KVM IP seguros para estaciones de trabajo de infraestructura crítica
Un sistema IP-KVM seguro es un sistema de extensión de teclado, vídeo y ratón (KVM) que separa el escritorio del operador del hardware físico del servidor que controla, transmitiendo señales de control a través de una red IP dedicada o aislada en lugar de cableado directo. Para los operadores de infraestructuras críticas, esto significa que los servidores SCADA (control de supervisión y adquisición de datos) se pueden retirar por completo de la sala de control y guardar en un rack de servidores seguro, mientras que los operadores mantienen el control total en tiempo real desde un escritorio que no tiene procesamiento local, ni almacenamiento local, ni conexión de red directa al entorno de tecnología operativa (OT). Productos como DatapathAligo y Arqá Poner en práctica esa separación, bloqueando dos de los vectores de ataque físico más comunes en el punto donde son más difíciles de controlar: el propio escritorio.
De un vistazo
- Un KVM IP seguro separa el estación de trabajo del operador desde el hardware del servidor, conectando ambos únicamente a través de un enlace IP controlado.
- Los servidores SCADA y OT pueden reubicarse en un rack de servidores con acceso controlado y cerradura, sin que ello suponga una pérdida de control por parte del operador.
- La consola del operador se convierte únicamente en un punto final KVM, sin almacenamiento USB local, sin unidad local y sin conexión directa a la red OT.
- aligo y Arqá son Datapathplataformas IP-KVM deDiseñado específicamente para aislar la información informática sensible de los entornos orientados al usuario.
- Este modelo descarta la introducción de malware a través de USB y la manipulación de la red local como vías de ataque viables en el escritorio.
¿Quieres ver a Aligo en acción?
Descubre cómo Aligo y Arqa aíslan los puestos de operador de la infraestructura SCADA.
¿Por qué es importante la seguridad física de las estaciones de trabajo para los sistemas SCADA y OT?
Históricamente, los puestos de la sala de control se han considerado el lado seguro y humano de una implementación de OT, mientras que los servidores que se encuentran detrás reciben un trato reforzado: racks bloqueados, registros de acceso y acceso físico restringido. Esta división ignora dónde se produce realmente la mayor parte de las vulneraciones físicas. puesto de trabajo Situada sobre un escritorio abierto, con puertos USB y conexión a la red, cualquiera que pueda acercarse al escritorio puede acceder a ella, ya sea un contratista, un visitante o un empleado con acceso legítimo pero excesivo.
Para los operadores de servicios públicos, instalaciones de tratamiento de agua, sitios de distribución de energía, y otros entornos de infraestructura críticaEsa exposición a nivel de escritorio constituye una vía directa hacia la capa SCADA. El malware introducido a través de un dispositivo USB o un dispositivo de interceptación de red conectado a la estación de trabajo no necesita acceder al rack de servidores. Solo necesita llegar a la máquina frente a la que el operador ya está sentado.
¿Cómo eliminan Aligo y Arqa los riesgos asociados a las unidades USB y las redes locales en la mesa de operaciones?
aligo y Arqá son DatapathKVM basado en IP de plataformas, construidas para extender el control de teclado, video y mouse a través de redes IP estándar en lugar de conexiones locales directas. En una implementación segura, el servidor SCADA físico se instala en un rack cerrado con llave y con control de acceso, a menudo en una sala separada o un área de equipos dedicada. escritorio del operador Solo contiene un punto final KVM: una pequeña unidad que recibe vídeo y envía la entrada de teclado y ratón a través de la red, sin capacidad de procesamiento local, sin almacenamiento local y sin conexión expuesta a la propia red OT.
Lo que esto quita del escritorio
Riesgo de almacenamiento USB local
- Al no haber ningún servidor en el escritorio, no existe un puerto USB local a través del cual los medios extraíbles puedan introducir malware o extraer datos directamente al entorno SCADA.
Exposición directa a la red
- El puesto del operador se conecta a la red de distribución KVM, no a la red OT donde se encuentra el servidor SCADA, por lo que un terminal del puesto comprometido o manipulado no le proporciona a un atacante una vía de acceso directa a los sistemas de control de producción.
Acceso físico sin vigilancia
- Dado que el servidor se traslada a un rack controlado, el acceso a la máquina que ejecuta el software SCADA puede registrarse, restringirse mediante credenciales y supervisarse independientemente de quién esté sentado en el puesto de operador.
DatapathAligo Los productos están diseñados para entornos 4K que requieren una extensión KVM AVoIP (audiovisual sobre IP) inteligente, mientras que DatapathArqa Ambos productos ofrecen implementaciones en alta definición con el mismo modelo de aislamiento subyacente. Permiten que el operador trabaje exactamente igual que en un equipo local: respuesta completa del teclado y el ratón, vídeo en directo y sin cambios perceptibles en el flujo de trabajo, mientras que el servidor permanece siempre en el rack seguro.
¿Está planificando una actualización de la sala de control?
Consulte con un especialista sobre cómo aislar la infraestructura SCADA y OT con IP-KVM.
¿Dónde deberían ubicarse los servidores SCADA en una implementación segura de IP-KVM?
El principio fundamental es sencillo: el servidor se ubica donde el acceso físico pueda controlarse con mayor rigor, y el operador permanece donde se requiere realizar el trabajo. En la práctica, esto suele significar una sala de servidores dedicada, un armario de equipos reforzado o una instalación segura externa conectada a la sala de control mediante una infraestructura IP gestionada. Porque Datapath aligo y Arqá Al extender las sesiones KVM a través de redes estándar en lugar de cableado punto a punto propietario, el rack del servidor no necesita estar en el mismo edificio que el puesto de operador, solo ser accesible a través de una ruta de red debidamente protegida.
Esto también simplifica la planificación de la redundancia. Un servidor reubicado en un rack seguro puede estar junto con la alimentación de respaldo, los controles ambientales y la supresión de incendios que serían poco prácticos de implementar en cada Escritorio de operador individual, sin que los operadores pierdan visibilidad ni control sobre los sistemas de los que son responsables.
Preguntas frecuentes
¿Qué es un IP-KVM y en qué se diferencia de un conmutador KVM estándar?
Un conmutador KVM IP extiende el control del teclado, el vídeo y el ratón a través de una red IP, en lugar de utilizar cableado local directo. Un conmutador KVM estándar requiere que el servidor esté físicamente cerca del escritorio, mientras que un KVM IP permite que el servidor se ubique en un lugar seguro e independiente.
¿Cómo Datapath¿Los productos Aligo y Arqa protegen los servidores SCADA de ataques basados en USB?
Al eliminar la computación local de la mostrador del operadorEl escritorio se conecta a un punto final KVM sin almacenamiento USB ni unidad local, por lo que los medios extraíbles introducidos en el escritorio no tienen una máquina local que infectar, ni una ruta directa al propio servidor.
¿Pueden los operadores seguir controlando el sistema SCADA en tiempo real a través de una conexión IP-KVM?
¿Dónde deben ubicarse los servidores de infraestructura crítica al utilizar IP-KVM?
¿Afecta la reubicación de servidores con IP-KVM a la seguridad de la red en los sistemas OT?
Si se implementa correctamente, lo mejora. El escritorio del operador se conecta al Red de distribución KVM En lugar de la red OT de producción, un punto final de escritorio comprometido no proporciona una ruta directa a la infraestructura SCADA.
¿Cuál es la diferencia entre Aligo y Arqa?
Datapath aligo está diseñado para entornos 4K que requieren una extensión KVM AVoIP inteligente, mientras que Datapath Arqá Ofrece soporte para implementaciones en alta definición. Ambos utilizan el mismo modelo de aislamiento subyacente, que separa el puesto de operador del hardware del servidor.
¿Es el protocolo IP-KVM adecuado para operaciones de servicios públicos o energía en múltiples ubicaciones?
¿Las implementaciones de IP-KVM admiten la gestión centralizada desde la sala de control?
Se pueden combinar con una plataforma como Datapath, Aetria para la gestión centralizada del diseño, el enrutamiento de origen y los permisos de operador en implementaciones de salas de control en múltiples ubicaciones.
Aísle sus estaciones de trabajo de infraestructura crítica.
Contacte con nuestro equipo para informarse sobre la implementación de Aligo o Arqa para proteger el entorno de su sala de control.
