Implementando Firewall ICS com Tofino

Quando Usar

• Ao implantar proteção de firewall em nível de zona diretamente na frente de PLCs ou RTUs críticos
• Ao exigir inspeção profunda de pacotes de protocolos industriais (Modbus, EtherNet/IP, OPC, S7comm)
• Ao implementar limites de zona e conduit da IEC 62443 com aplicação ciente de protocolo
• Ao proteger PLCs legados que não podem ser corrigidos e precisam de controles compensatórios
• Ao segmentar zonas de rede de controle sem interromper as comunicações industriais existentes

Não use para implantação de firewall de TI corporativo, para firewall de perímetro entre TI e OT (use Palo Alto/Fortinet na DMZ), ou para ambientes que usam apenas protocolos baseados em IP sem necessidades de DPI específicas de OT.

Pré-requisitos

• Appliance Tofino Xenon ou appliance virtual Tofino com licença apropriada
• Plataforma de Gerenciamento Central Tofino (CMP) para gerenciamento centralizado de políticas
• Mapa de topologia de rede mostrando a localização dos PLCs/RTUs e os requisitos de comunicação
• Linha de base das comunicações de protocolo OT (códigos de função Modbus, serviços CIP EtherNet/IP)
• Aprovação de gerenciamento de mudanças para implantação em linha entre zonas de rede

Fluxo de Trabalho

Etapa 1: Projetar a Arquitetura de Implantação do Tofino

# Tofino ICS Firewall Deployment Architecture
# Zone-level protection using deep packet inspection

deployment_zones:
  zone_1_reactor_control:
    tofino_appliance: "TOFINO-XN-001"
    deployment_mode: "inline_bridge"
    protected_assets:
      - name: "PLC-REACTOR-01"
        ip: "10.10.1.10"
        vendor: "Siemens S7-1500"
        protocols: ["S7comm/102", "Profinet"]
      - name: "PLC-REACTOR-02"
        ip: "10.10.1.11"
        vendor: "Siemens S7-1500"
        protocols: ["S7comm/102", "Profinet"]
    authorized_communications:
      - source: "10.10.2.50"  # Engineering workstation
        dest: "10.10.1.0/24"
        protocols: ["S7comm"]
        access_type: "engineering"
      - source: "10.10.2.10"  # HMI server
        dest: "10.10.1.0/24"
        protocols: ["S7comm"]
        access_type: "operational"

  zone_2_packaging:
    tofino_appliance: "TOFINO-XN-002"
    deployment_mode: "inline_bridge"
    protected_assets:
      - name: "PLC-PACK-01"
        ip: "10.10.3.10"
        vendor: "Rockwell ControlLogix"
        protocols: ["EtherNet-IP/44818", "CIP"]
    authorized_communications:
      - source: "10.10.2.20"  # HMI
        dest: "10.10.3.0/24"
        protocols: ["EtherNet-IP"]
        access_type: "operational"

  zone_3_utilities:
    tofino_appliance: "TOFINO-XN-003"
    deployment_mode: "inline_bridge"
    protected_assets:
      - name: "RTU-BOILER-01"
        ip: "10.10.4.10"
        vendor: "Schneider M340"
        protocols: ["Modbus-TCP/502"]
    authorized_communications:
      - source: "10.10.2.30"  # SCADA server
        dest: "10.10.4.0/24"
        protocols: ["Modbus-TCP"]
        allowed_function_codes: [1, 2, 3, 4]  # Read only from SCADA

Etapa 2: Configurar Regras de Inspeção Profunda de Pacotes

#!/usr/bin/env python3
"""Gerador de Regras de Firewall ICS Tofino.

Gera regras de firewall Tofino com inspeção profunda de pacotes para
protocolos industriais com base na análise da linha de base de comunicação.
"""

import json
import sys
from datetime import datetime
from typing import Dict, List


class TofinoRuleGenerator:
    """Gera regras de DPI de Firewall ICS Tofino."""

    def __init__(self):
        self.rules = []
        self.rule_id = 1000

    def add_modbus_rule(self, src: str, dst: str, allowed_funcs: List[int],
                        allowed_registers: List[dict] = None, description: str = ""):
        """Gera regra de DPI Modbus."""
        func_names = {
            1: "read_coils", 2: "read_discrete_inputs",
            3: "read_holding_registers", 4: "read_input_registers",
            5: "write_single_coil", 6: "write_single_register",
            15: "write_multiple_coils", 16: "write_multiple_registers",
        }

        rule = {
            "rule_id": self.rule_id,
            "protocol": "Modbus-TCP",
            "action": "ALLOW",
            "source": src,
            "destination": dst,
            "port": 502,
            "dpi_policy": {
                "allowed_function_codes": [
                    {"code": fc, "name": func_names.get(fc, f"FC{fc}")}
                    for fc in allowed_funcs
                ],
                "blocked_function_codes": [
                    fc for fc in range(1, 128) if fc not in allowed_funcs
                ],
            },

…