.
In einem flachen oder nur leicht segmentierten Anlagennetz teilen sich Historian, Engineering-Workstation, SCADA-Server und SPS dasselbe Netz. Diese Netze wurden für Zuverlässigkeit gebaut, und über Jahre kam weitere Konnektivität hinzu.
Eine Industrial DMZ soll auf Level 3.5 zwischen Unternehmens-IT und OT liegen. Sie vermittelt nur die wenigen Flüsse, die die Grenze passieren müssen: Historian-Feed, Patch-Verteilung und Fernzugriff. Mit der Zeit sammelt sie Dienste und Ausnahmen an und wird zu einer weiteren vertrauenswürdigen Zone.
Angreifer nutzen diese Lücke. OT-Vorfälle beginnen oft an einer per Phishing kompromittierten Workstation oder an einer Lieferantenverbindung mit zu vielen Rechten. Von dort bewegen sich Angreifer hinunter ins Steuerungsnetz.
IEC 62443 Zonen und Conduits in der iDMZ.
IEC 62443 gibt der DMZ durchsetzbare Regeln. Eine Zone ist eine Gruppe von Maschinen mit gemeinsamem Sicherheitsniveau. Ein Conduit ist der kontrollierte Pfad zwischen zwei Zonen. Er legt fest, welcher Verkehr passieren darf. Eine Industrial DMZ ist der Conduit zwischen der Unternehmenszone und den OT-Zonen.
Schwierig ist der Aufbau der Conduits in einem laufenden Netzwerk. Meist bedeutet das ein VLAN-Redesign. Geräte bekommen neue Adressen, Switches werden neu konfiguriert, und die Produktion steht für die Umstellung still. Wegen dieser Ausfallzeit bleiben viele Netzwerke flach, und die iDMZ bleibt ein Diagramm.
Eine Industrial DMZ in zwei Phasen einführen.
Neben dem bestehenden Netzwerk bereitstellen.
Access Gate wird an der Level-3.5-Grenze an das bestehende Netzwerk angebunden. Es erstellt ein DMZ-Overlay über die Zonen, und zonenübergreifender Verkehr läuft über seine authentifizierten Proxys. Ihre VLANs bleiben unverändert. Auf SPS und anderen OT-Maschinen wird nichts installiert, und die Produktion läuft weiter. Sichtbarkeit und identitätsbasierte Zugriffskontrolle sind an einem Tag aktiv.
Hinter dem Gate konsolidieren.
Das Overlay wird zur Durchsetzungsebene. Systeme wandern über den Proxy hinter das Gate, und die Switches bleiben, wo sie sind. Access Gate übernimmt dann die Rolle der iDMZ. Es prüft industrielle Protokolle Paket für Paket und setzt Richtlinien pro Benutzer, Gerät und Protokoll durch. Es führt ein per Hash verkettetes Sitzungsprotokoll. Diese Konsolidierung dauert wenige Tage. Ein klassisches Projekt dauert Monate.
Die iDMZ und NIS2 Artikel 21 sowie IEC 62443.
Die Proxy-basierte DMZ deckt die technischen Maßnahmen von NIS2 Artikel 21 ab. Für die Netzwerksegmentierung baut sie Zonen und Conduits ohne Neuverkabelung. Für die Zugriffskontrolle prüft sie die Identität und erzwingt MFA am Proxy. Jeder Benutzer erreicht nur die Maschinen und Protokolle, die er braucht. Für die Protokollierung erfasst sie jede zonenübergreifende Sitzung mit Benutzer, Zeitstempel und Protokoll. Dieses Protokoll ist per Hash verkettet.
Die Zonen und Conduits der IEC 62443 sind die anerkannte technische Umsetzung dieser Pflichten. Die ANSSI und gleichwertige nationale Leitlinien stützen sich auf dieses Modell, um Segmentierung nachzuweisen. Access Gate erzeugt diesen Nachweis ab der ersten Sitzung. Sie rekonstruieren ihn nicht in der Woche vor einem Audit.
Wo Anlagen die iDMZ einsetzen.
Eine Anlage ohne Wartungsfenster.
Dieser Standort hat die Segmentierung jahrelang aufgeschoben. Sie hätte eine Firewall-Neugestaltung und Produktionsausfälle bedeutet. Das Overlay bringt die IT/OT-Grenze an einem Tag unter Kontrolle, ohne das physische Netzwerk anzutasten. In den folgenden Tagen wandern die Systeme hinter das Gate.
Mehr erfahrenMaschinen vieler Hersteller.
Eine Gruppe betreibt Siemens in einer Anlage, Rockwell in der nächsten und Schneider in einer dritten. Sie kann sich nicht auf die Werkzeuge eines einzelnen Herstellers festlegen. Das DMZ-Overlay funktioniert mit jedem Hersteller. Es setzt Zonen und Conduits oberhalb der SPS und Protokolle jedes Standorts durch, mit einer zentralen Richtlinie für alle.
Mehr erfahrenSicherer Lieferantenzugriff ins OT.
Lieferanten überschreiten die Grenze oft für den Fernsupport. Die iDMZ leitet jede Lieferantensitzung über einen authentifizierten Proxy. Jede Sitzung ist auf eine Maschine und ein Protokoll beschränkt und wird vollständig aufgezeichnet. Eine Lieferantensitzung öffnet nie einen Weg ins flache Netzwerk.
Mehr erfahrenEine klare Grenze zwischen IT und OT.
Sie richten eine Industrial DMZ ein, ohne das Netzwerk umzubauen. Die Produktion läuft weiter, und Ihr eigenes Team kann es übernehmen.
Ihr LAN bleibt, wie es ist.
Die DMZ-Kontrollen setzen auf Ihrem vorhandenen Netzwerk auf.
Jeder Übergang läuft über einen Proxy.
Verkehr zwischen Zonen passiert einen authentifizierten Proxy. Maschinen bleiben für Unbefugte unsichtbar.
Industrieller Verkehr wird geprüft.
Access Gate prüft industrielle Protokolle Paket für Paket.
Alte Maschinen sind abgedeckt.
SPS, HMI, SCADA und DCS sind geschützt, ohne Änderung an den Geräten.
Jeder Flow ist festgelegt.
Sie legen jeden Pfad fest, bei Bedarf in nur eine Richtung. Jeder Pfad wird protokolliert.
Sie entscheiden, wer worauf zugreift.
Legen Sie den Zugriff pro Benutzer, Gerät und Protokoll an jeder Zonengrenze fest.
Laden Sie das Access Gate Datenblatt herunter.
Erhalten Sie die vollständige Produktübersicht mit technischen Funktionen, Bereitstellungsmodell, Compliance-Ausrichtung und Kundenreferenzen.
Inhalt
Produktarchitektur, Bereitstellungsmodell, wichtige Funktionen (Proxy-Durchsetzung, Mikro-DMZs, identitätsbasierter Zugriff), Compliance-Ausrichtung und reale Kundenimplementierungen.
In der Praxis erleben
Fordern Sie eine Live-Demo an, um zu sehen, wie der Access Gate in Ihrem Netzwerk bereitgestellt wird, ohne Umverkabelung oder Ausfallzeiten.
Fragen zur Industrial DMZ.
Erforderliche Netzwerkänderung: eine Route auf Ihrem bestehenden Router. Access Gate zieht die Grenzen auf der Anwendungsschicht. Ihre VLANs und Ihre Verkabelung bleiben, wie sie sind.
Nein. Access Gate erstellt eine logische Segmentierung auf der Anwendungsschicht, über Ihrem bestehenden Netzwerk. Sie fügen eine Route auf Ihrem bestehenden Router hinzu. Ihre VLANs bleiben, wie sie sind. Die Produktion läuft weiter, während Sie die Zonengrenzen durchsetzen.
Herkömmliche Firewalls segmentieren auf der Netzwerkschicht und erfordern Topologieänderungen. Access Gate segmentiert auf der Anwendungsschicht. Es setzt Richtlinien pro Benutzer, pro Gerät und pro Protokoll durch. Ihr physisches und logisches Netzwerkdesign bleibt gleich. Deshalb passt es in Brownfield-Umgebungen.
Ja. Access Gate schützt Geräte, ohne dass etwas darauf installiert wird. SPS, HMI, SCADA-Systeme und DCS-Controller werden durch Proxy-Bastionen geschützt, über die jeder Zugriff läuft. Die Geräte müssen keine modernen Sicherheitsprotokolle unterstützen.
Eine Proxy-Bastion ist ein authentifiziertes Gateway für den gesamten Verkehr über eine Zonengrenze. Benutzer und Geräte müssen sich authentifizieren, bevor der Verkehr weitergeleitet wird. Die Bastion prüft außerdem industrielle Protokolle Paket für Paket. Sie zeichnet vollständige Sitzungsprotokolle für Audits auf.
Ja. Access Gate läuft vollständig On-Premise, ohne Cloud-Abhängigkeit. Es ist für Air-Gap-, Hybrid- und klassifizierte Umgebungen ausgelegt, in denen Daten den Netzwerkperimeter nicht verlassen dürfen.
Die Proxy-basierte DMZ liefert die Netzwerksegmentierung, Zugriffskontrolle und Protokollierung, die NIS2 Artikel 21 verlangt. Sie setzt außerdem das Zonen- und Conduit-Modell der IEC 62443 um. Jede zonenübergreifende Sitzung ist an die Identität eines Benutzers gebunden. Jede Sitzung wird in einem per Hash verketteten Protokoll erfasst, in dem jede Änderung erkennbar ist. Auditnachweise entstehen ab der ersten Sitzung, und Sie müssen sie vor einer Prüfung nicht rekonstruieren.
Eine OT-DMZ, auch Industrial DMZ oder IDMZ genannt, ist die Pufferzone zwischen dem IT-Netz des Unternehmens und dem OT-Netz. Sie liegt auf Ebene 3.5 des Purdue-Modells. Nur vermittelte Verbindungen durchqueren sie, etwa der Historian-Feed, die Patch-Verteilung und der Fernzugriff. Kein Verkehr geht direkt von der IT ins Steuerungsnetz. IEC 62443 behandelt sie als Conduit zwischen Zonen.
Eine IT-DMZ stellt Dienste ins Internet bereit, etwa einen Web- oder Mailserver. Eine Industrial DMZ liegt innerhalb des Unternehmens zwischen IT und OT. Sie schützt das Steuerungsnetz vor dem Büronetz. Ihre Regeln sind strenger. Keine Sitzung geht direkt von der IT in die OT. Jeder Übergang wird vermittelt und protokolliert, und auf den SPS dahinter wird nichts installiert.
Das Gate ist der erste Dienst, den Sie betreiben, nicht der letzte.
Live erleben
Vereinbaren Sie eine Live-Demo. Sehen Sie, wie Access Gate das Netzwerk einer Anlage segmentiert, während die Produktion weiterläuft.