Bảo mật mạng cho máy CNC nên bắt đầu bằng sơ đồ luồng dữ liệu, chứ không phải bằng cáp Ethernet. Liệt kê mọi kết nối được phê duyệt, thông tin truyền qua đó, hướng, giao thức hoặc dịch vụ, mục đích kinh doanh, ranh giới tin cậy, tài khoản, nhật ký, phương thức cập nhật, quy tắc hỗ trợ từ xa và chủ sở hữu. Nếu một luồng dữ liệu không có chủ sở hữu hoặc mục đích, nó chưa sẵn sàng để kết nối.
Zhihe CNC có thể thảo luận về các giao diện có sẵn trên cấu hình máy móc và điều khiển đã được báo giá. Người mua vẫn chịu trách nhiệm về môi trường công nghệ vận hành, chương trình an ninh mạng, các quyết định rủi ro, hệ thống nhận dạng, thiết kế mạng, giám sát, sao lưu, quyền truy cập của nhà cung cấp và các nghĩa vụ tại địa phương. Không có một cấu hình máy nào có thể bảo vệ toàn bộ nhà máy.
Theo dõi toàn bộ quá trình từ khâu thiết kế đến điều khiển bằng một tệp chương trình duy nhất.
Chọn một chương trình NC đã được phát hành và theo dõi nó. Bản gốc được lưu trữ ở đâu? Ai phê duyệt nó? Nó được chuyển đến mạng sản xuất như thế nào? Hệ thống nào quét, chuyển đổi hoặc đăng tải nó? Ai chuyển nó đến bộ điều khiển? Điều gì xác định phiên bản hiệu quả? Máy có thể ghi lại không? Kết quả được lưu trữ như thế nào?
Hành trình này hé lộ những cầu nối ẩn: thư mục chia sẻ, thiết bị USB, máy tính xách tay, máy tính để bàn từ xa, cổng kết nối của nhà cung cấp, đồng bộ hóa đám mây và tài khoản cá nhân. Hãy vẽ ra những gì thực sự đang diễn ra ngày nay, chứ không phải quy trình được mô tả trong một chính sách mà người vận hành không thể sử dụng.
Kết thúc quá trình theo dõi bằng việc khôi phục. Nếu bộ điều khiển được thay thế hoặc bộ nhớ bị lỗi, hãy xác định nguồn đáng tin cậy cho các chương trình, tham số, độ lệch, macro, dữ liệu công cụ, quy trình dò tìm và bản ghi cấu hình. Một bản sao lưu chưa từng được khôi phục là một giả định không đáng tin cậy.
Kiểm kê tài sản trước khi áp dụng quyền kiểm soát
Ghi lại số sê-ri máy, bộ điều khiển CNC và phiên bản, bảng điều khiển vận hành, máy tính công nghiệp (nếu có), giao diện mạng, bộ chuyển mạch, cổng kết nối, thiết bị không dây hoặc di động, thiết bị hỗ trợ từ xa, robot, đầu dò, hệ thống kiểm tra, bộ thu thập dữ liệu và trạm làm việc kỹ thuật. Bao gồm cả các tài sản thường không được kết nối nhưng được đưa vào sử dụng trong quá trình bảo trì.
Đối với mỗi tài sản, hãy ghi rõ tên chủ sở hữu doanh nghiệp, chủ sở hữu kỹ thuật, người liên hệ nhà cung cấp, vị trí, chức năng được phê duyệt, trạng thái hỗ trợ, thẩm quyền tài khoản, phương án dự phòng và lộ trình thay thế. Đánh dấu các thành phần không được hỗ trợ hoặc không xác định là rủi ro chưa được giải quyết. An ninh mạng máy CNC không thể được quản lý từ một danh sách bỏ qua các thiết bị dịch vụ tạm thời.
| Tài sản hoặc kết nối | Mục đích kinh doanh | Hướng dữ liệu | Chủ sở hữu và sự chấp thuận | Bằng chứng phục hồi |
|---|---|---|---|---|
| Điều khiển CNC cho máy chủ sản xuất | Nhận chương trình đã phát hành / trả lại hồ sơ đã được phê duyệt | Xác định dòng chảy một chiều hoặc hai chiều | Kỹ thuật sản xuất và vận hành máy tính (OT) | Đã kiểm tra khôi phục chương trình/cấu hình |
| Bộ thu thập dữ liệu máy | Thu thập trạng thái hoặc bộ đếm được đặt tên | Máy móc thành bộ sưu tập | Vận hành và OT | Kế hoạch dự phòng, gián đoạn và đảm bảo tính toàn vẹn |
| Cổng hỗ trợ nhà cung cấp | Chẩn đoán có giới hạn thời gian | Phiên được ủy quyền rõ ràng | Chủ sở hữu dịch vụ và bảo mật | Kiểm tra ghi lại phiên và thu hồi |
| Máy tính xách tay kỹ thuật | Vận hành thử hoặc bảo trì có kiểm soát | Cụ thể theo nhiệm vụ | Kỹ thuật được ủy quyền | Làm sạch dữ liệu ban đầu và bàn giao tập tin. |
| Phương tiện lưu trữ có thể tháo rời | Chuyển giao ngoại lệ | Nhập khẩu/xuất khẩu có kiểm soát | Chủ sở hữu chính sách trang web | Quét, lưu giữ và lưu trữ hồ sơ |
Thay thế các nhãn chung chung bằng tên hệ thống và dữ liệu thực tế của người mua.
Xác định các khu vực xung quanh hậu quả sản xuất
Phân nhóm tài sản theo chức năng, độ tin cậy và hậu quả, sau đó lập tài liệu về các đường dẫn được kiểm soát giữa các nhóm. Một dây chuyền CNC, dịch vụ dữ liệu sản xuất, môi trường kỹ thuật, dịch vụ truy cập nhà cung cấp và mạng lưới doanh nghiệp không nên được coi là một khối thống nhất chỉ vì việc giao tiếp thuận tiện.
Tiêu chuẩn NIST SP 800-82 Phiên bản 3 cung cấp hướng dẫn về bảo mật công nghệ vận hành và nhấn mạnh các yêu cầu về hiệu suất, độ tin cậy và an toàn của OT. Hãy sử dụng tiêu chuẩn này cùng với khung quản lý rủi ro và đội ngũ chuyên gia đủ điều kiện của người mua. Một sơ đồ được sao chép từ hướng dẫn sẽ không trở thành một kiến trúc an toàn cho đến khi nó được điều chỉnh, triển khai, kiểm tra và vận hành.
Chỉ cho phép các luồng được đặt tên
Tạo một sổ đăng ký luồng với các thông tin về nguồn, đích, hướng, dịch vụ, cổng (nếu có), xác thực, mã hóa (nếu được hỗ trợ và phù hợp), tần suất, phân loại dữ liệu, giám sát, hành vi lỗi và ngày hết hạn hoặc ngày xem xét. Ghi lại quy trình nghiệp vụ phụ thuộc vào luồng này.
Tránh kích hoạt các dịch vụ quá rộng chỉ vì một ứng dụng trong tương lai có thể cần đến chúng. Hãy bắt đầu với đường dẫn tối thiểu được ghi lại cần thiết cho chức năng sản xuất đã được phê duyệt, sau đó kiểm tra nó. Khi thêm một bảng điều khiển mới, dịch vụ DNC, trình kết nối MES, camera, robot hoặc công cụ bảo trì, hãy mở lại sổ đăng ký thay vì cho rằng nó được kế thừa độ tin cậy.
Coi tính khả dụng và an toàn là các yếu tố đầu vào trong thiết kế.
Việc thay đổi bảo mật có thể làm gián đoạn quá trình sản xuất hoặc gây ảnh hưởng đến hoạt động ổn định hoặc liên quan đến an toàn nếu được thực hiện không cẩn thận. Trước khi quét, vá lỗi, lọc, thay đổi xác thực hoặc kiểm thử chủ động, hãy xác định phương pháp được phê duyệt, khung thời gian bảo trì, sao lưu, khôi phục, trạng thái an toàn và người chịu trách nhiệm.
Không được thực hiện kiểm thử xâm nhập, quét lỗ hổng bảo mật hoặc thử nghiệm cấu hình trên máy chủ đang hoạt động mà không có sự cho phép rõ ràng và kế hoạch được thiết kế bài bản. Hậu quả về mặt sản xuất và an toàn cần được xem xét cùng với tính bảo mật và toàn vẹn dữ liệu khi đưa ra quyết định.
Đặt hỗ trợ từ xa sau cổng phiên.
Dịch vụ từ xa nên được vô hiệu hóa hoặc không khả dụng theo mặc định trừ khi kiến trúc được phê duyệt yêu cầu trạng thái được kiểm soát khác. Xác định ai yêu cầu phiên, ai phê duyệt, cách xác minh danh tính, cách kích hoạt quyền truy cập, những đích đến và chức năng nào được cho phép, thời gian kéo dài bao lâu, cách theo dõi hoặc ghi nhật ký hoạt động và cách thu hồi quyền truy cập.
Không bao giờ coi mật khẩu dùng chung vĩnh viễn là một chiến lược dịch vụ. Ghi lại thông tin tài khoản nhà cung cấp, các bên trung gian, tùy chọn xác thực đa yếu tố (nếu có), quyền truy cập khẩn cấp, múi giờ, ngôn ngữ, quy trình xử lý sự cố và những gì xảy ra khi cổng chính không khả dụng. Thiết kế cuối cùng phải phù hợp với thiết bị đã chọn và các điều khiển tại chỗ.
| Cổng hỗ trợ từ xa | Bằng chứng trước khi mở cửa | Bằng chứng trong phiên họp | Bằng chứng đóng cửa |
|---|---|---|---|
| Nhu cầu kinh doanh | Số vé, phạm vi lỗi, tài sản bị ảnh hưởng | Phạm vi vẫn không thay đổi hoặc được phê duyệt lại. | Kết quả và vấn đề còn lại |
| Danh tính và quyền hạn | Kỹ thuật viên và người phê duyệt được chỉ định | Thông tin tài khoản/phiên hiển thị | Quyền truy cập đã bị thu hồi hoặc vô hiệu hóa |
| Lộ trình kỹ thuật | Cổng, nguồn, đích, quyền đã được phê duyệt | Theo dõi hoặc ghi lại phiên làm việc như được thiết kế | Nhật ký được lưu giữ theo chính sách |
| Trạng thái sản xuất | Sao lưu, trạng thái an toàn, cửa sổ bảo trì | Các thay đổi và lệnh được theo dõi | Kiểm tra chức năng và sản xuất |
| Kiểm soát thay đổi | Các tệp/cài đặt đã lên kế hoạch và khả năng khôi phục | Các sai lệch được phê duyệt rõ ràng | Cấu hình cuối cùng và bản sao lưu đã được cập nhật. |
Cổng này biến việc truy cập từ xa thành một sự kiện dịch vụ được kiểm soát.
Đặt tài khoản ở chế độ cá nhân và vai trò ở mức nhỏ.
Ở những nơi nền tảng hỗ trợ, hãy sử dụng các tài khoản có thể nhận dạng và quyền hạn dựa trên vai trò phù hợp với các nhiệm vụ của người vận hành, lập trình viên, bảo trì, quản trị viên, tích hợp viên và dịch vụ. Kiểm soát các tài khoản mặc định, không hoạt động, dùng chung và khẩn cấp. Lưu trữ thông tin đăng nhập bằng hệ thống được người mua phê duyệt thay vì trong sổ tay hoặc ghi chú chương trình không được kiểm soát.
Một số biện pháp kiểm soát cũ hoặc tích hợp sẵn có những hạn chế. Hãy ghi lại chúng một cách trung thực và bổ sung các biện pháp kiểm soát bù trừ ở các lớp khác, chẳng hạn như quyền truy cập vật lý, ranh giới mạng, cổng phiên, phê duyệt quy trình hoặc giám sát. Đừng khẳng định rằng một mật khẩu mạnh có thể giải quyết được vấn đề phần mềm không được hỗ trợ hoặc thiết kế mạng đơn giản.
Quản lý USB và máy tính xách tay dịch vụ như các tuyến đường.
Phương tiện lưu trữ di động là một luồng dữ liệu có quyền kiểm soát vật lý. Xác định các thiết bị được phê duyệt, nguồn, quy trình quét, phê duyệt tập tin, bảo vệ ghi khi cần thiết, ghi nhật ký, lưu trữ và xử lý. Lập kế hoạch một lộ trình ngoại lệ khả thi để các nhóm sản xuất không bị buộc phải sử dụng phương tiện lưu trữ cá nhân ẩn.
Máy tính xách tay dùng trong dịch vụ có thể kết nối xuyên qua các ranh giới tin cậy và có thể chứa các công cụ của nhà cung cấp, bản sao lưu hoặc tệp cấu hình. Hãy lập danh mục chúng cho sự kiện, hạn chế tác vụ, xác nhận trạng thái đã được phê duyệt, kiểm soát việc sử dụng của quản trị viên cục bộ và thu thập các tệp cuối cùng. Việc ngắt kết nối cáp ở cuối không ghi lại được những gì đã thay đổi.
Hãy đưa ra quyết định về bản vá lỗi, chứ không phải khẩu hiệu cho bản vá lỗi.
Lập danh mục các phiên bản phần mềm và firmware, đồng thời thu thập thông tin nhà cung cấp cho cấu hình đã được cung cấp. Đánh giá mức độ phù hợp, hậu quả, các yếu tố phụ thuộc, nhu cầu xác thực, thời gian ngừng hoạt động, sao lưu, khôi phục và lịch trình sản xuất. Kiểm tra thông qua quy trình được người mua phê duyệt trước khi triển khai sản phẩm.
Cả chính sách "vá lỗi mọi thứ ngay lập tức" lẫn "không bao giờ động đến máy đang hoạt động" đều không phải là chính sách phù hợp. Trong trường hợp không thể áp dụng bản cập nhật, hãy ghi lại lý do, người chịu trách nhiệm rủi ro, các biện pháp kiểm soát bù trừ, quan điểm của nhà cung cấp, việc giám sát và ngày xem xét. Lưu giữ bằng chứng liên quan đến danh tính tài sản.
Bản ghi quyết định này cần được lưu trữ trong tệp bảo mật mạng máy CNC vì trạng thái vá lỗi mà không có ngữ cảnh vận hành rất dễ bị hiểu sai.
Bảo vệ cấu hình vàng
Xác định các tệp cần thiết để khôi phục trạng thái điều khiển và sản xuất: tham số, dữ liệu PLC hoặc dữ liệu bậc thang (nếu được ủy quyền), tùy chọn, giấy phép, macro, phần mềm dò tìm, độ lệch (nếu phù hợp), bảng công cụ, chương trình, cài đặt máy móc, cấu hình mạng, chứng chỉ hoặc khóa theo chính sách và các tệp tích hợp. Tách biệt quyền sở hữu trí tuệ do nhà cung cấp kiểm soát khỏi dữ liệu có thể khôi phục được bởi người mua và quyền truy cập tài liệu.
Sử dụng các bản sao lưu có phiên bản và được kiểm soát truy cập bên ngoài máy chủ. Kiểm tra quá trình khôi phục bằng phương pháp đã được phê duyệt và ghi lại thời gian, các phụ thuộc, các mục bị thiếu và vai trò chịu trách nhiệm. Ảnh chụp màn hình cài đặt có thể hỗ trợ chẩn đoán nhưng hiếm khi tạo thành một gói khôi phục hoàn chỉnh.
Theo dõi các sự kiện dẫn đến quyết định
Chọn các nhật ký và cảnh báo được liên kết với các hành động: xác thực không thành công, thiết bị mới, luồng dữ liệu bất thường, thay đổi cấu hình, phiên làm việc từ xa, bảo vệ bị vô hiệu hóa, truyền tải tập tin bất thường, lỗi sao lưu, sai lệch thời gian hoặc mất kết nối. Xác định ai nhận được sự kiện, tốc độ xem xét và hành động tiếp theo cần thực hiện trong môi trường sản xuất.
Tránh thu thập dữ liệu mà không có thời gian lưu trữ, đồng bộ hóa thời gian, ngữ cảnh hoặc quyền sở hữu. Mục tiêu không phải là đạt được dung lượng nhật ký tối đa. Mục tiêu là thu thập đủ bằng chứng đáng tin cậy để điều tra và ngăn chặn một sự kiện quan trọng mà không cần phải dừng sản xuất vì mỗi biến động nhỏ không gây hại.
Kiểm tra danh sách tín hiệu so với sơ đồ luồng dữ liệu bảo mật mạng máy CNC để đảm bảo việc giám sát không tạo ra các kết nối không được ghi chép riêng.
Thực hành phục hồi với hướng dẫn chi tiết trên bàn
Hãy sử dụng một kịch bản như máy chủ chương trình không khả dụng, bộ nhớ điều khiển bị lỗi, phiên làm việc từ xa đáng ngờ hoặc tệp bị hỏng. Trình bày chi tiết các bước: phát hiện, tạm dừng sản xuất, trạng thái an toàn, leo thang sự cố, bảo quản bằng chứng, các thao tác thay thế, khôi phục, kiểm tra tính toàn vẹn, kiểm tra chức năng máy, xác minh bước đầu và phát hành.
Không được đưa phần mềm độc hại vào hoặc làm gián đoạn hoạt động của một nhóm đang vận hành. Một bài tập mô phỏng trên bàn có thể giúp phát hiện an toàn các liên hệ bị thiếu, bản sao lưu, bản vẽ, thông tin đăng nhập, phương tiện lưu trữ dự phòng và quyền quyết định. Sau đó, hãy tiến hành các bài kiểm tra kỹ thuật có kiểm soát đã được phê duyệt cho hệ thống.
Đóng băng vấn đề an ninh mạng trong quá trình bàn giao mua bán.
Bao gồm các giao diện mạng, dịch vụ được hỗ trợ, luồng dữ liệu đầu vào hoặc đầu ra cần thiết, mô hình tài khoản, thiết kế hỗ trợ từ xa, phiên bản phần mềm, lộ trình cập nhật, sao lưu, ghi nhật ký, nguồn thời gian, chứng chỉ (nếu có), thông tin liên hệ nhà cung cấp, thông tin vòng đời sản phẩm, tài liệu và các bài kiểm tra chấp nhận trong hồ sơ thương mại và kỹ thuật.
Hướng dẫn "Bảo mật theo yêu cầu" chung của CISA dành cho chủ sở hữu và nhà điều hành hệ thống vận hành máy chủ (OT) nêu rõ vấn đề bảo mật sản phẩm như một vấn đề mua sắm và đưa ra các câu hỏi cho người mua. Hãy sử dụng nó như một yếu tố đầu vào trong quy trình đánh giá rủi ro của hệ thống, chứ không phải là một chứng nhận cho sản phẩm hoặc nhà cung cấp.
Hồ sơ bảo mật mạng máy CNC cần phân biệt các tính năng tiêu chuẩn, tùy chọn, thiết bị của bên thứ ba, cơ sở hạ tầng của người mua và các trường hợp ngoại lệ. Một quá trình chuyển giao hữu ích không đảm bảo tính bất khả xâm phạm. Nó cho nhóm tiếp nhận biết những gì đang tồn tại, lý do tại sao nó được kết nối và ai có thể thay đổi nó.
Mười câu hỏi về bảo mật mạng máy CNC
Liệu máy CNC mới có nên kết nối trực tiếp với mạng nội bộ của văn phòng không?
Không phải theo mặc định. Thiết kế các khu vực OT đã được phê duyệt và các luồng được kiểm soát dựa trên các yêu cầu kinh doanh và sản xuất, hậu quả, giới hạn nền tảng và chính sách của địa điểm.
Liệu một máy tính không kết nối mạng có tự động đảm bảo an toàn?
Không. Phương tiện lưu trữ di động, máy tính xách tay, truy cập vật lý, bảo trì, sao lưu và thay đổi cấu hình vẫn tạo ra các con đường và rủi ro.
Một thỏa thuận hỗ trợ từ xa nên bao gồm những gì?
Xác định các giới hạn về yêu cầu, phê duyệt, danh tính, cổng, quyền hạn, thời gian, giám sát, kiểm soát thay đổi, ghi nhật ký, đóng, thu hồi và hỗ trợ.
Có thể sử dụng các công cụ vá lỗi CNTT thông thường trên bộ điều khiển này không?
Chỉ có thể thực hiện thông qua quy trình OT được phê duyệt, có xem xét đến sự hỗ trợ của nhà cung cấp, an toàn, tính khả dụng, khả năng tương thích, thử nghiệm, sao lưu, khôi phục và thời gian bảo trì.
Những tệp CNC nào cần được sao lưu?
Xác định mọi thứ cần thiết cho việc xây dựng lại và khôi phục sản xuất được ủy quyền, sau đó tôn trọng quyền sở hữu trí tuệ, giấy phép của nhà cung cấp và các chính sách bảo mật của trang web.
Tài khoản dùng chung với nhà mạng có được chấp nhận không?
Các hạn chế của nền tảng rất khác nhau. Ưu tiên quyền truy cập có thể quy kết nếu được hỗ trợ; ghi lại các hạn chế và áp dụng các biện pháp kiểm soát mạng, vật lý, quy trình và giám sát phù hợp.
Việc truyền dữ liệu qua USB nên được kiểm soát như thế nào?
Sử dụng phương tiện lưu trữ, giám sát, quét, ủy quyền tập tin, ghi nhật ký, lưu trữ dữ liệu, xử lý ngoại lệ đã được phê duyệt và một quy trình mà người vận hành có thể tuân theo dưới áp lực sản xuất.
Hành động ứng phó sự cố đầu tiên là gì?
Hãy tuân theo kế hoạch của trang web. Bảo vệ con người và quy trình, bảo quản bằng chứng khi có thể, giới hạn phạm vi đã xác định và có sự tham gia của các vai trò được ủy quyền trong nhóm vận hành, sản xuất và nhà cung cấp.
Nên mở lại cơ sở dữ liệu mạng vào thời điểm nào?
Sau khi có những thay đổi đáng kể về quyền kiểm soát, phần mềm, tài khoản, cổng thanh toán, dịch vụ, luồng dữ liệu, tích hợp, nhà cung cấp, chính sách trang web hoặc thông tin về mối đe dọa.
Khách hàng nên hỏi Zhihe CNC những gì?
Yêu cầu thông tin về giao diện cấu hình cụ thể, các dịch vụ được hỗ trợ, thông tin phần mềm, phạm vi sao lưu và cập nhật, các tùy chọn hỗ trợ từ xa, tài liệu và người liên hệ dịch vụ được chỉ định.
Đưa bản vẽ luồng dữ liệu vào máy CNC Zhihe.
Xem xét danh mục sản phẩm và hồ sơ công ty của trung tâm gia công CNC Zhihe , sau đó sử dụng trang liên hệ để chia sẻ các yêu cầu tích hợp đã được phê duyệt cho hệ thống điều khiển và máy móc đề xuất.
Hãy yêu cầu cấu hình theo ngày tháng, giao diện và danh sách dịch vụ, các tùy chọn cần thiết, phạm vi hỗ trợ từ xa, việc bàn giao phần mềm và tài liệu, trách nhiệm sao lưu, kiểm thử nghiệm thu và thông tin liên hệ vòng đời sản phẩm. Một kế hoạch bảo mật mạng máy CNC thực tế sẽ không đề cập đến cáp vào giai đoạn cuối của cuộc thảo luận. Trước tiên, nó sẽ làm cho mọi luồng dữ liệu, tài khoản, thay đổi và quyết định khôi phục đều được hiển thị rõ ràng.
