Đánh giá bảo mật của bộ chuyển mạch công nghiệp không phải là chấm điểm vỏ thiết bị, cũng không phải là tùy tiện quét thiết bị. Trong phạm vi được ủy quyền, việc đánh giá cần xem xét các điểm truy cập quản trị, ranh giới truyền thông, cấu hình và khả năng khôi phục, đồng thời bảo vệ độ tin cậy và an toàn của hoạt động sản xuất. Mạng sản xuất nên ưu tiên các tài liệu, cấu hình và hoạt động quan sát thụ động có rủi ro thấp, không nên sao chép trực tiếp các phương pháp kiểm thử tấn công từ mạng văn phòng.
1. Trước tiên, phân biệt quản trị thiết bị với chuyển tiếp dịch vụ
Bộ chuyển mạch có các cổng dịch vụ để truyền thông giữa các thiết bị, đồng thời có các điểm truy cập quản trị để quản trị viên xem trạng thái và thay đổi cấu hình. Những hoạt động này có thể sử dụng các giao diện hoặc địa chỉ logic khác nhau. Việc dịch vụ được chuyển tiếp bình thường không có nghĩa là trang quản trị an toàn; việc hạn chế đăng nhập quản trị cũng không có nghĩa là toàn bộ lưu lượng dịch vụ đã được kiểm soát. Khi đánh giá, cần vẽ riêng hai đường này.
Truy cập trái phép vào điểm truy cập quản trị có thể dẫn đến thay đổi VLAN, trạng thái cổng hoặc cài đặt mạng vòng; ở phía dịch vụ, cần chú ý những thiết bị đầu cuối nào có thể giao tiếp với nhau và liệu có truy cập liên vùng không cần thiết hay không. Cấp bảo vệ IP mô tả khả năng ngăn vật thể lạ và nước của vỏ thiết bị; cấp này không thể hiện mức độ an ninh mạng. Các đoạn lặp lại về bảo vệ vỏ thiết bị trong bản gốc nên được nhóm vào chủ đề tương ứng, còn an ninh mạng được thảo luận riêng theo quyền hạn, ranh giới và quy trình vận hành.
2. Phạm vi ủy quyền và rủi ro đối với hoạt động nghiệp vụ quyết định phương pháp kiểm thử
Trước tiên, xác nhận danh sách thiết bị, model, firmware, cấu trúc liên kết, nhân sự bảo trì, mục đích sử dụng trong sản xuất và phạm vi được phép kiểm thử. Làm rõ những thiết bị nào không được gián đoạn, những thao tác nào cần khung thời gian bảo trì, cũng như cách dừng và khôi phục khi có bất thường. Khi chưa được ủy quyền, không quét cổng, thử mật khẩu hoặc chèn lỗi. Ngay cả khi đã được ủy quyền, hãy bắt đầu từ tài liệu, cấu hình và nhật ký, đồng thời thực hiện các bước xác minh có rủi ro cao hơn trong môi trường kiểm thử cách ly trước.
Hệ thống điều khiển công nghiệp có thể nhạy cảm với độ trễ, mất gói hoặc việc thiết lập lại kết nối; bản thân lưu lượng và các phiên kết nối do kiểm thử tạo ra cũng có thể gây ảnh hưởng. Hướng dẫn bảo mật OT của NIST nhấn mạnh rằng cần xem xét đồng thời các yêu cầu về vận hành, độ tin cậy và bảo mật. Vì vậy, đánh giá không nên chỉ chạy theo số lượng lỗ hổng phát hiện được mà còn phải xem xét tác động của rủi ro tại hiện trường, các điều kiện xử lý và phương pháp khôi phục. Không diễn giải “quét không phát hiện vấn đề” thành an toàn tuyệt đối.
3. Kiểm tra các điểm truy cập quản trị và nguyên tắc đặc quyền tối thiểu
Liệt kê các dịch vụ Web, dòng lệnh, Console và quản lý mạng thực sự đang được bật, đồng thời xác minh những nguồn nào có thể truy cập các dịch vụ đó. Tắt các dịch vụ không cần thiết, sử dụng giao thức quản trị an toàn phù hợp với khả năng hỗ trợ của thiết bị, loại bỏ mật khẩu mặc định hoặc dùng chung và cấu hình các quyền cần thiết cho từng trách nhiệm. Các điểm truy cập bảo trì từ xa cũng cần có phê duyệt, xác thực và ghi chép, không nên để truy cập được từ Internet công cộng trong thời gian dài chỉ vì tiện lợi.
Hiệu lực của quyền hạn cần được xác minh qua những việc tài khoản có đặc quyền thấp có thể và không thể làm; các thao tác phải được thực hiện trong điều kiện có kiểm soát. Không cho rằng việc cách ly đã có hiệu lực chỉ vì tên vai trò xuất hiện trên giao diện. Cũng cần kiểm tra cách lưu cấu hình, nội dung bản sao lưu và việc quản lý mật khẩu; tệp sao lưu có thể chứa thông tin nhạy cảm, vì vậy cần hạn chế truy cập và không đặt tại vị trí tải xuống công khai.
4. Phân vùng kiểm soát truy cập, không đồng nghĩa với mã hóa
VLAN tách các miền quảng bá logic ở lớp 2 và giúp tổ chức dịch vụ, nhưng VLAN không phải là cơ chế mã hóa và không thể thay thế kiểm soát truy cập liên vùng. Nếu thiết bị hoặc định tuyến lớp trên cho phép liên lạc giữa các vùng, cũng cần cấu hình ACL hoặc chính sách tường lửa theo khả năng thực tế được hỗ trợ. ACL là quy tắc cho phép hoặc từ chối lưu lượng theo điều kiện; quy tắc phải xác định nguồn, đích, giao thức và chiều truyền, chứ không chỉ đánh dấu vào ô có tên “bật bảo mật”.
Ví dụ, máy tính bảo trì cần truy cập địa chỉ quản trị của bộ chuyển mạch, nhưng các thiết bị đầu cuối thông thường trong khu vực văn phòng không có nhu cầu này. Với kiến trúc có hỗ trợ, có thể hạn chế các nguồn truy cập quản trị trong khi vẫn duy trì truyền thông dịch vụ mà bộ điều khiển cần. Trước khi thay đổi chính sách, hãy liệt kê các quan hệ phụ thuộc; sau khi thay đổi, kiểm thử riêng để xác nhận lưu lượng cần thiết vẫn được thông qua và truy cập không cần thiết bị từ chối, đồng thời chuẩn bị phương án hoàn tác. Không áp dụng ngay chính sách “từ chối tất cả”, vì có thể làm gián đoạn hoạt động điều khiển tại hiện trường.
Ràng buộc địa chỉ, xác thực cổng và các chức năng bảo vệ liên quan cũng có điều kiện áp dụng riêng. Địa chỉ MAC không phải là danh tính không thể giả mạo, và một số thiết bị điều khiển không thể tham gia các quy trình xác thực nhất định. Việc đánh giá cần ghi lại khả năng hỗ trợ và giới hạn của chức năng trên model hiện tại, không nên cho rằng một tập hợp các chữ viết tắt có thể bao quát mọi mối đe dọa.
5. Nhật ký và phản chiếu lưu lượng giúp phát hiện bất thường
Nhật ký ghi lại các lần đăng nhập, thay đổi cấu hình và sự kiện liên kết, còn thống kê cổng phản ánh thay đổi về lưu lượng và lỗi. Thời gian thống nhất giúp đối chiếu sự kiện từ các thiết bị khác nhau; đồng thời cần kiểm tra nhật ký có được lưu hay không, có thể xuất hay không và quyền truy cập có được kiểm soát hay không. Thiếu nhật ký không có nghĩa là không có bất thường; điều đó có thể cho thấy chức năng chưa được bật, thời gian không nhất quán hoặc dung lượng không đủ.
Phản chiếu cổng sao chép lưu lượng được chỉ định sang một cổng quan sát để thiết bị phân tích xem; chức năng này không chủ động đưa các cuộc tấn công vào mạng. Phản chiếu cần được sử dụng trong phạm vi được ủy quyền, và nội dung thu thập có thể chứa dữ liệu nhạy cảm. Nếu cổng phản chiếu và thiết bị thu thập không đủ năng lực xử lý, dữ liệu quan sát có thể bị mất. Vì vậy, không thể coi bản thu thập gói tin không đầy đủ là bằng chứng cho toàn bộ mạng, cũng không thể cam kết rằng phản chiếu hoàn toàn không ảnh hưởng đến bất kỳ tải nào.
6. Firmware và khả năng khôi phục cũng là một phần của đánh giá
Kiểm tra phiên bản firmware, thông báo của nhà sản xuất và các khuyến nghị khắc phục áp dụng, đồng thời xác nhận nguồn và phương pháp xác minh gói nâng cấp. Không được triển khai bản vá trực tiếp vào môi trường sản xuất khi chưa đánh giá: trước tiên xác nhận tính tương thích của cấu hình và ảnh hưởng đến chức năng, xác minh trong môi trường kiểm thử, sau đó bố trí khung thời gian, sao lưu và phương án hoàn tác. Không áp dụng trực tiếp mô tả lỗ hổng của nhà sản xuất khác cho thiết bị hiện tại, và không đánh giá bảo mật chỉ dựa trên ngày phát hành sản phẩm.
Kiểm thử khôi phục cần xác minh bản sao lưu có dùng được cho model tương ứng hay không, những thông số dịch vụ nào cần xác nhận lại sau khi khôi phục và cách xử lý khi mất kết nối quản trị. Làm rõ người chịu trách nhiệm và các phương thức bảo trì tại chỗ sẵn có để tránh tình trạng không ai có thể khôi phục sau lỗi cấu hình. Tính sẵn sàng của dịch vụ, quyền hạn và việc xác minh nhật ký phải cùng tạo nên kết quả đánh giá; không được coi một lần kiểm tra mật khẩu là đánh giá đầy đủ.
Thông tin chi tiết về bộ chuyển mạch có quản lý trên website chính thức của Feichang Technology liệt kê Web, CLI, Console, SNMP, nhật ký, phản chiếu cổng và các chức năng liên quan đến quản trị hoặc bảo mật như ACL và 802.1X. Những nội dung này có thể dùng làm các mục kiểm tra; chúng không phải là cam kết chung cho toàn bộ danh mục sản phẩm và không có nghĩa là sản phẩm đã đạt chứng nhận an ninh mạng công nghiệp. Phiên bản bảo mật, khả năng hỗ trợ của firmware và phương pháp cấu hình các dịch vụ cụ thể phải được xác nhận theo model được bàn giao và tài liệu hướng dẫn hiện hành.
Hồ sơ cuối cùng cần bao gồm các phát hiện, bằng chứng, tác động, khuyến nghị, phương pháp xác minh và rủi ro còn lại. Các tỷ lệ khảo sát không được nêu rõ nguồn trong bản gốc không còn được sử dụng; khả năng bảo vệ của vỏ thiết bị cũng không được dùng làm cơ sở chấm điểm bảo mật. Mô tả kết quả bằng bằng chứng cấu hình và nhật ký có thể rà soát, đồng thời nêu rõ phạm vi chưa kiểm thử để thuận tiện hơn cho việc bảo trì và quyết định rủi ro sau này.
Tài liệu tham khảo:Hướng dẫn bảo mật OT NIST SP800-82r3;Thông tin chi tiết về bộ chuyển mạch có quản lý Feichang. Các hình chỉ minh họa nguyên lý chung, không phải chứng nhận bảo mật, kiểm thử thực tế hay hướng dẫn tấn công.
Được dịch từ bài viết kỹ thuật tiếng Trung. Nguồn được xuất bản lần đầu: 2022-08-02. Nguồn được sửa đổi lần cuối: 2026-10-13T17:34:48+08:00. Đọc nguồn tiếng Trung
