Применение Ethernet вместо полевых шин впервые предполагает использование технологий безопасности.  

В процессе запланированного расширения цеха можно поэтапно интегрировать решения сетевой безопасности для защиты коммуникаций и повышения доступности. Однако при выборе подходящей стратегии обеспечения безопасности возникает две трудности. Во-первых, необходимо учитывать особенности физичес-ких условий на местах и топологию существующих и расширяемых сетей, а во-вторых — потребность в адекватной концепции управления всей системой.

ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ НЕОБХОДИМО

Такие системы полевых шин, как Interbus или Profibus, благодаря своим нестандартным протоколам, операционным системам и приложениям, а также изолированности сетей, довольно хорошо защищены от внешних атак. Однако тенденция перехода к открытым платформам автоматизации на основе промышленного Ethernet (Industrial Ethernet) обуславливает потребность в повышении уровня безопасности. Объединение систем в сеть, наличие соединений между различными зонами, а также появление интерфейсов для удаленного обслуживания создают условия, при которых возникают угрозы, привычные для офисных сетей: вирусы, черви, троянские программы, атаки с целью вызвать отказ в обслуживании (Denial of Service, DoS), а также ошибочная адресация.

Пользователям систем автоматизации слишком хорошо знакома полная зависимость всех операций от функционирования систем ИТ и, как следствие, их неизбежная уязвимость. Однако лишь в редких случаях принимаются необходимые меры. Компьютеры, системы и инфраструктуру сети автоматизации необходимо заранее укрепить против атак и ввести всеобъемлющие меры безопасности
(см. Рисунок 1). Попытки ограничиться переносом традиционных стратегий безопасности из офисного мира в промышленную среду, как правило, обречены на провал.

Рисунок 1. Обеспечение безопасности – долгосрочный и динамичный процесс. Реализация эффективной концепции представляет собой непрерывный цикл.

ЗИЯЮЩИЕ ДЫРЫ В БЕЗОПАСНОСТИ

Объединение систем автоматизации с офисными сетями осуществляется с целью получения преимуществ от создания общекорпоративного информационного пула. В офисной сети и на стыке с сетью автоматизации располагаются традиционные средства защиты — вирусные сканнеры и брандмауэры (в качестве «ограждения» по периметру). В самих производственных системах администраторы не применяют такие механизмы и соответствующие программные компоненты, исходя из следующих причин:

  • вероятность отрицательного воздействия на временные характеристики систем;
  • потребность в мгновенном доступе к системе управления для быстрой реакции на опасные ситуации в производственной среде;
  • применение старых приложений, не поддерживаемых новыми операционными системами;
  • неясность последствий установки заплат, обновлений или новых вирусных баз для производственного процесса;
  • потеря гарантий, предоставляемых поставщиком, в результате изменения программного обес-печения;
  • занимающая много времени повторная проверка, выполняемая после установки заплат или обновлений.

Для предотвращения сбоев в сети и возможного нарушения производственного процесса была предложена трехэтапная концепция, реализация которой позволит обеспечить всеобъемлющую защиту при одновременном соблюдении требований технологии автоматизации. Она опирается на механичес-кую защиту доступа, задействует механизмы обеспечения безопасности управляемых коммутаторов и предусматривает размещение в ключевых пунктах сети специализированных устройств с функциональностью маршрутизаторов и брандмауэров (см. Рисунок 2). С учетом потенциального риска данная концепция может поэтапно внедряться в производственную сеть.

Рисунок 2. При такой структуре сети цеха отдельные области управления, два сетевых сегмента, а также выход в офисную сеть защищены дополнительными устройствами обеспечения

БЕЗОПАСНОСТЬ БЛАГОДАРЯ ДЕЦЕНТРАЛИЗОВАННОЙ ЗАЩИТЕ

Защищая всю корпоративную сеть или место сопряжения двух сетей, центральный брандмауэр не помогает, если злоумышленник действует изнутри. Автономные производственные ячейки можно защитить только с помощью эффективной децентрализованной концепции, опирающейся на решения для обеспечения безопасности конечных устройств. Сегментация производственной системы на отдельные ячейки, к которым, в свою очередь, применяется ступенчатая концепция безопасности, обеспечивает гибкость и надежность. Одна ячейка соответствует одной производственной единице (одному станку, установке, производственной линии или части цеха). Ее можно определить следующим образом: составляющие ее системы не способны полноценно функционировать в случае отказа любой из них.

Рисунок 3. Простое блокирование доступа позволяет обеспечить механическую защитуЭтап 1: механические меры обес-печения безопасности. Самый простой способ защиты от неправомерного доступа к производственной сети — использование механических устройств блокировки (см. Рисунок 3). Открытые порты RJ45 закрываются специальной заглушкой, которая удаляется так же, как коммутационные шнуры — с помощью специального инструмента. Такой простой способ позволяет предотвратить значительную часть опасных действий, а именно, разрыв важных соединений и ошибочное или неправомерное подключение к сети.

Рисунок 4. Управляемые коммутаторы с функцией Port Security запрещают неавторизованным пользователям доступ к даннымЭтап 2: безопасность без потери производительности. Управляемые коммутаторы, такие, например, как Factory Line от Phoenix Contact, предлагают целый ряд функций обеспечения безопасности, совместимых с промышленным Ethernet. Они позволяют регулировать доступ, блокируют нежелательные потоки данных, затрудняют прослушивание данных. Кроме того, эти функции способствуют существенному повышению надежности эксплуатации и доступности систем, обес-печивая организацию виртуальных локальных сетей (Virtual Local Area Network, VLAN), контроль доступа на основе адресов MAC, а также ограничение доступа с помощью технологии Port Security. Последняя функция предотвращает обмен данных между сетью и нежелательными подключениями (Рисунок 4).

Система контроля доступа в сочетании с использованием паролей препятствует несанкционированному изменению конфигурации коммутатора. Свободные порты можно отключить, при этом все попытки доступа к сети регистрируются, а пользователь информируется с помощью SNMP или сигнального контакта. Виртуальные локальные сети, в свою очередь, позволяют разделить общую сеть на отдельные логические подсети, границы между которыми непреодолимы при отсутствии прав.

Функции безопасности задаются с помощью программного обеспечения для управления сетью, SNMP или через систему управления на базе Web. Для компонентов инфраструктуры возможна «настройка множественных устройств» (Multi-Device Configuration), а решение Diag+, например, позволяет администрировать инфраструктуру Ethernet с помощью управляющего инструмента SPS, обладающего следующими важнейшими функциями:

  • диагностика устройств и сети посредством SNMP;
  • загрузка программно-аппаратного обеспечения по TFTP;
  • распознавание топологий с помощью LLDP.

Эти типичные параметры инфраструктуры более-менее одинаковы и потому пригодны для централизованного администрирования. О нарушении предписаний безопасности администратор может быть проинформирован с помощью сигнального контакта или прерывания SNMP, что позволит быстро распознать возникшие проблемы и сразу принять меры для их устранения.

Это решение имеет целый ряд преимуществ:

  • характеристики систем со временем не ухудшаются;
  • расходы на дополнительное аппаратное обеспечение отсутствуют;
  • сквозная и последовательная концепция позволяет улучшить рейтинг в соответствии с Basel II;
  • принятые меры по обеспечению безопасности продолжают действовать и после замены устройств;
  • характеристики избыточности не ухудшаются;
  • обеспечивается защита инвес-тиций;
  • новые каналы передачи данных учитываются автоматически после активации «связующего дерева» (Spanning Tree);
  • влияние на приложения отсутствует;
  • администрирование и контроль выполняются с помощью централизованного управляющего компьютера.

Рисунок 5. Промышленное устройство для обес-печения безопасности FL MGuard RS VPN от Phoenix Contact предназначено для установки на монтажную шину.Этап 3: пригодные для промышленной среды устройства обеспечения безопасности с функциями брандмауэра и маршрутизатора. Децентрализованное применение устройств с функциями брандмауэра и маршрутизатора обеспечивает индивидуальную защиту распределенных систем автоматизации. В частности, системы MGuard разработаны специально для применения в суровой производственной среде (см. Рису-нок 5). В сети они функционируют как самостоятельная система и защищают часть цеховой сети, целую производственную ячейку или отдельный компонент системы автоматизации.

ЗАКЛЮЧЕНИЕ

Безопасность сетей автоматизации является важным стратегическим преимуществом. Сквозные соединения информационных технологий и решений, обеспечивающих автоматизацию, требуют переоценки безопасности соответствующих систем. Технические решения обес-печения безопасности нацелены на определенные области применения и должны соответствовать требованиям автоматизации (см. врезку «Продуктивность благодаря автоматизации на базе ИТ»).

Инго Хильгенкамп – сотрудник отдела систем автоматизации компании Phoenix Contact Electronics; Торстен Рессель – директор по развитию бизнеса компании Innominate Security Technologies.

Продуктивность благодаря автоматизации на базе ИТ

ель каждого производственного предприятия — повысить эффективность работы. Этого можно добиться только при условии повышения надежности передачи данных, ускорения информационного потока на всех уровнях, а также простоты интеграции станков и компонентов в соответствующую сеть. Решение, которое Phoenix Contact представила как «автоматизацию с поддержкой со стороны ИТ» (IT-powered Automation), отвечает этим требованиям благодаря применению в устройствах и системах промышленного назначения комбинации хорошо зарекомендовавших себя протоколов автоматизации и стандартов ИТ.