Tăng cường bảo mật cho các switch SCADA: SSH, kiểm soát cổng và liên kết MAC trong mạng OT (Phần 2)

Một lớp phòng thủ mới đang hình thành bên trong các mạng chuyển mạch OT

Mạng điều khiển công nghiệp không còn là các hệ thống biệt lập. Giờ đây, chúng hoạt động trong các môi trường IT/OT hội tụ, nơi truy cập từ xa và điều khiển phân tán là tiêu chuẩn. Cấu hình bộ chuyển mạch đã trở thành tuyến phòng thủ đầu tiên trong kiến trúc an ninh mạng SCADA.

Kỹ sư hiện tăng cường bảo mật cho các bộ chuyển mạch không chỉ vì hiệu suất mà còn để đáp ứng các yêu cầu của IEC 62443 trong hạ tầng trọng yếu.

Hạ tầng chuyển mạch công nghiệp hiện đóng vai trò trực tiếp trong việc bảo vệ tài sản của nhà máy và tính liên tục vận hành.

Phân tích kỹ thuật các phương pháp tăng cường bảo mật bộ chuyển mạch

Bảo mật truy cập từ xa qua SSH

SSH thay thế Telnet cũ trong môi trường OT để đảm bảo các phiên quản lý được mã hóa. Điều này làm giảm nguy cơ lộ thông tin xác thực và dữ liệu cấu hình trên các mạng SCADA.

Trong các triển khai hiện đại, kỹ sư áp dụng quyền truy cập VTY chỉ qua SSH để ngăn chặn các đường đăng nhập từ xa không an toàn.

Quản lý dựa trên SSH đảm bảo truy cập từ xa có kiểm soát vào các bộ chuyển mạch công nghiệp giữa các vùng OT.

Loại bỏ giao diện web khỏi các bộ chuyển mạch quan trọng

Việc vô hiệu hóa quản lý qua HTTP và HTTPS làm giảm đáng kể bề mặt tấn công. Nhiều nhà vận hành SCADA ưu tiên cấu hình dựa trên CLI thông qua các phiên shell bảo mật.

Phương pháp này hạn chế việc cấu hình sai ngoài ý muốn và tăng cường kỷ luật vận hành trong các mạng của nhà máy.

Xác thực tại biên điều khiển

Xác thực tên người dùng cục bộ đảm bảo kiểm soát truy cập ngay cả khi không có dịch vụ định danh tập trung. Điều này đặc biệt cần thiết cho các trạm biến áp và cơ sở ở xa có kết nối bên ngoài hạn chế.

Thông tin xác thực được lưu trữ cục bộ duy trì tính liên tục vận hành khi không thể sử dụng xác thực bên ngoài.

Khóa cổng và kỷ luật lưu lượng

Các cổng chuyển mạch không sử dụng là một trong những lỗ hổng phổ biến nhất trong môi trường OT. Quản trị viên hiện vô hiệu hóa các giao diện không sử dụng để loại bỏ các điểm truy cập thiết bị trái phép.

Phương pháp này đảm bảo sự đồng bộ từ vật lý đến logic giữa các tài sản được ghi nhận và cấu trúc liên kết mạng đang hoạt động.

Kiểm soát ở cấp độ cổng bảo đảm chỉ các thiết bị đầu cuối đã được xác thực mới tham gia liên lạc công nghiệp.

Liên kết thiết bị thông qua kiểm soát ở cấp độ MAC

Liên kết địa chỉ MAC tăng cường khả năng đảm bảo thiết bị đầu cuối bằng cách khóa các thiết bị vật lý với những cổng bộ chuyển mạch cụ thể. Bất kỳ sự không khớp nào cũng sẽ ngay lập tức kích hoạt việc chấm dứt liên lạc.

Kỹ thuật này được sử dụng rộng rãi trong các môi trường có nhiều HMI và các vùng SCADA quan trọng đối với an toàn.

Liên kết dựa trên MAC thực thi danh tính thiết bị xác định tại biên mạng.

Các phương pháp này được áp dụng ở đâu

Các phương pháp củng cố bảo mật bộ chuyển mạch này được triển khai rộng rãi tại các trạm biến áp điện, nhà máy quy trình và dây chuyền sản xuất rời rạc. Chúng bảo đảm liên lạc ổn định giữa các PLC, RTU, HMI và hệ thống giám sát.

Các kỹ sư thường kết hợp những kỹ thuật này với phần cứng hạ tầng bảo mật như hệ thống điện và truyền thông mạng công nghiệp để ổn định kiến trúc OT trong các điều kiện ràng buộc về an ninh mạng.

Góc nhìn ngành: Mạng OT đang trở thành các hệ thống được định hình bởi bảo mật

Bảo mật ở cấp độ bộ chuyển mạch giờ đây là yêu cầu cốt lõi thay vì chỉ là thông lệ tốt nhất. Các tiêu chuẩn như IEC 62443 đang định hình lại cách kỹ sư thiết kế phân đoạn mạng và kiểm soát truy cập.

Chúng ta đang chứng kiến sự chuyển dịch, trong đó cấu hình mạng định hình trạng thái bảo mật không kém gì tường lửa hay các thiết bị đầu cuối. Điều này nâng cao vai trò của hạ tầng chuyển mạch đối với tính toàn vẹn của hệ thống SCADA.

Góc nhìn kỹ thuật về định hướng của an ninh OT

Việc củng cố bảo mật bộ chuyển mạch thường bị đánh giá thấp trong các cuộc thảo luận về an ninh mạng OT. Tuy nhiên, đây lại là lớp thực thi trực tiếp nhất giữa các thiết bị vật lý và logic điều khiển.

Theo quan điểm của tôi, các tổ chức bỏ qua tính kỷ luật ở cấp độ bộ chuyển mạch sẽ đối mặt với rủi ro vận hành ngày càng tăng khi sự hội tụ IT/OT tăng tốc. Cấu hình có cấu trúc, thay vì các bản vá bảo mật mang tính đối phó, sẽ định hình các mạng công nghiệp có khả năng chống chịu trong tương lai.

*Daniel Mercer, Chuyên viên phân tích công nghiệp & phóng viên hệ thống, 14 năm kinh nghiệm trong các dự án tích hợp Siemens, Rockwell Automation và Emerson DeltaV tại các môi trường điều khiển quy trình quy mô lớn*