การเสริมความปลอดภัยให้สวิตช์ SCADA: SSH การควบคุมพอร์ต และการผูก MAC ในเครือข่าย OT (ตอนที่ 2)

ชั้นการป้องกันใหม่ที่กำลังก่อตัวขึ้นภายในเครือข่ายสวิตช์ OT

เครือข่ายควบคุมอุตสาหกรรมไม่ใช่ระบบที่แยกขาดจากกันอีกต่อไป แต่ทำงานอยู่ภายในสภาพแวดล้อม IT/OT แบบผสานรวม ซึ่งการเข้าถึงระยะไกลและการควบคุมแบบกระจายเป็นเรื่องปกติ การกำหนดค่าสวิตช์กลายเป็นกลไกป้องกันแนวหน้าในสถาปัตยกรรมความปลอดภัยทางไซเบอร์ของ SCADA

ขณะนี้วิศวกรเสริมความแข็งแกร่งให้สวิตช์ ไม่เพียงเพื่อประสิทธิภาพเท่านั้น แต่ยังเพื่อให้สอดคล้องกับข้อกำหนดของ IEC 62443 ในโครงสร้างพื้นฐานสำคัญด้วย

โครงสร้างพื้นฐานสวิตช์อุตสาหกรรมมีบทบาทโดยตรงมากขึ้นในการปกป้องสินทรัพย์ของโรงงานและความต่อเนื่องในการดำเนินงาน

การวิเคราะห์เชิงเทคนิคของแนวทางการเสริมความแข็งแกร่งให้สวิตช์

การรักษาความปลอดภัยการเข้าถึงระยะไกลผ่าน SSH

SSH เข้ามาแทนที่ Telnet รุ่นเก่าในสภาพแวดล้อม OT เพื่อให้เซสชันการจัดการมีการเข้ารหัส วิธีนี้ช่วยลดการเปิดเผยข้อมูลประจำตัวและข้อมูลการกำหนดค่าทั่วทั้งเครือข่าย SCADA

ในการติดตั้งใช้งานสมัยใหม่ วิศวกรบังคับใช้การเข้าถึง VTY ผ่าน SSH เท่านั้น เพื่อป้องกันช่องทางการเข้าสู่ระบบระยะไกลที่ไม่ปลอดภัย

การจัดการผ่าน SSH ช่วยให้เข้าถึงสวิตช์อุตสาหกรรมจากระยะไกลทั่วทั้งโซน OT ได้อย่างมีการควบคุม

การลบอินเทอร์เฟซเว็บออกจากสวิตช์ที่สำคัญ

การปิดใช้งานการจัดการผ่าน HTTP และ HTTPS ช่วยลดพื้นที่โจมตีได้อย่างมาก ผู้ปฏิบัติงาน SCADA จำนวนมากนิยมกำหนดค่าผ่าน CLI โดยใช้เซสชัน Secure Shell

แนวทางนี้จำกัดการกำหนดค่าผิดพลาดโดยไม่ตั้งใจและเสริมสร้างวินัยในการปฏิบัติงานในเครือข่ายโรงงาน

การตรวจสอบสิทธิ์ที่ขอบเขตการควบคุม

การตรวจสอบสิทธิ์ด้วยชื่อผู้ใช้ภายในช่วยให้ควบคุมการเข้าถึงได้แม้ไม่มีบริการจัดการข้อมูลประจำตัวแบบรวมศูนย์ สิ่งนี้จำเป็นสำหรับสถานีไฟฟ้าย่อยและสถานที่ปฏิบัติงานระยะไกลที่มีการเชื่อมต่อภายนอกอย่างจำกัด

ข้อมูลประจำตัวที่จัดเก็บไว้ภายในช่วยให้การดำเนินงานมีความต่อเนื่องเมื่อไม่สามารถใช้การตรวจสอบสิทธิ์ภายนอกได้

การล็อกพอร์ตและวินัยด้านการรับส่งข้อมูล

พอร์ตสวิตช์ที่ไม่ได้ใช้งานเป็นหนึ่งในช่องโหว่ที่พบบ่อยที่สุดในสภาพแวดล้อม OT ขณะนี้ผู้ดูแลระบบปิดใช้งานอินเทอร์เฟซที่ไม่ได้ใช้ เพื่อกำจัดจุดเข้าถึงอุปกรณ์โดยไม่ได้รับอนุญาต

วิธีการนี้บังคับใช้การจัดแนวทางกายภาพกับตรรกะระหว่างสินทรัพย์ที่จัดทำเอกสารไว้และโทโพโลยีเครือข่ายที่ใช้งานอยู่

การควบคุมระดับพอร์ตช่วยให้มั่นใจได้ว่าเฉพาะอุปกรณ์ปลายทางที่ผ่านการตรวจสอบแล้วเท่านั้นที่เข้าร่วมการสื่อสารในอุตสาหกรรม

การผูกอุปกรณ์ผ่านการควบคุมระดับ MAC

การผูกที่อยู่ MAC ช่วยเสริมความมั่นใจในอุปกรณ์ปลายทางด้วยการล็อกอุปกรณ์จริงไว้กับพอร์ตสวิตช์เฉพาะ ความไม่ตรงกันใด ๆ จะทำให้การสื่อสารถูกยุติทันที

เทคนิคนี้ใช้กันอย่างแพร่หลายในสภาพแวดล้อมที่มี HMI จำนวนมากและโซน SCADA ที่มีความสำคัญต่อความปลอดภัย

การผูกตาม MAC บังคับใช้ตัวตนอุปกรณ์ที่แน่นอนที่ขอบเครือข่าย

การประยุกต์ใช้แนวปฏิบัติเหล่านี้

วิธีการเสริมความแข็งแกร่งให้สวิตช์เหล่านี้ถูกใช้งานอย่างแพร่หลายในสถานีไฟฟ้าย่อย โรงงานกระบวนการผลิต และสายการผลิตแบบไม่ต่อเนื่อง สิ่งเหล่านี้ช่วยให้การสื่อสารระหว่าง PLC, RTU, HMI และระบบควบคุมกำกับดูแลมีเสถียรภาพ

วิศวกรมักผสานเทคนิคเหล่านี้เข้ากับฮาร์ดแวร์โครงสร้างพื้นฐานที่ปลอดภัย เช่น ระบบจ่ายไฟและการสื่อสารในเครือข่ายอุตสาหกรรม เพื่อสร้างเสถียรภาพให้สถาปัตยกรรม OT ภายใต้ข้อจำกัดด้านความปลอดภัยไซเบอร์

ข้อมูลเชิงลึกจากอุตสาหกรรม: เครือข่าย OT กำลังกลายเป็นระบบที่กำหนดด้วยความปลอดภัย

ความปลอดภัยระดับสวิตช์ปัจจุบันเป็นข้อกำหนดหลัก ไม่ใช่เพียงแนวปฏิบัติที่ดี มาตรฐานต่าง ๆ เช่น IEC 62443 กำลังปรับเปลี่ยนวิธีที่วิศวกรออกแบบการแบ่งส่วนเครือข่ายและการควบคุมการเข้าถึง

เรากำลังเห็นการเปลี่ยนแปลงที่การกำหนดค่าเครือข่ายเป็นตัวกำหนดสถานะความปลอดภัยมากพอ ๆ กับไฟร์วอลล์หรืออุปกรณ์ปลายทาง สิ่งนี้ยกระดับบทบาทของโครงสร้างพื้นฐานสวิตช์ต่อความสมบูรณ์ของระบบ SCADA

มุมมองด้านวิศวกรรมต่อทิศทางความปลอดภัยของ OT

การเสริมความแข็งแกร่งให้สวิตช์มักถูกประเมินความสำคัญต่ำเกินไปในการหารือด้านความปลอดภัยไซเบอร์ของ OT อย่างไรก็ตาม สิ่งนี้เป็นชั้นบังคับใช้ที่ตรงที่สุดระหว่างอุปกรณ์จริงกับตรรกะควบคุม

ในมุมมองของผม องค์กรที่เพิกเฉยต่อวินัยระดับสวิตช์จะเผชิญความเสี่ยงด้านการปฏิบัติงานเพิ่มขึ้น เมื่อการบรรจบกันของ IT/OT เร่งตัวขึ้น การกำหนดค่าอย่างเป็นระบบ ไม่ใช่การแก้ไขแพตช์ความปลอดภัยแบบเฉพาะหน้า จะเป็นตัวกำหนดเครือข่ายอุตสาหกรรมที่มีความยืดหยุ่นในอนาคต

*Daniel Mercer นักวิเคราะห์อุตสาหกรรมและผู้สื่อข่าวด้านระบบ มีประสบการณ์ 14 ปีในโครงการบูรณาการ Siemens, Rockwell Automation และ Emerson DeltaV ในสภาพแวดล้อมการควบคุมกระบวนการขนาดใหญ่