Ha egy üzem hálózatáról van szó, előbb-utóbb elhangzik, hogy egy operátori panel „a kettes szinten” van, a historian pedig a hármason. Ezek a számok a Purdue-modellből származnak, amely funkció szerint rétegekbe rendezi egy gyár rendszereit, a fizikai folyamattól a vállalatirányításig. Az OT-biztonságban ez a közös szókincs: a tervrajzok, a szabványok és a beszállítói dokumentációk is ebben a nyelvben írják le az egyes rendszerek helyét.
A modell egy olyan gyárat feltételez, ahol az adat szintről szintre halad felfelé, és minden rendszer csak a szomszédos réteggel beszél. A mai üzemekben egy érzékelő adata egyenesen felhőplatformra mehet, a gépszállító kívülről csatlakozik a vezérlőhöz, és egy virtualizált szerveren több szint rendszere fut egymás mellett. Nézzük meg, mit ír le a modell, hogyan használja a biztonsági tervezés, és hol kell kiegészíteni.
Honnan ered a Purdue-modell
A modell a Purdue Egyetem ipari vezérléssel foglalkozó laboratóriumából indult, ahol az 1980-as évek végén és az 1990-es évek elején ipari partnerekkel közösen dolgozták ki a számítógéppel integrált gyártás (CIM) referenciamodelljét, majd a Purdue Enterprise Reference Architecture (PERA) keretrendszert. A cél annak leírása volt, milyen információs és vezérlési funkciók működnek egy gyártóvállalatban, és ezek hogyan épülnek egymásra. Hálózatbiztonsági szempont ekkor még nem szerepelt benne, a modell az integrációról szólt.
A szintek hierarchiáját később az ISA-95 szabványcsalád vette át (nemzetközi változata az IEC 62264), amely a vállalatirányítási és a gyártásirányítási rendszerek közötti adatcserét írja le. Az ISA-95 a felső két szintet időtávval is jellemzi: a 4-es szinten hónapokban, hetekben és napokban terveznek, a 3-as szinten napokban, műszakokban, órákban, percekben, akár másodpercekben. A vezérlők ciklusideje ennél nagyságrendekkel rövidebb. Ez a különbség ma is magyarázza, miért mások az elvárások egy ERP-rendszerrel és egy vezérlővel szemben.
A biztonsági alkalmazás a 2000-es években jött. Az ISA-99 bizottság munkájából született IEC 62443 referenciamodellje a Purdue-szintekre építve mutatja be az ipari hálózatok felépítését, és ugyanígy tesz a NIST SP 800-82 útmutató mai, 3. változata is. A legtöbb mai ábra ezt a biztonsági változatot mutatja. Az ipari DMZ (3.5-ös szint) az eredeti modellben nem szerepelt, a biztonsági változat tette hozzá.
A szintek a terepi eszközöktől a vállalati hálózatig
A szinteket alulról, a fizikai folyamat felől szokás számozni. Az alábbi táblázat a biztonsági ábrákon elterjedt felosztást követi.
| Szint | Funkció | Jellemző rendszerek |
|---|---|---|
| 5 | Vállalati hálózat | Központi adatközpont, internet felé néző szolgáltatások, vállalati felhőszolgáltatások |
| 4 | Telephelyi üzleti rendszerek | ERP, e-mail, irodai munkaállomások, nyomtatók, a telephely IT-rendszerei |
| 3.5 | Ipari DMZ | Köztes rendszerek az irodai és az üzemi hálózat között (a biztonsági változat kiegészítése) |
| 3 | Üzemi műveletek | Historian, MES, üzemi SCADA-szerverek, az OT saját címtár-, frissítés- és mentésszerverei |
| 2 | Területi felügyelet | HMI, SCADA-operátori állomások, riasztáskezelés, gyakran a mérnöki munkaállomás is |
| 1 | Alapszintű vezérlés | PLC, RTU, DCS-vezérlők, biztonsági (safety) vezérlők |
| 0 | Fizikai folyamat | Érzékelők, beavatkozók: távadók, szelepek, motorok, frekvenciaváltók |
A 0-s szint eszközei hagyományosan nem hálózati végpontok. Analóg áramhurkon vagy terepi buszon kapcsolódnak a vezérlőhöz, IP-címük nincs. Ma már sok terepi eszköz kap Ethernet-csatlakozást, saját webes felületet és diagnosztikai szolgáltatást, például PROFINET-en vagy a folyamatiparban terjedő Ethernet-APL-en keresztül. Ezzel a 0-s szint is a hálózati támadási felület része lesz.
Az 1-es szinten futnak a szabályozási és vezérlési ciklusok. Egy PLC vagy RTU rendszerint rövid, rögzített ciklusidővel dolgozik, és a működése nem függhet attól, hogy a felette lévő szintek elérhetők-e. A biztonsági műszerezett rendszer vezérlői funkcionálisan ide tartoznak, de a legtöbb ábra külön jelöli őket, mert a feladatuk a folyamat biztonságos leállítása.
A 2-es szinten az operátor látja és irányítja a folyamatot egy HMI-n vagy SCADA-állomáson. A mérnöki munkaállomás elhelyezése vitatott: funkciója szerint a vezérlők programozására szolgál, ezért közel áll az 1-es szinthez, a gyakorlatban viszont sokszor a 2-es vagy 3-as szinten áll, és innen ér el minden vezérlőt.
A 3-as szint az üzem egészét szolgálja ki. Itt gyűjti a historian a folyamatadatokat, itt fut a MES, és itt vannak azok az infrastruktúra-szolgáltatások, amelyek nélkül az üzemi gépek nem működnek. Ezek technológiájukban IT-rendszerek (Windows-szerverek, címtár, adatbázis), mégis az OT-hoz tartoznak.
Az IT/OT-határ helye a modellben
A modell legfontosabb választóvonala a 3-as és a 4-es szint között húzódik. Alatta a termelés rendszerei vannak, felette az üzleti rendszerek. Az ajánlott elv az, hogy a két oldal között ne legyen közvetlen kapcsolat: az adatcsere a 3.5-ös szinten, az ipari DMZ-ben álló köztes rendszereken keresztül történjen, és mindkét irányból csak ezek a rendszerek legyenek elérhetők. A DMZ felépítéséről és a jellemző adatcsere-megoldásokról az IT/OT-határról szóló cikk részletesen ír.
A 3.5-ös szám jelzi, hogy ez nem funkcionális szint: a DMZ-ben nem fut termelési funkció, csak közvetítő szolgáltatás, például egy ugródeszka-szerver a távoli munkához.
Egy rendszer helyét a határ két oldalán a leállásának következménye dönti el. Ha a kiesése perceken belül megállítja vagy veszélyezteti a termelést, a 3-as szinten vagy alatta a helye, akkor is, ha a technológiája megegyezik egy irodai szerverével. Ha a termelés nélküle is fut, és csak a jelentések vagy a tervezés késik, a 4-es szinten lehet. A határ a felelősségi kört is gyakran kijelöli: az IT-csapat a 4-es szinttől felfelé, az üzemeltetés a 3-astól lefelé felel. A DMZ e kettő között van, ezért a gazdáját külön ki kell jelölni, különben senki sem tartja karban.
Purdue-szintek és az IEC 62443 zónái
Az IEC 62443 a hálózatot zónákra és csatornákra bontja. A zóna azonos biztonsági követelményű eszközök csoportja, a csatorna a zónák közötti kommunikációs út, amelyhez szintén követelmények tartoznak. A zónafelosztás kockázatértékelésből indul, ezt az IEC 62443-3-2 írja le. A Purdue-szintek ehhez jó kiindulópontot adnak, de a két fogalom nem fedi egymást.
| Szempont | Purdue-szint | IEC 62443 zóna |
|---|---|---|
| Alapja | A rendszer funkciója a gyártási hierarchiában | A kockázatértékelésből adódó közös biztonsági követelmény |
| Hány van belőle | Rögzített számú réteg | Annyi, amennyit a kockázat indokol |
| Kapcsolatok | Hallgatólagosan a szomszédos szintek között | Csatornaként, név szerint leírva: mely zónák, milyen protokoll, milyen irány |
| Biztonsági szint | Nem rendel hozzá | Zónánként célbiztonsági szint (SL-T) |
Néhány tipikus eltérés:
- Egy szint több zónára bomlik. Ha egy üzem minden vezérlője egy közös 1-es szintű hálózaton van, egy fertőzés az összes gyártósort elérheti. Gyártósoronként vagy cellánként külön zóna ezt megakadályozza.
- Egy zóna átnyúlik a szinteken. Egy beszállító által egyben szállított gépegység saját vezérlővel, panellel és kapcsolóval egy zónát alkothat, pedig az eszközei az 1-es és a 2-es szinten vannak.
- A szint száma nem adja meg a védelem mértékét. Egy biztonsági vezérlőket tartalmazó zóna célbiztonsági szintje lehet magasabb, mint a felette álló felügyeleti zónáé. A Security Level a zóna kockázatából adódik, a szintből nem.
Az IEC 62443-3-2 zónafelosztási követelményei néhány eszközcsoportot a funkciójuktól függetlenül is külön zónába sorolnak: az üzleti és a vezérlési rendszereket, a biztonsági funkciójú (safety) eszközöket, az ideiglenesen csatlakozó eszközöket, például a karbantartói laptopokat, a vezeték nélküli eszközöket és a külső hálózaton keresztül csatlakozó eszközöket. Ezek egy része a Purdue-ábrán egyáltalán nem jelenik meg. A szabvány részleteiről az IEC 62443 alapjairól szóló cikk ír.
Ahol a modell nem fedi a mai üzemeket
A Purdue-ábra egy zárt, hierarchikus gyárat mutat. Ahol az adat vagy a hozzáférés megkerüli a hierarchiát, ott a modell nem ad választ arra, hová kerüljön a rendszer és milyen szabály vonatkozzon rá.
Felhő és ipari IoT
Egy állapotfigyelő szenzorcsomag, egy energiamérő vagy egy gépszállítói diagnosztikai doboz gyakran saját átjárón keresztül, MQTT-n vagy HTTPS-en küldi az adatot egy felhőplatformra. Az adat a 0-s vagy 1-es szintről indul, és a 2-es, 3-as és 4-es szintet kihagyva jut ki az internetre. A kapcsolatot többnyire az átjáró kezdeményezi kifelé, ezért egy csak a bejövő forgalmat tiltó tűzfalon is átjut, ha a kimenő forgalom nincs korlátozva. Hasonló a helyzet, ha a historian vagy a SCADA egy része felhőben fut: a 3-as szint egy része a telephelyen kívül van.
Ilyenkor a felhőkapcsolatot érdemes önálló zónaként és csatornaként kezelni. Ki kell jelölni, melyik átjáró kommunikálhat kifelé, milyen célcímre, milyen adattal, és hogy kaphat-e bármilyen utasítást visszafelé. Ha a felhőből vezérlési parancs is érkezhet, az már egy külső hálózatról a vezérlésig vezető út, és annak megfelelően kell bírálni.
Távoli elérés
A gépszállítók távoli támogatása sokszor a szekrénybe szerelt mobilhálózati routeren vagy egy telepített távelérési szoftveren keresztül zajlik. Ez a kapcsolat a gépegység szintjén lép be, és az összes Purdue-határt megkerüli. A modell szerint a külső hozzáférésnek a DMZ-n keresztül, ellenőrzött ponton kellene belépnie. Hogyan lehet a sok egyedi beszállítói kapcsolatot ilyen pontra terelni, arról a beszállítói távoli hozzáférésről szóló cikk ír.
Virtualizáció és közös hálózati eszközök
Egy virtualizációs fürtön gyakran együtt fut a 3-as szint több szervere és a DMZ néhány rendszere. Ugyanígy egy fizikai kapcsoló VLAN-okkal több szint forgalmát is viheti. A szétválasztás ilyenkor a közös elem beállításán múlik: a hypervisor vagy a kapcsoló kezelőfelülete olyan pont, ahonnan minden rajta futó szint elérhető. Ezeket a kezelőfelületeket a legmagasabb követelményű érintett zóna szerint kell védeni, és a Purdue-ábrán is jelölni kell, hogy a szintek egy közös eszközön osztoznak.
Vezeték nélküli és hordozható eszközök
Egy tableten futó HMI, egy vezeték nélküli szenzorhálózat vagy egy önjáró anyagmozgató jármű nem köthető egy kapcsolóporthoz. A tablet ma a 2-es szinten van, holnap az irodában. Az ilyen eszközöknek a funkciójuk szerinti szint mellett a mozgásukat és a csatlakozási pontjaikat is le kell írni.
A szintek ezekben az esetekben is megmondják, milyen funkcióhoz fér hozzá egy kapcsolat, de azt, hogy a kapcsolat merre halad és mi szabályozza, csak a zónák és a csatornák leírása mutatja meg.
Hogyan használható egy meglévő üzem feltérképezésénél
Egy működő üzemben a Purdue-ábra a tervdokumentációban többnyire megvan, de a tervezett állapotot rögzíti, amelytől a működő hálózat az évek alatt eltávolodik. A felmérés során az eltérések adják a legtöbb információt. Egy lehetséges sorrend:
- Az eszközök besorolása funkció szerint. A leltár minden eleméhez meg kell adni, melyik szint funkcióját látja el, függetlenül attól, melyik hálózaton vagy címtartományban van. Ahol a funkció nem egyértelmű, az eszköz „ismeretlen” jelölést kap, és később tisztázni kell. A leltár forgalomfigyeléssel történő felépítéséről a passzív OT-eszközleltárról szóló cikk ír.
- A valós kommunikáció rárajzolása. A megfigyelt kapcsolatokat a szintek közé kell berajzolni. Külön jelölést kap minden kapcsolat, amely szintet ugrik, például egy irodai gép és egy vezérlő között, és minden kapcsolat, amely a 3-as és 4-es szint között a DMZ megkerülésével halad át.
- A modellbe nem illő elemek listája. Felhőkapcsolatok, mobilhálózati routerek, távelérési szoftverek, virtualizációs gazdagépek, vezeték nélküli hidak. Mindegyikhez kell egy felelős és egy leírás arról, mit és merre visz.
- A zónák kijelölése. A szintekre rendezett képből indulva a kockázat szerint kell zónákat képezni: a szinteket szükség szerint gyártósoronként bontva, a gépegységeket egyben tartva, és a külön kezelendő eszközcsoportokat leválasztva.
- A csatornák leírása. Minden zónák közötti kapcsolatnál rögzíteni kell, milyen protokollon, melyik irányban és miért szükséges. Ami nem indokolható, az a megszüntetendő kapcsolatok listájára kerül.
Az elkészült térkép a szegmentálási terv és a tűzfalszabályok alapja. Akkor marad használható, ha minden új gépegység, beszállítói kapcsolat vagy felhőszolgáltatás bevezetésekor felkerül rá, és a kivétellistán szereplő elemeket rendszeresen felülvizsgálják.
Kapcsolódó szolgáltatás: OT-biztonsági felmérés →
