Các chiến lược bảo vệ hệ thống điều
khiển và hệ SCADA
Trong nhiều năm qua, hầu hết các công ty có cơ sở hạ tầng trọng yếu được
điều khiể
n bởi các hệ SCADA, DCS và các hệ thống điều khiển quá trình
khác đã sử dụng phương pháp nhóm tất cả các hệ thống thời gian thực vào
trong m
ột môi trường gọi là PCN hay mạng điều khiển quá trình, và cố gắng
giữ cho môi trường đó tách biệt khỏi CNTT và các mạng kết hợp tới mức có
thể.
Trong khi khái niệm
này là một bước tiến
đúng đắn th
ì việc coi
môi trường PCN như
một hộp đen và cố
gắng điều khiển một
firewall hay giải pháp
bảo vệ máy tính tại
ranh giới với IT là
không thích h
ợp để
bảo vệ khỏi việc thay
đổi những mối đe dọa
cả từ bên ngoài và bên
trong. Đặc tính nhạy
của các thiết bị DCS
và PLC quản lý các
tài sản trọng yếu cần
một cấp độ phân chia
mạng cao hơn và các

kiểm soát của hệ
SCADA và hệ điều
khiển quá trình.
Các công ty này đặc
biệt coi mạng điều
khiển quá trình như
một hộp đen lớn và có
x
u hướng bảo vệ
những môi trường này
b
ằng cách cố gắng
tách biệt chúng khỏi
bất cứ một mạng nào
khác t
ới mức có thể.
Đây là một sự cố gắng
đầu ti
ên mang lại hiệu
quả tốt và là một
hướng đi đúng đắn.
Ngoài ra, có thể xem
xét một số giải pháp bảo vệ máy tính khác tạo điều kiện để những tài sản
trọng yếu được kết nối qua các giao thức Ethernet và Internet có khả năng
định tuyến có thể đối phó được với những mối đe dọa cả từ b
ên ngoài lẫn
bên trong.
Ph
ần dưới đây có hai sơ đồ, sơ đồ đầu tiên thể hiện mạng logic của một hệ
SCADA và DCS điển hình được nối với mạng kết hợp. Sơ đồ thứ hai cho

ảo mật, các loại sâu và virus có thể bị chặn lại bất kể là giải pháp chống
virus có tệp chữ ký mới nhất hay không. Ngoài phương pháp phân chia môi
trường SCADA bằng việc sử dụng các firewall, một giải pháp chống vir
us
có th
ể được thiết lập mà không cần phải kết nối internet trực tiếp, tuy nhiên
gi
ải pháp này vẫn chưa tự động nhận những cập nhật chữ ký và chuyển
chúng tới các máy tính trong môi trường SCADA.
Do việc kết nối trực tiếp môi trường SCADA với mạng IT kết hợp hay với
mạng internet có thể làm cho môi trường SCADA dễ bị nguy hiểm và bị đe
doạ, vì vậy tạo ra một môi trường bảo mật trung gian mới (vùng 2) trong
chính DMZ c
ủa nó (Vùng đảo ngược quân sự hoá) được coi là một giải pháp
tốt hơn. Data historian DMZ trung gian này sẽ tạo ra một bộ đệm giữa mạng
IT kết hợp và môi trường SCADA, đồng thời thiết kế này cũng mang lại rất
nhiều ích lợi.
Lợi ích chính cho
vùng đệm mới n
ày là
d
ữ liệu có thể được
sắp xếp ở đây từ môi
trường SCADA v
à rồi
di chuyển đến các môi
trường IT khác. Thay
vì có nhiều sự kết nối
IT trực tiếp tới môi
trường SCADA, tất cả

vi
ệc cài đặt các máy chủ chuyển tiếp, chúng có thể chuyển tiếp hay gửi trên
các h
ệ điều hành và những điểm nối tạm cập nhật chống virus từ phía IT của
mạng vào môi trường SCADA hay môi trường các hệ điều khiển. Nếu có sự
truy nhập vào một bộ mô phỏng hay mạng phát triển với việc cài đặt phần
cứng và phần mềm SCADA, thì hệ điều hành mới và những điểm nối tạm
chống virus này cần được thử nghiệm trong những môi trường thử nghiệm
này trước khi di chuyển tiếp. Biểu đồ trong hình 5 thể hiện một hệ điều hành
th
ứ cấp hay các hệ thống nối tạm chống virus có thể đặt trong Vùng 2, hay
vùng DMZ d
ữ liệu, do vậy chúng ta có thể chuyển tiếp những sự nâng cấp
hay những điểm nối tạm vào môi trường thử nghiệm, để chạy thử trong môi
trường thử nghiệm trước khi ứng dụng những điểm nối tạm hay những nâng
cấp vào các hệ thống sản xuất trực tiếp.
Một khi các điểm nối tạm được thử nghiệm để hoạt động trong mạng mô
phỏng, mà không gây ảnh hưởng bất lợi cho bất cứ một chức năng nào của
hệ SCADA thì các hệ thống tương tự trong Vùng 2 có thể được sử dụng để
chuyển tiếp những điểm nối tạm này vào môi trường sản xuất trực tiếp.
Mặc dù những điểm nối tạm đã được thử nghiệm trên mạng mô phỏng
nhưng việc tự động đẩy những điểm nối tạm ra khỏi những hệ thống chạy
trong chế độ sản xuất vẫn có thể là một việc làm nguy hiểm. Có một sự lựa
chọn đó là nối tạm các hệ thống thành một hệ thống tại một thời điểm. Một
lựa chọn khác đó là dùng tay nối các hệ thống bằng cách lại gần trạm làm
vi
ệc hay máy chủ và nâng cấp hệ điều hành hay các điểm nối tạm chống
virus với việc xem lại các hệ thống trong Vùng 2 để tìm nguồn của các điểm
nối tạm.
Trang 2 của 2

này.
Ngoài nh
ững mối
nguy hiểm gây ra bởi
sự truy nhập modem
hiện tại vào các môi
trường SCADA, việc
truy nhập modem chỉ
cung cấp một sự kết
nối dải tần thấp để xử
lý, sửa chữa hay duy
trì các thành phần hệ
SCADA. Một giải
pháp mới yêu cầu có
sự thẩm định quyền chặt chẽ hơn đồng thời hạn chế sự truy nhập trực tiếp
vào môi trường SCADA. Nó cũng cung cấp một sự theo d
õi kiểm toán với
khả năng truy nhập hoàn toàn vào thời gian hệ thống được dán tem và được
ghi bởi tên người sử dụng.
Bằng việc kết hợp một giải pháp OTP (một mật mã thời gian) 2 yếu tố với
hoạt động tính toán máy khách mỏng (Các dịch vụ đầu cuối hay Citrix), sự
truy nhập từ xa có thể được cung cấp, nó không chỉ thực hiện nhiều thao tác
kiểm tra cho sự thẩm đinhhj quyền khi truy nhập mà còn hạn chế sự truy
nhập vào môi trường SCADA bằng cách giữ người sử dụng từ xa trong một
vùng DMZ và chỉ cung cấp sự truy nhập phiên máy khách mỏng vào môi
trường SCADA.
Người sử dụng từ xa, sau khi cung cấp sự thay đổi m
ã 6 số từ mã thông báo
r
ồi nhận được lời nhắc cho một mã PIN 4 số bí mật, và sự kết nối của cả hai

Một điểm yếu bảo
mật cơ bản khác với
việc có một giải pháp
bảo vệ ở vòng ngoài
c
ủa mạng SCADA là
ti
ềm năng cho những
kiểm soát truy nhập
lỏng lẻo. Vì chỉ có một lớp bảo vệ giữa LAN kết hợp và SCADA hay LAN
điều khiển quá trình nên cần phải áp dụng một giải pháp bảo vệ dưới một
dạng thức âm thanh và cần được chạy thử. Trong những đánh giá gần đây về
khả năng bị nguy hiểm do các công ty năng lượng, và công ty sản xuất thực
hiện có một vấn đề chung đó là các ACL yếu (Danh sách điều khiển truy
nhập) được bổ sung trong bộ định tuyến hay firewall giữa IT kết hợp và các
môi trường SCADA.
Những công cụ hacker tự động ngày nay và các thiết bị quét có thể được lắp
đặt để tự động thử một loạt địa chỉ IP cho mục v
ào ép buộc thô bạo. Thậm
chí không có những công cụ tự động này, một thành viên nội bộ với sự truy
nh
ập tự nhiên vào mạng kết hợp có thể đặt một bộ phân tích mạng vào mạng
và ghi tất cả các gói, do vậy có khả năng nhìn thấy khoảng địa chỉ được phép
để đi qua thiết bị bảo mật vành đai.
Những kiểm soát truy nhập chặt chẽ hơn tại thiết bị bảo vệ vòng ngoài (bộ
định tuyến hay firewall), v
à sự phân chia mạng phụ thêm sẽ phải đi một
đường dài để ngăn cản sự truy nhập không định trước vào môi trường
SCADA. Trong hình vẽ 9 thể hiện những sự kiểm soát truy nhập lỏng lẻo và
các ALC y

ành phần SCADA khác nhau này được thể
hiện trong hình 10.
Nên có m
ột phương pháp làm hạn chế sự truy nhập vào các thiết bị cuối
SCADA cấp thấp, các thiết bị này điều khiển quá trình vật lý. Việc truy nhập
vào các trạm SCADA và trạm máy tính điều khiển quá trình và thiết bị máy
tính phòng điều khiển không có nghĩa là truy nhập tự động vào các bộ điều
khiển vận hành thiết bị vật lý.
Ngoài ra, nếu các máy tính SCADA bị ảnh hưởng bởi một loại virus, dường
như quá tr
ình dưới sự điều khiển của PLC, RTU hay IED có thể tiếp tục hoạt
động dưới chế độ tự động với điểm đặt cuối c
ùng trong khi các quản trị viên
máy tính khôi ph
ục các trạm làm việc SCADA hay các máy chủ bị ảnh
hưởng. Nếu không có một phân khu truy nhập khác giữa thiết bị máy tính
SCADA và các thiết bị cuối SCADA điều khiển thiết bị nhà máy thực, thì
nh
ững mối đe doạ tiềm năng từ những loại virus tự nhân giống, sâu, và
Trojan có thể có một ảnh hưởng lớn hơn tới các thiết bị cuối và đã chứng tỏ
một vài trường hợp trong số chúng đã bị thất bại dưới các điều kiện phòng
thí nghi
ệm.
Mối đe doạ từ bên
trong có ch
ủ ý
Phần mềm SCADA
và thiết bị dễ có khả
năng bị nguy hiểm
bởi lưu lượng mạng

quan tâm hơn tới những kiểm soát truy nhập máy tính
hiện đang được sử
dụng để bảo vệ các hệ thống này khỏi những mối đe doạ bên trong và bên
ngoài. Ngành công nghi
ệp bao gồm những liên lạc TCP/IP Ethernet trong
những năm cuối 1990 đã đưa vào thương trường hệ SCADA và hệ điều
khiển quá trình với những khả năng liên lạc Ethernet. Hiện nay việc tìm thấy
những liên lạc IP trong khắp môi trường các hệ điều khiển quá trình và
SCADA là r
ất phổ biến.
Chủ các doanh nghiệp và các nhà điều hành các hệ SCADA có xu hướng
tiếp tục cung cấp chỉ một giải pháp bảo vệ máy tính vòng ngoài tại điểm nối
giữa các mạng SCADA và IT. Một giải pháp bảo vệ như một firewall là một
sự khởi đầu tốt đẹp nhưng để lại bên trong của môi trường SCADA sự
không an toàn và nguy hiểm.
Thiết kế mạng phẳng trong môi trường SCADA cho phép cả những mối đe
doạ bên trong và bên ngoài phát triển và ảnh hưởng tới những thiết bị cuối
điều khiển thiết bị vật lý. Một số kỹ thuật mới sẵn sàng để sử dụng trong
việc bảo mật phần bên trong của môi trường SCADA cũng như cung cấp sự
truy nhập từ xa an toàn vào môi trường đó.
Việc biết được những điểm yếu nào nằm trong các hệ SCADA và hệ điều
khiển quá trình, những mối đe doạ bên trong và bên ngoài có thể lợi dụng
những điểm yếu này như thế nào, và biết làm thế nào để thực hiện những
giải pháp bảo vệ mới để ngăn cản, bảo vệ và dò những mối đe doạ máy tính
là chìa khoá để bảo vệ những hệ thống quan trọng này.v