สวิตช์อุตสาหกรรมสามารถเป็นส่วนหนึ่งของการป้องกันด้านความปลอดภัยได้ แต่ไม่ได้เข้ารหัสข้อมูลโดยอัตโนมัติเมื่อเชื่อมต่อ คุณควรควบคุมแยกกันว่าใครเชื่อมต่อได้ ใครจัดการได้ บริการใดสื่อสารกันได้ และจะกู้คืนอย่างไรหลังเกิดข้อขัดข้อง VLAN การควบคุมการเข้าถึง การเข้ารหัส และการป้องกันทางกายภาพมีบทบาทต่างกัน ต้องตรวจสอบความสามารถที่รองรับโดยเฉพาะจากเอกสารของรุ่น เฟิร์มแวร์ และการกำหนดค่า
อย่าสับสนระหว่างความปลอดภัยกับความเชื่อถือได้ในการทำงาน
ตัวเรือนโลหะ ช่วงอุณหภูมิการทำงานกว้าง และแหล่งจ่ายไฟสำรองซ้ำซ้อน มุ่งรองรับสภาพแวดล้อมหน้างานและความเชื่อถือได้ในการทำงานเป็นหลัก ไม่ได้พิสูจน์ความสามารถในการต้านทานการบุกรุกโดยตรง ความปลอดภัยของเครือข่ายมุ่งเน้นการเข้าถึงโดยไม่ได้รับอนุญาต การกำหนดค่าที่ไม่ถูกต้อง ทราฟฟิกที่เป็นอันตราย และข้อมูลรั่วไหล ทั้งสองด้านเกี่ยวข้องกันแต่ใช้แทนกันไม่ได้ เริ่มจากจัดทำรายการคอนโทรลเลอร์ กล้อง คอมพิวเตอร์บำรุงรักษา และแพลตฟอร์มการจัดการ แล้วระบุว่าอุปกรณ์ใดต้องสื่อสารกัน และอุปกรณ์ใดไม่ควรเชื่อมต่อถึงกัน การกำหนดค่าทั้งหมดหลังจากนั้นควรยึดความสัมพันธ์ในการใช้งานจริงเหล่านี้เป็นหลัก
การอนุญาตให้เชื่อมต่อผ่านพอร์ต: ลดจุดเข้าถึงที่ไม่จำเป็นก่อน
ปิดพอร์ตที่ไม่ได้ใช้งาน จำกัดจุดที่อนุญาตให้เชื่อมต่อ และกำหนดค่าการยืนยันตัวตนที่พอร์ตหรือมาตรการอนุญาตให้เชื่อมต่ออื่นตามความสามารถของอุปกรณ์ การจำกัด MAC ช่วยลดการเชื่อมต่อตามอำเภอใจได้ แต่ที่อยู่ MAC ไม่ใช่หลักฐานยืนยันตัวตนที่ปลอมแปลงไม่ได้ การใช้ 802.1X ยังต้องอาศัยการรองรับร่วมกันจากอุปกรณ์ปลายทาง เซิร์ฟเวอร์ยืนยันตัวตน และสวิตช์ อุปกรณ์ปลายทางอุตสาหกรรมที่ไม่มีความสามารถในการยืนยันตัวตนต้องมีนโยบายข้อยกเว้นที่ชัดเจน และไม่ควรถือว่าการเปิดใช้การยืนยันตัวตนครอบคลุมทั้งเครือข่ายแล้ว ต้องจัดการตู้หน้างาน ระบบกระจายสายใยแก้วนำแสง และอินเทอร์เฟซสำรองด้วย
VLAN แบ่งขอบเขต ส่วน ACL จำกัดบริการ
VLAN แยกบริการต่าง ๆ ออกเป็นบรอดแคสต์โดเมน Layer 2 ที่ต่างกัน แต่ไม่ได้ทำให้ข้อมูลเข้ารหัสโดยอัตโนมัติ หากใช้การกำหนดเส้นทางเพื่อให้สื่อสารระหว่างกัน ก็ยังต้องมีกฎการเข้าถึง ACL กรองทราฟฟิกตามที่อยู่ โปรโตคอล หรือพอร์ต เมื่อกำหนดค่า ให้เปิดเฉพาะเส้นทางที่บริการจำเป็นต้องใช้จริง และทดสอบทั้งกรณีที่อนุญาตและปฏิเสธ โปรโตคอลควบคุมอุตสาหกรรมอาจใช้หลายพอร์ตหรือเป็นฝ่ายเริ่มเชื่อมต่อกลับ จึงไม่สามารถเขียนกฎโดยอาศัยเพียงชื่อได้ เมื่อเกี่ยวข้องกับเครือข่ายควบคุมที่สำคัญ ควรใช้งานร่วมกับไฟร์วอลล์ การแยกโซน และมาตรการเฝ้าติดตามอย่างเป็นระบบ
ปกป้องระนาบการจัดการ อย่าปล่อยรหัสผ่านไว้เป็นค่าเริ่มต้น
ระนาบการจัดการเป็นจุดเข้าถึงสำหรับเปลี่ยนการกำหนดค่าอุปกรณ์ จึงควรแยกออกจากทราฟฟิกบริการทั่วไป พร้อมจำกัดแหล่งที่มาและบุคลากรที่เข้าถึงได้ หากรุ่นนั้นรองรับ ให้เลือกใช้โปรโตคอลการจัดการที่มีการป้องกันเป็นหลัก ปิดบริการรุ่นเก่าที่ไม่ได้ใช้งาน และแยกบัญชีกับสิทธิ์การใช้งาน การบำรุงรักษาต้องครอบคลุมการปรับปรุงรหัสผ่าน ใบรับรอง การซิงโครไนซ์เวลา การเก็บรักษาบันทึก และการตรวจสอบแหล่งที่มาของเฟิร์มแวร์ด้วย การเข้ารหัสโปรโตคอลการจัดการกับการเข้ารหัสข้อความของบริการเป็นคนละเรื่องและต้องไม่สับสนกัน
ต้องตรวจสอบการป้องกันด้วยการทดสอบจริง
ใช้อุปกรณ์ปลายทางที่ได้รับอนุญาตเพื่อยืนยันว่าบริการด้านการผลิตยังคงพร้อมใช้งานอย่างต่อเนื่อง จากนั้นใช้อุปกรณ์ทดสอบภายใต้การควบคุมเพื่อยืนยันว่าเส้นทางที่ห้ามถูกบล็อกจริง ทดสอบการควบคุมบรอดแคสต์สตอร์ม การสำรองข้อมูลการกำหนดค่า การกู้คืนหลังไฟดับ และสิทธิ์ของผู้ดูแลระบบ พร้อมบันทึกเวอร์ชันการกำหนดค่าและประวัติการดำเนินงาน ก่อนเปลี่ยน ACL หรือ VLAN ให้เตรียมวิธีย้อนกลับ เพื่อไม่ให้การกำหนดค่าความปลอดภัยตัดช่องทางบำรุงรักษาไปด้วย สวิตช์ไม่สามารถทดแทนแพตช์ของอุปกรณ์ปลายทาง การยืนยันตัวตนของแอปพลิเคชัน หรือการสำรองข้อมูลได้ โซลูชันที่ใช้งานได้จริงต้องอาศัยบุคลากร อุปกรณ์ และกระบวนการทำงานร่วมกัน
ตัวอย่าง: คอมพิวเตอร์บำรุงรักษาเข้าถึงเฉพาะคอนโทรลเลอร์ที่ได้รับอนุญาต
สมมติว่าในสถานที่เดียวกันมีคอนโทรลเลอร์การผลิต อุปกรณ์ปลายทางวิดีโอ และคอมพิวเตอร์บำรุงรักษา ให้จัดกลุ่มอุปกรณ์ที่ต้องสื่อสารกันก่อน แล้วจึงกำหนด VLAN ขอบเขตการกำหนดเส้นทาง และกฎการเข้าถึง ไม่ใช่เพียงเชื่อมต่ออุปกรณ์ทั้งหมดแล้วคาดหวังให้การยืนยันตัวตนที่พอร์ตกำหนดบริการโดยอัตโนมัติในภายหลัง คอมพิวเตอร์บำรุงรักษาได้รับอนุญาตให้เข้าถึงเฉพาะที่อยู่สำหรับการจัดการที่จำเป็น และอุปกรณ์ปลายทางวิดีโอไม่ควรได้รับสิทธิ์แก้ไขการกำหนดค่าการควบคุมไปด้วย ระหว่างการตรวจสอบ ให้เก็บหลักฐานการเข้าถึงที่อนุญาต รวมทั้งผลที่แสดงว่าเส้นทางที่ห้ามถูกปฏิเสธ การบำรุงรักษาระยะไกลต้องเข้าผ่านจุดเข้าถึงแยกต่างหากที่มีการควบคุม อย่าเปิดพอร์ตจัดการของสวิตช์สู่เครือข่ายสาธารณะโดยตรง เมื่อการบำรุงรักษาชั่วคราวสิ้นสุดลง ให้เพิกถอนบัญชีและกฎชั่วคราว พร้อมปรับปรุงบันทึก
เอกสารอ้างอิงหลักการ:เอกสารทางเทคนิคอย่างเป็นทางการ. แผนภาพโครงสร้างในบทความนี้ไม่ได้แสดงข้อกำหนดเฉพาะของผลิตภัณฑ์ใด เมื่อเลือกรุ่น ให้ตรวจสอบคู่มือของรุ่นนั้น
แปลจากบทความเทคนิคภาษาจีน ต้นฉบับเผยแพร่ครั้งแรก: 2024-11-26 ต้นฉบับแก้ไขล่าสุด: 2026-10-13T19:28:50+08:00. อ่านต้นฉบับภาษาจีน
