Mengganti firewall industri yang sudah mencapai akhir masa pakainya adalah keputusan yang sebaiknya didasarkan pada model penerapan, cakupan protokol, metode pembuatan kebijakan, sertifikasi, dan ketentuan lisensi, bukan semata-mata berdasarkan nama merek. Kelima faktor ini menentukan apakah penggantian tersebut dapat mempertahankan arsitektur jaringan yang sudah ada, melindungi perangkat industri tertentu yang sedang beroperasi, serta memenuhi persyaratan kepatuhan dan anggaran lingkungan tersebut. Produk pengganti yang disarankan oleh vendor merupakan titik awal yang wajar untuk melakukan penelitian, bukan pengganti dari proses pengecekan menggunakan daftar periksa ini.
Poin-Poin Penting
- Model penerapan menentukan seberapa besar bagian jaringan yang harus Anda rancang ulang. Firewall transparan dan inline yang tidak memiliki alamat IP akan mempertahankan pengalamatan yang sudah ada; sedangkan firewall yang dirutekan akan mengubahnya.
- Dukungan protokol harus sesuai dengan lingkungan Anda, bukan daftar utama dari vendor. Beberapa vendor membatasi akses ke kelompok protokol tertentu melalui tingkatan lisensi yang terpisah dan saling eksklusif, jadi pastikan dengan tepat SKU mana yang ditawarkan.
- Cara kebijakan dibuat sama pentingnya dengan apa yang diblokir oleh firewall. Sebuah firewall yang mampu memantau lalu lintas jaringan secara real-time dan menyusun kerangka dasar kebijakan menggunakan pembelajaran mesin, dapat menghindari kesalahan umum yang sering terjadi akibat aturan yang disusun berdasarkan diagram jaringan yang sudah usang.
- Sertifikasi bervariasi tergantung pada model tertentu, bukan hanya berdasarkan vendor. Sertifikasi andalan suatu vendor, seperti IEC 61850-3 untuk gardu induk, tidak secara otomatis berlaku untuk setiap model perangkat keras dalam jajaran produk vendor tersebut.
- "Mendukung kepatuhan" dan "telah tersertifikasi" adalah klaim yang berbeda. Sebagian besar firewall industri tidak tersertifikasi secara independen berdasarkan kerangka kerja seperti IEC 62443 atau NERC CIP sebagai perangkat; namun, perangkat tersebut mendukung segmentasi dan pencatatan log yang disyaratkan oleh kerangka kerja tersebut. Anggaplah klaim sertifikasi perangkat untuk salah satu kerangka kerja tersebut sebagai tanda peringatan yang perlu diverifikasi secara langsung.
Mulailah dengan Model Penerapan, Bukan Nama Merek
Firewall industri dapat dipasang dengan salah satu dari dua cara, dan pilihan tersebut memengaruhi seberapa besar jaringan yang sudah ada perlu diubah. Perangkat transparan yang dipasang secara inline ditempatkan di jalur lalu lintas tanpa memiliki alamat IP sendiri, sehingga pengalamatan dan perutean yang sudah ada tetap terjaga. Perangkat yang dirutekan memiliki alamat IP sendiri dan terlibat langsung di lapisan jaringan, yang dapat menambah kemampuan namun juga memerlukan pekerjaan perancangan ulang.
Tidak ada satu pun model yang secara mutlak lebih baik. Penerapan model transparan meminimalkan dampak migrasi, yang menjadi hal terpenting saat mengganti firewall yang telah digunakan selama bertahun-tahun, seperti Belden Tofino Xenon. Penerapan model terarah dapat menawarkan fleksibilitas yang lebih besar untuk lingkungan baru yang sedang dibangun, di mana jaringan dirancang berdasarkan firewall, bukan sebaliknya.
Sesuaikan Cakupan Protokol dengan Lingkungan Anda yang Sebenarnya
Pemeriksaan paket mendalam (Deep Packet Inspection) untuk protokol industri, seperti Modbus, DNP3, EtherNet/IP, dan IEC 61850, adalah hal yang membedakan firewall industri dari firewall jaringan umum yang diterapkan pada jaringan OT. Pertanyaan yang relevan bukanlah berapa banyak protokol yang dicantumkan oleh vendor, melainkan apakah protokol-protokol spesifik yang berjalan di lingkungan tersebut tercakup dalam SKU yang ditawarkan.
- Mintalah daftar protokol berdasarkan SKU, bukan berdasarkan kelompok produk. Beberapa vendor memberikan lisensi untuk kelompok protokol—seperti kumpulan protokol serbaguna versus kumpulan protokol khusus vendor seperti protokol GE—sebagai opsi terpisah yang saling eksklusif dan diberlakukan dalam firmware.
- Pastikan apakah pemeriksaan juga mencakup terowongan terenkripsi. Jika lingkungan tersebut menggunakan IPsec atau OpenVPN untuk akses vendor atau konektivitas antar-lokasi, tanyakan secara spesifik apakah pemeriksaan protokol berlaku di dalam terowongan tersebut atau hanya berlaku untuk lalu lintas yang tidak terenkripsi. Mintalah konfirmasi tertulis mengenai hal ini, jangan hanya mengandalkan daftar fitur.
Mengevaluasi Cara Pembuatan dan Pemeliharaan Kebijakan Keamanan
Alasan paling umum mengapa firewall industri akhirnya tetap berada dalam mode pemantauan saja tanpa batas waktu adalah karena tidak ada yang memiliki gambaran yang jelas dan terkini mengenai seperti apa bentuk lalu lintas yang sah itu. Ada dua pendekatan yang mengatasi masalah ini dengan cara berbeda.
- Penyusunan kebijakan secara manual mengharuskan seseorang untuk menulis aturan firewall berdasarkan diagram jaringan, yang memang akurat pada hari saat ditulis, namun kemudian mulai menyimpang dari kondisi sebenarnya.
- Mode pembelajaran atau mode baseline perilaku memantau lalu lintas secara real-time dalam rentang waktu tertentu dan menyusun kebijakan berdasarkan kondisi yang sedang berjalan, kemudian menandai setiap penyimpangan dari baseline tersebut ke depannya. Hal ini mempercepat proses dari instalasi hingga penerapan kebijakan secara aktif.
Pastikan Sertifikasi Sesuai dengan Sektor dan Model Spesifik Anda
Sertifikasi diperoleh berdasarkan model perangkat keras masing-masing, bukan berlaku secara otomatis untuk seluruh jajaran produk dari suatu vendor. Model kelas atas dari suatu vendor mungkin memiliki sertifikasi, seperti IEC 61850-3 atau IEEE 1613 untuk lingkungan gardu induk dan perusahaan listrik, yang tidak dimiliki oleh model yang lebih kecil atau dengan jumlah port lebih sedikit dalam keluarga produk yang sama. Selalu periksa lembar spesifikasi untuk model yang tepat yang sedang dipertimbangkan.
Vertikal / Persyaratan | Sertifikasi sebagai Bukti | Mengapa Hal Ini Penting |
Gudang listrik | IEC 61850-3, IEEE 1613 | Mengatur kesesuaian elektromagnetik dan ketahanan terhadap kondisi lingkungan untuk peralatan gardu induk |
Lokasi berbahaya atau yang diklasifikasikan | C1D2 | Diperlukan untuk pemasangan di lingkungan yang berisiko adanya gas mudah terbakar atau debu |
Sertifikasi perangkat keras umum | CE, FCC | Harapan dasar mengenai keandalan untuk lingkungan industri yang tidak terkendali |
Industrial Keamanan Siber | IEC 62443-4-2 (SL2, SL3) | Memverifikasi secara independen kemampuan keamanan firewall dan proses pengembangan yang aman dari vendor, alih-alih hanya mengandalkan pernyataan dari pihak vendor sendiri |
"Mendukung Kepatuhan" Bukanlah Klaim yang Sama dengan "Telah Disertifikasi"
Kerangka kerja seperti IEC 62443 dan NERC CIP mengatur program organisasi dan arsitektur sistem, bukan perangkat tunggal secara terpisah; oleh karena itu, sebagian besar firewall industri tidak disertifikasi secara mandiri di bawah salah satu kerangka kerja tersebut sebagai produk yang berdiri sendiri. Sebuah firewall dapat mendukung segmentasi, kontrol akses, dan pencatatan audit yang disyaratkan oleh kerangka kerja tersebut tanpa harus memiliki sertifikasi "IEC 62443" atau "NERC CIP" itu sendiri. Jika vendor mengklaim sertifikasi spesifik tersebut untuk perangkat itu sendiri, tanyakan lembaga mana yang menerbitkannya dan untuk cakupan apa.
Memahami Model Lisensi dan Kepemilikan
Industrial Firewall dijual dengan berbagai struktur lisensi: perangkat dengan lisensi permanen (biaya perangkat sekali bayar), perpanjangan langganan (biaya berulang), berbasis fitur (penambahan protokol atau kemampuan), berbasis throughput (tingkatan bandwidth), berbasis protokol (lisensi per protokol), dan lisensi manajemen terpusat (platform visibilitas multi-lokasi). Setiap model tersebut memengaruhi total biaya kepemilikan secara berbeda selama masa pakai perangkat. Beralih dari lisensi permanen ke langganan, atau menambahkan lisensi fitur, throughput, atau manajemen, akan menimbulkan kewajiban anggaran berkelanjutan yang sebaiknya dipahami secara eksplisit selama tahap evaluasi, bukan baru diketahui saat implementasi atau perpanjangan.
Rencana Pengelolaan Terpusat di Berbagai Lokasi
Solusi pengganti yang mengharuskan pengguna masuk ke setiap perangkat satu per satu tidak akan efektif jika jumlah lokasinya melebihi beberapa lokasi saja. Manajemen terpusat—baik yang dihosting di lokasi sendiri maupun di cloud—harus mampu menerapkan kebijakan, mengumpulkan data status, dan mendukung pelaporan untuk setiap unit yang telah dipasang, semuanya dari satu tempat.
Mintalah Uji Coba Terbatas Sebelum Melakukan Komitmen di Seluruh Properti
Uji coba di satu zona saja, yang dijalankan dalam mode pemantauan sebelum diterapkan secara penuh, dengan kriteria keberhasilan yang telah ditetapkan dan disepakati sebelumnya, dapat mengurangi risiko terjadinya waktu henti yang tidak direncanakan akibat perubahan arsitektur. Penggantian di seluruh jaringan merupakan topik pembahasan kedua, bukan yang pertama.
Daftar Periksa Evaluasi Penggantian
- Model penerapan: transparan/inline atau dialihkan, dan mana yang tetap mempertahankan arsitektur jaringan Anda yang sudah ada
- Cakupan protokol: telah diverifikasi berdasarkan lingkungan aktual Anda dan SKU spesifik yang disebutkan dalam penawaran, bukan daftar umum keluarga produk
- Metode pembuatan kebijakan: penyusunan aturan secara manual atau acuan pembelajaran/perilaku
- Sertifikasi: telah diverifikasi untuk model yang sedang dibahas, bukan diasumsikan berdasarkan produk unggulan dari produsen tersebut
- Istilah kepatuhan: "mendukung" persyaratan suatu kerangka kerja versus klaim sertifikasi perangkat yang belum diverifikasi
- Model lisensi: perangkat dengan lisensi seumur hidup atau berlangganan, serta total biaya kepemilikan yang terkait dengan masing-masing model tersebut
- Manajemen terpusat: penyebaran kebijakan dan pelaporan di seluruh lokasi dari satu tempat
- Ruang lingkup uji coba: uji konsep satu zona dalam mode pemantauan dengan kriteria keberhasilan yang telah disepakati sebelum diambil keputusan yang berlaku di seluruh lingkungan
Bagaimana MetaDefender Industrial Firewall Berkaitan dengan Daftar Periksa Ini
MetaDefender Industrial Firewall™ adalah firewall industri dari OPSWAT untuk jaringan OT, yang dirancang khusus untuk teknologi operasional dan sistem siber-fisik, bukan sekadar adaptasi dari produk TI. Berdasarkan daftar periksa di atas: produk ini mendukung baik penerapan transparan (inline) maupun penerapan terarah (routed); Mode Pembelajaran (Learning Mode) nya menyusun kebijakan keamanan berdasarkan lalu lintas yang diamati, bukan dengan mengharuskan pengaturan aturan manual; tersedia dalam perangkat keras empat port dan delapan port, dengan model delapan port mendukung IEC 61850-3 dan IEEE 1613 untuk penggunaan di gardu induk dan utilitas listrik; serta terintegrasi dengan My OPSWAT™ Central Management untuk kebijakan dan pelaporan di berbagai lokasi. Perangkat ini mendukung segmentasi jaringan yang sesuai dengan persyaratan IEC 62443 dan NERC CIP, sejalan dengan perbedaan kepatuhan di atas: ini merupakan klaim dukungan, bukan klaim sertifikasi perangkat. Selain itu, perangkat ini telah bersertifikasi C1D2 untuk lingkungan yang keras.
Lakukan evaluasi penggantian sendiri berdasarkan daftar periksa ini, lalu lihat bagaimana MetaDefender Industrial Firewall sesuai dengan daftar periksa tersebut untuk lingkungan spesifik Anda.
Pertanyaan yang Sering Diajukan
Apa perbedaan antara penerapan firewall industri yang transparan dan yang di-routing?
Firewall transparan dan inline pada dasarnya adalah jembatan Lapisan 2 yang tidak memiliki alamat IP dan terletak langsung di jalur lalu lintas, sehingga mempertahankan penomoran alamat jaringan yang sudah ada. Firewall yang dirutekan beroperasi sebagai perangkat Lapisan 3. Perangkat ini memiliki alamat IP sendiri dan berperan di lapisan jaringan, yang dapat menambah kemampuan namun memerlukan perancangan ulang jaringan yang lebih kompleks untuk implementasinya.
Apakah firewall industri harus bersertifikat IEC 62443 atau NERC CIP?
Sebagian besar firewall industri tidak memiliki sertifikasi independen berdasarkan kedua kerangka kerja tersebut sebagai perangkat mandiri, karena kedua kerangka kerja tersebut mengatur program organisasi dan arsitektur sistem, bukan produk tunggal. Carilah firewall yang mendukung persyaratan segmentasi dan audit yang ditetapkan oleh kerangka kerja tersebut, dan anggap klaim sertifikasi perangkat yang tidak memenuhi syarat sebagai hal yang perlu diverifikasi secara langsung.
Mengapa cara kerja firewall industri dalam menyusun kebijakan keamanannya itu penting?
Firewall yang mengharuskan aturan ditulis secara manual berdasarkan diagram jaringan hanya akan seakurat diagram tersebut, yang cenderung menjadi usang. Firewall yang mampu memantau lalu lintas secara real-time dan menyusun kerangka dasar kebijakan akan mempercepat proses dari instalasi hingga penerapan aktif, serta mencerminkan kondisi sistem yang sedang berjalan.
Mengapa sertifikasi berbeda-beda di antara model-model dari vendor yang sama?
Sertifikasi seperti IEC 61850-3 atau IEEE 1613 diperoleh dan dipublikasikan berdasarkan model perangkat keras masing-masing, bukan diterapkan secara otomatis ke seluruh jajaran produk. Model kelas atas dari suatu vendor mungkin memiliki sertifikasi yang tidak dimiliki oleh model yang lebih kecil atau dengan jumlah port lebih sedikit dalam jajaran produk yang sama; oleh karena itu, model spesifik yang sedang dipertimbangkan perlu diperiksa berdasarkan lembar spesifikasinya sendiri.
Berapa lama uji coba awal sebaiknya dijalankan sebelum diluncurkan secara penuh?
Cukup lama untuk mengamati rentang operasi normal yang representatif, dijalankan dalam mode pemantauan dengan kriteria keberhasilan yang telah ditetapkan dan disepakati sebelumnya, serta terbatas pada satu zona saja. Tujuannya adalah untuk memastikan keandalan dasar kebijakan sebelum diterapkan, bukan sekadar jumlah hari tertentu.
Apakah model lisensi memengaruhi total biaya kepemilikan?
Ya. Perangkat dengan lisensi seumur hidup melibatkan biaya perangkat keras satu kali dengan opsi perpanjangan dukungan, sedangkan model berlangganan menggabungkan biaya lisensi ke dalam pembayaran berulang. Keduanya tidak secara inheren lebih murah; perbandingan yang tepat bergantung pada masa pakai yang diharapkan dari perangkat tersebut serta bagaimana organisasi mengalokasikan anggaran untuk pengeluaran modal dibandingkan dengan pengeluaran berulang.
