An ninh mạng công nghiệp đang trở thành yêu cầu quan trọng

Trong nhiều năm, hệ thống điều khiển công nghiệp (OT - Operational Technology) thường được bảo vệ dựa trên mô hình Air-Gap, tức mạng sản xuất được tách biệt với các hệ thống bên ngoài.

Tuy nhiên, quá trình chuyển đổi số và triển khai Industry 4.0, IIoT, SCADA, MES và ERP đang làm thay đổi mô hình này. Dữ liệu sản xuất cần được kết nối theo thời gian thực giữa mạng OT và mạng IT, trong khi hoạt động bảo trì và giám sát từ xa cũng ngày càng phổ biến.

Khi ranh giới giữa OT và IT không còn hoàn toàn cách ly, máy tính công nghiệp (IPC), Edge Computer và máy chủ SCADA trở thành những điểm cần được bảo vệ ngay từ cấp độ phần cứng.

Một chiến lược an ninh mạng OT hiệu quả vì vậy không nên chỉ tập trung vào phần mềm. Nền tảng phần cứng cần có gốc tin cậy, cơ chế khởi động an toàn, phân tách mạng và khả năng chống can thiệp vật lý.

Bài viết này phân tích vai trò của IEC 62443-4-2, TPM 2.0, Secure Boot và 4 lớp phòng thủ phần cứng có thể áp dụng cho máy tính công nghiệp trong môi trường nhà máy.

1. Vì sao mô hình Air-Gap không còn đủ để bảo vệ hệ thống OT?

Môi trường CNTT văn phòng thường ưu tiên bảo vệ tính bảo mật của dữ liệu (Confidentiality). Trong khi đó, hệ thống OT lại đặc biệt coi trọng:

• Availability – Tính sẵn sàng
• Integrity – Tính toàn vẹn
• Khả năng duy trì hoạt động ổn định của dây chuyền sản xuất

Một sự cố an ninh mạng làm gián đoạn hệ thống điều khiển hoặc làm sai lệch dữ liệu có thể ảnh hưởng trực tiếp đến hoạt động sản xuất, thiết bị và an toàn vận hành.

Các trạm IPC trong nhà máy có thể phải đối mặt với nhiều kịch bản tấn công khác nhau.

1.1. Ransomware trong môi trường công nghiệp

Mã độc tống tiền có thể lây lan thông qua kết nối giữa mạng văn phòng và mạng nhà máy hoặc thông qua các thiết bị lưu trữ bên ngoài được sử dụng trên máy tính điều khiển.

Khi IPC hoặc hệ thống SCADA bị mã hóa hoặc gián đoạn, hoạt động sản xuất có thể bị ảnh hưởng nghiêm trọng.

1.2. Tấn công vào BIOS/UEFI và Firmware

Bootkit và Rootkit có thể nhắm đến tầng khởi động của máy tính như BIOS/UEFI.

Nếu mã độc được cài đặt ở tầng thấp trước khi hệ điều hành khởi động, các giải pháp bảo mật hoạt động bên trong Windows hoặc Linux có thể gặp khó khăn trong việc phát hiện và xử lý.

1.3. Giả mạo dữ liệu và thiết bị biên

Trong kiến trúc IIoT, dữ liệu từ cảm biến có thể được xử lý tại Edge IPC trước khi truyền lên hệ thống quản lý hoặc Cloud.

Nếu thiết bị biên và luồng dữ liệu không có cơ chế bảo vệ phù hợp, nguy cơ giả mạo dữ liệu hoặc can thiệp vào quá trình truyền thông có thể gia tăng.

2. IEC 62443-4-2 và yêu cầu bảo mật đối với thiết bị công nghiệp

IEC 62443-4-2 là tiêu chuẩn tập trung vào các yêu cầu kỹ thuật bảo mật đối với các thành phần trong hệ thống tự động hóa và điều khiển công nghiệp (IACS Components).

Tiêu chuẩn phân định các cấp độ an ninh (Security Levels - SL1 đến SL4) và đưa ra các yêu cầu liên quan đến khả năng bảo vệ thiết bị.

Đối với máy tính công nghiệp, các cơ chế bảo mật có thể tập trung vào:

• Nhận dạng và xác thực thiết bị.
• Bảo vệ tính toàn vẹn của phần mềm và firmware.
• Bảo vệ quá trình khởi động.
• Kiểm soát quyền truy cập.
• Hạn chế các giao diện vật lý không cần thiết.

Điều này cho thấy bảo mật phần cứng IPC cần được xem xét ngay từ khâu lựa chọn nền tảng thay vì chỉ bổ sung phần mềm bảo mật sau khi hệ thống đã được triển khai.

IEC 62443 và EU Cyber Resilience Act

Bên cạnh IEC 62443, các yêu cầu về an ninh mạng đối với sản phẩm phần cứng và phần mềm kết nối mạng tại thị trường châu Âu cũng ngày càng được chú trọng.

Định hướng Security-by-Design đặt vấn đề bảo mật ngay từ quá trình thiết kế sản phẩm, bao gồm việc xây dựng gốc tin cậy phần cứng và duy trì khả năng cập nhật bảo mật trong vòng đời thiết bị.

Đối với doanh nghiệp sản xuất và xuất khẩu thiết bị sang thị trường quốc tế, đây là yếu tố cần được tính đến ngay từ giai đoạn lựa chọn nền tảng phần cứng.

3. 4 lớp bảo mật phần cứng quan trọng cho máy tính công nghiệp

Một hệ thống IPC dành cho môi trường công nghiệp cần được xem xét bảo mật theo nhiều lớp thay vì phụ thuộc vào một giải pháp duy nhất.

Có thể xây dựng kiến trúc phòng thủ theo 4 lớp chính:

1. Hardware Root of Trust với TPM 2.0 và Secure Boot
2. Phân tách mạng bằng Dual/Triple Isolated LAN
3. Quản trị ngoài băng tần và khôi phục từ xa
4. Bảo vệ chống can thiệp vật lý

Lớp 1: Hardware Root of Trust với TPM 2.0 và Secure Boot

Chip TPM 2.0 là gì?

TPM 2.0 (Trusted Platform Module) là một thành phần bảo mật chuyên dụng được sử dụng để lưu trữ và xử lý các khóa mật mã, chứng chỉ số và thông tin xác thực một cách an toàn.

Trong máy tính công nghiệp, TPM 2.0 có thể đóng vai trò là Hardware Root of Trust, tạo nền tảng tin cậy cho các cơ chế bảo mật ở cấp độ hệ thống.

TPM có thể được sử dụng cùng các công nghệ như BitLocker, Secure Boot và Measured Boot để tăng cường khả năng bảo vệ dữ liệu và quá trình khởi động.

Secure Boot và Measured Boot

Trong quá trình khởi động, UEFI BIOS và TPM có thể phối hợp để kiểm tra tính toàn vẹn của các thành phần khởi động.

Mục tiêu là phát hiện những thay đổi bất thường đối với firmware, bootloader hoặc các thành phần liên quan trước khi hệ điều hành hoạt động.

Đây là một trong những lớp bảo vệ quan trọng khi doanh nghiệp cần tăng cường khả năng phòng chống các mối đe dọa ở tầng khởi động.

Lớp 2: Phân tách mạng bằng Dual/Triple Isolated LAN

Một trong những nguyên tắc quan trọng khi thiết kế hệ thống OT là phân tách các luồng mạng có mức độ tin cậy khác nhau.

Các Box PC công nghiệp có nhiều cổng Ethernet độc lập có thể được sử dụng để xây dựng kiến trúc mạng tách biệt.

Ví dụ mô hình phân tách mạng

LAN 1 – OT Network

Kết nối với các thiết bị và hệ thống sản xuất như:

• PLC
• Biến tần
• Camera kiểm tra
• Thiết bị cảm biến
• Modbus TCP
• Profinet
• EtherCAT

LAN 2 – IT/Management Network

Kết nối có kiểm soát với mạng quản trị của doanh nghiệp để truyền dữ liệu sản xuất đến:

• ERP
• MES
• Hệ thống giám sát
• Máy chủ quản trị

Việc phân tách này giúp giảm khả năng mã độc từ môi trường IT lan trực tiếp sang mạng điều khiển OT.

4. Quản trị ngoài băng tần và khôi phục hệ thống từ xa

Trong môi trường nhà máy, việc phải trực tiếp đến từng thiết bị để xử lý sự cố có thể làm tăng thời gian gián đoạn.

Các nền tảng hỗ trợ Out-of-Band Management cho phép quản trị phần cứng thông qua một kênh riêng biệt.

Một số công nghệ được sử dụng trong hệ sinh thái IPC bao gồm:

• Intel vPro
• ASUS IoT Cloud Console
• Advantech WISE-DeviceOn

Trong trường hợp hệ điều hành gặp sự cố hoặc bị mã hóa, khả năng quản trị phần cứng từ xa có thể hỗ trợ đội ngũ kỹ thuật:

• Khởi động lại thiết bị.
• Kiểm tra trạng thái hệ thống.
• Truy cập giao diện quản trị cấp BIOS với KVM over IP.
• Hỗ trợ khôi phục hệ thống từ bản sao lưu an toàn.

Điều này đặc biệt hữu ích đối với các hệ thống IPC được triển khai tại nhiều vị trí trong nhà máy.

5. Bảo vệ chống can thiệp vật lý cho Industrial PC

An ninh mạng OT không chỉ liên quan đến kết nối mạng. Quyền truy cập vật lý vào thiết bị cũng cần được kiểm soát.

Chassis Intrusion Detection

Cảm biến phát hiện mở nắp thùng máy có thể tạo cảnh báo khi vỏ IPC bị tháo mở trái phép.

Cơ chế này hỗ trợ doanh nghiệp phát hiện những hành động can thiệp vật lý vào bo mạch, ổ lưu trữ hoặc các thành phần bên trong thiết bị.

Port Locking

Các cổng USB hoặc giao diện ngoại vi không sử dụng có thể được khóa hoặc vô hiệu hóa theo cấu hình hệ thống.

Mục tiêu là hạn chế việc kết nối các thiết bị lưu trữ hoặc thiết bị ngoại vi không được cấp phép vào trạm điều khiển.

6. Các dòng máy tính công nghiệp hỗ trợ bảo mật tại PDD Technology

PDD Technology cung cấp nhiều nền tảng máy tính công nghiệp phục vụ các hệ thống tự động hóa, IIoT và Edge Computing.

Việc lựa chọn thiết bị cần dựa trên mức độ bảo mật yêu cầu, kiến trúc mạng, môi trường vận hành, giao thức kết nối và vòng đời hệ thống, thay vì chỉ dựa trên cấu hình CPU hoặc RAM.

7. Dịch vụ tư vấn và triển khai bảo mật phần cứng OT tại PDD

Để xây dựng hệ thống IPC phù hợp với môi trường sản xuất, PDD Technology hỗ trợ từ khâu đánh giá yêu cầu đến cấu hình và kiểm tra thiết bị.

7.1. Đánh giá rủi ro phần cứng

Khảo sát hạ tầng OT hiện tại và tư vấn:

• Kiến trúc mạng.
• Phân tách OT/IT.
• Cấu hình IPC.
• Mức độ bảo mật mục tiêu.
• Khả năng mở rộng hệ thống.

7.2. Cấu hình bảo mật trước khi giao hàng

Thiết bị có thể được cấu hình các cơ chế bảo mật phù hợp như:

• BIOS Password.
• Secure Boot.
• TPM 2.0.
• Mã hóa ổ đĩa.
• Khóa các cổng USB không sử dụng.

7.3. Kiểm tra Burn-in Test

Thực hiện kiểm tra khả năng hoạt động ổn định của thiết bị dưới tải liên tục trong thời gian 48 giờ theo quy trình của PDD.

7.4. Hỗ trợ vòng đời và firmware

PDD cung cấp lộ trình hỗ trợ kỹ thuật và cập nhật firmware/BIOS theo vòng đời của nền tảng, với mục tiêu duy trì tính ổn định và khả năng bảo trì cho hệ thống sản xuất dài hạn.

8. Vì sao nên bắt đầu an ninh mạng OT từ phần cứng?

Khi nhà máy ngày càng kết nối nhiều thiết bị OT với hệ thống IT, ERP, MES và Cloud, việc bảo vệ từng điểm kết nối trở nên quan trọng hơn.

Một máy tính công nghiệp không chỉ thực hiện nhiệm vụ xử lý dữ liệu. Trong nhiều kiến trúc tự động hóa, IPC còn đóng vai trò là điểm giao tiếp giữa thiết bị hiện trường, mạng OT và hệ thống quản trị.

Do đó, chiến lược bảo mật cần được xây dựng từ nền tảng:

Phần cứng tin cậy → Khởi động an toàn → Phân tách mạng → Quản trị từ xa → Kiểm soát truy cập vật lý

Việc kết hợp các lớp bảo vệ này giúp doanh nghiệp xây dựng nền tảng IPC phù hợp hơn cho SCADA, IIoT, Edge Computing và các hệ thống tự động hóa công nghiệp.

9. Tư vấn giải pháp máy tính công nghiệp và an ninh OT tại PDD Technology

PDD Technology cung cấp giải pháp máy tính công nghiệp cho các hệ thống tự động hóa, SCADA, IIoT, Edge AI và hạ tầng sản xuất.

Đội ngũ kỹ thuật có thể hỗ trợ doanh nghiệp lựa chọn cấu hình IPC, thiết kế phương án kết nối mạng và tích hợp các cơ chế bảo mật phần cứng phù hợp với yêu cầu dự án.

CÔNG TY CỔ PHẦN CÔNG NGHỆ PDD

• Hotline Dự án & Kỹ thuật: 0377.212.326
• Email hỗ trợ: ducha@pdd.vn | contact@pdd.vn
• Trụ sở: Số 7, đường số 8, KDC Dương Hồng, xã Bình Hưng, TP. Hồ Chí Minh
• Website B2B: PDD.VN
• Kênh SMB: LinhKienIT.VN

Liên hệ PDD Technology để được tư vấn cấu hình máy tính công nghiệp và giải pháp bảo mật phần cứng phù hợp với hệ thống OT của doanh nghiệp.