SCADA və DCS şəbəkələri üçün idarə olunan kommutatorların təhlükəsizliyinin gücləndirilməsi

SCADA və ya DCS şəbəkəsində idarə olunan Ethernet kommutatoru sadəcə port çoxaldıcı deyil. O, trafik yollarını idarə edir, diaqnostika məlumatlarını təqdim edir və konfiqurasiya xətasının təsirini ya məhdudlaşdıra, ya da genişləndirə bilər.

Mühəndislik məqsədi funksiyalardan maksimum istifadə etmək deyil. Məqsəd proqnozlaşdırılan rabitə, məhdudlaşdırılmış idarəetmə girişi və prosesi pozmadan nasazlıqları diaqnostika etmək üçün kifayət qədər məlumat əldə etməkdir.

Qatlı dizayn sahə idarəetməsini, nəzarət sistemlərini, obyekt əməliyyatlarını və müəssisə məlumat mübadiləsini bir-birindən ayırır.

Trafik və nəticələrlə başlayın

Kommutator parametrlərini dəyişməzdən əvvəl hər bir kontrolleri, HMI-ni, məlumat arxivçisini, mühəndis iş stansiyasını, şlüzü və uzaqdan giriş yolunu sənədləşdirin. Tələb olunan protokolları, əlaqəli qurğuları, yenilənmə tezliklərini, multicast davranışını və bərpa gözləntilərini qeyd edin.

Bu inventarlaşdırma şəbəkə seqmentasiyasını mühəndislik qərarına çevirir. Marşrutlaşdırma və firewall qaydaları nəzərdə tutulan rabitə yollarını tətbiq etmədikdə, VLAN təkbaşına təhlükəsizlik sərhədi deyil.

NIST SP 800-82 Rev. 3 OT təhlükəsizliyini məhsuldarlıq, etibarlılıq və təhlükəsizlik kontekstində təsvir edir. CISA təlimatında da kritik sistemlərlə müəssisə xidmətləri arasında seqmentasiya və idarə olunan məlumat mübadiləsi vurğulanır.

İdarəetməni proses trafikindən ayırın

Kommutatorun idarəetmə interfeyslərini ayrıca idarəetmə şəbəkəsinə yerləşdirin. Girişi yalnız müəyyən edilmiş firewall və ya girişə nəzarət siyahıları vasitəsilə səlahiyyətli inzibati hostlarla məhdudlaşdırın.

İstifadə olunmayan idarəetmə xidmətlərini deaktiv edin. Kommutator onları dəstəkləyirsə, SSH və HTTPS-ə üstünlük verin. Telnet və şifrələnməmiş HTTP-dən çəkinin, çünki istifadəçi məlumatları və sessiyalar ifşa oluna bilər.

Standart giriş məlumatlarını dəyişdirin, adlandırılmış hesablardan istifadə edin və rola əsaslanan icazələr tətbiq edin. Mərkəzləşdirilmiş autentifikasiya hesabatlılığı yaxşılaşdıra bilər, lakin autentifikasiya xidməti əlçatan olmadıqda obyektin sənədləşdirilmiş bərpa üsuluna da ehtiyacı var.

Yerli girişi qoruyun

Konsol girişi işə salma və şəbəkə nasazlığı zamanı hələ də dəyərlidir. Buna görə fiziki girişə nəzarət edilməli və yerli giriş məlumatları ehtiyatsızlıqla paylaşılmamalıdır.

Saxlanılmış konfiqurasiyada nümayiş parolları və ya istehsalçının standart məlumatları olmamalıdır. Bərpa üçün istifadə olunan giriş məlumatlarını obyektin təsdiqlənmiş giriş prosesinə uyğun saxlayın.

Əməliyyatlara uyğun seqmentasiyadan istifadə edin

Qurğuları funksiyasına, nəticələrinə və rabitə ehtiyacına görə qruplaşdırın. Nümunələrə kontroller hüceyrələri, mühafizə sistemləri, nəzarət serverləri, təhlükəsizliklə əlaqəli avadanlıqlar və texniki xidmət girişi daxildir.

Bütün qurğular sənaye Ethernet-indən istifadə edir deyə düz plant VLAN-ı yaratmayın. Bu halda təhlükəyə məruz qalmış iş stansiyası və ya yayım fırtınası birbaşa rabitəyə heç vaxt ehtiyacı olmayan avadanlıqlara da çata bilər.

İdarəetmə VLAN-ına yalnız təsdiqlənmiş inzibati yollarla giriş mümkün olmalıdır.

Multicast protokolları mövcud olduqda IGMP snooping-i, querier-in yerləşdirilməsini və ehtiyatlılıq davranışını yoxlayın. Səhv multicast dizaynı adi unicast testləri uğurlu olsa belə, portları həddən artıq yükləyə və ya G/Ç-ni dayandıra bilər.

Müvafiq interfeys və şlüz avadanlıqlarını Communication & Networking kolleksiyasında nəzərdən keçirmək olar. Kontroller platformaları PLC & PAC Systems bölməsində qruplaşdırılıb.

Ehtiyatlılığı sistem kimi layihələndirin

Ehtiyatlı bağlantılar sənədləşdirilmiş protokol və sınaqdan keçirilmiş keçid müddəti tələb edir. Dövrə mühafizəsi olmadan paralel kabellərin əlavə edilməsi dayanıqlılıq əvəzinə yayım fırtınası yarada bilər.

Şəbəkənin Rapid Spanning Tree, istehsalçının halqa protokolundan, Media Redundancy Protocol-dan və ya başqa üsuldan istifadə edib-etmədiyini yoxlayın. İştirak edən bütün kommutatorlar arasında uyğunluğu təsdiqləyin.

Kabel nasazlığını, kommutatorun enerji itkisini, bloklanmış portun bərpasını və yenidən qoşulmanı sınaqdan keçirin. Yalnız kommutatorun bildirdiyi keçid müddətini deyil, paket itkisini və kontrollerin davranışını da qeyd edin.

Jurnallaşdırma və vaxt sinxronizasiyası diaqnostikanı dəstəkləyir

Mümkün olduqda kommutator hadisələrini qorunan jurnallaşdırma sisteminə göndərin. Faydalı hadisələrə bağlantı dəyişiklikləri, autentifikasiya uğursuzluqları, konfiqurasiya dəyişiklikləri, topologiya keçidləri və enerji siqnalları daxildir.

Ardıcıl vaxt göstəricisi vacibdir. Sinxronlaşdırılmış saatlar olmadıqda operator kommutator keçidini PLC xətaları, HMI həyəcan siqnalları və ya firewall hadisələri ilə etibarlı şəkildə əlaqələndirə bilməz.

SNMP qəsdən və planlı şəkildə konfiqurasiya edilməlidir. İdarəetmə stansiyalarını məhdudlaşdırın və dəstəkləndikdə autentifikasiyalı, şifrələnmiş versiyalardan istifadə edin. Geniş yazma girişini açıq saxlamayın.

Gizli risk yaratmadan dəyişiklikləri istismara verin

İşə başlamazdan əvvəl işlək konfiqurasiyanın ehtiyat nüsxəsini yaradın. Kommutatorun modelini, proqram təminatını, aktiv konfiqurasiyanı, qoşulmuş portları və geri qaytarma üsulunu qeyd edin.

Dəyişiklikləri təsdiqlənmiş texniki xidmət pəncərəsində tətbiq edin. Hər əsas addımdan sonra proses rabitəsini, həyəcan siqnallarının çatdırılmasını, məlumat arxivinin yenilənməsini, ehtiyatlılığı, uzaqdan girişi və vaxt sinxronizasiyasını yoxlayın.

Proqram təminatı yeniləmələri kontroller dəyişiklikləri qədər intizam tələb edir. İstehsalçı bildirişlərini nəzərdən keçirin, hədəf versiyanı laboratoriyada sınaqdan keçirin və bərpa təsvirinin mövcud olduğunu təsdiqləyin.

Müəllifin rəyi: idarə olunan kommutatorlar konfiqurasiyası başadüşülən və bərpa edilə bilən olduqda dəyər yaradır. Məsul şəxsi, ehtiyat nüsxələri və sınaqdan keçirilmiş nasazlıq davranışı olmayan mürəkkəb dizaynı idarə etmək sənədləşdirilmiş daha sadə şəbəkədən çətindir.