Các mạng công nghệ vận hành (OT) vốn không được xây dựng với mục tiêu đáp ứng các yêu cầu bảo mật CNTT hiện đại. Những hệ thống vận hành môi trường điều khiển công nghiệp, cơ sở sản xuất, hệ thống tự động hóa tòa nhà và cơ sở hạ tầng trọng yếu đều có chung một hạn chế quan trọng: không thể cài đặt tác nhân bảo mật trên các hệ thống này.
Các thiết bị này thường chạy phần mềm điều khiển độc quyền, tuân theo lịch bảo trì nghiêm ngặt và trong nhiều trường hợp không thể cập nhật bản vá hoặc khởi động lại mà không làm gián đoạn hoạt động sản xuất. Việc đưa một bộ điều khiển ngoại tuyến có thể đồng nghĩa với việc dừng toàn bộ dây chuyền sản xuất hoặc làm gián đoạn một quy trình vận hành quan trọng.
Thực tế này ngay lập tức loại bỏ nhiều công cụ bảo mật thường được sử dụng trong môi trường CNTT doanh nghiệp. Không thể triển khai tác nhân phát hiện và ứng phó trên thiết bị đầu cuối (EDR), không có khả năng ghi nhật ký dựa trên máy chủ và cũng không thể sử dụng các công cụ quét lỗ hổng một cách an toàn trên những hệ thống này. Đối với các đội ngũ bảo mật chịu trách nhiệm về khả năng quan sát mạng OT và Hệ thống Điều khiển Công nghiệp (ICS), thách thức không nằm ở việc lựa chọn tác nhân bảo mật nào để triển khai trên thiết bị đầu cuối, mà là xác định những dữ liệu giám sát thụ động, không gây ảnh hưởng nào đã có sẵn từ hạ tầng xung quanh.
Trong hầu hết môi trường OT, câu trả lời nằm ở chính mạng lưới.
Các bộ định tuyến, thiết bị chuyển mạch và tường lửa nằm giữa các phân đoạn CNTT và OT liên tục xuất dữ liệu giám sát luồng mạng NetFlow và IPFIX. Khi dữ liệu luồng này được thu thập, bổ sung ngữ cảnh và chuyển tiếp vào hệ thống quản lý thông tin và sự kiện bảo mật (SIEM), dữ liệu có thể cung cấp khả năng quan sát đáng kể đối với hoạt động mạng mà không cần bất kỳ sự tương tác nào với các thiết bị OT.
Bài viết này giải thích vị trí của NetFlow Optimizer (NFO) trong kiến trúc bảo mật OT/ICS, những thông tin mà giải pháp có thể cung cấp và, quan trọng không kém, những giới hạn của giải pháp.
Tại sao các công cụ bảo mật truyền thống không phù hợp với OT
Mô hình Purdue vẫn là khung kiến trúc chủ đạo được sử dụng để thiết kế mạng OT và ICS. Mô hình này phân tách hệ thống điều khiển công nghiệp khỏi mạng CNTT doanh nghiệp thông qua nhiều vùng bảo mật và một vùng mạng phi quân sự (DMZ).
Các cấp độ từ 0 đến 2 bao gồm quy trình vật lý và thiết bị công nghiệp, trong đó có PLC, DCS và SCADA. Cấp độ 3 đại diện cho mạng vận hành sản xuất. Nằm giữa Cấp độ 3 và mạng doanh nghiệp ở Cấp độ 4 là DMZ CNTT/OT, được đưa vào các phiên bản sau của Mô hình Purdue và được quy định chính thức trong tiêu chuẩn IEC 62443.
Hầu hết các công cụ bảo mật doanh nghiệp đều giả định những điều kiện đơn giản là không tồn tại trong môi trường OT. Các công cụ này yêu cầu thiết bị phải có khả năng kết nối IP, có các cổng quản trị mở và có khả năng chạy phần mềm bảo mật.
Các thiết bị công nghiệp không đáp ứng bất kỳ giả định nào trong số này.
Một PLC điều khiển cơ sở xử lý nước, một máy chủ lưu trữ dữ liệu lịch sử bên trong trạm biến áp điện hoặc một HMI vận hành dây chuyền sản xuất đều không thể tiếp nhận các tác nhân bảo mật trên thiết bị đầu cuối. Nhiều thiết bị vẫn tiếp tục chạy các hệ điều hành đã không được cập nhật bản vá trong nhiều năm — không phải do thực hành bảo mật kém, mà bởi các thỏa thuận hỗ trợ với nhà cung cấp hoặc rủi ro vận hành liên quan đến thời gian ngừng hoạt động khiến việc cập nhật bản vá trở nên không khả thi.
Quét chủ động lại tạo ra một thách thức khác.
Việc gửi lưu lượng thăm dò vào mạng OT có thể gây ra hành vi không mong muốn ở những thiết bị vốn chưa bao giờ được thiết kế để tiếp nhận các yêu cầu không được yêu cầu trước. Một số giao thức công nghiệp có thể phản hồi lưu lượng không quen thuộc bằng cách phát sinh lỗi, khởi động lại hoặc chuyển sang trạng thái dừng an toàn. Do đó, những công cụ mà đội ngũ bảo mật CNTT thường xuyên sử dụng — chẳng hạn như công cụ quét lỗ hổng, công cụ lập bản đồ mạng hoặc công cụ truy vấn SNMP hướng trực tiếp đến thiết bị OT — có thể tạo ra rủi ro thực sự đối với hoạt động vận hành.
Điều này khiến giám sát thụ động trở thành phương pháp an toàn nhất.
Trong số tất cả các nguồn dữ liệu thụ động hiện có, dữ liệu giám sát luồng mạng được xuất từ hạ tầng đang vận chuyển lưu lượng mang lại khả năng quan sát phong phú nhất đồng thời ít gây ảnh hưởng nhất.
Dữ liệu NetFlow có thể — và không thể — quan sát được gì trong mạng OT
NetFlow Optimizer (NFO) thu thập dữ liệu luồng mạng được xuất bởi các bộ định tuyến, thiết bị chuyển mạch và tường lửa được đặt tại những vị trí quan trọng trong môi trường OT, bao gồm ranh giới CNTT/OT, DMZ và vùng biên của các phân đoạn mạng OT. Việc hiểu rõ phạm vi thu thập dữ liệu này là yếu tố thiết yếu.
NFO thu thập các bản ghi NetFlow và IPFIX từ những thiết bị hạ tầng có khả năng xuất dữ liệu luồng mạng. NFO không thu thập thông tin trực tiếp từ các thiết bị đầu cuối OT, cũng không thực hiện bắt gói tin hoặc kiểm tra sâu gói tin (DPI) đối với các giao thức công nghiệp như Modbus, DNP3 hoặc EtherNet/IP.
Dữ liệu luồng từ các thiết bị tại ranh giới cung cấp những gì
Lưu lượng đi qua ranh giới các vùng mạng
Mọi kết nối giữa môi trường CNTT doanh nghiệp và OT đều đi qua một thiết bị tại ranh giới. Các bản ghi luồng mạng ghi nhận nguồn, đích, giao thức, cổng, số byte và thời lượng phiên của từng phiên trao đổi trên mạng.
Các thiết bị đầu cuối mới hoặc bất thường
Nếu một thiết bị trước đây chưa từng giao tiếp ra ngoài phân đoạn mạng của mình đột nhiên xuất hiện trong các bản ghi luồng mạng, thiết bị đó sẽ ngay lập tức trở nên dễ nhận biết. NFO cung cấp địa chỉ IP nguồn, địa chỉ IP đích, cổng đích và lưu lượng dữ liệu, cho phép hệ thống SIEM hoặc chuyên viên phân tích bảo mật xác định liệu hoạt động này có nằm trong dự kiến hay không.
Sai lệch về giao thức và cổng
Mạng OT có tính dự đoán rất cao. Các hệ thống thường giao tiếp với cùng những đích đến bằng cùng các giao thức và cổng mỗi ngày. Khi mô hình này thay đổi — ví dụ, một máy chủ lưu trữ dữ liệu lịch sử đột nhiên khởi tạo các kết nối HTTPS ra bên ngoài tới một địa chỉ IP bên ngoài, hoặc một thiết bị nằm gần PLC bắt đầu giao tiếp thông qua một cổng bất thường — những sai lệch này có thể được nhận biết thông qua dữ liệu luồng mạng.
Bất thường về lưu lượng
Việc lưu lượng tăng đột biến từ một phân đoạn OT đi tới mạng doanh nghiệp hoặc một đích đến bên ngoài có thể được phát hiện chỉ bằng thông tin về lưu lượng, ngay cả khi không có khả năng quan sát nội dung thực tế của các gói tin.
Lưu lượng ngang trong các phân đoạn có khả năng quan sát
Trong trường hợp các thiết bị chuyển mạch có xuất NetFlow hoặc IPFIX (mặc dù không phải tất cả thiết bị chuyển mạch OT đều hỗ trợ), NFO cũng cung cấp khả năng quan sát các hoạt động giao tiếp ngang giữa các thiết bị diễn ra bên trong những phân đoạn mạng đó.
Dữ liệu luồng mạng không cung cấp những gì
Nội dung giao thức công nghiệp
Các bản ghi luồng mạng không thể cho biết mã chức năng Modbus, lệnh DNP3, tải dữ liệu EtherNet/IP hoặc bất kỳ nội dung nào khác của giao thức công nghiệp. Việc kiểm tra hoạt động giao tiếp ở cấp độ giao thức đòi hỏi một nền tảng bảo mật OT chuyên dụng được kết nối thông qua SPAN hoặc TAP, có khả năng thực hiện kiểm tra sâu gói tin.
Danh mục thiết bị đầu cuối OT
NFO sử dụng SNMP để truy vấn định kỳ chỉ các thiết bị hạ tầng mạng. NFO không phát hiện hoặc lập danh mục các thiết bị đầu cuối OT. Các tổ chức cần khả năng phát hiện và lập danh mục tài sản OT toàn diện sẽ cần sử dụng các nền tảng quản lý tài sản OT chuyên dụng.
Khả năng quan sát các phân đoạn OT bị cô lập
Nếu một phân đoạn OT cách ly hoàn toàn với bên ngoài được phục vụ bởi các thiết bị chuyển mạch không xuất NetFlow hoặc IPFIX, NFO sẽ không có khả năng quan sát phần mạng đó. Đây vẫn là một hạn chế phổ biến tại Cấp độ 0 và Cấp độ 1 của Mô hình Purdue.
NFO nằm ở đâu trong kiến trúc bảo mật OT
Lưu lượng đi qua lại giữa môi trường doanh nghiệp và OT sẽ đi qua các thiết bị tại ranh giới. Những thiết bị này gần như luôn là thiết bị mạng cấp doanh nghiệp có khả năng xuất NetFlow hoặc IPFIX theo tiêu chuẩn.
Triển khai NFO để thu thập dữ liệu từ tường lửa, thiết bị chuyển mạch lớp 3 và bộ định tuyến tại ranh giới này giúp đội ngũ bảo mật có khả năng quan sát mọi hoạt động giao tiếp giữa các vùng mà không cần tiếp xúc với bất kỳ thiết bị đầu cuối OT nào.
NFO bổ sung ngữ cảnh cho dữ liệu luồng mạng, giúp dữ liệu trở nên có giá trị sử dụng trong hệ thống SIEM:
| Thông tin bổ sung | NetFlow thô hiển thị | NFO bổ sung |
| Danh tính người dùng | IP nguồn: 10.4.1.15 | Người dùng: ops-engineer@company.com (được xác định từ AD/Entra ID) |
| Thông tin tình báo mối đe dọa | IP đích: 185.220.101.1 | Điểm nguy hiểm: độc hại / Phân loại: hạ tầng C2 đã được xác định |
| Ngữ cảnh ứng dụng | Cổng: 502 | Ứng dụng: Modbus (thông qua danh mục ứng dụng của NFO) |
| Luồng hai chiều | Các bản ghi vào/ra riêng biệt | Một bản ghi được liên kết, cung cấp đầy đủ ngữ cảnh của phiên giao tiếp |
Dữ liệu giám sát được bổ sung ngữ cảnh và tuân thủ CIM này sẽ được đưa vào Splunk ES, Sentinel, Exabeam hoặc bất kỳ hệ thống SIEM đích nào khác, nơi đội ngũ bảo mật đã xây dựng các quy tắc phát hiện. Hoạt động phát hiện, cảnh báo và điều tra được thực hiện trong hệ thống SIEM. NFO cung cấp lớp dữ liệu nền tảng mà các quy trình này phụ thuộc vào.
Triển khai mạng cách ly và không cho phép dữ liệu thoát ra ngoài
Các môi trường OT trong lĩnh vực cơ sở hạ tầng trọng yếu, quốc phòng và các ngành chịu sự quản lý nghiêm ngặt thường không cho phép bất kỳ dữ liệu nào rời khỏi phạm vi mạng. Để đáp ứng các yêu cầu này, NFO là giải pháp chỉ sử dụng phần mềm, được triển khai hoàn toàn tại chỗ và không có dữ liệu thoát ra ngoài.
Việc xác định danh tính người dùng được thực hiện thông qua Active Directory hoặc Entra ID tại chỗ, trong khi các danh mục ứng dụng tùy chỉnh được duy trì cục bộ.
Các nguồn dữ liệu tình báo mối đe dọa và cơ sở dữ liệu GeoIP được cập nhật từ các nguồn bên ngoài theo lịch có thể cấu hình. Sau đó, NFO lưu bộ nhớ đệm dữ liệu tại chỗ. Toàn bộ quá trình bổ sung ngữ cảnh được thực hiện cục bộ bằng thông tin đã lưu trong bộ nhớ đệm trong quá trình xử lý luồng mạng.
Kiến trúc này đặc biệt quan trọng trong môi trường OT, nơi ngay cả một kết nối tới dịch vụ đám mây ở lớp quản trị cũng có thể làm phát sinh các vấn đề về tuân thủ.
NFO đã được triển khai trong các môi trường liên bang và Bộ Quốc phòng Hoa Kỳ (DoD) sử dụng mạng cách ly hoàn toàn từ năm 2016. Cùng một kiến trúc đáp ứng các yêu cầu bảo mật nghiêm ngặt đó có thể được triển khai trực tiếp vào các mạng Hệ thống Điều khiển Công nghiệp (ICS) cách ly hoàn toàn mà không cần sửa đổi.
Các tổ chức đang hướng tới tuân thủ CMMC hoặc hoạt động theo các khuôn khổ FISMA cũng có thể sử dụng NFO để hỗ trợ thu thập bằng chứng cho các yêu cầu ghi nhật ký luồng mạng mà không tạo ra sự phụ thuộc vào dữ liệu bên ngoài. Như đã đề cập trong các bài viết “The Unsung Hero of CMMC Compliance” và “OMB M-21-31 and Network Flow Logging”, dữ liệu giám sát luồng mạng là một yêu cầu bằng chứng cụ thể trong cả hai khuôn khổ. NFO cung cấp quy trình thu thập, bổ sung ngữ cảnh và chuyển tiếp dữ liệu cần thiết để hỗ trợ đáp ứng các yêu cầu này.
Điểm khởi đầu thực tế
Hầu hết các tổ chức muốn cải thiện khả năng quan sát mạng OT không bắt đầu bằng việc triển khai một nền tảng bảo mật OT chuyên dụng.
Thay vào đó, họ bắt đầu với những gì mình đã có: các thiết bị mạng tại ranh giới CNTT/OT vốn đã xuất dữ liệu luồng mạng, cùng với hệ thống SIEM mà đội ngũ vận hành an ninh đang sử dụng.
NFO thu thập dữ liệu luồng mạng hiện có, bổ sung ngữ cảnh và chuyển dữ liệu tới hệ thống SIEM theo định dạng có thể tích hợp với các nội dung phát hiện hiện có.
Kết quả là khả năng quan sát được cải thiện đáng kể mà không cần tác động đến bất kỳ thiết bị OT nào, không cần triển khai tác nhân trên thiết bị đầu cuối, không cần cài đặt thêm cảm biến trong mạng OT và không yêu cầu đội ngũ vận hành an ninh phải quản lý một nền tảng hoặc giao diện điều khiển OT riêng biệt.
Đối với các tổ chức có yêu cầu bảo mật nghiêm ngặt hơn và ngân sách dành cho các công cụ OT chuyên dụng, NFO bổ sung giá trị cho những khoản đầu tư này bằng cách cung cấp nền tảng dữ liệu ở lớp mạng mà các giải pháp đó không bao phủ. NFO thu thập dữ liệu luồng mạng từ nhiều nhà cung cấp khác nhau trên toàn bộ hạ tầng mạng, bổ sung ngữ cảnh và chuyển dữ liệu tới hệ thống SIEM, qua đó mở rộng khả năng quan sát trên môi trường doanh nghiệp và các môi trường kết nối với đám mây — những phạm vi mà các nền tảng tập trung vào OT không được thiết kế để xử lý.
Tóm lại
Bảo mật OT và ICS bắt đầu từ việc chấp nhận một hạn chế mang tính nền tảng: không thể cài đặt tác nhân trên các thiết bị này.
Điều bạn có thể làm là thu thập, bổ sung ngữ cảnh và chuyển tiếp dữ liệu luồng mạng từ hạ tầng xung quanh các thiết bị đó. NFO biến dữ liệu luồng mạng thành thông tin bảo mật có thể sử dụng để hành động mà không cần tác động đến các thiết bị đầu cuối OT, không đưa dữ liệu ra ngoài lên đám mây và không bổ sung thêm một giao diện điều khiển mà đội ngũ vận hành an ninh phải quản lý.
Ranh giới mạng có thể được quan sát. Các hoạt động giao tiếp đi qua ranh giới đó được ghi nhận. NFO bổ sung ngữ cảnh để biến những bản ghi này thành thông tin tình báo bảo mật có giá trị hành động.
Về DT Asia
DT Asia được thành lập năm 2007 với sứ mệnh đưa các giải pháp bảo mật CNTT tiên phong khác nhau từ Hoa Kỳ, Châu Âu và Israel gia nhập thị trường.
Hiện tại, DT Asia là một nhà phân phối giá trị gia tăng trong khu vực đối với các giải pháp an ninh mạng, cung cấp công nghệ tiên tiến cho các tổ chức chính phủ trọng yếu cũng như các khách hàng tư nhân lớn bao gồm các ngân hàng toàn cầu và các công ty trong danh sách Fortune 500. Với các văn phòng và đối tác rộng khắp trong khu vực Châu Á Thái Bình Dương, chúng tôi hiểu rõ hơn về thị trường và từ đó mang đến những giải pháp bản địa hóa phù hợp với từng quốc gia, từng tổ chức.
Chúng tôi hỗ trợ như thế nào
Nếu bạn muốn tìm hiểu thêm về Bảo mật không cần tác nhân cho mạng OT/ICS: NetFlow cung cấp khả năng giám sát các thiết bị không thể can thiệp như thế nào, bạn đã tìm đúng nơi.
DTA là nhà phân phối của NetFlow Logic, đặc biệt tại Singapore và khu vực châu Á. Đội ngũ kỹ thuật của chúng tôi có nhiều kinh nghiệm chuyên sâu về sản phẩm và các công nghệ liên quan, giúp khách hàng có thể tin tưởng khi triển khai giải pháp.
Chúng tôi cung cấp giải pháp trọn gói cho sản phẩm, bao gồm tư vấn, triển khai và dịch vụ bảo trì.
Tìm hiểu thêm tại:https://dtasiagroup.com/netflowlogic/
