تربط أنظمة التحكم الإشرافي وجمع البيانات مراكز التحكم بوحدات التحكم القابلة للضوئية، ووحدات RTU، والعدادات، وأجهزة الاستشعار، وغيرها من المعدات الميدانية موزعة عبر المواقع الصناعية. في تطبيقات مثل معالجة المياه، توزيع الطاقة، النقل، والتصنيع، قد تكون هذه المواقع مفصولة لمسافات طويلة ومتصلة عبر شبكات خلوية عامة أو شبكات IP.
لذا فإن تصميم الوصول الآمن عن بعد يتطلب أكثر من مجرد تركيب جهاز اتصال. يجب أن تتحكم البنية في كيفية دخول وخروج البيانات من شبكة التكنولوجيا التشغيلية، وكيفية وصول المستخدمين إلى الأصول البعيدة، وكيفية استمرار الاتصالات أثناء فشل الشبكة.
يعمل الموجه الصناعي المدعم VPN كنقطة اتصال آمنة بين أجهزة الميدان وبيئة SCADA المركزية.
الأهداف الرئيسية لهندسة الوصول عن بعد في SCADA
يجب أن تكون هناك عدة أهداف أساسية في هيكلية مصممة بشكل جيد.
•السرية: تجنب قراءة البيانات من قبل المستخدمين غير المصرح لهم.
•السلامة والنزاهة: يجب الحفاظ على التعديلات على الأوامر والإنذارات وقيم العمليات.
•التوفر: ساعد في الحفاظ على التواصل باستخدام التكرار والفشل عند التكوين..
•الوصول المدار: يجب أن يقتصر الوصول إلى أصول SCADA على الأنظمة والمستخدمين المصرح لهم.
الموجه هو عنصر في هذه البنية. يعتمد أمان البنية على التقسيم، والجدران النارية، والسياسات، والمصادقة، ومراقبة وصيانة الشبكة.
طبقات الهندسة المعمارية الموصى بها
طبقة أجهزة الميدان
قد تشمل طبقة الحقل:
•وحدات PLC وRTUs
•العدادات الذكية ومحطات الحماية
•الحساسات والمشغلات
•الهيدرات المحلية
•أجهزة Serial Modbus
•وحدات التحكم المعتمدة على الإيثرنت
عادة ما تبقى هذه الأجهزة ضمن شبكة OT محلية مخصصة بدلا من أن تكون معرضة مباشرة للإنترنت.
يمكن لموجه صناعي يدعم VPN ربط الإيثرنت والأصول التسلسلية مع إنشاء حدود محكومة بين شبكة الميدان وشبكة WAN الخارجية.
طبقة أمان المواقع البعيدة
سيحتاج راوجهات المواقع البعيدة إلى تنفيذ عدة مهام مختلفة:
• فصل شبكة OT المحلية عن الشبكة العامة أو شبكة الناقلين
• تطبيق قواعد جدار حماية مختلفة على حركة المرور المتجهة إلى الشبكة العامة والقادمة منها.
• بناء نفق VPN آمن ومشفر.
• تقييد الإدارة عن بعد.
• مراقبة حالة WAN وإنهاء أو تبديل الرابط الفاشل عند الحاجة.
• تحويل الإرسال إلى WAN مختلف إذا لزم الأمر.
عند تطبيق سياسات جدار الحماية، يجب تطبيق مبدأ أقل امتياز. وهذا يعني أنه يجب فتح عناوين IP الضرورية، والمنافذ، والبروتوكولات الصناعية فقط.
طبقة الاتصال WAN
قد تستخدم مواقع SCADA البعيدة ما يلي:
•شبكات 4G و5G الخلوية
•النطاق العريض الثابت
• APN خاص
•الواي فاي الصناعي
• روابط متعددة من WAN
قد تكون المواقع الحرجة مزودة بتقنيات الراوتر ذات الشريحة المزدوجة أو عدة أجهزة WAN لتقليل الاعتماد على مزود خدمة واحد. يجب أن يتتبع الراوتر الاتصال الأساسي ويقوم تلقائيا بالتحويل التلقائي (فقط عندما تدعم الراوتر وسياسة SIM والبرنامج الثابت ذلك) إلى مسار ثانوي إذا تعرض المسار الأساسي لعطل في الاتصالات.
VPN المركزي والمنطقة المنزوعة السلاح المفتوحة
عادة ما تنتهي أنفاق VPN عند جدار حماية مركزي أو بوابة VPN تقع في منطقة منزوعة السلاح في الزمان.
يمكن أن يحتوي DMZ على ما يلي:
•تركيزات VPN
•خوادم القفز
•بوابات الوصول عن بعد
•منصات المراقبة
• التحديثات والتحديثات للخوادم
• أنظمة جمع السجلات
يمنع هذا الترتيب اتصالات الحقل البعيد من الوصول مباشرة إلى خوادم SCADA.
طبقة الإشراف في SCADA
تتكون مكونات الطبقة الإشرافية من خوادم SCADA، ومؤرخين، ومحطات عمل هندسية، وأنظمة إنذار، وأنظمة مشغل.
يجب تصفية حركة المرور من منطقة DMZ الأصلية إلى SCADA بواسطة جدران الحماية الداخلية. يجب السماح فقط بمسارات الاتصال المعتمدة.
استخدام شبكات VPN للتواصل مع SCADA
يمكن تنفيذ نفق VPN من موقع إلى موقع خارج الموقع إلى مركز التحكم باستخدام راوتر صناعي مزود ب VPN.
تشمل تقنيات VPN الشائعة IPsec وOpenVPN. يجب أن تلبي تقنية VPN المستخدمة جميع السياسات المطلوبة.
من أفضل الممارسات الأمنية ضمان ما يلي:
• كل موقع بعيد يستخدم شهاداته/اعتماداته الفريدة الخاصة.
• لا توجد كلمات مرور مشتركة على أجهزة التوجيه المختلفة للمواقع البعيدة.
•خدمات VPN غير المستخدمة ومنافذ الإدارة معطلة.
•يستخدم أمن الوصول عن بعد المصادقة متعددة العوامل، ويعد فصل الأنفاق بين الآلات والأنفاق الهندسية أفضل ممارسة.
•حتى مع تشفير VPN، يبقى اختراق نقطة النهاية يشكل خطرا؛ لا تزال الحاجة إلى تقوية ومراقبة نقاط النهاية ضرورية.
• على الرغم من أن VPN يشفر حركة المرور، إلا أن التسلل على نقطة النهاية لا يزال مصدر قلق كبير ويعد ممارسة مفضلة.
التصميم من أجل مرونة الشبكة
يجب أن يشمل تصميم العمارة:
فشل الاتصال
يمكنه التبديل تلقائيا لاستخدام شريحة مختلفة، أو مزود هاتف مختلف، أو تقنية خلوية مختلفة، أو اتصال سلكي.
استمرارية التحكم المحلي
يجب أن تتحكم وحدات PLC وRTUs في العملية حتى لو كانت منفصلة عن نظام SCADA المركزي.
تخزين البيانات
قد يتم تخزين قيم العمليات ذات الأهمية مؤقتا في PLC أو وحدة RTU أو بوابة الحافة أو المؤرخ المحلي، وترسل لاحقا عندما يتوفر الاتصال مرة أخرى.
إنذارات الاتصال
يجب أن تولد منصة SCADA إنذارات عندما:
• ينفصل نفق VPN
• يصبح الموقع البعيد غير قابل للوصول
•قوة الإشارة تنخفض إلى أقل من المستوى المقبول
• تكرار عمليات التجاوز
• تتغير إعدادات الموجه بشكل غير متوقع
إدارة معدات التسلسلات والإيثرنت
تحتوي العديد من شبكات SCADA على وحدات تحكم إيثرنت حديثة وأجهزة تسلسلية قديمة.
قد يساعد جهاز التوجيه الصناعي مع دعم VPN في دمج هذه الاتصالات من خلال دعم:
• واجهات RS-232 و RS-485
•الاتصال من التسلسل إلى بروتوكول الإنترنت
• تحويل Modbus من RTU إلى Modbus TCP
• تحويل الإيثرنت المحلي
•نقل البيانات الواعي بالبروتوكول
ومع ذلك، يجب توثيق تحويل البروتوكول بعناية. يجب على المهندسين تأكيد العناوين، وفترات الاستطلاع، وقيم المهلة، والتعامل مع الاستثناءات، وتوافق الأجهزة قبل النشر.
كيف تدعم تيسبرو مشاريع هندسة SCADA
بصفتها مصنعا لمعدات الاتصالات الصناعية، تستطيع تيسبرو توسيع خدماتها للعملاء إلى ما هو أبعد من توفير أجهزة التوجيه.
تقييم الطلب
تستطيع تيسبرو تقييم:
• واجهة جهاز الحقل
• الظروف في الشبكة الخلوية
متطلبات ال VPN
• البروتوكولات الصناعية المطلوبة
•العوامل البيئية
•التكرار
اختيار الأجهزة والضبط
اعتمادا على التطبيق، لدى Tespro القدرة على التوصية بجهاز التوجيه الصناعي المناسب مع VPN، والواجهة المطلوبة، وتكوين الهوائي، والوضع المفضل للشبكة.
دعم البروتوكولات
بالنسبة للأنظمة التي تحتوي على وحدات PLC وأجهزة تسلسلية وأجهزة إيثرنت، لدى Tespro القدرة على التخطيط للاتصال وتحويل البروتوكول.
دعم النشر
تستطيع تيسبرو المساعدة في الدعم ل:
•تكوين شبكات VPN
•تحويل الفشل باستخدام الشرائح المزدوجة
•سياسات الجدار الناري والتوجيه
•تكوين المنفذ التسلسلي
• الوصول والإدارة عن بعد
• التركيب والتكليف
الدعم للتعديل والدعم المستمر
قد تتطلب التطبيقات الصناعية تطوير نطاقات خلوية مخصصة، أو تكوينات متخصصة، أو برمجيات وواجهات مخصصة. يتيح العمل مع الشركة المصنعة مباشرة للعميل تبسيط التنسيق الفني وإنشاء مسار أكثر موثوقية للتنفيذ على نطاق واسع بعد الانتهاء من الاختبارات.
الأفكار النهائية
هناك حاجة إلى تقنية متعددة الطبقات لتصميم أنظمة SCADA تضمن استمرار التحكم المحلي، وتكرار الشبكة الواسعة، ومركزية التحكم في المنطقة المحلية.
الراوتر الصناعي مع VPNيوفر مسار اتصال متحكم به مع أجهزة الميدانومع ذلك، فإن تصميم النظام ككل هو ما سيحدد مدى أمان النظام.
تستطيع تيسبرو، من خلال توفير أجهزة الشبكات الصناعية ودعم تكامل الاتصالات والبروتوكولات، بالإضافة إلى دعم التكوين والتطبيق، مساعدة المدمجين والمستخدمين النهائيين في تطوير أنظمة SCADA آمنة وقابلة للصيانة للوصول عن بعد.
الأسئلة الشائعة
س1. كيف تزيد البطاقة المزدوجة من موثوقية الشبكة؟
مع الشريحة المزدوجة، يمكن للراوتر استخدام مزود خلوي آخر عندما يفشل أحد المسارات.
س2. لماذا تعتبر حماية VPN ضرورية لأنظمة SCADA؟
نظرا لأن أنظمة SCADA تحتوي على حزم أوامر بيانات وتحكم معرضة لخطر التعرض عبر شبكات غير مؤمنة، يمكن لاستخدام VPN حماية هذه الحزم.
س3. هل يمكن لأجهزة التوجيه الصناعية توصيل وحدات التحكم القابلة للبرمجة (PLC) ووحدات RTU؟
نعم. من الممكن للأجهزة الصناعية الاتصال بالأجهزة المذكورة أعلاه، اعتمادا على تكوين الراوتر، بالإضافة إلى أجهزة أخرى تستخدم إيثرنت وRS-232 وRS-485.
س4. ما هي بروتوكولات حماية VPN المستخدمة؟
غالبا ما يكون الوصول الصناعي عن بعد محميا ببروتوكولات مثل IPsec وOpenVPN.
س5. هل يجوز توصيل أنظمة SCADA مباشرة بالإنترنت؟
لا ينصح بكشف أنظمة SCADA بشكل مباشر. يجب أن يتم الوصول عبر VPN وجدار حماية داخل منطقة شبكة مسيطر عليها.
