Ipari hálózatok biztonsága

Nem létezik univerzális recept, amellyel az automatizálási hálózatok magas fokú biztonsága elérhető lenne. A helyzetet nehezíti, hogy a „biztonság" hosszadalmas és dinamikus folyamat – nem pedig egy állapot, amelyet elég egyszer elérni és aztán fenntartható. Azonban számos olyan ésszerű módszer és irányelv létezik, amely az automatizálási hálózatok biztonságának implementálásakor követhető (2. ábra). Az ilyen biztonsági koncepció a várható veszélyekre, a veszélyek minimalizálásának lehetőségeire, továbbá a lehetséges károkra összpontosít.

A mai, IT (információtechnikai) alapon működtetett automatizálás ugyanúgy veszélyeztetett, mint az irodai hálózat. A terepibusz-technikához képest az Ethernet-alapú kommunikációs eljárás először hozza az automatizálási szakembereket olyan helyzetbe, hogy műszaki eszközökkel szállhassanak szembe a veszélyekkel és elháríthassák azokat. Az automatizálás biztonsági koncepciójával szemben a következő követelmények fogalmazódnak meg:
• a biztonságot az infrastruktúra valósítsa meg
• ne legyen visszahatás a meglevő rendszerekre
• a biztonsági koncepció megsértése felismerhető és jelezhető legyen
• IT-szakértői ismeretek nélkül, költséghatékonyan legyen megvalósítható
• Legyen skálázható, azaz az automatizálási követelmények vagy a veszélyhelyzet változásaihoz legyen később hozzáigazítható

Miért van szükség az automatizálási hálózatokban biztonsági technológiákra?

Az automatizálási és irodai hálózatok elleni támadások elhárítása éppolyan nehéz, mint a tudatos vagy a nem szándékos (téves) emberi magatartás kizárása. Az adatátvitel a hálózatoknak nemcsak elsődleges feladata, hanem egyben gyenge pontja is. A Phoenix Contact fentiek ismeretében tervezett Factory-Line- termékcsaládjának biztonsági koncepciója szem előtt tartja a veszélyeket, ugyanakkor két fontos követelménynek is eleget tesz: egyrészt figyelembe veszi a helyi fizikai peremfeltételeket, továbbá a meglevő és jövőbeli hálózati topológiákat. Ennek alapján a teljes rendszerre vonatkozóan egyszerűen alkalmazható kezelési koncepció alakul ki.

A biztonsági koncepció 2. fokozata: menedzselhető switch-ek

A menedzselt switch-ek számos olyan biztonsági opciót nyújtanak a felhasználóknak, amelyek sem teljesítményvesztéssel, sem többletköltséggel nem járnak:
• A konfigurálás jelszavas védelme megakadályozza az infrastruktúra konfigurációjának jogosulatlan megváltoztatását.
• Beállítható „Broadcast-Limiter”-ek az adatáramlás szűrésével megakadályozzák a DoS/DDoS (Denial of Service/ Distributed Denial of Service)-támadásokat.
• A hozzáférés-vezérlés (Access-Control) hatására a konfigurálás csak olyan IP-címekről lehetséges, amelyeket arra a rendszergazda előzőleg feljogosított.
• A Port-Security segítségével a rendszergazda rögzítheti, hogy mely MAC-címek (Media Access Control) számára engedélyezi a kommunikációt az automatizálási hálózattal.
• A biztonsági szabályok megszegésnek detektálása SNMP-protokollon vagy az eszközbe integrált jelzőérintkezőn (szárazkontaktuson) keresztül. A rendszerbe csatolt információ lehetővé teszi a személyzet gyors reakcióját.
• A VLAN-ok (Virtual Local Area Network) használatával a fizikailag csatlakozó hálózatok szétválaszthatók. A kommunikációs kapcsolatok csak ugyanazon hálózaton belül vannak megengedve.

Nagyobb biztonság a decentralizált / lépcsőzetes védelmi koncepcióknak köszönhetően

A teljes vállalati hálózatot, vagy a két hálózat közötti átmenetet biztosító központi tűzfal nem nyújt védelmet a többnyire hálózaton belül végrehajtott, kártékony tevékenységek ellen. Az autonóm termelőcellák védelmét nem csak egy központilag hatásos koncepció látja el, amely a végkészülékek biztonságára vonatkozó megoldáson alapul (5. ábra).
 A termelőberendezés felosztása egyedülálló, szintén lépcsőzetes biztonsági koncepcióval ellátott biztonsági cellákra, a felhasználó által elvárt rugalmasság és megbízhatóság irányába hat. Emellett egy biztonsági cella a funkcionalitás szempontjából lényegében megfelel egy termelőszigetnek, ez lehet például egy gép, egy gépsor vagy egy (rész)berendezés. A biztonsági cella fogalma úgy határozható meg, hogy a benne foglalt rendszerek bármelyik részt vevő rendszer kiesése esetén értelmes továbbműködésre képtelenné válnak. A Phoenix Contact FL MGuard készülékei önálló rendszerként integrálódnak a hálózatba, és ott a berendezés hálózatának egy részét, pl. egy teljes termelőcellát vagy egy egyedi automatizálási komponenst védenek a biztosítandó rendszerre gyakorolt visszahatás nélkül (6. ábra). A biztonsági kialakítással szembeni fontos igények közül érdemes kiemelni egyet: a szerviz (távelérés) kommunikációs sebességét. Ebben a paraméterben óriási különbségek lehetnek a különböző ipari router-megoldások között. A Phoenix Contact ipari hardver- és szoftverarchitektúrán alapuló routermegoldása (FL MGuard) valós 99 Mbit/s-os kétirányú adatforgalmat garantál.

Gyakran célszerű a tűzfalszabályok alkalmazásának az 1:1-NAT-funkcióval történő kombinálása. Az 1:1-NAT (Network Address Translation)-funkció lehetővé teszi az ugyanazon IP-címtartományt igénybe vevő, azonos gépek összekapcsolását a lefedett hálózattal, az egyedi gépek külön konfigurálása nélkül. Ez a következő előnyökkel jár:
• nincs egyedi konfigurálás és nem kell megváltoztatni az alkalmazás programját – a gyári garancia érvényben marad
• egyszerű hibakeresés
• kiegészítő biztonsági funkció
• sorozatban gyártott/telepített gépeknél teljesen ugyanaz az IP-címtartomány alkalmazható

Összefoglalás

A berendezések üzemeltetői egyre inkább szembesülnek azzal a kihívással, hogy termelőüzemüket Ethernet- vagy IP-hálózatokra építve automatizálják. Az új generációs hálózatoknak nagyobb teljesítőképességűnek, rugalmasabbnak, tartósabbnak és stabilabbnak kell lenniük, csak így képesek megfelelni a folyamatosan változó és növekvő követelményeknek. A Factory-Line biztonsági koncepció ezért az egyes követelmények célzott és rugalmas megvalósításának lehetőségét kínálja, de támogatja a biztonságos és magas szinten rendelkezésre álló automatizálási hálózatot is.

Orosi Levente

A cikkhez kapcsolódó további információk