Umístění produktů v celé architektuře, od sběrnice OT a PLC přes oddělení sítí až po podnikové IT, internet a cloud. Každá síť je zobrazena jako segment L2; páteř vlevo ukazuje jejich propojení. Kliknutím na produkt zobrazíte jeho účel a zvýrazníte všechna místa, kde se používá.
Kde se instalují agenti
Dva pohledy na vrstvy zařízení: virtualizovaný server a uživatelská stanice. Zvýrazněné řádky ukazují umístění komponent Yellow Cube nebo sběr telemetrie. Na pracovní stanici běží plný agent; na serveru se instaluje do hostovaného operačního systému, nikoli do hypervizoru.
{{ sel.what }}
Mapa architektury
Purdue L5 · Cloud & Internet
Prostředí SaaS, veřejný cloud a mobilní zařízení, která se nepřipojují do kancelářské LAN.
- Stav zabezpečení cloudu (CSPM)
- WithSecure Elements Cloud Security nebo Cynet AutoXDR CSPM nebo Stellar Cyber Cloud Sensors nebo OPSWAT MetaDefender Cloud
- Identita a MFA
- Imprivata SSO + MFA nebo Microsoft Entra ID nebo Google Workspace — správa identit
- Integrita dodavatelského řetězce
- OPSWAT Dodavatelský řetězec softwaru nebo Cymulate Validace expozice nebo Group-IB Správa útočné plochy
- Mobilní zařízení
- iVerify Mobile EDR nebo WithSecure Elements Mobile Protection
- Cloudová schránka
- IronScales Detekce e-mailových hrozeb a reakce + MailStore Archiv emailů
Hranice · Internetový perimetr
- DDoS & edge
- A10 Networks Thunder TPS
- Perimetrový firewall
- Stormshield SNS firewall
- Zabezpečení DNS
- Whalebone Zabezpečení DNS
Purdue L4 · DMZ · IT DMZ
Služby dostupné z internetu. Ochranu koncových zařízení doplňují opatření na perimetru a zabezpečení identit.
- WAF + load balancer
- A10 Networks Thunder ADC + WAF
- Zabezpečení identity (ITDR)
- Varonis ITDR nebo Imprivata PAM
- Agent na publikovaných serverech
- Cynet Agent AutoXDR nebo WithSecure Elements EDR nebo Group-IB Řízený XDR nebo Stellar Cyber Server Sensor
- Soubor se nahraje do
- OPSWAT MetaDefender ICAP Server nebo OPSWAT MetaDefender Core
Hranice · Vnitřní segmentace
- DMZ ↔ kancelářský firewall
- Stormshield SNS firewall
- Zabezpečení DNS
- Whalebone Zabezpečení DNS
Purdue L4 · Kancelářské sítě
Kancelářská síť L2 se servery, pracovními stanicemi, portem SPAN a cestou pro odesílání logů do SOC.
- Endpoint agent — servery a pracovní stanice
- Cynet Agent AutoXDR nebo WithSecure Elements EDR nebo Group-IB Řízený XDR
- Senzor NDR na SPAN / TAP
- Stellar Cyber NDR sensor nebo Group-IB Analýza síťového provozu nebo OPSWAT MetaDefender NDR
- Sběr protokolů → SOC
- Stellar Cyber Otevřená platforma XDR nebo Cynet Agent AutoXDR
- Správa oprav a zranitelností
- WithSecure Elements nebo Cynet Agent AutoXDR
- Stav zabezpečení koncových zařízení (ESPM)
- WithSecure Elements nebo Cynet Agent AutoXDR
- Rizika pro data a vnitřní hrozby
- Varonis Detekce hrozeb pro data a reakce nebo Teramind Řízení vnitřních hrozeb
Purdue L3.5 · Oddělení IT a OT (air gap)
Elektronická nebo optická separace. Telemetrie opouští OT na sever; nic nevede zpět dovnitř.
- Jednosměrný přenos
- OPSWAT NetWall Unidirectional Gateway nebo Waterfall Security Unidirectional Security Gateway
- Média a dodavatelské notebooky
- OPSWAT MetaDefender Kiosk + OPSWAT MetaDefender Drive nebo OPSWAT Managed File Transfer
Purdue L3–L2 · OT řídicí síť
SCADA, průmyslové archivy dat, HMI a inženýrské stanice. Na podporované systémy Windows lze instalovat agenta, pokud to výrobce zařízení dovoluje.
- Průmyslový firewall — zónová kontrola
- Stormshield Průmyslový firewall SNS nebo OPSWAT Průmyslový firewall
- Agent na HMI / inženýrské WS
- Cynet Agent AutoXDR nebo WithSecure Elements EDR nebo OPSWAT MetaDefender Endpoint
- Viditelnost aktiv OT
- OPSWAT MetaDefender OT Security nebo OPSWAT MetaDefender NDR
- Vzdálený přístup dodavatele
- OPSWAT MetaDefender OT Access nebo Imprivata PAM
Hranice · Segmentace buněk
- Řízení ↔ sběrnice
- Stormshield Průmyslový firewall SNS
Purdue L1–L0 · OT sběrnice / PLC síť
Fieldbus a regulátory. Tady dole není nic nainstalováno – ochrana je in-line a transparentní.
- Před PLC
- OPSWAT Průmyslový firewall nebo Stormshield Průmyslový firewall SNS
- Provozní zařízení
- Podle návrhu Agenta nelze nainstalovat
Průřez
Yellow Cube 24×7 řízené SOC + Cymulate Validace expozice + CYBER RANGES Výcvik na kybernetickém cvičišti
WithSecure Elements Cloud Security
CSPM
Průběžná kontrola stavu zabezpečení a chybných konfigurací v M365, Entra, Azure a AWS ve stejné konzoli jako ochrana koncových zařízení.
SaaS. Žádná součást v síti.
OPSWAT MetaDefender Cloud
Analýza cloudových souborů
Multiscanning, Deep CDR a sandboxing nabízené jako cloudové API pro soubory vstupující do organizace.
SaaS API, volané aplikacemi a bránami.
Stellar Cyber Cloud Sensors
Cloudová telemetrie
Shromažďuje auditní logy z cloudu, identit a SaaS v datovém úložišti Open XDR, aby bylo možné propojovat cloudové události se síťovou a koncovou telemetrií.
Cloudové prostředí a místní kolektor.
Stellar Cyber Server Sensor
Hostitelský telemetrický senzor
Softwarový senzor pro podporované servery Windows a Linux, předávání systémových událostí a hostitelské telemetrie jako Interflow, takže Open XDR může korelovat aktivitu se zbytkem souboru technologií.
Agent na každém publikovaném serveru v IT DMZ.
Imprivata SSO + MFA
Identita a přístup
Jednotné přihlášení, přiložení karty a MFA pro sdílené stanice a směnný provoz ve zdravotnictví, výrobě i velínech.
Služba cloud identity + koncový klient.
OPSWAT Dodavatelský řetězec softwaru
Integrita dodavatelského řetězce
Vytváření SBOM, prověřování balíčků výrobců a odstranění škodlivého obsahu před přijetím softwaru, aktualizací či firmwaru třetích stran do prostředí organizace.
Kontrolní bod vydávání softwaru / proces CI.
Cymulate Validace expozice
Bezpečnostní ověření
Bezpečně zaútočte na své vlastní bezpečnostní opatření, abyste dokázali, že zásobník blokuje to, co tvrdí – na zónu, včetně hranice OT.
Nenároční agenti v jednotlivých zónách.
Group-IB Správa útočné plochy
Externí expozice a dodavatelský řetězec
Průběžně mapuje, co vystavujete internetu – stínová aktiva, odhalené služby, uniklé přihlašovací údaje a třetí strany ve vašem dodavatelském řetězci – a hodnotí, co je třeba opravit jako první.
Externí, není co instalovat.
Microsoft Entra ID
Poskytovatel identity
Stávající platforma pro správu identit vydává tokeny, kterým důvěřují ostatní systémy. Naše řešení ji doplňují, nikoli nahrazují.
Poskytovatel cloudové identity.
Vlastní platforma zákazníka – nedodává Yellow Cube.
Google Workspace — správa identit
Poskytovatel identity
Alternativa od Googlu: adresář a vydavatel tokenů, proti kterému se ověřují ostatní systémy.
Poskytovatel cloudové identity.
Vlastní platforma zákazníka – nedodává Yellow Cube.
iVerify Mobile EDR
Mobilní obrana
Odhaluje komerční špionážní software, jailbreak, škodlivé profily a změny konfigurace v iOS a Androidu. Doplňuje skutečnou detekci hrozeb nad rámec kontrol MDM.
Aplikace v zařízení. Žádná síťová pozice.
WithSecure Elements Mobile Protection
Mobilní AV
Malware, phishing a ochrana procházení pro spravované telefony a tablety, hlášené ve stejné konzole Elements jako stolní počítače.
Aplikace v zařízení.
Whalebone Zabezpečení DNS
DNS filtrování
Blokování phishingu, malwaru a domén C2 na úrovni resolveru. Zahrnuje hosty, IoT a vše, na co nelze nainstalovat software.
Síťový resolver nebo roamingový klient na mobilech.
IronScales Detekce e-mailových hrozeb a reakce
Zabezpečení e-mailu
Detekce phishingu po doručení a náprava jedním kliknutím v rámci M365 nebo Google s hlášením uživatelů, které model trénuje.
API integrované s poštovní schránkou – žádná změna MX.
MailStore Archiv emailů
Uchovávání a důkazy
Archivuje kopie všech e-mailů způsobem odolným vůči neoprávněným změnám. Podporuje právní uchování dat, e-discovery a auditní stopy.
Server v kancelářské síti.
A10 Networks Thunder ADC + WAF
Load balancer + firewall webové aplikace
Ukončuje TLS spojení, rozděluje zátěž mezi veřejně dostupné služby a na stejném zařízení zajišťuje WAF, ochranu proti botům a zabezpečení API.
DMZ, in-line před webovou vrstvou.
A10 Networks Thunder TPS
Zmírnění DDoS
Objemové a aplikační DDoS čištění na okraji internetu, než se tabulka stavu firewallu stane úzkým hrdlem.
Internetový perimetr, in-line nebo na vyžádání.
Stormshield SNS firewall
NGFW
Obvodová a vnitřní segmentace s IPS a řízením aplikací — stejný politický engine jako u průmyslového SNi40 níže, spravované společně.
Internetový perimetr a mezi vnitřními zónami.
Varonis ITDR
Detekce ohrožení identity
Sleduje zneužití oprávnění v Active Directory a Entra, útoky na Kerberos, staré administrátorské přístupy i možný rozsah dopadu kompromitace účtu.
Kolektor v DMZ nebo kancelářské síti.
Imprivata PAM
PAM
Bezpečně ukládá přihlašovací údaje a zaznamenává privilegované relace k serverům, přístupovým serverům a OT zařízením. Dokládá, kdo provedl jakou akci.
Jump host v DMZ.
Cynet Agent AutoXDR
Agent EDR / XDR
Jeden agent pokrývající NGAV, EDR, klamání a automatickou odezvu, za tím stojí tým 24×7 MDR. Pragmatická výchozí situace, kdy je bezpečnostní tým malý.
Instalováno na každém hostiteli Windows, Linux a macOS.
WithSecure Elements EDR
agent EDR
Detekce a reakce na koncových zařízeních s možností eskalace na specialisty Elevate. Stejná rodina agentů jako u mobilních a cloudových modulů.
Instalováno na každém serveru a pracovní stanici.
Group-IB Řízený XDR
Řízený XDR
Agenti a síťové senzory využívající informace o hrozbách a zkušenosti s řešením incidentů od Group-IB. Vhodné tam, kde záleží na určení útočníka a reakci na incident.
Agent na hostitelích + senzor v síti.
OPSWAT MetaDefender ICAP Server
Kontrola nahrání
Každý soubor nahraný přes reverzní proxy je vícenásobně skenován a dezinfikován pomocí Deep CDR, než se dostane do aplikace.
DMZ, vedle vyvažovače zátěže.
OPSWAT MetaDefender Core
Modul dezinfekce souborů
Skenování a jádro Deep CDR, které volá ICAP, spravovaný přenos souborů a Kiosky. Nasadit jednou, znovu použít v každém vstupním bodě souboru.
Server v DMZ nebo kancelářské síti.
Stellar Cyber NDR sensor
NDR
Pasivní senzor na SPAN nebo TAP: provoz z východu na západ, boční pohyb a nespravované prostředky, které žádný agent nikdy neohlásí.
Port SPAN/TAP na základním přepínači.
Group-IB Analýza síťového provozu
NDR
Analýza provozu s in-line detonací souborů, spojená s Group-IB zpravodajskými informacemi o aktérech, kteří míří na váš sektor.
SPAN/TAP plus kopie toku pošty.
OPSWAT MetaDefender NDR
NDR
Detekce sítě vyladěná pro konvergovaný provoz IT/OT — rozumí průmyslovým protokolům i podnikovým protokolům.
SPAN/TAP na obou stranách hranice.
Stellar Cyber Otevřená platforma XDR
Sběr logů a korelace
Shromažďuje protokoly z každé vrstvy tohoto diagramu, normalizuje je a provádí korelaci, ze které SOC skutečně pracuje – designově nezávislá na dodavateli.
Kolektor on-prem, platforma v cloudu.
Varonis Detekce hrozeb pro data a reakce
Zabezpečení dat
Vyhledá citlivá data, opraví příliš široká oprávnění a upozorní na abnormální přístup ke sdíleným souborům, SharePointu a poště.
Kolektor vedle souborových a poštovních serverů.
Teramind Řízení vnitřních hrozeb
Vnitřní hrozby a DLP
Monitorování aktivity uživatelů, nahrávání relací a DLP pro účty, které již mají legitimní přístup.
Agent na pracovních stanicích a terminálových serverech.
Stormshield Průmyslový firewall SNS
OT firewall
Řada odolných průmyslových firewallů SNi: modely na DIN lištu i do racku s IPS pro průmyslové protokoly a hardwarovým bypassem. Model se vybírá podle potřeb výrobní buňky.
Mezi kontrolními zónami, buňkami a stroji.
OPSWAT Průmyslový firewall
OT firewall / IPS
Režim učení zaznamenává běžný vzor provozu a poté jej vynucuje – protokolově specifické DPI pro Modbus TCP, S7, DNP3, EtherNet/IP a BACnet. Navrženo pro umístění mezi Purdue L2 a L3.5.
Před buňkou, strojem nebo jedním PLC.
OPSWAT MetaDefender OT Security
Viditelnost aktiv OT
Pasivní a bezpečné aktivní zjišťování každého aktiva OT, jeho úrovně firmwaru a jeho známých zranitelností – inventář, který posouzení rizik potřebuje.
Senzor v řídicí síti.
OPSWAT MetaDefender OT Access
Zabezpečený vzdálený přístup
Zprostředkovaný, časově ohraničený a relací zaznamenaný přístup dodavatele k aktivům OT – bez tunelu VPN do řídicí sítě.
Broker na IT/OT hraně.
OPSWAT MetaDefender Endpoint
Stav zabezpečení a antivirus pro OT zařízení
Nenáročné kontroly stavu zabezpečení, aktualizací a malwaru pro zařízení, na nichž výrobce nepovoluje plného agenta EDR.
HMI a inženýrská pracoviště.
OPSWAT NetWall Unidirectional Gateway
Jednosměrná brána
Jednosměrná brána s emulací protokolů pro replikaci průmyslových archivů, OPC serverů a sdílených souborů směrem do IT, jako by spojení bylo obousměrné.
L3.5, dvojice propojených zařízení.
Waterfall Security Unidirectional Security Gateway
Jednosměrná brána
Hardwarově vynucená jednosměrná replikace s dlouhou historií v oblasti energie a vody a znalostmi regulátorů, které jsou s tím spojeny.
L3.5, dvojice propojených zařízení.
OPSWAT MetaDefender Kiosk
Ovládání vyjímatelných médií
Kontrolní propust: každý USB disk a soubor externího dodavatele je před vstupem do OT prověřen a zbaven škodlivého obsahu.
Fyzicky u vstupu do areálu OT.
OPSWAT Managed File Transfer
Řízený příjem souborů
Dohlížená cesta pro soubory, které musí překročit hranice – naskenované, vyčištěné, schválené a protokolované, bez sdíleného disku mezi nimi.
Na obě strany vzduchové mezery.
OPSWAT MetaDefender Drive
Offline kontrola zařízení
Spustí dodavatelský notebook nebo stroj z důvěryhodného disku a naskenuje jej offline, než se vůbec připojí k síti OT.
Přenosný, používaný ve vzduchové mezeře.
CYBER RANGES Výcvik na kybernetickém cvičišti
Dovednosti a cvičení
Realistická cvičení útoku a obrany v IT i OT, při nichž si obranný tým osvojuje architekturu pod tlakem.
Hostovaná platforma.
Yellow Cube 24×7 řízené SOC
Řízená detekce a reakce
Tým nepřetržitě sleduje IT i OT s využitím telemetrie ze zde uvedených agentů a senzorů.
SOC Yellow Cube se vstupy z kolektorů.
Cynet AutoXDR CSPM
Stav zabezpečení cloudu
Správa stavu zabezpečení cloudu v konzoli AutoXDR: chybné konfigurace, zpřístupněná úložiště a změny identit na jednom místě.
Bez agenta, připojeno ke cloudovému tenantovi.
WithSecure Elements
Stav zabezpečení koncových zařízení, aktualizace a zranitelnosti
Jeden agent a jedna konzole pro ochranu koncových zařízení, aktualizace aplikací třetích stran a správu zranitelností, s vyhodnocením stavu zabezpečení celého prostředí.
Servery a pracovní stanice v kancelářské síti.
Podle návrhu Agenta nelze nainstalovat
Provozní zařízení
PLC, RTU, pohony a senzory neumožňují instalaci bezpečnostního agenta. Ochrana proto musí být transparentně zařazena do síťové cesty před nimi. Právě proto je firewall před výrobní buňkou zásadní.
Purdue L0–L1.
FAQ
01 Kde se nachází každý produkt Yellow Cube v modelu Purdue? +
Portfolio Yellow Cube pokrývá celý model Purdue. Zdola nahoru: L1–L0 představuje sběrnici OT s PLC, RTU, pohony a senzory; L3–L2 řídicí síť OT se SCADA, průmyslovými archivy dat, HMI a inženýrskými stanicemi; L3.5 oddělení IT a OT; L4 kancelářskou síť a IT DMZ; L5 cloud, SaaS a mobilní zařízení. Jednotlivé části oddělují firewally na internetovém perimetru, mezi interními segmenty a mezi výrobními buňkami.Každá síť je zobrazena jako jeden segment L2 s připojenými zařízeními. Diagram tedy ukazuje umístění v síti, nikoli produktové kategorie.
02 Jak Yellow Cube chrání zařízení na úrovních Purdue L0–L1, na kterých nelze spustit bezpečnostního agenta? +
Pokud PLC, RTU, pohony a senzory neumožňují nasazení bezpečnostního agenta, ochranu zajišťují síťové prvky umístěné před těmito zařízeními.V praxi to znamená průmyslový firewall před buňkou, strojem nebo jednotlivým PLC: Industrial Firewall od OPSWAT, který se naučí běžný vzorec provozu a následně jej vynucuje kontrolou specifickou pro protokoly Modbus TCP, S7, DNP3, EtherNet/IP a BACnet, nebo robustní řadu SNi od Stormshield na liště DIN s hardwarovým bypassem. Právě proto má firewall před buňkou na této úrovni tak zásadní význam.
03 Jak přenést telemetrii přes oddělení sítí, aniž vznikne zpětná cesta do OT? +
Na úrovni Purdue L3.5 je přenos záměrně jednosměrný. Primární volbou je OPSWAT NetWall Unidirectional Gateway: dvojice zařízení s emulací protokolů, která umožňuje replikovat data z průmyslových archivů, OPC serverů a sdílených úložišť směrem do IT, jako by spojení bylo obousměrné. Telemetrie opouští OT, zpětná síťová cesta však nevzniká.Waterfall Security Unidirectional Security Gateway je rovněž součástí portfolia Yellow Cube a nabízí alternativu pro hardwarově vynucenou jednosměrnou komunikaci. Výměnná média a notebooky externích pracovníků procházejí jinou cestou: MetaDefender Kiosk slouží jako kontrolní propust, která před vstupem do OT prověří a vyčistí každý USB disk a soubor.
04 Musíme nahradit stávajícího poskytovatele identity zákazníka nebo firewally? +
Ne. Přerušované rámečky v této architektuře označují platformy třetích stran, které již zákazníci běžně používají — například poskytovatele identity Microsoft Entra ID nebo Google Workspace. Yellow Cube je nedodává. Naše řešení pro ochranu identit stávajícího poskytovatele doplňují, protože právě on vydává tokeny, kterým důvěřují ostatní systémy.Pokud jsou dva produkty spojeny „nebo“, jedná se o ekvivalentní možnosti pro stejnou pozici: vyberte jeden, neskládejte oba.
05 Co v portfoliu pokrývá celý stack spíše než jednu úroveň Purdue? +
Tři řešení pokrývají celou architekturu. Nepřetržitě provozované SOC společnosti Yellow Cube sleduje IT i OT na základě telemetrie z agentů a senzorů. Cymulate Exposure Validation bezpečně prověřuje nasazená bezpečnostní opatření a ověřuje, zda každá zóna včetně hranice OT skutečně blokuje očekávané útoky.CYBER RANGES přidává živá cvičení na realistických IT a OT scénářích, takže modrý tým se tuto architekturu učí spíše pod tlakem než během incidentu.
Pojďme budovat chytřejší kybernetickou obranu Společně
Dlouhodobá partnerství stavíme na důvěře, odbornosti a společném úspěchu. Ať chcete rozvíjet své podnikání, rozšířit nabídku kybernetické bezpečnosti nebo uvést inovativní řešení na nové trhy, v Yellow Cube najdete spolehlivého partnera.
Spojte se s Yellow Cube