Tại sao Tường lửa Phần cứng Là Điều Thiết yếu cho CNTT Công nghiệp

Mức độ rủi ro khác biệt trên sàn sản xuất

Các môi trường CNTT công nghiệp có một số điểm tương đồng với mạng doanh nghiệp truyền thống, nhưng những khác biệt lại quan trọng hơn. Một máy chủ email bị xâm phạm gây ra những phiền toái. Một bộ điều khiển logic khả trình (PLC) bị xâm phạm có thể làm ngừng dây chuyền sản xuất, gây hư hại thiết bị hoặc tạo ra các mối nguy hiểm về an toàn. Hậu quả phát sinh ở những mức độ khác nhau. Sự khác biệt cơ bản này chính là động lực thúc đẩy nhu cầu áp dụng các phương pháp bảo mật phù hợp với những đặc điểm riêng biệt của công nghệ vận hành (OT).

Các thiết bị tường lửa phần cứng cung cấp mức độ cách ly mà các giải pháp thay thế dựa trên phần mềm khó có thể đạt được. Chúng được đặt giữa mạng doanh nghiệp và mạng điều khiển công nghiệp, thực thi nghiêm ngặt các quy tắc về loại lưu lượng nào được phép đi qua giữa hai mạng này. Việc tách biệt này không chỉ nhằm ngăn chặn các đối tượng độc hại xâm nhập—mà còn nhằm ngăn ngừa các sự cố phát sinh từ phía kinh doanh ảnh hưởng đến quá trình sản xuất. Một máy chủ DHCP cấu hình sai hoặc một cơn bão phát sóng trên mạng CNTT không nên làm ngừng hoạt động một dây chuyền sản xuất. Tường lửa phần cứng giúp duy trì ranh giới đó.

Tại sao các giao thức công nghiệp đòi hỏi xử lý chuyên biệt

Các tường lửa tiêu chuẩn hiểu giao thức TCP/IP. Chúng xử lý HTTP, SMTP và các giao thức doanh nghiệp thông dụng một cách không gặp vấn đề gì. Tuy nhiên, mạng công nghiệp lại sử dụng một ngôn ngữ khác. Modbus, Profinet, EtherNet/IP, DNP3 và hàng chục giao thức khác mang các lệnh điều khiển trực tiếp các quy trình vật lý. Một thiết bị tường lửa tổng quát có thể hoàn toàn không nhận diện được những giao thức này, coi chúng là lưu lượng chưa biết và hoặc chặn chúng, hoặc để chúng đi qua mà không kiểm tra.

Các thiết bị tường lửa phần cứng dành riêng cho môi trường công nghiệp bao gồm tính năng kiểm tra gói tin sâu (deep packet inspection) có khả năng nhận diện giao thức. Chúng hiểu cấu trúc của các thông điệp giao thức công nghiệp và có thể phát hiện các bất thường — ví dụ như các yêu cầu bị lỗi định dạng, các lệnh không đúng thứ tự hoặc các mẫu lưu lượng lệch khỏi hoạt động bình thường. Khả năng này rất quan trọng vì các cuộc tấn công vào hệ thống công nghiệp thường khai thác điểm yếu của giao thức thay vì các lỗ hổng ở tầng mạng. Một tường lửa không thể nhìn thấy tầng ứng dụng sẽ không thể bảo vệ trước những mối đe dọa này.

Phương trình hiệu năng: Độ trễ rất quan trọng

Các mạng doanh nghiệp chịu được độ trễ ở mức hàng trăm mili giây mà không gây ảnh hưởng đáng kể. Các mạng điều khiển công nghiệp thường hoạt động trong khung thời gian chặt chẽ hơn nhiều. Một vòng điều khiển chuyển động có thể yêu cầu cập nhật mỗi vài mili giây. Một hệ thống liên động an toàn kỳ vọng phản hồi trong một khoảng thời gian xác định. Nếu độ trễ ở bất kỳ điểm nào trên đường truyền vượt quá giới hạn cho phép, hệ thống sẽ thất bại.

Các tường lửa phần cứng được thiết kế dành riêng cho môi trường công nghiệp giải quyết vấn đề này thông qua nhiều cơ chế. Chúng dời việc xử lý gói tin sang phần cứng chuyên dụng thay vì phụ thuộc vào CPU đa dụng. Chúng lưu bảng trạng thái trong bộ nhớ nhanh thay vì trên đĩa. Chúng áp dụng các quy tắc kiểm tra một cách hiệu quả để tránh gây ra độ trễ đo được. Kết quả là bảo mật mà không làm giảm hiệu năng. Các tường lửa phần mềm chạy trên phần cứng chia sẻ không luôn đảm bảo được điều này, đặc biệt khi hệ thống đang chịu tải cao.

Phân đoạn như một chiến lược bảo mật

Tiêu chuẩn IEC 62443 chính thức hóa điều mà nhiều chuyên gia an ninh công nghiệp đã biết: các mạng cần được chia thành các vùng, và lưu lượng truyền giữa các vùng phải được kiểm soát. Các thiết bị tường lửa phần cứng đóng vai trò là điểm thực thi cho các ranh giới vùng này. Chúng triển khai yêu cầu "luồng dữ liệu hạn chế", vốn nằm ở trung tâm mô hình bảo mật của tiêu chuẩn.

Việc phân đoạn thực tế có dạng khác nhau tại mỗi cơ sở. Một số tổ chức tách biệt hoàn toàn mạng CNTT và mạng OT, với thiết bị tường lửa phần cứng là điểm kết nối duy nhất. Số khác tạo thêm các vùng bên trong mạng OT—tách riêng hệ thống an toàn khỏi hệ thống điều khiển, hoặc cô lập các thiết bị kế thừa không thể cập nhật bản vá. Các thiết bị tường lửa phần cứng tại mỗi ranh giới thực thi các quy tắc, ghi lại lưu lượng và chặn các vi phạm. Cách tiếp cận từng lớp này giới hạn mức độ thiệt hại do một lần xâm nhập gây ra. Kẻ tấn công đã xâm nhập thành công vào mạng CNTT vẫn phải đối mặt với các rào cản bổ sung trước khi tiếp cận các hệ thống sản xuất trọng yếu.

Điều gì xảy ra khi không có tường lửa

Một nhà máy chế biến hóa chất ở khu vực Bờ Vịnh đã học bài học này theo cách khó khăn nhất. Cơ sở này phát triển trong nhiều thập kỷ, bổ sung các hệ thống điều khiển kết nối mạng mà không đầu tư tương ứng vào bảo mật mạng. Mạng CNTT và mạng OT về cơ bản trở thành một mạng phẳng duy nhất. Khi một bản cập nhật phần mềm định kỳ trên máy chủ CNTT kích hoạt lưu lượng mạng bất thường, hệ thống điều khiển gặp sự cố mất liên lạc ngắt quãng. Không có hành vi độc hại nào — chỉ là một cơn bão phát sóng do một ứng dụng hoạt động sai. Tuy nhiên, tác động đến sản xuất là tức thì và tốn kém.

Nha may da mat vai ngay de dieu tra van de, trong khi san xuat van tiep tuc voi cong suat giam. Giai phap cuoi cung bao gom viec lap dat cac thiet bi tuong lua chong (firewall) bang phan cung giua mang CNTT va mang OT, cung voi cac quy tac phan doan phu hop. Kinh nghiem nay lam sang to mot diem de bo qua: an ninh khong chi la viec phong thu bat ky ke tan cong nao, ma con la viec duy tri on dinh hoat dong truoc nhung hoat dong CNTT thuong ngay co the vo tinh gay roi mang cong nghiep.

Loi ich thuc te cua phan cung rieng biet

Cac thiet bi tuong lua chong (firewall) bang phan cung mang lai nhung uu diem vuot tren yeu cau an ninh. Chung tao ra ranh gioi quan ly ro rang. Doi ngu mang biet chinh xac noi mang CNTT ket thuc va mang OT bat dau. Phan ung su co tro nen don gian hon—cac log tu tuong lua chong cho biet chinh xac loai luong luu luong nao da vuot qua ranh gioi va vao thoi diem nao. Cac cuoc kiem tra tuan thu cung duoc huong loi tu su ro rang nay.

Các thiết bị này được thiết kế để hoạt động liên tục. Chúng không có bộ phận chuyển động, sử dụng làm mát thụ động và trong nhiều cấu hình còn tích hợp các tùy chọn nguồn dự phòng. Những lựa chọn thiết kế này phản ánh môi trường vận hành—các cơ sở công nghiệp không phải là phòng máy chủ được kiểm soát nhiệt độ. Sự biến động về nhiệt độ, rung động và bụi bẩn là những thực tế không thể tránh khỏi. Phần cứng được thiết kế cho các điều kiện như vậy có tuổi thọ dài hơn và ít gặp sự cố hơn so với các thiết bị đa năng được sử dụng tạm thời cho mục đích an ninh.