Secure Di chuyển dữ liệu trọng yếu ở quy mô lớn
Các nhà sản xuất luôn phải đối mặt với thách thức trong việc kiểm soát chi phí năng lượng và bảo trì. Thiết bị tại nhà máy của họ có thể tiêu tốn hàng triệu đô la năng lượng và nước mỗi năm, và ngay cả những vấn đề nhỏ về hiệu suất cũng có thể khiến chi phí tăng nhanh chóng.
Một mối lo ngại lớn khác là sự cố thiết bị bất ngờ. Việc thiếu bảo trì dự đoán có thể khiến sản xuất bị đình trệ, gây thiệt hại đáng kể về doanh thu với mỗi giờ ngừng hoạt động.
Theo Aberdeen Research, các nhà sản xuất có thể mất tới 260.000 đô la mỗi giờ do thời gian ngừng hoạt động ngoài kế hoạch. Với việc các cuộc tấn công hiện nay gây ra trung bình 21 ngày ngừng hoạt động, thiệt hại không thể lớn hơn.
Để giải quyết những vấn đề này, các nhà sản xuất sử dụng nền tảng phân tích và hợp đồng hiệu suất tiết kiệm năng lượng để hỗ trợ đội ngũ bảo trì. Họ sử dụng OPC và các luồng dữ liệu khác để theo dõi các thiết bị trọng yếu tại mỗi cơ sở, ưu tiên các tác vụ và đầu tư trực tiếp.
Tuy nhiên, các nhóm bảo mật OT (Công nghệ vận hành) nội bộ nhận thấy rủi ro an ninh mạng rất lớn khi kết nối nhà máy với Internet:
- Các thiết bị OT cũ thường thiếu khả năng bảo mật hoặc vá lỗi tích hợp.
- Việc tiết lộ nguồn dữ liệu OPC ra bên ngoài có thể tạo ra các hướng tấn công cho kẻ thù.
- Việc sửa đổi hệ thống sản xuất rất tốn kém và có nguy cơ gây ngừng hoạt động.
Những lo ngại về an ninh này hoàn toàn có cơ sở và được hỗ trợ bởi hướng dẫn của chính phủ liên bang. Vào tháng 3 năm 2022, CISA (Cơ quan An ninh Mạng và Cơ sở hạ tầng) đã khuyến nghị sử dụng diode truyền thông một chiều để tăng cường phân đoạn mạng và bảo vệ hệ thống điều khiển công nghiệp khỏi các cuộc tấn công mạng. Hướng dẫn này được củng cố thêm vào năm 2023, khi cả NIST và Bộ Quốc phòng đều khuyến nghị diode dữ liệu là một lựa chọn để bảo mật cơ sở hạ tầng OT trong các tiêu chuẩn NIST SP 800-82r3 và UFC 4-010-06 mới nhất.
Cơ sở này cần một cách để trích xuất và chia sẻ dữ liệu OT một cách an toàn, mà không cần phải thay đổi hệ thống gây gián đoạn hoặc thêm lỗ hổng mới.
MetaDefender Optical Diode với Chuyển đổi Giao thức Enero
Nhà sản xuất đã hợp tác với OPSWAT và Enero Solutions để thiết kế một kiến trúc truyền dữ liệu an toàn, độ trễ thấp.
Triển khai MetaDefender Optical Diode (Fend) sử dụng công nghệ cách ly quang học để chỉ gửi dữ liệu theo một hướng, bảo vệ vật lý các tài sản trọng yếu. Công nghệ này cung cấp khả năng hiển thị hệ thống, đồng thời ngăn chặn phần mềm độc hại, mã độc tống tiền và các cuộc tấn công khác xâm phạm kết nối mạng.
Hợp tác với Enero Solutions, chúng tôi đã đưa nguồn cấp dữ liệu OPC UA từ các hệ thống cũ mà không cần phải sửa đổi hệ thống gốc. Chuyển đổi giao thức OPC với MetaDefender Optical Diode (Fend) sử dụng phương pháp nhiều bước, độ trễ thấp để bảo mật dữ liệu OPC bên ngoài mạng OT mà không tạo ra các vectơ tấn công tiềm ẩn cho những kẻ xấu.
Cách thức hoạt động
Máy khách OPC ở phía được bảo vệ sẽ sử dụng đăng ký OPC UA hoặc DA.
Dữ liệu được tuần tự hóa để truyền qua TCP tại Thiết bị biên phía OT, chuyển tiếp đến MetaDefender Optical Diode (Bảo vệ) và chuyển đến TCP Server ở phía doanh nghiệp, được giải tuần tự hóa với Thiết bị Biên phía IT và được trích xuất thành các điểm OPC khả thi (đường dẫn, giá trị, dấu thời gian). Máy khách OPC trên Thiết bị Biên phía Doanh nghiệp (IT) sẽ ghi các điểm lên máy chủ OPC UA, được khách hàng truy cập thông qua đăng ký.
Kết quả
Với giải pháp tích hợp, cơ sở sản xuất đã đạt được:
- Cách ly OT/IT hoàn toàn: Hardware - Chuyển giao một chiều được thực thi đảm bảo rằng không có mối đe dọa bên ngoài nào có thể xâm nhập vào mạng OT.
- Khả năng hiển thị theo thời gian thực: Secure , cung cấp liên tục dữ liệu OPC UA cho các hệ thống IT, cho phép phản hồi nhanh hơn, cải thiện giám sát và đưa ra quyết định dựa trên dữ liệu.
- Thời gian hoạt động và đầu tư được duy trì: Các hệ thống OT cũ vẫn được giữ nguyên, tránh được việc thay thế tốn kém hoặc thời gian ngừng hoạt động gây gián đoạn.
- Giảm thiểu rủi ro mạng: Bằng cách loại bỏ các hướng tấn công liên quan đến kết nối trực tiếp hoặc phương pháp chỉ sử dụng phần mềm, cơ sở đã tăng cường khả năng bảo mật mạng tổng thể.
- Tuân thủ quy định: Việc triển khai tuân theo các thông lệ tốt nhất về an ninh mạng của liên bang, đáp ứng các khuyến nghị của CISA đối với điốt truyền thông một chiều và tuân thủ hướng dẫn NIST SP 800-82r3 và DoD UFC 4-010-06 để bảo mật cơ sở hạ tầng OT.
Nhìn về tương lai
Các hệ thống OT cũ không nhất thiết phải là gánh nặng bảo mật. Với phương pháp tiếp cận phù hợp, nhà sản xuất có thể trích xuất dữ liệu vận hành có giá trị trong khi vẫn duy trì khả năng cô lập mạng hoàn toàn và bảo toàn các khoản đầu tư hiện có.
Liên hệ OPSWAT hôm nay để học cách MetaDefender Optical Diode (Fend) có thể cho phép trích xuất dữ liệu an toàn từ các hệ thống cũ của bạn trong khi vẫn duy trì khả năng bảo vệ được thực thi bằng phần cứng.
