Bắt đầu từ kết luận
Trước tiên, chuyển “bảo mật” thành những câu hỏi có thể trả lời
Bộ chuyển mạch tại hiện trường kết nối PLC, HMI và các hệ thống thu thập dữ liệu ở một phía, còn phía kia có thể kết nối máy tính bảo trì hoặc các mạng tầng trên. Kiểm thử bảo mật không nhằm trả lời tên thiết bị nghe có đủ “công nghiệp” hay không, mà là ai có thể thay đổi thiết bị, những thiết bị nào có thể giao tiếp với nhau, và liệu cấu hình sai hoặc sự cố có làm gián đoạn các dịch vụ quan trọng hay không. Việc kiểm tra cần dựa trên các mối kết nối thực tế và firmware thực tế, đồng thời lưu giữ bằng chứng có thể xác minh lặp lại.
Kiểm thử an ninh mạng không giống các phép thử độ tin cậy như nhiệt độ cao/thấp, rung động và tương thích điện từ. Nhóm thứ nhất xem xét các ranh giới truy cập, cấu hình và giao tiếp; nhóm thứ hai xem xét hiệu năng trong các điều kiện vật lý quy định. Việc sản phẩm liệt kê các thông số môi trường công nghiệp không chứng minh rằng sản phẩm đã hoàn tất một chứng nhận an ninh mạng cụ thể. Một cuộc kiểm tra thông thường tại hiện trường cũng không thể tự động được gọi là đánh giá tuân thủ chính thức.
Mặt phẳng quản lý và mặt phẳng chuyển tiếp xử lý các đối tượng khác nhau
Mặt phẳng quản lý là điểm truy cập vào cấu hình, trạng thái và nhật ký thiết bị, chẳng hạn qua Web, SSH hoặc SNMP. Mặt phẳng chuyển tiếp xử lý các khung dịch vụ giữa các thiết bị đầu cuối, cho phép PLC, HMI hoặc máy chủ trao đổi dữ liệu. Hai loại bản tin này có thể đi vào qua cùng một cổng vật lý, nhưng thiết bị xử lý chúng theo các đường logic khác nhau: bản tin gửi đến địa chỉ quản lý đi vào dịch vụ quản lý, còn các khung dịch vụ thông thường đi tới cổng ra theo các quy tắc chuyển tiếp tương ứng.
Vì vậy, giao tiếp dịch vụ bình thường không chứng minh rằng điểm truy cập quản lý đã được hạn chế đúng cách; sử dụng HTTPS trên trang quản lý cũng không chứng minh rằng lưu lượng dịch vụ PLC được mã hóa. Kiểm thử cần xem xét cả “có thể truy cập hoặc sửa đổi thiết bị hay không” và “có thể dùng thiết bị để tiếp cận những vùng không được phép hay không”. Một lần đăng nhập thành công hoặc ping thành công không thể thay thế mọi kết luận.
Vẽ ranh giới trước, sau đó kiểm tra tài sản và người chịu trách nhiệm
Liệt kê các bộ chuyển mạch, phiên bản firmware, địa chỉ quản lý, cổng dịch vụ, đường uplink, nguồn truy cập bảo trì và người chịu trách nhiệm, đồng thời đánh dấu trên sơ đồ mạng xem chúng thuộc vùng điều khiển, thu thập hay bảo trì. Các đường kết nối trên sơ đồ phải có thể xác định được tại hiện trường, và nhãn cổng phải tương ứng với cấu hình. Nếu tài sản và ranh giới không rõ ràng, sẽ khó xác định cảnh báo từ một lần quét thuộc về ai và ảnh hưởng đến những gì.
Máy tính bảo trì tạm thời, truy cập không dây và camera mới bổ sung cũng cần được đưa vào sơ đồ. Một dây mạng tạm thời có thể nối các vùng vốn tách biệt; địa chỉ quản lý cũng có thể được truy cập từ những phân đoạn mạng không cần thiết. Phạm vi kiểm thử phải nêu rõ thiết bị, giao diện, thời gian và điều kiện kiểm thử cụ thể. Không thể đánh giá các vùng khác là an toàn chỉ vì “không phát hiện vấn đề”.
Kiểm tra tài khoản, không chỉ kiểm tra việc đổi mật khẩu mặc định
Kiểm tra tài khoản cần xem xét nhiệm vụ và quyền hạn của nhân sự: người chỉ xem trạng thái có cần quyền sửa đổi cấu hình hay không, tài khoản được vô hiệu hóa như thế nào khi có người nghỉ việc hoặc bàn giao nhiệm vụ, và thông tin xác thực mặc định hoặc dùng chung được quản lý ra sao. Xác thực xác nhận ai đang truy cập; phân quyền quyết định họ được làm gì. Không thể gộp cả hai thành một mục kiểm tra “đăng nhập được”.
Các cấp tài khoản, dịch vụ xác thực và trường nhật ký thực sự được hỗ trợ phụ thuộc vào model và firmware. Các tính năng được công bố của sản phẩm 2241 của Feichang Technology bao gồm nhiều phương thức quản lý, các chức năng liên quan đến xác thực và các quy tắc truy cập, phù hợp để liệt kê thành từng mục kiểm tra. Tên tính năng trên trang sản phẩm không có nghĩa là thiết bị đang được bàn giao đã được cấu hình hoặc xác minh theo yêu cầu dự án.
Cần kiểm tra giao thức quản lý cùng với các hạn chế nguồn truy cập
HTTPS và SSH có thể bảo vệ việc truyền dữ liệu của các phiên quản lý tương ứng, nhưng vẫn cần kiểm tra các phiên bản được bật, thông tin xác thực hoặc chứng chỉ và các nguồn truy cập được phép. SNMP là giao thức giám sát phổ biến, và các phiên bản khác nhau có khả năng xác thực và bảo mật dữ liệu khác nhau. Khi có phiên bản bảo mật tương ứng, cần lựa chọn dựa trên khả năng hỗ trợ thực tế và hệ thống giám sát, đồng thời xác nhận các điểm truy cập quản lý cũ, không cần thiết đã được đóng hay chưa.
Hạn chế nguồn truy cập có thể giảm mức độ phơi lộ quản lý không cần thiết, nhưng các quy tắc cũng phải bao phủ những giao diện và giao thức thực sự được sử dụng. Khi kiểm thử, hãy xác minh riêng từ các vị trí bảo trì được phép và không được phép: nhân sự được phép có thể hoàn thành công việc cần thiết, còn các vị trí không được cấp quyền không thể truy cập dịch vụ quản lý tương ứng. Đồng thời, xác nhận kết quả vẫn được duy trì sau khi lưu cấu hình và sau khi khởi động lại; không chỉ kiểm tra một phiên tạm thời.
VLAN phân chia miền quảng bá; quyền truy cập liên vùng vẫn cần quy tắc
VLAN là phương pháp chia mạng Lớp 2 thành các miền quảng bá logic khác nhau. Cổng tham gia VLAN nào, khung không gắn thẻ thuộc về đâu và đường uplink mang thẻ như thế nào đều ảnh hưởng đến ranh giới thực tế. Phương pháp này không biến dây cáp thành cách ly vật lý, cũng không bảo đảm rằng hai vùng bất kỳ không bao giờ có thể giao tiếp. Giao diện Lớp 3 hoặc cổng nối ngoài vẫn có thể kết nối các phân đoạn mạng khác nhau.
Truy cập liên vùng cần được hạn chế bằng định tuyến, danh sách kiểm soát truy cập hoặc các thiết bị bảo mật phù hợp. ACL có thể cho phép hoặc từ chối dựa trên các điều kiện được hỗ trợ như địa chỉ và giao thức; vị trí đối sánh, hướng, thứ tự quy tắc và hành động mặc định đều ảnh hưởng đến kết quả. Bộ chuyển mạch hỗ trợ ACL không có nghĩa là có khả năng kiểm tra sâu mọi giao thức công nghiệp hay đầy đủ chức năng tường lửa, càng không có nghĩa là đã được cấu hình đúng.
Giả sử vùng bảo trì cần truy cập một máy chủ thu thập dữ liệu, trong khi PLC ở vùng điều khiển không cần cho phép mọi thiết bị đầu cuối bảo trì truy cập. Có thể ghi các nguồn, đích và dịch vụ cần thiết vào ma trận giao tiếp, rồi xác minh các mục được phép và bị từ chối. Chỉ chứng minh rằng hai VLAN không thể ping nhau không có nghĩa là các dịch vụ khác bị từ chối; tương tự, việc cho phép một phiên bảo trì không nên vô tình mở quyền truy cập toàn bộ vùng.
Bảo vệ dịch vụ phụ thuộc vào tải thực tế, không chỉ vào việc bật tính năng
Các khả năng như kiểm soát cho phép truy cập cổng, ràng buộc địa chỉ, hạn chế bão mạng và bảo vệ vòng lặp có thể hạn chế một số bất thường khi được cấu hình phù hợp, nhưng ngưỡng hoặc quy tắc không phù hợp cũng có thể ảnh hưởng đến giao tiếp hợp lệ. Ví dụ, nếu MAC thay đổi sau khi thay thiết bị, các quy tắc ràng buộc cũ có thể chặn thiết bị đó; nếu giới hạn quảng bá quá nghiêm ngặt, có thể ảnh hưởng đến các thiết bị đầu cuối cần khám phá hoặc cấu hình.
Trước khi xác minh, hãy ghi lại các loại khung, mức đỉnh, chu kỳ và tình trạng lỗi của dịch vụ bình thường, sau đó kiểm tra tác động của các quy tắc trong môi trường thử nghiệm phù hợp. Cần xem xét đồng thời mục tiêu về tính sẵn sàng và bảo mật của mạng điều khiển vận hành chính thức. Không coi việc mặc định bật nhiều hạn chế hơn là an toàn hơn, và không đơn giản hóa kiểm thử thành việc áp tải cao lên thiết bị sản xuất mà không có kế hoạch.
Nhật ký và thời gian là điều kiện để tái dựng quá trình vận hành
Nhật ký tối thiểu cần ghi nhận được các lần đăng nhập, thay đổi cấu hình và trạng thái quan trọng mà dự án cần kiểm tra; các loại sự kiện và phương thức lưu trữ thực tế cần được xác nhận theo khả năng của sản phẩm. Khi đồng hồ trên các thiết bị không đồng bộ, sẽ khó xác định thứ tự của nhiều cảnh báo. Cần kiểm tra cài đặt thời gian, bản ghi sự kiện và cơ chế lưu trữ tập trung, đồng thời xem xét hoạt động sau khi khởi động lại hoặc khi không đủ dung lượng nhật ký.
Các bản sao lưu cấu hình cũng cần được lưu trữ có kiểm soát: bản sao lưu có thể chứa tài khoản, địa chỉ và quy tắc mạng, nên không được chia sẻ tùy tiện chỉ vì thuận tiện cho việc khôi phục. Lưu giữ các phiên bản và khác biệt trước và sau khắc phục, đồng thời ghi lại ai đã thay đổi nội dung gì; chỉ khi đó, trong lần kiểm thử lại, mới có thể biết thay đổi cụ thể nào tạo ra kết quả, thay vì chỉ là khôi phục ngẫu nhiên.
Khả năng sản phẩm khác nhau đồng nghĩa với đối tượng kiểm thử khác nhau
Sản phẩm 2241 của Feichang Technology công khai liệt kê các chức năng quản lý như VLAN, ACL, nhật ký hệ thống và nhập/xuất cấu hình; có thể dùng các chức năng này để kiểm tra truy cập quản lý, quy tắc liên vùng và quy trình khôi phục. Việc đáp ứng yêu cầu dự án hay không còn phụ thuộc vào phần cứng, firmware và cấu hình thực tế. Ảnh các cổng trên website chính thức dùng để nhận diện sản phẩm, không thể dùng làm bằng chứng về kết quả an ninh mạng.
Sản phẩm mini năm cổng không quản lý 2262 của Feichang Technology chủ yếu được dùng cho truy cập Ethernet quy mô nhỏ. Việc hỗ trợ truyền khung gắn thẻ VLAN không có nghĩa là sản phẩm cung cấp các ranh giới VLAN có thể cấu hình hoặc tài khoản quản lý. Với các thiết bị này, cần tập trung vào vị trí truy cập, cổng vật lý, phân vùng ở phía mạng cấp trên và các biện pháp kiểm soát bên ngoài; không thể sao chép trực tiếp các màn hình kiểm tra và kết luận của thiết bị có quản lý.
Ghi biện pháp khắc phục và kiểm thử lại trong cùng một hồ sơ
Một phát hiện hữu ích cần bao gồm nguồn kiểm thử, thiết bị hoặc giao diện đích, hành vi thực tế, bằng chứng và ảnh hưởng đến dịch vụ. Sau đó ghi lại biện pháp khắc phục, người chịu trách nhiệm, thời gian và phương pháp kiểm thử lại. Cách này giúp phân biệt các thực tế khác nhau: “đã thấy một giao thức cũ”, “một vùng không được cấp quyền thực sự có thể truy cập mặt phẳng quản lý” và “đã xảy ra gián đoạn dịch vụ”.
Trước khi điều chỉnh cấu hình hoặc nâng cấp firmware, hãy chuẩn bị bản sao lưu và quy trình khôi phục đã được xác minh, đồng thời kiểm chứng trong môi trường phù hợp hoặc theo phương án bảo trì thích hợp. Sau khi hoàn tất, kiểm tra lại truy cập được phép, truy cập bị từ chối, dịch vụ quan trọng, nhật ký và khả năng duy trì cấu hình, đồng thời ghi lại các điều kiện không thể xác minh. Giá trị của kiểm thử là làm cho các ranh giới và khả năng khôi phục có thể kiểm chứng, không phải gắn nhãn “an toàn tuyệt đối” vĩnh viễn cho thiết bị.
Đối chiếu với ảnh thực tế trong trung tâm sản phẩm
Cung cấp cổng đồng, khe cắm mô-đun quang tháo lắp được và Console; các tính năng quản lý và bảo mật cần được kiểm tra theo firmware được bàn giao. Ảnh gốc từ website chính thức; thiết bị không được vẽ lại.
Phù hợp cho truy cập qua cổng đồng quy mô nhỏ; hỗ trợ truyền khung gắn thẻ không có nghĩa là có thể cấu hình cách ly VLAN. Ảnh gốc từ website chính thức; thiết bị không được vẽ lại.
Ghi chú về tư liệu: Các hình minh họa là sơ đồ cơ chế chung và đã được kiểm tra về mặt kỹ thuật; hình dáng bên ngoài có ghi model tham chiếu ảnh trên website chính thức, còn các hình cắt bổ và linh kiện khác không thể hiện mạch bên trong thực tế của sản phẩm Feichang Technology. Đây không phải dạng sóng đo thực tế hoặc hiện trường dự án thực; việc đấu dây và cấp nguồn phải tuân theo hướng dẫn sử dụng được bàn giao.
Tài liệu kiểm chứng: Bộ chuyển mạch công nghiệp có quản lý gắn thanh DIN với bốn cổng quang 10G và tám cổng đồng Gigabit Ethernet
Bộ chuyển mạch mini gigabit năm cổng không quản lý của Feichang Technology (sản phẩm 2262)
NIST SP 800-82r3: Hướng dẫn bảo mật OT
CISA: Hướng dẫn tăng cường khả năng quan sát và bảo mật hạ tầng truyền thông
Được dịch từ bài viết kỹ thuật tiếng Trung. Nguồn được xuất bản lần đầu: 2021-01-05. Nguồn được sửa đổi lần cuối: 2026-10-13T10:22:10+08:00. Đọc nguồn tiếng Trung
