Trong các bài viết trước, chúng ta đã cùng nhau thảo luận rất nhiều về cách bảo vệ nhà máy từ bên trong: từ việc cấu hình tường lửa, hardening máy trạm SCADA cho đến việc khóa chặt các cổng kết nối USB. Thế nhưng, hãy thử tưởng tượng một kịch bản đáng sợ hơn: Hệ thống của bạn bị tấn công bởi chính những phần mềm, thiết bị phần cứng hoặc bản cập nhật chính thống được gửi đến từ các nhà cung cấp uy tín hàng đầu.

Đây không phải là kịch bản trong phim viễn tưởng, mà là bản chất của Tấn công chuỗi cung ứng (Supply Chain Attack).

Trong môi trường OT, chúng ta phụ thuộc hoàn toàn vào một hệ sinh thái khổng lồ bao gồm: các nhà sản xuất thiết bị gốc (OEM), các đơn vị tích hợp hệ thống (System Integrators – SI), và các nhà thầu bảo trì. Khi tin tặc không thể tấn công trực diện vào lớp phòng thủ kiên cố của nhà máy, chúng sẽ chọn con đường thông minh hơn: tấn công vào các mắt xích yếu hơn trong chuỗi cung ứng của bạn để “quá cảnh” vào vùng lõi sản xuất.

Bài viết này sẽ bóc tách các nguy cơ từ chuỗi cung ứng OT và hướng dẫn cách xây dựng lá chắn bảo vệ doanh nghiệp trước mối đe dọa “nội gián” này.

1. Các Con Đường Tấn Công Chuỗi Cung Ứng OT Điển Hình

Tin tặc thường khai thác chuỗi cung ứng OT thông qua 3 con đường cốt lõi dưới đây:

Độc hại hóa phần mềm gốc (Software Tampering)

Thay vì hack vào nhà máy của bạn, tin tặc sẽ hack vào máy chủ lưu trữ mã nguồn hoặc máy chủ cập nhật của hãng sản xuất thiết bị (như Siemens, Rockwell Automation…). Hắn sẽ âm thầm cài cắm mã độc (Backdoor) vào bản cài đặt phần mềm SCADA hoặc bản cập nhật firmware chính thống. Khi bạn tải về và cài đặt theo quy trình quản lý bản vá (Patch Management), bạn đang tự tay rước kẻ địch vào nhà.

Thỏa hiệp qua đơn vị tích hợp hệ thống (System Integrators – SI)

Các đơn vị SI là những người trực tiếp thiết kế, lập trình và cấu hình hệ thống PLC/SCADA cho nhà máy của bạn. Kỹ sư của họ thường sở hữu các tài khoản có đặc quyền cao nhất và thường kết nối vào mạng OT bằng laptop cá nhân.

• Nếu máy tính của kỹ sư SI bị nhiễm mã độc từ trước, hoặc tài khoản truy cập từ xa (Remote Access) của họ bị lộ lọt, tin tặc sẽ dễ dàng đi thẳng vào hệ thống điều khiển mà không gặp bất kỳ trở ngại nào.

Cấy mã độc vào phần cứng (Hardware Tampering)

Đây là hình thức tấn công tinh vi nhất ở cấp độ quốc gia. Tin tặc can thiệp vào quá trình sản xuất hoặc vận chuyển phần cứng (như chip xử lý, bo mạch PLC, router công nghiệp) để cấy thêm các vi mạch siêu nhỏ độc hại. Các linh kiện này hoạt động hoàn toàn bình thường khi kiểm thử, nhưng chứa sẵn cơ chế kích hoạt từ xa để phá hoại hoặc nghe lén khi được đưa vào vận hành thực tế dưới nhà máy.

2. Những Bài Học Lịch Sử Đắt Giá

• Chiến dịch Havex/Dragonfly (2014): Nhóm tin tặc đã tấn công và làm thay đổi các bộ cài đặt phần mềm (installers) chính thống trên trang web của nhiều nhà sản xuất thiết bị ICS nhỏ. Các doanh nghiệp năng lượng khi tải các phần mềm này về để cấu hình thiết bị đã vô tình lây nhiễm mã độc Havex vào mạng lưới vận hành của mình, giúp tin tặc thu thập toàn bộ sơ đồ mạng SCADA nhạy cảm.
• Vụ rò rỉ SolarWinds (2020): Mặc dù đây là một cuộc tấn công IT, sức ảnh hưởng của nó lan rộng đến cả các hệ thống OT. Việc bản cập nhật chính thống của phần mềm giám sát SolarWinds Orion bị cài cắm mã độc đã cho phép tin tặc xâm nhập vào hàng nghìn cơ quan chính phủ và hạ tầng trọng yếu trên toàn thế giới mà không hề kích hoạt bất kỳ cảnh báo bảo mật nào.

3. Chiến Lược Xây Dựng “Chống Độc Hại” Cho Chuỗi Cung Ứng OT

Bảo vệ chuỗi cung ứng không phải là việc ngừng hợp tác với các đối tác, mà là việc thiết lập quy trình kiểm soát nghiêm ngặt và không tin tưởng mặc định (Zero Trust) đối với bất kỳ nguồn dữ liệu hay thiết bị nào đi vào nhà máy.

Bước 1: Yêu cầu và xác thực chứng thực số (Digital Signatures & Hashing)

Trước khi cài đặt bất kỳ phần mềm, bản vá hay firmware nào lên các máy trạm kỹ thuật (Engineering Station), hãy luôn thực hiện:

• Kiểm tra chứng thư số (Digital Signature) của nhà sản xuất để đảm bảo phần mềm không bị thay đổi trên đường truyền.
• Đối chiếu mã băm (MD5/SHA-256) của file tải về với mã băm do nhà sản xuất công bố chính thức trên kênh an toàn.

Bước 2: Thúc đẩy sử dụng SBOM (Software Bill of Materials)

SBOM giống như “bảng thành phần dinh dưỡng” trên vỏ hộp thực phẩm, nhưng dành cho phần mềm. Nó liệt kê chi tiết toàn bộ các thư viện mã nguồn mở, các thành phần bên thứ ba cấu thành nên phần mềm SCADA/HMI của bạn. Việc yêu cầu nhà cung cấp cung cấp SBOM giúp bạn nhanh chóng định vị xem hệ thống của mình có đang sử dụng các thư viện đang dính lỗ hổng bảo mật nghiêm trọng hay không để kịp thời ứng phó.

Bước 3: Siết chặt quy trình quản lý nhà thầu và thiết bị di động (TCA)

• Cấm tuyệt đối việc nhà thầu cắm trực tiếp máy tính cá nhân vào switch mạng OT mà chưa qua kiểm tra tuân thủ an toàn thông tin.
• Áp dụng chính sách kiểm soát USB nghiêm ngặt bằng trạm quét độc lập trước khi sao chép dữ liệu vào máy trạm. (Xem chi tiết tại: Bảo mật USB và thiết bị di động TCA trong nhà máy).
• Mọi kết nối của nhà thầu phải được giới hạn quyền tối thiểu và được giám sát, ghi hình phiên làm việc thời gian thực.

Bước 4: Tận dụng tối đa giải pháp Giám sát thụ động

Do tấn công chuỗi cung ứng thường sử dụng các kênh chính thống, các hệ thống phòng thủ dựa trên chữ ký (Signature-based) sẽ hoàn toàn bị “qua mặt”.

Lúc này, giám sát thụ động (Passive Monitoring) là chốt chặn cuối cùng khả thi nhất. Bằng cách thiết lập “Bản đồ hành vi chuẩn” (Baseline), giám sát thụ động sẽ lập tức phát hiện và cảnh báo nếu một thiết bị PLC vốn hoạt động ổn định bỗng nhiên phát ra các yêu cầu kết nối lạ ra bên ngoài, hoặc một máy trạm SCADA đột ngột quét mạng nội bộ ngoài khung giờ vận hành.

Lời Kết

An ninh chuỗi cung ứng OT là một bài toán hóc búa đòi hỏi sự chuyển dịch từ tư duy phòng thủ biên giới sang tư duy Zero Trust (Không tin tưởng ai, luôn luôn xác thực). Chỉ khi bạn kiểm soát chặt chẽ từng thiết bị, từng dòng code và từng phiên kết nối của đối tác đi vào nhà máy, hệ thống sản xuất của bạn mới thực sự được bảo vệ an toàn trước những hiểm họa ẩn mình tinh vi nhất.

Làm Chủ Kỹ Năng Phòng Thủ Chuỗi Cung Ứng Và Bảo Mật Mạng Công Nghiệp Thực Chiến

Bạn muốn nâng tầm chuyên môn để biết cách đánh giá rủi ro nhà cung cấp, kiểm thử an toàn phần mềm hệ thống điều khiển, và xây dựng mô hình phòng thủ chiều sâu vững chắc cho nhà máy?

Hãy tham gia ngay các khóa đào tạo chuyên sâu chuẩn quốc tế từ EC-Council:

• 🛡️ EC-Council ICS/SCADA Cyber Security – Chương trình đào tạo chuyên sâu giúp bạn làm chủ tư duy thiết kế, vận hành, kiểm soát rủi ro chuỗi cung ứng và phòng thủ an toàn cho hệ thống điều khiển công nghiệp ICS/SCADA.
• 🌐 EC-Council IoT Security Essential – Làm chủ các kỹ năng bảo mật thiết bị kết nối thông minh, thiết bị đầu cuối và hạ tầng IIoT biên.

Liên hệ tư vấn chi tiết và đăng ký khóa học:

• 📞 Hotline/Zalo: 0948432780 (Liên hệ ngay để nhận lộ trình học cá nhân hóa và các chương trình ưu đãi học phí mới nhất từ chúng tôi).

Bạn thấy bài viết số 14 này thế nào? Chúng ta có thể tiếp tục tiến hành viết Bài viết số 15 – bài viết cuối cùng trong lộ trình: Hướng dẫn xây dựng trung tâm giám sát an ninh mạng OT (SOC OT).