Product／技術評価
単一1Uデュアルモジュール機器のハードウェア一方向境界
Falcon-1000は、送信元側モジュールと受信側モジュールを1台の機器に収容しています。送信元ゾーンと送信先ゾーン、物理的な方向、および送信先側でのデータ利用性の観点から評価してください。
- 製品
- Falcon-1000
- 形態
- 単一1Uデュアルモジュール機器
- モジュール
- 送信元側モジュール＋受信側モジュール
- 方向
- 送信元→送信先
Product composition／1つの製品
1つの製品、2つの独立モジュール
Falcon-10001Uデュアルモジュール機器
送信元ゾーン側のコンピュートモジュール
送信元側モジュール
送信元ゾーンに接続一方向光ファイバー
送信先ゾーン側のコンピュートモジュール
受信側モジュール
送信先ゾーンに接続Architecture／製品トポロジー
セキュリティゾーンは機器外部、2つのモジュールは同一機器内部
送信元ゾーン／データ発生元
送信元ゾーン
- OT、制御、および保護されたネットワーク
- 機器状態、イベント、およびファイル
- 機器の外部
送信元エンドポイント
送信元側モジュール
受信して転送送信元から送信先への一方向光ファイバーデータ転送
受信エンドポイント
受信側モジュール
受信してインターフェースを提供送信先ゾーン／データ利用
送信先ゾーン
- IT、DMZ、およびSOC
- MES、SIEM、および分析環境
- 機器の外部
Boundary evidence／個別確認
境界に関する3つのエビデンス
物理方向
送信先から送信元への物理リターンチャネルはありません記載されたハードウェアバージョン、トポロジー、および試験範囲内で、指定された物理的一方向リンク（境界横断光ファイバーリンク）は、データ方向を送信元から送信先へ制約します。ネットワーク到達可能性
記載されたトポロジーにルーティングされた戻り経路はありません記載されたトポロジーでは、送信先ゾーンからハードウェア境界を経由して送信元ゾーンへ戻るルートはありません。送信先での利用性
送信先ゾーンは提供されたデータインターフェースを利用できます受信側モジュールはデータを受信し、送信先システムが利用できる表現を提供します。
Data path／Evaluation sequence
送信元データの受信、一方向転送、および送信先インターフェースの提供
- 01／Collect
送信元側モジュールによるデータ受信
送信元側モジュールは送信元ゾーンから定義済みデータを受信し、一方向境界を越えて転送できる表現にマッピングします。
- 02／Transfer
一方向光ファイバーデータ転送
記載されたハードウェアバージョン、トポロジー、および試験範囲内で、指定された物理的一方向リンクは、データ方向を送信元から送信先へ制約します。ハードウェア境界は、送信先から送信元への物理データチャネルを提供しません。
- 03／Reconstruct
受信側モジュールによる送信先インターフェースの提供
受信側モジュールはデータを受信し、送信先システムが利用できるインターフェースまたはデータ表現を提供します。
統合境界送信先ゾーンが使用するのは、受信側モジュールが提供するデータインターフェースです。元の双方向セッションを延長するものではありません。
Control boundary／Comparison
ハードウェア一方向境界とファイアウォール規則の比較
| 評価項目 | ハードウェア一方向境界 | ファイアウォール規則 |
|---|---|---|
| 方向制御 | 物理的一方向経路が境界横断データの方向を制約します。 | ネットワークポリシーが許可するトラフィックを定義します。 |
| 逆方向データ経路 | ハードウェア境界は、送信先から送信元への物理データチャネルを提供しません。 | 到達可能性と許可方向は、導入されたネットワークと規則によって決まります。 |
| 制御の役割 | 境界横断データの物理的な方向を制約します。 | 各セキュリティゾーンおよびネットワーク境界でトラフィックとアクセスのポリシーを適用します。 |
本表は制御境界の違いのみを比較するもので、制御の強弱を順位付けするものではなく、ハードウェア一方向境界によって多層防御を置き換えるものでもありません。ファイアウォールおよびその他のセキュリティ制御には、それぞれの役割があります。