Обеспечение безопасности сети станков с ЧПУ должно начинаться со схемы потока данных, а не с кабеля Ethernet. Перечислите все разрешенные соединения, информацию, которая через них проходит, направление, протокол или службу, цель использования, границы доверия, учетную запись, ведение журналов, метод обновления, правило удаленной поддержки и владельца. Если у потока данных нет владельца или цели, он не готов к подключению.
Компания Zhihe CNC может обсудить доступные интерфейсы для предлагаемой конфигурации системы управления и оборудования. Покупатель по-прежнему несет ответственность за свою технологическую среду, программу кибербезопасности, принятие решений по управлению рисками, системы идентификации, проектирование сети, мониторинг, резервное копирование, доступ к поставщикам и местные обязательства. Ни одна отдельная настройка оборудования не обеспечит безопасность всего завода.
От проектирования до управления используйте один программный файл.
Выберите выпущенную программу ЧПУ и проследите её выполнение. Где хранится исходный файл? Кто его утверждает? Как он перемещается в производственную сеть? Какая система сканирует, преобразует или размещает его? Кто передаёт его в систему управления? Что определяет действующую версию? Может ли станок записывать данные обратно? Как архивируется результат?
В ходе этого путешествия обнаруживаются скрытые связи: общие папки, USB-носители, ноутбуки, удаленные рабочие столы, шлюзы поставщиков, облачная синхронизация и личные учетные записи. Рисуйте то, что происходит на самом деле сегодня, а не процесс, описанный в политике, которую операторы не могут использовать.
Завершите трассировку восстановлением. Если блок управления заменен или хранилище данных вышло из строя, определите надежный источник данных для программ, параметров, смещений, макросов, данных инструментов, процедур проверки и записей конфигурации. Предполагается наличие резервной копии, которая никогда не восстанавливалась.
Перед назначением контрольных мер проведите инвентаризацию основных средств.
Запишите серийный номер станка, систему ЧПУ и ее версию, панель оператора, промышленный ПК (при наличии), сетевые интерфейсы, коммутаторы, шлюзы, беспроводные или сотовые устройства, оборудование для удаленной поддержки, роботы, датчики, системы контроля, устройства сбора данных и инженерные рабочие станции. Включите в список оборудование, которое обычно отключается от сети, но вводится в эксплуатацию.
Для каждого актива укажите владельца бизнеса, технического специалиста, контактное лицо поставщика, местоположение, утвержденную функцию, состояние поддержки, полномочия учетной записи, резервное копирование и способ замены. Отметьте неподдерживаемые или неизвестные компоненты как представляющие открытый риск. Управление сетевой безопасностью станков с ЧПУ невозможно из списка, в котором отсутствуют устройства временного обслуживания.
| Актив или связь | Цель бизнеса | Направление данных | Владелец и разрешение | доказательства обнаружения |
|---|---|---|---|---|
| Управление ЧПУ на производственном сервере | Получение выпущенной программы / возврат утвержденных документов | Определенный односторонний или двусторонний поток | Производственная инженерия и ОТ | Протестировано восстановление программы/конфигурации. |
| Сборщик машинных данных | Собирайте именованные статусы или счетчики. | Машина к коллектору | Операции и ОТ | План обеспечения буферной защиты, предотвращения простоев и сохранения целостности данных |
| Шлюз поддержки поставщика | Диагностика с ограниченным сроком действия | Явно авторизованная сессия | Владелец сервиса и безопасность | Проверка записи сессии и отзыва |
| Инженерный ноутбук | Ввод в эксплуатацию или контролируемое техническое обслуживание | Специфический для задачи | Авторизованный инженер | Очистка исходного состояния и передача файла. |
| Съемные носители | Передача исключений | Контролируемый импорт/экспорт | Владелец политики сайта | Сканирование, хранение и архивирование записей |
Замените общие названия на фактические названия систем и данные покупателя.
Определите зоны вокруг последствий производства.
Сгруппируйте активы по функциям, уровню доверия и последствиям, а затем задокументируйте контролируемые пути между группами. Не следует рассматривать цех ЧПУ, службу производственных данных, инженерную среду, службу доступа к поставщикам и корпоративную сеть как единый единый район только потому, что это удобно для обмена информацией.
Стандарт NIST SP 800-82 Revision 3 содержит рекомендации по обеспечению безопасности операционных технологий и акцентирует внимание на требованиях к производительности, надежности и безопасности операционных технологий. Используйте его в сочетании с системой управления рисками заказчика и квалифицированной командой. Диаграмма, скопированная из руководства, не становится безопасной архитектурой до тех пор, пока она не будет адаптирована, реализована, протестирована и эксплуатирована.
Разрешить только именованные потоки
Создайте реестр потоков, указав источник, получателя, направление, службу, порт (при наличии), аутентификацию, шифрование (при наличии и необходимости), частоту, классификацию данных, мониторинг, поведение при сбоях и дату истечения срока действия или проверки. Запишите бизнес-процесс, зависящий от потока.
Избегайте включения широких сервисов, поскольку они могут понадобиться будущему приложению. Начните с минимального документированного пути, необходимого для утвержденной производственной функции, а затем протестируйте его. При добавлении новой панели мониторинга, сервиса DNC, коннектора MES, камеры, робота или инструмента обслуживания, откройте реестр заново, а не предполагайте, что он наследует доверие.
При проектировании учитывайте доступность и безопасность.
Неосторожное применение изменений в системе безопасности может нарушить производственный процесс или помешать детерминированному или безопасному поведению. Перед сканированием, установкой исправлений, фильтрацией, изменением аутентификации или активным тестированием определите утвержденный метод, период технического обслуживания, резервное копирование, откат, безопасное состояние и ответственных лиц.
Не проводите тестирование на проникновение, сканирование уязвимостей или эксперименты с конфигурацией на производственном оборудовании без явного разрешения и разработанного плана. Принимая решение, необходимо учитывать последствия для производства и безопасности, а также конфиденциальность и целостность данных.
Внедрите удаленную поддержку за ограничением по времени сеанса.
Удалённая служба должна быть отключена или недоступна по умолчанию, если только утверждённая архитектура не требует иного контролируемого состояния. Определите, кто запрашивает сессию, кто её утверждает, как проверяется личность, как предоставляется доступ, какие адреса и функции разрешены, какова её продолжительность, как отслеживается или регистрируется активность и как отзывается доступ.
Никогда не рассматривайте постоянный общий пароль как стратегию обслуживания. Зафиксируйте учетные записи поставщиков, посредников, варианты многофакторной аутентификации (если поддерживаются), доступ в экстренных случаях, часовые пояса, язык, эскалацию и действия в случае недоступности основного шлюза. Окончательный проект должен соответствовать выбранному оборудованию и средствам управления на объекте.
| шлюз удаленной поддержки | Доказательства перед открытием | Доказательства, полученные во время заседания | доказательства закрытия |
|---|---|---|---|
| Потребность бизнеса | Номер заявки, область неисправности, затронутое оборудование. | Объем работ остается неизменным или утверждается повторно. | Результат и оставшаяся проблема |
| Идентичность и авторитет | Назначенный технический специалист и лица, утверждающие решения. | Идентификатор учетной записи/сессии виден | Доступ отозван или отключен |
| Технический путь | Утвержденные шлюз, источник, получатель, права доступа. | Мониторинг или запись сеанса в соответствии с задуманным | Журналы хранятся в соответствии с политикой |
| Производственное состояние | Резервное копирование, безопасное состояние, окно технического обслуживания | Отслеживаемые изменения и команды | Функциональная и производственная проверка |
| Изменение управления | Запланированные файлы/настройки и откат | Отклонения явно одобрены. | Окончательная конфигурация и резервная копия обновлены. |
Эти ворота превращают удаленный доступ в контролируемое сервисное событие.
Сделайте учетные записи персональными, а роли — небольшими.
Там, где это позволяет платформа, используйте идентифицируемые учетные записи и права доступа на основе ролей, соответствующие задачам оператора, программиста, специалиста по техническому обслуживанию, администратора, интегратора и сервисного обслуживания. Контролируйте учетные записи по умолчанию, неактивные, общие и аварийные. Храните учетные данные, используя утвержденную покупателем систему, а не в неконтролируемом блокноте или комментарии к программе.
Некоторые устаревшие или встроенные средства контроля имеют ограничения. Зафиксируйте их честно и добавьте компенсирующие меры контроля на других уровнях, таких как физический доступ, границы сети, шлюзы сеансов, процедурное утверждение или мониторинг. Не утверждайте, что один надежный пароль решает проблему неподдерживаемого программного обеспечения или плоской сетевой архитектуры.
Использование USB-портов и сервисных ноутбуков в качестве маршрутов.
Съемные носители — это поток данных с физическим хранением. Определите разрешенные устройства, источник, процесс сканирования, утверждение файлов, защиту от записи (где это необходимо), ведение журналов, хранение и утилизацию. Запланируйте работоспособный алгоритм действий в исключительных случаях, чтобы производственные группы не были вынуждены использовать скрытые личные носители.
Сервисные ноутбуки могут подключаться через границы доверия и содержать инструменты поставщика, резервные копии или файлы конфигурации. Необходимо провести их инвентаризацию для данного события, ограничить задачу, подтвердить их утвержденное состояние, контролировать использование локальным администратором и сохранить окончательные файлы. Отключение кабеля в конце не документирует произошедшие изменения.
Принимайте решения о внедрении обновлений, а не используйте слоган для обновления.
Проведите инвентаризацию версий программного обеспечения и микропрограмм, а также получите информацию о поставщике для поставленной конфигурации. Оцените актуальность, последствия, зависимости, необходимость проверки, время простоя, резервное копирование, откат и график работы в производственной среде. Проведите тестирование в соответствии с утвержденным покупателем процессом перед развертыванием в производственной среде.
Ни политика «немедленно обновлять всё», ни политика «никогда не трогать работающее оборудование» не являются адекватными. Если обновление невозможно применить, задокументируйте причину, ответственного за риски, компенсирующие меры контроля, позицию поставщика, мониторинг и дату проверки. Сохраняйте подтверждающие документы, привязанные к идентификатору актива.
Данная запись о принятом решении должна быть помещена в файл сетевой безопасности станков с ЧПУ, поскольку информацию о состоянии патчей без контекста работы легко неправильно истолковать.
Защитите Золотую Конфигурацию
Определите, какие файлы необходимы для восстановления состояния управления и производства: параметры, данные ПЛК или лестничной диаграммы (если разрешено), опции, лицензии, макросы, программное обеспечение для измерения, смещения (если применимо), таблицы инструментов, программы, настройки станка, конфигурация сети, сертификаты или ключи в соответствии с политикой, а также файлы интеграции. Разделите интеллектуальную собственность, контролируемую поставщиком, от данных, которые покупатель может восстановить, и права доступа к документам.
Используйте версионированные резервные копии с контролируемым доступом вне компьютера. Протестируйте восстановление утвержденным методом и запишите время, зависимости, отсутствующие элементы и ответственные роли. Скриншот настроек может помочь в диагностике, но редко представляет собой полный пакет восстановления.
Отслеживание событий, приводящих к принятию решений.
Выберите журналы и оповещения, связанные с действиями: сбой аутентификации, новое устройство, неожиданный поток данных, изменение конфигурации, удаленная сессия, отключенная защита, необычная передача файлов, сбой резервного копирования, смещение времени или потеря связи. Определите, кто получает событие, как быстро оно обрабатывается и какие действия предпринимаются после этого.
Избегайте сбора данных без учета сроков хранения, синхронизации по времени, контекста или принадлежности. Цель состоит не в максимальном объеме логов. Важно собрать достаточно достоверных данных для расследования и локализации значимого события, не останавливая производство из-за каждого безобидного отклонения.
Проверьте список сигналов на соответствие карте потока данных сетевой безопасности станка с ЧПУ , чтобы система мониторинга не создавала собственные незадокументированные соединения.
Отработка восстановления с помощью настольной пошаговой инструкции.
Рассмотрите сценарий, например, недоступность программного сервера, сбой в работе хранилища управляющих данных, подозрительную удаленную сессию или поврежденный файл. Пройдите пошаговый процесс обнаружения, блокировки производства, безопасного состояния, эскалации, сохранения доказательств, альтернативных операций, восстановления, проверки целостности, функциональной проверки оборудования, первичной проверки и выпуска.
Не внедряйте вредоносное ПО и не нарушайте работу работающей ячейки. Настольное моделирование позволит безопасно выявить отсутствующие контакты, резервные копии, чертежи, учетные данные, запасные носители и права принятия решений. После этого проведите контролируемые технические тесты, одобренные для данной системы.
Заморозить вопросы кибербезопасности на этапе передачи закупок.
Включите в коммерческую и техническую документацию информацию о сетевых интерфейсах, поддерживаемых сервисах, необходимых исходящих или входящих потоках, модели учетных записей, схеме удаленной поддержки, версиях программного обеспечения, маршруте обновления, резервном копировании, ведении журналов, источнике времени, сертификатах (при необходимости), контактных данных поставщика, информации о жизненном цикле, документации и приемочных испытаниях.
В совместном руководстве CISA по обеспечению безопасности по требованию для владельцев и операторов операционных технологий безопасность продукции рассматривается как вопрос закупок и предлагаются вопросы для покупателей. Используйте его как один из факторов в процессе управления рисками на объекте, а не как сертификацию продукта или поставщика.
В документе, описывающем сетевую безопасность станков с ЧПУ, следует указать стандартные функции, опции, оборудование сторонних производителей, инфраструктуру заказчика и исключения. Удобная передача информации не гарантирует полной неуязвимости. Она сообщает принимающей команде, что существует, зачем это подключено и кто может это изменить.
Десять вопросов о сетевой безопасности станков с ЧПУ
Следует ли подключать новый станок с ЧПУ напрямую к офисной сети?
Не по умолчанию. Проектирование утверждено для зон OT и контролируемых потоков на основе требований бизнеса и производства, последствий, ограничений платформы и политики объекта.
Является ли изолированное от сети устройство автоматически защищенным?
Нет. Съемные носители, ноутбуки, физический доступ, техническое обслуживание, резервное копирование и изменения конфигурации по-прежнему создают пути и риски.
Что должно включать в себя соглашение об удаленной технической поддержке?
Определите границы запроса, утверждения, идентификации, шлюза, разрешений, продолжительности, наблюдения, управления изменениями, ведения журнала, закрытия, отзыва и поддержки.
Можно ли использовать обычные средства установки обновлений ИТ-систем на управляющем устройстве?
Только в рамках утвержденного процесса OT, учитывающего поддержку поставщика, безопасность, доступность, совместимость, тестирование, резервное копирование, откат и окна технического обслуживания.
Какие файлы ЧПУ нуждаются в резервном копировании?
Определите все необходимое для авторизованного восстановления и возобновления работы, а затем соблюдайте права интеллектуальной собственности поставщиков, лицензионные соглашения и политику безопасности сайта.
Допустимы ли учетные записи операторов, работающих совместно с другими компаниями?
Ограничения платформы могут различаться. Предпочтительнее использовать атрибутированный доступ там, где это поддерживается; документируйте ограничения и применяйте соответствующие сетевые, физические, процедурные и мониторинговые средства контроля.
Как следует контролировать передачу данных через USB?
Используйте утвержденные носители, хранение, сканирование, авторизацию файлов, ведение журналов, хранение, обработку исключений и маршрут, которому операторы могут следовать в условиях производственной нагрузки.
Каковы первоочередные действия по реагированию на инцидент?
Следуйте плану объекта. Обеспечьте безопасность людей и процессов, сохраняйте доказательства, где это возможно, ограничивайте определенную область действия и привлекайте уполномоченных специалистов по технологическим операциям, производству и поставщиков.
Когда следует возобновить проверку базовых параметров сети?
После существенных изменений в информации о контроле, программном обеспечении, учетной записи, шлюзе, сервисе, потоке данных, интеграции, поставщике, политике сайта или угрозах.
Что должны запрашивать покупатели у компании Zhihe CNC?
Запросите информацию о специфических для конфигурации интерфейсах, поддерживаемых сервисах, программном обеспечении, области резервного копирования и обновления, вариантах удаленной поддержки, документах и контактных данных указанных служб.
Перенесите схему потока данных в станок с ЧПУ Zhihe.
Ознакомьтесь с портфолио обрабатывающих центров с ЧПУ компании Zhihe и ее профилем , а затем воспользуйтесь страницей контактов , чтобы сообщить о требованиях к интеграции предлагаемой системы управления и станка.
Запросите информацию о конфигурации с указанием даты, интерфейсе и списке служб, необходимых параметрах, границах удаленной поддержки, передаче программного обеспечения и документации, обязанностях по резервному копированию, приемочных испытаниях и контактах по жизненному циклу. Практичный план сетевой безопасности для станков с ЧПУ откладывает обсуждение кабеля до позднего этапа. Во-первых, он делает видимыми все потоки данных, учетные записи, изменения и решения по восстановлению.
