OEE Ağ Geçidi Güvenlik Duvarı Kuralları: BT Ekibi Ne İstemeli

Kısaca

• Ağ geçidini Seviye 3'e veya DMZ'ye yerleştirin, asla ofis ağına değil.
• Aşağı yön (southbound), salt okunur: yalnızca listedeki PLC'ler, yalnızca kendi protokolleriyle.
• Yukarı yön (northbound), yalnızca dışa doğru: şifreli, adı belirlenmiş sunuculara.
• Gelen yönde kural yok: internetten OT ağına hiçbir şey girmez.
• Her bağlantıyı kayda alın ve bir hat değiştiğinde kuralları gözden geçirin.

Bir OEE (Toplam Ekipman Etkinliği) ağ geçidine mümkün olan en az erişimi verin. Bir tarafta makineleri okuması, diğer tarafta veriyi dışarı göndermesi gerekir. İnternetten gelen bir bağlantıya da, bir PLC'ye yazmaya da hiçbir zaman ihtiyacı yoktur.

Yapay zekâ destekli kameralara sahip bir OEE ve hafif MES (light MES) yazılımı olan Fabrico, bu yapıyı kendi PLC bağlantısı yazısında anlatır. Bu, DMZ'de duran ve veriyi yalnızca dışa doğru HTTPS üzerinden gönderen salt okunur bir ağ geçididir. Fabrikanız için kesin kurallar Fabrico'nun teknik ekibiyle birlikte belirlenir. Aşağıda BT (IT) ve OT sorumlularınızın herhangi bir tedarikçiyle kullanabileceği bir kontrol listesi var.

Bir OEE ağ geçidi fabrika ağında nerede durmalı?

Çoğu fabrika ağını Purdue modeliyle tarif eder. Bu model sistemleri seviyeler halinde üst üste dizer:

• Seviye 0 ila 2: sensörler, makineler ve PLC'leri.
• Seviye 3: tesis operasyonları; MES ve OEE sistemlerinin bulunduğu yer.
• Seviye 3.5: endüstriyel DMZ; güvenlik duvarları, proxy'ler, historian kopyaları ve atlama sunucuları (jump server) burada durur.
• Seviye 4: kurumsal BT; Seviye 2'ye veya altına doğrudan bağlantısı yoktur.

DMZ, ikisi arasındaki tampondur. İspanya'nın ulusal CERT'i INCIBE'ye göre DMZ, saldırıların BT ile OT arasında geçmesini "engeller ya da en azından zorlaştırır".

Bir OEE ağ geçidinin yeri Seviye 3 veya bu DMZ'dir. Oradan okuduğu PLC'lere erişebilir ve veriyi tek bir kontrollü yoldan dışarı gönderebilir.

Bir OEE ağ geçidinin hangi güvenlik duvarı kurallarına ihtiyacı var?

Az sayıda kurala ve hepsi ağ geçidinin kendisinin başlattığı bağlantılardır.

1. Listedeki her PLC'ye: ağ geçidine o PLC'nin protokolüyle, salt okunur bir hesapla izin verin. Diğer tüm cihazları reddedin.
2. Tedarikçinin sunucularına: yalnızca dışa doğru, şifreli ve adı belirlenmiş sunuculara izin verin. Olağan seçenekler HTTPS veya TLS üzerinden MQTT'dir.
3. Zaman ve adlar: fabrikanın kendi zaman sunucusuna ve DNS'ine izin verin. Duruş zamanları ancak saat kadar doğrudur.
4. Destek erişimi: tedarikçinin ihtiyacı varsa, bunu oturum başına açılan ve kayda alınan atlama sunucunuz üzerinden yönlendirin.
5. Geri kalan her şey: reddedin ve reddedilenleri kayda alın.

Çözümlü örnek: tek bir hat için örnek kural seti

Örnek hat (açıklayıcı rakamlar, müşteri verisi değildir). Hat 4'te üç makine var. OEE ağ geçidi "Hat 4 OT" bölgesinde duruyor. Aşağıdaki portlar olağan varsayılan değerlerdir; bunları her cihaz için ve tedarikçinizle doğrulayın.

Bu, 6 izin kuralı eder ve her biri ağ geçidinin açtığı bir bağlantıdır. Güvenlik duvarının ihtiyacı olan gelen yönde 0 izin kuralıdır. Bir tedarikçi böyle bir kural isterse, nedenini yazılı olarak sorun.

Aynı yapı büyütülebilir. İkinci bir hat kendi PLC kurallarını ekler. Yukarı yön kuralı aynı kalır.

BT, bir OEE tedarikçisine güvenlik hakkında neler sormalı?

Risk gerçektir. 17 ülkede 1.560 üretim karar vericisiyle yapılan bir ankette katılımcıların %46'sı son bir yılda bir siber olay yaşamıştı. Güvenlik ve uyumluluk, MES satın alma ihtiyaçları listesinde %43 ile ikinci sırada geldi.

• IEC 62443'ün hangi bölümlerine uyuyorsunuz? Bir yazılım tedarikçisi, 4-1 bölümüne (güvenli geliştirme süreci) ve 4-2 bölümüne (bileşen gereksinimleri) göre değerlendirilir.
• Her PLC bağlantısı salt okunur mu? Otomasyon mühendisimiz tam tag listesini görebilir mi?
• Ağ geçidi hangi sunuculara ve portlara bağlanıyor? Listeyi kurulumdan sonra değil, önce alın.
• Parolalar ve sertifikalar nasıl saklanıyor ve değiştiriliyor?
• Güncellemeler ağ geçidine nasıl ulaşıyor ve bunları kim onaylıyor?
• Destek için ağ geçidine kim erişebiliyor ve bu nerede kayda geçiyor?
• Bağlantı koptuğunda verilere ne oluyor?

IEC 62443 bölgeler ve kanallar rehberimiz, cihazların bölgelere nasıl gruplanacağını açıklar. BT için bulut MES satın alma rehberi, çalışma süresi (uptime) ve veri sahipliği üzerine sorular ekler.

Hangi hatalar OT ağını açık hale getirir?

1. Ofis ağında bir ağ geçidi ve ondan PLC'lere inen bir yol.
2. Gelen yönde port yönlendirmesi: "destek için" açık bırakılmış.
3. "Her yerden her yere" (any to any) kuralı: devreye almadan kalmış.
4. Ağ geçidinin PLC hesabında yazma yetkisi.
5. Her tesisin ağ geçidinde ortak tek bir yönetici parolası.
6. Zaman senkronizasyonu yok; bu yüzden güvenlik duvarı kayıtları ile duruş kayıtları örtüşmez.

Fabrico nereye oturur?

Fabrico, bilgisayarlı görü destekli bir Üretim Performans Platformudur. Önce OEE ve hafif MES gelir. Makine sinyalini okur, her duruşu kaydeder ve fiyatlandırır.

• PLC tag'lerinden, IoT cihazlarından veya kameralardan otomatik duruş kaydı.
• Hat ve vardiya bazında canlı OEE, her kayıp paraya çevrilmiş olarak.
• Bir kameranın izlediği yerde, bir duruş için kanıt olarak kamera klibi.
• Tek bir hatta pilot; bu, BT'ye önce inceleyeceği küçük ve net bir kapsam verir.

Fabrico'nun OEE için PLC bağlantısı yazısı, DMZ'deki salt okunur ağ geçidini ve yalnızca dışa doğru HTTPS bağlantısını anlatır. Fabrikanıza özel mimari, kurulumdan önce Fabrico'nun teknik ekibiyle netleştirilir. Ürünü bilgisayarlı görü ile OEE sayfasında, diğer BT sorularını BT yöneticileri için OEE yazılımı yazısında bulabilirsiniz.

Ücretsiz plan yoktur, fiyat kademeleri de yoktur: her fabrikaya özel teklif verilir.

Sık sorulan sorular

Bir OEE sisteminin gelen yönde güvenlik duvarı kurallarına ihtiyacı var mı?

Olmamalı. Ağ geçidi her bağlantıyı kendisi açar: aşağıda okuduğu PLC'lere, dışarıda tedarikçinin sunucularına. İnternetten hiçbir şeyin OT ağına ulaşması gerekmez. Bir tedarikçi gelen yönde bir kural isterse, gerekçesini ve bir alternatifini yazılı olarak isteyin.

OEE ağ geçidi DMZ'de mi durmalı?

Olağan yerler Seviye 3 veya Seviye 3.5'teki endüstriyel DMZ'dir. İkisi de ağ geçidini ofis ağından uzak tutarken okuduğu PLC'lere erişmesine izin verir. Fabrikanıza hangi bölgenin uyduğuna, ağın mevcut bölünme şekline bakarak OT güvenlik sorumlunuz karar verir.

Bir OEE ağ geçidi PLC'ye yazabilir mi?

Yazabilmemeli. Hesabına PLC'de veya OPC UA sunucusunda salt okunur yetki verin ve bunu kontrolörde doğrulayın. OEE'nin ihtiyacı durumlar, sayımlar ve arıza kodlarıdır. Bunların hiçbiri makineye tek bir değer geri yazmayı gerektirmez.

Bir OEE ağ geçidi hangi portları kullanır?

Bu, hatlarınızdaki PLC protokollerine ve tedarikçinin veriyi dışarı nasıl gönderdiğine bağlıdır. Kurulumdan önce sunucuların ve portların tam listesini isteyin. Yukarıdaki örnek kural seti tipik yapıyı gösterir: aşağıya doğru birkaç salt okunur kural, dışarıya doğru tek bir şifreli kural.

Bulut tabanlı bir OEE sistemi OT ağı için güvenli mi?

Ağ geçidi doğru bölgeye yerleştirildiğinde, yalnızca okuduğunda ve veriyi yalnızca dışa doğru, şifreli bir bağlantı üzerinden gönderdiğinde güvenli olabilir. Tedarikçinin geliştirme sürecini IEC 62443'ün 4-1 ve 4-2 bölümlerine göre kontrol edin ve BT küçük bir kapsamı inceleyebilsin diye tek bir hatla başlayın.

Ağ sorularınızı bir demoya getirin

OT ağ şemanızı getirin. Ağ geçidinin nerede durduğunu ve bir hattın duruşlarının vardiya başına neye mal olduğunu gösterelim.

Demo talep edin · Bize ulaşın