راهنمای جامع فایروال‌های صنعتی و بخش‌بندی شبکه‌های فناوری عملیاتی (OT)

برای بسیاری از مهندسان اتوماسیون و کنترل فرایند، پیمایش در دنیای پیچیده شبکه‌های صنعتی و امنیت سایبری می‌تواند چالشی دلهره‌آور باشد. در حالی که واحدهای سنتی فناوری اطلاعات تحت چارچوب‌های تثبیت‌شده‌ای فعالیت می‌کنند که برای داده‌های اداری تجاری طراحی شده‌اند، محیط فناوری عملیاتی (OT) به رویکردی کاملاً متفاوت نیاز دارد. در محیط کارخانه، یک مشکل ساده شبکه فقط به معنای دریافت‌نشدن یک ایمیل نیست؛ بلکه می‌تواند به توقف فاجعه‌بار تولید، آسیب‌دیدن تجهیزات یا خطرات شدید ایمنی منجر شود.

برای ایجاد عملیاتی امن و قابل‌اعتماد، سیستم‌های کنترل باید از معماری‌های شبکه تخت و بدون بخش‌بندی فاصله بگیرند. تأسیسات صنعتی مدرن برای اعمال کنترل‌های مرزی سخت‌گیرانه، محافظت از واحدهای پردازشی قدیمی و حفظ دسترس‌پذیری بالا در خطوط حیاتی تولید، به‌شدت به فایروال‌های صنعتی متکی هستند.

نقش بنیادی فایروال‌ها در اتوماسیون صنعتی

در اصل، فایروال صنعتی یک تجهیز سخت‌افزاری یا نرم‌افزاری تخصصی است که برای پایش، فیلترکردن و کنترل ترافیک ورودی و خروجی شبکه بر اساس قوانین امنیتی ازپیش‌تعریف‌شده طراحی شده است. برخلاف محیط‌های استاندارد سازمانی که محرمانگی داده‌ها را بیش از هر چیز در اولویت قرار می‌دهند، فایروال‌های صنعتی ایمنی عملیاتی، عملکرد قطعی و بیشترین زمان کارکرد را در اولویت می‌گذارند.

یک شبکه باز و بدون بخش‌بندی به هر دستگاهی در سالن تولید اجازه می‌دهد بدون محدودیت با هر دستگاه دیگری ارتباط برقرار کند. هرچند این وضعیت عیب‌یابی اولیه تجهیزات میدانی را ساده می‌کند، خطرات عملیاتی عمیقی به همراه دارد. یک لپ‌تاپ آلوده یا ابزار میدانی معیوب می‌تواند شبکه را با سیل ترافیک مواجه کند و کنترل‌گرهای منطقی برنامه‌پذیر (PLCها) یا گره‌های سیستم کنترل توزیع‌شده (DCS) را از کار بیندازد. فایروال‌های صنعتی مانند مأموران محلی کنترل ترافیک عمل می‌کنند و اطمینان می‌دهند که فقط پیام‌های کنترلی تأییدشده و ضروری بین نواحی حیاتی فرایند جابه‌جا شوند.

بررسی تفاوت‌ها: فایروال‌های صنعتی در برابر فایروال‌های فناوری اطلاعات

یک بسته شبکه که از مجموعه TCP/IP استفاده می‌کند، چه در یک مرکز داده سازمانی جابه‌جا شود و چه در یک سالن کارخانه مقاوم‌سازی‌شده، قالب ساختاری یکسانی دارد. با این حال، شرایط محیطی، الزامات پروتکل و اولویت‌های عملیاتی در این دو حوزه تفاوتی چشمگیر دارند.

در یک شبکه مسکونی استاندارد، فایروال یکپارچه درون روتر فیبر یا DSL از قوانین ساده و خودکار پیروی می‌کند: به دستگاه‌های داخلی اجازه می‌دهد ارتباط‌های خارجی با اینترنت عمومی برقرار کنند، اما تلاش‌های اتصال ورودی آغازنشده از نشانی‌های IP خارجی را مسدود می‌کند. در محیط اداری تجاری، فایروال‌های سازمانی دسترسی کاربران به مخازن فایل محلی، صف‌های چاپ و وب‌سرورها را مدیریت می‌کنند، ترافیک مشکوک را ثبت می‌کنند و دامنه‌های خارجی غیرمجاز را مسدود می‌سازند؛ در عین حال، توان عملیاتی را برای برنامه‌های نرم‌افزاری کسب‌وکار بهینه می‌کنند.

در مقابل، یک شبکه OT صنعتی به رده‌ای کاملاً جداگانه از زیرساخت امنیتی نیاز دارد. فایروال‌های صنعتی باید پروتکل‌های اختصاصی و بلادرنگ اتوماسیون مانند Modbus TCP، EtherNet/IP، PROFINET و OPC UA را مدیریت کنند. آن‌ها همچنین باید در محیط‌های سخت، در معرض دماهای بسیار بالا یا پایین، تداخل الکترومغناطیسی شدید (EMI) و ارتعاش مکانیکی قابل‌توجه، به‌طور قابل‌اعتماد کار کنند. افزون بر این، در حالی که یک فایروال فناوری اطلاعات ممکن است مرتباً به‌روزرسانی شود یا در ساعات کم‌ترافیک راه‌اندازی مجدد شود، فایروال OT باید ماه‌ها یا سال‌ها به‌طور پیوسته کار کند تا از وقفه‌های پیش‌بینی‌نشده در فرایند جلوگیری شود.

بازرسی عمیق بسته و سازوکارهای فیلترکردن وضعیت‌مند

فایروال‌های صنعتی برای محافظت از دارایی‌های عملیاتی در برابر فرمان‌های مخرب و ناهنجاری‌های شبکه، از چندین سطح پیشرفته فیلترکردن بسته استفاده می‌کنند:

• فیلترکردن سنتی بسته: این سازوکار پایه، بسته‌های منفرد را به‌صورت جداگانه بررسی می‌کند. فایروال نشانی‌های IP مبدأ و مقصد و همچنین شماره‌های مشخص درگاه TCP یا UDP را بررسی کرده و آن‌ها را با فهرست کنترل دسترسی (ACL) مقایسه می‌کند تا مشخص شود بسته باید حذف یا ارسال شود.
• فایروال‌های بازرسی وضعیت‌مند: فایروال‌های وضعیت‌مند به‌جای مشاهده بسته‌ها به‌عنوان رویدادهایی جداگانه، وضعیت گفت‌وگوهای فعال شبکه را ردیابی می‌کنند. فایروال با پایش چرخه عمر کامل یک اتصال، اطمینان می‌دهد که بسته‌های ورودی بخشی از یک نشست موردانتظار و ازپیش‌برقرارشده هستند و از حملات رایج جعل هویت جلوگیری می‌کند.
• بازرسی عمیق بسته (DPI): فایروال‌های صنعتی بسیار پیشرفته، از هدرهای شبکه عبور کرده و مستقیماً داده محموله لایه کاربرد را می‌خوانند. برای مثال، هنگام بازرسی ترافیک Modbus TCP، یک فایروال DPI می‌تواند بین فرمان بی‌خطر «Read Holding Registers» و فرمان بالقوه خطرناک «Write Multiple Registers» تمایز قائل شود و حتی اگر این فرمان‌ها از یک نشانی IP تأییدشده آمده باشند، تغییرات پیکربندی غیرمجاز را مسدود کند.
• فایروال‌های برنامه وب (WAF): یک WAF که صرفاً در لایه کاربرد فعالیت می‌کند، ترافیک HTTP و HTTPS را برای محافظت از رابط‌های کنترلی دارای قابلیت وب، مانند رابط‌های موجود در رابط‌های انسان‌وماشین (HMI) مدرن و درگاه‌های لبه، در برابر سوءاستفاده‌های وب، تزریق SQL و آسیب‌پذیری‌های اسکریپت‌نویسی میان‌وبگاهی پایش می‌کند.

برای تکمیل این لایه‌های فیلتر، بسیاری از معماری‌های مدرن OT، سیستم‌های تشخیص نفوذ (IDS) و سیستم‌های جلوگیری از نفوذ (IPS) را نیز به‌کار می‌گیرند. در حالی که فایروال‌های استاندارد محاصره‌هایی سخت‌گیرانه و مبتنی بر قانون اعمال می‌کنند، یک سکوی IDS/IPS از روش‌های اکتشافی پیشرفته و تحلیل الگوهای مبنا برای شناسایی رفتارهای ناهنجار استفاده می‌کند. اگر یک کنترل‌گر ناگهان شروع به پویش شبکه برای یافتن نشانی‌های IP تخصیص‌نیافته کند، IDS این ناهنجاری را برای تیم امنیت کارخانه علامت‌گذاری می‌کند و IPS می‌تواند پیش از انتشار ویروس در سراسر شبکه کنترل، فعالانه وارد عمل شده و نشست غیرمجاز را خاتمه دهد.

مدیریت ترافیک دوسویه و فیلترکردن خروجی

راهبردهای امنیت صنعتی اغلب عمدتاً بر فیلترکردن ورودی تمرکز دارند؛ یعنی جلوگیری از ورود تهدیدهای خارجی به شبکه کنترل محلی. با این حال، اعمال فیلترکردن سخت‌گیرانه خروجی، یعنی کنترل ترافیک خارج‌شونده از ناحیه کنترل، نیز برای حفاظت قدرتمند به همان اندازه ضروری است.

شبکه‌های کنترل صنعتی در مقایسه با محیط‌های معمول فناوری اطلاعات، جریان‌های داده‌ای بسیار قابل‌پیش‌بینی و منسجمی دارند. یک کنترل‌گر میدانی به‌ندرت لازم است خارج از زیرشبکه تعیین‌شده خود ارتباطی را آغاز کند. مهندس با اعمال قوانین خروجی دقیق می‌تواند اطمینان دهد که حتی اگر یک جزء تخصصی اتوماسیون به خطر بیفتد ــ برای مثال از طریق سوءاستفاده زنجیره تأمینِ تعبیه‌شده در یک وصله نرم‌افزاری ــ قادر به برقراری ارتباط با سرور فرمان و کنترل راه دور نخواهد بود. این مهار، تهدید را عملاً خنثی و آن را محلی می‌کند و از حرکت جانبی در معماری گسترده‌تر کارخانه جلوگیری به عمل می‌آورد.

جایگاه معماری در شبکه‌های صنعتی

فایروال‌های صنعتی در نقاط راهبردی سراسر سلسله‌مراتب اتوماسیون مستقر می‌شوند تا میان نواحی عملیاتی متمایز، مرزهای روشنی ایجاد کنند:

در حالی که کنترل‌گرهای میدانی اصلی، سرعت پردازش و ایمنی قطعی را بر فیلترکردن رمزنگارانه داخلی ترجیح می‌دهند، رسیدگی به امنیت باید بر عهده اجزای زیرساختی اختصاصی باشد. در معماری‌های بخش‌بندی‌شده، سوئیچ‌های شبکه مدیریت‌شده امنیت پایه در سطح درگاه را از طریق ACLها فراهم می‌کنند. با این حال، مرزهای واقعی شبکه به‌وسیله درگاه‌ها، روترها و فایروال‌های صنعتی مقاوم‌سازی‌شده و اختصاصی حفظ می‌شوند که در محل تقاطع نواحی عملیاتی مختلف قرار دارند.

برای مهندسانی که خطوط پردازشی قدیمی را نگهداری می‌کنند، استقرار اجزای اختصاصی ارتباطات و شبکه‌سازی همچنان بخش مهمی از راهبردهای مدرن بخش‌بندی شبکه است. این لایه‌های سخت‌افزاری تضمین می‌کنند که دارایی‌های حیاتی پردازش از ترافیک غیرضروری شبکه در امان بمانند و پردازنده‌های داخلی آن‌ها بتوانند کاملاً بر وظایف اجرای پرسرعت تمرکز کنند.

هم‌راستاسازی نواحی شبکه با استاندارد IEC 62443

طراحی شبکه صنعتی مدرن به‌شدت بر استاندارد بین‌المللی IEC 62443 تکیه دارد؛ استانداردی که چارچوبی جامع برای ایمن‌سازی سیستم‌های اتوماسیون و کنترل صنعتی (IACS) ارائه می‌دهد. اصل اصلی این استاندارد، مدل «نواحی و مجراها» است. یک ناحیه، گروه‌بندی منطقی یا فیزیکی دارایی‌هایی است که الزامات امنیتی مشابهی دارند، در حالی که یک مجرا مسیر ارتباطی میان آن نواحی را نشان می‌دهد.

فایروال‌های صنعتی، نگهبانان فیزیکی اصلی این مجراها هستند. مهندسان کارخانه با قرار دادن یک فایروال در هر محل عبور از مجرا اطمینان می‌دهند که دارایی‌هایی با سطوح ریسک متفاوت، نتوانند بدون کنترل با یکدیگر ارتباط برقرار کنند. برای مثال، یک تأسیسات می‌تواند تجهیزات حیاتی پردازش را با ایجاد نواحی عملکردی مجزا از سیستم‌های پایش جدا کند:

• ناحیه شبکه PLC: شامل کنترل‌گرهای پردازش بلادرنگ و پرسرعتی که حرکات فیزیکی دقیق و سازوکارهای ایمنی اینترلاک را مدیریت می‌کنند.
• ناحیه شبکه DCS: محل استقرار عملیات فرایندی پیوسته، پردازنده‌های کنترل تنظیمی و بلوک‌های I/O توزیع‌شده در چندین واحد عملیاتی.
• ناحیه شبکه SCADA: دربرگیرنده رایانه‌های نظارتی، تاریخچه‌نگارهای داده منطقه‌ای و سرورهای HMI اتاق کنترل مرکزی.
• ناحیه شبکه پایش توربین: اختصاص‌یافته به حفاظت پرسرعت ماشین‌آلات و ثبت داده‌های پیوسته ارتعاش، جابه‌جایی محور و شاخص‌های حیاتی ترمودینامیکی.

استقرارهای گسترده سازمانی فروشندگان و پروفایل‌های کاربردی

اجرای یک راهبرد امنیتی قدرتمند به استقرار سخت‌افزار تخصصی متناسب با لایه‌های کنترلی و زیست‌بوم فروشندگان خاص نیاز دارد. برای نمونه، تأسیساتی که خطوط تولید گسسته و پرسرعت را راه‌اندازی می‌کنند، اغلب فایروال‌های اختصاصی را مستقیماً جلوی رک‌های اصلی پردازنده نصب می‌کنند. در یک سکوی Allen-Bradley ControlLogix، مهندسان معمولاً تجهیزات امنیتی صنعتی را بلافاصله پیش از ماژول‌های ارتباطی 1756-EN2T یا 1756-EN3TR قرار می‌دهند. این معماری از ترافیک EtherNet/IP در برابر طوفان‌های پخشی غیرمنتظره محافظت کرده و فرمان‌های غیرمجاز تغییر میان‌افزار CIP را از زیرشبکه‌های تأییدنشده مسدود می‌کند.

به‌طور مشابه، حفاظت از شبکه‌های پردازش پیوسته به یکپارچه‌سازی عمیق در سطح سیستم نیاز دارد. در کارخانه‌ای که شبکه Siemens Simatic S7 دارد، ماژول‌های امنیتی مقاوم‌سازی‌شده‌ای مانند سری Scalance S به‌طور معمول برای ایجاد مجراهای امن به‌کار می‌روند. این تجهیزات بازرسی عمیق بسته را روی پروتکل‌های ارتباطی S7 انجام می‌دهند و اطمینان می‌دهند که فقط ایستگاه‌های مهندسی تأییدشده می‌توانند CPUهای S7-1500 یا S7-300 را به وضعیت STOP منتقل کنند یا منطق بلوک‌های محلی را بازنویسی نمایند.

این جداسازی سخت‌گیرانه نواحی برای معماری‌های توزیع‌شده بزرگ‌مقیاس نیز به همان اندازه حیاتی است. در یک زیست‌بوم جامع ABB 800xA AC 800M، فایروال‌ها برای جداسازی شبکه کنترل پرسرعت از شبکه گسترده‌تر کارخانه مستقر می‌شوند. این تنظیمات تضمین می‌کند که ارتباطات کنترلی حیاتی MMS و RNRP کاملاً از ترافیک تجاری اداری جدا بمانند. همچنین، سازمانی که سیستم Honeywell Experion PKS C300 Series C را به‌کار می‌گیرد، معمولاً از سیستم‌های فایروال اختصاصی برای حفاظت از زیرساخت اترنت تحمل‌پذیر در برابر خطا (FTE) استفاده می‌کند و از به‌خطر افتادن چرخه‌های اجرای قطعی کنترل‌گرهای C300 در اثر نوسان خارجی شبکه جلوگیری می‌نماید.

کنترل کاربر نهایی، نگهداری بلندمدت قوانین و ممیزی پیکربندی

فایروال‌های صنعتی بسته به طراحی خاص خود، سطوح متفاوتی از کنترل کاربر ارائه می‌دهند. در حالی که بسیاری از سیستم‌های مدرن دارای رابط‌های گرافیکی کاربری ساده‌شده و متناسب با کارکنان کارخانه هستند، تجهیزات امنیتی پیشرفته به مهندسان اجازه می‌دهند مجموعه‌قوانین دقیقی را تا سطح کدهای هگزادسیمال خاص و ساختار فرمان‌ها درون محموله بسته صنعتی ایجاد کنند.

در محیط‌های پایدار کارخانه که توپولوژی فیزیکی شبکه و تجهیزات میدانی به‌ندرت تغییر می‌کنند، پیکربندی فایروال‌ها می‌تواند برای مدت‌های طولانی ثابت بماند. با این حال، هرگاه سخت‌افزار جدید نصب‌شده روی اسکید یکپارچه شود، برنامه PLC تغییر کند یا یک تکنسین پشتیبانی خارجی به دسترسی موقت از راه دور از طریق VPN امن نیاز داشته باشد، قوانین فایروال باید متناسب با آن تغییر داده شوند.

برای جلوگیری از انحراف امنیتی و بازشدن تصادفی مسیرها، انجام ممیزی‌های منظم پیکربندی اکیداً توصیه می‌شود. کارکنان امنیتی باید مجموعه‌قوانین فعال را به‌صورت منظم بررسی کنند تا اطمینان یابند قوانین موقتی استفاده‌شده در زمان توقف‌های تعمیراتی لغو شده‌اند و پیرامون صنعتی همچنان در برابر تهدیدهای نوظهور امنیت سایبری کاملاً مستحکم باقی مانده است.