Pravila zaštitnog zida za OEE gateway: šta IT treba da traži

Ključni zaključci

• Gateway postavite na nivo 3 ili u DMZ, nikada u kancelarijsku mrežu.
• Ka mašinama (southbound), samo čitanje: samo navedeni PLC-ovi, samo na njihovom protokolu.
• Ka oblaku (northbound), samo odlazno: šifrovano, ka imenovanim hostovima.
• Nijedno dolazno pravilo sa interneta u OT mrežu.
• Beležite svaku konekciju i preispitajte pravila kada se linija promeni.

OEE gateway uređaju dajte što je moguće manje. Treba da čita mašine sa jedne strane i da šalje podatke napolje sa druge. Nikada mu nije potrebna konekcija koja dolazi sa interneta i nikada ne treba da upisuje u PLC.

Fabrico, OEE i light MES softver sa AI kamerama, opisuje ovaj oblik u sopstvenom članku o povezivanju sa PLC-om. To je gateway koji samo čita, nalazi se u DMZ zoni i šalje podatke samo odlazno preko HTTPS-a. Tačna pravila za vašu fabriku dogovaraju se sa tehničkim timom platforme Fabrico. U nastavku je kontrolna lista koju vaši IT i OT rukovodioci mogu da koriste sa bilo kojim dobavljačem.

Gde OEE gateway treba da bude u mreži fabrike?

Većina fabrika opisuje svoju mrežu Purdue modelom. On slaže sisteme po nivoima:

• Nivoi 0 do 2: senzori, mašine i njihovi PLC-ovi.
• Nivo 3: operacije lokacije, gde rade MES i OEE sistemi.
• Nivo 3.5: industrijski DMZ, sa zaštitnim zidovima, proksijima, kopijama istorijskih baza (historian) i jump serverima.
• Nivo 4: poslovni IT, bez direktne veze sa nivoom 2 ili nižim.

DMZ je tampon između ta dva sveta. Španski nacionalni CERT, INCIBE, kaže da DMZ „sprečava ili bar otežava“ prelazak napada između IT i OT.

OEE gateway pripada nivou 3 ili toj DMZ zoni. Odatle može da dosegne PLC-ove koje čita i da šalje podatke napolje jednim kontrolisanim putem.

Koja pravila zaštitnog zida su potrebna OEE gateway uređaju?

Malo pravila, a sve konekcije otvara sam gateway.

1. Ka svakom navedenom PLC-u: dozvolite gateway na protokolu tog PLC-a, sa nalogom samo za čitanje. Zabranite svaki drugi uređaj.
2. Ka serverima dobavljača: dozvolite samo odlazni saobraćaj, šifrovan, ka imenovanim hostovima. HTTPS ili MQTT preko TLS-a su uobičajeni izbori.
3. Vreme i imena: dozvolite fabrički server za vreme i DNS. Vremena zastoja su tačna samo onoliko koliko je tačan sat.
4. Pristup za podršku: ako je dobavljaču potreban, provedite ga kroz vaš jump server, uključen po sesiji i zabeležen.
5. Sve ostalo: zabranite i beležite šta je zabranjeno.

Primer: uzorak skupa pravila za jednu liniju

Primer linije (ilustrativni brojevi, nije klijent). Linija 4 ima tri mašine. OEE gateway je u zoni „Linija 4 OT“. Portovi ispod su uobičajene podrazumevane vrednosti; potvrdite ih za svaki uređaj i sa svojim dobavljačem.

To je 6 pravila dozvole, a svako od njih je konekcija koju otvara gateway. Zaštitnom zidu je potrebno 0 dolaznih pravila dozvole. Ako dobavljač traži jedno, pitajte zašto, pisanim putem.

Isti obrazac se lako širi. Druga linija dodaje sopstvena PLC pravila. Pravilo ka oblaku (northbound) ostaje isto.

Šta IT treba da pita OEE dobavljača o bezbednosti?

Rizik je stvaran. U jednom istraživanju na 1.560 donosilaca odluka u proizvodnji iz 17 zemalja, 46% je u prethodnoj godini imalo sajber incident. Bezbednost i usklađenost bile su druge na njihovoj listi potreba pri kupovini MES sistema, a navelo ih je 43%.

• Koje delove standarda IEC 62443 pratite? Dobavljač softvera se ocenjuje po delu 4-1, procesu bezbednog razvoja, i delu 4-2, zahtevima za komponente.
• Da li je svaka konekcija ka PLC-u samo za čitanje? Može li naš inženjer automatike da vidi celu listu tagova?
• Koje hostove i portove gateway poziva? Dobijte listu pre instalacije, a ne posle.
• Kako se lozinke i sertifikati čuvaju i menjaju?
• Kako ažuriranja stižu do gateway uređaja i ko ih odobrava?
• Ko može da pristupi gateway uređaju radi podrške i gde se to beleži?
• Šta se dešava sa podacima kada veza padne?

Naš vodič o zonama i kanalima prema IEC 62443 objašnjava kako da grupišete uređaje u zone. Vodič za kupce cloud MES sistema za IT dodaje pitanja o dostupnosti i vlasništvu nad podacima.

Koje greške otvaraju OT mrežu?

1. Gateway u kancelarijskoj mreži sa putem do PLC-ova.
2. Dolazno prosleđivanje porta ostavljeno otvoreno „za podršku“.
3. Pravilo „bilo šta ka bilo čemu“ zaostalo iz puštanja u rad.
4. Prava upisa na PLC nalogu gateway uređaja.
5. Jedna zajednička administratorska lozinka na gateway uređaju svake lokacije.
6. Nema sinhronizacije vremena, pa se zapisi zaštitnog zida i evidencija zastoja ne poklapaju.

Gde se Fabrico uklapa?

Fabrico je platforma za performanse proizvodnje sa podrškom za računarski vid. OEE i light MES su na prvom mestu. Fabrico čita signal mašine, beleži svaki zastoj i izražava ga u novcu.

• Automatsko beleženje zastoja iz PLC tagova, IoT uređaja ili kamera.
• OEE uživo po liniji i smeni, sa svakim gubitkom izraženim u novcu.
• Isečak snimka kao dokaz za zastoj, tamo gde kamera prati.
• Pilot na jednoj liniji, koji IT službi daje mali, jasan obim za prvi pregled.

Fabrico članak o povezivanju PLC-a za OEE opisuje gateway koji samo čita, u DMZ zoni, sa isključivo odlaznim HTTPS saobraćajem. Arhitektura za vašu fabriku potvrđuje se sa tehničkim timom platforme Fabrico pre instalacije. Proizvod pogledajte na stranici o OEE sa računarskim vidom, a više IT pitanja u članku OEE softver za IT menadžere.

Nema besplatnog plana i nema paketa: svaka fabrika dobija ponudu.

Često postavljana pitanja

Da li su OEE sistemu potrebna dolazna pravila zaštitnog zida?

Ne bi trebalo da budu. Gateway sam otvara svaku konekciju: ka PLC-ovima koje čita i ka serverima dobavljača. Ništa sa interneta ne mora da ulazi u OT mrežu. Ako dobavljač traži dolazno pravilo, pisanim putem tražite razlog i alternativu.

Da li OEE gateway treba da bude u DMZ zoni?

Nivo 3 ili industrijski DMZ na nivou 3.5 su uobičajena mesta. Oba drže gateway dalje od kancelarijske mreže, a on i dalje može da dosegne PLC-ove koje čita. Vaš rukovodilac OT bezbednosti odlučuje koja zona odgovara vašoj fabrici, na osnovu toga kako je mreža već podeljena.

Može li OEE gateway da upisuje u PLC?

Ne bi trebalo da može. Njegovom nalogu dajte samo prava čitanja na PLC-u ili OPC UA serveru i proverite to u kontroleru. OEE-u su potrebna stanja, brojači i šifre grešaka. Ništa od toga ne zahteva da se ijedna vrednost upiše nazad u mašinu.

Koje portove koristi OEE gateway?

To zavisi od PLC protokola na vašim linijama i od toga kako dobavljač šalje podatke napolje. Tražite celu listu hostova i portova pre instalacije. Uzorak skupa pravila iznad pokazuje tipičan oblik: nekoliko pravila samo za čitanje ka mašinama, jedno šifrovano pravilo napolje.

Da li je cloud OEE sistem bezbedan za OT mrežu?

Može da bude, kada je gateway postavljen u pravu zonu, samo čita i šalje podatke samo odlazno preko šifrovane veze. Proverite proces razvoja dobavljača prema delovima 4-1 i 4-2 standarda IEC 62443 i počnite sa jednom linijom, da IT može da pregleda mali obim.

Donesite svoja pitanja o mreži na demo

Donesite dijagram svoje OT mreže. Pokazaćemo gde gateway stoji i koliko zastoji jedne linije koštaju po smeni.

Zatražite demo · Kontaktirajte nas