Regulile de firewall pentru gateway-ul OEE: ce ar trebui să ceară IT-ul

Pe scurt

• Puneți gateway-ul la Nivelul 3 sau în DMZ, niciodată în rețeaua de birou.
• Spre mașini, doar citire: numai PLC-urile din listă, numai pe protocolul lor.
• Spre exterior, doar ieșire: criptat, către gazde cu nume precizate.
• Nicio regulă de intrare din internet în rețeaua OT.
• Înregistrați fiecare conexiune și revizuiți regulile când se schimbă o linie.

Dați unui gateway OEE cât mai puțin posibil. Trebuie să citească mașinile pe o parte și să trimită date pe cealaltă. Nu are niciodată nevoie de o conexiune care intră din internet și nu are niciodată nevoie să scrie într-un PLC.

Fabrico, software OEE și light MES cu camere AI, descrie această arhitectură în propriul articol despre conectivitatea cu PLC-urile. Este un gateway doar în citire, în DMZ, care trimite date doar spre exterior prin HTTPS. Regulile exacte pentru fabrica dumneavoastră se stabilesc cu echipa tehnică Fabrico. Mai jos este o listă de verificare pe care responsabilii IT și OT o pot folosi cu orice furnizor.

Unde ar trebui să stea un gateway OEE în rețeaua fabricii?

Majoritatea fabricilor își descriu rețeaua după modelul Purdue. Acesta așază sistemele pe niveluri:

• Nivelurile 0 până la 2: senzori, mașini și PLC-urile lor.
• Nivelul 3: operațiunile fabricii, unde stau sistemele MES și OEE.
• Nivelul 3.5: DMZ-ul industrial, cu firewall-uri, proxy-uri, copii ale historianului și servere de salt.
• Nivelul 4: IT-ul de business, fără conexiune directă cu Nivelul 2 sau mai jos.

DMZ-ul este zona tampon dintre cele două. CERT-ul național al Spaniei, INCIBE, spune că DMZ-ul „împiedică sau cel puțin îngreunează” trecerea atacurilor între IT și OT.

Un gateway OEE își are locul la Nivelul 3 sau în acest DMZ. De acolo poate ajunge la PLC-urile pe care le citește și poate trimite date în exterior pe o singură cale controlată.

De ce reguli de firewall are nevoie un gateway OEE?

De puține, și toate inițiate chiar de gateway.

1. Către fiecare PLC din listă: permiteți gateway-ul pe protocolul acelui PLC, cu un cont doar în citire. Interziceți orice alt dispozitiv.
2. Către serverele furnizorului: permiteți doar ieșirea, criptată, către nume de gazdă precizate. HTTPS sau MQTT peste TLS sunt alegerile obișnuite.
3. Ora și numele: permiteți serverul de timp și DNS-ul propriu al fabricii. Orele opririlor sunt la fel de bune ca ceasul.
4. Accesul pentru suport: dacă furnizorul are nevoie de el, treceți-l prin serverul dumneavoastră de salt, activat pe sesiune și înregistrat.
5. Orice altceva: interzis, și înregistrați ce se interzice.

Exemplu calculat: un set de reguli exemplu pentru o linie

Linie exemplu (cifre ilustrative, nu un client). Linia 4 are trei mașini. Gateway-ul OEE stă în zona „Linia 4 OT”. Porturile de mai jos sunt valorile implicite obișnuite; confirmați-le pentru fiecare dispozitiv și cu furnizorul.

Sunt 6 reguli de permisiune, fiecare o conexiune pe care o deschide gateway-ul. Firewall-ul are nevoie de 0 reguli de permisiune la intrare. Dacă un furnizor cere una, întrebați de ce, în scris.

Același tipar se extinde ușor. O a doua linie își adaugă propriile reguli pentru PLC-uri. Regula spre exterior rămâne aceeași.

Ce ar trebui să întrebe IT-ul un furnizor OEE despre securitate?

Riscul este real. Într-un sondaj cu 1.560 de factori de decizie din producție din 17 țări, 46% au avut un incident cibernetic în ultimul an. Securitatea și conformitatea au ieșit pe locul doi pe lista lor de cerințe la achiziția unui MES, menționate de 43%.

• Ce părți din IEC 62443 respectați? Un furnizor de software este judecat după partea 4-1, procesul de dezvoltare securizată, și partea 4-2, cerințele pentru componente.
• Fiecare conexiune cu un PLC este doar în citire? Poate inginerul nostru de automatizări să vadă lista completă de taguri?
• Ce gazde și porturi apelează gateway-ul? Obțineți lista înainte de instalare, nu după.
• Cum sunt stocate și schimbate parolele și certificatele?
• Cum ajung actualizările la gateway și cine le aprobă?
• Cine poate accesa gateway-ul pentru suport și unde se înregistrează asta?
• Ce se întâmplă cu datele când legătura cade?

Ghidul nostru despre zonele și conductele IEC 62443 explică cum grupați dispozitivele în zone. Ghidul de achiziție MES în cloud pentru IT adaugă întrebări despre disponibilitate și proprietatea datelor.

Ce greșeli deschid rețeaua OT?

1. Un gateway în rețeaua de birou, cu o cale în jos spre PLC-uri.
2. O redirecționare de port la intrare lăsată deschisă „pentru suport”.
3. O regulă „orice spre orice” rămasă de la punerea în funcțiune.
4. Drepturi de scriere pe contul de PLC al gateway-ului.
5. O singură parolă de administrator comună pe gateway-ul fiecărei locații.
6. Fără sincronizarea orei, așa că jurnalele firewall-ului și registrele de opriri nu se potrivesc.

Unde se potrivește Fabrico?

Fabrico este o platformă de performanță în producție bazată pe computer vision. OEE și light MES sunt pe primul loc. Citește semnalul mașinii, înregistrează fiecare oprire și îi pune un preț.

• Înregistrare automată a opririlor din taguri PLC, dispozitive IoT sau camere.
• OEE live pe linie și pe schimb, cu fiecare pierdere evaluată în bani.
• Un clip video ca dovadă pentru o oprire, acolo unde urmărește o cameră.
• Un pilot pe o singură linie, care îi dă IT-ului un perimetru mic și clar de analizat mai întâi.

Articolul Fabrico despre conectivitatea PLC pentru OEE descrie gateway-ul său doar în citire, în DMZ, cu HTTPS doar spre exterior. Arhitectura pentru fabrica dumneavoastră se confirmă cu echipa tehnică Fabrico înainte de instalare. Vedeți produsul pe pagina OEE cu computer vision și mai multe întrebări de IT în software OEE pentru managerii IT.

Nu există plan gratuit și nici niveluri: fiecare fabrică primește o ofertă.

Întrebări frecvente

Are nevoie un sistem OEE de reguli de firewall la intrare?

Nu ar trebui. Gateway-ul deschide singur fiecare conexiune: în jos spre PLC-urile pe care le citește și în afară spre serverele furnizorului. Nimic din internet nu trebuie să intre în rețeaua OT. Dacă un furnizor cere o regulă de intrare, cereți motivul și o alternativă în scris.

Ar trebui ca gateway-ul OEE să stea în DMZ?

Nivelul 3 sau DMZ-ul industrial de la Nivelul 3.5 sunt locurile obișnuite. Ambele țin gateway-ul departe de rețeaua de birou, iar acesta poate ajunge în continuare la PLC-urile pe care le citește. Responsabilul de securitate OT decide ce zonă se potrivește fabricii, pe baza felului în care rețeaua este deja împărțită.

Poate un gateway OEE să scrie în PLC?

Nu ar trebui să poată. Dați-i contului drepturi doar de citire pe PLC sau pe serverul OPC UA și verificați asta în controler. OEE are nevoie de stări, contoare și coduri de defect. Nimic din toate acestea nu cere scrierea vreunei valori înapoi în mașină.

Ce porturi folosește un gateway OEE?

Depinde de protocoalele PLC de pe liniile dumneavoastră și de felul în care furnizorul trimite datele în exterior. Cereți lista completă de gazde și porturi înainte de instalare. Setul de reguli exemplu de mai sus arată o formă tipică: câteva reguli doar în citire în jos, o regulă criptată spre exterior.

Este un sistem OEE în cloud sigur pentru o rețea OT?

Poate fi, când gateway-ul este pus în zona potrivită, doar citește și trimite date doar spre exterior, pe o legătură criptată. Verificați procesul de dezvoltare al furnizorului față de IEC 62443 părțile 4-1 și 4-2 și începeți cu o singură linie, ca IT-ul să poată analiza un perimetru mic.

Aduceți întrebările despre rețea la un demo

Aduceți diagrama rețelei OT. Vă arătăm unde stă gateway-ul și cât costă pe schimb opririle unei linii.

Solicitați un demo · Contactați-ne