Bảo mật PLC Rockwell, Allen-Bradley: không lộ internet, khóa RUN, chặn cổng 44818, firmware và backup

Bảo mật PLC Rockwell (Allen-Bradley) trong nhà máy bắt đầu từ vài việc cơ bản: không để PLC lộ ra internet, chặn cổng EtherNet/IP ở biên vùng điều khiển, để khóa chế độ ở RUN khi máy chạy bình thường, cập nhật firmware theo security advisory của hãng, và có backup cùng cơ chế phát hiện thay đổi chương trình. Bài này tóm tắt những gì Rockwell Automation và CISA công bố, kèm cách áp dụng ở một nhà máy đang chạy.

Rủi ro nằm ở đâu

Tháng 5/2024, Rockwell phát hành thông báo SD1672: khách hàng cần kiểm tra ngay thiết bị nào hướng ra internet công cộng và gỡ kết nối đó nếu thiết bị không được thiết kế để nối thẳng internet, với lý do căng thẳng địa chính trị và hoạt động tấn công mạng gia tăng. Thông báo kèm danh sách CVE liên quan tới bộ điều khiển Logix, Logix Designer, module truyền thông 1756 và FactoryTalk.

Ví dụ rõ nhất là ICSA-21-056-03 (CVE-2021-22681, CVSS v3 10.0): kẻ tấn công không cần xác thực có thể vượt qua cơ chế Logix Designer dùng để xác minh khi kết nối tới bộ điều khiển, rồi sửa cấu hình hoặc chương trình. Danh sách bị ảnh hưởng gồm các dòng ControlLogix, CompactLogix, GuardLogix từ 1768 tới 5580. Rockwell xác định lỗ hổng này không vá được bằng bản cập nhật; biện pháp nằm ở mạng, khóa chế độ và CIP Security.

Cũng không nên phóng đại: ở nhiều advisory (ví dụ ICSA-23-193-01, ICSA-24-214-09), CISA ghi chưa ghi nhận khai thác công khai. Trong mọi trường hợp, kẻ tấn công phải vào được mạng của bộ điều khiển trước.

Các lớp bảo vệ theo tài liệu hãng

Không để PLC lộ ra internet

Bắt đầu bằng kiểm kê mọi thiết bị có IP và mọi đường ra ngoài: modem 4G của nhà cung cấp máy, router có port forwarding, máy kỹ thuật cắm hai card mạng, phần mềm điều khiển từ xa cài sẵn. Fact sheet tháng 5/2025 của CISA, FBI, EPA và DOE đặt việc gỡ kết nối OT ra internet công cộng lên đầu, kế đến là đổi mật khẩu mặc định. Nếu chưa gỡ được ngay, SD1672 yêu cầu áp dụng hướng dẫn thực hành bảo mật của Rockwell trong thời gian chờ.

Không mở EtherNet/IP ra ngoài vùng điều khiển

Advisory PN1042 khuyến cáo chặn lưu lượng tới thiết bị dùng CIP từ ngoài vùng vận hành bằng cách chặn hoặc hạn chế TCP và UDP cổng 2222 và 44818 trên firewall hoặc thiết bị bảo mật tương đương; ICSA-21-056-03 nhắc lại việc hạn chế TCP 44818 từ ngoài vùng ICS. Các cổng khác của hệ FactoryTalk và cách viết rule xem bài Firewall hệ FactoryTalk, Logix: mở đúng cổng.

Nếu MES hay báo cáo ở mạng văn phòng cần dữ liệu PLC, đừng mở 44818 xuyên firewall. SECURE-RM001J nêu rõ lưu lượng điều khiển EtherNet/IP ở lại trong Industrial Zone, không đi qua IDMZ; dữ liệu cho văn phòng đi qua máy chủ trung gian trong IDMZ, ví dụ bản sao historian.

Chia vùng: zones và conduits

SECURE-RM001J dùng kiến trúc Converged Plantwide Ethernet (CPwE), áp dụng IEC 62443 để nhóm các cấp thành vùng: Cell/Area Zone (Level 0–2) cho bộ điều khiển, I/O, biến tần; Industrial Zone (Level 3) cho SCADA, máy kỹ thuật; vùng đệm IDMZ; và Enterprise Zone (Level 4–5).

Ở mức thực hành: mỗi line một VLAN/subnet; rule firewall theo từng luồng giữa các vùng; IDMZ là đường duy nhất ra văn phòng; AD, DNS, NTP có bản riêng trong Industrial Zone; và cắt được truy cập ngay trên firewall. Cấp an ninh (SL) theo IEC 62443 cần đánh giá rủi ro cho từng hệ.

Truy cập từ xa có kiểm soát

CISA và Rockwell cho phép truy cập từ xa với điều kiện: VPN được cập nhật, xác thực đa yếu tố, phân quyền theo vai trò, tắt tài khoản không dùng. Với Stratix 4300 và FactoryTalk Remote Access, SECURE-RM001J mô tả việc đăng ký thiết bị trước, chỉ kết nối chiều ra, xác thực hai lớp và điều khiển vật lý để nhà máy bật/tắt truy cập. CISA lưu ý VPN chỉ an toàn bằng các thiết bị nối vào nó (ICSA-24-214-09). Quy tắc đơn giản: truy cập từ xa mặc định tắt, chỉ bật khi có phiếu công việc.

Khóa chế độ: RUN, REM, PROG

Theo user manual ControlLogix 5580 (1756-UM543), khóa ở mặt trước bộ điều khiển đặt chế độ hoạt động:

• RUN: không cho sửa online, download chương trình hay cập nhật firmware.
• REM: cho phép đổi chế độ (Remote Run, Remote Program, Remote Test) và sửa online từ Logix Designer.
• PROG: chế độ Program để làm việc tại chỗ; bộ điều khiển không chạy chương trình.

Rockwell khuyến nghị để RUN và rút chìa khi vận hành bình thường, chỉ chuyển REM hoặc PROG khi chạy thử, bảo trì hay sửa chương trình. ICSA-21-056-03 và ICSA-24-214-09 đều nêu vị trí RUN là biện pháp giảm nhẹ khi chưa thể cập nhật.

Hai lưu ý. Khóa để ở REM thì ai vào được mạng và có Logix Designer có thể sửa được chương trình; ICSA-21-056-03 liệt kê cả FactoryTalk Security trong danh sách bị ảnh hưởng, nên riêng nó không chặn được rủi ro này. Và khóa chỉ quản lý sửa chương trình, download, firmware; để giới hạn việc ghi tag từ thiết bị khác, SECURE-RM001J hướng tới thuộc tính External Access (đặt None làm mặc định, chỉ mở mức tối thiểu) và Constant. Dòng bộ điều khiển khác có công tắc chế độ khác — xem user manual của dòng đang dùng.

CIP Security

CIP Security dựa trên chuẩn của ODVA, cho phép thiết bị EtherNet/IP xác thực nhau, bảo đảm toàn vẹn và mã hóa dữ liệu. Chính sách cấu hình bằng FactoryTalk Policy Manager, máy trạm kết nối qua FactoryTalk Linx; RSLinx Classic không dùng được. Trợ giúp FactoryTalk Linx nêu firmware tối thiểu, ví dụ ControlLogix 5580 từ 32.011, CompactLogix 5380 từ 34.011; 1756-EN4TR và proxy 1783-CSP hỗ trợ ở mọi bản. Với ICSA-21-056-03, Rockwell ghi rõ CIP Security giảm nhẹ được lỗ hổng.

Với ControlLogix 5570 firmware v31 trở lên, advisory này nêu phương án thêm 1756-EN4TR có CIP Security. Hệ cũ hơn có thể phải thay đổi phần cứng; nên gộp vào kế hoạch nâng cấp hệ Rockwell thay vì làm riêng.

Firmware theo security advisory

Trust Center của Rockwell lọc advisory theo sản phẩm, mức nghiêm trọng, trạng thái KEV của CISA, và có đăng ký nhận email. Hai ví dụ:

• ICSA-23-193-01 / PN1633: module 1756-EN2T, EN2TR, EN3TR, EN4TR cần lên firmware cụ thể (11.004 cho các đời mới như EN2T Series D, EN2TR Series C, EN3TR Series B; 5.002 cho EN4TR; 5.029 bản ký số cho đời cũ). Lên firmware ký số rồi thì không quay về bản không ký được.
• ICSA-24-214-09: lỗ hổng vượt tính năng Trusted Slot của ControlLogix 5580; bản sửa là V32.016, V33.015, V34.014, V35.011 hoặc mới hơn; một số card EN2T đời cũ không có bản sửa, phải lên Series D.

SECURE-RM001J yêu cầu chỉ tải firmware từ cổng tải chính thức của Rockwell, kiểm tra chữ ký số, cập nhật bằng ControlFLASH hoặc ControlFLASH Plus. Cập nhật firmware bộ điều khiển là dừng máy: cần thử trước và có backup. Danh sách thiết bị kèm firmware cũng là đầu vào cho đánh giá vòng đời thiết bị.

Backup và phát hiện thay đổi

Khi lỗ hổng không vá được, Rockwell đề nghị theo dõi thay đổi bằng Controller Log (từ v17), Change Detection trong Logix Designer (từ v20) hoặc FactoryTalk AssetCentre (ICSA-21-056-03). SECURE-RM001J chương 6 bổ sung: AssetCentre lưu phiên bản, backup theo lịch và so sánh; component change detection (Logix Designer v30 trở lên) cho nhóm tag, module, routine được theo dõi; và sự kiện bảo mật gửi qua syslog. Cách triển khai xem bài FactoryTalk AssetCentre: backup tự động. Fact sheet của CISA còn yêu cầu thử định kỳ bản backup và khả năng vận hành tay.

Thứ tự làm ở nhà máy đang chạy

Bắt đầu từ các lớp chi phí thấp: kiểm kê và gỡ đường ra internet, firewall, khóa về RUN, backup theo lịch. Cập nhật firmware xếp vào đợt dừng máy có kế hoạch; CIP Security và chia vùng chi tiết đưa vào kế hoạch nâng cấp.

Thiết kế mạng và bảo mật OT: mạng công nghiệp và bảo mật OT. Cần kỹ sư kiểm tra tại nhà máy: gửi yêu cầu hỗ trợ.