Tipik başlangıç durumu
Zaman içinde büyümüş birçok üretim işletmesinde tek bir ağ bulunur. Makine kumandaları, operatör panelleri, ölçüm istasyonları ve test tezgâhları bu ağda çalışma istasyonu bilgisayarları, ERP sunucuları, yazıcılar ve misafirlere yönelik WLAN ile eşit konumda yer alır.
Bu durum tarihsel olarak anlaşılabilirdir. Üretim adım adım ağa bağlandı, her yeni makine boş bir ağ prizinin bulunduğu yere takıldı. Her şey çalıştığı sürece bu göze çarpmaz.
Bunun neden bir sorun olduğu
Üretim teknolojisi, ofis BT'sinden farklı biçimde yaşlanır. Bir takım tezgâhı on beş veya yirmi yıl çalışır, birlikte teslim edildiği kumanda sistemi de çoğu zaman aynı süre görev yapar. Üretici desteği olmayan işletim sistemleri üretim sahalarında istisna değil, kuraldır. Yama uygulamak çoğu durumda mümkün değildir, çünkü makine üreticisi değişiklikleri onaylamaz veya garanti buna bağlıdır.
Yani bu sistemler kalıcı olarak savunmasızdır ve bu durum değiştirilemez. Değiştirilebilecek olan, bu sistemlere erişilebilirliktir.
Düz bir ağda şu geçerlidir: Bir ofis bilgisayarını etkileyen şey, makine kumandasına da ulaşır. Bir e-posta ekinden gelen fidye yazılımı yalnızca idari bölümde yayılmakla kalmaz, üretimi de durdurur. Bu durumda zarar, kaybolan dosyalardan değil, duran bantlardan, cezai şartlardan ve teslimat gecikmelerinden doğar.
Çözüm yaklaşımı
Ayrım, IEC 62443 standardının da tanımladığı bölge modelini izler. Farklı koruma ihtiyacına sahip alanlar birbirinden ayrılır, aralarındaki geçiş denetlenir.
Bölgeler arasındaki geçiş noktası olarak AIMdefense ile bu somut olarak şu anlama gelir:
- Üretim ve ofis ayrı bölgeler haline gelir. Aralarındaki iletişim yalnızca işlevsel olarak gerekli olduğu yerde gerçekleşir, örneğin MES ile ERP arasında.
- Yalnızca gerekli olana izin verilir. Her şeye izin verip tek tek engellemek yerine, hedefli biçimde izin verilir. Makine ağlarında bu uygulanabilirdir, çünkü oradaki iletişim ilişkileri sınırlı sayıda ve kararlıdır.
- İnternete giden yol tanımlanır. Makine kumandalarının buna genel olarak ihtiyacı yoktur. İhtiyaç duyulan yerlerde bu yol güvenlik duvarı üzerinden geçer ve kayıt altına alınır.
- Yayılma sınırlandırılır. Ofis ağındaki bir olay ofis ağında kalır. Üretimin içinde de alanlar daha ayrıntılı bölünebilir, örneğin üretim sahasına veya üretim hattına göre.
Burada belirleyici olan tek tek kurallar değil, kuralların devreye girdiği tanımlı bir noktanın var olmasıdır. Düz bir ağda böyle bir nokta yoktur.
Üretimi durdurmadan uygulama
Sık duyulan itiraz şudur: Kimin kiminle iletişim kurduğunu tam olarak bilmiyoruz, ağı ayırırsak üretim sahası durur.
Bu nedenle çalışma gözlemle başlar. AIMdefense önce yalnızca izleyici konumda çalıştırılır ve gerçek iletişim ilişkilerini kaydeder. Kurallar ancak bu tablo eksiksiz hale geldiğinde devreye girer, önce yalnızca kayıt tutarak, ardından engelleyerek. Asıl geçiş planlanmış bir zaman aralığında yapılır, çoğunlukla zaten mevcut olan bakım molasında veya hafta sonunda.
Asıl emniyet kemeri, kayıt tutan aşamadır. Başlangıçta engellemek yerine yalnızca bildirimde bulunan bir kural, geçişten önce daha sonra neyi engelleyeceğini gösterir. Gözden kaçan noktalar böylece işletme sürerken fark edilir, pazartesi sabahına kalmaz.
Buna paralel olarak cihaz envanteri çıkarılır ve yapılandırmalar yedeklenir, böylece ulaşılan durum geri yüklenebilir durumda kalır.
Sonrasında ne değişir
Savunmasız eski sistemler savunmasız kalır, bunu hiçbir güvenlik duvarı değiştirmez. Ancak bu sistemlere artık her çalışma istasyonundan erişilemez. Üretime yönelik en olası saldırı yolu, yani ofis BT'si üzerinden giden dolaylı yol, kapatılmıştır.
Müşterilerine, sigortacılarına veya denetçilerine kanıt sunmak zorunda olan işletmeler için buna şu eklenir: İzlenebilir kurallara sahip, belgelenmiş bir bölge yapısı denetlenebilir, düz bir ağ ise denetlenemez. Bu, bir sertifikasyonun yerini tutmaz, ancak alanların gerçekten ayrılmış olduğunun kanıtlanmasına yardımcı olur.
Bir bakışta
| Uygulama alanı | üretim, makine imalatı, imalat sanayii |
|---|---|
| Başlangıçtaki sorun | üretim ve ofis BT'si için ortak ağ |
| AIM ürünleri | AIMdefense, VAS modülü dâhil AIM |
| AIMdefense'in rolü | bölgeler arasında denetlenen geçiş |
| Yöntem | gözlem, kayıt tutan kurallar, bakım penceresinde geçiş |
| Referans çerçevesi | IEC 62443 standardına göre bölge modeli |
AIMdefense hakkında daha fazlası
Segmentasyon, kural seti ve kayıt tutmanın arkasında hangi işlevlerin bulunduğunu şu sayfada bulabilirsiniz: Özellikler.
Zaman içinde büyümüş, BT ve OT cihazlarının bir arada bulunduğu bir ortamda yapısal ayrımın uygulamada nasıl göründüğünü şu referans göstermektedir: 20'den fazla hastaneye sahip klinik grubu.