Regole firewall per il gateway OEE: cosa deve chiedere l'IT

Punti chiave

• Mettete il gateway al Livello 3 o nella DMZ, mai sulla rete d'ufficio.
• Verso il basso, sola lettura: solo i PLC elencati, solo con il loro protocollo.
• Verso l'alto, solo in uscita: cifrato, verso host con nome.
• Nessuna regola in ingresso da internet verso la rete OT.
• Registrate ogni connessione, e rivedete le regole quando una linea cambia.

Concedete a un gateway OEE il minimo indispensabile. Deve leggere le macchine da un lato e inviare dati dall'altro. Non ha mai bisogno di una connessione in ingresso da internet, e non ha mai bisogno di scrivere su un PLC.

Fabrico, software di OEE e light MES con telecamere AI, descrive questa architettura nel suo articolo sulla connettività PLC. Si tratta di un gateway in sola lettura nella DMZ che invia dati solo in uscita via HTTPS. Le regole esatte per il vostro stabilimento si concordano con il team tecnico di Fabrico. Qui sotto trovate una checklist che i vostri responsabili IT e OT possono usare con qualsiasi fornitore.

Dove va posizionato un gateway OEE nella rete di stabilimento?

La maggior parte degli stabilimenti descrive la propria rete con il modello Purdue, che organizza i sistemi in livelli:

• Livelli da 0 a 2: sensori, macchine e relativi PLC.
• Livello 3: operazioni di sito, dove risiedono i sistemi MES e OEE.
• Livello 3.5: la DMZ industriale, con firewall, proxy, copie dell'historian e jump server.
• Livello 4: IT aziendale, senza connessione diretta al Livello 2 o inferiori.

La DMZ è la zona cuscinetto tra i due mondi. Il CERT nazionale spagnolo, INCIBE, afferma che la DMZ "impedisce o almeno rende difficile" il passaggio degli attacchi tra IT e OT.

Un gateway OEE va al Livello 3 o in quella DMZ. Da lì raggiunge i PLC che legge e può inviare dati all'esterno attraverso un unico percorso controllato.

Di quali regole firewall ha bisogno un gateway OEE?

Poche, e tutte avviate dal gateway stesso.

1. Verso ogni PLC elencato: consentite il gateway sul protocollo di quel PLC, con un account in sola lettura. Negate ogni altro dispositivo.
2. Verso i server del fornitore: consentite solo traffico in uscita, cifrato, verso host name definiti. Le scelte abituali sono HTTPS o MQTT su TLS.
3. Orario e nomi: consentite il time server e il DNS dello stabilimento. I tempi di fermata sono affidabili solo quanto l'orologio.
4. Accesso per assistenza: se il fornitore ne ha bisogno, fatelo passare dal vostro jump server, attivato per singola sessione e registrato.
5. Tutto il resto: negato, e registrate ciò che viene negato.

Esempio pratico: un set di regole di esempio per una linea

Linea di esempio (numeri illustrativi, non di un cliente). La Linea 4 ha tre macchine. Il gateway OEE si trova nella zona "Linea 4 OT". Le porte qui sotto sono i valori predefiniti abituali; confermatele per ogni dispositivo e con il vostro fornitore.

Sono 6 regole di consenso, ognuna una connessione aperta dal gateway. Il firewall ha bisogno di 0 regole di consenso in ingresso. Se un fornitore ne chiede una, chiedete il perché, per iscritto.

Lo stesso schema si estende. Una seconda linea aggiunge le proprie regole PLC. La regola verso l'esterno resta la stessa.

Cosa deve chiedere l'IT a un fornitore OEE sulla sicurezza?

Il rischio è reale. In un sondaggio su 1.560 decisori del manifatturiero in 17 paesi, il 46% aveva subito un incidente informatico nell'ultimo anno. Sicurezza e compliance erano al secondo posto tra le esigenze d'acquisto di un MES, indicate dal 43%.

• Quali parti della IEC 62443 seguite? Un fornitore di software si valuta sulla parte 4-1, il processo di sviluppo sicuro, e sulla parte 4-2, i requisiti per i componenti.
• Ogni connessione ai PLC è in sola lettura? Il nostro ingegnere di automazione può vedere l'elenco completo dei tag?
• Quali host e porte chiama il gateway? Fatevi dare l'elenco prima dell'installazione, non dopo.
• Come vengono conservati e cambiati password e certificati?
• Come arrivano gli aggiornamenti al gateway, e chi li approva?
• Chi può raggiungere il gateway per assistenza, e dove viene registrato?
• Cosa succede ai dati quando il collegamento è giù?

La nostra guida a zone e conduit IEC 62443 spiega come raggruppare i dispositivi in zone. La guida all'acquisto di un MES cloud per l'IT aggiunge domande su uptime e proprietà dei dati.

Quali errori aprono la rete OT?

1. Un gateway sulla rete d'ufficio con un percorso fino ai PLC.
2. Un port forward in ingresso lasciato aperto "per l'assistenza".
3. Una regola "any to any" rimasta dalla messa in servizio.
4. Diritti di scrittura sull'account PLC del gateway.
5. Un'unica password di amministratore condivisa sui gateway di tutti i siti.
6. Nessuna sincronizzazione dell'orario, così i log del firewall e quelli delle fermate non coincidono.

Che ruolo ha Fabrico?

Fabrico è una Manufacturing Performance Platform con computer vision. OEE e light MES vengono prima di tutto. Legge il segnale della macchina, registra ogni fermata e le dà un prezzo.

• Registrazione automatica dei fermi da tag PLC, dispositivi IoT o telecamere.
• OEE in tempo reale per linea e turno, con ogni perdita valorizzata in denaro.
• Una clip video come prova di una fermata, dove una telecamera osserva.
• Un pilota su una linea, che dà all'IT un perimetro piccolo e chiaro da valutare per primo.

L'articolo di Fabrico sulla connettività PLC per l'OEE descrive il suo gateway in sola lettura nella DMZ con HTTPS solo in uscita. L'architettura per il vostro stabilimento viene confermata con il team tecnico di Fabrico prima dell'installazione. Guardate il prodotto nella pagina computer vision OEE, e altre domande per l'IT in software OEE per responsabili IT.

Non c'è un piano gratuito e non ci sono livelli: ogni stabilimento riceve un preventivo.

Domande frequenti

Un sistema OEE ha bisogno di regole firewall in ingresso?

Non dovrebbe. Il gateway apre da sé ogni connessione: verso il basso ai PLC che legge, e verso l'esterno ai server del fornitore. Nulla da internet deve entrare nella rete OT. Se un fornitore chiede una regola in ingresso, chiedete la motivazione e un'alternativa per iscritto.

Il gateway OEE deve stare nella DMZ?

Il Livello 3 o la DMZ industriale al Livello 3.5 sono le posizioni abituali. Entrambe tengono il gateway lontano dalla rete d'ufficio, pur permettendogli di raggiungere i PLC che legge. Il vostro responsabile della sicurezza OT decide quale zona è adatta al vostro stabilimento, in base a come la rete è già segmentata.

Un gateway OEE può scrivere sul PLC?

Non dovrebbe poterlo fare. Date al suo account diritti di sola lettura sul PLC o sul server OPC UA, e verificatelo nel controllore. All'OEE servono stati, conteggi e codici di guasto. Niente di tutto questo richiede di riscrivere un solo valore sulla macchina.

Quali porte usa un gateway OEE?

Dipende dai protocolli PLC delle vostre linee e da come il fornitore invia i dati all'esterno. Chiedete l'elenco completo di host e porte prima dell'installazione. Il set di regole di esempio qui sopra mostra uno schema tipico: poche regole in sola lettura verso il basso, una regola cifrata verso l'esterno.

Un sistema OEE in cloud è sicuro per una rete OT?

Può esserlo, se il gateway è nella zona giusta, legge soltanto e invia dati solo in uscita su un collegamento cifrato. Verificate il processo di sviluppo del fornitore rispetto alle parti 4-1 e 4-2 della IEC 62443, e partite da una linea così l'IT può valutare un perimetro ridotto.

Portate le vostre domande sulla rete a una demo

Portate lo schema della vostra rete OT. Vi mostreremo dove si posiziona il gateway e quanto costano per turno le fermate di una linea.

Richiedi una demo · Contattaci