Nếu một kẻ tấn công xâm nhập thành công vào mạng văn phòng (IT) của bạn, liệu hắn có thể đi thẳng xuống điều khiển các tay máy robot hay thay đổi thông số của lò hơi dưới xưởng sản xuất không?

Nếu câu trả lời là “Có”, hệ thống của bạn đang gặp một lỗi kiến trúc cực kỳ nghiêm trọng: Mạng phẳng (Flat Network).

Trong an ninh mạng OT, một mạng lưới không được phân vùng giống như một con tàu thủy không có các khoang chống tràn – chỉ cần một vết rò rỉ nhỏ ở khoang chứa hàng cũng đủ để nhấn chìm toàn bộ con tàu. Để bảo vệ hạ tầng sản xuất trước các mối đe dọa leo thang đặc quyền, việc áp dụng Mô hình Purdue kết hợp với hệ thống Tường lửa công nghiệp (Industrial Firewall) là giải pháp phòng thủ bắt buộc.

1. Mô Hình Purdue: Bản Thiết Kế Phân Vùng Mạng Công Nghiệp Chuẩn Quốc Tế

Mô hình tham chiếu Purdue (Purdue Model) là xương sống của tiêu chuẩn an toàn hệ thống điều khiển công nghiệp IEC 62443. Mô hình này chia hệ thống mạng của doanh nghiệp thành các phân lớp (Levels) rõ ràng từ thấp lên cao dựa trên chức năng vận hành:

[Mạng Doanh Nghiệp] ────> Level 4 & 5: Email, ERP, Internet
───────────────────────────────────────────────────────────────
      ▲  Ranh giới Tường lửa Enterprise
      ▼
[Mạng Giám Sát OT]  ────> Level 3: SCADA Servers, Máy trạm kỹ thuật (Historian)
───────────────────────────────────────────────────────────────
      ▲  Ranh giới Tường lửa Công nghiệp (Industrial Firewall)
      ▼
[Mạng Điều Khiển]   ────> Level 2: HMI trực quan, Máy trạm vận hành
───────────────────────────────────────────────────────────────
[Mạng Thiết Bị]     ────> Level 1: PLC, RTU, Bộ điều khiển truyền động
───────────────────────────────────────────────────────────────
[Mạng Vật Lý]       ────> Level 0: Cảm biến, Động cơ, Van chấp hành

Tại sao sự phân cấp này lại bảo vệ nhà máy?

Nguyên tắc cốt lõi của Purdue là “Thiết lập các ranh giới kiểm soát” (Conduits). Các thiết bị ở lớp dưới chỉ được phép giao tiếp với các thiết bị ở lớp ngay sát trên hoặc dưới nó thông qua các cổng kiểm soát được định nghĩa nghiêm ngặt. Tuyệt đối không cho phép một kết nối trực tiếp đi tắt từ Level 4/5 (Mạng văn phòng) xuống thẳng Level 1/0 (PLC/Cảm biến).

2. Thiết Lập Vùng Đệm An Toàn: Industrial DMZ (IDMZ)

Để giải quyết nhu cầu trao đổi dữ liệu an toàn giữa mạng IT (ERP, phần mềm quản lý sản xuất) và mạng OT (SCADA, cơ sở dữ liệu Historian), chúng ta phải thiết lập một vùng đệm gọi là Industrial DMZ (IDMZ) nằm giữa Level 3 và Level 4.

Nguyên tắc hoạt động của IDMZ:

• Không có kết nối trực tiếp: Mọi luồng dữ liệu từ IT xuống OT hoặc ngược lại đều phải dừng lại và “gửi nhờ” tại các máy chủ trung gian trong vùng IDMZ.
• Ví dụ thực tế: Máy chủ dữ liệu Historian ở vùng OT (Level 3) sẽ đẩy dữ liệu sản xuất lên một máy chủ bản sao (Historian Replica) đặt tại IDMZ. Nhân viên văn phòng ở Level 4 muốn xem báo cáo sản lượng sẽ truy cập vào máy chủ tại IDMZ này, thay vì chọc thẳng xuống cơ sở dữ liệu gốc dưới nhà máy.

3. Cấu Hình Tường Lửa Công Nghiệp (Industrial Firewall Rules)

Tường lửa công nghiệp không chỉ hoạt động ở tầng Network (IP/Port) như tường lửa IT thông thường, mà nó còn phải có khả năng hiểu sâu (Deep Packet Inspection) các giao thức công nghiệp để chặn đứng các cuộc tấn công khai thác lỗ hổng bảo mật của các giao thức công nghiệp phổ biến như Modbus hay S7comm.

Dưới đây là các chính sách cấu hình Firewall (Firewall Rules) cơ bản nhưng cực kỳ quan trọng bạn cần triển khai ngay:

Rule 1: Chặn đứng kết nối trực tiếp từ IT xuống PLC (Level 4/5 -> Level 1)

• Nguồn (Source): Bất kỳ IP nào thuộc dải mạng văn phòng (Level 4/5).
• Đích (Destination): Dải IP của các PLC/RTU (Level 1).
• Hành động (Action): DENY (Cấm tuyệt đối).

Rule 2: Chỉ cho phép máy trạm vận hành kết nối tới PLC qua cổng dịch vụ chỉ định (Level 2 -> Level 1)

• Nguồn (Source): IP của HMI hoặc Máy trạm SCADA hợp lệ (Level 2).
• Đích (Destination): IP của PLC Siemens.
• Cổng/Giao thức (Port/Protocol): TCP Port 102 (S7comm).
• Hành động (Action): ALLOW (Cho phép).

Rule 3: Bảo vệ lệnh ghi xuống PLC (Deep Packet Inspection)

Nếu tường lửa của bạn hỗ trợ tính năng DPI (như Palo Alto, Fortinet Rugged hoặc Cisco ASA), hãy cấu hình:

• Cho phép HMI gửi lệnh đọc dữ liệu (Read-only) từ PLC.
• Chỉ cho phép các máy tính của Kỹ sư trưởng (Engineering Station) gửi lệnh ghi/nạp chương trình (Write/Upload/Download) xuống PLC vào các khung giờ bảo trì được phê duyệt.

4. Tích Hợp Giám Sát Thụ Động Vào Kiến Trúc Purdue

Tường lửa là chốt chặn chủ động, nhưng để có cái nhìn toàn cảnh và phát hiện các hành vi bất thường lọt qua tường lửa, bạn cần tích hợp thêm hệ thống giám sát.

Nhờ cấu trúc phân lớp rõ ràng của Purdue, bạn sẽ biết chính xác nơi đặt các cổng gương dữ liệu (SPAN Port) hoặc thiết bị trích xuất phần cứng (TAP) một cách tối ưu nhất:

• Đặt TAP tại ranh giới IDMZ (Giữa Level 3 & Level 4): Giúp phát hiện sớm các nỗ lực rò quét, dò mật khẩu (Brute-force) hoặc mã độc Ransomware tìm đường leo thang từ mạng văn phòng xuống nhà máy.
• Đặt TAP tại các Switch trung tâm Level 2: Nơi tập trung toàn bộ lưu lượng điều khiển thời gian thực.

Bạn có thể xem lại hướng dẫn chi tiết cách cấu hình và lựa chọn phần cứng TAP/SPAN tại bài viết: Hướng dẫn thiết lập giám sát thụ động (Passive Monitoring) an toàn cho mạng OT.

Lời Kết

Việc phân vùng mạng theo mô hình Purdue không phải là một công việc “làm một lần là xong”, nó đòi hỏi sự rà soát liên tục và thấu hiểu sâu sắc các luồng dữ liệu thực tế đang chạy dưới nhà máy. Một kiến trúc mạng an toàn chính là tấm khiên vững chắc nhất bảo vệ doanh nghiệp trước các kịch bản tấn công tàn khốc vào hạ tầng trọng yếu.

Bạn Đã Sẵn Sàng Thiết Kế Hệ Thống Phòng Thủ Chuẩn Quốc Tế Cho Nhà Máy?

Lý thuyết phân vùng mạng và cấu hình Firewall OT sẽ trở nên trực quan và dễ dàng hơn rất nhiều khi bạn được thực hành trực tiếp trên các mô hình giả lập mạng ICS/SCADA thực tế.

Hãy đăng ký ngay khóa học: 👉 EC-Council ICS/SCADA Cyber Security – Khóa học cung cấp cho bạn toàn bộ tư duy thiết kế kiến trúc an toàn, thiết lập phân vùng Purdue, cấu hình Industrial Firewall và xử lý các sự cố bảo mật trong môi trường OT.

• Liên hệ tư vấn chi tiết & Đăng ký khóa học: Zalo 0948432780 (Hỗ trợ 24/7, cung cấp lộ trình học tối ưu và các chương trình ưu đãi học phí mới nhất).

BQT OT SECURITY VN