Industrial Firewall và OT Security: Bảo vệ mạng Ethernet công nghiệp

Industrial Firewall và OT Security là những thành phần quan trọng trong việc bảo vệ mạng Ethernet công nghiệp trước các nguy cơ truy cập trái phép, mã độc và tấn công mạng. Khi các hệ thống PLC, HMI, SCADA, Remote I/O và thiết bị điều khiển ngày càng kết nối với mạng doanh nghiệp và Internet, yêu cầu về bảo mật mạng OT trở nên quan trọng hơn bao giờ hết.

Trong bài viết này thuộc Series chuyên sâu – Ethernet công nghiệp: Nền tảng kết nối cho nhà máy thông minh, chúng ta sẽ tìm hiểu Industrial Firewall hoạt động như thế nào, OT Security là gì, tại sao mạng điều khiển công nghiệp cần được phân vùng và cách triển khai firewall để bảo vệ hệ thống OT mà không ảnh hưởng đến hoạt động sản xuất.

I. OT Security là gì?

OT Security (Operational Technology Security) là tập hợp các giải pháp, công nghệ và quy trình nhằm bảo vệ hệ thống công nghệ vận hành khỏi các nguy cơ về an ninh mạng.

Trong môi trường công nghiệp, OT bao gồm các hệ thống trực tiếp giám sát và điều khiển quá trình sản xuất như PLC, RTU, HMI, SCADA, DCS, Industrial PC, Remote I/O và nhiều thiết bị tự động hóa khác.

Khác với hệ thống IT thông thường, hệ thống OT thường liên quan trực tiếp đến quá trình vật lý. Một sự cố mạng không chỉ gây mất dữ liệu mà còn có thể khiến dây chuyền sản xuất dừng hoạt động hoặc làm thiết bị vận hành sai.

Do đó, mục tiêu của OT Security không đơn thuần là ngăn chặn hacker mà còn phải đảm bảo ba yếu tố quan trọng:

• Availability: hệ thống điều khiển phải luôn sẵn sàng hoạt động.
• Integrity: dữ liệu và lệnh điều khiển phải chính xác, không bị thay đổi trái phép.
• Confidentiality: thông tin và dữ liệu sản xuất phải được bảo vệ.

Trong thực tế OT, Availability và Integrity thường được ưu tiên đặc biệt cao bởi hệ thống điều khiển phải duy trì hoạt động ổn định và chính xác.

II. Industrial Firewall là gì?

Industrial Firewall là thiết bị firewall được thiết kế dành riêng cho môi trường công nghiệp, có nhiệm vụ kiểm soát và lọc lưu lượng mạng giữa các vùng mạng khác nhau.

Về nguyên lý, Industrial Firewall hoạt động tương tự firewall trong hệ thống IT: kiểm tra các gói tin và quyết định cho phép hoặc từ chối dựa trên các chính sách bảo mật.

Tuy nhiên, firewall công nghiệp được thiết kế để đáp ứng những yêu cầu đặc thù của môi trường OT như:

• Hoạt động ổn định 24/7.
• Khả năng chịu nhiệt và môi trường công nghiệp.
• Thiết kế DIN-Rail hoặc dạng công nghiệp.
• Nguồn cấp DC phù hợp với tủ điều khiển.
• Hỗ trợ các giao thức Ethernet công nghiệp.
• Khả năng phân vùng mạng OT.
• Hỗ trợ VPN cho truy cập từ xa.
• Kiểm soát và giám sát lưu lượng mạng.

Industrial Firewall thường được đặt tại các điểm giao tiếp giữa các vùng mạng, chẳng hạn như giữa mạng doanh nghiệp IT và mạng sản xuất OT.

III. Industrial Firewall khác Firewall IT như thế nào?

Industrial Firewall và firewall IT đều có mục tiêu kiểm soát lưu lượng mạng, nhưng môi trường triển khai và yêu cầu kỹ thuật có nhiều điểm khác biệt.

Tiêu chí	Firewall IT	Industrial Firewall
Môi trường	Văn phòng, Data Center	Nhà máy, tủ điều khiển
Ưu tiên	Bảo mật dữ liệu	Bảo mật và tính liên tục sản xuất
Thiết kế	IT thông thường	Công nghiệp, DIN-Rail
Nhiệt độ	Môi trường tiêu chuẩn	Thường hỗ trợ dải nhiệt độ công nghiệp
Giao thức	TCP/IP, HTTP, HTTPS...	Có thể hỗ trợ thêm Modbus TCP, DNP3, IEC 61850...
Truy cập từ xa	VPN, Remote Access	VPN kết hợp kiểm soát truy cập OT

Điểm quan trọng là không nên xem Industrial Firewall đơn giản là một firewall IT được đặt trong nhà máy. Thiết bị phải phù hợp với kiến trúc mạng và đặc tính vận hành của hệ thống OT.

IV. Industrial Firewall bảo vệ mạng OT như thế nào?

Industrial Firewall tạo ra một rào chắn kiểm soát lưu lượng giữa các vùng mạng. Thay vì cho phép mọi thiết bị giao tiếp tự do, firewall áp dụng các chính sách để chỉ cho phép những kết nối cần thiết.

Ví dụ, trong một hệ thống nhà máy, SCADA có thể cần giao tiếp với PLC thông qua Modbus TCP. Firewall có thể được cấu hình để chỉ cho phép kết nối từ địa chỉ IP của SCADA đến địa chỉ IP của PLC trên cổng TCP tương ứng.

Các kết nối khác không nằm trong chính sách sẽ bị từ chối.

Nhờ cơ chế này, nếu một thiết bị trong mạng IT bị xâm nhập, kẻ tấn công không mặc nhiên có quyền truy cập trực tiếp đến PLC hoặc các thiết bị điều khiển trong mạng OT.

V. Phân vùng mạng OT và mô hình bảo mật

Một nguyên tắc quan trọng trong OT Security là không nên xây dựng mạng điều khiển như một mạng phẳng, trong đó tất cả thiết bị đều có thể giao tiếp trực tiếp với nhau.

Thay vào đó, mạng nên được chia thành các zone và conduit. Mỗi zone chứa các thiết bị có chức năng và mức độ tin cậy tương tự nhau, trong khi conduit kiểm soát luồng giao tiếp giữa các zone.

Một kiến trúc phổ biến có thể gồm:

• Enterprise Zone: mạng doanh nghiệp.
• DMZ: vùng trung gian giữa IT và OT.
• Supervisory Zone: SCADA, HMI, historian.
• Control Zone: PLC, RTU và các thiết bị điều khiển.
• Field Zone: Remote I/O, cảm biến và thiết bị hiện trường.

Việc phân vùng giúp giảm attack surface và hạn chế khả năng một cuộc tấn công từ bên ngoài lan sâu vào hệ thống điều khiển.

VI. Các chức năng quan trọng của Industrial Firewall

1. Stateful Firewall

Stateful Firewall theo dõi trạng thái của các kết nối mạng thay vì chỉ kiểm tra từng gói tin độc lập. Điều này giúp firewall xác định kết nối nào hợp lệ và kiểm soát lưu lượng hiệu quả hơn.

2. Access Control List

ACL (Access Control List) cho phép quản trị viên xây dựng các luật kiểm soát dựa trên địa chỉ IP, giao thức, cổng TCP/UDP hoặc interface.

Ví dụ:

• SCADA → PLC: cho phép.
• Engineering Station → PLC: cho phép khi cần thiết.
• Internet → PLC: từ chối.
• PLC → Internet: từ chối nếu không cần thiết.

3. NAT

NAT (Network Address Translation) có thể được sử dụng để chuyển đổi địa chỉ IP giữa các vùng mạng, đồng thời hỗ trợ giải quyết một số vấn đề về địa chỉ khi kết nối các hệ thống OT. Xem thêm: Thiết Bị NAT Là Gì? Nguyên Lý Hoạt Động Và Ứng Dụng Trong Mạng Công Nghiệp

4. VPN

VPN cho phép kỹ sư hoặc nhân viên bảo trì truy cập từ xa vào hệ thống OT thông qua một kênh kết nối được bảo vệ.

Tuy nhiên, việc sử dụng VPN trong OT cần đi kèm với xác thực, phân quyền và giới hạn phạm vi truy cập. Không nên tạo một VPN có quyền truy cập toàn bộ mạng nhà máy.

5. DPI – Deep Packet Inspection

Một số Industrial Firewall cao cấp hỗ trợ DPI (Deep Packet Inspection), cho phép phân tích sâu hơn nội dung của lưu lượng mạng thay vì chỉ dựa vào IP và port.

Đây là tính năng đặc biệt hữu ích trong môi trường OT vì nhiều hệ thống sử dụng các giao thức công nghiệp như Modbus TCP, DNP3, IEC 60870-5-104, IEC 61850 và các giao thức chuyên dụng khác.

6. IDS/IPS

IDS (Intrusion Detection System) giúp phát hiện các hành vi hoặc lưu lượng đáng ngờ, trong khi IPS (Intrusion Prevention System) có thể chủ động ngăn chặn một số loại tấn công.

Trong mạng OT, các chức năng IDS/IPS cần được cấu hình cẩn thận để tránh tạo ra false positive hoặc ảnh hưởng đến các luồng truyền thông thời gian thực.

VII. Ví dụ triển khai Industrial Firewall trong nhà máy

Hãy xem xét một hệ thống gồm một SCADA Server, nhiều PLC và các Remote I/O kết nối thông qua Industrial Ethernet.

Doanh nghiệp cũng có mạng văn phòng kết nối Internet. Nếu hai mạng được kết nối trực tiếp, một máy tính văn phòng bị nhiễm mã độc có thể trở thành điểm khởi đầu cho việc tấn công vào hệ thống OT.

Giải pháp có thể triển khai như sau:

1. Đặt Industrial Firewall giữa IT và OT.
2. Thiết lập vùng DMZ cho các dịch vụ cần trao đổi dữ liệu.
3. Chỉ cho phép các kết nối cần thiết giữa SCADA và PLC.
4. Chặn các kết nối không cần thiết từ IT xuống OT.
5. Hạn chế truy cập từ xa thông qua VPN.
6. Ghi log các kết nối quan trọng để phục vụ giám sát và phân tích sự cố.

Ví dụ, nếu SCADA chỉ cần giao tiếp với PLC bằng Modbus TCP, firewall có thể xây dựng chính sách chỉ cho phép lưu lượng cần thiết thay vì mở toàn bộ các port giữa hai mạng.

VIII. Những lưu ý khi triển khai OT Security

1. Không áp dụng máy móc mô hình IT

Mạng OT có những yêu cầu khác biệt về tính ổn định và tính liên tục. Một chính sách bảo mật phù hợp với IT chưa chắc phù hợp với hệ thống điều khiển.

2. Hạn chế thay đổi đột ngột

Trước khi thay đổi firewall hoặc chính sách mạng, cần xác định các luồng truyền thông hiện tại giữa PLC, HMI, SCADA, Remote I/O và các hệ thống liên quan.

3. Nguyên tắc Least Privilege

Chỉ cấp quyền truy cập đúng với nhu cầu. Một kỹ sư chỉ cần truy cập PLC thuộc dây chuyền nào thì không nhất thiết phải có quyền truy cập toàn bộ mạng OT.

4. Kiểm soát Remote Access

Truy cập từ xa là một trong những điểm cần đặc biệt quan tâm. VPN nên kết hợp với xác thực mạnh, giới hạn quyền truy cập và ghi log.

5. Giám sát và ghi log

Firewall không chỉ dùng để chặn lưu lượng mà còn có thể cung cấp thông tin về các kết nối bất thường. Log cần được lưu trữ và phân tích để phát hiện dấu hiệu tấn công.

6. Xem xét dự phòng

Trong những hệ thống sản xuất quan trọng, firewall cũng cần được xem xét trong kiến trúc dự phòng. Một thiết bị bảo mật bị lỗi không nên trở thành điểm gây dừng toàn bộ dây chuyền.

IX. Industrial Firewall trong nhà máy thông minh

Trong quá trình chuyển đổi số, nhà máy ngày càng kết nối nhiều thiết bị OT với hệ thống IT, Cloud và các nền tảng quản lý dữ liệu.

Điều này mang lại nhiều lợi ích như giám sát từ xa, phân tích dữ liệu sản xuất, predictive maintenance và quản lý tập trung. Tuy nhiên, mức độ kết nối càng cao thì attack surface cũng càng lớn.

Industrial Firewall vì vậy trở thành một thành phần quan trọng trong kiến trúc Industrial Cybersecurity.

Một kiến trúc Ethernet công nghiệp hiện đại có thể kết hợp:

• Managed Industrial Switch.
• VLAN để phân chia mạng.
• Industrial Firewall để kiểm soát lưu lượng giữa các zone.
• VPN cho truy cập từ xa.
• IDS/IPS để phát hiện và ngăn chặn nguy cơ.
• Network Monitoring để giám sát hệ thống.
• Redundancy để đảm bảo tính liên tục.

Như vậy, bảo mật không phải là một thiết bị riêng lẻ mà là một kiến trúc bảo vệ nhiều lớp.

X. Kết luận

Industrial Firewall và OT Security đóng vai trò quan trọng trong việc bảo vệ mạng Ethernet công nghiệp trước các nguy cơ ngày càng gia tăng khi hệ thống OT được kết nối với mạng IT và Internet.

Industrial Firewall giúp kiểm soát luồng dữ liệu giữa các vùng mạng, phân tách IT và OT, hạn chế truy cập trái phép và hỗ trợ các cơ chế bảo mật như ACL, NAT, VPN, DPI, IDS và IPS.

Tuy nhiên, một hệ thống OT Security hiệu quả không chỉ dựa vào firewall. Doanh nghiệp cần kết hợp phân vùng mạng, kiểm soát truy cập, giám sát, quản lý thiết bị, bảo mật truy cập từ xa và dự phòng mạng để xây dựng một kiến trúc bảo mật toàn diện.

↑ Về mục lục