Protéger une machine avec une enclave

Une enclave est un groupe de machines, ainsi que les personnes et systèmes autorisés à les atteindre. Vous ajoutez vos machines à l'inventaire, vous les placez dans une enclave, et vous n'autorisez que les flux dont elles ont besoin. Rien n'est bloqué tant que vous n'avez pas approuvé : Access Gate démarre en mode simulation (dry run).

Dans cet exemple, nous protégeons un robot de picking. Deux flux doivent continuer à fonctionner :

1. Le serveur CAM envoie des tâches au robot.
2. Le robot envoie des données de progression à l'historien.

Avant de commencer

Access Gate attribue à chaque machine une adresse jumelle en plus de son adresse réelle. Vérifiez que ses plages d'adresses correspondent à votre réseau : ouvrez la page Settings, puis l'onglet Networking.

Dans cet exemple, vos machines utilisent 10.0.0.0/16 (par exemple 10.0.0.1 ou 10.254.23.45), et les adresses jumelles utilisent 100.64.0.0/16. Si vos adresses sont différentes, les étapes restent identiques, à condition que cet écran corresponde à votre réseau.

Sous-réseaux dans les paramètres d'Access Gate

1. Ajouter vos machines à l'inventaire

Retrouvez la machine dans Monitor si vous avez besoin de son adresse, puis enregistrez-la dans Assets. Voir Construire votre inventaire d'actifs.

1. Ouvrez la page Assets dans la barre de gauche.
2. Cliquez sur Create Asset, en haut à droite.
3. Donnez-lui un nom reconnaissable, par exemple CUI Server, PLC32, HMI.
4. Ajoutez son adresse IP.
5. Si d'autres systèmes s'y connectent, ajoutez les services qu'elle exécute.
6. Cliquez sur Save.

Ouvrez la machine pour ajouter plus de détails.

• Edit overview : emplacement, date d'installation, description, niveau de risque.
• Edit network : nom DNS, autres adresses IP ou services, et méthodes d'accès distant.

2. Créer l'enclave

1. Ouvrez la page Enclaves et créez une enclave. Nommez-la Robot Picking Workshop, définissez le Security Level sur Important, et ajoutez une description.
2. Cliquez sur Save.

3. Ajouter les machines et les personnes

1. Ouvrez l'enclave et cliquez sur Edit principals.
2. Ajoutez le serveur CAM, le service modbus/tcp du robot et le service mqtt de l'historien. Ajoutez également des utilisateurs ici si des personnes doivent accéder à ces machines.

Pour sécuriser davantage le broker MQTT de l'historien, avec authentification, limites de topics et chiffrement, voir Configurer les flux MQTT.

4. Autoriser les flux nécessaires

Dans le tableau de l'enclave, autorisez les deux flux : du serveur CAM vers le robot, et du robot vers l'historien. Tout ce que vous n'autorisez pas reste bloqué.

Le serveur CAM envoie désormais des tâches au robot à l'adresse kuka.fabcore.tr-sec.net.

5. Consigner les raisons

Pour votre équipe et pour les auditeurs, notez pourquoi ces flux sont autorisés. Cliquez sur Edit Overview et renseignez le champ Description, par exemple :

Robot de picking sur le quai de chargement. Les règles autorisent : 1. La soumission de tâches depuis le serveur CAM 2. L'enregistrement des données vers l'historien

Ce que vous avez maintenant

• Vos machines sont dans l'inventaire, et Access Gate surveille leur trafic.
• Une enclave définit qui peut les atteindre, et la raison est consignée.

Les enclaves sont légères : créez-en autant que votre site en a besoin : une par cellule de production, ou une pour vos systèmes CUI. Access Gate continue de surveiller le trafic, ce qui vous permet de voir rapidement comment ces machines sont utilisées.