ArrowLinx: giải pháp truyền dữ liệu một chiều bằng phần cứng cho mạng OT

Hai dòng thiết bị ArrowLinx 1280 (trên) và ArrowLinx 5000 Series (dưới): cùng nguyên lý truyền một chiều, khác nhau về hiệu năng để phù hợp với từng quy mô triển khai.

Nhưng mỗi đường kết nối cho dữ liệu đi ra cũng có thể trở thành lối vào cho kẻ tấn công. Làm sao vừa chia sẻ được dữ liệu cho khối văn phòng, vừa không mở thêm bất kỳ đường truy cập nào vào mạng điều khiển? Dòng thiết bị ArrowLinx, do Allied Solutions Global phân phối ủy quyền tại Việt Nam, được thiết kế để giải quyết đúng bài toán này.

Vì sao chính đường đưa dữ liệu ra ngoài lại là điểm yếu của nhiều nhà máy

Trong bài viết trước trên Tạp chí Tự động hóa Ngày nay, chúng tôi đã phân tích vì sao ransomware ngày càng nhắm vào ngành sản xuất và vì sao chỉ dựa vào tường lửa là chưa đủ cho môi trường OT. Điểm chung của phần lớn sự cố là kẻ tấn công hiếm khi xâm nhập trực diện, mà thường đi qua một kết nối hoàn toàn hợp lệ: đường truyền số liệu từ xưởng lên văn phòng, phiên truy cập từ xa của nhà thầu bảo trì, hay chiếc laptop của kỹ sư cắm lần lượt vào cả hai mạng. Tường lửa kiểm soát các kết nối này bằng tập luật và cấu hình, tức là bằng phần mềm. Phần mềm lại có thể bị cấu hình sai, có lỗ hổng chưa kịp vá, hoặc được người quản trị mở tạm để tiện làm việc rồi không đóng lại.

Bộ tiêu chuẩn IEC 62443 về an ninh cho hệ thống tự động hóa công nghiệp khuyến nghị chia mạng thành các vùng (zone) và kiểm soát chặt những kênh kết nối giữa các vùng (conduit). Với những kênh mà dữ liệu chỉ cần đi theo một hướng, chẳng hạn từ mạng điều khiển lên mạng văn phòng để báo cáo và giám sát, cách kiểm soát triệt để nhất là loại bỏ hẳn chiều ngược lại ngay ở lớp vật lý. Đó là nguyên lý của thiết bị truyền dữ liệu một chiều bằng phần cứng, thường được gọi là data diode (tiếng Việt: diode dữ liệu): dữ liệu chỉ có một đường đi, và không có đường trở lại.

ArrowLinx là gì

ArrowLinx là dòng cổng truyền dữ liệu một chiều bằng phần cứng, hay còn gọi là data diode (diode dữ liệu), dùng để kết nối an toàn giữa hai mạng vốn được cách ly với nhau. Mỗi hệ thống gồm hai nút độc lập: nút gửi (Sender) đặt trong mạng cần bảo vệ và nút nhận (Receiver) đặt ở mạng bên ngoài, nối với nhau bằng một đường cáp quang chỉ truyền được theo một hướng. Dữ liệu vận hành từ SCADA, Historian hay PLC đi qua nút gửi, theo đường cáp quang sang nút nhận, rồi vào các hệ thống phía IT như SIEM, MES, ERP hoặc nền tảng đám mây. Ở chiều ngược lại không tồn tại bất kỳ đường truyền vật lý nào, nên mã độc, lệnh điều khiển từ xa hay hành vi đánh cắp dữ liệu từ bên ngoài đều không thể xâm nhập vào mạng được bảo vệ, dù phần mềm ở hai đầu được cấu hình ra sao.

Sơ đồ nguyên lý ArrowLinx: dữ liệu chỉ đi một chiều từ mạng được bảo vệ (OT) qua nút gửi, đường cáp quang và nút nhận sang mạng bên ngoài (IT). Không có đường truyền nào ở chiều ngược lại.

Nói ngắn gọn, dữ liệu chỉ được phép đi từ mạng điều khiển ra ngoài, và không có bất kỳ luồng nào theo chiều ngược lại. Điểm khác biệt căn bản so với tường lửa là giới hạn này mang tính vật lý: không một thiết lập phần mềm nào, dù vô tình hay cố ý, có thể mở ra đường quay về mạng được bảo vệ. Nhờ vậy, mạng điều khiển vẫn được cách ly nghiêm ngặt như trước (air gap), trong khi dữ liệu vẫn đến đúng nơi cần đến theo thời gian thực.

Hai dòng sản phẩm, một nguyên lý

ArrowLinx hiện có hai dòng. ArrowLinx 1280 là thiết bị rack 1U nhỏ gọn, tích hợp sẵn các giao thức thông dụng nhất (TCP, UDP, SYSLOG, SNMP trap, SFTP và FTP), tốc độ đường truyền một chiều 10 Gbps và tốc độ truyền file 200 Mbps. Đây là lựa chọn phù hợp cho trạm, nhà máy hoặc phòng máy chủ có không gian hạn chế nhưng vẫn đòi hỏi mức bảo mật cao, như hạ tầng trọng yếu, quốc phòng hay doanh nghiệp có yêu cầu bảo mật nghiêm ngặt.

ArrowLinx 5000 Series gồm ba model 5280, 5282 và 5283, được xây dựng trên công nghệ SFP+ đã được cấp bằng sáng chế, cho hiệu năng cao hơn và có khả năng phát hiện mất file theo thời gian thực. Tốc độ truyền file tăng dần từ 500 Mbps (5280) lên 1 Gbps (5282) và 1 + 1 Gbps (5283); riêng 5283 có tốc độ đường truyền 10 + 10 Gbps. Dòng 5000 còn hỗ trợ truyền file bảo mật, truyền video (RTSP), thoại VoIP và những kịch bản tích hợp phức tạp hơn giữa các vùng mạng.

Thông số chính của bốn model ArrowLinx theo datasheet của nhà sản xuất. Chứng nhận Common Criteria EAL 4+ chỉ áp dụng cho hai model 5282 và 5283.

Một số thông số chung của cả dòng sản phẩm cũng đáng được lưu ý. Tỷ lệ mất file tối đa là 1 trên 5.000.000 file truyền qua; với file nhỏ dưới 10 KB, thiết bị xử lý được hơn 200 file mỗi giây, đáp ứng được các luồng log và cảnh báo có tần suất cao. Mỗi nút có hai cổng mạng sản xuất (2 x 1GbE RJ-45 hoặc 2 x 10GbE SFP+, cấu hình teaming) cùng một cổng quản trị riêng, nguồn dự phòng kép, hoạt động trong dải nhiệt độ 0 đến 40°C và độ ẩm 10 đến 95%. Chỉ số MTBF công bố từ 62.936 giờ (5283) đến 114.218 giờ (5280 và 5282).

Tương thích với hệ thống sẵn có: giao thức và khả năng tích hợp

Một thiết bị bảo mật chỉ thực sự hữu ích khi không buộc hệ thống hiện có phải thay đổi. ArrowLinx hỗ trợ sẵn các giao thức mà đội OT đang dùng hằng ngày: OPC UA, Modbus (RS232 và TCP), IEC 104, MQTT, Kafka, SYSLOG, SNMP trap, SFTP, FTP, HTTP/HTTPS, SMTP, chế độ probe và đồng bộ thư mục (SMB/Samba). Dòng 5000 Series hỗ trợ thêm RTSP cho luồng video. Nhờ đó, SCADA và Historian trong mạng điều khiển vẫn xuất dữ liệu theo cách quen thuộc, còn các hệ thống phía IT nhận dữ liệu như từ một nguồn thông thường.

Trong các dự án Allied Solutions Global đã triển khai, kiến trúc thường được áp dụng là đặt một máy chủ kết nối như Kepware Server ở mỗi đầu: phía OT gom dữ liệu từ PLC và SCADA rồi đẩy qua ArrowLinx bằng OPC UA hoặc MQTT; phía IT nhận dữ liệu và phân phối tiếp cho Historian, MES, hệ thống báo cáo hay nền tảng phân tích. Đây là cấu hình chúng tôi từng trình diễn cho bài toán giám sát OT từ xa mà không mở bất kỳ kết nối ngược nào về mạng điều khiển, đồng thời cũng là cách tích hợp thuận tiện với các giải pháp Allied đang phân phối như Kepware, Proficy Historian hay TrakSYS.

Về vận hành, mọi model đều có sẵn chức năng giám sát tình trạng thiết bị với cảnh báo qua SYSLOG, email và SNMP trap, đồng bộ thời gian NTP qua chính thiết bị, cùng giao diện quản trị tích hợp để đội kỹ thuật tự cấu hình mà không phụ thuộc vào hãng. Thiết kế dạng module xếp chồng (stackable) giúp việc mở rộng hoặc tích hợp với thiết bị của bên thứ ba thuận tiện hơn.

Chứng nhận độc lập: vì sao hai model 5282 và 5283 đáng chú ý

Hai model ArrowLinx 5282 và 5283 đã được Cơ quan An ninh mạng Singapore (CSA) cấp chứng nhận Common Criteria EAL 4+. Common Criteria là tiêu chuẩn quốc tế ISO/IEC 15408 dùng để đánh giá độc lập mức độ bảo mật của sản phẩm công nghệ thông tin; EAL 4+ là mức thường được yêu cầu đối với thiết bị bảo vệ hạ tầng trọng yếu và thiết bị kết nối giữa các vùng mạng có mức bảo mật khác nhau. Với những tổ chức phải chứng minh năng lực bảo mật của thiết bị trước cơ quan quản lý hoặc công ty mẹ, một sản phẩm đã qua đánh giá độc lập giúp rút ngắn đáng kể quá trình phê duyệt. Cần nói rõ: chứng nhận này chỉ áp dụng cho 5282 và 5283; hai model 1280 và 5280 không có chứng nhận Common Criteria, dù dùng chung nguyên lý phần cứng.

Bên cạnh chứng nhận bảo mật, cả dòng đều đạt các chứng nhận an toàn FCC, CE, UL+CB, BSMI và VCCI. Với doanh nghiệp Việt Nam, một chi tiết thiết thực khác là nhà sản xuất đã công bố mã HS 8517.62.61, giúp bộ phận mua hàng chủ động hơn khi lập kế hoạch nhập khẩu và khai báo hải quan.

Nhà máy Việt Nam nên bắt đầu từ đâu

Theo kinh nghiệm của chúng tôi, có ba nhóm đơn vị đang có nhu cầu rõ rệt nhất với giải pháp diode dữ liệu.

Thứ nhất là các nhà máy thuộc tập đoàn đa quốc gia, cần đẩy dữ liệu sản xuất về trung tâm vùng hoặc lên đám mây theo chính sách an ninh của tập đoàn.

Thứ hai là các đơn vị vận hành hạ tầng trọng yếu như điện, nước, dầu khí, nơi hệ thống điều khiển thuộc diện phải bảo vệ theo quy định pháp luật về an ninh mạng, đồng thời vẫn phải gửi dữ liệu giám sát về trung tâm điều hành.

Thứ ba là các nhà máy dược phẩm, thực phẩm và điện tử phải chuyển dữ liệu lô và dữ liệu chất lượng từ dây chuyền lên MES và hệ thống báo cáo, nhưng tuyệt đối không được để bất kỳ truy cập nào đi ngược vào dây chuyền.

Với vai trò Nhà phân phối ủy quyền của ArrowLinx tại Việt Nam, Allied Solutions Global đảm nhận trọn gói từ khảo sát luồng dữ liệu, thiết kế vị trí đặt thiết bị theo mô hình vùng và kênh kết nối của IEC 62443, cấu hình máy chủ kết nối ở hai đầu, cho đến đào tạo vận hành và hỗ trợ kỹ thuật tại chỗ. Với những đơn vị đang cân nhắc, dưới đây là bốn câu hỏi nên trả lời trước khi chọn thiết bị:

Bốn câu hỏi trước khi chọn thiết bị truyền dữ liệu một chiều

Ông Trần Đại Duệ là Giám đốc Công ty TNHH Allied Solutions Global

• Luồng dữ liệu nào thực sự chỉ cần đi một chiều? Hãy liệt kê từng luồng (báo cáo sản xuất, log an ninh, dữ liệu chất lượng) và tách riêng những luồng cần trao đổi hai chiều, vì chúng cần một cơ chế bảo vệ khác.

• Giao thức và lưu lượng: hệ thống hiện tại dùng OPC UA, Modbus, MQTT hay chỉ cần đồng bộ file? Lưu lượng lúc cao điểm là bao nhiêu? Câu trả lời sẽ quyết định chọn ArrowLinx 1280 hay 5000 Series.

• Yêu cầu chứng nhận: tổ chức có bắt buộc thiết bị phải có chứng nhận độc lập như Common Criteria EAL 4+ không? Nếu có, chỉ model 5282 và 5283 đáp ứng.

• Đối tác triển khai: ai sẽ cấu hình máy chủ kết nối ở hai đầu, xử lý thủ tục nhập khẩu và hỗ trợ khi có sự cố? Với thiết bị nhập khẩu, cần một đối tác trong nước đủ năng lực kỹ thuật và có mặt kịp thời khi cần.

Không có giải pháp an ninh nào là tuyệt đối, và data diode cũng chỉ là một lớp trong mô hình phòng thủ nhiều lớp, bên cạnh phân vùng mạng, quản lý truy cập, vá lỗi và quy trình vận hành. Nhưng với những luồng dữ liệu mà doanh nghiệp đã xác định rõ chỉ cần đi một hướng, giao việc bảo đảm điều đó cho phần cứng thay vì phần mềm là một lựa chọn đơn giản, dễ kiểm chứng và bền vững. Tài liệu kỹ thuật đầy đủ của ArrowLinx 1280 và ArrowLinx 5000 Series được công bố tại www.arrowlinx.com. Doanh nghiệp quan tâm có thể liên hệ Allied Solutions Global, văn phòng tại TP. Hồ Chí Minh, điện thoại +84 368 888 036, để được tư vấn và xem trình diễn trực tiếp.

Nguồn: ArrowLinx: giải pháp truyền dữ liệu một chiều bằng phần cứng cho mạng OT