# Arhitectura de securitate cibernetică > Unde se află fiecare produs Yellow Cube în rețea — de la magistrala OT și PLC-uri, prin separarea fizică, până la IT, cloud și internet. Se completează cu Matricea produselor, care evaluează același portofoliu în funcție de contribuția sa la o postură de securitate cibernetică solidă. Faceți clic pe orice produs de mai jos pentru a afla ce este și de ce se află acolo. Casetele cu linie întreruptă reprezintă platforme terțe deja răspândite în infrastructurile clienților (furnizori de identitate etc.) — acestea nu fac parte din portofoliul Yellow Cube. - URL canonic: https://yellowcube.eu/ro/purdue-model-architecture/ - Editor: Yellow Cube - Limbă: ro - Contact: hello@yellowcube.eu ## Conținut Unde se află fiecare produs Yellow Cube în rețea — de la magistrala OT și PLC-uri, prin separarea fizică, până la IT, cloud și internet. Se completează cu Matricea produselor, care evaluează același portofoliu în funcție de contribuția sa la o postură de securitate cibernetică solidă. Faceți clic pe orice produs de mai jos pentru a afla ce este și de ce se află acolo. Casetele cu linie întreruptă reprezintă platforme terțe deja răspândite în infrastructurile clienților (furnizori de identitate etc.) — acestea nu fac parte din portofoliul Yellow Cube. **De la PLC la cloud** — Yellow Cube securizează fiecare nivel al modelului Purdue cu un producător specializat pe domeniu, astfel încât arhitectura dvs. de rețea decide unde aparțin controalele, nu catalogul de produse al unui producător. ### Întrebări frecvente #### Unde se află fiecare produs Yellow Cube în modelul Purdue? Yellow Cube își amplasează portofoliul în întreaga arhitectură, citită de jos în sus: Purdue L1–L0 este magistrala OT, care include PLC-uri, RTU-uri, unități de acționare și senzori; L3–L2 este rețeaua de control OT, cu SCADA, servere de istoric, HMI-uri și stații de lucru pentru inginerie; L3.5 este separarea fizică; L4 acoperă rețeaua de birou și DMZ-ul IT; L5 cuprinde cloudul, SaaS și flota mobilă. Între acestea se află limitele de firewall: perimetrul internetului, segmentarea internă și segmentarea celulelor. Fiecare rețea apare ca un segment de nivel 2 (L2), cu gazdele conectate la acesta. Diagrama indică poziția în rețea, nu categoria produsului. #### Cum protejează Yellow Cube dispozitivele de la nivelurile Purdue L0–L1 care nu pot rula un agent de securitate? Pentru PLC-uri, RTU-uri, unități de acționare și senzori care nu pot rula un agent de securitate, protecția este asigurată de echipamente de rețea amplasate înaintea lor pe traseul comunicației. În practică, un firewall industrial este plasat în fața celulei de producție, a utilajului sau a PLC-ului. OPSWAT Industrial Firewall învață traficul normal și aplică reguli specifice protocoalelor Modbus TCP, S7, DNP3, EtherNet/IP și BACnet. Alternativa este gama robustă Stormshield SNi, cu montare pe șină DIN și bypass hardware. De aceea, firewall-ul din fața celulei este esențial la acest nivel. #### Cum trece telemetria de separarea fizică fără a deschide o cale de întoarcere în OT? La nivelul Purdue L3.5, fluxul de date este intenționat unidirecțional. Soluția principală este OPSWAT NetWall Unidirectional Gateway: două dispozitive cu emulare de protocoale permit replicarea datelor din serverele de istoric industrial, serverele OPC și directoarele partajate către nivelurile superioare. Aplicațiile folosesc conexiunea ca pe una bidirecțională, dar telemetria poate doar să iasă din OT; nu există comunicare în sens invers. Waterfall Security Unidirectional Security Gateway face, de asemenea, parte din portofoliul Yellow Cube și oferă o alternativă pentru comunicarea unidirecțională impusă la nivel hardware. Mediile de stocare detașabile și laptopurile prestatorilor urmează un traseu separat: chioșcul MetaDefender verifică și curăță fiecare dispozitiv USB și fișier înainte de accesul în OT, ca o ecluză de securitate. #### Trebuie să înlocuim furnizorul de identitate existent al clientului sau firewall-urile? Nu. Casetele cu linie întreruptă din această arhitectură reprezintă platforme terțe deja folosite de majoritatea clienților, de exemplu furnizorii de identitate Microsoft Entra ID și Google Workspace. Yellow Cube nu le furnizează. Soluțiile noastre de securitate a identității completează platforma existentă, care emite tokenurile acceptate de celelalte sisteme. Produsele legate prin „sau” sunt alternative pentru același rol. Alegeți unul dintre ele. #### Ce elemente din portofoliu acoperă întreaga arhitectură, nu doar un singur nivel Purdue? Trei soluții acoperă mai multe niveluri ale acestei arhitecturi. SOC-ul gestionat 24×7 al Yellow Cube supraveghează IT și OT pe baza telemetriei colectate de agenți și senzori. Cymulate Exposure Validation testează în siguranță măsurile de protecție și verifică dacă blochează atacurile prevăzute în fiecare zonă, inclusiv la limita OT. CYBER RANGES adaugă exerciții practice de atac și apărare în scenarii IT și OT realiste, pentru ca echipa de apărare să exerseze această arhitectură sub presiune înaintea unui incident real. ### Să construim o apărare cibernetică mai eficientă împreună Construim parteneriate de durată, bazate pe încredere, expertiză și succes comun. Fie că doriți să vă dezvoltați afacerea, să vă extindeți oferta de securitate cibernetică sau să lansați soluții inovatoare pe piețe noi, Yellow Cube vă sprijină pe termen lung. [Luați legătura cu Yellow Cube]() ### Purdue L5 · Cloud și internet Instanțe SaaS, cloud public și flota de dispozitive mobile care nu se conectează niciodată la LAN-ul biroului. **Postură de securitate în cloud (CSPM)** [WithSecure Elements Cloud Security]() sau [Cynet AutoXDR CSPM]() sau [Stellar Cyber Cloud Sensors]() sau [OPSWAT MetaDefender Cloud]() **Identitate și MFA** [Imprivata SSO + MFA]() sau [Microsoft Entra ID]() sau [Google Workspace — gestionarea identităților]() **Integritatea lanțului de aprovizionare** [OPSWAT Lanț de aprovizionare software]() sau [Cymulate Validarea expunerii]() sau [Group-IB Gestionarea suprafeței de atac]() **Dispozitive mobile** [iVerify Mobile EDR]() sau [WithSecure Elements Mobile Protection]() **Căsuță poștală în cloud** [IronScales Detectarea și gestionarea amenințărilor din e-mail]() + [MailStore Arhivă de e-mail]() ### Limită · Perimetrul internetului **DDoS și protecția edge** [A10 Networks Thunder TPS]() **Firewall perimetral** [Stormshield Firewall SNS]() **Securitate DNS** [Whalebone Securitate DNS]() ### Purdue L4 · DMZ · DMZ IT Servicii publicate și expuse la internet. Infrastructura de endpointuri din birou, completată cu controale de perimetru și identitate. **WAF + distribuitor de sarcină** [A10 Networks Thunder ADC + WAF]() **Securitatea identității (ITDR)** [Varonis ITDR]() sau [Imprivata PAM]() **Agent pe serverele publicate** [Cynet Agent AutoXDR]() sau [WithSecure Elements EDR]() sau [Group-IB XDR gestionat]() sau [Stellar Cyber Server Sensor]() **Fișiere încărcate** [OPSWAT MetaDefender ICAP Server]() sau [OPSWAT MetaDefender Core]() ### Limită · Segmentare internă **Firewall DMZ ↔ birou** [Stormshield Firewall SNS]() **Securitate DNS** [Whalebone Securitate DNS]() ### Purdue L4 · Rețeaua de birou O singură rețea de birou L2: servere, stații de lucru, portul SPAN și traseul jurnalelor către SOC. **Agent pentru endpointuri — servere și stații de lucru** [Cynet Agent AutoXDR]() sau [WithSecure Elements EDR]() sau [Group-IB XDR gestionat]() **Senzor NDR pe SPAN / TAP** [Stellar Cyber NDR sensor]() sau [Group-IB Analiza traficului de rețea]() sau [OPSWAT MetaDefender NDR]() **Colectarea jurnalelor → SOC** [Stellar Cyber Platformă OpenXDR]() sau [Cynet Agent AutoXDR]() **Gestionarea actualizărilor și vulnerabilităților** [WithSecure Elements]() sau [Cynet Agent AutoXDR]() **Postura de securitate a endpointurilor (ESPM)** [WithSecure Elements]() sau [Cynet Agent AutoXDR]() **Date și riscuri interne** [Varonis Detectare și răspuns la nivelul datelor]() sau [Teramind Gestionarea amenințărilor interne]() ### Purdue L3.5 · Separare fizică Telemetrie către nivelurile superioare **Transfer unidirecțional** [OPSWAT NetWall Unidirectional Gateway]() sau [Waterfall Security Unidirectional Security Gateway]() **Medii de stocare detașabile și laptopuri ale prestatorilor** [OPSWAT MetaDefender Kiosk]() + [OPSWAT MetaDefender Drive]() sau [OPSWAT Managed File Transfer]() ### Purdue L3–L2 · Rețeaua de control OT Servere de istoric industrial / OPC **Firewall industrial — controlul zonelor** [Stormshield Firewall industrial SNS]() sau [OPSWAT Firewall industrial]() **Agent pe HMI / stația de lucru pentru inginerie** [Cynet Agent AutoXDR]() sau [WithSecure Elements EDR]() sau [OPSWAT MetaDefender Endpoint]() **Vizibilitatea activelor OT** [OPSWAT MetaDefender OT Security]() sau [OPSWAT MetaDefender NDR]() **Acces de la distanță pentru producători** [OPSWAT MetaDefender OT Access]() sau [Imprivata PAM]() ### Limită · Segmentarea celulelor **Control ↔ magistrală** [Stormshield Firewall industrial SNS]() ### Purdue L1–L0 · Magistrală OT / rețea PLC Fieldbus și controlere. La acest nivel nu se instalează nimic — protecția este inline și transparentă. **În fața PLC-ului** [OPSWAT Firewall industrial]() sau [Stormshield Firewall industrial SNS]() **Dispozitive de teren** [Prin proiectare Nu se poate instala un agent]() ### Transversal [Yellow Cube SOC gestionat 24×7]() + [Cymulate Validarea expunerii]() + [CYBER RANGES Instruire pe platforme de simulare cibernetică]() ### [WithSecure Elements Cloud Security]() CSPM Verificări continue ale posturii și configurărilor greșite în M365, Entra, Azure și AWS — în aceeași consolă ca agenții pentru endpointuri de mai jos. SaaS. Fără componentă în rețea. ### [OPSWAT MetaDefender Cloud]() Analiza fișierelor în cloud Scanare cu mai multe motoare, Deep CDR și sandboxing oferite printr-un API cloud pentru fișierele care intră în organizație. API SaaS, apelat de aplicații și gateway-uri. ### [Stellar Cyber Cloud Sensors]() Telemetrie cloud Preia jurnalele de audit, identitate și SaaS din cloud în lacul de date OpenXDR, astfel încât evenimentele cloud să fie corelate cu cele din rețea și de pe endpointuri. Instanță cloud + colector local. ### [Stellar Cyber Server Sensor]() Senzor de telemetrie al gazdei Senzor software pentru serverele Windows și Linux compatibile, care transmite evenimente de sistem și telemetrie de pe gazdă în format Interflow, astfel încât OpenXDR să poată corela activitatea cu restul arhitecturii. Agent pe fiecare server publicat din DMZ-ul IT. ### [Imprivata SSO + MFA]() Identitate și acces Autentificare unică, card de acces și MFA pentru stații de lucru partajate și activitate în schimburi — inclusiv scenarii clinice, de producție și din camere de control. Serviciu de identitate în cloud + client pe endpoint. ### [OPSWAT Lanț de aprovizionare software]() Integritatea lanțului de aprovizionare Generarea SBOM, scanarea și sanitizarea pachetelor producătorilor înainte ca software-ul terț, actualizările sau firmware-ul să fie acceptate în infrastructură. Verificare înainte de lansare / flux CI. ### [Cymulate Validarea expunerii]() Validarea securității Testează în siguranță măsurile de protecție implementate, pentru a verifica dacă blochează atacurile pentru care au fost configurate. Agenți ușori în toate zonele. ### [Group-IB Gestionarea suprafeței de atac]() Expunere externă și lanț de aprovizionare Cartografiază permanent ceea ce expuneți la internet — active necunoscute, servicii expuse, credențiale divulgate și terțele părți din lanțul de aprovizionare — și stabilește ce trebuie remediat mai întâi. Extern, fără nimic de instalat. ### [Microsoft Entra ID]() Furnizor de identitate Platforma de identitate pe care majoritatea clienților o folosesc deja. Emite tokenurile în care au încredere toate sistemele de mai sus; produsele noastre de identitate se adaugă peste ea, nu o înlocuiesc. Furnizor de identitate în cloud. **Platforma proprie a clientului — nu este furnizată de Yellow Cube.** ### [Google Workspace — gestionarea identităților]() Furnizor de identitate Echivalentul Google: directorul și emitentul de tokenuri prin care se autentifică restul arhitecturii. Furnizor de identitate în cloud. **Platforma proprie a clientului — nu este furnizată de Yellow Cube.** ### [iVerify Mobile EDR]() Apărare pentru dispozitive mobile Detectează spyware comercial, dispozitive jailbreak, profiluri malițioase și abateri de configurare pe iOS și Android — detectare reală, nu doar conformitate MDM. Aplicație pe dispozitiv. Fără poziționare în rețea. ### [WithSecure Elements Mobile Protection]() Antivirus pentru dispozitive mobile Protecție împotriva malware-ului, phishingului și navigării periculoase pentru telefoane și tablete gestionate, raportată în aceeași consolă Elements ca desktopurile. Aplicație pe dispozitiv. ### [Whalebone Securitate DNS]() Filtrare DNS Blocarea domeniilor de phishing, malware și C2 la nivelul resolverului. Acoperă vizitatorii, dispozitivele IoT și orice sistem pe care nu puteți instala software. Resolver de rețea sau client mobil pentru dispozitive aflate în deplasare. ### [IronScales Detectarea și gestionarea amenințărilor din e-mail]() Securitatea e-mailului Detectarea phishingului după livrare și remediere cu un singur clic în M365 sau Google, împreună cu raportarea utilizatorilor care antrenează modelul. Integrare prin API cu căsuța poștală — fără modificarea înregistrării MX. ### [MailStore Arhivă de e-mail]() Păstrare și probe Arhivare independentă a e-mailului pentru căutare, păstrare obligatorie în scopuri juridice și recuperare, inclusiv după încetarea serviciului de e-mail. Server în rețeaua de birou. ### [A10 Networks Thunder ADC + WAF]() Distribuitor de sarcină + firewall pentru aplicații web Termină conexiunile TLS și distribuie serviciile publicate, apoi aplică pe același echipament protecție de clasă OWASP, apărare împotriva boților și controale pentru API-uri — un singur punct de inserție pentru politica WAF și decriptarea cu vizibilitate completă. DMZ, inline în fața nivelului web. ### [A10 Networks Thunder TPS]() Atenuarea atacurilor DDoS Filtrarea atacurilor DDoS volumetrice și la nivel de aplicație la marginea internetului, înainte ca tabela de stări a firewallului să devină punctul critic. Perimetrul internetului, inline sau la cerere. ### [Stormshield Firewall SNS]() NGFW Segmentare perimetrală și internă, cu IPS și controlul aplicațiilor — același motor de politici ca firewallul industrial SNi40 de mai jos, gestionat împreună. La perimetrul internetului și între zonele interne. ### [Varonis ITDR]() Detectarea amenințărilor asupra identității Monitorizează Active Directory și Entra pentru abuz de privilegii, atacuri Kerberos, căi administrative învechite și raza de impact asociată fiecărui cont. Colector în DMZ sau în rețeaua de birou. ### [Imprivata PAM]() PAM Păstrează credențialele în seifuri și înregistrează sesiunile privilegiate către servere, gazde intermediare și active OT — traseul de audit care arată cine și ce a făcut. Gazdă intermediară în DMZ. ### [Cynet Agent AutoXDR]() Agent EDR / XDR Un singur agent pentru NGAV, EDR, tehnologii de inducere în eroare și răspuns automat, susținut de o echipă MDR 24×7. Alegerea implicită pragmatică atunci când echipa de securitate este mică. Instalat pe fiecare gazdă Windows, Linux și macOS. ### [WithSecure Elements EDR]() Agent EDR Detectare și răspuns la nivelul endpointurilor, cu escaladare Elevate-to-expert. Aceeași familie de agenți ca modulele mobile și cloud — un singur producător pentru trei niveluri. Instalat pe fiecare server și stație de lucru. ### [Group-IB XDR gestionat]() XDR gestionat Agent și senzori de rețea susținuți de informațiile despre amenințări și practica de răspuns la incidente proprii Group-IB. O alegere puternică atunci când atribuirea și IR sunt importante. Agent pe gazde + senzor în rețea. ### [OPSWAT MetaDefender ICAP Server]() Inspectarea fișierelor încărcate Fiecare fișier încărcat prin proxy-ul invers este scanat cu mai multe motoare și sanitizat prin Deep CDR înainte să ajungă la aplicație. DMZ, lângă distribuitorul de sarcină. ### [OPSWAT MetaDefender Core]() Motor de sanitizare a fișierelor Motorul de scanare și Deep CDR apelat de ICAP, transferul gestionat de fișiere și toate chioșcurile. Îl implementați o dată și îl reutilizați în fiecare punct de intrare a fișierelor. Server în DMZ sau în rețeaua de birou. ### [Stellar Cyber NDR sensor]() NDR Senzor pasiv pe un port SPAN sau TAP: vede traficul est-vest, mișcarea laterală și activele negestionate pe care niciun agent nu le va raporta vreodată. Port SPAN/TAP pe switchul central. ### [Group-IB Analiza traficului de rețea]() NDR Analiza traficului și executarea fișierelor într-un mediu izolat, direct pe traseul traficului, corelate cu informațiile Group-IB despre atacatorii care vizează sectorul dumneavoastră. SPAN/TAP, plus o copie a fluxului de e-mail. ### [OPSWAT MetaDefender NDR]() NDR Detectare în rețea adaptată traficului IT/OT convergent — înțelege protocoalele industriale la fel de bine ca pe cele enterprise. Pe ambele părți ale separării fizice. ### [Stellar Cyber Platformă OpenXDR]() Colectarea și corelarea jurnalelor Colectează jurnale din fiecare nivel al acestei diagrame, le normalizează și realizează corelarea pe baza căreia lucrează efectiv SOC-ul — independent de producător prin proiectare. Colector local, platformă în cloud. ### [Varonis Detectare și răspuns la nivelul datelor]() Securitatea datelor Găsește datele sensibile, corectează permisiunile prea largi și alertează la acces anormal în partajări de fișiere, SharePoint și e-mail. Colector lângă serverele de fișiere și e-mail. ### [Teramind Gestionarea amenințărilor interne]() Riscuri interne și DLP Monitorizarea activității utilizatorilor, înregistrarea sesiunilor și DLP pentru conturile care au deja acces legitim. Agent pe stații de lucru și servere terminale. ### [Stormshield Firewall industrial SNS]() Firewall OT Gama SNi de firewall-uri industriale robuste: modele pentru șină DIN și rack, cu IPS pentru protocoale și bypass hardware. Modelul se alege după cerințele celulei de producție. Între zonele de control, celule și utilaje. ### [OPSWAT Firewall industrial]() Firewall OT / IPS Modul de învățare înregistrează tiparul normal al traficului, apoi îl impune — DPI specific protocoalelor Modbus TCP, S7, DNP3, EtherNet/IP și BACnet. Conceput pentru amplasare între nivelurile Purdue L2 și L3.5. În fața unei celule, a unui utilaj sau a unui singur PLC. ### [OPSWAT MetaDefender OT Security]() Vizibilitatea activelor OT Descoperire pasivă și activă în siguranță a fiecărui activ OT, a versiunii de firmware și a vulnerabilităților cunoscute — inventarul necesar evaluării riscurilor. Senzor în rețeaua de control. ### [OPSWAT MetaDefender OT Access]() Acces securizat de la distanță Acces intermediat, limitat în timp și cu sesiuni înregistrate pentru producători către activele OT — fără tunel VPN în rețeaua de control. Intermediar la limita IT/OT. ### [OPSWAT MetaDefender Endpoint]() Postură de securitate și antivirus pentru gazdele OT Verificări ușoare de postură, actualizări și malware pentru gazdele pe care producătorul echipamentului nu va certifica un agent EDR complet. HMI-uri și stații de lucru pentru inginerie. ### [OPSWAT NetWall Unidirectional Gateway]() Gateway unidirecțional Gateway unidirecțional cu emulare de protocoale: serverele de istoric industrial, serverele OPC și directoarele partajate pot replica datele către nivelurile superioare ca și cum legătura ar fi bidirecțională. L3.5, echipamente pereche. ### [Waterfall Security Unidirectional Security Gateway]() Gateway unidirecțional Replicare unidirecțională impusă hardware, cu un istoric îndelungat în energie și apă și cu familiaritatea autorităților de reglementare care decurge din acesta. L3.5, echipamente pereche. ### [OPSWAT MetaDefender Kiosk]() Controlul mediilor amovibile Poarta de acces: fiecare stick USB și fișier al contractorilor este scanat și sanitizat la chioșc înainte să fie permis în zona OT. Fizic, la intrarea în zona OT. ### [OPSWAT Managed File Transfer]() Introducerea controlată a fișierelor Traseul supravegheat pentru fișierele care trebuie să traverseze limita — scanate, sanitizate, aprobate și jurnalizate, fără o unitate partajată între zone. Pe oricare parte a separării fizice. ### [OPSWAT MetaDefender Drive]() Inspectarea offline a dispozitivelor Pornește laptopul unui contractor sau un sistem de punere în funcțiune de pe o unitate de încredere și îl scanează offline, înainte să se conecteze vreodată la rețeaua OT. Portabil, utilizat la separarea fizică. ### [CYBER RANGES Instruire pe platforme de simulare cibernetică]() Competențe și exerciții Exerciții practice de atac și apărare în scenarii IT și OT realiste, pentru ca echipa de apărare să învețe această arhitectură sub presiune. Platformă găzduită. ### [Yellow Cube SOC gestionat 24×7]() Detectare și răspuns gestionate Echipa care monitorizează în afara programului toate sistemele de mai sus, atât IT, cât și OT, pe baza telemetriei produse aici de agenți și senzori. SOC Yellow Cube, alimentat cu date de colectoare. ### [Cynet AutoXDR CSPM]() Postură de securitate în cloud Gestionarea posturii de securitate în cloud în aceeași consolă AutoXDR ca agenții pentru endpointuri — configurări greșite, stocare expusă și abateri de identitate într-un singur loc. Fără agent, conectat la instanța cloud. ### [WithSecure Elements]() Postura endpointurilor, actualizări și gestionarea vulnerabilităților Un agent și o consolă pentru protecția endpointurilor, actualizările terțe și gestionarea vulnerabilităților, cu evaluarea posturii în întreaga infrastructură. Servere și stații de lucru în rețeaua de birou. ### [Prin proiectare Nu se poate instala un agent]() Dispozitive de teren PLC-urile, RTU-urile, unitățile de acționare și senzorii nu pot rula agenți de securitate. Protecția se află înaintea lor, pe traseul comunicației, și funcționează transparent. De aceea, firewall-ul din fața celulei de producție este esențial. Purdue L0–L1. ## Sursa și domeniul de aplicare Această versiune Markdown este generată din aceleași înregistrări aprobate ca pagina HTML canonică. Pentru citare, utilizați URL-ul canonic.