An ninh mạng công nghiệp: Vì sao kết nối nhà máy với internet tạo ra một loại rủi ro hoàn toàn mới

Kết nối hệ thống OT (công nghệ vận hành) của nhà máy với internet khiến chúng đối mặt với các hình thức tấn công mà chúng chưa từng được thiết kế để chống đỡ. Các hệ thống OT, bao gồm PLC, bộ điều khiển SCADA và nền tảng DCS, được xây dựng để đảm bảo độ tin cậy và thời gian vận hành liên tục, chứ không phải để đảm bảo an ninh. Phần lớn chạy trên các hệ điều hành cũ không thể vá lỗi mà không làm gián đoạn sản xuất. Phần lớn vận hành trên mạng phẳng, không có phân đoạn mạng. Chỉ một cuộc xâm nhập cũng có thể di chuyển ngang từ hệ thống IT sang khu vực sản xuất trong vài phút, làm ngừng dây chuyền, gây hư hỏng thiết bị, hoặc kích hoạt sự cố an toàn. Bài viết này phân tích các rủi ro cụ thể của việc kết nối OT, hình dạng của một kiến trúc an ninh nền tảng, và những gì các doanh nghiệp sản xuất Việt Nam cần xử lý trước khi kết nối hệ thống vận hành với mạng bên ngoài.

Vì sao an ninh OT là một bài toán khác với an ninh IT

An ninh IT bảo vệ dữ liệu. An ninh OT bảo vệ các quy trình vật lý.

Trong IT, một hệ thống có thể được ngắt tạm thời để vá lỗi, khởi động lại sau sự cố, và khôi phục từ bản sao lưu. Trong OT, việc ngắt một PLC đồng nghĩa với việc dừng cả dây chuyền. Khởi động lại một hệ thống SCADA có thể đòi hỏi khởi động lại toàn bộ quy trình sản xuất. Khả năng chấp nhận thời gian ngừng hoạt động gần như bằng không. Các thông lệ an ninh IT tiêu chuẩn, như vá lỗi thường xuyên, cài đặt phần mềm giám sát trên thiết bị đầu cuối, và khởi động lại định kỳ, không thể áp dụng trực tiếp cho môi trường OT.

Hệ thống OT cũng có vòng đời vận hành rất dài. Một khu vực sản xuất có thể đang chạy các PLC được lắp đặt cách đây 15 năm, trên hệ điều hành đã không nhận bản cập nhật bảo mật trong cả thập kỷ. Những hệ thống này chưa bao giờ được thiết kế để kết nối internet. Mô hình an ninh của chúng dựa trên giả định về sự cách ly vật lý. Giả định đó không còn đúng khi cùng một mạng phải truyền cả lưu lượng điều khiển sản xuất lẫn dữ liệu tích hợp ERP, giám sát từ xa, hoặc các luồng dữ liệu lên đám mây.

Điều gì xảy ra khi mạng OT và IT hội tụ

Kết nối theo mô hình Công nghiệp 4.0, bao gồm cảm biến IIoT, tích hợp ERP, truy cập bảo trì từ xa, và hệ thống lưu trữ dữ liệu lịch sử trên đám mây, đòi hỏi mạng OT và IT phải trao đổi dữ liệu với nhau. Sự hội tụ này là cần thiết về mặt vận hành. Nhưng nó cũng tạo ra một bề mặt tấn công mới.

Rủi ro nằm ở khả năng di chuyển ngang. Một kẻ tấn công xâm nhập được vào mạng IT thông qua email lừa đảo (phishing), thông tin đăng nhập của nhà cung cấp bị đánh cắp, hoặc lỗ hổng trong một hệ thống kết nối internet, có thể di chuyển sang mạng OT nếu hai mạng này không được phân đoạn đúng cách. Khi đã vào được mạng OT, kẻ tấn công có quyền truy cập vào các hệ thống điều khiển sản xuất.

Hậu quả của sự cố OT khác về bản chất so với một vụ vi phạm IT. Một cuộc tấn công ransomware vào hệ thống IT mã hóa tệp tin. Một cuộc tấn công ransomware vào hệ thống OT làm ngừng sản xuất. Nếu kẻ tấn công hiểu rõ quy trình vận hành, chúng có thể ra lệnh điều khiển gây hư hỏng thiết bị hoặc tạo ra nguy cơ mất an toàn. Thời gian khôi phục được tính bằng ngày hoặc tuần, chứ không phải giờ.

Các sự cố thực tế đều theo mô thức này. Vụ tấn công Colonial Pipeline năm 2021 bắt đầu từ một thông tin đăng nhập VPN bị đánh cắp. Vụ tấn công ransomware Nordex năm 2022 đã làm ngừng sản xuất tại một trong những nhà sản xuất tuabin gió lớn nhất châu Âu. Trong cả hai trường hợp, điểm xâm nhập là một hệ thống IT. Nhưng tác động lại xảy ra trên thực thể vật lý.

Những rủi ro cụ thể đối với hệ thống OT tại nhà máy Việt Nam

Các doanh nghiệp sản xuất Việt Nam khi lần đầu kết nối hệ thống OT phải đối mặt với một tổ hợp rủi ro đặc thù.

Thiết bị cũ không thể vá lỗi: Phần lớn khu vực sản xuất tại Việt Nam vận hành với nhiều thế hệ thiết bị đan xen. PLC và bộ điều khiển từ những năm 2000 đến đầu 2010 chạy trên hệ điều hành không còn bản cập nhật bảo mật. Những thiết bị này không thể vá lỗi. Chúng chỉ có thể được cách ly.

Kiến trúc mạng phẳng: Nhiều nhà máy xây dựng mạng OT hướng đến độ tin cậy, không tính đến phân đoạn mạng. Máy trạm kỹ thuật dùng để lập trình PLC nằm trên cùng phân đoạn mạng với hệ thống email của công ty. Không có tường lửa nào ngăn cách giữa chúng.

Truy cập từ xa không có kiểm soát: Truy cập bảo trì từ xa, được mở trong thời gian COVID và thường không bao giờ được siết lại an ninh, là một trong những điểm xâm nhập OT phổ biến nhất. Nhiều doanh nghiệp sản xuất vẫn đang duy trì các phiên truy cập từ xa mà không có xác thực đa yếu tố (MFA), không ghi lại phiên làm việc, và không giới hạn thời gian truy cập.

Truy cập từ bên thứ ba: Nhà cung cấp thiết bị, đơn vị tích hợp hệ thống, và nhà thầu bảo trì thường có quyền truy cập từ xa thường trực vào hệ thống OT. Mỗi bên đều là một điểm xâm nhập tiềm ẩn. Quyền truy cập được cấp cho một dự án cụ thể thường bị bỏ ngỏ vô thời hạn.

Kiến trúc an ninh OT nền tảng cần có những gì

Tiêu chuẩn ISA/IEC 62443 là khung tham chiếu cho an ninh mạng công nghiệp. Tiêu chuẩn này định nghĩa các cấp độ an ninh theo vùng (zone) và kênh kết nối (conduit). Mỗi vùng có yêu cầu an ninh riêng, và việc trao đổi thông tin giữa các vùng phải đi qua một kênh kết nối với các biện pháp kiểm soát cụ thể.

Trên thực tế, một kiến trúc nền tảng dành cho nhà máy Việt Nam đã kết nối mạng bao gồm:

• Phân đoạn mạng: Mạng IT và OT được tách biệt bằng tường lửa hoặc vùng DMZ. Mạng con OT được phân đoạn sâu hơn theo chức năng, tách riêng điều khiển sản xuất, máy trạm kỹ thuật, và máy chủ lưu trữ dữ liệu lịch sử. Không có lưu lượng trực tiếp giữa IT và OT mà không qua kiểm tra.
• Giám sát chuyên biệt cho OT: Các công cụ an ninh IT không hiểu các giao thức OT như Modbus, PROFINET, EtherNet/IP, hay DNP3. Nền tảng giám sát OT quan sát thụ động lưu lượng OT mà không làm gián đoạn sản xuất, đồng thời phát hiện bất thường dựa trên hành vi của quy trình vận hành.
• Kiểm soát truy cập từ xa: Toàn bộ truy cập từ xa phải đi qua một jump server có xác thực đa yếu tố (MFA). Bật ghi lại phiên làm việc. Cấp quyền truy cập giới hạn theo từng phiên, không dùng thông tin đăng nhập thường trực. Rà soát và thu hồi quyền truy cập của nhà cung cấp khi dự án kết thúc.
• Kiểm kê tài sản: Một danh mục tài sản OT đầy đủ, bao gồm mọi PLC, HMI, bộ điều khiển và thiết bị mạng. Phần lớn nhà máy chưa có danh mục này. Không thể bảo vệ những gì không thể nhìn thấy.
• Kế hoạch ứng phó sự cố riêng cho OT: Ai sẽ được thông báo khi một hệ thống sản xuất có biểu hiện bất thường? Quy trình cách ly một phân đoạn bị xâm nhập mà không làm ngừng toàn bộ dây chuyền là gì? Ai có thẩm quyền ngắt một PLC?

Doanh nghiệp sản xuất Việt Nam nên làm gì trước tiên

Trước khi kết nối bất kỳ hệ thống OT nào với mạng bên ngoài, cần hoàn thành ba bước sau.

Lập bản đồ mạng. Xác định mọi thiết bị, mọi kết nối, và mọi điểm mà lưu lượng IT và OT hiện đang giao cắt. Nhiều doanh nghiệp sản xuất phát hiện ra các kết nối chưa từng được ghi nhận trong quá trình này.

Phân đoạn trước khi kết nối. Lắp đặt tường lửa hoặc vùng DMZ giữa mạng IT và OT trước khi bật bất kỳ kết nối Công nghiệp 4.0 nào. Dữ liệu có thể đi qua DMZ. Lưu lượng trực tiếp thì không.

Rà soát truy cập từ xa. Xác định mọi phiên truy cập từ xa đang hoạt động vào hệ thống OT. Thu hồi các thông tin đăng nhập thường trực của nhà cung cấp. Triển khai MFA trên mọi đường truy cập còn lại. Chỉ riêng bước này đã loại bỏ vector xâm nhập phổ biến nhất.

Ba bước này không đòi hỏi ngân sách an ninh lớn. Chúng đòi hỏi thời gian, một sơ đồ mạng chính xác, và thẩm quyền để thực thi các biện pháp kiểm soát truy cập.

Câu hỏi thường gặp

Những rủi ro an ninh mạng nào phát sinh khi kết nối hệ thống OT của nhà máy với internet?

Hệ thống OT được thiết kế cho sự cách ly vật lý, không phải cho an ninh mạng. Việc kết nối chúng với mạng bên ngoài khiến PLC, SCADA và nền tảng DCS đối mặt với nguy cơ di chuyển ngang từ mạng IT, ransomware, và xâm nhập qua truy cập từ xa. Hậu quả khác với các vụ vi phạm IT: sản xuất ngừng trệ, thiết bị có thể bị hư hỏng, và hệ thống an toàn có thể bị ảnh hưởng. Thời gian khôi phục tính bằng ngày hoặc tuần.

Sự khác biệt giữa an ninh OT và an ninh IT là gì?

An ninh IT bảo vệ các hệ thống dữ liệu có thể vá lỗi, khởi động lại, và khôi phục từ bản sao lưu với tác động vận hành tối thiểu. An ninh OT bảo vệ các quy trình sản xuất vật lý, nơi thời gian ngừng hoạt động đồng nghĩa với mất sản lượng và rủi ro hư hỏng thiết bị. Hệ thống OT chạy phần mềm cũ trong vòng đời vận hành dài, không thể chấp nhận thời gian ngừng hoạt động cần thiết để vá lỗi theo tiêu chuẩn, và sử dụng các giao thức công nghiệp mà công cụ an ninh IT không hiểu được.

Di chuyển ngang trong một cuộc tấn công mạng OT là gì?

Di chuyển ngang là kỹ thuật kẻ tấn công dùng để di chuyển từ điểm xâm nhập ban đầu, thường là một hệ thống IT, sang mạng OT mục tiêu điều khiển sản xuất. Nếu mạng IT và OT không được phân đoạn, kẻ tấn công xâm nhập được qua phishing hoặc thông tin đăng nhập nhà cung cấp bị đánh cắp có thể tiếp cận hệ thống điều khiển sản xuất mà không cần thêm bất kỳ lỗ hổng khai thác nào khác.

Tiêu chuẩn ISA/IEC 62443 về an ninh mạng công nghiệp là gì?

ISA/IEC 62443 là tiêu chuẩn tham chiếu quốc tế để bảo vệ hệ thống điều khiển công nghiệp. Tiêu chuẩn này định nghĩa các cấp độ an ninh theo vùng và quy định các biện pháp kiểm soát chi phối việc trao đổi thông tin giữa các vùng. Đây là khung tham chiếu được sử dụng phổ biến nhất trong các đánh giá an ninh OT và là nền tảng cho phần lớn các chương trình an ninh ICS trong lĩnh vực sản xuất.

Doanh nghiệp sản xuất Việt Nam nên làm gì trước khi kết nối hệ thống OT với mạng bên ngoài?

Ba bước cần thực hiện trước bất kỳ kết nối bên ngoài nào: lập bản đồ mạng OT một cách đầy đủ, phân đoạn mạng IT và OT bằng tường lửa hoặc DMZ, và rà soát toàn bộ truy cập từ xa để thu hồi thông tin đăng nhập thường trực của nhà cung cấp và triển khai xác thực đa yếu tố. Những bước này xử lý ba vector xâm nhập phổ biến nhất mà không đòi hỏi ngân sách đáng kể.

Những công cụ giám sát an ninh OT nào hiện có trên thị trường?

Các nền tảng giám sát chuyên biệt cho OT như Claroty, Dragos, và Nozomi Networks quan sát thụ động lưu lượng mạng OT nhờ khả năng nhận biết giao thức công nghiệp. Chúng phát hiện bất thường dựa trên hành vi của quy trình vận hành thay vì đối chiếu chữ ký (signature), mà không làm gián đoạn sản xuất. Các công cụ an ninh IT tiêu chuẩn không phù hợp với môi trường OT và có thể gây mất ổn định khi triển khai trên phần cứng OT thế hệ cũ.

Bước tiếp theo

Gradion đồng hành cùng các doanh nghiệp sản xuất trên khắp Việt Nam và Đông Nam Á trong các dự án đánh giá an ninh OT, phân đoạn mạng, và thiết kế chương trình an ninh ICS. Hãy liên hệ với đội ngũ của chúng tôi để bắt đầu với một buổi lập bản đồ mạng.