Product / การประเมินผลิตภัณฑ์
ขอบเขตแบบทางเดียวที่บังคับด้วยฮาร์ดแวร์ในอุปกรณ์ 1U เครื่องเดียวแบบสองโมดูล
Falcon-1000 รวมโมดูลฝั่งต้นทางและโมดูลฝั่งรับไว้ในอุปกรณ์เครื่องเดียว การประเมินทางเทคนิคเริ่มจากโซนต้นทางและโซนปลายทาง ทิศทางทางกายภาพ และการนำข้อมูลไปใช้ที่ฝั่งปลายทาง
- ผลิตภัณฑ์
- Falcon-1000
- รูปแบบ
- อุปกรณ์ 1U เครื่องเดียวแบบสองโมดูล
- โมดูล
- โมดูลฝั่งต้นทาง + โมดูลฝั่งรับ
- ทิศทาง
- ต้นทาง → ปลายทาง
Product composition / หนึ่งผลิตภัณฑ์
หนึ่งผลิตภัณฑ์ สองโมดูลอิสระ
โมดูลประมวลผลที่เชื่อมต่อกับโซนต้นทาง
โมดูลฝั่งต้นทาง
เชื่อมต่อกับโซนต้นทางโมดูลประมวลผลที่เชื่อมต่อกับโซนปลายทาง
โมดูลฝั่งรับ
เชื่อมต่อกับโซนปลายทางArchitecture / โทโพโลยีผลิตภัณฑ์
โซนความปลอดภัยอยู่ภายนอก ส่วนโมดูลทั้งสองอยู่ในอุปกรณ์เครื่องเดียวกัน
โซนต้นทาง / แหล่งข้อมูล
โซนต้นทาง
- เครือข่าย OT เครือข่ายควบคุม และเครือข่ายที่มีการป้องกัน
- สถานะอุปกรณ์ เหตุการณ์ และไฟล์
- อยู่ภายนอกอุปกรณ์
จุดปลายต้นทาง
โมดูลฝั่งต้นทาง
รับและส่งจุดปลายฝั่งรับ
โมดูลฝั่งรับ
รับและจัดเตรียมอินเทอร์เฟซโซนปลายทาง / การใช้ข้อมูล
โซนปลายทาง
- IT, DMZ และ SOC
- MES, SIEM และสภาพแวดล้อมการวิเคราะห์
- อยู่ภายนอกอุปกรณ์
Boundary evidence / ตรวจสอบแยกกัน
หลักฐานเกี่ยวกับขอบเขตสามประการ
ทิศทางทางกายภาพ
ไม่มีช่องทางทางกายภาพย้อนกลับจากปลายทางไปยังต้นทางสำหรับเวอร์ชันฮาร์ดแวร์ โทโพโลยี และขอบเขตการทดสอบที่ระบุไว้ ลิงก์ใยแก้วนำแสงแบบทางเดียวข้ามโซนที่กำหนดจะจำกัดทิศทางข้อมูลจากต้นทางไปยังปลายทางการเข้าถึงผ่านเครือข่าย
โทโพโลยีที่ระบุไว้ไม่มีเส้นทางย้อนกลับที่มีการกำหนดเส้นทาง (routed return path) ข้ามโซนในโทโพโลยีที่ระบุไว้ โซนปลายทางไม่มีเส้นทางกลับไปยังโซนต้นทางผ่านขอบเขตฮาร์ดแวร์การใช้งานที่ปลายทาง
โซนปลายทางสามารถใช้อินเทอร์เฟซข้อมูลที่ฝั่งรับจัดเตรียมไว้โมดูลฝั่งรับรับข้อมูลและสร้างรูปแบบที่ระบบปลายทางสามารถใช้งานได้
Data path / Evaluation sequence
การรับข้อมูลต้นทาง การถ่ายโอนแบบทางเดียว และการจัดเตรียมอินเทอร์เฟซฝั่งปลายทาง
- 01 / Collect
โมดูลฝั่งต้นทางรับข้อมูลต้นทาง
โมดูลฝั่งต้นทางรับข้อมูลที่กำหนดจากโซนต้นทาง และแมปข้อมูลเป็นรูปแบบที่สามารถข้ามขอบเขตแบบทางเดียวได้
- 02 / Transfer
การถ่ายโอนข้อมูลผ่านใยแก้วนำแสงแบบทางเดียว
สำหรับเวอร์ชันฮาร์ดแวร์ โทโพโลยี และขอบเขตการทดสอบที่ระบุไว้ ลิงก์ทางกายภาพแบบทางเดียวที่กำหนดจะจำกัดทิศทางข้อมูลจากต้นทางไปยังปลายทาง โดยขอบเขตฮาร์ดแวร์ไม่มีช่องทางข้อมูลทางกายภาพย้อนกลับจากปลายทางไปยังต้นทาง
- 03 / Reconstruct
โมดูลฝั่งรับจัดเตรียมอินเทอร์เฟซฝั่งปลายทาง
โมดูลฝั่งรับรับข้อมูล และสร้างอินเทอร์เฟซหรือรูปแบบข้อมูลที่ระบบปลายทางสามารถใช้งานได้
ขอบเขตการผสานรวมโซนปลายทางใช้อินเทอร์เฟซข้อมูลที่โมดูลฝั่งรับจัดเตรียมไว้ อินเทอร์เฟซดังกล่าวไม่ใช่ส่วนขยายของเซสชันแบบสองทางเดิม
Control boundary / Comparison
ความแตกต่างด้านการควบคุมระหว่างขอบเขตแบบทางเดียวที่บังคับด้วยฮาร์ดแวร์กับกฎไฟร์วอลล์
| หัวข้อการประเมิน | ขอบเขตฮาร์ดแวร์แบบทางเดียว | กฎไฟร์วอลล์ |
|---|---|---|
| การควบคุมทิศทาง | เส้นทางทางกายภาพแบบทางเดียวจำกัดทิศทางข้อมูลที่ข้ามโซน | นโยบายเครือข่ายกำหนดทราฟฟิกที่อนุญาต |
| เส้นทางข้อมูลย้อนกลับ | ขอบเขตฮาร์ดแวร์ไม่มีช่องทางข้อมูลทางกายภาพจากปลายทางกลับไปยังต้นทาง | เครือข่ายและกฎที่ใช้งานร่วมกันกำหนดการเข้าถึงและทิศทางที่อนุญาต |
| บทบาทการควบคุม | จำกัดทิศทางทางกายภาพของข้อมูลที่ข้ามโซน | บังคับใช้นโยบายทราฟฟิกและการเข้าถึงภายในแต่ละโซนความปลอดภัยและที่ขอบเขตเครือข่าย |
ตารางนี้เปรียบเทียบเฉพาะความแตกต่างของขอบเขตการควบคุม ไม่ได้ตัดสินว่าการควบคุมใดแข็งแกร่งกว่า และไม่ได้ใช้ขอบเขตฮาร์ดแวร์แบบทางเดียวแทนการป้องกันหลายชั้น ไฟร์วอลล์และการควบคุมความปลอดภัยอื่นยังคงมีบทบาทของตนเอง