Separe IT de OT sin cambiar su red.
Trout Access Gate es un appliance on-premise que crea una DMZ industrial entre la red de oficina y la planta. Solo el tráfico autorizado cruza la frontera IT/OT. Por eso un portátil comprometido no puede alcanzar la producción.
Última actualización:
El problema hoy
En una red plana, un solo equipo comprometido puede alcanzar los PLC directamente. Con el tiempo, una DMZ industrial acumula excepciones hasta que deja de separar IT de OT. Controle qué zonas pueden comunicarse entre sí, con un usuario identificado detrás de cada sesión.
Por qué las redes OT planas fallan en la frontera IT/OT.
En una red de planta plana o poco segmentada, el historiador, la estación de ingeniería, el servidor SCADA y los PLC comparten la misma red. Estas redes se diseñaron para la fiabilidad, y la conectividad se fue añadiendo durante años.
Una DMZ industrial debería situarse entre la IT corporativa y la OT, en el nivel 3.5. Solo intermedia los pocos flujos que deben cruzar: el del historiador, la distribución de parches y el acceso remoto. Con el tiempo, acumula servicios y excepciones y se convierte en otra zona de confianza.
Los atacantes aprovechan ese hueco. Los incidentes OT suelen empezar en una estación víctima de phishing o en una conexión de proveedor con demasiados permisos. Desde ahí, los atacantes bajan hacia la red de control.
Zonas y conductos de IEC 62443 en la iDMZ.
IEC 62443 da a la DMZ reglas que se pueden aplicar. Una zona es un grupo de máquinas que comparten un nivel de seguridad. Un conducto es la vía controlada entre dos zonas. Define qué tráfico puede cruzar. Una DMZ industrial es el conducto entre la zona corporativa y las zonas OT.
Construir los conductos en una red en funcionamiento es la parte difícil. Suele implicar un rediseño de VLAN. Los equipos cambian de dirección, los switches se reconfiguran y la producción se detiene para la migración. Por esa parada, muchas redes siguen planas y la iDMZ se queda en un diagrama.
Desplegar una DMZ industrial en dos fases.
Desplegar junto a la red existente.
Access Gate se conecta a la red existente en la frontera del nivel 3.5. Crea un overlay de DMZ entre las zonas, y el tráfico entre zonas pasa por sus proxies autenticados. Sus VLAN no cambian. No se instala nada en los PLC ni en otras máquinas OT, y la producción sigue en marcha. La visibilidad y el control de acceso basado en identidad quedan operativos en un día.
Consolidar detrás de la pasarela.
El overlay se convierte en la capa que aplica las reglas. Los sistemas pasan detrás de la pasarela a través de su proxy, y los switches siguen en su sitio. Access Gate actúa entonces como la iDMZ. Inspecciona los protocolos industriales paquete a paquete y aplica políticas por usuario, dispositivo y protocolo. Mantiene un registro de sesiones encadenado por hash. Esta consolidación lleva unos días. Un proyecto tradicional lleva meses.
La iDMZ frente al artículo 21 de NIS2 e IEC 62443.
La DMZ basada en proxy cubre las medidas técnicas del artículo 21 de NIS2. Para la segmentación de red, crea zonas y conductos sin recablear. Para el control de acceso, comprueba la identidad y aplica MFA en el proxy. Cada usuario solo alcanza las máquinas y protocolos que necesita. Para el registro, guarda cada sesión entre zonas con usuario, marca de tiempo y protocolo. Ese registro está encadenado por hash, y cualquier alteración es detectable.
Las zonas y conductos de IEC 62443 son la implementación técnica reconocida de esas obligaciones. ANSSI y las guías nacionales equivalentes se apoyan en este modelo para demostrar la segmentación. Access Gate produce esa evidencia desde la primera sesión. Usted no tiene que reconstruirla la semana antes de una auditoría.
Dónde usan las plantas la iDMZ.
Una planta sin ventana de mantenimiento.
Este sitio lleva años posponiendo la segmentación. Implicaba rehacer el firewall y parar la producción. El overlay pone la frontera IT/OT bajo control en un día, sin tocar la red física. Los sistemas pasan después detrás de la pasarela en los días siguientes.
Aprender másMáquinas de muchos fabricantes.
Un grupo opera Siemens en una planta, Rockwell en la siguiente y Schneider en una tercera. No puede estandarizarse en las herramientas de un solo proveedor. El overlay de DMZ funciona con cualquier proveedor. Aplica zonas y conductos por encima de los PLC y protocolos de cada sitio, con una política central para todos.
Aprender másAcceso seguro de proveedores a OT.
Los proveedores cruzan a menudo la frontera para el soporte remoto. La iDMZ hace pasar cada sesión de proveedor por un proxy autenticado. Cada sesión se limita a una máquina y un protocolo, y queda registrada por completo. Una sesión de proveedor nunca abre una vía hacia la red plana.
Aprender másUna frontera clara entre IT y OT.
Usted monta una DMZ industrial sin rediseñar la red. La producción sigue en marcha y su propio equipo puede hacerlo.
Su LAN se queda como está.
Los controles DMZ se añaden sobre la red que ya tiene.
Cada paso atraviesa un proxy.
El tráfico entre zonas pasa por un proxy autenticado. Las máquinas quedan ocultas a los usuarios no autorizados.
El tráfico industrial se inspecciona.
Access Gate revisa los protocolos industriales paquete a paquete.
Las máquinas antiguas quedan cubiertas.
PLC, HMI, SCADA y DCS quedan protegidos sin cambiar nada en los equipos.
Cada flujo está definido.
Usted define cada ruta, en un solo sentido si hace falta. Cada ruta queda registrada.
Usted decide quién accede a qué.
Defina el acceso por usuario, dispositivo y protocolo en cada frontera de zona.
Descargar la Ficha Técnica del Access Gate.
Obtenga la descripción completa del producto con capacidades técnicas, modelo de despliegue, alineación de cumplimiento y referencias de clientes.
Contenido
Arquitectura del producto, modelo de despliegue, capacidades clave (aplicación proxy, micro-DMZ, acceso basado en identidad), alineación de cumplimiento y despliegues reales de clientes.
Verlo en Acción
Solicite una demo en vivo para ver cómo el Access Gate se despliega en su red sin recableado ni tiempo de inactividad.
Preguntas sobre la DMZ industrial.
Cambio de red necesario: una ruta en su router actual. Access Gate traza las fronteras en la capa de aplicación. Sus VLAN y su cableado se quedan como están.
No. Access Gate crea segmentación lógica en la capa de aplicación, sobre su red existente. Usted añade una ruta en su router actual. Sus VLAN se quedan como están. La producción sigue en marcha mientras aplica las fronteras de zona.
Los firewalls tradicionales segmentan en la capa de red y requieren cambios de topología. Access Gate segmenta en la capa de aplicación. Aplica políticas por usuario, por dispositivo y por protocolo. Su diseño de red físico y lógico no cambia, así que encaja en instalaciones existentes.
Sí. Access Gate protege los equipos sin instalar nada en ellos. PLC, HMI, sistemas SCADA y controladores DCS quedan protegidos por bastiones proxy que gestionan todos los accesos. Los equipos no necesitan admitir protocolos de seguridad modernos.
Un bastion proxy es una pasarela autenticada por la que pasa todo el tráfico que cruza una frontera de zona. Los usuarios y los dispositivos se autentican antes de que el tráfico se reenvíe. El bastion también inspecciona los protocolos industriales paquete a paquete. Guarda registros de sesión completos para la auditoría.
Sí. Access Gate funciona por completo en las instalaciones, sin depender de la nube. Está diseñado para entornos air-gapped, híbridos y clasificados, donde los datos no pueden salir del perímetro de red.
La DMZ basada en proxy ofrece la segmentación de red, el control de acceso y el registro que exige el artículo 21 de NIS2. También implementa el modelo de zonas y conductos de IEC 62443. Cada sesión entre zonas está ligada a la identidad de un usuario. Cada sesión se guarda en un registro encadenado por hash, donde cualquier alteración es detectable. La evidencia de auditoría se acumula desde la primera sesión y usted no tiene que reconstruirla antes de una inspección.
Una DMZ OT, también llamada DMZ industrial o IDMZ, es la zona intermedia entre la red IT corporativa y la red OT. Se sitúa en el nivel 3.5 del modelo Purdue. Solo la cruzan flujos intermediados, como el del historiador, la distribución de parches y el acceso remoto. Ningún tráfico pasa directamente de IT a la red de control. IEC 62443 la trata como un conducto entre zonas.
Una DMZ IT expone servicios a Internet, como un servidor web o de correo. Una DMZ industrial está dentro de la empresa, entre IT y OT. Protege la red de control frente a la red de oficina. Sus reglas son más estrictas. Ninguna sesión va directamente de IT a OT. Cada paso se intermedia y se registra, y no se instala nada en los PLC que protege.
La pasarela es el primer servicio que despliega, no el último.
Verlo en acción
Programe una demo en vivo. Vea cómo Access Gate segmenta la red de una planta mientras la producción sigue en marcha.