Trong thế giới CNTT (IT), việc sử dụng các công cụ quét chủ động như Nmap là điều cực kỳ phổ biến và gần như là bước đầu tiên trong bất kỳ quy trình đánh giá bảo mật nào. Tuy nhiên, khi chuyển sang môi trường OT (Operational Technology – Công nghệ Vận hành), việc chạy một lệnh quét Nmap mặc định có thể ví như việc “ném một quả lựu đạn” vào hệ thống điều khiển công nghiệp.

Dưới đây là phân tích chi tiết về mặt kỹ thuật, lý giải tại sao ngay cả một lệnh quét được cho là “nhẹ nhàng” nhất như Ping Scan cũng có thể làm sập các thiết bị OT, đi kèm các ví dụ thực tế.

1. Bản Chất Nhạy Cảm Của Thiết Bị OT

Để hiểu tại sao Nmap lại nguy hiểm với OT, trước tiên chúng ta cần nhìn vào kiến trúc của các thiết bị như PLC (Bộ điều khiển logic lập trình được), RTU (Thiết bị đầu cuối từ xa), hay HMI (Giao diện người – máy):

• Chồng giao thức TCP/IP tối giản: Không giống như hệ điều hành máy tính (Windows/Linux) có tài nguyên dồi dào và chồng giao thức TCP/IP cực kỳ mạnh mẽ, các thiết bị OT thường sử dụng các vi điều khiển công suất thấp với chồng TCP/IP được tối giản tối đa (ví dụ: các phiên bản tùy biến của LwIP hoặc mã nguồn tự phát triển). Chúng chỉ được thiết kế để xử lý các gói tin “hoàn hảo” tuân thủ đúng định dạng của một số giao thức công nghiệp nhất định.
• Triết lý “Tin tưởng mặc định” (Implicit Trust): Các thiết bị OT thế hệ cũ (và thậm chí nhiều dòng hiện đại) được thiết kế với giả định rằng mạng nội bộ hoàn toàn an toàn và sạch sẽ. Chúng không được trang bị khả năng xử lý các gói tin bất thường, các nỗ lực thăm dò, hay các kỹ thuật quét bóp méo tiêu chuẩn RFC.

2. Tại Sao “Chỉ Quét Ping” (-sn) Vẫn Cực Kỳ Nguy Hiểm?

Nhiều quản trị viên IT lầm tưởng rằng lệnh quét Ping (nmap -sn hoặc cũ hơn là -sP) là hoàn toàn an toàn vì nó “chỉ kiểm tra xem thiết bị có online hay không”. Thực tế về mặt kỹ thuật hoàn toàn khác:

Cách thức hoạt động thực sự của Nmap Ping Scan (khi chạy dưới quyền Root):

Khi Nmap thực hiện quét ping một dải mạng từ bên ngoài (hoặc qua định tuyến), nó không chỉ gửi một gói tin ICMP Echo Request (lệnh ping thông thường). Thay vào đó, Nmap mặc định gửi đồng thời:

1. ICMP Echo Request
2. ICMP Timestamp Request (Truy vấn nhãn thời gian)
3. TCP SYN tới cổng 443
4. TCP ACK tới cổng 80

Tác động gây lỗi (Crash) của Ping Scan lên OT:

• Hiệu ứng từ TCP ACK mồ côi (Unsolicited ACK): Gói tin TCP ACK gửi đến cổng 80 là một gói tin không nằm trong tiến trình bắt tay 3 bước (3-way handshake). Theo tiêu chuẩn RFC, một hệ thống thông thường sẽ trả về gói tin RST (Reset). Tuy nhiên, các dòng PLC đời cũ khi nhận được một gói ACK vô lý này thường bị xung đột trong xử lý trạng thái của chồng TCP/IP. Thay vì từ chối một cách an toàn, vi xử lý của PLC bị rơi vào trạng thái “vòng lặp vô hạn” (infinite loop) hoặc kích hoạt lỗi phần cứng, khiến thiết bị ngay lập tức bị treo (Freeze), khởi động lại (Reboot), hoặc chuyển sang chế độ lỗi (STOP/FAULT Mode).
• Bão ARP (ARP Storm): Nếu quét ping trong cùng một mạng LAN (Local Subnet), Nmap sẽ sử dụng các yêu cầu ARP thay thế. Việc quét hàng loạt IP ở tốc độ cao sẽ tạo ra lượng lớn gói tin quảng bá ARP (ARP Broadcast). Các bộ chuyển mạch (switches) công nghiệp cũ hoặc các bộ chuyển đổi Serial-to-Ethernet có băng thông thấp sẽ bị quá tải bộ đệm, gây mất kết nối của các chu kỳ điều khiển quan trọng.

3. Các Rủi Ro Khi Quét Chủ Động Khác (Port Scan, Version Scan)

Nếu quét Ping đã nguy hiểm, thì các chế độ quét sâu hơn như quét cổng (-sS, -sT) hay quét phiên bản (-sV, -A) sẽ nhân đôi rủi ro:

• Cạn kiệt bảng kết nối (Connection Table Exhaustion): Các PLC thường có tài nguyên cực kỳ hạn chế và chỉ hỗ trợ đồng thời từ 8 đến 16 kết nối TCP (ví dụ: phục vụ cho HMI và phần mềm kỹ thuật). Khi Nmap thực hiện quét SYN (-sS – quét nửa mở), nó gửi hàng loạt gói tin SYN để dò tìm cổng mở. Các kết nối này bị giữ ở trạng thái “nửa mở” (half-open). Chỉ cần vài chục gói tin như vậy, bảng kết nối của PLC sẽ hoàn toàn bị lấp đầy, ngăn chặn HMI chính thống kết nối vào thiết bị. Lúc này, người vận hành tại phòng điều khiển sẽ mất hoàn toàn khả năng giám sát hệ thống (màn hình hiển thị lỗi kết nối “HMI Connection Lost”).
• Lỗi không khớp giao thức (Protocol Mismatch / Malformed Packets): Khi quét dịch vụ (-sV), Nmap sẽ gửi các chuỗi truy vấn (probes) của nhiều giao thức khác nhau (như HTTP, SSH, FTP…) vào các cổng mở để xem thiết bị phản hồi thế nào.Ví dụ: Nếu Nmap gửi một yêu cầu HTTP (GET / HTTP/1.1) vào cổng 502 (cổng tiêu chuẩn của giao thức Modbus TCP trên PLC). Bộ giải mã Modbus của PLC sẽ cố gắng phân tích chuỗi ký tự HTTP này theo cấu trúc gói tin Modbus (vốn sử dụng hệ nhị phân và có trường định nghĩa độ dài gói). Việc diễn giải sai lệch này dẫn đến việc PLC nghĩ rằng nó cần nhận thêm hàng chục nghìn byte dữ liệu nữa mới đủ gói tin, khiến luồng xử lý bị kẹt cứng (hung socket) chờ đợi vô hạn hoặc trực tiếp gây sập firmware.
• Phản ứng Fail-Safe ngoài ý muốn: Trong môi trường OT, độ trễ mạng (latency) và jitter là cực kỳ nghiêm ngặt. Nếu việc quét Nmap làm nghẽn băng thông dù chỉ trong 1-2 giây, các hệ thống an toàn (Safety Instrumented Systems – SIS) hoặc cơ chế kiểm tra nhịp tim (Heartbeat) giữa SCADA và PLC sẽ bị gián đoạn. Hệ thống sẽ tự động hiểu đây là sự cố mất liên lạc nghiêm trọng và lập tức kích hoạt chế độ Fail-Safe, tự động xả áp, ngắt điện hoặc dừng khẩn cấp toàn bộ dây chuyền sản xuất của nhà máy.

4. Ví Dụ Thực Tế và Case Study

• Trường hợp Nmap gửi HTTP đến cổng Modbus 502: Một nghiên cứu phân tích sự cố chỉ ra rằng khi Nmap thực hiện quét phiên bản cổng 502 trên một dòng PLC Modbus, nó gửi lệnh OPTIONS / HTTP/1.0. Bộ parser của PLC đọc chuỗi dữ liệu này và hiểu nhầm các ký tự ASCII của HTTP thành trường dữ liệu chỉ định độ dài (Length field) của Modbus. PLC dự kiến phải nhận thêm hơn 20,000 bytes dữ liệu nữa nhưng thực tế không có gì được gửi tiếp. Kết quả là socket kết nối đó bị treo vô hạn, chiếm dụng tài nguyên xử lý và làm sập tạm thời đường truyền giám sát của HMI điều khiển, hiển thị cảnh báo đỏ trên toàn bộ hệ thống SCADA của nhà máy.
• Cánh tay robot tự động xoay ngoài kiểm soát (Nghiên cứu của Duggan et al.): Trong các thử nghiệm bảo mật được ghi nhận lại nhằm đánh giá tác động của công cụ quét mạng đối với thiết bị SCADA/ICS, khi một lệnh quét Ping (Ping sweep) được kích hoạt để dò tìm các thiết bị đang hoạt động trên mạng, một cánh tay robot công nghiệp đang ở chế độ chờ (standby) đột ngột tự động xoay $180^\circ$ ngoài tầm kiểm soát. Nguyên nhân là do chồng TCP/IP của bộ điều khiển robot đã biên dịch nhầm các gói tin quét ping thành lệnh di chuyển vật lý.
• Treo hệ thống SCADA khí đốt trong 4 giờ: Cũng trong nghiên cứu trên, một cuộc kiểm thử xâm nhập được tiến hành trên hệ thống SCADA quản lý mạng lưới phân phối khí đốt (Gas Utility). Việc thực hiện quét cổng chủ động đã khiến toàn bộ hệ thống điều khiển trung tâm bị đóng băng (freeze). Nhà máy hoàn toàn mất khả năng phân phối khí đốt ra ngoài trong suốt 4 giờ liên tục, gây thiệt hại nghiêm trọng về mặt vận hành.
• Sập PLC Siemens S7-1200 tại nhà máy xử lý nước: Một chuyên gia kiểm thử bảo mật IT khi thực hiện đánh giá cho một nhà máy xử lý nước sạch đã chạy lệnh quét mặc định nmap -sV -A 10.10.20.0/24 mà không có sự chuẩn bị trước cho môi trường OT. Chỉ trong vòng chưa đầy 30 giây sau khi nhấn Enter, PLC Siemens S7-1200 chịu trách nhiệm điều khiển hệ thống bơm hóa chất định lượng đã lập tức rơi vào trạng thái lỗi (Fault Mode / Red LED nhấp nháy) và ngừng hoạt động, kích hoạt còi báo động khẩn cấp tại phòng điều khiển trung tâm.

5. Giải Pháp Thay Thế và Khuyến Nghị An Toàn

Để đảm bảo an toàn cho hệ thống OT, các chuyên gia bảo mật luôn khuyến cáo tuân thủ các nguyên tắc sau:

1. Ưu tiên giám sát thụ động (Passive Monitoring): Thay vì gửi gói tin đi dò quét, hãy cấu hình tính năng Mirror Port (SPAN port) hoặc lắp đặt các thiết bị phần cứng Network TAP tại các switch trung tâm. Sau đó, chuyển tiếp luồng dữ liệu này về các công cụ phân tích an ninh OT chuyên dụng (như Nozomi Networks, Claroty, Dragos…). Các công cụ này sẽ phân tích các gói tin tự nhiên của hệ thống để vẽ nên sơ đồ tài sản mà không cần gửi bất kỳ một gói tin nào vào PLC.
2. Nếu bắt buộc phải quét chủ động (Active Scanning):
   • Không quét trong giờ vận hành: Chỉ thực hiện trong các đợt bảo dưỡng định kỳ (Maintenance Windows).
   • Cấu hình Nmap cực kỳ cẩn thận: * Sử dụng tùy chọn giảm tốc độ tối đa: --max-rate 1 hoặc --scan-delay 1s để tránh làm ngập lụt thiết bị.
     • Tắt các phương thức Ping thăm dò nguy hiểm: sử dụng -Pn (bỏ qua bước ping, coi như thiết bị luôn online) hoặc tắt ARP Ping bằng --disable-arp-ping.
     • Chỉ quét các cổng dịch vụ công nghiệp đích danh (ví dụ chỉ quét cổng 502 hoặc 102), tuyệt đối không quét toàn bộ 65535 cổng.

Để tìm hiểu thêm về các cuộc tranh luận thực tế xoay quanh việc ứng dụng Nmap và quét chủ động trong môi trường ICS/OT, bạn có thể tham khảo video thảo luận hữu ích này: Nmap (& Active Scanning) in OT/ICS?. Video này sẽ cung cấp góc nhìn sâu sắc từ các chuyên gia bảo mật công nghiệp về cách cân bằng giữa nhu cầu rà soát bảo mật chủ động và tính toàn vẹn, ổn định của các thiết bị vận hành trong nhà máy.