Sicurezza BACnet: segmentazione oggi, BACnet/SC per i nuovi progetti
BACnet/IP e MS/TP sono stati progettati nel 1995 senza autenticazione né cifratura — nessun problema su una VLAN BAS isolata, ma un'esposizione reale non appena la rete viene collegata all'IT di ufficio generale. Chiudiamo questo divario con una segmentazione corretta sull'esistente e con BACnet/SC sui nuovi progetti.
Come mettiamo in sicurezza la vostra rete BACnet
Audit di rete
Mappiamo i vostri segmenti BACnet/IP e MS/TP, verifichiamo come la rete BAS è oggi collegata all'IT di ufficio e individuiamo il traffico broadcast che va oltre il necessario.
VLAN BAS dedicata
La rete BACnet passa su una propria VLAN, separata dal traffico ufficio e ospiti, con regole firewall limitate al traffico UDP 47808 effettivamente necessario al server BMS.
Controllo di BBMD e Foreign Device
La registrazione Foreign Device viene limitata agli indirizzi IP BBMD noti, così l'instradamento dei broadcast tra sottoreti non può essere dirottato da un dispositivo non riconosciuto.
Specifica di BACnet/SC per i nuovi progetti
Sui nuovi quadri e controllori specifichiamo BACnet/SC — un trasporto WebSocket cifrato TLS 1.3 con autenticazione dei dispositivi tramite certificati X.509 — ovunque la rete BAS non possa restare completamente isolata.
Cosa copre davvero la sicurezza BACnet
Anno di finalizzazione di BACnet/SC
BACnet Secure Connect aggiunge al classico modello a oggetti di BACnet un trasporto WebSocket cifrato TLS 1.3 e l'autenticazione dei dispositivi tramite certificati X.509.
VLAN BAS isolata
Il traffico dell'automazione dell'edificio resta separato dalla rete ufficio e ospiti per progettazione, non solo per convenzione.
Regole firewall limitate a UDP 47808
Attraverso il firewall passa solo il traffico BACnet/IP effettivamente necessario al server BMS — nient'altro.
Whitelist BBMD / Foreign Device
L'instradamento dei broadcast tra sottoreti è limitato agli indirizzi BBMD esplicitamente approvati.
BACnet/SC per i nuovi progetti
Cifratura TLS 1.3 e certificati dispositivo X.509 dove la rete BAS non può restare completamente separata dall'IT.
Un approccio onesto per fasi
La segmentazione è la soluzione a breve termine per l'installato esistente, BACnet/SC è la risposta a lungo termine per i nuovi progetti — non vendiamo l'una come sostituto dell'altra.
Cosa è incluso
Una revisione di segmentazione e sicurezza calibrata sulla vostra installazione BACnet esistente o sulla specifica del prossimo progetto.
- Mappatura della rete BACnet/IP e MS/TP
- Progettazione delle regole VLAN e firewall (ambito UDP 47808)
- Whitelist degli indirizzi IP BBMD / Foreign Device
- Supporto alla specifica BACnet/SC per nuovi controllori e quadri
- Documentazione di passaggio per i vostri team IT e BMS
Domande frequenti
BACnet è sicuro di default?
No. BACnet è stato standardizzato nel 1995 come ANSI/ASHRAE 135, senza autenticazione o cifratura integrate. Il BACnet/IP e l'MS/TP classici trasmettono in chiaro sul segmento in cui si trovano — nessun problema su una VLAN BAS isolata, ma diventa un'esposizione reale una volta collegati all'IT di ufficio generale.
Che differenza c'è tra segmentazione e BACnet/SC?
La segmentazione è una soluzione di rete: VLAN dedicata, regole firewall limitate a UDP 47808, elenco BBMD / Foreign Device controllato. BACnet/SC è una soluzione a livello di protocollo: trasporto WebSocket cifrato TLS 1.3 con autenticazione dei dispositivi tramite certificati X.509, finalizzato nel 2020.
Mi serve BACnet/SC per un impianto già esistente?
Non necessariamente subito. La segmentazione è la soluzione pratica a breve termine per gli impianti già installati. Vale la pena specificare BACnet/SC sui nuovi progetti o in caso di sostituzione dei dispositivi, soprattutto dove la rete BAS non può restare completamente isolata dall'IT.
Quale porta usa BACnet/IP?
La porta UDP 47808 (0xBAC0 in esadecimale). Le regole firewall tra la VLAN BAS e il resto della rete dovrebbero essere limitate esattamente a questo traffico, da e verso il server BMS.
Cos'è un BBMD e perché è importante per la sicurezza?
Un BACnet Broadcast Management Device inoltra i broadcast tra sottoreti IP, perché i router di default non li instradano. La registrazione Foreign Device dovrebbe essere limitata agli indirizzi IP BBMD noti — una registrazione aperta permette a qualsiasi dispositivo in rete di annunciarsi nei broadcast della vostra BAS.
Parla con un ingegnere della tua rete BACnet
Inviateci la topologia attuale o la specifica del prossimo progetto — vi diremo con chiarezza dove basta la segmentazione e dove conviene investire in BACnet/SC.