Dla wielu inżynierów automatyki i sterowania instalacjami przemysłowymi poruszanie się po złożonym świecie sieci przemysłowych i cyberbezpieczeństwa może być trudnym wyzwaniem. Podczas gdy tradycyjne działy IT działają w ramach ugruntowanych struktur zaprojektowanych z myślą o danych komercyjnych biur, środowisko technologii operacyjnych (OT) wymaga zupełnie innego podejścia. W zakładzie prosty problem z siecią nie oznacza jedynie niedostarczonego e-maila — może doprowadzić do katastrofalnego zatrzymania produkcji, uszkodzenia urządzeń lub poważnych zagrożeń dla bezpieczeństwa.

Aby zapewnić bezpieczne i niezawodne działanie, systemy sterowania muszą odejść od płaskich, niesegmentowanych architektur sieciowych. Nowoczesne zakłady przemysłowe w dużej mierze polegają na przemysłowych zaporach sieciowych, które egzekwują ścisłą kontrolę granic, chronią starsze jednostki przetwarzające i utrzymują wysoką dostępność na kluczowych liniach produkcyjnych.

Podstawowa rola zapór sieciowych w automatyce przemysłowej

W swojej istocie przemysłowa zapora sieciowa to wyspecjalizowany sprzęt lub oprogramowanie przeznaczone do monitorowania, filtrowania i kontrolowania przychodzącego oraz wychodzącego ruchu sieciowego na podstawie wcześniej zdefiniowanych reguł bezpieczeństwa. W przeciwieństwie do standardowych środowisk korporacyjnych, które przede wszystkim stawiają na poufność danych, przemysłowe zapory sieciowe priorytetowo traktują bezpieczeństwo operacyjne, deterministyczną wydajność i maksymalny czas bezawaryjnej pracy.

Otwarta, niesegmentowana sieć pozwala każdemu urządzeniu na hali produkcyjnej komunikować się bez ograniczeń z dowolnym innym urządzeniem. Choć upraszcza to początkowe diagnozowanie problemów w terenie, stwarza poważne zagrożenia operacyjne. Jeden przejęty laptop lub niesprawny przyrząd polowy może zalać sieć ruchem, wyłączając kluczowe programowalne sterowniki logiczne (PLC) lub węzły rozproszonego systemu sterowania (DCS). Przemysłowe zapory sieciowe działają jak lokalni kontrolerzy ruchu, zapewniając, że między krytycznymi obszarami procesu przemieszczają się wyłącznie zweryfikowane i niezbędne komunikaty sterujące.

Rysunek 1. Podstawowa koncepcja przemysłowej zapory sieciowej egzekwującej granice między różnymi warstwami sieci.

Ocena różnic: przemysłowe i informatyczne zapory sieciowe

Pakiet sieciowy wykorzystujący stos TCP/IP zachowuje identyczny format strukturalny niezależnie od tego, czy przechodzi przez firmowe centrum danych, czy przez wzmocnioną sieć na hali fabrycznej. Jednak warunki środowiskowe, wymagania protokołów i priorytety operacyjne w tych domenach znacznie się różnią.

W standardowej sieci domowej zintegrowana zapora sieciowa w routerze światłowodowym lub DSL stosuje proste, zautomatyzowane reguły: zezwala urządzeniom wewnętrznym na nawiązywanie połączeń z publicznym internetem, ale blokuje niezainicjowane próby połączeń przychodzących z zewnętrznych adresów IP. W środowisku biurowym firmowe zapory korporacyjne zarządzają dostępem użytkowników do lokalnych repozytoriów plików, kolejek wydruku i serwerów WWW, rejestrują podejrzany ruch oraz blokują nieautoryzowane domeny zewnętrzne, jednocześnie optymalizując przepustowość dla aplikacji biznesowych.

Natomiast przemysłowa sieć OT wymaga całkowicie odrębnej klasy infrastruktury bezpieczeństwa. Przemysłowe zapory sieciowe muszą obsługiwać firmowe, działające w czasie rzeczywistym protokoły automatyki, takie jak Modbus TCP, EtherNet/IP, PROFINET i OPC UA. Muszą także niezawodnie działać w trudnych warunkach, przy ekstremalnych temperaturach, silnych zakłóceniach elektromagnetycznych (EMI) i znacznych wibracjach mechanicznych. Ponadto, podczas gdy zapora IT może być często aktualizowana lub ponownie uruchamiana poza godzinami szczytu, zapora OT musi działać nieprzerwanie przez miesiące lub lata, aby zapobiec nieoczekiwanym przerwom w procesie.

Głęboka inspekcja pakietów i mechanizmy filtrowania stanowego

Przemysłowe zapory sieciowe wykorzystują kilka zaawansowanych poziomów filtrowania pakietów, aby chronić zasoby operacyjne przed złośliwymi poleceniami i anomaliami sieciowymi:

• Tradycyjne filtrowanie pakietów: Ten podstawowy mechanizm analizuje poszczególne pakiety niezależnie od siebie. Zapora sprawdza źródłowe i docelowe adresy IP oraz konkretne numery portów TCP lub UDP, porównując je z listą kontroli dostępu (ACL), aby zdecydować, czy pakiet odrzucić, czy przekazać.
• Zapory z inspekcją stanową: Zamiast traktować pakiety jako odizolowane zdarzenia, zapory stanowe śledzą stan aktywnych rozmów sieciowych. Monitorując cały cykl życia połączenia, zapora zapewnia, że pakiety przychodzące są częścią oczekiwanej, wcześniej ustanowionej sesji, zapobiegając typowym atakom typu spoofing.
• Głęboka inspekcja pakietów (DPI): Wysoce zaawansowane przemysłowe zapory sieciowe analizują nie tylko nagłówki sieciowe, lecz także dane ładunku bezpośrednio w warstwie aplikacji. Na przykład podczas inspekcji ruchu Modbus TCP zapora DPI może rozróżnić nieszkodliwe polecenie „Read Holding Registers” od potencjalnie niebezpiecznego polecenia „Write Multiple Registers”, blokując nieautoryzowane zmiany konfiguracji, nawet jeśli pochodzą one z zatwierdzonego adresu IP.
• Zapory aplikacji internetowych (WAF): Działająca ściśle w warstwie aplikacji zapora WAF monitoruje ruch HTTP i HTTPS, aby chronić interfejsy sterowania obsługujące sieć, takie jak te spotykane w nowoczesnych interfejsach człowiek–maszyna (HMI) i bramach brzegowych, przed exploitami internetowymi, wstrzyknięciami SQL i podatnościami typu cross-site scripting.

W celu uzupełnienia tych warstw filtrowania wiele nowoczesnych architektur OT wykorzystuje systemy wykrywania włamań (IDS) i systemy zapobiegania włamaniom (IPS). Podczas gdy standardowe zapory egzekwują sztywne blokady oparte na regułach, platforma IDS/IPS stosuje zaawansowane heurystyki i analizę wzorców bazowych w celu wykrywania nietypowego zachowania. Jeśli sterownik nagle zacznie skanować sieć w poszukiwaniu nieprzypisanych adresów IP, IDS oznaczy anomalię dla zespołu ds. bezpieczeństwa zakładu, natomiast IPS może aktywnie przerwać nieautoryzowaną sesję, zanim wirus rozprzestrzeni się w sieci sterowania.

Dwukierunkowe zarządzanie ruchem i filtrowanie ruchu wychodzącego

Strategie bezpieczeństwa przemysłowego często koncentrują się przede wszystkim na filtrowaniu ruchu przychodzącego — zapobieganiu przedostawaniu się zewnętrznych zagrożeń do lokalnej sieci sterowania. Jednak egzekwowanie ścisłego filtrowania ruchu wychodzącego, czyli kontrolowanie ruchu opuszczającego strefę sterowania, jest równie ważne dla zapewnienia solidnej ochrony.

Przemysłowe sieci sterowania charakteryzują się wysoce przewidywalnymi i sztywnymi przepływami danych w porównaniu ze środowiskami typowymi dla IT. Sterownik polowy rzadko musi inicjować komunikację poza przypisaną mu podsiecią. Stosując szczegółowe reguły ruchu wychodzącego, inżynier może zagwarantować, że nawet w przypadku przejęcia wyspecjalizowanego komponentu automatyki — na przykład w wyniku exploita w łańcuchu dostaw ukrytego w poprawce oprogramowania — nie będzie on w stanie połączyć się zdalnie z serwerem sterowania i kontroli. Takie ograniczenie skutecznie neutralizuje zagrożenie, utrzymując je lokalnie i zapobiegając przemieszczaniu się w poprzek szerszej architektury zakładu.

Umiejscowienie w architekturze sieci przemysłowych

Przemysłowe zapory sieciowe rozmieszcza się w strategicznych punktach hierarchii automatyki, aby ustanowić wyraźne granice między odrębnymi strefami operacyjnymi:

Rysunek 2. Odizolowany podsegment sieci zaprojektowany w celu zminimalizowania narzutu przetwarzania pakietów w lokalnych interfejsach sterowania.

Podczas gdy główne sterowniki polowe stawiają szybkość przetwarzania i deterministyczne bezpieczeństwo ponad wbudowane filtrowanie kryptograficzne, za bezpieczeństwo muszą odpowiadać dedykowane komponenty infrastruktury. W architekturach segmentowanych zarządzalne przełączniki sieciowe zapewniają podstawowe bezpieczeństwo na poziomie portów za pomocą list kontroli dostępu (ACL). Prawdziwe granice sieci utrzymują jednak dedykowane przemysłowe bramy, routery i wzmocnione zapory sieciowe umieszczone na styku różnych stref operacyjnych.

Dla inżynierów utrzymujących starsze linie technologiczne wdrażanie dedykowanych komponentów komunikacji i sieci pozostaje kluczową częścią nowoczesnych strategii segmentacji sieci. Te warstwy sprzętowe zapewniają ochronę krytycznych zasobów przetwarzających przed niepotrzebnym ruchem sieciowym, umożliwiając ich wewnętrznym procesorom skupienie się wyłącznie na zadaniach szybkiego wykonywania.

Dostosowanie stref sieciowych do standardów IEC 62443

Nowoczesne projektowanie sieci przemysłowych w dużej mierze opiera się na międzynarodowym standardzie IEC 62443, który zapewnia kompleksowe ramy ochrony przemysłowych systemów automatyki i sterowania (IACS). Podstawową zasadą tego standardu jest model „Strefy i kanały komunikacyjne”. Strefa to logiczne lub fizyczne pogrupowanie zasobów o podobnych wymaganiach bezpieczeństwa, natomiast kanał komunikacyjny reprezentuje ścieżkę komunikacji między tymi strefami.

Przemysłowe zapory sieciowe pełnią funkcję głównych fizycznych strażników tych kanałów. Umieszczając zaporę na każdym przejściu między kanałami, inżynierowie zakładu zapewniają, że zasoby o różnych profilach ryzyka nie mogą komunikować się bez kontroli. Przykładowo zakład może odizolować krytyczne urządzenia procesowe od systemów monitorowania, tworząc odrębne strefy funkcjonalne:

• Strefa sieci PLC: Zawiera szybkie sterowniki przetwarzania w czasie rzeczywistym, obsługujące precyzyjne ruchy fizyczne i mechanizmy blokad bezpieczeństwa.
• Strefa sieci DCS: Obejmuje ciągłe operacje procesowe, regulatory oraz rozproszone bloki wejścia/wyjścia w wielu operacjach jednostkowych.
• Strefa sieci SCADA: Obejmuje komputery nadzorcze, regionalne serwery historii danych oraz serwery HMI centralnej sterowni.
• Strefa sieci monitorowania turbin: Jest przeznaczona do szybkiej ochrony maszyn, rejestruje ciągłe dane o drganiach, przemieszczeniach wału i kluczowych parametrach termodynamicznych.

Wdrożenia u dostawców w całym przedsiębiorstwie i profile aplikacji

Wdrożenie solidnej strategii bezpieczeństwa wymaga zastosowania wyspecjalizowanego sprzętu dostosowanego do konkretnych warstw sterowania i ekosystemów dostawców. Przykładowo zakłady eksploatujące szybkie, dyskretne linie produkcyjne często instalują dedykowane zapory bezpośrednio przed głównymi szafami procesorowymi. W ramach platformy Allen-Bradley ControlLogix inżynierowie często umieszczają przemysłowe urządzenia bezpieczeństwa bezpośrednio przed modułami komunikacyjnymi 1756-EN2T lub 1756-EN3TR. Taka architektura chroni ruch EtherNet/IP przed nieoczekiwanymi burzami rozgłoszeniowymi i blokuje nieautoryzowane polecenia modyfikacji oprogramowania sprzętowego CIP z niezatwierdzonych podsieci.

Podobnie ochrona sieci ciągłego przetwarzania wymaga głębokiej integracji na poziomie systemu. W zakładzie opartym na sieci Siemens Simatic S7 do ustanawiania bezpiecznych kanałów regularnie wykorzystuje się wzmocnione moduły bezpieczeństwa, takie jak seria Scalance S. Urządzenia te wykonują głęboką inspekcję pakietów protokołów komunikacyjnych S7, zapewniając, że tylko certyfikowane stacje inżynierskie mogą przełączyć procesor S7-1500 lub S7-300 w stan STOP albo nadpisać lokalną logikę bloków.

Tak ścisła izolacja stref jest równie ważna w rozproszonych architekturach na dużą skalę. W ramach kompleksowego ekosystemu ABB 800xA AC 800M zapory sieciowe wdraża się w celu odizolowania szybkiej sieci sterowania od szerszej sieci zakładowej. Takie rozwiązanie zapewnia całkowite odseparowanie krytycznej komunikacji sterującej MMS i RNRP od biurowego ruchu biznesowego. Podobnie przedsiębiorstwo wdrażające system Honeywell Experion PKS C300 Series C zazwyczaj korzysta z dedykowanych systemów zapór sieciowych do ochrony infrastruktury Fault Tolerant Ethernet (FTE), blokując zewnętrzne wahania opóźnień sieci, które mogłyby zakłócić deterministyczne cykle wykonywania sterowników C300.

Kontrola użytkownika końcowego, długoterminowe utrzymanie reguł i audyty konfiguracji

Przemysłowe zapory sieciowe oferują różne poziomy kontroli użytkownika, zależnie od ich konkretnej konstrukcji. Choć wiele nowoczesnych systemów ma uproszczone graficzne interfejsy użytkownika dostosowane do personelu zakładu, zaawansowane urządzenia bezpieczeństwa pozwalają inżynierom tworzyć szczegółowe zestawy reguł aż do poziomu konkretnych kodów szesnastkowych i struktur poleceń w ładunku przemysłowego pakietu.

W stabilnych środowiskach zakładowych, w których topologia sieci fizycznej i urządzenia polowe rzadko się zmieniają, konfiguracje zapór mogą pozostawać niezmienione przez długi czas. Jednak po zintegrowaniu nowego sprzętu montowanego na płozach, zmodyfikowaniu programu PLC lub uzyskaniu przez zewnętrznego technika wsparcia tymczasowego zdalnego dostępu za pośrednictwem bezpiecznej sieci VPN reguły zapory należy odpowiednio dostosować.

Aby zapobiegać degradacji poziomu bezpieczeństwa i przypadkowemu otwieraniu dostępu, zdecydowanie zaleca się regularne audyty konfiguracji. Personel ds. bezpieczeństwa powinien systematycznie przeglądać aktywne zestawy reguł, aby upewnić się, że tymczasowe reguły wykorzystywane podczas przestojów konserwacyjnych zostały wycofane, a obwód przemysłowy pozostał w pełni zabezpieczony przed pojawiającymi się zagrożeniami cybernetycznymi.