Systemy przemysłowe (OT) powinny być odseparowane od sieci biurowej, żeby ograniczyć ryzyko związane z ich bezpieczeństwem.

Na czym polega ta usługa

Usługa obejmuje skonfigurowanie odrębnego VLAN dla systemów przemysłowych (OT), oddzielającego ich ruch od sieci biurowej.

Dla kogo ma sens

Usługa jest przydatna dla firm posiadających systemy przemysłowe, którym zależy na ich odseparowaniu od sieci biurowej.

Ile to trwa

Konfiguracja VLAN mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Warianty separacji sieci OT

Odseparowanie systemów przemysłowych od sieci biurowej można zrealizować na kilka sposobów, a wybór zależy od wielkości instalacji i liczby urządzeń podłączonych do sieci OT. Najprostszy wariant to jeden dodatkowy VLAN (wirtualna sieć lokalna, czyli logiczny podział jednej fizycznej infrastruktury okablowania i przełączników na odrębne segmenty) obejmujący sterowniki PLC, panele HMI i inne urządzenia produkcyjne. W większych zakładach stosuje się kilka VLAN-ów OT, np. osobny dla linii produkcyjnej, osobny dla systemów monitoringu wizyjnego i osobny dla stacji operatorskich, tak żeby awaria lub incydent w jednym segmencie nie rozprzestrzeniał się na pozostałe. Trzeci wariant, spotykany w firmach z podwyższonymi wymaganiami bezpieczeństwa, zakłada dodanie strefy pośredniej (tzw. strefy zdemilitaryzowanej, DMZ) między siecią biurową a siecią OT, przez którą przechodzi wyłącznie ruch ściśle zdefiniowany na firewallu, np. eksport danych produkcyjnych do systemu ERP. Wybór między tymi wariantami ustala się podczas wstępnej diagnozy, po przeglądzie istniejącej infrastruktury sieciowej i rozmowie o tym, jakie urządzenia i usługi muszą mieć dostęp do sieci OT.

Błędy przy próbie samodzielnej konfiguracji

Część firm próbuje wydzielić sieć OT samodzielnie, korzystając z instrukcji producenta przełącznika, i najczęściej kończy się to jednym z kilku typowych problemów. Pierwszy to skonfigurowanie VLAN-u tylko na jednym przełączniku, bez uwzględnienia pozostałych urządzeń sieciowych w budynku — w efekcie separacja działa punktowo, a urządzenie OT podłączone do innego przełącznika trafia z powrotem do sieci biurowej. Drugi częsty błąd to pozostawienie portu trunk (portu przenoszącego ruch wielu VLAN-ów jednocześnie) skonfigurowanego domyślnie jako dostępnego dla wszystkich sieci, co w praktyce niweluje sens separacji. Trzeci problem dotyczy reguł na firewallu: sam podział na VLAN-y nie blokuje ruchu między segmentami, jeśli routing (przekierowywanie pakietów między sieciami) nie jest ograniczony odpowiednimi regułami — bez tego ruch swobodnie przepływa w obie strony, mimo że administrator ma wrażenie, że sieci są rozdzielone. Zdarza się też, że w trakcie samodzielnej rekonfiguracji dochodzi do przerwy w łączności na linii produkcyjnej, ponieważ zmiany wprowadza się w godzinach pracy zakładu, bez wcześniejszego przetestowania konfiguracji na osobnym urządzeniu.

Kiedy to nie jest ta usługa

Konfigurację VLAN dla sieci OT warto odróżnić od kilku pokrewnych, ale innych zadań. Jeśli celem jest wyłącznie rozdzielenie sieci gościnnej (Wi-Fi dla gości) od sieci firmowej, to jest to standardowa segmentacja biurowa, a nie separacja OT — mniej wymagająca pod względem ciągłości pracy urządzeń produkcyjnych. Jeśli w firmie nie ma żadnych systemów przemysłowych, sterowników czy urządzeń automatyki, a jedynie komputery i serwery, temat VLAN-u OT po prostu nie ma zastosowania i wystarczy klasyczna segmentacja sieci biurowej. Odrębnym tematem jest też samo dostarczenie i skonfigurowanie przełączników zarządzalnych (switchy z obsługą VLAN) od podstaw w firmie, która wcześniej nie miała żadnej segmentacji sieci — to zwykle większy projekt, poprzedzony audytem całej infrastruktury, a konfiguracja VLAN dla OT jest jednym z jego elementów, nie całością.

Co obejmuje wdrożenie w praktyce

Poza samym utworzeniem VLAN-u, wdrożenie zwykle obejmuje konfigurację portów przełączników przypisanych do właściwego segmentu, ustawienie portów trunk między przełącznikami tak, aby przenosiły tylko potrzebne VLAN-y, oraz zdefiniowanie reguł na routerze lub firewallu ograniczających ruch między siecią OT a siecią biurową do ściśle niezbędnego minimum. W zależności od posiadanego sprzętu sieciowego, konfiguruje się też listy kontroli dostępu (ACL) na poziomie portów, żeby dodatkowo ograniczyć, które urządzenia w obrębie samej sieci OT mogą się ze sobą komunikować. Po wdrożeniu przeprowadza się test działania — sprawdzenie, czy urządzenia produkcyjne zachowały łączność między sobą, a jednocześnie nie mają już bezpośredniego dostępu do zasobów sieci biurowej i odwrotnie. Dokumentacja końcowa zawiera schemat przypisania portów do VLAN-ów, co ułatwia późniejsze rozbudowy sieci bez ponownego audytu całej infrastruktury od zera.

Dodatkowe pytania klientów

Czy separacja VLAN wymaga wymiany istniejących przełączników?

Zależy to od tego, czy posiadane przełączniki są zarządzalne, czyli obsługują konfigurację VLAN. Jeśli w firmie działają wyłącznie przełączniki niezarządzalne (bez możliwości konfiguracji), część z nich trzeba wymienić na modele zarządzalne — ale zwykle dotyczy to tylko przełączników bezpośrednio obsługujących urządzenia OT, nie całej infrastruktury biurowej.

Czy w trakcie konfiguracji dojdzie do przerwy w pracy linii produkcyjnej?

Konfigurację planuje się tak, żeby ograniczyć ryzyko przestoju — zmiany na przełącznikach testuje się wcześniej, a samo wdrożenie na produkcji przeprowadza się w krótkich, kontrolowanych oknach czasowych, najczęściej poza godzinami pracy linii, jeśli firma o to poprosi.

Czy VLAN sam w sobie wystarczy do ochrony systemów OT?

VLAN ogranicza widoczność i dostępność sieciowej warstwy komunikacji, ale nie zastępuje pozostałych elementów bezpieczeństwa, takich jak aktualizacje oprogramowania sterowników czy kontrola dostępu fizycznego do szaf sieciowych. Traktuje się go jako jeden z elementów szerszej ochrony infrastruktury, nie jako jedyne zabezpieczenie.

Co się dzieje, gdy urządzenie OT musi jednak wymieniać dane z systemem ERP w sieci biurowej?

W takich przypadkach definiuje się precyzyjną regułę na firewallu, dopuszczającą wyłącznie ten konkretny ruch (np. z jednego adresu IP na określony port), zamiast otwierać cały segment OT na sieć biurową. Dzięki temu separacja pozostaje zachowana poza tym jednym, kontrolowanym wyjątkiem.

Czy separację VLAN da się rozszerzyć w przyszłości o kolejne urządzenia OT?

Tak, dodanie kolejnego urządzenia do już skonfigurowanego VLAN-u OT sprowadza się zwykle do przypisania właściwego portu przełącznika do tego segmentu, bez konieczności przebudowy całej konfiguracji sieci.

Współpraca z automatykami i integratorami linii produkcyjnej

W wielu firmach za same urządzenia OT — sterowniki, panele HMI, przemysłowe systemy wizyjne — odpowiada zewnętrzny integrator lub dział automatyki, a nie dział IT. W praktyce oznacza to, że konfiguracja VLAN wymaga ustalenia na wstępie, jakie adresy IP i jakie protokoły komunikacyjne wykorzystują poszczególne urządzenia, ponieważ część starszych sterowników pracuje na sztywno przypisanych adresach i nie da się ich swobodnie przenieść do innej podsieci bez przeprogramowania. Dlatego przed wdrożeniem separacji warto zaplanować krótkie spotkanie (lub wymianę informacji mailową) z osobą odpowiedzialną za automatykę, żeby uniknąć sytuacji, w której nowo skonfigurowany VLAN wymaga potem ponownej zmiany adresacji na samych urządzeniach produkcyjnych. Dotyczy to zwłaszcza starszych instalacji, gdzie dokumentacja adresacji IP bywa niepełna albo w ogóle nie istnieje, a jedynym źródłem wiedzy o konfiguracji jest osoba, która uruchamiała linię kilka lat wcześniej. W takich przypadkach część czasu wdrożenia pochłania samo zinwentaryzowanie urządzeń podłączonych do sieci OT, zanim w ogóle przystąpi się do konfiguracji przełączników.

Monitorowanie ruchu między siecią OT a siecią biurową

Poza samą separacją warto rozważyć włączenie rejestrowania zdarzeń (logowania) na przełączniku lub firewallu obsługującym granicę między siecią OT a siecią biurową. Dzięki temu, jeśli ktoś spróbuje nawiązać połączenie z sieci biurowej do urządzenia produkcyjnego z pominięciem dopuszczonych reguł, próba taka zostaje odnotowana, zamiast przejść niezauważona. W praktyce nie chodzi o rozbudowany system monitoringu bezpieczeństwa, tylko o podstawowe logi na urządzeniu sieciowym, które i tak zwykle są dostępne w ramach jego standardowej konfiguracji — trzeba je jedynie świadomie włączyć i wskazać, gdzie mają być przechowywane. Dla mniejszych zakładów wystarczające bywa okresowe przeglądanie tych logów przy okazji innych prac serwisowych, bez konieczności wdrażania dodatkowego oprogramowania.

Utrzymanie separacji po wdrożeniu

Sama konfiguracja VLAN nie jest jednorazowym działaniem, które można całkowicie zapomnieć po zakończeniu wdrożenia. Rozbudowa infrastruktury — nowy sterownik, dodatkowa kamera monitoringu linii, kolejna stacja operatorska — wymaga za każdym razem przypisania nowego urządzenia do właściwego segmentu sieci, a pominięcie tego kroku skutkuje podłączeniem urządzenia OT do sieci biurowej z pominięciem separacji. Z tego względu przydatne jest prowadzenie aktualnej dokumentacji przypisania portów do VLAN-ów, o której mowa wyżej, oraz okresowy przegląd konfiguracji, zwłaszcza po zmianach kadrowych w dziale IT lub po pracach serwisowych wykonywanych przez inne firmy. Warto też pamiętać, że separacja VLAN nie chroni przed błędną konfiguracją wprowadzoną ręcznie przez osobę mającą dostęp do przełącznika — dlatego dostęp administracyjny do urządzeń sieciowych obsługujących segment OT powinien być ograniczony do wąskiego grona osób.

Odseparowanie sieci systemów przemysłowych od sieci biurowej to zadanie, które łączy wiedzę sieciową z rozumieniem specyfiki produkcji — dobrze zaplanowana konfiguracja VLAN ogranicza ryzyko związane z bezpieczeństwem OT bez zakłócania ciągłości pracy linii produkcyjnej.

22 378 48 09

Konfiguracja VLAN dla systemów przemysłowych (OT) oddzielonych od sieci biurowej