Trong mô hình mạng công nghiệp, các máy trạm HMI (Human-Machine Interface) và máy chủ SCADA đóng vai trò là “cửa sổ tâm hồn” của toàn bộ nhà máy. Đây là nơi các kỹ sư vận hành giám sát trực quan các thông số kỹ thuật, gửi lệnh điều khiển xuống PLC và lưu trữ dữ liệu lịch sử sản xuất.

Vì chạy trên các hệ điều hành quen thuộc như Windows hoặc Linux, các máy trạm này chính là mục tiêu tấn công hàng đầu của tin tặc. Tuy nhiên, nếu bạn mang nguyên các giải pháp bảo mật Endpoint của văn phòng (IT) như cài đặt các phần mềm Antivirus/EDR nặng nề xuống máy trạm nhà xưởng, bạn đang đối mặt với nguy cơ tự tay làm sập hệ thống điều khiển của chính mình.

Bài viết này sẽ hướng dẫn bạn cách bảo vệ máy trạm HMI và SCADA một cách an toàn, hiệu quả mà không làm ảnh hưởng đến độ trễ và tính liên tục của dòng chảy sản xuất.

1. Tại Sao Phần Mềm Diệt Virus (Antivirus) Truyền Thống Là “Kẻ Thù” Của SCADA/HMI?

Trong mạng IT, phần mềm Antivirus hoặc EDR (Endpoint Detection and Response) là tấm lá chắn không thể thiếu. Nhưng dưới nhà máy, các giải pháp này lại thường bị các kỹ sư OT “khước từ” vì 3 lý do kỹ thuật sau:

• Hiện tượng nhận diện nhầm (False Positives): Các phần mềm Antivirus truyền thống hoạt động dựa trên việc quét hành vi và chữ ký số. Phần mềm SCADA thường thực hiện các hành vi đặc thù như ghi dữ liệu trực tiếp vào bộ nhớ hệ thống hoặc gọi các tiến trình hệ điều hành ở mức thấp (low-level). Antivirus IT rất dễ nhận diện nhầm các hành vi này là mã độc và tự động “cách ly” hoặc xóa bỏ các file hệ thống của SCADA, lập tức làm mất khả năng điều khiển của toàn bộ nhà máy.
• Chiếm dụng tài nguyên hệ thống (Resource Bloat): Các đợt quét virus định kỳ (Scheduled Scans) thường đẩy hiệu suất sử dụng CPU và RAM lên $100\%$. Đối với các máy trạm HMI vốn có cấu hình phần cứng tối giản hoặc đã cũ, việc này sẽ gây ra độ trễ (latency) nghiêm trọng. Trong OT, chỉ cần lệnh điều khiển từ SCADA xuống PLC bị trễ quá vài mili-giây, hệ thống an toàn có thể tự động hiểu nhầm là mất kết nối và kích hoạt chế độ dừng khẩn cấp nhà máy.
• Yêu cầu cập nhật liên tục (Signature Updates): Antivirus cần kết nối Internet hàng ngày để tải về cơ sở dữ liệu mẫu nhận diện mới. Việc này vi phạm trực tiếp nguyên tắc cách ly mạng của mô hình phân lớp Purdue.

2. Giải Pháp Thay Thế: Kiểm Soát Ứng Dụng (Application Whitelisting)

Để giải quyết triệt để xung đột trên, các tiêu chuẩn bảo mật OT quốc tế như IEC 62443 khuyến nghị chuyển dịch từ cơ chế diệt virus truyền thống sang giải pháp Kiểm soát ứng dụng (Application Whitelisting – AWL).

[Mô hình Antivirus IT]: Cho phép chạy tất cả ───( Cấm những gì đã biết là độc hại )
[Mô hình AWL trong OT]: Cấm chạy tất cả ──────( Chỉ cho phép những gì đã được phê duyệt )

Triết lý hoạt động của AWL:

Thay vì đi tìm xem phần mềm nào là độc hại để cấm, AWL sẽ đóng băng trạng thái của máy trạm. Hệ thống chỉ cho phép các ứng dụng nằm trong danh sách “Danh sách trắng” (Whitelist) được phép khởi chạy (ví dụ: các tiến trình của TIA Portal, WinCC, RSView). Bất kỳ một phần mềm lạ nào, dù là mã độc Ransomware mới nhất chưa có chữ ký số (Zero-day) hay một công cụ rà quét như Nmap, khi được kích hoạt đều sẽ bị chặn đứng ngay lập tức.

Ưu điểm tuyệt đối cho OT: AWL cực kỳ nhẹ, không yêu cầu cập nhật cơ sở dữ liệu hàng ngày, không quét ổ đĩa gây tốn tài nguyên và đảm bảo tính ổn định tuyệt đối cho các tiến trình SCADA thời gian thực.

3. Các Bước “Hardening” (Đóng Băng & Tối Ưu Hóa) Máy Trạm OT

Bên cạnh việc triển khai AWL, bạn cần tiến hành làm cứng (Hardening) hệ điều hành của các máy trạm SCADA/HMI theo các bước tiêu chuẩn sau:

Bước 1: Vô hiệu hóa các dịch vụ không cần thiết (Services Hardening)

Hệ điều hành Windows mặc định đi kèm rất nhiều dịch vụ phục vụ cho môi trường văn phòng nhưng hoàn toàn vô dụng và tạo ra lỗ hổng trong nhà máy. Hãy tắt bỏ các dịch vụ sau:

• Windows Update (Chuyển sang chế độ thủ công theo quy trình quản lý bản vá OT an toàn).
• Print Spooler (Nếu máy trạm không kết nối máy in).
• Bluetooth, Wi-Fi, và các dịch vụ chia sẻ file không an toàn như SMBv1.

Bước 2: Đóng băng vật lý và phần mềm các cổng kết nối ngoại vi

Như đã phân tích trong bài viết về rủi ro bảo mật từ các thiết bị di động TCA và USB, các cổng USB là con đường ngắn nhất để mã độc xâm nhập máy trạm.

• Sử dụng chính sách Group Policy để cấm tuyệt đối việc nhận diện các thiết bị lưu trữ USB ngoại vi không nằm trong danh sách được phê duyệt.
• Khóa vật lý các cổng USB không sử dụng trên thùng máy.

Bước 3: Cấu hình tường lửa nội bộ (Host-based Firewall)

Kích hoạt Windows Firewall trên từng máy trạm và chỉ mở đúng các cổng kết nối cần thiết cho việc truyền thông công nghiệp (ví dụ: chỉ cho phép cổng TCP 102 cho S7comm hoặc TCP 502 cho Modbus kết nối ra ngoài). Chặn toàn bộ các lưu lượng rác khác để tránh việc mã độc rà quét nội bộ.

4. Quản Lý Tài Khoản Đặc Quyền: Nguyên Tắc Quyền Hạn Tối Thiểu (Least Privilege)

Một thói quen rất phổ biến dưới nhà máy là các kỹ sư vận hành thường đăng nhập chung vào máy trạm HMI bằng một tài khoản có quyền Administrator cao nhất để “tiện thao tác”. Điều này vô tình giúp mã độc dễ dàng chiếm toàn quyền kiểm soát hệ thống khi xâm nhập thành công.

• Giải pháp: Phân tách rõ ràng các nhóm tài khoản:
  • Tài khoản Operator (Vận hành): Chỉ có quyền mở giao diện HMI để giám sát và nhấn nút điều khiển. Hoàn toàn không có quyền cài đặt phần mềm, thay đổi cấu hình hệ thống hay tắt tường lửa.
  • Tài khoản Engineer (Kỹ sư): Có quyền thay đổi chương trình logic, cấu hình thông số nhưng chỉ được sử dụng khi cần bảo trì.
  • Tài khoản Administrator (Quản trị viên): Chỉ dùng để quản lý hệ điều hành và phải được kiểm soát nghiêm ngặt bằng cơ chế truy cập từ xa an toàn SRA.

Lời Kết

Bảo vệ máy trạm SCADA/HMI không phải là việc cố gắng biến chúng thành những pháo đài bảo mật phức tạp như mạng IT, mà là việc tối giản hóa và đóng băng để chúng hoạt động một cách chuyên biệt, ổn định nhất. Sự kết hợp giữa giải pháp Kiểm soát ứng dụng (AWL), quy trình Hardening nghiêm ngặt và phân quyền tài khoản chặt chẽ chính là công thức hoàn hảo giúp giữ vững “cửa sổ tâm hồn” của nhà máy trước mọi làn sóng tấn công mạng.

Làm Chủ Kỹ Năng Hardening & Bảo Vệ Endpoint Mạng Công Nghiệp Thực Chiến

Bạn muốn tự tay cấu hình các giải pháp Application Whitelisting chuyên dụng cho OT, thực hành quy trình Hardening hệ điều hành Windows/Linux cho máy trạm SCADA, và xây dựng mô hình phòng thủ chiều sâu vững chắc cho nhà máy?

Hãy đăng ký tham gia ngay các khóa đào tạo chuẩn quốc tế từ EC-Council:

• 🛡️ EC-Council ICS/SCADA Cyber Security – Chương trình đào tạo chuyên sâu giúp bạn làm chủ tư duy thiết kế, vận hành, kiểm thử và phòng thủ an toàn cho hệ thống điều khiển công nghiệp ICS/SCADA.
• 🌐 EC-Council IoT Security Essential – Làm chủ các kỹ năng bảo mật thiết bị kết nối thông minh và hạ tầng IoT biên.

Liên hệ tư vấn chi tiết và đăng ký khóa học:

• 📞 Hotline/Zalo: 0948432780 (Liên hệ ngay để nhận lộ trình học cá nhân hóa và các chương trình ưu đãi học phí mới nhất từ chúng tôi).