Remote Access cho máy móc mang lại lợi thế trong sản xuất. Theo ARC, 63% công việc bảo trì máy móc là để kiểm tra định kỳ hoặc họ phát hiện ra rằng đơn giản là không có vấn đề gì. Hơn nữa, 30% hoặc nhiều hơn các sửa chữa này có thể được thực hiện từ xa bằng cách sửa đổi các thông số qua Internet hoặc với sự hỗ trợ từ xa. Xét rằng thời gian ngừng hoạt động ngoài kế hoạch có thể lên đến 500k €/giờ, Remote Access mang lại khoản tiết kiệm rất lớn cho OEM và chủ đầu tư.
An ninh mạng cho các hệ thống điều khiển công nghiệp
Có những khác biệt quan trọng giữa cách thức hoạt động của Hệ thống điều khiển công nghiệp (ICS) so với hệ thống Công nghệ thông tin (CNTT).
ICS đã được thiết kế để hiệu quả cho việc truyền dữ liệu tốc độ cao và cho các quy trình xác định, nhưng không phải để bảo mật. Tính sẵn có là điều quan trọng hàng đầu khi nói đến ICS. Ngược lại điều đó với các hệ thống CNTT, vốn ưu tiên bảo mật và bí mật hơn tất cả, ít tập trung hơn vào thuyết xác định. Hơn nữa, trong khi Phân tích rủi ro cho CNTT sẽ xem xét tác động đối với việc mất dữ liệu có thể xảy ra hoặc thất bại trong hoạt động kinh doanh, Hệ thống kiểm soát công nghiệp xem xét trước hết rủi ro về tính mạng, thiết bị hoặc mất mát sản phẩm.
Dưới đây là các tip của chúng tôi mà End User và chủ đầu tư nên biết khi lựa chọn và triển khai một giải pháp remote access mạnh mẽ, có thể mở rộng và an toàn.
1.Thực thi kiểm soát nhận dạng và chứng nhận.
CUNG CẤP XÁC NHẬN VÀ XÁC THỰC DUY NHẤT CHO MỖI NGƯỜI DÙNG.
Mọi người dùng phải có một nhận dạng và xác thực duy nhất. Trong trường hợp cần thu hồi quyền truy cập của người dùng (ví dụ: vì rời khỏi công ty), bạn có thể thực hiện điều đó trực tiếp trên tài khoản.
THAY ĐỔI MẬT KHẨU KHI CẤU HÌNH THIẾT BỊ LẦN ĐẦU TIÊN
Mật khẩu mặc định đã công khai bởi cộng đồng tự động hóa công nghiệp, chúng có thể dễ dàng tìm thấy trên internet hoặc bất kỳ sách hướng dẫn nào. Đừng quên thay đổi mật khẩu của thiết bị / ứng dụng khi định cấu hình nó lần đầu tiên.
SỬ DỤNG XÁC THỰC ĐA YẾU TỐ BẤT CỨ KHI NÀO CÓ THỂ
Xác thực đa yếu tố nên được coi là một trong những phương pháp hay nhất trong việc remote access vào các máy công nghiệp vì nó cung cấp một lớp bảo mật tốt.
3. Cho phép Kiểm soát Truy cập và Quản lý Kết nối.
XÁC ĐỊNH CÁC QUYỀN KHÁC NHAU CHO MỖI NGƯỜI DÙNG
Việc quản lý tập trung các quyền truy cập vào các máy ở cấp máy chủ cung cấp một lớp bảo mật bổ sung cho việc quản lý quyền của người dùng. Mọi người dùng phải thuộc một nhóm đã được chỉ định vai trò (quyền) để truy cập vào mọi bộ định tuyến hoặc nhóm của họ.
Hệ thống sẽ cung cấp khả năng hỗ trợ quản lý tất cả các tài khoản của người dùng được ủy quyền, bao gồm thêm, kích hoạt, sửa đổi, vô hiệu hóa và xóa tài khoản.
CÁC KẾT NỐI VÀ THAY ĐỔI PHẢI CÓ THỂ ĐƯỢC KIỂM TRA
Hệ thống phải có khả năng ghi nhật ký các sự kiện về kiểm soát truy cập, lỗi, hệ điều hành, hệ thống kiểm soát, sao lưu và khôi phục, thay đổi cấu hình, hoạt động do thám tiềm năng và nhật ký kiểm tra. Hồ sơ đánh giá riêng lẻ phải bao gồm dấu thời gian, nguồn, danh mục, loại, ID sự kiện và kết quả sự kiện.
CHO PHÉP/ NGĂN QUYỀN TRUY CẬP TỪ XA
Các nhà cung cấp thường sẽ yêu cầu quyền truy cập từ xa vì hai lý do: hỗ trợ vận hành khẩn cấp và bảo trì hệ thống. Bảo trì hệ thống thường có thể được lên lịch và các giao thức cho các kết nối truy cập từ xa có thể được thiết lập và giám sát.
Do đó, để cung cấp khả năng kiểm soát và bảo mật bổ sung, VPN và / hoặc truy cập internet phải được bật / tắt thông qua tín hiệu cơ học, chẳng hạn như công tắc phím. Điều này cho phép chủ đầu tư vô hiệu hóa kết nối từ xa của nhà cung cấp cho đến khi được yêu cầu. Sau khi hoàn thành nhiệm vụ, chủ đầu tư có thể tắt kết nối từ xa của nhà cung cấp một lần nữa.
3. Tất cả các kết nối phải được bảo mật và mã hóa
VPN LÀ MỘT PHƯƠNG PHÁP HAY NHẤT
Nhân viên hỗ trợ từ xa kết nối qua Internet nên sử dụng giao thức được mã hóa, chẳng hạn như chạy máy, khách kết nối VPN, application server hoặc access HTTP an toàn và xác thực bằng cơ chế mạnh, chẳng hạn như lược đồ xác thực đa yếu tố dựa trên mã thông báo.
4. Thiết kế một kiến trúc remote access thích hợp bên trong cơ sở của bạn.
CÁC NHÀ CUNG CẤP MÁY CHỈ NÊN CÓ QUYỀN TRUY CẬP VÀO MÁY CỦA HỌ, KHÔNG PHẢI VÀO MẠNG
Nhà cung cấp máy chỉ nên tiếp cận các máy do mình phụ trách để hỗ trợ và bảo trì trong nhà máy. Vì vậy, hệ thống phải có thể định cấu hình để tách biệt phân đoạn hoặc vùng mạng máy với phần còn lại của mạng.
TRÁNH SỬ DỤNG THIẾT BỊ ĐIỀU KHIỂN (HMI, PC, PLC…) LÀM MÁY CHỦ VPN ĐỂ KẾT NỐI TỪ XA
Sử dụng bất kỳ thiết bị nào là một phần của điều khiển máy (chẳng hạn như PC, HMI hoặc PLC) làm máy chủ VPN có thể làm giảm tài nguyên của nó và do đó hiệu suất của nó cho nhiệm vụ chính của nó, đó là chính điều khiển. Để đảm bảo tính khả dụng của hệ thống điều khiển, nó cũng phải cung cấp khả năng hoạt động ở chế độ bị suy giảm trong sự kiện DoS. Do đó, một bộ định tuyến bên ngoài sẽ hoạt động như một thiết bị bảo vệ ranh giới để lọc một số loại gói tin nhất định nhằm bảo vệ hệ thống điều khiển không bị ảnh hưởng trực tiếp bởi các DoS, từ đó tránh được mọi cuộc tấn công từ bên ngoài làm ảnh hưởng trực tiếp đến hệ thống điều khiển và dừng máy.
CHỈ CHO PHÉP CÁC KẾT NỐI ĐI TỪ CÁC VÙNG ĐÁNG TIN CẬY ĐẾN KHÔNG ĐÁNG TIN CẬY
Không có firewall ports gửi đến nào được mở hoặc tiếp xúc với Internet và không cần địa chỉ IP Internet tĩnh.
Bộ định tuyến công nghiệp phải bắt đầu kết nối point-to-point VPN tunnel bảo mật gửi đi với một tài khoản cụ thể trên cloud. Tunnel này được xác thực và mã hóa bằng HTTPs, đi qua mạng công ty và thông qua firewall (chỉ dành cho thư đi).
5. Chọn một giải pháp có thể bảo trì để hướng tới tương lai
LUÔN CẬP NHẬT LIÊN TỤC FIRMWARE VERSION MỚI NHÁT VÀ CÁC BẢN CẬP NHẬT BẢN VÁ BẢO MẬT
Phù hợp với khuyến nghị của nhà sản xuất thiết bị. Hơn nữa, bạn có thể được ICS-CERT (Hệ thống điều khiển công nghiệp khẩn cấp về mạng) thông báo về các lỗ hổng được tìm thấy trong thiết bị tự động hóa công nghiệp và cũng nhận được các khuyến nghị về sửa đổi bắt buộc.
Các hệ thống có trong giải pháp remote access (router và dịch vụ cloud) không phải lúc nào cũng quan trọng và hầu hết thời gian đều bị ngắt kết nối. Do đó, không cần thiết phải tuân theo các chính sách cụ thể cho việc nâng cấp hệ thống khác với những chính sách được nhà sản xuất khuyến nghị. Chủ đầu tư nên chuẩn hóa và duy trì cách thức và thời điểm nhận bản sửa chữa bảo mật mới nhất.
TÍNH KHẢ DỤNG CAO CỦA DỊCH VỤ REMOTE ACCESS
Bất cứ khi nào cần hỗ trợ remote access để hỗ trợ vận hành khẩn cấp, dịch vụ từ xa trở nên quan trọng đối với tính khả dụng của máy. Do đó, nhà cung cấp dịch vụ của quyền truy cập phải đảm bảo tính khả dụng cao của dịch vụ cloud với SLA (Thỏa thuận mức dịch vụ) và SLA này phải được củng cố bằng một số hành động và mục tiêu kiểm soát.
Đây chỉ là một số khuyến nghị của chúng tôi dành cho tất cả các công ty đang tìm cách tiêu chuẩn hóa giải pháp remote access
Nếu bạn muốn tìm hiểu thêm, HMS Industrial Networks đã tạo một hướng dẫn tất cả trong một với cuốn sách. Remote access an toàn dành cho giả lập của chúng tôi, mà bạn có thể tải xuống bên dưới:
