Cisco выпустила Cyber Vision 5.6 — обновление платформы безопасности промышленных сетей. Главное в релизе: долгожданный переход от простого наблюдения за OT-сетью к её защите. Появилась симуляция зонной сегментации, которая работает на промышленных коммутаторах Cisco Industrial Ethernet. Полноценное применение политик вендор обещает в начале 2027 года.
До сих пор Cyber Vision в основном показывал, что происходит в сети. Но видимость сама по себе угрозы не останавливает. Плоская OT-сеть без сегментации позволяет злоумышленнику беспрепятственно перемещаться между активами. Cisco прямо связывает актуальность сегментации с распространением «передовых ИИ-моделей»: автономное высокоскоростное боковое перемещение становится реальной угрозой. Сегментация превращает коммутатор из точки подключения в точку применения политик — без установки отдельных security-устройств.
Как устроен переход от видимости к защите
Вендор внедряет возможность поэтапно, чтобы не рисковать производственными процессами. В версии 5.6 общедоступна симуляция политик. Полное применение политик (enforcement) появится в начале 2027 года. Рабочий процесс сегментации состоит из трёх шагов, и OT-команда участвует на каждом.
- ИИ-помощь в группировке активов и рекомендациях по политике (уже доступно). Cyber Vision анализирует наблюдаемые активы и потоки связи и предлагает логические зоны и политику сегментации, исходя из того, как реально работает предприятие.
- Симуляция до применения (уже доступно). Команда проверяет рекомендацию и прогоняет её на живом трафике. Видно, какие потоки будут разрешены, а какие заблокированы, — можно убедиться, что политика не нарушит производство.
- Включение применения (начало 2027 года). После утверждения политики enforcement включается на поддерживаемых коммутаторах Cisco Industrial Ethernet. Сеть начинает ограничивать несанкционированные коммуникации и сдерживать перемещение между зонами.
По замыслу вендора, такой путь сокращает проект сегментации с лет до недель. Подход согласуется с требованиями стандарта IEC 62443, рекомендациями CISA по Zero Trust и директивой ЕС NIS2.
Новый интерфейс: карта коммуникаций и таймлайны
Cyber Vision 5.6 получила полностью переработанный интерфейс в едином стиле продуктов Cisco. Ключевые элементы:
- Global Communications Map — карта взаимодействия активов по всей OT-среде. Фильтрация по зонам в соответствии с моделью зон и каналов IEC 62443 позволяет отсечь шум и сопоставить наблюдаемый трафик с выстраиваемой политикой сегментации.
- Расширенный контекст актива — обновлённая страница сводит воедино уязвимости, алерты и коммуникации. Больше не нужно собирать картину по нескольким экранам.
- Таймлайны активности OT — вместо статичной инвентаризации показывают последовательность действий, зафиксированных сенсорами. Это помогает понять поведение актива, выявить аномалии и ускорить расследование.
Детектирование: MITRE ATT&CK и оценка риска
Когда срабатывает алерт, решает контекст. В версии 5.6 усилены возможности обнаружения и расследования аномалий — на языке, понятном и промышленной эксплуатации, и ИБ.
- Привязка к MITRE ATT&CK. Сигнатуры Snort теперь напрямую сопоставляются с тактиками и техниками MITRE ATT&CK. OT-алерты переводятся в знакомый ИБ-фреймворк, что сокращает разрыв в коммуникации между операторами OT и SOC.
- Оценка уязвимостей по риску. Cisco Security Score выделяет уязвимости, которые злоумышленники активно эксплуатируют. Приоритет патчей можно строить на реальных данных, а не только на оценке CVSS.
- Обнаружение сканирования. Улучшенный движок выявляет горизонтальное и вертикальное сканирование сети — раннее предупреждение о разведке до эскалации атаки.
- Пользовательские правила алертов. Новый движок правил позволяет задавать уведомления под конкретные нужды: например, при достижении активом порогового риск-балла или при коммуникациях с запрещённой страной или доменом.
- Расширенное профилирование. Профилирование по DHCP и интеграция с базой профилей Cisco Identity Services Engine (ISE) обогащают контекст актива.
Развёртывание: сенсоры в коммутаторах и варианты для чужой сети
Сенсор Cyber Vision работает внутри коммутаторов и маршрутизаторов Cisco — вендор отмечает быстрое, простое и экономичное масштабирование. Для сетей других производителей давно доступен сбор через SPAN. В релизе 5.6 добавлены сенсоры в виде Docker-контейнера и виртуальной машины: видимость можно получить на вычислительных платформах на периферии по выбору заказчика. Если промышленная площадка уже строится на коммутаторах Cisco Industrial Ethernet, сенсор разворачивается прямо в шасси, без отдельного сервера.
Cyber Vision 5.6 уже доступна и входит без дополнительной платы в комплект с коммутаторами Cisco IE3500 и IE9300 Rugged Series.
Для российского промышленного предприятия переход на сегментацию OT упирается не только в функциональность, но и в доступность оборудования: промышленные коммутаторы Cisco Industrial Ethernet официально в РФ не поставляются. Варианты с Docker- и VM-сенсорами и сбором через SPAN частично снимают привязку к железу вендора, но применение политик всё равно требует поддерживаемых коммутаторов. Если парк уже стоит и работает, обновление до 5.6 имеет смысл планировать заранее — симуляция политик безопасна для производства и даёт материал для проекта сегментации задолго до 2027 года. Тем, кто только готовит пилот, пригодится разбор домашней лаборатории Cisco: те же принципы зон и политик можно отработать на стенде до выезда на площадку.
Частые вопросы
Что нового в Cyber Vision 5.6?
Симуляция зонной сегментации, полностью новый интерфейс, привязка сигнатур Snort к MITRE ATT&CK, оценка уязвимостей по риску Cisco Security Score, обнаружение сканирования, пользовательские правила алертов и сенсоры в Docker и VM.
Когда появится реальное применение политик сегментации?
В начале 2027 года. В версии 5.6 доступна только симуляция: политику можно проверить на живом трафике, но сеть пока не блокирует запрещённые потоки.
Какие коммутаторы поддерживают применение политик?
Поддерживаемые коммутаторы Cisco Industrial Ethernet. Cyber Vision 5.6 входит без дополнительной платы в комплект с Cisco IE3500 и IE9300 Rugged Series.
Можно ли использовать Cyber Vision в сети не от Cisco?
Да. Для таких сетей давно доступен сбор через SPAN, а в 5.6 добавлены сенсоры в виде Docker-контейнера и виртуальной машины. Но для применения политик нужны поддерживаемые коммутаторы Cisco Industrial Ethernet.
Чем симуляция отличается от применения политики?
Симуляция показывает, какие потоки будут разрешены или заблокированы, и позволяет убедиться, что политика не нарушит производство. Применение (enforcement) реально ограничивает несанкционированные коммуникации между зонами.
Как ИИ участвует в сегментации?
Cyber Vision анализирует наблюдаемые активы и потоки и предлагает логические зоны и политику сегментации на основе того, как фактически работает предприятие. Решение принимает команда — рекомендации можно проверить симуляцией.
Что даёт привязка к MITRE ATT&CK?
OT-алерты переводятся в тактики и техники знакомого ИБ-фреймворка. Это упрощает коммуникацию между операторами OT и специалистами SOC при расследовании инцидентов.
Заменяет ли Cisco Security Score оценку CVSS?
Нет. Cisco Security Score дополняет CVSS, выделяя уязвимости, которые злоумышленники активно эксплуатируют, чтобы приоритизировать патчи по реальному риску.
С какими стандартами согласуется подход?
Cisco указывает соответствие стандарту IEC 62443, рекомендациям CISA по Zero Trust и директиве ЕС NIS2.
Источник: blogs.cisco.com