Segmentation of IT-OT networks - ways to do it on Cisco FDM

VPN
1

Hola

Soy bastante nuevo en el concepto de segregar redes IT de OT. Hasta donde he podido entender en algunos documentos en línea, una forma de hacerlo es usar una “jump box”, por ejemplo, una máquina a la que los usuarios de redes IT necesitan conectarse (por ejemplo, mediante RDP) para acceder a recursos OT sin la posibilidad de una conexión directa.
Otra forma (según lo que he leído) podría ser usando VPNs para cortar el acceso directo a los recursos OT.
O una combinación de ambos métodos.

Necesito implementar esta especie de segmentación en un Cisco FDM, donde actualmente algunas reglas de firewall permiten tráfico de zonas IT a OT.

Lo que yo haría (sin ninguna competencia en absoluto) es crear una DMZ donde colocar una jump box, e instalar las reglas de acceso necesarias para permitir el tráfico hacia y desde dicha Jump box.

  • ¿Cómo podría la implementación de VPNs mejorar el nivel de seguridad?
  • Algo que no entiendo es si realmente es necesario pasar por internet para usar una VPN SSL. ¿No hay alguna forma de configurar el acceso VPN en una interfaz “interna”? ¿Tiene esto siquiera sentido?
  • También contamos con un ISE en este contexto. ¿Podría implementar una política de identidad que beneficie toda la infraestructura?

Perdón si esto no tiene sentido: Todo aún es un poco borroso…
Gracias.

2

Deberías consultar el modelo Purdue. Esencialmente, separar el sistema en diferentes zonas. Es decir, un firewall entre IT y DMZ, y otro entre DMZ y OT, como mínimo. Nada permitido directamente entre IT y OT.

3

El uso de VPN sobre una red privada puede tener sentido en ese contexto en particular, especialmente si algunos dispositivos portátiles relacionados con OT necesitan acceder al entorno OT a través de una red IT.

Pero, siguiendo el modelo Purdue, sería más recomendable considerar una segregación total de los sistemas OT en una DMZ dedicada detrás de un dominio de firewall exclusivo y minimizar las vías de acceso desde IT:

  • Dispositivos OT con conexión directa a una red privada dedicada a esa “DMZ” OT,
  • Cuando no sea posible, preferir el uso de un sistema bastión si los usuarios necesitan conectarse a los sistemas OT a través de una red IT.
  • Evitar la federación de identidades entre IT y OT cuando sea factible.

PD: Cisco FDM es el componente incluido en el dispositivo dedicado a gestionar Cisco FTD :slight_smile: