OEE gateway tűzfalszabályai: mit kérjen az IT?

A legfontosabbak röviden

• A gateway a 3. szintre vagy a DMZ-be kerüljön, soha ne az irodai hálózatra.
• Lefelé, csak olvasás: kizárólag a listán szereplő PLC-k, kizárólag a saját protokolljukon.
• Felfelé, csak kimenő irányban: titkosítva, megnevezett hosztokra.
• Nincs bejövő szabály az internetről az OT-hálózatba.
• Naplózzon minden kapcsolatot, és vizsgálja felül a szabályokat, amikor egy sor változik.

Egy OEE gatewaynek a lehető legkevesebbet adja meg. Az egyik oldalon olvasnia kell a gépeket, a másikon ki kell küldenie az adatokat. Soha nincs szüksége az internetről bejövő kapcsolatra, és soha nem kell írnia egy PLC-be.

A Fabrico, az AI-kamerákkal működő OEE és light MES szoftver, a saját PLC-kapcsolódási cikkében ezt a felépítést írja le. Ez egy csak olvasó gateway a DMZ-ben, amely kizárólag kimenő irányban, HTTPS-en küld adatot. Az Ön gyárára vonatkozó pontos szabályokat a Fabrico műszaki csapatával egyeztetik. Alább egy ellenőrzőlista, amelyet az IT- és OT-vezetők bármely beszállítóval használhatnak.

Hol legyen az OEE gateway a gyári hálózaton?

A legtöbb gyár a Purdue-modellel írja le a hálózatát. Ez szintekbe rendezi a rendszereket:

• A 0-tól 2-ig terjedő szintek: érzékelők, gépek és a PLC-ik.
• 3. szint: a telephelyi üzemeltetés, itt él a MES és az OEE-rendszer.
• 3.5. szint: az ipari DMZ, tűzfalakkal, proxykkal, historian-másolatokkal és jump szerverekkel.
• 4. szint: az üzleti IT, közvetlen kapcsolat nélkül a 2. szinttel vagy az alatta lévőkkel.

A DMZ a kettő közötti puffer. A spanyol nemzeti CERT, az INCIBE szerint a DMZ „megakadályozza, vagy legalábbis megnehezíti”, hogy a támadások átjussanak az IT és az OT között.

Az OEE gateway helye a 3. szinten vagy ebben a DMZ-ben van. Innen eléri az általa olvasott PLC-ket, és egyetlen ellenőrzött útvonalon küldhet ki adatot.

Milyen tűzfalszabályok kellenek egy OEE gatewaynek?

Kevés, és mindegyiket maga a gateway kezdeményezi.

1. Minden listán szereplő PLC felé: engedélyezze a gatewayt az adott PLC protokollján, csak olvasási jogú fiókkal. Minden más eszközt tiltson.
2. A beszállító szervereinek irányába: csak kimenő, titkosított forgalmat engedélyezzen, megnevezett hosztnevekre. A szokásos választás a HTTPS vagy az MQTT TLS felett.
3. Idő és nevek: engedélyezze a gyár saját időszerverét és DNS-ét. A leállási időpontok csak annyira pontosak, amennyire az óra.
4. Támogatási hozzáférés: ha a beszállítónak szüksége van rá, vezesse a saját jump szerverén keresztül, munkamenetenként bekapcsolva és naplózva.
5. Minden más: tiltsa, és naplózza, mit tiltott le.

Kidolgozott példa: egy minta szabálykészlet egy sorra

Mintasor (szemléltető számok, nem ügyféladat). A Line 4 sornak három gépe van. Az OEE gateway a „Line 4 OT” zónában áll. Az alábbi portok a szokásos alapértékek; eszközönként és a beszállítóval is erősítse meg őket.

Ez 6 engedélyező szabály, és mindegyik olyan kapcsolat, amelyet a gateway nyit meg. A tűzfalnak 0 bejövő engedélyező szabályra van szüksége. Ha egy beszállító mégis kér egyet, kérdezze meg írásban, miért.

Ugyanez a minta skálázható. Egy második sor a saját PLC-szabályait adja hozzá. A felfelé irányuló szabály ugyanaz marad.

Mit kérdezzen az IT egy OEE-beszállítótól a biztonságról?

A kockázat valós. Egy 17 ország 1 560 gyártási döntéshozóját megkérdező felmérésben 46% élt át kiberincidenst az elmúlt évben. A biztonság és a megfelelőség a második helyen állt a MES-beszerzési igényeik listáján, a válaszadók 43%-a nevezte meg.

• Az IEC 62443 mely részeit követik? Egy szoftverbeszállítót a 4-1. rész, a biztonságos fejlesztési folyamat, és a 4-2. rész, a komponensekre vonatkozó követelmények alapján ítélnek meg.
• Minden PLC-kapcsolat csak olvasó? Láthatja az irányítástechnikai mérnökünk a teljes taglistát?
• Mely hosztokat és portokat hívja a gateway? A listát a telepítés előtt kérje el, ne utána.
• Hogyan tárolják és cserélik a jelszavakat és a tanúsítványokat?
• Hogyan jutnak el a frissítések a gatewayre, és ki hagyja jóvá őket?
• Ki érheti el a gatewayt támogatás céljából, és hol naplózzák ezt?
• Mi történik az adatokkal, amikor a kapcsolat megszakad?

Az IEC 62443 zónákról és csatornákról szóló útmutatónk elmagyarázza, hogyan csoportosítsa az eszközöket zónákba. A felhőalapú MES beszerzési útmutatója IT-szakembereknek további kérdéseket ad a rendelkezésre állásról és az adatok tulajdonjogáról.

Mely hibák nyitják meg az OT-hálózatot?

1. Gateway az irodai hálózaton, lefelé vezető úttal a PLC-kig.
2. Bejövő porttovábbítás, amelyet „a támogatás miatt” nyitva hagytak.
3. Egy „any to any” szabály, amely az üzembe helyezésből maradt.
4. Írási jog a gateway PLC-fiókján.
5. Egyetlen közös admin jelszó minden telephely gatewayén.
6. Nincs időszinkron, így a tűzfalnaplók és a leállási naplók nem esnek egybe.

Hol segít a Fabrico?

A Fabrico gépi látással támogatott Manufacturing Performance Platform (gyártási teljesítményplatform). Az OEE és a light MES áll az első helyen. Beolvassa a gép jelét, rögzít minden leállást, és árat rendel hozzá.

• Automatikus állásidő-rögzítés PLC-tagekből, IoT-eszközökből vagy kamerákból.
• Élő OEE soronként és műszakonként, minden veszteség pénzben kifejezve.
• Kamerás videórészlet bizonyítékként egy leálláshoz, ahol kamera figyel.
• Pilot egy soron, amely az IT-nak először egy kicsi, világos átvizsgálandó kört ad.

A Fabrico OEE-hez szükséges PLC-kapcsolódásról szóló cikke leírja a DMZ-ben álló, csak olvasó gatewayt, amely kizárólag kimenő HTTPS-t használ. Az Ön gyárára vonatkozó architektúrát a telepítés előtt a Fabrico műszaki csapata erősíti meg. A terméket a gépi látásos OEE oldalon nézheti meg, további IT-kérdéseket pedig az OEE szoftver IT-vezetőknek című cikkben talál.

Nincs ingyenes csomag, és nincsenek csomagszintek: minden gyár egyedi árajánlatot kap.

Gyakran ismételt kérdések

Kellenek bejövő tűzfalszabályok egy OEE-rendszerhez?

Nem kellene, hogy kelljenek. A gateway minden kapcsolatot maga nyit meg: lefelé az általa olvasott PLC-k felé, és kifelé a beszállító szerverei felé. Az internetről semminek sem kell bejutnia az OT-hálózatba. Ha egy beszállító bejövő szabályt kér, kérje írásban az okát és egy alternatívát.

A DMZ-ben legyen az OEE gateway?

A szokásos helyek a 3. szint vagy a 3.5. szinten lévő ipari DMZ. Mindkettő távol tartja a gatewayt az irodai hálózattól, miközben az továbbra is eléri az általa olvasott PLC-ket. Az OT-biztonsági vezető dönti el, melyik zóna illik a gyárhoz, az alapján, ahogyan a hálózat már fel van osztva.

Írhat egy OEE gateway a PLC-be?

Nem szabadna, hogy tudjon. A fiókja kapjon csak olvasási jogot a PLC-n vagy az OPC UA szerveren, és ezt ellenőrizze a vezérlőben. Az OEE-nek állapotokra, darabszámokra és hibakódokra van szüksége. Ezek egyikéhez sem kell egyetlen értéket sem visszaírni a gépbe.

Milyen portokat használ egy OEE gateway?

Ez a sorain futó PLC-protokolloktól és attól függ, hogyan küldi ki a beszállító az adatokat. Kérje el a hosztok és portok teljes listáját a telepítés előtt. A fenti minta szabálykészlet egy tipikus felépítést mutat: néhány csak olvasó szabály lefelé, egy titkosított szabály kifelé.

Biztonságos egy felhőalapú OEE-rendszer egy OT-hálózat számára?

Lehet az, ha a gateway a megfelelő zónában áll, csak olvas, és csak kimenő irányban, titkosított kapcsolaton küld adatot. Vesse össze a beszállító fejlesztési folyamatát az IEC 62443 4-1. és 4-2. részével, és egy sorral kezdjen, hogy az IT kicsi kört vizsgálhasson át.

Hozza el a hálózati kérdéseit egy demóra

Hozza el az OT-hálózat rajzát. Megmutatjuk, hol áll a gateway, és mennyibe kerülnek egy sor leállásai műszakonként.

Demó kérése · Kapcsolat