Architektúra kybernetickej bezpečnosti

Purdue L5 · Cloud a internet

Prostredia SaaS, verejný cloud a mobilné zariadenia, ktoré sa nepripájajú do kancelárskej LAN.

Stav zabezpečenia cloudu (CSPM)

WithSecure Elements Cloud Security alebo Cynet AutoXDR CSPM alebo Stellar Cyber Cloud Sensors alebo OPSWAT MetaDefender Cloud

Identita a MFA

Imprivata SSO + MFA alebo Microsoft Entra ID alebo Google Workspace — správa identít

Integrita dodávateľského reťazca

OPSWAT Dodávateľský reťazec softvéru alebo Cymulate Validácia expozície alebo Group-IB Správa útočnej plochy

Mobilné zariadenia

iVerify Mobile EDR alebo WithSecure Elements Mobile Protection

Cloudová schránka

IronScales Detekcia a riešenie e-mailových hrozieb + MailStore Archív e-mailov

Hranica · Hranica internetu

DDoS a ochrana na hranici siete

A10 Networks Thunder TPS

Perimetrový firewall

Stormshield firewall SNS

Zabezpečenie DNS

Whalebone Zabezpečenie DNS

Purdue L4 · DMZ · IT DMZ

Služby dostupné z internetu. Ochrana zariadení doplnená o bezpečnostné opatrenia na hranici siete a ochranu identity.

WAF + vyvažovač záťaže

A10 Networks Thunder ADC + WAF

Zabezpečenie identity (ITDR)

Varonis ITDR alebo Imprivata PAM

Agent na zverejnených serveroch

Cynet Agent AutoXDR alebo WithSecure Elements EDR alebo Group-IB Spravované XDR alebo Stellar Cyber Server Sensor

Nahrávané súbory do

OPSWAT MetaDefender ICAP Server alebo OPSWAT MetaDefender Core

Hranica · Vnútorná segmentácia

DMZ ↔ kancelársky firewall

Stormshield firewall SNS

Zabezpečenie DNS

Whalebone Zabezpečenie DNS

Purdue L4 · Kancelárska sieť

Jedna kancelárska sieť L2: servery, pracovné stanice, port SPAN a logovacia cesta do SOC.

Agent koncového bodu — servery a pracovné stanice

Cynet Agent AutoXDR alebo WithSecure Elements EDR alebo Group-IB Spravované XDR

Senzor NDR na SPAN / TAP

Stellar Cyber NDR sensor alebo Group-IB Analýza sieťovej prevádzky alebo OPSWAT MetaDefender NDR

Zber logov → SOC

Stellar Cyber Otvorená platforma XDR alebo Cynet Agent AutoXDR

Správa aktualizácií a zraniteľností

WithSecure Elements alebo Cynet Agent AutoXDR

Stav zabezpečenia koncových zariadení (ESPM)

WithSecure Elements alebo Cynet Agent AutoXDR

Dátové a vnútorné riziko

Varonis Detekcia a reakcia pri ohrození údajov alebo Teramind Riadenie vnútorných hrozieb

Purdue L3.5 · Fyzické oddelenie sietí

Elektronické alebo optické oddelenie. Telemetria opúšťa OT smerom do vyšších vrstiev; spätná komunikácia nie je možná.

Jednosmerný prenos

OPSWAT NetWall Unidirectional Gateway alebo Waterfall Security Unidirectional Security Gateway

Vymeniteľné médiá a notebooky externých pracovníkov

OPSWAT MetaDefender Kiosk + OPSWAT MetaDefender Drive alebo OPSWAT Managed File Transfer

Purdue L3–L2 · OT riadiaca sieť

SCADA, historizačné servery, HMI a inžinierske stanice. Na zariadeniach Windows môže bežať agent, ak to výrobca zariadenia povoľuje.

Priemyselný firewall — zónová kontrola

Stormshield Priemyselný firewall SNS alebo OPSWAT Priemyselný firewall

Agent pre HMI / inžinierske WS

Cynet Agent AutoXDR alebo WithSecure Elements EDR alebo OPSWAT MetaDefender Endpoint

Prehľad o OT zariadeniach

OPSWAT MetaDefender OT Security alebo OPSWAT MetaDefender NDR

Vzdialený prístup dodávateľa

OPSWAT MetaDefender OT Access alebo Imprivata PAM

Hranica · Segmentácia výrobných buniek

Riadiaca sieť ↔ zbernica

Stormshield Priemyselný firewall SNS

Purdue L1–L0 · OT zbernica / PLC sieť

Priemyselná zbernica a riadiace jednotky. Na tieto zariadenia neinštalujeme agentov; ochrana je priamo na komunikačnej ceste a funguje transparentne.

Pred PLC

OPSWAT Priemyselný firewall alebo Stormshield Priemyselný firewall SNS

Prevádzkové zariadenia

Z princípu Agent sa nedá nainštalovať

WithSecure Elements Cloud Security

CSPM

Priebežná kontrola stavu zabezpečenia a konfigurácie M365, Entra, Azure a AWS v rovnakej konzole ako agenty zariadení.

SaaS. Žiadna súčasť siete.

OPSWAT MetaDefender Cloud

Analýza súborov v cloude

Multiscanning, Deep CDR a sandboxing ponúkané ako cloudové API pre súbory vstupujúce do organizácie.

SaaS API, volané aplikáciami a bránami.

Stellar Cyber Cloud Sensors

Cloudová telemetria

Zhromažďuje auditné záznamy z cloudu, prihlásení a SaaS v dátovom úložisku Open XDR, ktoré prepája cloudové udalosti s aktivitou siete a zariadení.

Cloudové prostredie + lokálny zberač.

Stellar Cyber Server Sensor

Senzor telemetrie zariadenia

Softvérový senzor pre podporované servery Windows a Linux odosiela systémové udalosti a telemetriu vo formáte Interflow. Open XDR ich prepája s aktivitou ostatných systémov.

Agent na každom zverejnenom serveri v IT DMZ.

Imprivata SSO + MFA

Identita a prístup

Jednotné prihlásenie, prístup kartou a MFA pre zdieľané stanice a zmenovú prevádzku vrátane zdravotníctva, výroby a dispečingov.

Cloudová služba identity + klient na zariadení.

OPSWAT Dodávateľský reťazec softvéru

Integrita dodávateľského reťazca

Tvorba SBOM, kontrola balíkov výrobcu a odstránenie škodlivého obsahu pred zavedením softvéru, aktualizácií či firmvéru tretích strán.

Kontrola pred vydaním / proces CI.

Cymulate Validácia expozície

Overenie bezpečnosti

Bezpečne testuje nasadené opatrenia a overuje, či v každej zóne vrátane hranice OT blokujú zamýšľané útoky.

Nenáročné agenty v jednotlivých zónach.

Group-IB Správa útočnej plochy

Externá expozícia a dodávateľský reťazec

Priebežne mapuje vašu internetovú expozíciu: neevidované aktíva, verejne dostupné služby, uniknuté prihlasovacie údaje a tretie strany v dodávateľskom reťazci. Pomáha určiť priority nápravy.

Externá služba bez lokálnej inštalácie.

Microsoft Entra ID

Poskytovateľ identity

Existujúca platforma identity zákazníka vydáva tokeny, ktoré uznávajú ostatné systémy. Naše riešenia ju dopĺňajú.

Poskytovateľ cloudovej identity.

Vlastná platforma zákazníka – nedodáva Yellow Cube.

Google Workspace — správa identít

Poskytovateľ identity

Alternatíva od Google: adresárová služba a vydávanie tokenov na overovanie v ostatných systémoch.

Poskytovateľ cloudovej identity.

Vlastná platforma zákazníka – nedodáva Yellow Cube.

iVerify Mobile EDR

Mobilná obrana

Odhaľuje komerčný špionážny softvér, jailbreak, škodlivé profily a zmeny konfigurácie iOS a Android. Dopĺňa skutočnú detekciu hrozieb nad rámec kontroly pravidiel MDM.

Aplikácia na zariadení. Žiadna pozícia v sieti.

WithSecure Elements Mobile Protection

Mobilné AV

Ochrana spravovaných telefónov a tabletov pred malvérom, phishingom a nebezpečným webom v rovnakej konzole Elements ako počítače.

Aplikácia na zariadení.

Whalebone Zabezpečenie DNS

Filtrovanie DNS

Blokuje phishingové, malvérové a C2 domény na úrovni DNS resolvera. Chráni aj hostí, IoT a zariadenia bez možnosti inštalácie agenta.

Sieťový resolver alebo roamingový klient na mobiloch.

IronScales Detekcia a riešenie e-mailových hrozieb

Zabezpečenie e-mailu

Odhaľuje phishing po doručení v M365 alebo Google a umožňuje nápravu jedným kliknutím. Hlásenia používateľov pomáhajú zlepšovať model.

API integrované s poštovou schránkou – žiadna zmena MX.

MailStore Archív e-mailov

Uchovávanie a dôkazy

Archív každej správy odolný voči manipulácii, s uchovávaním pre právne účely, vyhľadávaním dôkazov a podkladmi pre audit.

Server v kancelárskej sieti.

A10 Networks Thunder ADC + WAF

Vyvažovanie záťaže a firewall webových aplikácií

Ukončuje TLS spojenia, rozdeľuje záťaž verejne dostupných služieb a na jednom zariadení uplatňuje ochranu pred útokmi OWASP, botmi a zneužitím API.

DMZ, in-line pred webovou vrstvou.

A10 Networks Thunder TPS

Zmiernenie DDoS

Filtruje volumetrické aj aplikačné útoky DDoS na hranici internetu ešte pred preťažením stavovej tabuľky firewallu.

Internetový perimetr, in-line alebo na požiadanie.

Stormshield firewall SNS

NGFW

Perimetrová a vnútorná segmentácia s IPS a riadením aplikácií, so spoločnou správou a rovnakým systémom pravidiel ako priemyselný SNi40.

Internetový perimetr a medzi vnútornými zónami.

Varonis ITDR

Detekcia ohrozenia identity

Sleduje zneužívanie oprávnení v Active Directory a Entra, útoky Kerberos, zabudnuté správcovské prístupy a rozsah oprávnení účtov.

Zberač v DMZ alebo kancelárskej sieti.

Imprivata PAM

PAM

Bezpečne uchováva prihlasovacie údaje a zaznamenáva privilegované relácie na serveroch, prístupových serveroch a OT zariadeniach. Vytvára auditný záznam vykonaných úkonov.

Prístupový server v DMZ.

Cynet Agent AutoXDR

Agent EDR / XDR

Jeden agent pre NGAV, EDR, klamné ciele a automatickú reakciu s podporou tímu MDR 24×7. Vhodná základná voľba pre malé bezpečnostné tímy.

Nainštalované na každom hostiteľovi Windows, Linux a macOS.

WithSecure Elements EDR

EDR agent

Detekcia a reakcia na koncových zariadeniach s možnosťou zapojiť odborníkov služby Elevate. Rovnaká rodina agentov ako pri mobilných a cloudových moduloch.

Nainštalované na každom serveri a pracovnej stanici.

Group-IB Spravované XDR

Spravované XDR

Agent a sieťové senzory využívajú skúsenosti Group-IB s informáciami o hrozbách a reakciou na incidenty. Vhodné tam, kde je dôležité určenie pôvodcu útoku a podrobné vyšetrovanie.

Agent na hostiteľoch + senzor v sieti.

OPSWAT MetaDefender ICAP Server

Kontrola nahrávania

Každý súbor nahraný cez reverzný proxy je viacnásobne skenovaný a dezinfikovaný pomocou Deep CDR predtým, ako sa dostane do aplikácie.

DMZ, vedľa vyvažovača zaťaženia.

OPSWAT MetaDefender Core

Odstránenie škodlivého obsahu zo súborov

Skenovanie a Deep CDR dostupné pre ICAP, riadený prenos súborov a kiosky. Jedno nasadenie slúži všetkým vstupným bodom súborov.

Server v DMZ alebo kancelárskej sieti.

Stellar Cyber NDR sensor

NDR

Pasívny senzor na porte SPAN alebo TAP sleduje komunikáciu medzi zariadeniami, laterálny pohyb útočníkov a nespravované aktíva bez agentov.

Port SPAN/TAP na centrálnom prepínači.

Group-IB Analýza sieťovej prevádzky

NDR

Analýza sieťovej komunikácie a spúšťanie prenášaných súborov v izolovanom prostredí, prepojené s informáciami Group-IB o útočníkoch vo vašom sektore.

SPAN/TAP plus kópia toku pošty.

OPSWAT MetaDefender NDR

NDR

Detekcia v spoločnej IT/OT komunikácii rozumie priemyselným aj podnikovým protokolom.

SPAN/TAP na oboch stranách hranice.

Stellar Cyber Otvorená platforma XDR

Zber a korelácia logov

Zhromažďuje a normalizuje logy zo všetkých vrstiev diagramu a prepája ich pre prácu SOC bez závislosti od jedného výrobcu.

Kolektor on-prem, platforma v cloude.

Varonis Detekcia a reakcia pri ohrození údajov

Bezpečnosť údajov

Nájde citlivé údaje, opraví príliš široké povolenia a upozorní na abnormálny prístup k zdieľaným súborom, SharePointu a pošte.

Kolektor vedľa súborových a poštových serverov.

Teramind Riadenie vnútorných hrozieb

Vnútorné hrozby a DLP

Monitorovanie aktivity používateľov, nahrávanie relácií a DLP pre účty, ktoré už majú legitímny prístup.

Agent na pracovných staniciach a terminálových serveroch.

Stormshield Priemyselný firewall SNS

OT firewall

Rad odolných priemyselných firewallov SNi s modelmi na DIN lištu aj do racku, IPS pre priemyselné protokoly a hardvérovým bypassom. Model sa vyberá podľa potrieb výrobnej bunky.

Medzi riadiacimi zónami, výrobnými bunkami a strojmi.

OPSWAT Priemyselný firewall

OT firewall / IPS

Režim učenia zaznamená bežnú sieťovú komunikáciu a potom podľa nej uplatňuje pravidlá. DPI rozumie protokolom Modbus TCP, S7, DNP3, EtherNet/IP a BACnet. Umiestnenie medzi Purdue L2 a L3.5.

Pred bunkou, strojom alebo jedným PLC.

OPSWAT MetaDefender OT Security

Prehľad o OT zariadeniach

Pasívne a bezpečné aktívne zisťovanie každého aktíva OT, jeho úrovne firmvéru a jeho známych zraniteľností – inventár, ktorý posúdenie rizika potrebuje.

Senzor v riadiacej sieti.

OPSWAT MetaDefender OT Access

Bezpečný vzdialený prístup

Sprostredkovaný a časovo obmedzený prístup externých pracovníkov k OT zariadeniam so záznamom relácií, bez VPN tunela do riadiacej siete.

Sprostredkovateľ prístupu na hranici IT/OT.

OPSWAT MetaDefender Endpoint

Stav zabezpečenia a antivírus pre OT zariadenia

Nenáročná kontrola stavu zabezpečenia, aktualizácií a malvéru tam, kde výrobca zariadenia neschvaľuje plného agenta EDR.

HMI a inžinierske pracoviská.

OPSWAT NetWall Unidirectional Gateway

Jednosmerná brána

Jednosmerná brána s emuláciou protokolov umožňuje historizačným serverom, OPC serverom a zdieľaným priečinkom replikovať údaje do vyšších vrstiev, akoby spojenie bolo obojsmerné.

L3.5, dvojica zariadení.

Waterfall Security Unidirectional Security Gateway

Jednosmerná brána

Hardvérovo vynútená jednosmerná replikácia s dlhoročným využitím v energetike a vodárenstve, ktorú poznajú aj príslušní regulátori.

L3.5, dvojica zariadení.

OPSWAT MetaDefender Kiosk

Kontrola vymeniteľných médií

Bezpečnostná priepusť: každý USB kľúč a súbor externého pracovníka sa v kiosku skontroluje a vyčistí pred vstupom do OT.

Fyzicky pri vstupe do areálu OT.

OPSWAT Managed File Transfer

Riadený vstup súborov

Dohliadaná cesta pre súbory, ktoré musia prekročiť hranicu – naskenované, vyčistené, schválené a zaprotokolované, bez zdieľaného disku.

Na oboch stranách fyzického oddelenia sietí.

OPSWAT MetaDefender Drive

Offline kontrola zariadenia

Spustí notebook externého pracovníka alebo servisný počítač z dôveryhodného média a skontroluje ho offline ešte pred pripojením do OT siete.

Prenosné zariadenie používané na hranici oddelených sietí.

CYBER RANGES Výcvik na platforme kybernetickej simulácie

Zručnosti a cvičenia

Praktické cvičenia útoku a obrany v realistických IT a OT scenároch pripravia obranný tím na prácu pod tlakom.

Hosťovaná platforma.

Yellow Cube Spravované SOC 24×7

Spravovaná detekcia a reakcia

Tím, ktorý dohliada na IT aj OT aj mimo pracovného času pomocou telemetrie z agentov a senzorov.

SOC Yellow Cube s údajmi zo zberačov.

Cynet AutoXDR CSPM

Stav zabezpečenia cloudu

Správa stavu zabezpečenia cloudu v konzole AutoXDR spoločne s agentmi zariadení. Chyby konfigurácie, odkryté úložiská a odchýlky nastavenia identity na jednom mieste.

Bez agenta, s pripojením ku cloudovému prostrediu.

WithSecure Elements

Stav zabezpečenia zariadení, aktualizácie a zraniteľnosti

Jeden agent a konzola na ochranu zariadení, aktualizácie softvéru tretích strán a správu zraniteľností s hodnotením zabezpečenia celej infraštruktúry.

Servery a pracovné stanice v kancelárskej sieti.

Z princípu Agent sa nedá nainštalovať

Prevádzkové zariadenia

PLC, RTU, pohony a senzory nedokážu spustiť bezpečnostného agenta. Ochrana stojí pred nimi na komunikačnej ceste a funguje transparentne. Preto je firewall pred výrobnou bunkou taký dôležitý.

Purdue L0–L1.