Системы надзорного управления и сбора данных соединяют центры управления с ПЛК, РТУ, счётчиками, датчиками и другим полевым оборудованием, распределённым по промышленным объектам. В таких сферах, как очистка воды, распределение энергии, транспорт и производство, эти места могут быть разделены междугородними расстояниями и соединены через общественные сотовые или IP-сети.
Поэтому проектирование безопасного удалённого доступа требует не только установки устройства связи. Архитектура должна контролировать, как данные поступают и выходят из сети операционных технологий, как пользователи получают доступ к удалёным активам и как продолжается связь во время сбоев в сети.
Промышленный роутер с поддержкой VPN служит защищённой точкой соединения между половыми устройствами и центральной средой SCADA.
Ключевые цели архитектуры удалённого доступа SCADA
В хорошо спроектированной архитектуре должны быть представлены несколько основных целей.
• Конфиденциальность: Избегайте чтения данных неавторизованными пользователями.
•Целостность: Изменения команд, тревог и значений процессов должны сохраняться.
•Доступность: помогает поддерживать связь с помощью резервирования и резервирования при настройке...
•Управляемый доступ: доступ к активам SCADA ограничивается авторизованными системами и пользователями.
Маршрутизатор является элементом этой архитектуры. Безопасность архитектуры зависит от сегментации, межсетевых экранов, политик, аутентификации, а также мониторинга и поддержания сети.
Рекомендуемые архитектурные слои
Уровень полевого устройства
Полевой слой может включать:
•PLC и RPU
• Умные счетчики и защитные реле
• Датчики и приводы
• Местные HMI
• Устройства Serial Modbus
• Контроллеры на основе Ethernet
Эти устройства обычно должны оставаться в выделенной локальной сети OT, а не быть напрямую доступны к интернету.
Промышленный роутер с поддержкой VPN может подключать Ethernet и последовательные активы, одновременно создавая контролируемую границу между полевой сетью и внешним WAN.
Уровень безопасности удалённых объектов
Удалённые роутеры должны выполнять несколько различных задач:
• Отделить OT LAN от публичной или операторской сети
• Применять различные правила межсетевого экрана к трафику, поступающему в публичную сеть и поступающему из неё.
•Создать безопасный и зашифрованный VPN-туннель.
•Ограничить удалённое управление.
•Мониторинг состояния WAN и завершение или переключение неисправной линии при необходимости.
• При необходимости переключиться на другой WAN.
При применении политики межсетевого экрана должен применяться принцип наименьшей привилегии. Это означает, что должны открываться только необходимые IP-адреса, порты и промышленные протоколы.
Слой подключения WAN
Удалённые сайты SCADA могут использовать:
• Сотовые сети 4G и 5G
• Фиксированный широкополосный интернет
• Частный APN
• Промышленный Wi-Fi
• Несколько WAN-каналов
Критические объекты могут быть оснащены технологиями маршрутизатора с двойными SIM-картами или несколькими WAN-картами, чтобы снизить зависимость от одного оператора. Роутер должен отслеживать основное соединение и автоматически переключаться на резерв (только если выбранный роутер, политика SIM-карты и прошивка поддерживают это) на вторичный маршрут, если основной путь сталкивается с сбоями связи.
Центральный VPN и OT DMZ
VPN-туннели обычно должны заканчиваться у центрального файрвола или VPN-шлюза, расположенного в зоне, демилитаризованной с OT.
ОТ ДМЗ может содержать:
•VPN-концентраторы
• Jump серверы
• Шлюзы с удалённым доступом
• Платформы мониторинга
• Серверы обновления и обновления
• Системы сбора журналов
Такая схема предотвращает прямое попадание соединений с удаленными полями к серверам SCADA.
SCADA Supervisory Layer
Компоненты надзорного уровня включают серверы SCADA, историков, инженерные рабочие станции, системы сигнализации и операторов.
Трафик от OT DMZ в SCADA должен фильтроваться внутренними межсетевыми экранами. Разрешены только утверждённые пути связи.
Использование VPN для связи SCADA
Исходящий VPN-туннель от удалённого места до центра управления можно осуществить с помощью промышленного маршрутизатора с VPN.
Широко используемые VPN-технологии включают IPsec и OpenVPN. Используемая VPN-технология должна соответствовать всем необходимым политикам.
Наилучшей практикой безопасности является обеспечение следующего:
•Каждый удалённый сайт использует свои уникальные сертификаты/учетные данные.
• На разных удалённых маршрутизаторах нет общих паролей.
• Неиспользуемые VPN-сервисы и порты управления отключены.
• Безопасность удалённого доступа использует многофакторную аутентификацию, а отделение машинно-машинных туннелей от инженерных туннелей является лучшей практикой.
•Даже при использовании VPN-шифрования конечные точки риска остаются; По-прежнему требуется упрочнение и мониторинг конечных точек.
• Хотя VPN шифрует трафик, вторжение на конечную точку всё ещё является серьёзной проблемой и является лучшей практикой.
Проектирование для устойчивости сети
Дизайн архитектуры должен включать:
Резервное переключение соединения
Он может автоматически переключаться на использование другой SIM-карты, другого оператора, другой сотовой технологии или проводного соединения.
Локальная непрерывность управления
ПЛК и РТУ должны контролировать процесс, даже если они отключены от центральной системы SCADA.
Хранение данных
Значимые значения процесса могут временно храниться в ПЛК, RTU, edge gateway или local historian, а затем отправляться позже, когда соединение снова станет доступным.
Сигналы связи
Платформа SCADA должна подавать сигналы тревоги, когда:
•Туннель VPN отключается
• Удалённый объект становится недоступным
•Сила сигнала падает ниже допустимого уровня
• Повторяющиеся отказы происходят
•Конфигурация маршрутизатора неожиданно меняется
Управление последовательным и Ethernet-оборудованием
Многие сети SCADA содержат как современные Ethernet-контроллеры, так и старые последовательные устройства.
Промышленный роутер с поддержкой VPN может помочь консолидировать эти соединения, поддерживая:
•Интерфейсы RS-232 и RS-485
• Связь последовательно-IP
• Преобразование Modbus RTU в Modbus TCP
• Локальная Ethernet-коммутация
• Передача данных с соблюдением протокола
Однако преобразование протоколов должно быть тщательно документировано. Инженеры должны подтвердить адресацию, интервалы опроса, значения тайм-аута, обработку исключений и совместимость устройств до развертывания.
Как Tespro поддерживает проекты архитектуры SCADA
Как производитель промышленного коммуникационного оборудования, Tespro может расширять свои услуги для клиентов за пределами предоставления маршрутизаторов.
Оценка заявок
Tespro способен оценивать:
• Интерфейс полевых устройств
•Условия в сотовой сети
Требования к VPN
• Обязательные промышленные протоколы
• Факторы окружающей среды
• Избыточность
Выбор фурнитуры и настройка
В зависимости от применения Tespro может рекомендовать подходящий промышленный роутер с VPN, необходимый интерфейс, конфигурацию антенны и предпочтительные режимы сети.
Поддержка протоколов
Для систем, содержащих ПЛК, счетчики, последовательные устройства и устройства Ethernet, Tespro может планировать конверсию коммуникации и протоколов.
Поддержка развертывания
Tespro может помочь с поддержкой:
• Конфигурация VPN
•Резервное переключение на двойную SIM-карту
• Политики межсетевого экрана и маршрутизации
• Конфигурация последовательных портов
• Удалённый доступ и управление
• Установка и ввод в строй
Поддержка модификаций и продолжение поддержки
Промышленные приложения могут потребовать разработки индивидуальных сотовых диапазонов, специализированных конфигураций или собственной прошивки и интерфейсов. Прямое сотрудничество с производителем позволяет заказчику упростить техническую координацию и создать более надёжный путь для масштабного внедрения после завершения тестирования.
Заключительные мысли
Для проектирования SCADA-систем необходима многоуровневая технология, обеспечивающая продолжение локального управления, избыточность широкой сети и централизацию управления в локальной зоне.
Промышленный роутер с VPNобеспечивает управляемый путь связи с половыми устройствами, однако именно дизайн системы в целом определяет, насколько она безопасна.
Tespro способен, предоставляя промышленные сетевые устройства и (поддерживающую) интеграцию коммуникаций и протоколов, а также поддержку конфигурации и приложений, помогать интеграторам и конечным пользователям в разработке безопасных и поддерживаемых SCADA-систем для удалённого доступа.
Часто задаваемые вопросы
Вопрос 1. Как Dual SIM повышает надёжность сети?
С двумя SIM-картами роутер может использовать другого сотового оператора, если один из маршрутов не выходит из строя.
Вопрос 2. Почему защита VPN крайне важна для SCADA-систем?
Поскольку SCADA-системы имеют командные пакеты данных и управления под риском раскрытия через незащищённые сети, использование VPN может защитить такие пакеты.
Вопрос 3. Могут ли промышленные роутеры подключать ПЛК и РТУ?
Да. Промышленные роутеры могут подключаться к вышеуказанным устройствам, в зависимости от конфигурации маршрутизатора, а также к другим устройствам, использующим Ethernet, RS-232 и RS-485.
Вопрос 4. Какие протоколы защиты VPN используются?
Чаще всего промышленный удалённый доступ защищается протоколами, такими как IPsec и OpenVPN.
Вопрос 5. Разрешено ли подключать системы SCADA напрямую к интернету?
Не рекомендуется напрямую подвергать SCADA-системам. Доступ должен осуществляться через VPN и файрвол в контролируемой сетевой зоне.
