Подготовка развертывания сайта OT

Эта статья является одной из серии статей, описывающих путь развертывания для мониторинга OT с Microsoft Defender для Интернета вещей.

Чтобы полностью отслеживать сеть, вам потребуется видимость на всех конечных точках в сети. Microsoft Defender для Интернета вещей зеркалирует трафик, проходящий через сетевые устройства, на сетевые датчики Defender for IoT. Затем сетевые датчики OT анализируют данные трафика, активируют оповещения, создают рекомендации и отправляют данные в Defender для Интернета вещей в Azure.

Эта статья поможет вам спланировать размещение датчиков OT в сети, чтобы трафик, который требуется отслеживать, отображался по мере необходимости, и как подготовить сайт к развертыванию датчика.

Предварительные условия

Прежде чем планировать мониторинг OT для определенного сайта, убедитесь, что вы спланировали общую систему мониторинга OT.

Этот шаг выполняется командами по архитектуре.

Сведения об архитектуре мониторинга Defender для Интернета вещей

Используйте следующие статьи, чтобы узнать больше о компонентах и архитектуре в сети и системе Defender для Интернета вещей:

• Microsoft Defender для компонентов Интернета вещей
• Общие сведения об архитектуре сети OT

Создание схемы сети

Сеть каждой организации будет иметь собственную сложность. Создайте схему сетевой карты с подробным списком всех устройств в сети, чтобы определить трафик, который требуется отслеживать.

При создании схемы сети используйте следующие вопросы, чтобы определить различные элементы в сети и сделать заметки о них и о том, как они взаимодействуют.

Общие вопросы

• Каковы общие цели мониторинга?

• Есть ли у вас избыточные сети и есть ли области карты сети, которые не нуждаются в мониторинге, и вы можете игнорировать?

• Каковы риски безопасности и эксплуатации вашей сети?

Вопросы о сети

• Какие протоколы активны в отслеживаемых сетях?

• Настроены ли виртуальные локальные сети в структуре сети?

• Существует ли маршрутизация в отслеживаемых сетях?

• Существует ли последовательная связь в сети?

• Где установлены брандмауэры в сетях, которые вы хотите отслеживать?

• Существует ли трафик между сетью промышленного управления (ICS) и корпоративной бизнес-сетью? Если да, отслеживается ли этот трафик?

• Каково физическое расстояние между коммутаторами и корпоративным брандмауэром?

• Выполняется ли обслуживание системы OT с помощью фиксированных или временных устройств?

Вопросы о переключателях

• Если коммутатор в противном случае неуправляем, можно ли отслеживать трафик от коммутатора более высокого уровня? Например, если в архитектуре OT используется кольцевая топология, мониторинг требуется только одному коммутатору в кольце.

• Можно ли заменить неуправляемые коммутаторы управляемыми коммутаторами или использовать сетевые TAP как вариант?

• Можно ли отслеживать виртуальную локальную сеть коммутатора или она отображается в другом коммутаторе, который можно отслеживать?

• Если подключить сетевой сенсор к коммутатору, будет ли он зеркалировать обмен данными между HMI и ПЛК?

• Если вы хотите подключить сетевой датчик к коммутатору, есть ли физическое место в стойке в шкафу коммутатора?

• Каковы затраты и преимущества мониторинга каждого коммутатора?

Определение устройств и подсетей, которые требуется отслеживать

Трафик, который вы хотите отслеживать и зеркалировать на сетевые датчики Defender for IoT, — это трафик, наиболее интересный для вас с точки зрения безопасности или эксплуатации.

Просмотрите схему сети OT вместе с инженерами сайта, чтобы определить, где вы найдете наиболее релевантный трафик для мониторинга. Мы рекомендуем встретиться с сетевыми и операционными группами, чтобы прояснить ожидания.

Вместе со своей командой создайте таблицу устройств, которые вы хотите отслеживать, со следующими сведениями:

Подсчитать устройства в вашей сети

Рассчитайте количество устройств на каждом сайте, чтобы приобрести лицензии Defender для Интернета вещей правильного размера.

Чтобы вычислить количество устройств на каждом сайте:

1. Подсчитайте общее количество устройств на вашей площадке и сложите полученные значения.

2. Удалите любое из указанных ниже устройств, которое не распознаётся в Defender for IoT как отдельное устройство:

   • Общедоступные IP-адреса в Интернете
   • Группы многоадресной рассылки
   • Широковещательные группы
   • Неактивные устройства: устройства, не имеющие сетевой активности, обнаруженные в течение более 60 дней

Дополнительные сведения см. в разделе Устройства, отслеживаемые Defender для Интернета вещей.

Спланируйте развертывание с несколькими датчиками

Если вы планируете развернуть несколько сетевых датчиков, также учитывайте следующие рекомендации при выборе места размещения датчиков.

• Физически подключенные коммутаторы. Для коммутаторов, физически подключенных по кабелю Ethernet, обязательно запланируйте по крайней мере один датчик на каждые 80 метров расстояния между коммутаторами.

• Несколько сетей без физического подключения. Если у вас есть несколько сетей без физического подключения между ними, запланируйте по крайней мере один датчик для каждой отдельной сети.

• Коммутаторы с поддержкой RSPAN. Если у вас есть коммутаторы, которые могут использовать зеркальное отображение трафика RSPAN, запланируйте по крайней мере один датчик для каждых восьми коммутаторов с локальным портом SPAN. Запланируйте размещение датчика достаточно близко к коммутаторам, чтобы подключить их по кабелю.

Создание списка подсетей

Создайте агрегированный список подсетей, которые необходимо отслеживать, на основе списка устройств, которые необходимо отслеживать во всей сети.

После развертывания датчиков вы будете использовать этот список, чтобы убедиться, что перечисленные подсети обнаружены автоматически, и вручную обновить список по мере необходимости.

Перечислите запланированные OT-датчики

После того как вы определите трафик, который хотите зеркалировать в Defender для Интернета вещей, создайте полный список всех OT-датчиков, которые вы будете подключать.

Для каждого датчика выведите список:

• Будет ли датчик подключенным к облаку или локально управляемым датчиком

• Для датчиков, подключенных к облаку, вы будете использовать метод подключения к облаку .

• Будете ли вы использовать физические или виртуальные устройства для датчиков с учетом пропускной способности, необходимой для качества обслуживания (QoS). Дополнительные сведения см. в разделе Какие устройства мне нужны?

• Сайт и зона, которые вы будете назначать каждому датчику.

  Данные, полученные от датчиков на одном сайте или в одной зоне, можно просматривать вместе, сегментируя их от других данных в вашей системе. Если вы хотите просмотреть данные датчиков, сгруппированные по одному сайту или зоне, обязательно назначьте сайты и зоны датчиков соответствующим образом.

• Метод зеркального отображения трафика, который будет использоваться для каждого датчика

По мере расширения сети вы можете подключить дополнительные датчики или изменить существующие определения датчиков.

Подготовьте локальные устройства

• Если вы используете виртуальные устройства, убедитесь, что у вас настроены соответствующие ресурсы. Дополнительные сведения см. в разделе Мониторинг OT с помощью виртуальных устройств.

• Если вы используете физические устройства, убедитесь, что у вас есть необходимое оборудование. Вы можете приобрести предварительно настроенные устройства или запланировать установку программного обеспечения на собственные устройства.

  Чтобы приобрести предварительно настроенные устройства, выполните приведенные далее действия.

  1. Перейдите в Defender для Интернета вещей на портале Azure.
  2. Выберите Начало работы>Датчик>Купить предварительно настроенное устройство>Контакты.

  Ссылка открывает письмо на адрес hardware.sales@arrow.com с шаблонным запросом для устройств Defender for IoT.

Дополнительные сведения см. в разделе Какие устройства мне нужны?

Подготовка вспомогательного оборудования

Если вы используете физические устройства, убедитесь, что для каждого физического устройства доступно следующее дополнительное оборудование:

• Монитор и клавиатура
• Пространство в стойке
• Питание переменного тока
• Кабель Ethernet для подключения порта управления устройства к сетевому коммутатору
• Кабели локальной сети для подключения портов зеркалирования (SPAN) и точек терминального доступа к сети (TAP) к вашему устройству

Подготовьте сведения о сети устройства

Когда у вас будут готовы приборы, составьте для каждого прибора список следующих сведений:

• IP-адрес
• Подсеть
• Шлюз по умолчанию
• Имя узла
• DNS-сервер (необязательно) с IP-адресом DNS-сервера и именем узла

Подготовка рабочей станции развертывания

Подготовьте рабочую станцию, с которой можно выполнять операции по развертыванию Defender для Интернета вещей. Рабочая станция может быть компьютером Windows или Mac со следующими требованиями:

• Программное обеспечение терминала, например PuTTY

• Поддерживаемый браузер для подключения к консолям датчиков и портал Azure. Дополнительные сведения см. в статье Рекомендуемые браузеры для портал Azure.

• Настроены обязательные правила брандмауэра с открытым доступом для необходимых интерфейсов. Дополнительные сведения см. в разделе Требования к сети.

Подготовьте сертификаты, подписанные УЦ

Мы рекомендуем использовать в промышленных развертываниях сертификаты, подписанные центром сертификации.

Убедитесь, что вы понимаете требования к сертификатам SSL/TLS для локальных ресурсов. Если вы хотите развернуть сертификат, подписанный центром сертификации (ЦС), при первоначальном развертывании, убедитесь, что сертификат заранее подготовлен.

Если вы решите выполнить развертывание со встроенным самоподписанным сертификатом, мы рекомендуем позже развернуть в производственной среде сертификат, подписанный центром сертификации (CA).

Дополнительные сведения см. в разделе:

• Создание SSL/TLS-сертификатов для устройств OT
• Управление SSL/TLS-сертификатами

Дальнейшие действия