Khi nói về các mối đe dọa an ninh mạng đối với nhà máy, chúng ta thường hình dung ra những siêu tin tặc quốc tế tấn công qua Internet, vượt qua các lớp tường lửa và xâm nhập vào hệ thống SCADA. Thế nhưng, thực tế lại đơn giản và “vật lý” hơn rất nhiều: Nhiều cuộc tấn công tàn khốc nhất lịch sử (như siêu virus Stuxnet phá hủy các máy ly tâm hạt nhân) không hề bắt đầu từ Internet, mà bắt đầu từ một chiếc USB nhỏ bé được cắm vào máy tính vận hành.

Trong môi trường điều khiển công nghiệp, các thiết bị di động mang tính tạm thời như USB, ổ cứng di động, máy tính xách tay của nhà thầu bảo trì, hay thiết bị kiểm chuẩn được gọi chung là Transient Cyber Assets (TCA). Đây chính là “gót chân Achilles” – con đường ngắn nhất để mã độc vượt qua mọi lớp phòng thủ kiên cố nhất.

1. Tại Sao USB và Thiết Bị TCA Lại Cực Kỳ Nguy Hiểm Trong OT?

Nhiều nhà máy vẫn duy trì niềm tin vào giải pháp “Air-gap” (cách ly hoàn toàn mạng OT khỏi Internet) như một lá chắn vạn năng. Tuy nhiên, ranh giới Air-gap này bị phá vỡ hàng ngày một cách tự nguyện thông qua các thiết bị ngoại vi:

• Nhu cầu vận hành bắt buộc: Kỹ sư cần lấy dữ liệu log sản xuất, nạp chương trình logic (logic code) mới cho PLC, hoặc cập nhật bản vá phần mềm cho máy trạm HMI không kết nối mạng. Cách duy nhất để đưa dữ liệu này vào là sao chép qua USB.
• Thiết bị của bên thứ ba không được kiểm soát: Khi một nhà thầu hoặc kỹ sư của nhà cung cấp thiết bị gốc (OEM) đến bảo trì máy móc, họ thường mang theo máy tính xách tay cá nhân và cắm trực tiếp vào switch hoặc PLC dưới nhà máy. Máy tính này trước đó đã kết nối vào rất nhiều mạng khác nhau, hoàn toàn có thể đang mang sẵn mã độc Ransomware hoặc phần mềm gián điệp mà chính người sở hữu cũng không hề hay biết.
• Khả năng tự động thực thi (AutoRun/AutoPlay): Mặc dù các hệ điều hành hiện đại đã hạn chế tính năng này, nhiều máy trạm trong nhà máy vẫn chạy các phiên bản Windows cũ (như Windows 7, Windows XP) chưa được tắt tính năng AutoRun. Chỉ cần cắm USB vào, mã độc sẽ tự động kích hoạt và lây lan trong vài giây.

2. Các Kịch Bản Tấn Công Qua USB Điển Hình

Các cuộc tấn công thông qua thiết bị ngoại vi thường diễn ra theo 3 kịch bản phổ biến dưới đây:

Kịch bản 1: Lây nhiễm mã độc phá hoại (Malware Delivery)

Kẻ tấn công chủ đích (APT) sao chép mã độc vào một chiếc USB và cố ý “đánh rơi” nó ở bãi đậu xe của nhà máy. Một nhân viên tò mò nhặt được và cắm vào máy tính văn phòng hoặc máy trạm vận hành để tìm người trả lại. Mã độc lập tức lây nhiễm, tìm đường quét qua mạng nội bộ để định vị các PLC nhạy cảm.

Kịch bản 2: Tấn công mô phỏng bàn phím (BadUSB / Rubber Ducky)

Đây không phải là một chiếc USB lưu trữ thông thường. Phần cứng của BadUSB được thiết kế để đánh lừa máy tính rằng nó là một chiếc bàn phím USB (Keyboard). Khi cắm vào, nó sẽ tự động “gõ” các dòng lệnh với tốc độ cực nhanh để mở cổng hậu (Backdoor), tắt tường lửa cục bộ, hoặc tải mã độc về máy mà các phần mềm diệt virus truyền thống hoàn toàn không thể phát hiện (vì máy tính mặc định tin tưởng thiết bị bàn phím).

Kịch bản 3: Đánh cắp dữ liệu độc quyền (Data Exfiltration)

Nhân viên nội bộ bất mãn hoặc gián điệp công nghiệp có thể dễ dàng cắm một ổ cứng di động vào máy chủ Historian để sao chép toàn bộ công thức hóa chế độc quyền, sơ đồ vận hành hệ thống SCADA, mang ra ngoài bán cho đối thủ cạnh tranh mà không để lại bất kỳ vết tích nào trên hệ thống mạng.

3. Chiến Lược Bảo Mật Thiết Bị Ngoại Vi An Toàn Cho Nhà Máy

Để bịt kín lỗ hổng chí mạng này, doanh nghiệp cần triển khai một quy trình kiểm soát thiết bị ngoại vi nghiêm ngặt theo các bước sau:

Bước 1: Vô hiệu hóa các cổng USB không cần thiết

Sử dụng các chính sách khóa cổng (Group Policy) hoặc dùng keo dán vật lý/khóa cổng USB chuyên dụng để bịt kín tất cả các cổng USB trên các máy trạm HMI, máy tính kỹ thuật dưới xưởng sản xuất. Chỉ mở cổng cho một số máy tính được chỉ định cụ thể.

Bước 2: Thiết lập trạm quét USB chuyên dụng (USB Security Kiosk)

Đặt các trạm quét USB (Kiosk) tại phòng bảo vệ hoặc lối vào khu vực vận hành sản xuất.

• Quy trình: Mọi USB của nhân viên hay nhà thầu trước khi mang vào nhà máy bắt buộc phải cắm vào trạm quét này. Trạm quét (được cập nhật cơ sở dữ liệu mã độc liên tục) sẽ quét sâu bằng nhiều trình diệt virus khác nhau. Nếu USB sạch, nó sẽ được ký số hoặc đánh dấu là “An toàn” để các máy tính bên dưới xưởng chấp nhận kết nối.

Bước 3: Sử dụng USB bảo mật chuyên dụng (Encrypted USB)

Cấm tuyệt đối việc sử dụng USB cá nhân. Nhà máy nên cấp phát các dòng USB bảo mật có tính năng mã hóa phần cứng, yêu cầu nhập mật khẩu trực tiếp trên USB và có khả năng tự hủy dữ liệu nếu nhập sai mật khẩu quá số lần quy định.

Bước 4: Kiểm soát máy tính nhà thầu (TCA Policy)

Nhà thầu trước khi cắm máy tính vào mạng OT phải được kiểm tra tuân thủ: Có cài đặt Antivirus phiên bản mới nhất không? Có đang bị nhiễm mã độc không?

Đồng thời, khi họ kết nối vào hệ thống, toàn bộ hoạt động phải được giám sát chặt chẽ thông qua giải pháp truy cập nội bộ an toàn. Bạn có thể xem thêm hướng dẫn thiết lập tại bài viết: Hướng dẫn thiết lập truy cập từ xa an toàn (Secure Remote Access) trong hệ thống OT.

Lời Kết

USB và các thiết bị di động tạm thời (TCA) là những công cụ vô cùng tiện lợi nhưng cũng là mắt xích yếu nhất trong chuỗi an toàn thông tin của nhà máy. Một chính sách bảo mật chặt chẽ kết hợp với các giải pháp kỹ thuật kiểm soát vật lý sẽ giúp bạn khóa chặt cánh cửa ngách này, bảo vệ an toàn cho dòng chảy sản xuất liên tục.

Trang Bị Kỹ Năng Phòng Thủ Toàn Diện Cho Hệ Thống Điều Khiển Công Nghiệp

Để nắm vững các kỹ thuật kiểm soát thiết bị ngoại vi, thiết kế chính sách bảo mật vật lý, phân tích mã độc USB thực chiến và xây dựng kiến trúc an toàn cho toàn bộ nhà máy:

👉 EC-Council ICS/SCADA Cyber Security – Khóa học hàng đầu giúp bạn làm chủ tư duy phòng thủ từ lớp vật lý (Physical) cho đến lớp mạng hệ thống điều khiển công nghiệp.

Nếu bạn muốn tìm hiểu sâu hơn về cách các thiết bị biên, cổng kết nối thông minh và thiết bị đầu cuối xử lý dữ liệu an toàn:

👉 EC-Council IoT Security Essential – Khóa học chuẩn hóa giúp bảo vệ an toàn hệ sinh thái kết nối thông minh.

Liên hệ tư vấn chi tiết và đăng ký khóa học:

• 📞 Hotline/Zalo: 0948432780 (Liên hệ ngay để nhận lộ trình học cá nhân hóa và các chương trình ưu đãi học phí mới nhất).