Commutateurs KVM IP sécurisés pour les postes de travail d'infrastructure critique
Un système IP-KVM sécurisé est un système d'extension clavier, vidéo et souris (KVM) qui isole le poste de travail de l'opérateur du matériel serveur physique qu'il contrôle, en transmettant les signaux de contrôle via un réseau IP dédié ou isolé plutôt que par câblage direct. Pour les opérateurs d'infrastructures critiques, cela signifie que les serveurs SCADA (supervision, contrôle et acquisition de données) peuvent être entièrement retirés de la salle de contrôle et installés dans une baie de serveurs sécurisée, tandis que les opérateurs conservent un contrôle total en temps réel depuis un poste de travail ne comportant ni traitement local, ni stockage local, ni accès réseau direct à l'environnement OT (technologies opérationnelles). Des produits comme Datapath's Aligo et Arqa Mettez cette séparation en pratique, en bloquant deux des vecteurs d'attaque physique les plus courants là où ils sont les plus difficiles à surveiller : le bureau lui-même.
En un coup d'oeil
- Un IP-KVM sécurisé sépare les poste de travail de l'opérateur à partir du matériel serveur, en reliant les deux uniquement par une liaison IP contrôlée.
- Les serveurs SCADA et OT peuvent être déplacés vers une baie de serveurs verrouillée et à accès contrôlé sans perte de contrôle pour l'opérateur.
- Le poste opérateur devient uniquement un point de terminaison KVM, sans stockage USB local, sans disque local et sans connexion directe au réseau OT.
- Inscription et Arqa Ces Datapathplateformes IP-KVM, spécialement conçu pour isoler les systèmes de calcul sensibles des environnements destinés aux utilisateurs.
- Ce modèle élimine l'introduction de logiciels malveillants véhiculés par USB et la manipulation du réseau local comme voies d'attaque possibles au niveau du poste de travail.
Envie de voir Aligo en action ?
Découvrez comment Aligo et Arqa isolent les postes opérateurs de l'infrastructure SCADA.
Pourquoi la sécurité physique des postes de travail est-elle importante pour les systèmes SCADA et OT ?
Les pupitres des salles de contrôle ont toujours été considérés comme le côté sûr et humain d'un déploiement OT, tandis que les serveurs qui s'y trouvent bénéficient d'un traitement renforcé : baies verrouillées, journaux d'accès et accès physique restreint. Cette distinction ignore le lieu où se produisent réellement la plupart des compromissions physiques. poste de travail Posé sur un bureau ouvert, équipé de ports USB et d'une connexion réseau active, il est accessible à quiconque peut s'approcher du bureau, qu'il s'agisse d'un sous-traitant, d'un visiteur ou d'un employé disposant d'un accès légitime mais excessif.
Pour les exploitants de services publics, les installations de traitement de l'eau, sites de distribution d'énergie, Et d'autres environnements d'infrastructures critiquesCette vulnérabilité au niveau du poste de travail constitue une voie d'accès directe à la couche SCADA. Un logiciel malveillant introduit via un périphérique USB ou un dispositif d'écoute réseau connecté au poste de travail n'a même pas besoin de pénétrer dans la baie de serveurs. Il lui suffit d'atteindre la machine devant laquelle se trouve l'opérateur.
Comment Aligo et Arqa éliminent-ils les risques liés à l'USB et au réseau local depuis le poste de l'opérateur ?
Inscription et Arqa Ces DatapathKVM basé sur IP Les plateformes SCADA sont conçues pour étendre le contrôle du clavier, de la vidéo et de la souris via des réseaux IP standard plutôt que des connexions locales directes. Dans un déploiement sécurisé, le serveur SCADA physique est installé dans une baie verrouillée à accès contrôlé, souvent dans une pièce séparée ou une zone d'équipement dédiée. pupitre de l'opérateur Il ne contient qu'un point de terminaison KVM : une petite unité qui reçoit la vidéo et envoie les entrées clavier et souris sur le réseau, sans calcul local, sans stockage local et sans connexion exposée au réseau OT lui-même.
Ce que cela enlève du bureau
risque lié au stockage local USB
- En l'absence d'une machine de type serveur sur le bureau, il n'existe aucun port USB local par lequel des supports amovibles pourraient introduire des logiciels malveillants ou exfiltrer des données directement dans l'environnement SCADA.
Exposition directe au réseau
- Le poste de travail de l'opérateur se connecte au réseau de distribution KVM, et non au réseau OT sur lequel se trouve le serveur SCADA. Ainsi, un point d'accès au poste de travail compromis ou falsifié ne donne pas à un attaquant un accès direct aux systèmes de contrôle de production.
Accès physique non surveillé
- Étant donné que le serveur lui-même est déplacé dans une baie contrôlée, l'accès à la machine qui exécute le logiciel SCADA peut être enregistré, restreint par badge et surveillé indépendamment de la personne assise au poste de l'opérateur.
Datapath's Aligo Les produits sont conçus pour les environnements 4K nécessitant une extension KVM AVoIP (audio-visuel sur IP) intelligente, tandis que Datapath's Arqa Ces produits prennent en charge les déploiements en résolution HD avec le même modèle d'isolation sous-jacent. Ils permettent à un opérateur de travailler exactement comme sur une machine locale : réactivité complète du clavier et de la souris, vidéo en direct et aucune modification perceptible du flux de travail, tandis que le serveur lui-même ne quitte jamais la baie sécurisée.
Vous prévoyez une modernisation de votre salle de contrôle ?
Discutez avec un spécialiste de l'isolation des infrastructures SCADA et OT avec IP-KVM.
Où doivent être situés les serveurs SCADA dans un déploiement IP-KVM sécurisé ?
Le principe de base est simple : le serveur est installé là où l’accès physique peut être le plus strictement contrôlé, et l’opérateur reste là où le travail doit être effectué. En pratique, cela signifie généralement une salle serveur dédiée, une baie de brassage renforcée ou un site sécurisé externe relié à la salle de contrôle via une infrastructure IP gérée. Datapath Inscription et Arqa Pour étendre les sessions KVM via un réseau standard plutôt que via un câblage point à point propriétaire, la baie de serveurs n'a pas besoin d'être située dans le même bâtiment que le poste de l'opérateur ; elle doit simplement être accessible via un chemin réseau correctement sécurisé.
Cela simplifie également la planification de la redondance. Un serveur déplacé dans une baie sécurisée peut coexister avec une alimentation de secours, des systèmes de contrôle environnemental et un système d'extinction d'incendie qu'il serait impossible de déployer systématiquement. bureau d'opérateur individuel, sans que les opérateurs ne perdent aucune visibilité ni aucun contrôle sur les systèmes dont ils sont responsables.
Foire aux questions
Qu'est-ce qu'un commutateur IP-KVM et en quoi diffère-t-il d'un commutateur KVM standard ?
Un commutateur KVM IP permet de contrôler le clavier, la vidéo et la souris via un réseau IP plutôt que par câblage local direct. Un commutateur KVM standard exige que le serveur soit physiquement proche du bureau, tandis qu'un commutateur KVM IP permet de l'installer dans un emplacement totalement séparé et sécurisé.
Comment faire DatapathLes produits Aligo et Arqa protègent-ils les serveurs SCADA contre les attaques basées sur l'USB ?
En supprimant le calcul local du bureau de l'opérateurLe poste de travail se connecte à un terminal KVM sans stockage USB ni disque local ; ainsi, les supports amovibles insérés au poste de travail ne peuvent infecter aucune machine locale et n’ont aucun accès direct au serveur.
Les opérateurs peuvent-ils toujours contrôler le système SCADA en temps réel via une connexion IP-KVM ?
Oui. Inscription et Arqa sont conçus pour offrir une réactivité complète du clavier, de la souris et de la vidéo, permettant aux opérateurs de bénéficier du même contrôle que sur une machine locale, le serveur étant physiquement isolé dans une baie sécurisée.
Où doivent être situés les serveurs d'infrastructure critique lors de l'utilisation d'IP-KVM ?
Le déplacement de serveurs avec IP-KVM a-t-il un impact sur la sécurité réseau des systèmes OT ?
Correctement déployé, il l'améliore. Le poste de l'opérateur se connecte au réseau de distribution KVM plutôt que le réseau OT de production, un point d'accès de bureau compromis ne fournit donc pas de route directe vers l'infrastructure SCADA.
Quelle est la différence entre Aligo et Arqa ?
Datapath Inscription est conçu pour les environnements 4K nécessitant une extension KVM AVoIP intelligente, tandis que Datapath Arqa Ils prennent en charge les déploiements en résolution HD. Les deux utilisent le même modèle d'isolation sous-jacent, consistant à séparer le poste de travail de l'opérateur du matériel serveur.
La technologie IP-KVM est-elle adaptée aux opérations multisites des secteurs de l'énergie ou des services publics ?
Les déploiements IP-KVM prennent-ils en charge la gestion centralisée des salles de contrôle ?
Elles peuvent être combinées avec une plateforme comme Datapath's Aetria pour la gestion centralisée de la configuration, le routage des sources et les autorisations des opérateurs dans les déploiements de salles de contrôle multisites.
Isolez vos postes de travail d'infrastructure critique.
Contactez notre équipe pour discuter du déploiement d'Aligo ou d'Arqa afin de sécuriser votre environnement de salle de contrôle.
