2017 yil iyul kirish eks xavfsizlik nazoratlari 4

Qo'llash bo'yicha qo'llanma

Ishlab chiqaruvchilar veb-serverlarni mahsulot varianti sifatida taklif qiladilar, shuning uchun nazorat xonasidan tashqarida foydalanuvchilar EKS ma'lumotlariga kirishlari mumkin . Ko'pgina hollarda, ActiveX boshqaruvlari va Java ilovalari kabi dasturiy komponentlar veb-serverga kiradigan har bir mijoz tizimiga yuklab olinishi va o'rnatilishi kerak. PLC, RTU va boshqalar. Ba'zi qurilmalar, masalan, kontrollerlar, masofaviy konfiguratsiyani osonlashtiradi va kerak bo'lganda hisobot berish, elektron pochta xabarnomasi va hokazolarni taqdim etadi. Buni amalga oshirish uchun u o'rnatilgan veb, ftp va elektron pochta serverlari bilan birga kelishi mumkin. Yuqorida aytib o'tilgan veb-texnologiyalarga ega bo'lgan barcha EKS komponentlarida imkon qadar HTTP o'rniga HTTPS, FTP o'rniga SFTP yoki SCP dan foydalanish kerak, FTP va qurilmaga elektron pochta trafigini blokirovka qilish kerak. Bugungi kunda xavfsizlik qurilmalari bunday zaifliklardan himoya qilish uchun dastur proksi-server sifatida ishlaydi va veb, ftp, elektron pochta va boshqalardan foydalanadi. trafikni, ActiveX, Java va boshqalarni tekshirishi mumkin. Komponentlarni yuklab olishni oldini olish orqali hujumlarning oldini oladi. Tashkilotlar , agar bu ularga katta foyda keltirmasa, EKS'larning Internetga ulanishini oldini olishlari kerak .

Qo'shimcha boshqaruv/alternativ boshqaruv

Ma'lumotnomalar/Xavf haqida ma'lumot

NIST SP 800-82 6.2.1.2

10. Virtual mahalliy tarmoq (VLAN)

Boshqaruv

ortiqcha trafik oqimini cheklash va bir xil VLANdagi tarmoq qurilmalarini bir nechta tarmoq kalitlariga tarqatish imkonini berish uchun VLAN - larning samarali amalga oshirilishini ta'minlash uchun har bir avtomatlashtirish komponenti bitta VLANga tayinlanishi kerak.

Qo'llash bo'yicha qo'llanma

VLAN -lar ishlashni yaxshilash, boshqaruvni soddalashtirish va tarmoq dizaynini soddalashtirish uchun jismoniy tarmoqlarni kichikroq mantiqiy tarmoqlarga bo'lish uchun ishlatiladi. VLAN -lardan foydalanish chiquvchi trafikni cheklash imkonini beradi, shu bilan birga mantiqiy pastki tarmoqlarga bir nechta jismoniy joylarni qamrab olishga imkon beradi . Ko'pgina routerlar va xavfsizlik devorlari bir nechta VLAN'larni bir jismoniy interfeys yordamida o'zlari va boshqa tarmoqlarga yo'naltirish uchun ishlatilishi mumkin. VLAN'lar , odatda , tarmoqlar va tizimlardagi zaifliklarni oldini olish uchun xavfsizlik devori yoki IDS kabi joylashtirilmaydi . Biroq, VLAN - lar to'g'ri sozlangan bo'lsa, ular xavfsizlik siyosatini qo'llash va Ethernet qatlamidagi trafikni ajratish uchun tarmoq kalitlarini yoqishi mumkin. To'g'ri bo'lingan tarmoqlar, portni skanerlash, zararli dasturlar va boshqalar. hujumlar natijasida yuzaga kelishi mumkin bo'lgan xavflarni minimallashtiradi. Bunga qo'shimcha ravishda, noto'g'ri tuzilgan tarmoq kalitlari MACni buzishga olib kelishi mumkin , jadval toshib ketish va boshqalar. bunday hujumlarga qarshi himoyasizligicha qolmoqda. Qurilma va ilovalarga qarab, ushbu hujumlardan himoya qilish uchun MAC filtrlash, IEEE 802.1x bilan portga asoslangan autentifikatsiya va ishlab chiqaruvchiga asoslangan maxsus boshqaruv vositalaridan foydalanish mumkin.