Перейти к содержимому
Открыть каталог

Кейс · Сети и СКС

Межсетевой экран UserGate для сегментации промышленной и корпоративной сети нефтяного предприятия

Нефтедобывающее предприятие разделило АСУ ТП и корпоративный сегмент с помощью UserGate U1000. Атаки из корпоративной зоны на SCADA исключены, соответствие требованиям ФСТЭК обеспечено за 15 рабочих дней.

0
позиций в поставке
0
дней до поставки
0%
экономия клиента
0
сумма проекта, ₽

Коротко о проекте

Что поставили

Межсетевой экран UserGate U1000, 8×1G, 4×10G SFP+, сертификат ФСТЭК2 шт.
Коммутатор L3 Eltex MES5324A, 24×SFP+ 10G, 4×QSFP+ 40G2 шт.
Коммутатор L2 SNR-S2985G-24T, 24×1G + 4×SFP+4 шт.
Модуль SFP+ 10GBASE-LR SNR, 10 км SM8 шт.
Патч-корд оптический LC-LC SM 3 м SNR16 шт.
ИБП On-Line 3000 ВА APC Smart-UPS SRT3000RMXLI2 шт.

Нефтедобывающее предприятие обратилось после прохождения аудита информационной безопасности: регулятор зафиксировал отсутствие чёткой границы между корпоративной IT-инфраструктурой и промышленным сегментом АСУ ТП. SCADA-система была доступна из офисной сети без каких-либо ограничений, что создавало риски для объектов КИИ. Требовалось устранить нарушение в сжатые сроки.

Задача клиента

Построить демилитаризованную зону между корпоративной сетью и сегментом АСУ ТП, установить сертифицированный ФСТЭК межсетевой экран, настроить политики доступа, систему обнаружения вторжений и журналирование всех сессий. Решение должно соответствовать требованиям приказов ФСТЭК №31 (АСУ ТП) и №239 (КИИ).

Ограничения и требования

Остановка технологического процесса для проведения работ недопустима: предприятие работает в непрерывном режиме. Оборудование должно иметь действующий сертификат ФСТЭК. Интеграция с существующими коммутаторами и историком данных OSIsoft PI без их замены. Полная документация для регулятора по итогам проекта.

Что предложили

В качестве межсетевого экрана выбрана пара UserGate U1000 в режиме Active/Passive HA — аппаратная платформа с сертификатом ФСТЭК типа «А» 4-го класса, поддержкой IPS, DPI до уровня L7 и инспекцией промышленных протоколов. Два устройства обеспечивают отказоустойчивость без потери сессий при переключении.

Для коммутации DMZ-сегмента применены коммутаторы SNR-S2985G-24T — компактные L2-устройства с 24×1G + 4×SFP+, управляемые через CLI и SNMP. Агрегирующий уровень обновлён парой Eltex MES5324A с 10G-аплинками к UserGate.

Состав поставки по подсистемамСпец-цены от производителя

Как авторизованный партнёр UserGate, ВИСТЛАН согласовал проектную цену на оба устройства U1000 — скидка 10% к рекомендованной розничной стоимости. Это позволило уложиться в утверждённый бюджет, включив в поставку второй UserGate для кластера, который изначально в смете не предусматривался.

Этапы и сроки

Дни 1–3: обследование текущей топологии, разработка схемы DMZ и матрицы доступа. Дни 4–8: поставка оборудования, монтаж в серверной стойке в параллель с работающей сетью. Дни 9–13: поэтапное переключение трафика на новый контур, настройка IPS и политик. Дни 14–15: тестирование, оформление документации. Предприятие не испытало ни одной вынужденной остановки процесса.

Результат

АСУ ТП изолирована в отдельный сегмент, доступ из корпоративной сети возможен только через UserGate по заданным правилам. IPS фиксирует и блокирует аномальный трафик. Журналы сессий хранятся 90 дней — требование регулятора выполнено. Итоговая стоимость проекта — 4 100 000 рублей с НДС. По итогам повторного аудита нарушения сняты.

Почему выбрали нас

ВИСТЛАН предложил единственное решение с двумя UserGate в HA-кластере в рамках бюджета — за счёт проектной скидки вендора. Конкуренты либо предлагали один МЭ без резервирования, либо выходили за бюджет. Опыт защиты промышленных сетей и объектов КИИ — с 2006 года.

Конфигурации, модели и цены носят ориентировочный характер и могут изменяться. Точные параметры согласовываются индивидуально при оформлении заказа.

Частые вопросы

Какие сертификаты ФСТЭК имеет UserGate U1000?

UserGate U1000 сертифицирован ФСТЭК России как межсетевой экран типа «А» 4-го класса и средство обнаружения вторжений 4-го класса. Подходит для защиты значимых объектов КИИ категорий 2 и 3.

Как реализовать однонаправленную передачу данных из АСУ ТП в корпоративную сеть?

Настраиваем правила UserGate с разрешением только инициированных из промышленной зоны сессий на конкретные порты историка данных. Обратный трафик блокируется на уровне stateful-firewall.

Нарушает ли установка МЭ работу SCADA-протоколов (Modbus, OPC UA)?

UserGate поддерживает глубокую инспекцию промышленных протоколов: Modbus TCP, DNP3, IEC 60870-5-104, OPC UA. Трафик SCADA проходит без задержек при правильно настроенных политиках.

Что такое SNR-S2985G и где он применяется в этом проекте?

SNR-S2985G — управляемый коммутатор L2 24×1G + 4×SFP+ в компактном корпусе. В данном проекте использован для коммутации рабочих мест операторов АСУ ТП в демилитаризованной зоне между SCADA и корпоративной сетью.

Как получить спеццену на UserGate для промышленного объекта?

ВИСТЛАН — авторизованный партнёр UserGate. По проектным заявкам согласовываем цену напрямую с вендором. Запрос обрабатывается в течение одного рабочего дня.

Посчитайте свою экономию

При подборе под задачу и спец-ценах от производителя экономия по этому кейсу — 10%. Двигайте бюджет и смотрите вашу выгоду.

Ваш бюджет на оборудование1 000 000 ₽
100 тыс ₽20 млн ₽
Ваша экономия
≈ 100 000 ₽
Итого к оплате
≈ 900 000 ₽
Подобрать решение под мою задачу →

Оценка ориентировочная. Точную цену и срок подтвердит менеджер.

Нужно похожее решение?

Опишите задачу — подберём оборудование с оптовыми ценами, сроками и наличием. Регистрация не нужна.

Кейс приведён для примера, данные обезличены. Состав, цены, сроки и экономия носят справочный характер, не являются публичной офертой и не гарантируют аналогичный результат — каждый проект рассчитывается индивидуально, наличие и цены подтверждаются при оформлении заказа.