Правила в защитната стена за OEE шлюз: какво да поиска IT

Основни изводи

• Поставете шлюза на ниво 3 или в DMZ, никога в офисната мрежа.
• Надолу (southbound), само за четене: само изброените PLC, само по техния собствен протокол.
• Нагоре (northbound), само изходящо: криптирано, към посочени по име хостове.
• Никакво входящо правило от интернет към OT мрежата.
• Логвайте всяка връзка и преглеждайте правилата, когато линията се промени.

Дайте на OEE шлюза възможно най-малко. От едната страна той трябва да чете машините, а от другата да изпраща данни навън. Никога не му трябва входяща връзка от интернет и никога не му трябва да пише в PLC.

Fabrico, OEE и light MES софтуер с AI камери, описва точно тази схема в своята статия за свързване с PLC. Това е шлюз само за четене в DMZ, който изпраща данни единствено навън през HTTPS. Точните правила за вашия завод се договарят с техническия екип на Fabrico. По-долу е чеклист, който ръководителите ви по IT и OT могат да използват с всеки доставчик.

Къде трябва да стои OEE шлюзът в мрежата на завода?

Повечето заводи описват мрежата си с модела Purdue. Той подрежда системите на нива:

• Нива от 0 до 2: сензори, машини и техните PLC.
• Ниво 3: операции на площадката, където живеят MES и OEE системите.
• Ниво 3.5: индустриалната DMZ, с защитни стени, проксита, копия на историана и jump сървъри.
• Ниво 4: бизнес IT, без пряка връзка с ниво 2 или по-ниско.

DMZ е буферът между двете. Националният CERT на Испания, INCIBE, казва, че DMZ „предотвратява или поне затруднява“ преминаването на атаки между IT и OT.

Мястото на OEE шлюза е на ниво 3 или в тази DMZ. Оттам той достига PLC, които чете, и може да изпраща данни навън по един контролиран път.

Какви правила в защитната стена са нужни на OEE шлюза?

Малко, и всички започват от самия шлюз.

1. Към всеки изброен PLC: разрешете шлюза по протокола на този PLC, с акаунт само за четене. Забранете всяко друго устройство.
2. Към сървърите на доставчика: разрешете само изходящо, криптирано, към посочени имена на хостове. Обичайният избор е HTTPS или MQTT през TLS.
3. Време и имена: разрешете собствения сървър за време и DNS на завода. Времената на спиранията са толкова точни, колкото е часовникът.
4. Достъп за поддръжка: ако доставчикът има нужда от него, пуснете го през вашия jump сървър, включван за всяка сесия и логван.
5. Всичко останало: забранете и логвайте забраненото.

Пример: примерен набор от правила за една линия

Примерна линия (илюстративни числа, не клиент). Линия 4 има три машини. OEE шлюзът стои в зоната „Line 4 OT“. Портовете по-долу са обичайните стойности по подразбиране; потвърдете ги за всяко устройство и с вашия доставчик.

Това са 6 разрешаващи правила, всяко от тях за връзка, която шлюзът отваря сам. Защитната стена има нужда от 0 входящи разрешаващи правила. Ако доставчик поиска такова, попитайте защо, писмено.

Същата схема се мащабира. Втора линия добавя свои правила за PLC. Правилото нагоре остава същото.

Какво трябва да попита IT доставчика на OEE за сигурността?

Рискът е реален. В едно проучване сред 1 560 души, вземащи решения в производството, в 17 държави, 46% са имали киберинцидент през последната година. Сигурността и съответствието са на второ място в списъка им с изисквания при покупка на MES, посочени от 43%.

• Кои части на IEC 62443 спазвате? Доставчикът на софтуер се оценява по част 4-1, процеса на сигурна разработка, и част 4-2, изискванията към компонентите.
• Всяка връзка с PLC само за четене ли е? Може ли нашият инженер по автоматизация да види пълния списък с тагове?
• Към кои хостове и портове се свързва шлюзът? Вземете списъка преди инсталацията, не след нея.
• Как се съхраняват и сменят паролите и сертификатите?
• Как обновленията стигат до шлюза и кой ги одобрява?
• Кой има достъп до шлюза за поддръжка и къде се логва това?
• Какво става с данните, когато връзката прекъсне?

Ръководството ни за зони и канали по IEC 62443 обяснява как да групирате устройствата в зони. Ръководството за купувачи на облачен MES за IT добавя въпроси за наличността на услугата и собствеността върху данните.

Кои грешки отварят OT мрежата?

1. Шлюз в офисната мрежа с път надолу към PLC.
2. Входящо пренасочване на порт, оставено отворено „за поддръжка“.
3. Правило „всичко към всичко“, останало от пускането в експлоатация.
4. Права за запис в PLC акаунта на шлюза.
5. Една обща администраторска парола на шлюзовете във всички площадки.
6. Липса на синхронизация на времето, така че логовете на защитната стена и на спиранията не съвпадат.

Каква е ролята на Fabrico?

Fabrico е платформа за производствена ефективност с компютърно зрение. На първо място са OEE и light MES. Тя чете сигнала на машината, записва всяко спиране и го остойностява.

• Автоматично записване на престоите от PLC тагове, IoT устройства или камери.
• OEE на живо по линия и смяна, с всяка загуба остойностена в пари.
• Видеоклип от камерата като доказателство за спиране, където има камера.
• Пилот на една линия, който дава на IT малък и ясен обхват за преглед в началото.

Статията на Fabrico за свързване с PLC за OEE описва шлюза само за четене в DMZ с изходящ HTTPS. Архитектурата за вашия завод се потвърждава с техническия екип на Fabrico преди инсталацията. Вижте продукта на страницата за OEE с компютърно зрение, а още въпроси на IT в OEE софтуер за IT мениджъри.

Няма безплатен план и няма пакети: всеки завод получава оферта.

Често задавани въпроси

Има ли нужда OEE системата от входящи правила в защитната стена?

Не би трябвало. Шлюзът сам отваря всяка връзка: надолу към PLC, които чете, и навън към сървърите на доставчика. Нищо от интернет не трябва да влиза в OT мрежата. Ако доставчик поиска входящо правило, поискайте причината и алтернатива писмено.

Трябва ли OEE шлюзът да е в DMZ?

Обичайните места са ниво 3 или индустриалната DMZ на ниво 3.5. И двете държат шлюза далеч от офисната мрежа, като в същото време той достига PLC, които чете. Ръководителят ви по OT сигурност решава коя зона пасва на завода, според това как вече е разделена мрежата.

Може ли OEE шлюзът да пише в PLC?

Не би трябвало да може. Дайте на акаунта му права само за четене в PLC или в OPC UA сървъра и проверете това в контролера. За OEE са нужни състояния, бройки и кодове на грешки. Нищо от това не изисква да се запише дори една стойност обратно в машината.

Какви портове използва OEE шлюзът?

Зависи от протоколите на PLC по вашите линии и от това как доставчикът изпраща данните навън. Поискайте пълния списък с хостове и портове преди инсталацията. Примерният набор от правила по-горе показва типичната схема: няколко правила само за четене надолу, едно криптирано правило навън.

Безопасна ли е облачна OEE система за OT мрежа?

Може да бъде, когато шлюзът е в правилната зона, само чете и изпраща данни единствено навън по криптирана връзка. Проверете процеса на разработка на доставчика спрямо IEC 62443 части 4-1 и 4-2 и започнете с една линия, за да може IT да прегледа малък обхват.

Донесете мрежовите си въпроси на демо

Донесете схемата на OT мрежата си. Ще покажем къде стои шлюзът и колко струват спиранията на една линия за смяна.

Заявете демо · Свържете се с нас