Reguły firewalla dla bramki OEE: o co powinien poprosić dział IT

Najważniejsze wnioski

• Umieśćcie bramkę na Poziomie 3 lub w DMZ, nigdy w sieci biurowej.
• W dół, tylko do odczytu: wyłącznie wymienione PLC, wyłącznie po ich własnym protokole.
• W górę, tylko ruch wychodzący: szyfrowany, do nazwanych hostów.
• Żadnej reguły przychodzącej z internetu do sieci OT.
• Logujcie każde połączenie i przeglądajcie reguły przy każdej zmianie na linii.

Dajcie bramce OEE jak najmniej uprawnień. Po jednej stronie musi czytać maszyny, a po drugiej wysyłać dane na zewnątrz. Nigdy nie potrzebuje połączenia przychodzącego z internetu i nigdy nie musi zapisywać niczego do PLC.

Fabrico, oprogramowanie OEE i light MES z kamerami AI, opisuje taki układ we własnym artykule o łączności z PLC. To bramka tylko do odczytu w DMZ, która wysyła dane wyłącznie na zewnątrz przez HTTPS. Dokładne reguły dla Waszego zakładu ustala się z zespołem technicznym Fabrico. Poniżej lista kontrolna, której liderzy IT i OT mogą użyć z każdym dostawcą.

Gdzie w sieci zakładu powinna stać bramka OEE?

Większość zakładów opisuje swoją sieć modelem Purdue. Układa on systemy w poziomy:

• Poziomy 0 do 2: czujniki, maszyny i ich PLC.
• Poziom 3: operacje zakładu, tu działają systemy MES i OEE.
• Poziom 3.5: przemysłowa DMZ z firewallami, proxy, kopiami historiana i serwerami przesiadkowymi.
• Poziom 4: biznesowe IT, bez bezpośredniego połączenia z Poziomem 2 i niższymi.

DMZ jest buforem między tymi dwoma światami. Hiszpański krajowy CERT, INCIBE, pisze, że DMZ „zapobiega lub przynajmniej utrudnia” przechodzenie ataków między IT a OT.

Bramka OEE należy do Poziomu 3 lub do tej DMZ. Stamtąd dosięga PLC, które czyta, i może wysyłać dane na zewnątrz jedną kontrolowaną ścieżką.

Jakich reguł firewalla potrzebuje bramka OEE?

Niewielu, i wszystkie dotyczą połączeń otwieranych przez samą bramkę.

1. Do każdego wymienionego PLC: zezwólcie bramce na protokół tego PLC, z kontem tylko do odczytu. Zablokujcie każde inne urządzenie.
2. Do serwerów dostawcy: zezwólcie tylko na ruch wychodzący, szyfrowany, do nazwanych hostów. Zwykle jest to HTTPS lub MQTT przez TLS.
3. Czas i nazwy: zezwólcie na własny serwer czasu i DNS zakładu. Czasy postojów są tak dobre, jak zegar.
4. Dostęp serwisowy: jeśli dostawca go potrzebuje, kierujcie go przez Wasz serwer przesiadkowy, włączany na każdą sesję i logowany.
5. Wszystko inne: blokujcie i logujcie to, co zostało zablokowane.

Przykład: przykładowy zestaw reguł dla jednej linii

Linia przykładowa (liczby poglądowe, nie klient). Linia 4 ma trzy maszyny. Bramka OEE stoi w strefie „Line 4 OT”. Poniższe porty to typowe wartości domyślne; potwierdźcie je dla każdego urządzenia i z dostawcą.

To 6 reguł zezwalających, każda dla połączenia otwieranego przez bramkę. Firewall potrzebuje 0 przychodzących reguł zezwalających. Jeśli dostawca o taką prosi, zapytajcie na piśmie, po co.

Ten sam wzorzec się skaluje. Druga linia dokłada własne reguły dla PLC. Reguła wychodząca pozostaje ta sama.

O co dział IT powinien zapytać dostawcę OEE w sprawie bezpieczeństwa?

Ryzyko jest realne. W jednym badaniu wśród 1 560 decydentów z przemysłu w 17 krajach 46% miało incydent cybernetyczny w ostatnim roku. Bezpieczeństwo i zgodność z przepisami znalazły się na drugim miejscu ich listy wymagań przy zakupie MES, wskazane przez 43%.

• Które części IEC 62443 stosujecie? Dostawcę oprogramowania ocenia się według części 4-1, czyli bezpiecznego procesu wytwarzania, i części 4-2, czyli wymagań dla komponentów.
• Czy każde połączenie z PLC jest tylko do odczytu? Czy nasz automatyk może zobaczyć pełną listę tagów?
• Z którymi hostami i portami łączy się bramka? Weźcie tę listę przed instalacją, nie po niej.
• Jak przechowywane i zmieniane są hasła i certyfikaty?
• Jak aktualizacje trafiają do bramki i kto je zatwierdza?
• Kto ma dostęp serwisowy do bramki i gdzie jest to logowane?
• Co dzieje się z danymi, gdy łącze nie działa?

Nasz poradnik o strefach i kanałach IEC 62443 wyjaśnia, jak grupować urządzenia w strefy. Przewodnik zakupowy MES w chmurze dla IT dodaje pytania o dostępność usługi i własność danych.

Jakie błędy otwierają sieć OT?

1. Bramka w sieci biurowej ze ścieżką w dół do PLC.
2. Przekierowanie portu przychodzącego zostawione otwarte „dla serwisu”.
3. Reguła „any to any” pozostała po uruchomieniu.
4. Prawa zapisu na koncie PLC używanym przez bramkę.
5. Jedno wspólne hasło administratora na bramkach we wszystkich zakładach.
6. Brak synchronizacji czasu, przez co logi firewalla i logi postojów się nie zgadzają.

Gdzie pasuje Fabrico?

Fabrico to platforma Manufacturing Performance z wizją komputerową. Na pierwszym miejscu są OEE i light MES. Czyta sygnał z maszyny, rejestruje każdy postój i go wycenia.

• Automatyczna rejestracja przestojów z tagów PLC, urządzeń IoT lub kamer.
• OEE na żywo dla każdej linii i zmiany, z każdą stratą wycenioną w pieniądzach.
• Nagranie z kamery jako dowód postoju, tam gdzie patrzy kamera.
• Pilotaż na jednej linii, który daje IT mały, jasny zakres do przejrzenia na początek.

Artykuł Fabrico o łączności z PLC dla OEE opisuje bramkę tylko do odczytu w DMZ z ruchem HTTPS wyłącznie wychodzącym. Architekturę dla Waszego zakładu potwierdza się z zespołem technicznym Fabrico przed instalacją. Produkt zobaczycie na stronie OEE z wizją komputerową, a więcej pytań IT w artykule oprogramowanie OEE dla kierowników IT.

Nie ma darmowego planu ani pakietów: każdy zakład dostaje indywidualną wycenę.

Najczęściej zadawane pytania

Czy system OEE potrzebuje przychodzących reguł firewalla?

Nie powinien. Bramka sama otwiera każde połączenie: w dół do PLC, które czyta, i na zewnątrz do serwerów dostawcy. Nic z internetu nie musi sięgać do sieci OT. Jeśli dostawca prosi o regułę przychodzącą, poproście na piśmie o uzasadnienie i alternatywę.

Czy bramka OEE powinna stać w DMZ?

Typowe miejsca to Poziom 3 lub przemysłowa DMZ na Poziomie 3.5. Oba trzymają bramkę z dala od sieci biurowej, a jednocześnie pozwalają jej dosięgnąć PLC, które czyta. Wasz lider bezpieczeństwa OT decyduje, która strefa pasuje do zakładu, na podstawie obecnego podziału sieci.

Czy bramka OEE może zapisywać do PLC?

Nie powinna mieć takiej możliwości. Dajcie jej kontu prawa tylko do odczytu na PLC lub serwerze OPC UA i sprawdźcie to w sterowniku. OEE potrzebuje stanów, liczników i kodów błędów. Nic z tego nie wymaga zapisania choćby jednej wartości z powrotem do maszyny.

Jakich portów używa bramka OEE?

To zależy od protokołów PLC na Waszych liniach i od tego, jak dostawca wysyła dane na zewnątrz. Poproście o pełną listę hostów i portów przed instalacją. Przykładowy zestaw reguł powyżej pokazuje typowy układ: kilka reguł tylko do odczytu w dół, jedna szyfrowana reguła na zewnątrz.

Czy chmurowy system OEE jest bezpieczny dla sieci OT?

Może być, jeśli bramka stoi we właściwej strefie, tylko czyta i wysyła dane wyłącznie na zewnątrz szyfrowanym łączem. Sprawdźcie proces wytwarzania dostawcy pod kątem IEC 62443 części 4-1 i 4-2 i zacznijcie od jednej linii, aby IT mogło przejrzeć mały zakres.

Przynieście pytania o sieć na demo

Przynieście schemat sieci OT. Pokażemy, gdzie stoi bramka i ile na każdej zmianie kosztują postoje jednej linii.

Poproś o demo · Skontaktuj się z nami