# Architektúra kybernetickej bezpečnosti > Pozrite si umiestnenie produktov Yellow Cube v sieti: od zbernice OT a PLC cez fyzické oddelenie až po podnikové IT, cloud a internet. Mapa dopĺňa produktovú maticu, ktorá hodnotí prínos rovnakého portfólia k úrovni zabezpečenia. Kliknutím na produkt zistíte, čo robí a prečo je na danom mieste. Prerušované rámčeky označujú existujúce platformy tretích strán, napríklad poskytovateľov identity, mimo portfólia Yellow Cube. - Kanonická URL: https://yellowcube.eu/sk/purdue-model-architecture/ - Vydavateľ: Yellow Cube - Jazyk: sk - Kontakt: hello@yellowcube.eu ## Obsah Pozrite si umiestnenie produktov Yellow Cube v sieti: od zbernice OT a PLC cez fyzické oddelenie až po podnikové IT, cloud a internet. Mapa dopĺňa produktovú maticu, ktorá hodnotí prínos rovnakého portfólia k úrovni zabezpečenia. Kliknutím na produkt zistíte, čo robí a prečo je na danom mieste. Prerušované rámčeky označujú existujúce platformy tretích strán, napríklad poskytovateľov identity, mimo portfólia Yellow Cube. **Z PLC do cloudu** — Yellow Cube zabezpečuje každú úroveň modelu Purdue so špecializovaným výrobcom pre každú oblasť. O umiestnení bezpečnostných opatrení rozhoduje vaša sieťová architektúra. ### Časté otázky #### Kde sa nachádza každý Yellow Cube produkt v modeli Purdue? Portfólio čítajte zdola nahor: úrovne Purdue L1–L0 zahŕňajú zbernicu OT s PLC, RTU, pohonmi a senzormi; L3–L2 riadiacu sieť OT so SCADA, historizačnými servermi, HMI a inžinierskymi stanicami; L3.5 fyzické oddelenie sietí; L4 kancelársku sieť a IT DMZ; L5 cloud, SaaS a mobilné zariadenia. Medzi nimi sú firewally na hranici internetu, pri vnútornej segmentácii a pri segmentácii výrobných buniek. Každá sieť je zobrazená ako jeden segment L2 s pripojenými zariadeniami. Diagram ukazuje umiestnenie v sieti, nie kategóriu produktu. #### Ako Yellow Cube chráni zariadenia na úrovniach Purdue L0–L1, na ktorých nemožno spustiť bezpečnostného agenta? PLC, RTU, pohony a senzory, na ktorých nemožno spustiť bezpečnostného agenta, chránia sieťové prvky umiestnené pred týmito zariadeniami. V praxi to znamená priemyselný firewall pred bunkou, strojom alebo jednotlivým PLC: Industrial Firewall od OPSWAT, ktorý sa naučí bežný vzor prevádzky a následne ho vynucuje kontrolou špecifickou pre protokoly Modbus TCP, S7, DNP3, EtherNet/IP a BACnet, alebo robustný rad SNi od Stormshield na DIN lište s hardvérovým bypassom. Práve preto má firewall pred bunkou na tejto úrovni taký zásadný význam. #### Ako sa telemetria dostane cez fyzické oddelenie sietí bez otvorenia spätnej cesty do OT? Na úrovni Purdue L3.5 je tok dát zámerne jednosmerný. Hlavným riešením je OPSWAT NetWall Unidirectional Gateway: dvojica zariadení s emuláciou protokolov umožňuje historizačným serverom, OPC serverom a zdieľaným priečinkom replikovať údaje do vyšších vrstiev. Aplikáciám sa spojenie javí ako obojsmerné, telemetria však môže z OT iba odchádzať. Spätná komunikácia nie je možná. Waterfall Security Unidirectional Security Gateway je tiež súčasťou portfólia Yellow Cube a ponúka alternatívu pre hardvérovo vynútenú jednosmernú komunikáciu. Vymeniteľné médiá a notebooky externých pracovníkov prechádzajú samostatnou cestou: MetaDefender Kiosk skontroluje a vyčistí každý USB kľúč a súbor pred vstupom do OT, podobne ako bezpečnostná priepusť. #### Musíme nahradiť existujúceho poskytovateľa identity zákazníka alebo firewally? Nie. Prerušované rámčeky v architektúre označujú platformy tretích strán, ktoré zákazníci už používajú, napríklad poskytovateľov identity Microsoft Entra ID a Google Workspace. Yellow Cube ich nedodáva. Naše riešenia ochrany identity dopĺňajú existujúcu platformu, ktorá vydáva tokeny uznávané ostatnými systémami. Produkty spojené slovom „alebo“ sú alternatívy pre rovnakú úlohu. Vyberte jeden z nich. #### Ktoré riešenia pokrývajú celú architektúru, nielen jednu úroveň Purdue? Viaceré vrstvy tejto architektúry pokrývajú tri riešenia. Spravované SOC Yellow Cube nepretržite dohliada na IT aj OT pomocou telemetrie z agentov a senzorov. Cymulate Exposure Validation bezpečne testuje nasadené bezpečnostné opatrenia a overuje, či blokujú očakávané útoky v každej zóne vrátane hranice OT. CYBER RANGES dopĺňa praktické cvičenia útoku a obrany v realistických IT a OT scenároch. Obranný tím si tak architektúru vyskúša pod tlakom ešte pred skutočným incidentom. ### Budujme účinnejšiu kybernetickú obranu spoločne Partnerstvá staviame na dôvere, odbornosti a spoločnom úspechu. Či už chcete rozvíjať podnikanie, rozšíriť ponuku kybernetickej bezpečnosti alebo uviesť inovatívne riešenia na nové trhy, v Yellow Cube nájdete spoľahlivého dlhodobého partnera. [Spojte sa s Yellow Cube]() ### Purdue L5 · Cloud a internet Prostredia SaaS, verejný cloud a mobilné zariadenia, ktoré sa nepripájajú do kancelárskej LAN. **Stav zabezpečenia cloudu (CSPM)** [WithSecure Elements Cloud Security]() alebo [Cynet AutoXDR CSPM]() alebo [Stellar Cyber Cloud Sensors]() alebo [OPSWAT MetaDefender Cloud]() **Identita a MFA** [Imprivata SSO + MFA]() alebo [Microsoft Entra ID]() alebo [Google Workspace — správa identít]() **Integrita dodávateľského reťazca** [OPSWAT Dodávateľský reťazec softvéru]() alebo [Cymulate Validácia expozície]() alebo [Group-IB Správa útočnej plochy]() **Mobilné zariadenia** [iVerify Mobile EDR]() alebo [WithSecure Elements Mobile Protection]() **Cloudová schránka** [IronScales Detekcia a riešenie e-mailových hrozieb]() + [MailStore Archív e-mailov]() ### Hranica · Hranica internetu **DDoS a ochrana na hranici siete** [A10 Networks Thunder TPS]() **Perimetrový firewall** [Stormshield firewall SNS]() **Zabezpečenie DNS** [Whalebone Zabezpečenie DNS]() ### Purdue L4 · DMZ · IT DMZ Služby dostupné z internetu. Ochrana zariadení doplnená o bezpečnostné opatrenia na hranici siete a ochranu identity. **WAF + vyvažovač záťaže** [A10 Networks Thunder ADC + WAF]() **Zabezpečenie identity (ITDR)** [Varonis ITDR]() alebo [Imprivata PAM]() **Agent na zverejnených serveroch** [Cynet Agent AutoXDR]() alebo [WithSecure Elements EDR]() alebo [Group-IB Spravované XDR]() alebo [Stellar Cyber Server Sensor]() **Nahrávané súbory do** [OPSWAT MetaDefender ICAP Server]() alebo [OPSWAT MetaDefender Core]() ### Hranica · Vnútorná segmentácia **DMZ ↔ kancelársky firewall** [Stormshield firewall SNS]() **Zabezpečenie DNS** [Whalebone Zabezpečenie DNS]() ### Purdue L4 · Kancelárska sieť Jedna kancelárska sieť L2: servery, pracovné stanice, port SPAN a logovacia cesta do SOC. **Agent koncového bodu — servery a pracovné stanice** [Cynet Agent AutoXDR]() alebo [WithSecure Elements EDR]() alebo [Group-IB Spravované XDR]() **Senzor NDR na SPAN / TAP** [Stellar Cyber NDR sensor]() alebo [Group-IB Analýza sieťovej prevádzky]() alebo [OPSWAT MetaDefender NDR]() **Zber logov → SOC** [Stellar Cyber Otvorená platforma XDR]() alebo [Cynet Agent AutoXDR]() **Správa aktualizácií a zraniteľností** [WithSecure Elements]() alebo [Cynet Agent AutoXDR]() **Stav zabezpečenia koncových zariadení (ESPM)** [WithSecure Elements]() alebo [Cynet Agent AutoXDR]() **Dátové a vnútorné riziko** [Varonis Detekcia a reakcia pri ohrození údajov]() alebo [Teramind Riadenie vnútorných hrozieb]() ### Purdue L3.5 · Fyzické oddelenie sietí Elektronické alebo optické oddelenie. Telemetria opúšťa OT smerom do vyšších vrstiev; spätná komunikácia nie je možná. **Jednosmerný prenos** [OPSWAT NetWall Unidirectional Gateway]() alebo [Waterfall Security Unidirectional Security Gateway]() **Vymeniteľné médiá a notebooky externých pracovníkov** [OPSWAT MetaDefender Kiosk]() + [OPSWAT MetaDefender Drive]() alebo [OPSWAT Managed File Transfer]() ### Purdue L3–L2 · OT riadiaca sieť SCADA, historizačné servery, HMI a inžinierske stanice. Na zariadeniach Windows môže bežať agent, ak to výrobca zariadenia povoľuje. **Priemyselný firewall — zónová kontrola** [Stormshield Priemyselný firewall SNS]() alebo [OPSWAT Priemyselný firewall]() **Agent pre HMI / inžinierske WS** [Cynet Agent AutoXDR]() alebo [WithSecure Elements EDR]() alebo [OPSWAT MetaDefender Endpoint]() **Prehľad o OT zariadeniach** [OPSWAT MetaDefender OT Security]() alebo [OPSWAT MetaDefender NDR]() **Vzdialený prístup dodávateľa** [OPSWAT MetaDefender OT Access]() alebo [Imprivata PAM]() ### Hranica · Segmentácia výrobných buniek **Riadiaca sieť ↔ zbernica** [Stormshield Priemyselný firewall SNS]() ### Purdue L1–L0 · OT zbernica / PLC sieť Priemyselná zbernica a riadiace jednotky. Na tieto zariadenia neinštalujeme agentov; ochrana je priamo na komunikačnej ceste a funguje transparentne. **Pred PLC** [OPSWAT Priemyselný firewall]() alebo [Stormshield Priemyselný firewall SNS]() **Prevádzkové zariadenia** [Z princípu Agent sa nedá nainštalovať]() ### Naprieč vrstvami [Yellow Cube Spravované SOC 24×7]() + [Cymulate Validácia expozície]() + [CYBER RANGES Výcvik na platforme kybernetickej simulácie]() ### [WithSecure Elements Cloud Security]() CSPM Priebežná kontrola stavu zabezpečenia a konfigurácie M365, Entra, Azure a AWS v rovnakej konzole ako agenty zariadení. SaaS. Žiadna súčasť siete. ### [OPSWAT MetaDefender Cloud]() Analýza súborov v cloude Multiscanning, Deep CDR a sandboxing ponúkané ako cloudové API pre súbory vstupujúce do organizácie. SaaS API, volané aplikáciami a bránami. ### [Stellar Cyber Cloud Sensors]() Cloudová telemetria Zhromažďuje auditné záznamy z cloudu, prihlásení a SaaS v dátovom úložisku Open XDR, ktoré prepája cloudové udalosti s aktivitou siete a zariadení. Cloudové prostredie + lokálny zberač. ### [Stellar Cyber Server Sensor]() Senzor telemetrie zariadenia Softvérový senzor pre podporované servery Windows a Linux odosiela systémové udalosti a telemetriu vo formáte Interflow. Open XDR ich prepája s aktivitou ostatných systémov. Agent na každom zverejnenom serveri v IT DMZ. ### [Imprivata SSO + MFA]() Identita a prístup Jednotné prihlásenie, prístup kartou a MFA pre zdieľané stanice a zmenovú prevádzku vrátane zdravotníctva, výroby a dispečingov. Cloudová služba identity + klient na zariadení. ### [OPSWAT Dodávateľský reťazec softvéru]() Integrita dodávateľského reťazca Tvorba SBOM, kontrola balíkov výrobcu a odstránenie škodlivého obsahu pred zavedením softvéru, aktualizácií či firmvéru tretích strán. Kontrola pred vydaním / proces CI. ### [Cymulate Validácia expozície]() Overenie bezpečnosti Bezpečne testuje nasadené opatrenia a overuje, či v každej zóne vrátane hranice OT blokujú zamýšľané útoky. Nenáročné agenty v jednotlivých zónach. ### [Group-IB Správa útočnej plochy]() Externá expozícia a dodávateľský reťazec Priebežne mapuje vašu internetovú expozíciu: neevidované aktíva, verejne dostupné služby, uniknuté prihlasovacie údaje a tretie strany v dodávateľskom reťazci. Pomáha určiť priority nápravy. Externá služba bez lokálnej inštalácie. ### [Microsoft Entra ID]() Poskytovateľ identity Existujúca platforma identity zákazníka vydáva tokeny, ktoré uznávajú ostatné systémy. Naše riešenia ju dopĺňajú. Poskytovateľ cloudovej identity. **Vlastná platforma zákazníka – nedodáva Yellow Cube.** ### [Google Workspace — správa identít]() Poskytovateľ identity Alternatíva od Google: adresárová služba a vydávanie tokenov na overovanie v ostatných systémoch. Poskytovateľ cloudovej identity. **Vlastná platforma zákazníka – nedodáva Yellow Cube.** ### [iVerify Mobile EDR]() Mobilná obrana Odhaľuje komerčný špionážny softvér, jailbreak, škodlivé profily a zmeny konfigurácie iOS a Android. Dopĺňa skutočnú detekciu hrozieb nad rámec kontroly pravidiel MDM. Aplikácia na zariadení. Žiadna pozícia v sieti. ### [WithSecure Elements Mobile Protection]() Mobilné AV Ochrana spravovaných telefónov a tabletov pred malvérom, phishingom a nebezpečným webom v rovnakej konzole Elements ako počítače. Aplikácia na zariadení. ### [Whalebone Zabezpečenie DNS]() Filtrovanie DNS Blokuje phishingové, malvérové a C2 domény na úrovni DNS resolvera. Chráni aj hostí, IoT a zariadenia bez možnosti inštalácie agenta. Sieťový resolver alebo roamingový klient na mobiloch. ### [IronScales Detekcia a riešenie e-mailových hrozieb]() Zabezpečenie e-mailu Odhaľuje phishing po doručení v M365 alebo Google a umožňuje nápravu jedným kliknutím. Hlásenia používateľov pomáhajú zlepšovať model. API integrované s poštovou schránkou – žiadna zmena MX. ### [MailStore Archív e-mailov]() Uchovávanie a dôkazy Archív každej správy odolný voči manipulácii, s uchovávaním pre právne účely, vyhľadávaním dôkazov a podkladmi pre audit. Server v kancelárskej sieti. ### [A10 Networks Thunder ADC + WAF]() Vyvažovanie záťaže a firewall webových aplikácií Ukončuje TLS spojenia, rozdeľuje záťaž verejne dostupných služieb a na jednom zariadení uplatňuje ochranu pred útokmi OWASP, botmi a zneužitím API. DMZ, in-line pred webovou vrstvou. ### [A10 Networks Thunder TPS]() Zmiernenie DDoS Filtruje volumetrické aj aplikačné útoky DDoS na hranici internetu ešte pred preťažením stavovej tabuľky firewallu. Internetový perimetr, in-line alebo na požiadanie. ### [Stormshield firewall SNS]() NGFW Perimetrová a vnútorná segmentácia s IPS a riadením aplikácií, so spoločnou správou a rovnakým systémom pravidiel ako priemyselný SNi40. Internetový perimetr a medzi vnútornými zónami. ### [Varonis ITDR]() Detekcia ohrozenia identity Sleduje zneužívanie oprávnení v Active Directory a Entra, útoky Kerberos, zabudnuté správcovské prístupy a rozsah oprávnení účtov. Zberač v DMZ alebo kancelárskej sieti. ### [Imprivata PAM]() PAM Bezpečne uchováva prihlasovacie údaje a zaznamenáva privilegované relácie na serveroch, prístupových serveroch a OT zariadeniach. Vytvára auditný záznam vykonaných úkonov. Prístupový server v DMZ. ### [Cynet Agent AutoXDR]() Agent EDR / XDR Jeden agent pre NGAV, EDR, klamné ciele a automatickú reakciu s podporou tímu MDR 24×7. Vhodná základná voľba pre malé bezpečnostné tímy. Nainštalované na každom hostiteľovi Windows, Linux a macOS. ### [WithSecure Elements EDR]() EDR agent Detekcia a reakcia na koncových zariadeniach s možnosťou zapojiť odborníkov služby Elevate. Rovnaká rodina agentov ako pri mobilných a cloudových moduloch. Nainštalované na každom serveri a pracovnej stanici. ### [Group-IB Spravované XDR]() Spravované XDR Agent a sieťové senzory využívajú skúsenosti Group-IB s informáciami o hrozbách a reakciou na incidenty. Vhodné tam, kde je dôležité určenie pôvodcu útoku a podrobné vyšetrovanie. Agent na hostiteľoch + senzor v sieti. ### [OPSWAT MetaDefender ICAP Server]() Kontrola nahrávania Každý súbor nahraný cez reverzný proxy je viacnásobne skenovaný a dezinfikovaný pomocou Deep CDR predtým, ako sa dostane do aplikácie. DMZ, vedľa vyvažovača zaťaženia. ### [OPSWAT MetaDefender Core]() Odstránenie škodlivého obsahu zo súborov Skenovanie a Deep CDR dostupné pre ICAP, riadený prenos súborov a kiosky. Jedno nasadenie slúži všetkým vstupným bodom súborov. Server v DMZ alebo kancelárskej sieti. ### [Stellar Cyber NDR sensor]() NDR Pasívny senzor na porte SPAN alebo TAP sleduje komunikáciu medzi zariadeniami, laterálny pohyb útočníkov a nespravované aktíva bez agentov. Port SPAN/TAP na centrálnom prepínači. ### [Group-IB Analýza sieťovej prevádzky]() NDR Analýza sieťovej komunikácie a spúšťanie prenášaných súborov v izolovanom prostredí, prepojené s informáciami Group-IB o útočníkoch vo vašom sektore. SPAN/TAP plus kópia toku pošty. ### [OPSWAT MetaDefender NDR]() NDR Detekcia v spoločnej IT/OT komunikácii rozumie priemyselným aj podnikovým protokolom. SPAN/TAP na oboch stranách hranice. ### [Stellar Cyber Otvorená platforma XDR]() Zber a korelácia logov Zhromažďuje a normalizuje logy zo všetkých vrstiev diagramu a prepája ich pre prácu SOC bez závislosti od jedného výrobcu. Kolektor on-prem, platforma v cloude. ### [Varonis Detekcia a reakcia pri ohrození údajov]() Bezpečnosť údajov Nájde citlivé údaje, opraví príliš široké povolenia a upozorní na abnormálny prístup k zdieľaným súborom, SharePointu a pošte. Kolektor vedľa súborových a poštových serverov. ### [Teramind Riadenie vnútorných hrozieb]() Vnútorné hrozby a DLP Monitorovanie aktivity používateľov, nahrávanie relácií a DLP pre účty, ktoré už majú legitímny prístup. Agent na pracovných staniciach a terminálových serveroch. ### [Stormshield Priemyselný firewall SNS]() OT firewall Rad odolných priemyselných firewallov SNi s modelmi na DIN lištu aj do racku, IPS pre priemyselné protokoly a hardvérovým bypassom. Model sa vyberá podľa potrieb výrobnej bunky. Medzi riadiacimi zónami, výrobnými bunkami a strojmi. ### [OPSWAT Priemyselný firewall]() OT firewall / IPS Režim učenia zaznamená bežnú sieťovú komunikáciu a potom podľa nej uplatňuje pravidlá. DPI rozumie protokolom Modbus TCP, S7, DNP3, EtherNet/IP a BACnet. Umiestnenie medzi Purdue L2 a L3.5. Pred bunkou, strojom alebo jedným PLC. ### [OPSWAT MetaDefender OT Security]() Prehľad o OT zariadeniach Pasívne a bezpečné aktívne zisťovanie každého aktíva OT, jeho úrovne firmvéru a jeho známych zraniteľností – inventár, ktorý posúdenie rizika potrebuje. Senzor v riadiacej sieti. ### [OPSWAT MetaDefender OT Access]() Bezpečný vzdialený prístup Sprostredkovaný a časovo obmedzený prístup externých pracovníkov k OT zariadeniam so záznamom relácií, bez VPN tunela do riadiacej siete. Sprostredkovateľ prístupu na hranici IT/OT. ### [OPSWAT MetaDefender Endpoint]() Stav zabezpečenia a antivírus pre OT zariadenia Nenáročná kontrola stavu zabezpečenia, aktualizácií a malvéru tam, kde výrobca zariadenia neschvaľuje plného agenta EDR. HMI a inžinierske pracoviská. ### [OPSWAT NetWall Unidirectional Gateway]() Jednosmerná brána Jednosmerná brána s emuláciou protokolov umožňuje historizačným serverom, OPC serverom a zdieľaným priečinkom replikovať údaje do vyšších vrstiev, akoby spojenie bolo obojsmerné. L3.5, dvojica zariadení. ### [Waterfall Security Unidirectional Security Gateway]() Jednosmerná brána Hardvérovo vynútená jednosmerná replikácia s dlhoročným využitím v energetike a vodárenstve, ktorú poznajú aj príslušní regulátori. L3.5, dvojica zariadení. ### [OPSWAT MetaDefender Kiosk]() Kontrola vymeniteľných médií Bezpečnostná priepusť: každý USB kľúč a súbor externého pracovníka sa v kiosku skontroluje a vyčistí pred vstupom do OT. Fyzicky pri vstupe do areálu OT. ### [OPSWAT Managed File Transfer]() Riadený vstup súborov Dohliadaná cesta pre súbory, ktoré musia prekročiť hranicu – naskenované, vyčistené, schválené a zaprotokolované, bez zdieľaného disku. Na oboch stranách fyzického oddelenia sietí. ### [OPSWAT MetaDefender Drive]() Offline kontrola zariadenia Spustí notebook externého pracovníka alebo servisný počítač z dôveryhodného média a skontroluje ho offline ešte pred pripojením do OT siete. Prenosné zariadenie používané na hranici oddelených sietí. ### [CYBER RANGES Výcvik na platforme kybernetickej simulácie]() Zručnosti a cvičenia Praktické cvičenia útoku a obrany v realistických IT a OT scenároch pripravia obranný tím na prácu pod tlakom. Hosťovaná platforma. ### [Yellow Cube Spravované SOC 24×7]() Spravovaná detekcia a reakcia Tím, ktorý dohliada na IT aj OT aj mimo pracovného času pomocou telemetrie z agentov a senzorov. SOC Yellow Cube s údajmi zo zberačov. ### [Cynet AutoXDR CSPM]() Stav zabezpečenia cloudu Správa stavu zabezpečenia cloudu v konzole AutoXDR spoločne s agentmi zariadení. Chyby konfigurácie, odkryté úložiská a odchýlky nastavenia identity na jednom mieste. Bez agenta, s pripojením ku cloudovému prostrediu. ### [WithSecure Elements]() Stav zabezpečenia zariadení, aktualizácie a zraniteľnosti Jeden agent a konzola na ochranu zariadení, aktualizácie softvéru tretích strán a správu zraniteľností s hodnotením zabezpečenia celej infraštruktúry. Servery a pracovné stanice v kancelárskej sieti. ### [Z princípu Agent sa nedá nainštalovať]() Prevádzkové zariadenia PLC, RTU, pohony a senzory nedokážu spustiť bezpečnostného agenta. Ochrana stojí pred nimi na komunikačnej ceste a funguje transparentne. Preto je firewall pred výrobnou bunkou taký dôležitý. Purdue L0–L1. ## Uvedenie zdroja a rozsah Táto verzia Markdown sa generuje z rovnakých schválených záznamov ako kanonická stránka HTML. Pri citovaní použite kanonickú URL.