HMS Networks ABD6004-NATFW – kommunikationsmodul

Anybus® Defender 6004 är en industriell säkerhetsapparat (Industrial Security Appliance) för skydd av nät för operativ teknik (OT). Apparaten fungerar som brandvägg, router och NAT-gateway mellan produktionsnät och övriga nät och sitter i ett fläktlöst metallhölje med skyddsklass IP50 för DIN-skena. Den har en WAN-port och tre LAN-portar (RJ45, Gigabit Ethernet) och kan arbeta i transparent bryggläge eller i NAT-/routingläge. LAN-portarna kan konfigureras individuellt och vid behov göras om till en andra WAN-port.

Artikeln ABD6004-NATFW är förkonfigurerad med licensnivån NAT/FW, som är avsedd för nätverkssegmentering och adressöversättning. Licensen är tidsobegränsad (perpetual) och 3 års support och garanti ingår. Databladet (version 20240502) gäller hela serien med licensnivåerna NAT/FW, DPI/FW och PRO/FW. Seriens användningsfall omfattar åtskillnad mellan OT och IT, undvikande av IP-adresskonflikter med NAT och routing, säkerhetszoner och konduiter enligt IEC 62443, DPI av industriella protokoll samt krypterade förbindelser mellan anläggningar med WireGuard®, OpenSSL och IPsec. De två sistnämnda kräver enligt funktionstabellen licensnivå DPI/FW eller PRO/FW.

Teknik och prestanda

Säkerhetsmodellen är Deny by Default: all nätverkstrafik, både inkommande och utgående, är förbjuden tills den uttryckligen tillåts. I licensen NAT/FW ingår enligt funktionstabellen en tillståndskännande brandvägg (Stateful Firewall), en guide för enkel NAT (1:1 och 1:∞), transparent bryggläge, certifikathantering, stöd för Central Anybus Cybersecurity Console, tillgångsinventering samt notiser via e-post, syslog, Telegram Messenger och Pushover. NAT kan ställas in för enstaka eller flera IP-adresser och subnät, och i transparent läge fungerar apparaten som lager 2-brandvägg där gränssnitten kan bryggas och trafiken filtreras.

Regler kan skapas med ett klick direkt från brandväggsloggen, och Floating Rules gäller över alla gränssnitt. Apparaten har omfattande felsöknings- och trafikdiagnostik, och ARP- och bandbreddsövervakning är tillgänglig via API; NetFlow-integration finns som tillval. Tillgångsinventeringen använder en skanner för OT/ICS-enheter som med industriella protokoll identifierar tillverkare, typ, programvaruversion, patchnivå och serienummer, med ett noggrannhetsvärde per post.

Funktioner som i funktionstabellen är markerade för DPI/FW eller PRO/FW ingår inte i NAT/FW. Det gäller industriell protokoll-DPI (Ethernet/IP CIP och Modbus), virtuell patchning via IPS (Snort, Suricata), Remote Client VPN, VPN med WireGuard, OpenSSL och IPsec, RADIUS- och LDAP/AD-autentisering, DHCP-server och DHCP-vidarebefordran, regelschemaläggning, Captive Portal, routingprotokollen RIPv1, RIPv2 och BGPv4, lastbalansering och Multi-WAN, trafikformning samt redundans för hög tillgänglighet.

Maskinvaran matas med 24 V DC och drar högst 1100 mA vid 24 V (26,4 W, baserat på maximala märkvärden). Höljet är av metall med skyddsklass IP50, och enheten monteras på DIN-skena enligt EN50022. Måtten med kontakter är 140,4 x 69,6 x 179,7 mm (5,53 x 2,74 x 7,07 tum), vikten är 1270 g (2,8 lbs), drifttemperaturen 0 till +50 °C (32 till 122 °F) och luftfuktigheten 0–85 % utan kondens. Databladet anger tillverkningsland USA.

Anslutningar och gränssnitt

• WAN: 1 x RJ45 Gigabit Ethernet
• LAN: 3 x RJ45 Gigabit Ethernet; portarna kan konfigureras individuellt och göras om till en andra WAN-port
• Matning: 24 V DC (Power Entry)
• Konfiguration lokalt via webbgränssnitt; CLI via SSH eller konsol för underhåll
• Integrerat RESTful API för koppling till överordnade system

Driftläget är bridge- eller gatewayläge, det vill säga transparent brygga respektive NAT/routing. Plattformen är IPv4- och IPv6-kompatibel.

Programvara och kompatibilitet

Konfigurationen görs i det inbyggda webbgränssnittet med guider för olika användningsfall. Flera Defender-apparater kan hanteras gemensamt med den valfria Central Anybus Cybersecurity Console, dit även tillgångsinformationen kan föras. Samma maskinvara finns enligt databladets artikelförteckning även med licensnivåerna DPI/FW (ABD6004-DPIFW) och PRO/FW (ABD6004-PROFW).

Egenskaper

• Industriell säkerhetsapparat med brandvägg och NAT för OT-nät
• 1 x WAN och 3 x LAN, RJ45 Gigabit Ethernet
• LAN-portar individuellt konfigurerbara, kan göras om till en andra WAN-port
• Licens NAT/FW: tillståndskännande brandvägg och NAT-guide (1:1, 1:∞)
• Transparent bryggläge (lager 2-brandvägg) eller NAT-/routingläge
• Deny by Default-policy för all in- och utgående trafik
• Tillgångsinventering för OT/ICS-enheter
• Notiser via e-post, syslog, Telegram Messenger och Pushover
• Webbgränssnitt med guider, RESTful API och CLI via SSH/konsol
• Matning 24 V DC, max 1100 mA (26,4 W)
• Metallhölje, IP50, drifttemperatur 0 till +50 °C
• DIN-skenemontering, 140,4 x 69,6 x 179,7 mm, 1270 g

Användningsområden

• Segmentering mellan OT- och IT-nät (OT/IT Segregation)
• Undvikande av IP-adresskonflikter genom NAT och routing
• Säkerhetszoner och konduiter enligt IEC 62443 för att isolera enskilda maskiner
• Transparent lager 2-brandvägg där gränssnitt bryggas och trafik filtreras
• Brandvägg och adressöversättning mellan produktionsnät och övriga nät

Certifieringar och standarder: CE, RoHS (2011/65/EU)

Databladet gäller Defender 6004 med licensnivåerna NAT/FW, DPI/FW och PRO/FW; beskrivningen avser NAT/FW. Leverantörslistans gränssnittstyp ‘Serial’ stämmer inte med databladet, som anger RJ45 Gigabit Ethernet. Databladet anger inte vilken axel som är längd, bredd respektive höjd för måtten.

Tillverkarens artikelnummer ABD6004-NATFW. Uppgifterna är hämtade ur tillverkarens datablad (PDF). Lagerförd vara – skickas inom 1–3 vardagar.