Безопасность BACnet: сегментация сейчас, BACnet/SC — для новых проектов
BACnet/IP и MS/TP спроектированы в 1995 году без аутентификации и шифрования — на изолированном VLAN сети BAS это не проблема, но при объединении с обычной офисной IT-сетью появляется реальный риск. Мы закрываем этот разрыв грамотной сегментацией на существующих объектах и спецификацией BACnet/SC в новых проектах.
Как мы обеспечиваем безопасность вашей сети BACnet
Аудит сети
Мы картируем сегменты BACnet/IP и MS/TP, проверяем, как сеть BAS сейчас связана с офисной IT, и выявляем broadcast-трафик, выходящий за нужные границы.
Выделенный VLAN для BAS
Сеть BACnet переносится в отдельный VLAN, отделённый от офисного и гостевого трафика, с правилами firewall, ограниченными только необходимым трафиком UDP 47808 к серверу BMS.
Контроль BBMD и Foreign Device
Регистрация Foreign Device ограничивается известными IP-адресами BBMD, чтобы маршрутизацию broadcast между подсетями нельзя было перехватить неизвестным устройством.
Спецификация BACnet/SC для новых объектов
Для новых щитов и контроллеров мы указываем BACnet/SC — транспорт WebSocket с шифрованием TLS 1.3 и аутентификацией устройств по сертификатам X.509 — там, где сеть BAS не может оставаться полностью изолированной.
Что на самом деле включает безопасность BACnet
Год финализации BACnet/SC
BACnet Secure Connect добавляет к классической объектной модели BACnet транспорт WebSocket с шифрованием TLS 1.3 и аутентификацию устройств по сертификатам X.509.
Изолированный VLAN для BAS
Трафик автоматизации здания отделён от общей офисной и гостевой сети по конструкции, а не по договорённости.
Правила firewall только для UDP 47808
Через firewall проходит только тот трафик BACnet/IP, который действительно нужен серверу BMS — и ничего сверх этого.
Белый список BBMD / Foreign Device
Маршрутизация broadcast между подсетями ограничена явно одобренными адресами BBMD.
BACnet/SC для новых проектов
Шифрование TLS 1.3 и сертификаты устройств X.509 там, где сеть BAS не может оставаться полностью отделённой от IT.
Честная последовательность мер
Сегментация — это ближайшее решение для уже установленных систем, BACnet/SC — долгосрочный ответ для новых проектов; мы не выдаём одно за замену другому.
Что входит
Обзор сегментации и безопасности, адаптированный под вашу существующую установку BACnet или спецификацию следующего проекта.
- Картирование сети BACnet/IP и MS/TP
- Разработка правил VLAN и firewall (в рамках UDP 47808)
- Белый список IP-адресов BBMD / Foreign Device
- Поддержка спецификации BACnet/SC для новых контроллеров и щитов
- Документация для передачи вашей IT- и BMS-команде
Частые вопросы
Безопасен ли BACnet по умолчанию?
Нет. BACnet стандартизирован в 1995 году как ANSI/ASHRAE 135, без встроенной аутентификации или шифрования. Классические BACnet/IP и MS/TP передают данные открыто в пределах своего сегмента — на изолированном VLAN сети BAS это не проблема, но при объединении с обычной офисной IT появляется реальный риск.
В чём разница между сегментацией и BACnet/SC?
Сегментация — это решение на уровне сети: отдельный VLAN, правила firewall в рамках UDP 47808, контролируемый список BBMD / Foreign Device. BACnet/SC — это решение на уровне протокола: транспорт WebSocket с шифрованием TLS 1.3 и аутентификацией устройств по сертификатам X.509, финализированное в 2020 году.
Нужен ли BACnet/SC для уже существующей установки?
Не обязательно немедленно. Сегментация — практичное ближайшее решение для систем, уже работающих на объекте. BACnet/SC стоит закладывать в новые проекты или при замене оборудования, особенно там, где сеть BAS не может оставаться полностью изолированной от IT.
Какой порт использует BACnet/IP?
UDP порт 47808 (0xBAC0 в шестнадцатеричном виде). Правила firewall между VLAN сети BAS и остальной сетью должны ограничиваться именно этим трафиком, идущим к серверу BMS и от него.
Что такое BBMD и почему это важно для безопасности?
BACnet Broadcast Management Device передаёт broadcast-сообщения между IP-подсетями, поскольку маршрутизаторы по умолчанию их не пропускают. Регистрацию Foreign Device следует ограничивать известными IP-адресами BBMD — при открытой регистрации любое устройство в сети может заявить о себе в broadcast-трафике вашей BAS.
Обсудите вашу сеть BACnet с инженером
Пришлите нам текущую топологию сети или спецификацию следующего проекта — мы честно скажем, где достаточно сегментации, а где стоит вложиться в BACnet/SC.