Vào cuối tháng 12 năm 2025, cơ sở hạ tầng năng lượng trọng yếu của Ba Lan — bao gồm các trang trại điện gió và điện mặt trời, nhà máy nhiệt điện kết hợp và các hệ thống công nghiệp — đã trở thành mục tiêu của một cuộc tấn công mạng phối hợp do các tin tặc được cho là thuộc sở hữu nhà nước thực hiện.
Dưới đây là tóm tắt nhanh về những gì nhóm tấn công đã đạt được:
- Ban đầu, chúng truy cập thông qua các thiết bị VPN/tường lửa dễ bị tấn công (ví dụ: phần cứng Fortinet) bằng thông tin đăng nhập mặc định và không sử dụng xác thực đa yếu tố.
- Sau khi xâm nhập, chúng tiếp cận hệ thống điều khiển vận hành (OT) và hệ thống điều khiển công nghiệp (ICS), triển khai phần mềm độc hại "xóa" có tính phá hoại, được thiết kế để xóa hoặc làm hỏng các tập tin trên bộ điều khiển và giao diện người máy (HMI).
- Cuộc tấn công đã gây mất liên lạc và gián đoạn giám sát giữa các cơ sở và nhà điều hành lưới điện, làm hỏng phần mềm điều khiển, và thậm chí gây hư hại vĩnh viễn cho một số thiết bị ICS — nhưng không gây ra mất điện diện rộng.
Các điốt dữ liệu có thể đã giúp ích như thế nào?
Bộ chuyển mạch dữ liệu là một thiết bị phần cứng an ninh mạng giúp đảm bảo luồng dữ liệu một chiều, nghĩa là dữ liệu chỉ có thể di chuyển theo một hướng duy nhất—từ mạng này sang mạng khác—mà không có khả năng lưu lượng truy cập ngược lại. Hãy cùng khám phá một số cách mà bộ chuyển mạch dữ liệu có thể đã ngăn chặn cuộc tấn công này.
1. Ngăn chặn truy cập trái phép vào mạng vận hành
Các thiết bị OT và ICS có thể truy cập được thông qua mạng vì thiết bị biên (như cổng VPN) dẫn vào các môi trường đó. Nếu có sử dụng, các diode dữ liệu có thể được dùng giữa:
- Mạng lưới hướng ra internet và phân khúc CNTT doanh nghiệp
- Phân khúc CNTT doanh nghiệp và lĩnh vực OT/ICS
Với một đi-ốt được lắp đặt, ngay cả khi kẻ tấn công xâm nhập được vào dịch vụ VPN, chúng cũng không thể đưa lưu lượng truy cập hai chiều vào miền OT.
Điều này có nghĩa là nếu thông tin đăng nhập bị đánh cắp, kẻ tấn công không thể gửi lệnh hoặc phần mềm độc hại vào các hệ thống nằm sau diode vì diode ngăn chặn vật lý lưu lượng truy cập vào vùng đó.
2. Bảo vệ các kênh giám sát/điều khiển
Một số hệ thống (như bảng điều khiển giám sát lưới điện hoặc máy chủ lưu trữ dữ liệu) thường cần dữ liệu từ hệ thống điều khiển công nghiệp (ICS) nhưng không bao giờ cần gửi lệnh ngược lại. Với một thiết bị chuyển mạch dữ liệu, dữ liệu OT có thể được gửi đến các hệ thống giám sát một cách an toàn, và không có hệ thống bên ngoài hoặc hệ thống thuộc miền doanh nghiệp nào có thể khởi tạo lưu lượng truy cập vào các thiết bị OT.
Đây là một thành phần quan trọng của kiến trúc phòng thủ trong môi trường công nghiệp, nơi giao thông phải đi một chiều.
3. Khả năng chống lại sự di chuyển ngang
Trong cuộc tấn công này, sau khi xâm nhập vào mạng, kẻ tấn công di chuyển theo chiều ngang — từ các điểm truy cập vào các miền Windows phía máy chủ và bộ điều khiển OT. Nếu có thiết bị chống nhiễu dữ liệu (data diode), việc phân đoạn mạng sẽ được thực thi về mặt vật lý. Thiết bị này cũng sẽ đảm bảo rằng các khoảng trống vật lý (air gap) được kiểm soát an toàn với luồng dữ liệu một chiều.
Ngay cả khi kẻ tấn công xâm nhập được vào một phân vùng, chúng cũng không thể tiếp cận các phân vùng khác nếu những phân vùng đó được bảo vệ bởi các rào cản một chiều.
Bảo mật mạng đa lớp
Điều quan trọng cần nhớ là việc triển khai các diode dữ liệu là một phần quan trọng của chiến lược an ninh mạng OT tổng thể, nhưng không phải là phần duy nhất.
- Thực thi xác thực mạnh mẽ
- Cập nhật thường xuyên về các lỗ hổng bảo mật hoặc cấu hình sai phần mềm.
- Hãy nhớ rằng điốt là công cụ điều khiển thiết kế mạch, chứ không phải công cụ giám sát.
Nói cách khác, điốt phát huy hiệu quả tối đa khi là một phần của chiến lược phòng thủ nhiều lớp, cần được kết hợp với:
- Thông tin xác thực mạnh mẽ và xác thực đa yếu tố (MFA).
- Vá lỗi và xác minh phần mềm đúng cách
- Phân đoạn mạng và quyền truy cập tối thiểu
- Hệ thống phát hiện bất thường và xâm nhập
Do hoặc Diode
Các điốt dữ liệu bảo vệ môi trường quan trọng bằng cách cung cấp luồng dữ liệu một chiều được thực thi về mặt vật lý, khiến kẻ tấn công khó tiếp cận và kiểm soát các hệ thống công nghiệp hơn ngay cả khi chúng vượt qua được các thiết bị ngoại vi. Trong trường hợp của Ba Lan - nơi tin tặc đã khai thác các hệ thống tiếp xúc với internet và xâm nhập vào phần cứng điều khiển - việc triển khai chiến lược các điốt có thể đã:
- Chặn các đường tấn công vào các phân đoạn OT
- Ngăn chặn việc phát tán lệnh độc hại và phần mềm độc hại vào hệ thống điều khiển công nghiệp (ICS).
- Giới hạn phạm vi của các hành động phá hoại
OPSWAT Dòng sản phẩm Optical Diode MetaDefender của chúng tôi cung cấp nhiều kiểu dáng và cấu hình khác nhau, được thiết kế chuyên dụng để đáp ứng nhu cầu bảo mật khu vực xung quanh của bạn. Hãy liên hệ với chuyên gia ngay hôm nay và khám phá cách một trong những điốt hoặc giải pháp cổng một chiều của chúng tôi có thể giữ an toàn cho môi trường quan trọng của bạn.
