Indinvest LT xây dựng lộ trình an ninh mạng OT với Rockwell

Nhà sản xuất nhôm của Ý Indinvest LT đang phối hợp với Rockwell Automation và H.S. Automation để đánh giá toàn diện tình trạng an ninh mạng công nghệ vận hành. Sáng kiến này nhằm xác định các lỗ hổng, đánh giá những biện pháp kiểm soát hiện có, ưu tiên khắc phục và xây dựng lộ trình hỗ trợ tính liên tục của hoạt động kinh doanh khi các hệ thống sản xuất ngày càng được kết nối.

Indinvest LT vận hành một xưởng đúc phôi tích hợp và các cơ sở ép đùn tại Cisterna di Latina, phục vụ các thị trường công nghiệp và kiến trúc. Những hoạt động này kết hợp thiết bị quy trình tiêu thụ nhiều năng lượng, bộ truyền động, PLC, hệ thống giám sát, dữ liệu chất lượng và các giao diện kinh doanh. Trong môi trường như vậy, an ninh mạng không phải là một mục tiêu CNTT biệt lập. Một cuộc quét được lên kế hoạch kém, một kết nối từ xa không được quản lý hoặc một bộ điều khiển không khả dụng đều có thể ảnh hưởng đến sản xuất, chất lượng sản phẩm, tính toàn vẹn của thiết bị và an toàn.

Vì sao nên đánh giá trước khi mua công nghệ

Nhiều chương trình bảo mật công nghiệp bắt đầu bằng việc mua một thiết bị giám sát hoặc tường lửa. Điều đó có thể hữu ích, nhưng công cụ không thể bù đắp cho danh mục tài sản chưa đầy đủ, quyền sở hữu không rõ ràng hoặc các luồng dữ liệu chưa được lập tài liệu. Một cuộc đánh giá có cấu trúc sẽ xác định những gì đang tồn tại, quy trình nào mang tính trọng yếu, các hệ thống giao tiếp ra sao và sự cố sẽ có ý nghĩa như thế nào về mặt vận hành. Chỉ khi đó, nhà máy mới có thể xếp hạng các biện pháp kiểm soát theo mức giảm rủi ro thay vì theo tính cấp thiết do tiếp thị tạo ra.

Rockwell cho biết Bộ công cụ đánh giá an ninh mạng OT của họ phù hợp với IEC 62443 và hướng dẫn của NIST. Giá trị của các khuôn khổ này nằm ở khả năng biến một mối lo ngại bảo mật rộng thành công việc có thể lặp lại: quản trị, xác định tài sản, phân đoạn, kiểm soát truy cập, quản lý lỗ hổng, sao lưu, ứng phó sự cố và cải tiến liên tục. Không nên xem cuộc đánh giá là một báo cáo tuân thủ thực hiện một lần. Kết quả cần là một sổ đăng ký hành động có người chịu trách nhiệm, thời hạn, các yếu tố phụ thuộc và tiêu chí xác minh rõ ràng.

Phân tích của PLC ProTech về việc lập kế hoạch SCADA và các khoảng trống an ninh mạng OT giải thích vì sao kiến trúc và quản trị cần được xử lý cùng nhau thay vì chờ đến sau khi vận hành thử.

Phát hiện thụ động bảo vệ tài sản sản xuất dễ hỏng

Việc xác định tài sản trong một nhà máy đang vận hành phải được thực hiện thận trọng. Các công cụ quét lỗ hổng thông thường dành cho doanh nghiệp có thể làm quá tải các mô-đun truyền thông cũ hoặc kích hoạt lỗi trong các cổng kết nối thế hệ cũ. Một kế hoạch phát hiện an toàn thường bắt đầu bằng cấu hình bộ chuyển mạch, các dự án bộ điều khiển, bản vẽ, hồ sơ bảo trì và việc quan sát mạng thụ động. Sau đó, việc thẩm vấn chủ động được giới hạn, lên lịch và thử nghiệm trên thiết bị đại diện.

Danh mục tài sản cần ghi nhận nhiều hơn địa chỉ IP. Các hồ sơ hữu ích bao gồm chủ sở hữu tài sản, vị trí, chức năng, firmware, hệ điều hành, đường truyền thông, phương thức khôi phục được hỗ trợ, trạng thái vòng đời của nhà cung cấp và hậu quả khi mất tài sản. Trong một dây chuyền nhôm, một máy trạm kỹ thuật nhỏ có thể mang tính trọng yếu về vận hành hơn một máy chủ lớn nếu đó là tuyến được hỗ trợ duy nhất để truy cập một PLC cũ.

Lập bản đồ khu vực ép đùn

Một khu vực ép đùn có thể bao gồm các hệ thống điều khiển lò nung, xử lý phôi, PLC máy ép, bộ nguồn thủy lực, máy kéo, máy cưa, hệ thống làm mát, bộ điều khiển an toàn, hệ thống lưu trữ dữ liệu lịch sử và hệ thống chất lượng. Cuộc đánh giá cần lập bản đồ cả lưu lượng sản xuất thông thường lẫn các kết nối đặc biệt được sử dụng trong quá trình bảo trì. Một mạng riêng ảo của nhà cung cấp chỉ mở hai lần mỗi năm có thể tạo ra một tuyến đường không được giám sát lớn hơn mạng bộ điều khiển được theo dõi liên tục.

Sơ đồ luồng dữ liệu giúp phát hiện nơi các ranh giới tin cậy giao nhau. Các kết nối giữa thiết bị tại sàn nhà máy và hệ thống doanh nghiệp nên đi qua các kênh được xác định rõ. Quyền truy cập kỹ thuật nên sử dụng tài khoản định danh, quyền hạn có thời hạn và phiên làm việc được ghi lại khi khả thi. Thông tin xác thực dùng chung và các đường hầm của nhà cung cấp luôn bật khiến việc quy trách nhiệm trở nên khó khăn, đồng thời làm tăng tác động của một máy tính xách tay bị xâm phạm.

Phân đoạn phải tôn trọng các phụ thuộc sản xuất

Cách tiếp cận vùng và kênh của IEC 62443 phát huy hiệu quả vì nhóm các tài sản theo chức năng, mức độ trọng yếu và yêu cầu bảo mật. Mạng nhà máy phẳng cho phép phần mềm độc hại hoặc cấu hình sai lan rộng. Phân đoạn hạn chế sự di chuyển đó, nhưng chính sách tường lửa quá quyết liệt cũng có thể làm gián đoạn lưu lượng điều khiển nhạy cảm về thời gian. Kỹ sư cần có ma trận giao tiếp đã được xác minh trước khi thực thi.

Một quy trình triển khai thực tế thường bắt đầu ở chế độ giám sát. Các nhóm quan sát giao thức và điểm cuối thực tế, so sánh chúng với thiết kế dự kiến và điều tra các ngoại lệ. Sau đó, các quy tắc được siết chặt trong những khoảng thời gian được kiểm soát. Cần đưa vào các dịch vụ thiết yếu như đồng bộ thời gian, xác thực miền, thu thập dữ liệu lịch sử, cấp phép và sao lưu. Các quy tắc tạm thời phục vụ chạy thử phải có người phụ trách và ngày hết hạn.

Xếp hạng rủi ro phải bao gồm hậu quả vật lý

Việc chấm điểm rủi ro trong doanh nghiệp thường nhấn mạnh tính bảo mật của dữ liệu. Các hệ thống công nghiệp bổ sung các yếu tố về tính khả dụng, tính toàn vẹn, an toàn, tác động môi trường và thời gian khôi phục. Một lỗ hổng có thể bị khai thác từ xa trên màn hình không trọng yếu có thể được xếp hạng thấp hơn một bộ điều khiển không còn được hỗ trợ và chỉ có thể khôi phục từ một trạm lập trình đã lỗi thời. Cuộc đánh giá cần kết hợp khả năng khai thác với hậu quả đối với quy trình và các biện pháp bảo vệ hiện có.

Vì vậy, việc Indinvest LT tập trung vào một lộ trình dựa trên rủi ro là rất quan trọng. Kết quả cần phân biệt rõ việc ngăn chặn tức thời, các thay đổi kỹ thuật theo kế hoạch và rủi ro còn lại được chấp nhận. Các hành động ngắn hạn có thể bao gồm loại bỏ quyền truy cập từ xa không sử dụng, thay đổi thông tin xác thực mặc định, xác minh bản sao lưu và cô lập các tài sản không được hỗ trợ. Những dự án dài hạn hơn có thể bao gồm nâng cấp bộ chuyển mạch, kiến trúc định danh, cổng truy cập từ xa an toàn hoặc di chuyển bộ điều khiển.

Đối với các môi trường sử dụng nhiều sản phẩm Rockwell, quản trị firmware đặc biệt quan trọng. Hướng dẫn quyết định firmware ControlLogix của PLC ProTech cho thấy vì sao tính tương thích, chuyển đổi dự án, các mô-đun truyền thông và kế hoạch quay lui phải được đánh giá trước khi nâng cấp vì lý do bảo mật.

Bản sao lưu chỉ hữu ích khi việc khôi phục đã được diễn tập

Cuộc đánh giá cần xác minh các chương trình bộ điều khiển, ứng dụng HMI, thông số bộ truyền động, dự án an toàn, công thức, chứng chỉ và giấy phép—không chỉ các ảnh máy chủ. Các bản sao cần có nhãn phiên bản và được bảo vệ ngoại tuyến hoặc bất biến. Ít nhất một lần diễn tập khôi phục nên được thực hiện trên thiết bị dự phòng hoặc thiết bị ảo hóa. Thời gian cần để tìm phần mềm, kích hoạt giấy phép, thiết lập giao tiếp và khôi phục một dự án hoạt động tốt đã biết thường lâu hơn thời gian tải xuống thực tế.

Kế hoạch ứng phó sự cố cũng cần xác định vai trò tại nhà máy. Người vận hành phải biết những triệu chứng nào cần báo cáo khẩn cấp. Kỹ sư điều khiển cần có quy trình bảo toàn bằng chứng mà không kéo dài thời gian ngừng hoạt động. Nhân viên ứng phó CNTT cần tuân thủ quy tắc rõ ràng: không cô lập hoặc khởi động lại tài sản vận hành nếu chưa được bộ phận quy trình cho phép. Các buổi diễn tập trên bàn có thể phát hiện những giả định mâu thuẫn trước khi sự cố thực sự xảy ra.

Kiến thức tích hợp tại địa phương là một biện pháp kiểm soát chiến lược

H.S. Automation, một OEM cấp vàng thuộc Rockwell PartnerNetwork chuyên về các nhà máy sản xuất nhôm định hình, đang thực hiện cuộc đánh giá. Kiến thức địa phương về quy trình có thể giúp các khuyến nghị dễ áp dụng hơn. Những biện pháp kiểm soát bảo mật bỏ qua trình tự sản xuất, thời gian dừng máy hoặc các giới hạn hỗ trợ thiết bị thường chỉ tồn tại trên giấy. Một đối tác am hiểu máy móc có thể chuyển hóa rủi ro thành những thay đổi mà bộ phận bảo trì và vận hành có thể duy trì.

Thước đo thành công sẽ không phải là số lượng phát hiện. Đó là việc Indinvest LT có được đường cơ sở tài sản cập nhật, danh sách ưu tiên có cơ sở, năng lực khôi phục mạnh hơn và chu kỳ rà soát có thể lặp lại hay không. Mức độ trưởng thành về an ninh mạng thể hiện ở việc các ngoại lệ được lập tài liệu, quyền truy cập tạm thời tự hết hạn, bản sao lưu được kiểm thử, các thay đổi có thể truy vết và ban quản lý có thể giải thích những rủi ro sản xuất nào vẫn còn.

Sáng kiến này là một mô hình hữu ích cho các nhà sản xuất đang hiện đại hóa những nhà máy có vòng đời dài. Hãy bắt đầu từ bằng chứng, xếp hạng theo hậu quả vận hành, triển khai theo các giai đoạn được kiểm soát và xác minh rằng mọi biện pháp kiểm soát đều hoạt động trong các ràng buộc sản xuất thực tế. Đó là cách biến một cuộc đánh giá thành khả năng chống chịu thay vì một báo cáo khác.