Việc thay thế một tường lửa công nghiệp đã hết vòng đời là quyết định nên dựa trên mô hình triển khai, phạm vi hỗ trợ giao thức, phương pháp tạo chính sách, các chứng nhận và điều khoản cấp phép, chứ không chỉ dựa vào tên thương hiệu. Năm yếu tố này quyết định liệu việc thay thế có duy trì được kiến trúc mạng hiện có, bảo vệ các thiết bị công nghiệp cụ thể đang hoạt động và đáp ứng các yêu cầu về tuân thủ cũng như ngân sách của môi trường hay không. Mô hình thay thế do nhà cung cấp đề xuất là một điểm khởi đầu hợp lý cho quá trình nghiên cứu, chứ không thể thay thế cho việc kiểm tra kỹ lưỡng theo danh sách kiểm tra này.
Những điểm chính
- Mô hình triển khai quyết định mức độ bạn phải thiết kế lại mạng. Một tường lửa trong suốt, hoạt động trực tiếp (inline) và không có địa chỉ IP sẽ giữ nguyên hệ thống địa chỉ hiện có; trong khi đó, một tường lửa định tuyến sẽ thay đổi hệ thống địa chỉ này.
- Việc hỗ trợ giao thức phải phù hợp với môi trường của bạn, chứ không phải dựa trên danh sách tổng thể của nhà cung cấp. Một số nhà cung cấp phân loại các họ giao thức cụ thể vào các cấp độ cấp phép riêng biệt và không trùng lặp, do đó hãy xác nhận chính xác mã SKU nào đang được báo giá.
- Cách thức xây dựng chính sách cũng quan trọng không kém so với những gì tường lửa chặn lại. Một tường lửa có khả năng theo dõi lưu lượng truy cập thời gian thực và xây dựng cơ sở chính sách bằng cách sử dụng học máy sẽ tránh được lỗi thường gặp là việc thiết lập các quy tắc dựa trên sơ đồ mạng đã lỗi thời.
- Các chứng nhận khác nhau tùy theo từng mẫu cụ thể, chứ không chỉ phụ thuộc vào nhà cung cấp. Các chứng nhận chủ chốt của một nhà cung cấp, chẳng hạn như IEC 61850-3 dành cho trạm biến áp, không tự động áp dụng cho mọi mẫu phần cứng trong danh mục sản phẩm của nhà cung cấp đó.
- "Hỗ trợ tuân thủ" và "đã được chứng nhận" là hai tuyên bố khác nhau. Hầu hết các tường lửa công nghiệp không được chứng nhận độc lập theo các khung tiêu chuẩn như IEC 62443 hay NERC CIP với tư cách là một thiết bị; chúng hỗ trợ việc phân đoạn mạng và ghi nhật ký theo yêu cầu của các khung tiêu chuẩn đó. Hãy coi bất kỳ tuyên bố nào về chứng nhận thiết bị theo một trong hai khung tiêu chuẩn này như một dấu hiệu cảnh báo cần được xác minh trực tiếp.
Hãy bắt đầu từ mô hình triển khai, chứ không phải tên thương hiệu
Tường lửa công nghiệp được triển khai theo một trong hai cách, và sự lựa chọn này ảnh hưởng đến mức độ thay đổi cần thiết đối với mạng hiện có. Thiết bị trong suốt, hoạt động theo kiểu inline được đặt trên đường dẫn lưu lượng mà không có địa chỉ IP riêng, nhờ đó giữ nguyên hệ thống địa chỉ và định tuyến hiện có. Thiết bị định tuyến có địa chỉ IP riêng và tham gia trực tiếp vào lớp mạng, điều này có thể mở rộng khả năng nhưng cũng đòi hỏi phải thực hiện công việc thiết kế lại.
Không có mô hình nào được coi là tốt hơn một cách tuyệt đối. Cách triển khai trong suốt giúp giảm thiểu tác động của quá trình chuyển đổi, điều này đặc biệt quan trọng khi thay thế một tường lửa đã được sử dụng trong nhiều năm, chẳng hạn như Belden Tofino Xenon. Trong khi đó, cách triển khai qua định tuyến có thể mang lại sự linh hoạt cao hơn cho các môi trường mới xây dựng, nơi mạng được thiết kế xoay quanh tường lửa thay vì ngược lại.
Điều chỉnh phạm vi áp dụng giao thức sao cho phù hợp với môi trường thực tế của bạn
Khả năng kiểm tra gói tin sâu (Deep Packet Inspection) đối với các giao thức công nghiệp, chẳng hạn như Modbus, DNP3, EtherNet/IP và IEC 61850, chính là yếu tố phân biệt tường lửa công nghiệp với tường lửa mạng thông thường được triển khai trong mạng OT. Câu hỏi quan trọng ở đây không phải là nhà cung cấp liệt kê bao nhiêu giao thức, mà là liệu các giao thức cụ thể đang chạy trong môi trường đó có được hỗ trợ trong SKU được báo giá hay không.
- Hãy yêu cầu danh sách các giao thức theo mã SKU, chứ không phải theo nhóm sản phẩm. Một số nhà cung cấp cấp phép cho các nhóm giao thức — chẳng hạn như bộ giao thức đa năng so với bộ giao thức riêng của nhà cung cấp như các giao thức của GE — dưới dạng các tùy chọn riêng biệt, loại trừ lẫn nhau và được áp dụng trong phần mềm nhúng.
- Xác nhận xem việc kiểm tra có áp dụng cho các đường hầm được mã hóa hay không. Nếu môi trường sử dụng IPsec hoặc OpenVPN để truy cập nhà cung cấp hoặc kết nối đa địa điểm, hãy hỏi cụ thể xem việc kiểm tra giao thức có áp dụng bên trong các đường hầm đó hay chỉ áp dụng cho lưu lượng không được mã hóa. Hãy yêu cầu xác nhận điều này bằng văn bản thay vì chỉ dựa vào danh sách tính năng.
Đánh giá cách thức xây dựng và duy trì chính sách bảo mật
Lý do phổ biến nhất khiến các tường lửa công nghiệp rơi vào chế độ chỉ giám sát vô thời hạn là không ai có được cái nhìn rõ ràng và cập nhật về hình thái của lưu lượng truy cập hợp lệ. Có hai phương pháp giải quyết vấn đề này theo những cách khác nhau.
- Việc soạn thảo chính sách thủ công đòi hỏi người thực hiện phải viết các quy tắc tường lửa dựa trên sơ đồ mạng, vốn chỉ chính xác vào ngày được soạn thảo và sau đó sẽ dần trở nên không còn phù hợp với thực tế.
- Các chế độ học tập hoặc chế độ cơ sở hành vi sẽ theo dõi lưu lượng truy cập thời gian thực trong một khoảng thời gian xác định và xây dựng chính sách dựa trên tình trạng hoạt động hiện tại, sau đó đánh dấu các trường hợp sai lệch so với mức cơ sở đó trong tương lai. Điều này giúp rút ngắn quá trình từ khi cài đặt đến khi chính sách được áp dụng thực tế.
Xác nhận các chứng nhận phù hợp với lĩnh vực và mẫu sản phẩm cụ thể của bạn
Các chứng nhận được cấp cho từng mẫu thiết bị phần cứng cụ thể, chứ không được áp dụng chung cho toàn bộ dòng sản phẩm của nhà cung cấp. Mẫu cao cấp nhất của một nhà cung cấp có thể được cấp chứng nhận, chẳng hạn như IEC 61850-3 hoặc IEEE 1613 dành cho môi trường trạm biến áp và hệ thống điện, trong khi các mẫu có kích thước nhỏ hơn hoặc số cổng ít hơn trong cùng dòng sản phẩm lại không có chứng nhận đó. Luôn kiểm tra bảng thông số kỹ thuật để xác định chính xác mẫu sản phẩm đang xem xét.
Dọc / Yêu cầu | Chứng nhận để xác nhận | Tại sao nó trọng yếu |
Trạm biến áp điện | IEC 61850-3, IEEE 1613 | Quy định về khả năng tương thích điện từ và khả năng chịu đựng môi trường đối với thiết bị trạm biến áp |
Các khu vực nguy hiểm hoặc được phân loại | C1D2 | Bắt buộc phải tuân thủ khi triển khai trong các môi trường có nguy cơ khí dễ cháy hoặc bụi |
Các chứng nhận phần cứng chung | CE, FCC | Các kỳ vọng cơ bản về độ tin cậy đối với các môi trường công nghiệp không được kiểm soát |
Industrial An ninh mạng | IEC 62443-4-2 (SL2, SL3) | Kiểm chứng một cách độc lập các khả năng bảo mật của tường lửa và quy trình phát triển an toàn của nhà cung cấp, thay vì chỉ dựa vào tuyên bố tự nguyện của họ |
"Hỗ trợ tuân thủ" không phải là tuyên bố tương đương với "Đã được chứng nhận"
Các khung tiêu chuẩn như IEC 62443 và NERC CIP quy định các chương trình tổ chức và kiến trúc hệ thống, chứ không phải một thiết bị riêng lẻ, do đó hầu hết các tường lửa công nghiệp không được chứng nhận độc lập theo bất kỳ khung tiêu chuẩn nào trong số này với tư cách là một sản phẩm độc lập. Một tường lửa có thể hỗ trợ việc phân đoạn mạng, kiểm soát truy cập và ghi nhật ký kiểm toán mà các khung tiêu chuẩn này yêu cầu mà không cần chính nó phải có chứng nhận “IEC 62443” hay “NERC CIP”. Nếu một nhà cung cấp đưa ra tuyên bố chứng nhận cụ thể đó cho chính thiết bị, hãy hỏi cơ quan nào đã cấp chứng nhận và phạm vi áp dụng là gì.
Hiểu rõ mô hình cấp phép và quyền sở hữu
Industrial Các thiết bị tường lửa được bán theo nhiều mô hình cấp phép khác nhau: thiết bị vĩnh viễn (chi phí phần cứng một lần), gia hạn đăng ký (phí định kỳ), dựa trên tính năng (các gói mở rộng giao thức hoặc chức năng), dựa trên thông lượng (các mức băng thông), dựa trên giao thức (cấp phép theo từng giao thức) và cấp phép quản lý tập trung (nền tảng giám sát đa địa điểm). Mỗi mô hình đều ảnh hưởng khác nhau đến tổng chi phí sở hữu trong suốt vòng đời sử dụng của thiết bị. Việc chuyển từ mô hình vĩnh viễn sang đăng ký, hoặc bổ sung các gói cấp phép theo tính năng, thông lượng hoặc quản lý, sẽ tạo ra các nghĩa vụ ngân sách liên tục mà cần được hiểu rõ ràng trong quá trình đánh giá, thay vì chỉ phát hiện ra khi triển khai hoặc gia hạn.
Kế hoạch quản lý tập trung trên nhiều địa điểm
Một giải pháp thay thế đòi hỏi phải đăng nhập vào từng thiết bị riêng lẻ sẽ không thể mở rộng quy mô vượt quá một vài địa điểm. Quản lý tập trung — dù được triển khai tại chỗ hay trên đám mây — cần có khả năng phân phối chính sách, thu thập thông tin trạng thái và hỗ trợ lập báo cáo cho mọi thiết bị đã triển khai từ một nơi duy nhất.
Yêu cầu thực hiện một dự án thí điểm có quy mô hạn chế trước khi triển khai trên toàn khu bất động sản
Một dự án thí điểm ở một khu vực duy nhất, được triển khai ở chế độ giám sát trước khi áp dụng chính thức, với các tiêu chí thành công được xác định và thống nhất từ trước, sẽ giúp giảm thiểu rủi ro do thay đổi kiến trúc gây ra thời gian ngừng hoạt động ngoài kế hoạch. Việc thay thế trên toàn hệ thống là vấn đề cần thảo luận sau, chứ không phải là vấn đề cần ưu tiên hàng đầu.
Bảng kiểm tra đánh giá thay thế
- Mô hình triển khai: trong suốt/trực tiếp hoặc định tuyến, và mô hình nào sẽ giữ nguyên kiến trúc mạng hiện tại của bạn
- Phạm vi áp dụng của giao thức: đã được xác nhận dựa trên môi trường thực tế của quý khách và mã SKU cụ thể được báo giá, chứ không phải danh sách chung của dòng sản phẩm
- Phương pháp xây dựng chính sách: soạn thảo quy tắc thủ công hoặc mô hình cơ sở học tập/hành vi
- Chứng nhận: đã được xác minh dành riêng cho mẫu sản phẩm cụ thể đang được xem xét, không dựa trên sản phẩm chủ lực của nhà sản xuất
- Ngôn ngữ về tuân thủ: “hỗ trợ” các yêu cầu của khung quy định so với tuyên bố chưa được xác minh về chứng nhận thiết bị
- Mô hình cấp phép: thiết bị sử dụng vĩnh viễn hoặc đăng ký theo kỳ, cùng với tổng chi phí sở hữu tương ứng với từng mô hình
- Quản lý tập trung: phân phối chính sách và báo cáo trên tất cả các cơ sở từ một nơi duy nhất
- Phạm vi thử nghiệm: một dự án thử nghiệm khái niệm ở chế độ giám sát, chỉ bao gồm một khu vực, với các tiêu chí thành công đã được thống nhất trước khi đưa ra bất kỳ quyết định nào trên toàn hệ thống
Cách áp dụng các nguyên tắc “ MetaDefender ”, “Industrial ” và “Firewall ” vào danh sách kiểm tra này
MetaDefender Industrial Firewall™ là tường lửa công nghiệp dành cho mạng OT củ OPSWAT, được phát triển riêng cho công nghệ vận hành (OT) và các hệ thống mạng-vật lý (CPS), chứ không phải là sản phẩm CNTT được điều chỉnh lại. Dựa trên danh sách kiểm tra trên: sản phẩm hỗ trợ cả triển khai trong suốt (transparent), triển khai trực tiếp (inline) và triển khai định tuyến (routed); Chế độ Học (Learning Mode) của nó tự động xây dựng chính sách bảo mật từ lưu lượng mạng quan sát được thay vì yêu cầu bộ quy tắc thủ công; sản phẩm có sẵn ở các phiên bản phần cứng 4 cổng và 8 cổng, trong đó mẫu 8 cổng hỗ trợ tiêu chuẩn IEC 61850-3 và IEEE 1613 dành cho trạm biến áp và ngành điện lực; và nó tích hợp với My OPSWAT™ Central Management để quản lý chính sách và báo cáo trên nhiều địa điểm. Thiết bị hỗ trợ phân đoạn mạng tuân thủ các yêu cầu của tiêu chuẩn IEC 62443 và NERC CIP, phù hợp với phân biệt về tuân thủ nêu trên: đây là tuyên bố về khả năng hỗ trợ, không phải tuyên bố về chứng nhận thiết bị. Ngoài ra, thiết bị còn được chứng nhận C1D2 cho các môi trường khắc nghiệt.
Hãy tự tiến hành đánh giá việc thay thế dựa trên danh sách kiểm tra này, sau đó xem xét mức độ phù hợp của các giải pháp MetaDefender ,Industrial vàFirewall với môi trường cụ thể của bạn.
Những câu hỏi thường gặp
Sự khác biệt giữa việc triển khai tường lửa công nghiệp dạng trong suốt và dạng định tuyến là gì?
Tường lửa trong suốt, hoạt động nội tuyến về cơ bản là một cầu nối Lớp 2 không có địa chỉ IP và nằm trực tiếp trên đường truyền lưu lượng, giúp duy trì hệ thống địa chỉ mạng hiện có. Tường lửa định tuyến hoạt động như một thiết bị Lớp 3. Thiết bị này có địa chỉ IP riêng và tham gia vào lớp mạng, điều này có thể mang lại thêm khả năng nhưng đòi hỏi phải thiết kế lại mạng nhiều hơn để triển khai.
Tường lửa công nghiệp có cần phải được chứng nhận theo tiêu chuẩn IEC 62443 hoặc NERC CIP không?
Hầu hết các tường lửa công nghiệp đều không được chứng nhận độc lập theo bất kỳ khung tiêu chuẩn nào với tư cách là một thiết bị độc lập, bởi vì cả hai khung tiêu chuẩn này đều quy định các chương trình tổ chức và kiến trúc hệ thống, chứ không phải một sản phẩm riêng lẻ. Hãy tìm một tường lửa hỗ trợ các yêu cầu về phân đoạn mạng và kiểm toán mà các khung tiêu chuẩn đó đề ra, đồng thời xem bất kỳ tuyên bố nào về chứng nhận thiết bị không được xác nhận là điều cần phải xác minh trực tiếp.
Tại sao cách một tường lửa công nghiệp thiết lập chính sách bảo mật lại quan trọng?
Một tường lửa yêu cầu phải viết các quy tắc thủ công dựa trên sơ đồ mạng thì độ chính xác của nó cũng chỉ tương đương với độ chính xác của sơ đồ đó, vốn thường dễ trở nên lỗi thời. Ngược lại, một tường lửa có khả năng theo dõi lưu lượng mạng theo thời gian thực và soạn thảo một chính sách cơ sở sẽ rút ngắn thời gian từ khi cài đặt đến khi áp dụng thực tế, đồng thời phản ánh chính xác tình trạng hoạt động thực tế của hệ thống.
Tại sao các chứng nhận lại khác nhau giữa các mẫu sản phẩm của cùng một nhà cung cấp?
Các chứng nhận như IEC 61850-3 hoặc IEEE 1613 được cấp và công bố theo từng mẫu phần cứng, chứ không được áp dụng chung cho toàn bộ dòng sản phẩm. Mẫu cao cấp nhất của một nhà cung cấp có thể sở hữu chứng nhận mà một mẫu có kích thước nhỏ hơn hoặc số cổng ít hơn trong cùng dòng sản phẩm lại không có; do đó, cần phải kiểm tra mẫu cụ thể đang được xem xét dựa trên bảng thông số kỹ thuật riêng của mẫu đó.
Việc triển khai thử nghiệm nên kéo dài bao lâu trước khi tiến hành triển khai toàn diện?
Thời gian đủ dài để quan sát một phạm vi hoạt động bình thường mang tính đại diện, chạy ở chế độ giám sát với các tiêu chí thành công đã được xác định và thống nhất trước, giới hạn trong một vùng duy nhất. Mục tiêu là đảm bảo sự tin cậy vào cơ sở chính sách trước khi áp dụng, chứ không phải là một số ngày cố định.
Mô hình cấp phép có ảnh hưởng đến tổng chi phí sở hữu không?
Đúng vậy. Thiết bị sử dụng vĩnh viễn là chi phí phần cứng chỉ phải trả một lần, kèm theo các gói gia hạn hỗ trợ tùy chọn, trong khi mô hình đăng ký gộp chi phí cấp phép vào các khoản thanh toán định kỳ. Không có mô hình nào rẻ hơn một cách tuyệt đối; việc so sánh phù hợp phụ thuộc vào tuổi thọ dự kiến của thiết bị và cách tổ chức phân bổ ngân sách giữa chi phí vốn và chi phí định kỳ.
