Számos automatizálási és üzemirányítási mérnök számára az ipari hálózatkezelés és kiberbiztonság összetett világában való eligazodás komoly kihívást jelenthet. Míg a hagyományos informatikai részlegek a kereskedelmi irodai adatokhoz kialakított, bevált keretrendszerek szerint működnek, az operatív technológiai (OT) környezet teljesen eltérő megközelítést igényel. Üzemi környezetben egy egyszerű hálózati probléma nem csupán egy kézbesítetlen e-mailt jelenthet; katasztrofális termelésleállást, berendezéskárosodást vagy súlyos biztonsági kockázatokat is okozhat.

A biztonságos és megbízható működés megteremtéséhez a vezérlőrendszereknek el kell mozdulniuk a lapos, szegmentálatlan hálózati architektúráktól. A modern ipari létesítmények nagymértékben támaszkodnak ipari tűzfalakra, amelyek szigorú határvédelmet biztosítanak, védik a régebbi feldolgozóegységeket, és magas rendelkezésre állást tartanak fenn a kritikus termelési sorokon.

A tűzfalak alapvető szerepe az ipari automatizálásban

Alapvetően az ipari tűzfal olyan speciális hardver- vagy szoftvereszköz, amely előre meghatározott biztonsági szabályok alapján figyeli, szűri és szabályozza a bejövő és kimenő hálózati forgalmat. A hagyományos vállalati környezetekkel ellentétben, ahol mindenekelőtt az adatok bizalmassága a fontos, az ipari tűzfalak az üzembiztonságot, a determinisztikus teljesítményt és a maximális üzemidőt helyezik előtérbe.

Nyílt, szegmentálatlan hálózatban az üzemterület bármely eszköze korlátozás nélkül kommunikálhat bármely másik eszközzel. Bár ez kezdetben egyszerűvé teszi a helyszíni hibakeresést, jelentős üzemeltetési kockázatokat vezet be. Egyetlen feltört laptop vagy hibás terepi műszer eláraszthatja a hálózatot, működésképtelenné téve a kritikus programozható logikai vezérlőket (PLC-ket) vagy az elosztott vezérlőrendszer (DCS) csomópontjait. Az ipari tűzfalak helyi forgalomirányítóként működnek, biztosítva, hogy a kritikus folyamatterületek között csak ellenőrzött, szükséges vezérlőüzenetek haladjanak át.

1. ábra. Az ipari tűzfal alapelve, amely határokat kényszerít ki a különböző hálózati rétegek között.

A különbségek értékelése: ipari és informatikai tűzfalak

A TCP/IP-protokollcsomagot használó hálózati csomag szerkezeti formátuma azonos marad, akár egy vállalati adatközponton, akár egy megerősített gyári hálózaton halad keresztül. A környezeti feltételek, a protokollkövetelmények és az üzemeltetési prioritások azonban drasztikusan eltérnek e területeken.

Egy szabványos otthoni hálózatban az üvegszálas vagy DSL-útválasztó beépített tűzfala egyszerű, automatizált szabályokat követ: engedélyezi, hogy a belső eszközök külső kapcsolatokat létesítsenek a nyilvános internettel, de blokkolja a külső IP-címekről érkező, kezdeményezetlen bejövő kapcsolódási kísérleteket. Kereskedelmi irodai környezetben a vállalati tűzfalak kezelik a felhasználói hozzáférést a helyi fájltárolókhoz, nyomtatási sorokhoz és webszerverekhez, naplózzák a gyanús forgalmat, blokkolják a jogosulatlan külső domaineket, miközben optimalizálják az üzleti alkalmazások átviteli sebességét.

Ezzel szemben az ipari OT-hálózatokhoz a biztonsági infrastruktúra teljesen különálló osztályára van szükség. Az ipari tűzfalaknak kezelniük kell az olyan szabadalmaztatott, valós idejű automatizálási protokollokat, mint a Modbus TCP, az EtherNet/IP, a PROFINET és az OPC UA. Emellett megbízhatóan kell működniük zord környezetben, szélsőséges hőmérséklet, erős elektromágneses interferencia (EMI) és jelentős mechanikai rezgések mellett. Továbbá, míg egy informatikai tűzfalat gyakran frissítenek vagy csúcsidőn kívül újraindítanak, egy OT-tűzfalnak hónapokon vagy éveken át folyamatosan kell működnie a váratlan folyamatmegszakítások elkerülése érdekében.

Mély csomagvizsgálat és állapotalapú szűrési mechanizmusok

Az ipari tűzfalak a csomagszűrés több, egymásra épülő szintjét alkalmazzák az üzemi eszközök rosszindulatú parancsokkal és hálózati rendellenességekkel szembeni védelmére:

• Hagyományos csomagszűrés: Ez az alapvető mechanizmus az egyes csomagokat egymástól függetlenül vizsgálja. A tűzfal ellenőrzi a forrás- és cél-IP-címeket, valamint a TCP- vagy UDP-portok konkrét számait, majd hozzáférés-vezérlési listával (ACL) összevetve meghatározza, hogy eldobja vagy továbbítsa-e a csomagot.
• Állapotalapú vizsgálatot végző tűzfalak: A csomagokat nem elszigetelt eseményekként kezelik, hanem nyomon követik az aktív hálózati kommunikációk állapotát. A kapcsolat teljes életciklusának figyelésével a tűzfal biztosítja, hogy a bejövő csomagok egy várt, előzetesen létrehozott munkamenethez tartozzanak, megelőzve a gyakori hamisításos támadásokat.
• Mély csomagvizsgálat (DPI): A rendkívül fejlett ipari tűzfalak a hálózati fejléceken túl közvetlenül az alkalmazási réteg adatforgalmába is betekintenek. Modbus TCP-forgalom vizsgálatakor például a DPI-tűzfal meg tudja különböztetni az ártalmatlan „Holding regiszterek olvasása” parancsot a potenciálisan veszélyes „Több regiszter írása” paranccsal, és blokkolhatja a jogosulatlan konfigurációmódosításokat még akkor is, ha azok jóváhagyott IP-címről érkeznek.
• Webalkalmazás-tűzfalak (WAF): A kizárólag az alkalmazási rétegben működő WAF-ok a HTTP- és HTTPS-forgalmat figyelik, hogy megvédjék a webes támadásoktól, SQL-befecskendezésektől és webhelyek közötti parancsfuttatási (XSS) sérülékenységektől a webképes vezérlőfelületeket, például a modern ember-gép interfészekben (HMI-kben) és peremátjárókban találhatókat.

E szűrési rétegek kiegészítésére számos modern OT-architektúra behatolásészlelő rendszereket (IDS) és behatolásmegelőző rendszereket (IPS) is alkalmaz. Míg a szabványos tűzfalak merev, szabályalapú blokádokat érvényesítenek, az IDS/IPS-platformok fejlett heurisztikát és alapmintázat-elemzést használnak a rendellenes viselkedés felismerésére. Ha egy vezérlő hirtelen nem kiosztott IP-címek után kezdi pásztázni a hálózatot, az IDS jelzi a rendellenességet az üzemi biztonsági csapatnak, az IPS pedig aktívan megszakíthatja a jogosulatlan munkamenetet, mielőtt a vírus elterjedne a vezérlőhálózaton.

Kétirányú forgalomkezelés és kimenőforgalom-szűrés

Az ipari biztonsági stratégiák gyakran elsősorban a bejövő forgalom szűrésére összpontosítanak, vagyis arra, hogy megakadályozzák a külső fenyegetések bejutását a helyi vezérlőhálózatba. A szigorú kimenőforgalom-szűrés érvényesítése — vagyis a vezérlési zónát elhagyó forgalom szabályozása — azonban ugyanilyen fontos a hatékony védelemhez.

Az ipari vezérlőhálózatok adatfolyamai a tipikus informatikai környezetekhez képest rendkívül kiszámíthatók és merevek. Egy terepi vezérlőnek ritkán kell kommunikációt kezdeményeznie a kijelölt alhálózatán kívül. Részletes kimenőforgalmi szabályok alkalmazásával a mérnök biztosíthatja, hogy még egy speciális automatizálási komponens feltörése esetén is — például egy szoftverjavításba ágyazott ellátásilánc-támadáson keresztül — képtelen legyen kapcsolatot létesíteni egy távoli parancs- és vezérlőszerverrel. Ez a korlátozás hatékonyan semlegesíti a fenyegetést, helyben tartja, és megakadályozza annak oldalirányú terjedését az üzem teljesebb architektúrájában.

Elhelyezés az ipari hálózatok architektúrájában

Az ipari tűzfalakat az automatizálási hierarchia stratégiai pontjain helyezik el, hogy egyértelmű határokat hozzanak létre az elkülönülő üzemi zónák között:

2. ábra. Elszigetelt hálózati alszegmens, amely a helyi vezérlőfelületek csomagfeldolgozási terhelésének minimalizálására szolgál.

Míg az elsődleges terepi vezérlők a feldolgozási sebességet és a determinisztikus biztonságot helyezik előtérbe a beépített kriptográfiai szűréssel szemben, a biztonságot dedikált infrastruktúra-komponenseknek kell kezelniük. A szegmentált architektúrákban a felügyelt hálózati kapcsolók ACL-ekkel biztosítják az alapvető portszintű védelmet. A valódi hálózati határokat azonban az eltérő üzemi zónák metszéspontjain elhelyezett dedikált ipari átjárók, útválasztók és megerősített tűzfalak tartják fenn.

A régebbi feldolgozósorokat fenntartó mérnökök számára a dedikált kommunikációs és hálózati komponensek telepítése továbbra is a modern hálózatszegmentálási stratégiák kritikus része. Ezek a hardveres rétegek biztosítják, hogy a kritikus feldolgozóeszközök védve legyenek a szükségtelen hálózati forgalomtól, így belső processzoraik kizárólag a nagy sebességű végrehajtási feladatokra összpontosíthatnak.

A hálózati zónák összehangolása az IEC 62443 szabvánnyal

A modern ipari hálózattervezés nagymértékben támaszkodik a nemzetközi IEC 62443 szabványra, amely átfogó keretrendszert biztosít az ipari automatizálási és vezérlőrendszerek (IACS) védelméhez. A szabvány alapelve a „zónák és összekötő csatornák” modellje. A zóna olyan logikai vagy fizikai eszközcsoport, amely hasonló biztonsági követelményeket támaszt, míg az összekötő csatorna e zónák közötti kommunikációs útvonalat jelenti.

Az ipari tűzfalak ezen összekötő csatornák elsődleges fizikai őrei. Ha minden csatornaátmenetnél tűzfalat helyeznek el, az üzem mérnökei biztosíthatják, hogy az eltérő kockázati profilú eszközök ne kommunikálhassanak ellenőrizetlenül. Egy létesítmény például külön funkcionális zónák létrehozásával elszigetelheti kritikus feldolgozóberendezéseit a felügyeleti rendszerektől:

• PLC-hálózati zóna: Nagy sebességű, valós idejű feldolgozóvezérlőket tartalmaz, amelyek precíz fizikai mozgásokat és reteszelésen alapuló biztonsági mechanizmusokat kezelnek.
• DCS-hálózati zóna: Folyamatos folyamatműveleteket, szabályozó vezérlőket és több technológiai egység elosztott I/O-blokkjait foglalja magában.
• SCADA-hálózati zóna: Felügyeleti számítógépeket, regionális adatarchívumokat és a központi vezérlőterem HMI-szervereit foglalja magában.
• Turbinamonitorozási hálózati zóna: A nagy sebességű gépvédelmi feladatokra szolgál, és folyamatos rezgésadatokat, tengelyelmozdulásokat, valamint kritikus termodinamikai mérőszámokat rögzít.

Vállalati szintű gyártói telepítések és alkalmazási profilok

A robusztus biztonsági stratégia megvalósításához az egyes vezérlési rétegekhez és gyártói ökoszisztémákhoz igazított, speciális hardvereket kell telepíteni. A nagy sebességű, diszkrét gyártósorokat működtető létesítmények például gyakran dedikált tűzfalakat helyeznek el közvetlenül a fő processzorállványok elé. Egy Allen-Bradley ControlLogix-platformon a mérnökök gyakran közvetlenül a 1756-EN2T vagy 1756-EN3TR kommunikációs modulok elé helyezik az ipari biztonsági eszközöket. Ez az architektúra védi az EtherNet/IP-forgalmat a váratlan adásszórási viharoktól, és blokkolja a nem jóváhagyott alhálózatokról érkező, jogosulatlan CIP-firmware-módosítási parancsokat.

Hasonlóképpen, a folyamatos feldolgozóhálózatok védelméhez rendszerszintű, mély integrációra van szükség. Egy Siemens Simatic S7-hálózattal működő üzemben rendszeresen használnak olyan megerősített biztonsági modulokat, mint a Scalance S sorozat, biztonságos összekötő csatornák létrehozására. Ezek az eszközök mély csomagvizsgálatot végeznek az S7-kommunikációs protokollokon, biztosítva, hogy csak hitelesített mérnöki állomások állíthassák az S7-1500 vagy S7-300 CPU-t STOP állapotba, illetve írhassák felül a helyi blokklogikát.

Ez a szigorú zónaelszigetelés a nagy léptékű elosztott architektúrák esetében is ugyanilyen fontos. Egy átfogó ABB 800xA AC 800M-ökoszisztémában a tűzfalakat a nagy sebességű vezérlőhálózat és az üzem szélesebb hálózata közötti elszigetelésre telepítik. Ez a kialakítás biztosítja, hogy a kritikus MMS- és RNRP-vezérlési kommunikáció teljesen védve legyen az irodai üzleti forgalomtól. Hasonlóképpen, egy Honeywell Experion PKS C300 Series C rendszert alkalmazó vállalat jellemzően dedikált tűzfalrendszerekkel védi a hibatűrő Ethernet (FTE) infrastruktúrát, megakadályozva, hogy a külső hálózati jitter megzavarja a C300 vezérlők determinisztikus végrehajtási ciklusait.

Végfelhasználói vezérlés, hosszú távú szabálykarbantartás és konfiguráció-ellenőrzések

Az ipari tűzfalak a konkrét kialakításuktól függően eltérő szintű felhasználói vezérlést kínálnak. Míg számos modern rendszer az üzemi személyzet számára kialakított, egyszerűsített grafikus felhasználói felülettel rendelkezik, a fejlett biztonsági eszközök lehetővé teszik a mérnökök számára, hogy részletes szabálykészleteket hozzanak létre egészen az ipari csomag hasznos adatrészében található konkrét hexadecimális kódokig és parancsstruktúrákig.

Stabil üzemi környezetekben, ahol a fizikai hálózati topológia és a terepi berendezések ritkán változnak, a tűzfal-konfigurációk hosszú ideig változatlanok maradhatnak. Új, skidre szerelt hardverek integrálásakor, egy PLC-program módosításakor vagy amikor egy külső támogatási technikusnak biztonságos VPN-en keresztül ideiglenes távoli hozzáférésre van szüksége, a tűzfal szabályait azonban ennek megfelelően módosítani kell.

A biztonsági állapot romlásának és a véletlenül megnyitott hozzáféréseknek a megelőzése érdekében kifejezetten ajánlottak a rendszeres konfiguráció-ellenőrzések. A biztonsági személyzetnek módszeresen át kell tekintenie az aktív szabálykészleteket annak biztosítására, hogy a karbantartási leállások során használt ideiglenes szabályokat visszavonták, így az ipari peremvédelem továbbra is teljes mértékben ellenálljon a kibertérből érkező új fenyegetéseknek.