Memperkuat Switch Terkelola untuk Jaringan SCADA dan DCS

Switch Ethernet terkelola dalam jaringan SCADA atau DCS bukan sekadar pengganda port. Switch ini mengendalikan jalur lalu lintas, menyediakan diagnostik, dan dapat membatasi atau memperluas dampak kesalahan konfigurasi.

Tujuan rekayasa bukan menggunakan fitur sebanyak mungkin, melainkan memastikan komunikasi yang dapat diprediksi, membatasi akses manajemen, dan menyediakan bukti yang cukup untuk mendiagnosis kegagalan tanpa mengganggu proses.

Desain berlapis memisahkan kendali lapangan, sistem pengawasan, operasi lokasi, dan pertukaran data perusahaan.

Mulai dari lalu lintas dan konsekuensinya

Dokumentasikan setiap pengendali, HMI, server histori, stasiun kerja rekayasa, gateway, dan jalur akses jarak jauh sebelum mengubah pengaturan switch. Catat protokol yang diperlukan, perangkat yang berkomunikasi, laju pembaruan, perilaku multicast, dan ekspektasi pemulihan.

Inventaris ini mengubah segmentasi menjadi keputusan rekayasa. VLAN saja bukan batas keamanan kecuali aturan perutean dan firewall menegakkan jalur komunikasi yang dimaksud.

NIST SP 800-82 Rev. 3 menjelaskan keamanan OT dalam konteks kinerja, keandalan, dan keselamatan. Panduan CISA juga menekankan segmentasi dan pertukaran data yang terkendali antara sistem kritis dan layanan perusahaan.

Pisahkan manajemen dari lalu lintas proses

Tempatkan antarmuka manajemen switch di jaringan manajemen khusus. Izinkan akses hanya dari host administrasi yang berwenang melalui firewall atau daftar kontrol akses yang telah ditetapkan.

Nonaktifkan layanan manajemen yang tidak digunakan. Utamakan SSH dan HTTPS jika didukung oleh switch. Hindari Telnet dan HTTP tanpa enkripsi karena kredensial dan sesi dapat terekspos.

Ubah kredensial bawaan, gunakan akun bernama, dan terapkan izin berbasis peran. Autentikasi terpusat dapat meningkatkan akuntabilitas, tetapi pabrik juga memerlukan metode pemulihan yang terdokumentasi saat layanan autentikasi tidak tersedia.

Lindungi akses lokal

Akses konsol tetap berharga selama komisioning dan ketika jaringan gagal. Karena itu, akses fisik harus dikendalikan, dan kredensial lokal tidak boleh dibagikan sembarangan.

Konfigurasi tersimpan tidak boleh berisi kata sandi demonstrasi atau kredensial bawaan vendor. Simpan kredensial pemulihan sesuai proses akses yang disetujui lokasi.

Gunakan segmentasi yang sesuai dengan operasi

Kelompokkan perangkat berdasarkan fungsi, konsekuensi, dan kebutuhan komunikasi. Contohnya mencakup sel pengendali, sistem proteksi, server pengawasan, peralatan terkait keselamatan, dan akses pemeliharaan.

Jangan membuat VLAN pabrik yang datar hanya karena semua perangkat menggunakan Ethernet industri. Dengan demikian, stasiun kerja yang disusupi atau badai siaran dapat menjangkau peralatan yang sebenarnya tidak memerlukan komunikasi langsung.

VLAN manajemen seharusnya hanya dapat dijangkau melalui jalur administrasi yang disetujui.

Jika terdapat protokol multicast, verifikasi snooping IGMP, penempatan querier, dan perilaku redundansi. Desain multicast yang tidak tepat dapat membebani port atau mengganggu I/O meskipun pengujian unicast biasa berhasil.

Perangkat keras antarmuka dan gateway yang relevan dapat ditinjau dalam koleksi Komunikasi & Jaringan. Platform pengendali dikelompokkan dalam Sistem PLC & PAC.

Rekayasa redundansi sebagai suatu sistem

Tautan redundan memerlukan protokol yang terdokumentasi dan waktu konvergensi yang telah diuji. Menambahkan kabel paralel tanpa perlindungan loop dapat menimbulkan badai siaran, bukan ketahanan.

Periksa apakah jaringan menggunakan Rapid Spanning Tree, protokol ring vendor, Media Redundancy Protocol, atau metode lain. Pastikan kompatibilitas di setiap switch yang berpartisipasi.

Uji kegagalan kabel, hilangnya daya switch, pemulihan port yang diblokir, dan pemulihan layanan. Catat kehilangan paket dan perilaku pengendali, bukan hanya waktu konvergensi yang dilaporkan switch.

Pencatatan log dan sinkronisasi waktu mendukung diagnosis

Kirimkan peristiwa switch ke sistem pencatatan log yang terlindungi jika memungkinkan. Peristiwa yang berguna mencakup perubahan tautan, kegagalan autentikasi, perubahan konfigurasi, transisi topologi, dan alarm daya.

Waktu yang konsisten sangat penting. Tanpa jam yang tersinkronisasi, operator tidak dapat menyelaraskan transisi switch secara andal dengan gangguan PLC, alarm HMI, atau peristiwa firewall.

SNMP harus dikonfigurasi dengan sengaja. Batasi stasiun manajemen dan gunakan versi yang terautentikasi serta terenkripsi jika didukung. Hindari memberikan akses tulis yang luas.

Lakukan komisioning perubahan tanpa menciptakan risiko tersembunyi

Cadangkan konfigurasi yang sedang berjalan sebelum melakukan pekerjaan. Catat model switch, firmware, konfigurasi aktif, port yang terhubung, dan metode pengembalian.

Terapkan perubahan selama jendela kerja yang disetujui. Validasi komunikasi proses, penyampaian alarm, pembaruan histori, redundansi, akses jarak jauh, dan sinkronisasi waktu setelah setiap langkah utama.

Pembaruan firmware memerlukan disiplin yang sama seperti perubahan pada pengendali. Tinjau pemberitahuan vendor, uji versi yang dituju di laboratorium, dan pastikan citra pemulihan tersedia.

Pendapat penulis: switch terkelola memberikan nilai ketika konfigurasinya dapat dipahami dan dipulihkan. Desain rumit tanpa kepemilikan, cadangan, dan perilaku kegagalan yang telah diuji lebih sulit dioperasikan daripada jaringan yang lebih sederhana dan terdokumentasi.