สำหรับวิศวกรระบบอัตโนมัติและวิศวกรควบคุมโรงงานจำนวนมาก การรับมือกับโลกอันซับซ้อนของเครือข่ายอุตสาหกรรมและความมั่นคงปลอดภัยทางไซเบอร์อาจเป็นความท้าทายที่น่าหนักใจ แม้แผนกไอทีแบบดั้งเดิมจะทำงานภายใต้กรอบการทำงานที่จัดตั้งขึ้นสำหรับข้อมูลสำนักงานเชิงพาณิชย์ แต่สภาพแวดล้อมเทคโนโลยีปฏิบัติการ (OT) ต้องการแนวทางที่แตกต่างอย่างสิ้นเชิง ในสภาพแวดล้อมของโรงงาน ปัญหาเครือข่ายเล็กน้อยไม่ได้หมายถึงเพียงอีเมลส่งไม่ออกเท่านั้น แต่อาจส่งผลให้การผลิตหยุดชะงักอย่างรุนแรง อุปกรณ์เสียหาย หรือเกิดอันตรายร้ายแรงต่อความปลอดภัย

เพื่อให้การปฏิบัติงานมีความปลอดภัยและเชื่อถือได้ ระบบควบคุมต้องเปลี่ยนจากสถาปัตยกรรมเครือข่ายแบบแบนที่ไม่มีการแบ่งส่วน เครือข่ายโรงงานสมัยใหม่พึ่งพาไฟร์วอลล์อุตสาหกรรมอย่างมากเพื่อบังคับใช้การควบคุมขอบเขตอย่างเข้มงวด ปกป้องหน่วยประมวลผลรุ่นเก่า และรักษาความพร้อมใช้งานในระดับสูงตลอดสายการผลิตที่สำคัญ

บทบาทพื้นฐานของไฟร์วอลล์ในระบบอัตโนมัติอุตสาหกรรม

โดยพื้นฐานแล้ว ไฟร์วอลล์อุตสาหกรรมคืออุปกรณ์ฮาร์ดแวร์หรือซอฟต์แวร์เฉพาะทางที่ออกแบบมาเพื่อตรวจสอบ กรอง และควบคุมทราฟฟิกเครือข่ายขาเข้าและขาออกตามกฎความปลอดภัยที่กำหนดไว้ล่วงหน้า ต่างจากระบบองค์กรทั่วไปที่ให้ความสำคัญกับการรักษาความลับของข้อมูลเหนือสิ่งอื่นใด ไฟร์วอลล์อุตสาหกรรมให้ความสำคัญกับความปลอดภัยในการปฏิบัติงาน ประสิทธิภาพที่คาดการณ์ได้ และเวลาทำงานสูงสุด

เครือข่ายแบบเปิดที่ไม่มีการแบ่งส่วนทำให้อุปกรณ์ใด ๆ บนพื้นที่การผลิตสามารถสื่อสารกับอุปกรณ์อื่นได้โดยไม่มีข้อจำกัด แม้จะช่วยให้การแก้ไขปัญหาภาคสนามในเบื้องต้นทำได้ง่าย แต่ก็เพิ่มความเสี่ยงด้านการปฏิบัติงานอย่างมาก แล็ปท็อปที่ถูกเจาะระบบเพียงเครื่องเดียวหรือเครื่องมือภาคสนามที่ทำงานผิดปกติอาจส่งทราฟฟิกท่วมเครือข่ายจนทำให้ตัวควบคุมลอจิกที่โปรแกรมได้ (PLC) หรือโหนดระบบควบคุมแบบกระจาย (DCS) ที่สำคัญหยุดทำงาน ไฟร์วอลล์อุตสาหกรรมทำหน้าที่เสมือนตำรวจจราจรประจำพื้นที่ เพื่อให้แน่ใจว่ามีเพียงข้อความควบคุมที่ผ่านการตรวจสอบและจำเป็นเท่านั้นที่เคลื่อนผ่านระหว่างพื้นที่กระบวนการสำคัญ

รูปที่ 1 แนวคิดพื้นฐานของไฟร์วอลล์อุตสาหกรรมที่บังคับใช้ขอบเขตระหว่างเลเยอร์เครือข่ายต่าง ๆ

การประเมินความแตกต่าง: ไฟร์วอลล์อุตสาหกรรมกับไฟร์วอลล์ไอที

แพ็กเก็ตเครือข่ายที่ใช้ชุดโปรโตคอล TCP/IP มีโครงสร้างเหมือนกันทุกประการ ไม่ว่าจะเคลื่อนผ่านศูนย์ข้อมูลขององค์กรหรือพื้นโรงงานที่ออกแบบให้ทนทาน อย่างไรก็ตาม สภาพแวดล้อม ข้อกำหนดด้านโปรโตคอล และลำดับความสำคัญในการปฏิบัติงานแตกต่างกันอย่างมากระหว่างสองขอบเขตนี้

ในเครือข่ายที่พักอาศัยทั่วไป ไฟร์วอลล์ในตัวเราเตอร์ไฟเบอร์หรือ DSL จะทำตามกฎอัตโนมัติที่เรียบง่าย ได้แก่ อนุญาตให้อุปกรณ์ภายในสร้างการเชื่อมต่อออกไปยังอินเทอร์เน็ตสาธารณะ แต่บล็อกความพยายามเชื่อมต่อขาเข้าจากที่อยู่ IP ภายนอกซึ่งไม่ได้เริ่มต้นโดยอุปกรณ์ภายใน ในสำนักงานเชิงพาณิชย์ ไฟร์วอลล์องค์กรจะจัดการสิทธิ์ผู้ใช้ในการเข้าถึงคลังไฟล์ภายใน คิวเครื่องพิมพ์ และเว็บเซิร์ฟเวอร์ พร้อมบันทึกทราฟฟิกที่น่าสงสัยและบล็อกโดเมนภายนอกที่ไม่ได้รับอนุญาต ขณะเดียวกันก็เพิ่มประสิทธิภาพปริมาณการรับส่งข้อมูลสำหรับแอปพลิเคชันทางธุรกิจ

ในทางตรงกันข้าม เครือข่าย OT อุตสาหกรรมต้องใช้โครงสร้างพื้นฐานด้านความปลอดภัยคนละประเภทโดยสิ้นเชิง ไฟร์วอลล์อุตสาหกรรมต้องรองรับโปรโตคอลระบบอัตโนมัติแบบเรียลไทม์ที่เป็นกรรมสิทธิ์ เช่น Modbus TCP, EtherNet/IP, PROFINET และ OPC UA นอกจากนี้ยังต้องทำงานได้อย่างเชื่อถือได้ในสภาพแวดล้อมที่รุนแรง ซึ่งมีอุณหภูมิสุดขั้ว การรบกวนทางแม่เหล็กไฟฟ้า (EMI) ในระดับสูง และแรงสั่นสะเทือนทางกลอย่างมาก ยิ่งไปกว่านั้น ขณะที่ไฟร์วอลล์ไอทีอาจได้รับการอัปเดตหรือรีบูตเป็นประจำในช่วงนอกเวลาทำการ ไฟร์วอลล์ OT ต้องทำงานต่อเนื่องเป็นเวลาหลายเดือนหรือหลายปี เพื่อป้องกันการหยุดชะงักของกระบวนการโดยไม่คาดคิด

การตรวจสอบแพ็กเก็ตเชิงลึกและกลไกการกรองแบบติดตามสถานะ

ไฟร์วอลล์อุตสาหกรรมใช้การกรองแพ็กเก็ตหลายระดับที่ก้าวหน้าขึ้นเรื่อย ๆ เพื่อปกป้องอุปกรณ์ปฏิบัติการจากคำสั่งที่เป็นอันตรายและความผิดปกติของเครือข่าย:

• การกรองแพ็กเก็ตแบบดั้งเดิม: กลไกพื้นฐานนี้ตรวจสอบแพ็กเก็ตแต่ละรายการแยกจากกัน ไฟร์วอลล์จะตรวจสอบที่อยู่ IP ต้นทางและปลายทาง รวมถึงหมายเลขพอร์ต TCP หรือ UDP ที่ระบุ แล้วเปรียบเทียบกับรายการควบคุมการเข้าถึง (ACL) เพื่อพิจารณาว่าจะทิ้งหรือส่งต่อแพ็กเก็ต
• ไฟร์วอลล์ตรวจสอบแบบติดตามสถานะ: แทนที่จะมองแพ็กเก็ตเป็นเหตุการณ์ที่แยกจากกัน ไฟร์วอลล์แบบติดตามสถานะจะติดตามสถานะของการสื่อสารเครือข่ายที่กำลังทำงานอยู่ ด้วยการตรวจสอบวงจรชีวิตทั้งหมดของการเชื่อมต่อ ไฟร์วอลล์จะตรวจสอบให้แน่ใจว่าแพ็กเก็ตขาเข้าเป็นส่วนหนึ่งของเซสชันที่คาดไว้และจัดตั้งไว้ล่วงหน้า จึงป้องกันการโจมตีแบบปลอมแปลงทั่วไป
• การตรวจสอบแพ็กเก็ตเชิงลึก (DPI): ไฟร์วอลล์อุตสาหกรรมขั้นสูงสามารถอ่านเลยส่วนหัวเครือข่ายเข้าไปถึงข้อมูลเพย์โหลดในเลเยอร์แอปพลิเคชัน ตัวอย่างเช่น เมื่อตรวจสอบทราฟฟิก Modbus TCP ไฟร์วอลล์ DPI สามารถแยกแยะระหว่างคำสั่ง “Read Holding Registers” ที่ไม่เป็นอันตรายกับคำสั่ง “Write Multiple Registers” ที่อาจเป็นอันตราย และบล็อกการเปลี่ยนแปลงการกำหนดค่าที่ไม่ได้รับอนุญาต แม้คำสั่งนั้นจะมาจากที่อยู่ IP ที่ได้รับอนุมัติแล้วก็ตาม
• ไฟร์วอลล์แอปพลิเคชันเว็บ (WAF): WAF ทำงานเฉพาะในเลเยอร์แอปพลิเคชัน โดยตรวจสอบทราฟฟิก HTTP และ HTTPS เพื่อปกป้องอินเทอร์เฟซควบคุมที่เปิดใช้งานเว็บ เช่น อินเทอร์เฟซที่พบในอินเทอร์เฟซระหว่างมนุษย์กับเครื่องจักร (HMI) และเอดจ์เกตเวย์สมัยใหม่ จากการโจมตีเว็บ SQL injection และช่องโหว่ cross-site scripting

เพื่อเสริมชั้นการกรองเหล่านี้ สถาปัตยกรรม OT สมัยใหม่จำนวนมากจึงติดตั้งระบบตรวจจับการบุกรุก (IDS) และระบบป้องกันการบุกรุก (IPS) ขณะที่ไฟร์วอลล์มาตรฐานบังคับใช้แนวกั้นตามกฎอย่างเคร่งครัด แพลตฟอร์ม IDS/IPS จะใช้ฮิวริสติกขั้นสูงและการวิเคราะห์รูปแบบพื้นฐานเพื่อค้นหาพฤติกรรมผิดปกติ หากตัวควบคุมเริ่มสแกนเครือข่ายเพื่อค้นหาที่อยู่ IP ที่ไม่ได้จัดสรรอย่างกะทันหัน IDS จะแจ้งความผิดปกติให้ทีมรักษาความปลอดภัยของโรงงานทราบ ขณะที่ IPS สามารถเข้าระงับและยุติเซสชันที่ไม่ได้รับอนุญาตได้ทันที ก่อนที่ไวรัสจะแพร่กระจายไปทั่วเครือข่ายควบคุม

การจัดการทราฟฟิกแบบสองทิศทางและการกรองทราฟฟิกขาออก

กลยุทธ์ด้านความปลอดภัยอุตสาหกรรมมักมุ่งเน้นการกรองขาเข้าเป็นหลัก ซึ่งเป็นการป้องกันไม่ให้ภัยคุกคามภายนอกเข้าสู่เครือข่ายควบคุมภายใน อย่างไรก็ตาม การบังคับใช้การกรองขาออกอย่างเข้มงวด ซึ่งควบคุมทราฟฟิกที่ออกจากโซนควบคุม ก็มีความสำคัญไม่แพ้กันต่อการป้องกันที่แข็งแกร่ง

เครือข่ายควบคุมอุตสาหกรรมมีการไหลของข้อมูลที่คาดการณ์ได้และตายตัวมากกว่าเมื่อเทียบกับสภาพแวดล้อมไอทีทั่วไป ตัวควบคุมภาคสนามแทบไม่จำเป็นต้องเริ่มการสื่อสารออกนอกซับเน็ตที่กำหนดไว้ ด้วยการใช้กฎขาออกแบบละเอียด วิศวกรสามารถมั่นใจได้ว่าแม้ส่วนประกอบระบบอัตโนมัติเฉพาะทางจะถูกเจาะระบบ เช่น ผ่านช่องโหว่จากห่วงโซ่อุปทานที่ฝังอยู่ในแพตช์ซอฟต์แวร์ ส่วนประกอบนั้นก็ยังไม่สามารถติดต่อกลับไปยังเซิร์ฟเวอร์สั่งการและควบคุมระยะไกลได้ การควบคุมขอบเขตนี้ช่วยทำให้ภัยคุกคามหมดประสิทธิผล โดยจำกัดให้อยู่เฉพาะพื้นที่และป้องกันการเคลื่อนที่ด้านข้างไปทั่วสถาปัตยกรรมโรงงาน

ตำแหน่งติดตั้งภายในเครือข่ายอุตสาหกรรม

ไฟร์วอลล์อุตสาหกรรมถูกติดตั้งตามจุดยุทธศาสตร์ต่าง ๆ ตลอดลำดับชั้นของระบบอัตโนมัติ เพื่อสร้างขอบเขตที่ชัดเจนระหว่างโซนปฏิบัติการที่แตกต่างกัน:

รูปที่ 2 ซับเซกเมนต์เครือข่ายแบบแยกส่วนที่ออกแบบมาเพื่อลดภาระการประมวลผลแพ็กเก็ตบนอินเทอร์เฟซควบคุมภายใน

แม้ตัวควบคุมภาคสนามหลักจะให้ความสำคัญกับความเร็วในการประมวลผลและความปลอดภัยที่มีการกำหนดแน่นอน มากกว่าการกรองด้วยการเข้ารหัสภายในตัว แต่อุปกรณ์โครงสร้างพื้นฐานเฉพาะทางต้องเป็นผู้จัดการด้านความปลอดภัย ในสถาปัตยกรรมแบบแบ่งส่วน สวิตช์เครือข่ายแบบจัดการได้จะจัดการความปลอดภัยระดับพอร์ตพื้นฐานผ่าน ACL อย่างไรก็ตาม ขอบเขตเครือข่ายที่แท้จริงจะถูกรักษาไว้ด้วยอินดัสเทรียลเกตเวย์ เราเตอร์ และไฟร์วอลล์แบบทนทานเฉพาะทางที่ติดตั้งตรงจุดเชื่อมต่อของโซนปฏิบัติการต่าง ๆ

สำหรับวิศวกรที่ดูแลสายการผลิตซึ่งใช้หน่วยประมวลผลรุ่นเก่า การติดตั้งส่วนประกอบด้านการสื่อสารและเครือข่ายโดยเฉพาะยังคงเป็นส่วนสำคัญของกลยุทธ์การแบ่งส่วนเครือข่ายสมัยใหม่ ฮาร์ดแวร์ชั้นเหล่านี้ช่วยให้มั่นใจว่าอุปกรณ์ประมวลผลที่สำคัญได้รับการปกป้องจากทราฟฟิกเครือข่ายที่ไม่จำเป็น ทำให้โปรเซสเซอร์ภายในมุ่งเน้นเฉพาะงานประมวลผลความเร็วสูงได้อย่างเต็มที่

การปรับโซนเครือข่ายให้สอดคล้องกับมาตรฐาน IEC 62443

การออกแบบเครือข่ายอุตสาหกรรมสมัยใหม่พึ่งพามาตรฐานสากล IEC 62443 เป็นอย่างมาก ซึ่งให้กรอบการทำงานที่ครอบคลุมสำหรับการรักษาความปลอดภัยระบบอัตโนมัติและระบบควบคุมอุตสาหกรรม (IACS) หลักการสำคัญของมาตรฐานนี้คือแบบจำลอง “โซนและช่องทางเชื่อมต่อ” โดย โซน คือการจัดกลุ่มอุปกรณ์แบบเชิงตรรกะหรือกายภาพที่มีข้อกำหนดด้านความปลอดภัยคล้ายกัน ขณะที่ ช่องทางเชื่อมต่อ หมายถึงเส้นทางการสื่อสารระหว่างโซนเหล่านั้น

ไฟร์วอลล์อุตสาหกรรมทำหน้าที่เป็นผู้เฝ้าประตูทางกายภาพหลักของช่องทางเชื่อมต่อเหล่านี้ ด้วยการติดตั้งไฟร์วอลล์ที่จุดผ่านของช่องทางเชื่อมต่อทุกแห่ง วิศวกรโรงงานจะมั่นใจได้ว่าอุปกรณ์ที่มีระดับความเสี่ยงแตกต่างกันจะไม่สามารถสื่อสารกันได้โดยไม่มีการตรวจสอบ ตัวอย่างเช่น โรงงานอาจแยกอุปกรณ์ประมวลผลที่สำคัญออกจากระบบตรวจสอบโดยสร้างโซนตามหน้าที่ที่แตกต่างกันดังนี้:

• โซนเครือข่าย PLC: ประกอบด้วยตัวควบคุมการประมวลผลแบบเรียลไทม์ความเร็วสูงที่จัดการการเคลื่อนไหวทางกายภาพอย่างแม่นยำและกลไกอินเตอร์ล็อกเพื่อความปลอดภัย
• โซนเครือข่าย DCS: รองรับการทำงานของกระบวนการต่อเนื่อง โปรเซสเซอร์ควบคุมแบบเรกูเลต และบล็อก I/O แบบกระจายทั่วกระบวนการย่อยหลายหน่วย
• โซนเครือข่าย SCADA: ครอบคลุมคอมพิวเตอร์ควบคุมดูแล ระบบจัดเก็บประวัติข้อมูลระดับภูมิภาค และเซิร์ฟเวอร์ HMI ของห้องควบคุมส่วนกลาง
• โซนเครือข่ายตรวจสอบกังหัน: ใช้เฉพาะสำหรับการปกป้องเครื่องจักรความเร็วสูง โดยเก็บข้อมูลการสั่นสะเทือนต่อเนื่อง การเคลื่อนตัวของเพลา และตัวชี้วัดทางอุณหพลศาสตร์ที่สำคัญ

การติดตั้งจากผู้จำหน่ายทั่วทั้งองค์กรและโปรไฟล์แอปพลิเคชัน

การนำกลยุทธ์ด้านความปลอดภัยที่แข็งแกร่งมาใช้จำเป็นต้องติดตั้งฮาร์ดแวร์เฉพาะทางที่ปรับให้เหมาะกับเลเยอร์การควบคุมและระบบนิเวศของผู้จำหน่ายแต่ละราย ตัวอย่างเช่น โรงงานที่ใช้สายการผลิตแบบไม่ต่อเนื่องความเร็วสูงมักติดตั้งไฟร์วอลล์เฉพาะทางไว้ด้านหน้าแร็กโปรเซสเซอร์หลักโดยตรง ภายในแพลตฟอร์ม Allen-Bradley ControlLogix วิศวกรมักติดตั้งอุปกรณ์รักษาความปลอดภัยอุตสาหกรรมไว้ก่อนโมดูลสื่อสาร 1756-EN2T หรือ 1756-EN3TR โดยทันที สถาปัตยกรรมนี้ช่วยป้องกันทราฟฟิก EtherNet/IP จากบรอดแคสต์สตอร์มที่ไม่คาดคิด และบล็อกคำสั่งแก้ไขเฟิร์มแวร์ CIP ที่ไม่ได้รับอนุญาตจากซับเน็ตที่ไม่ผ่านการอนุมัติ

ในทำนองเดียวกัน การปกป้องเครือข่ายกระบวนการต่อเนื่องจำเป็นต้องผสานรวมอย่างลึกซึ้งในระดับระบบ ในโรงงานที่ใช้เครือข่าย Siemens Simatic S7 โมดูลรักษาความปลอดภัยแบบทนทาน เช่น ซีรีส์ Scalance S มักถูกนำมาใช้เพื่อสร้างช่องทางเชื่อมต่อที่ปลอดภัย อุปกรณ์เหล่านี้ทำการตรวจสอบแพ็กเก็ตเชิงลึกบนโปรโตคอลการสื่อสาร S7 เพื่อให้มั่นใจว่าเฉพาะสถานีวิศวกรรมที่ได้รับการรับรองเท่านั้นที่จะเปลี่ยน CPU ของ S7-1500 หรือ S7-300 ไปเป็นสถานะ STOP หรือเขียนทับลอจิกบล็อกภายในได้

การแยกโซนอย่างเข้มงวดนี้มีความสำคัญไม่แพ้กันสำหรับสถาปัตยกรรมแบบกระจายขนาดใหญ่ ภายในระบบนิเวศ ABB 800xA AC 800M ที่ครอบคลุม ไฟร์วอลล์จะถูกติดตั้งเพื่อแยกเครือข่ายควบคุมความเร็วสูงออกจากเครือข่ายโรงงานโดยรวม การตั้งค่านี้ช่วยให้มั่นใจว่าการสื่อสารควบคุม MMS และ RNRP ที่สำคัญได้รับการป้องกันอย่างสมบูรณ์จากทราฟฟิกธุรกิจของสำนักงาน ในทำนองเดียวกัน องค์กรที่ใช้ระบบ Honeywell Experion PKS C300 Series C มักใช้ระบบไฟร์วอลล์เฉพาะทางเพื่อปกป้องโครงสร้างพื้นฐาน Fault Tolerant Ethernet (FTE) และบล็อกจิตเตอร์จากเครือข่ายภายนอกไม่ให้กระทบรอบการทำงานที่มีการกำหนดแน่นอนของตัวควบคุม C300

การควบคุมโดยผู้ใช้ปลายทาง การดูแลกฎระยะยาว และการตรวจสอบการกำหนดค่า

ไฟร์วอลล์อุตสาหกรรมมีระดับการควบคุมโดยผู้ใช้แตกต่างกันไปตามการออกแบบเฉพาะของแต่ละรุ่น แม้ระบบสมัยใหม่จำนวนมากจะมีอินเทอร์เฟซผู้ใช้แบบกราฟิกที่เรียบง่ายและปรับให้เหมาะกับบุคลากรโรงงาน แต่อุปกรณ์รักษาความปลอดภัยขั้นสูงช่วยให้วิศวกรสร้างชุดกฎแบบละเอียดได้ถึงระดับเลขฐานสิบหกและโครงสร้างคำสั่งภายในเพย์โหลดของแพ็กเก็ตอุตสาหกรรม

ในสภาพแวดล้อมโรงงานที่มีเสถียรภาพ ซึ่งโทโพโลยีเครือข่ายกายภาพและอุปกรณ์ภาคสนามแทบไม่มีการเปลี่ยนแปลง การกำหนดค่าไฟร์วอลล์อาจคงเดิมเป็นระยะเวลานาน อย่างไรก็ตาม เมื่อมีการผสานรวมฮาร์ดแวร์แบบติดตั้งบนสกิดใหม่ มีการแก้ไขโปรแกรม PLC หรือช่างเทคนิคสนับสนุนภายนอกต้องการเข้าถึงระยะไกลชั่วคราวผ่าน VPN ที่ปลอดภัย จะต้องปรับกฎไฟร์วอลล์ให้สอดคล้องกัน

เพื่อป้องกันการเสื่อมถอยของความปลอดภัยและการเปิดช่องโดยไม่ตั้งใจ ขอแนะนำให้ตรวจสอบการกำหนดค่าเป็นประจำ บุคลากรด้านความปลอดภัยควรทบทวนชุดกฎที่ใช้งานอยู่อย่างเป็นระบบ เพื่อให้แน่ใจว่ากฎชั่วคราวที่ใช้ระหว่างการหยุดซ่อมบำรุงได้ถูกเพิกถอนแล้ว และทำให้แน่ใจว่าขอบเขตความปลอดภัยของอุตสาหกรรมยังคงได้รับการเสริมความแข็งแกร่งอย่างเต็มที่เพื่อต้านทานภัยคุกคามทางไซเบอร์ที่เกิดขึ้นใหม่