Firewall cho hệ FactoryTalk và Logix: mở đúng cổng, không mở "any"

Vì sao hay thành "any-any"

Hệ FactoryTalk dùng nhiều dịch vụ Windows nói chuyện với nhau: FactoryTalk Directory, Linx, Alarms and Events, Activation, cộng thêm DCOM với dải cổng động. Khi dựng hệ mà không có danh sách luồng, cách nhanh nhất để "chạy được" là mở hết — và rule đó ở lại nhiều năm. Rockwell viết riêng bộ tài liệu Configuring Firewalls for… để khách hàng làm đúng việc ngược lại: phân tích rủi ro và mở ít cổng nhất có thể qua firewall (FTSP-RM001A tr. 5).

Chia vùng trước, viết rule sau

Hướng dẫn thiết kế an ninh của Rockwell (SECURE-RM001J) chia nhà máy theo mô hình Converged Plantwide Ethernet, áp dụng ISA/IEC 62443 (tr. 16, tr. 21–22):

• Cell/Area Zone (Level 0–2): controller, I/O, biến tần, HMI tại chỗ; nằm bên trong Industrial Zone.
• Industrial Zone (Level 0–3): gồm các Cell/Area Zone ở trên và Site Operations (Level 3) — nơi đặt SCADA server, historian, máy kỹ thuật, FactoryTalk Directory, Active Directory.
• IDMZ: vùng đệm giữa mạng điều khiển và mạng văn phòng.
• Enterprise Zone (Level 4–5): mạng văn phòng, ERP.

Các nguyên tắc cho IDMZ (tr. 25–26): mọi luồng dừng lại trong IDMZ, không luồng nào đi xuyên qua; IDMZ là đường duy nhất giữa hai phía; lưu lượng EtherNet/IP điều khiển ở lại trong Industrial Zone; dữ liệu đi qua bản sao ứng dụng (mirror) đặt trong IDMZ; phải có cách cắt nhanh kết nối vào Industrial Zone; AD, DNS, DHCP, NTP được dựng riêng trong Industrial Zone. Ví dụ ACL của Rockwell kết thúc bằng "Deny All Other Traffic" — chặn mọi luồng còn lại (tr. 23).

Từ đó, câu hỏi đúng không phải "mở cổng nào cho FactoryTalk" mà là "luồng nào thật sự phải đi qua firewall này" — thường chỉ còn vài luồng giữa Level 3 và IDMZ.

Những cổng hay gặp

Trích từ FTSP-RM001A (FactoryTalk Services Platform 6.40) và FTAC-RM001B (FactoryTalk AssetCentre 15.00):

Ba lưu ý khi dùng bảng này:

1. Cổng động không tránh được. DCOM và dải 49152–65535 vẫn cần giữa các máy FactoryTalk; trong thử nghiệm của Rockwell có 51 cổng động được dùng thật (FTSP tr. 27). Thu hẹp dải quá mức gây timeout (tr. 27) — vì vậy đặt các máy FactoryTalk nói chuyện nhiều với nhau cùng một vùng, thay vì cố đục firewall giữa chúng.
2. Danh sách thay đổi theo phiên bản. Ví dụ 3061 chỉ có từ 6.40, cổng chẩn đoán 7147 từ 6.21 (FTSP tr. 19, tr. 23). Luôn lấy tài liệu đúng phiên bản đang cài; danh sách tổng của Rockwell là technote TCP/UDP Ports Used by Rockwell Automation Products (Knowledgebase 898270), được SECURE-RM001J dẫn tới (tr. 28).
3. Hai tài liệu có chỗ chưa thống nhất — ví dụ FTAC-RM001B khuyến nghị tắt IPv6 vì sản phẩm chỉ hỗ trợ IPv4 (tr. 5), trong khi FTSP-RM001A vẫn liệt kê các cổng TCPv6 (tr. 24–25); cổng 2221 của RSLinx ghi TCP ở tài liệu này, UDP ở tài liệu kia. Khi có mâu thuẫn, nên thử trên hệ thật và ghi lại kết quả vào hồ sơ bàn giao.

Máy trạm và switch

SECURE-RM001J khuyến nghị gỡ ứng dụng, dịch vụ và cổng không dùng trên máy trạm, quản lý máy qua domain, cài và cập nhật phần mềm bảo vệ endpoint (tr. 41); với các phiên bản sản phẩm ở trạng thái Preferred/Managed, Rockwell thông báo khi bản vá bảo mật ảnh hưởng tới sản phẩm (tr. 40). Với switch Stratix: khóa cổng theo MAC, ACL lớp 3, tách VLAN, quản trị qua SSH/HTTPS/SNMPv3 (tr. 29). Khi cần switch Layer 3 còn đang bán, có thể chọn Stratix 5800 bản firmware Layer 3 (1783-MMS10R, 1783-MMS10AR, 1783-MMS10ER, 1783-MMS10EAR) — có ACL, NAT, định tuyến tĩnh và định tuyến động OSPF/EIGRP/IS-IS — nhưng Rockwell lưu ý NAT không thay thế firewall (1783-UM012N tr. 15–16, tr. 142).

Trình tự nên làm

Liệt kê từng luồng thật sự cần (nguồn, đích, cổng, lý do) cùng vận hành và IT; viết rule theo luồng, kết thúc bằng deny-all; thử từng chức năng (trend, alarm, download chương trình, activation) sau khi áp rule; bàn giao danh sách rule kèm lý do để lần sửa sau không phải mở "any" lại. Truy cập từ xa cho hỗ trợ kỹ thuật: xem gói truy cập từ xa an toàn.