Сегментация промышленной сети начинается не с покупки межсетевого экрана и не с деления адресов на VLAN. Сначала нужно понять, какие устройства реально обмениваются данными, зачем им это требуется и что изменится, если связь будет ограничена. В АСУ ТП неосторожное правило может остановить архивирование, убрать оператору сигнал или нарушить работу контроллера. Поэтому карта связей — рабочий документ для производства и ИБ, а не схема «для аудита».
Материал описывает безопасную подготовку к изменению сегментов сети на промышленном объекте. Конкретные настройки, тесты, порядок допуска и аварийное восстановление определяют владельцы технологического процесса, документация изготовителей и утверждённая процедура управления изменениями.
Разделить зоны по функции, а не по удобству нумерации
Полезно начать с функций: поле и исполнительные механизмы, контроллеры, операторские станции, инженерные рабочие места, серверы архива и диспетчеризации, удалённый доступ, корпоративные сервисы. Устройства с разными владельцами, уровнем доверия и последствиями отказа не следует считать одним доменом только потому, что они стоят в соседних шкафах. NIST в руководстве по безопасности OT связывает сегментацию с организацией устройств по расположению или функции и с картированием допустимых потоков данных.
Название зоны должно говорить о её назначении, а не только о номере. Тогда на обсуждении легче увидеть, что связь «офисный ноутбук — контроллер» отличается от связи «операторская станция — сервер архива». Для смысловой части сигналов полезна статья о паспорте сигнала АСУ ТП: сеть передаёт данные, но назначение каждого из них должно оставаться понятным после изменения.
Собрать фактические потоки до проектирования правил
В таблицу включают источник, получатель, роль связи, протокол или сервис в объёме, достаточном для согласования, владельца, периодичность и последствия отсутствия обмена. Не нужно подменять инвентаризацию активным сканированием без разрешения: некоторые производственные устройства чувствительны к непредусмотренной диагностике. Начинают с проектной документации, конфигураций, журналов, данных мониторинга и интервью с технологами; способ уточнения выбирают по локальному регламенту.
Отдельно выделяют временные соединения: инженерное обслуживание, подрядчики, передача отчётов, диагностика и резервное копирование. Именно они часто оказываются вне постоянной схемы, но влияют на доступность. Существующий материал о доступе в АСУ ТП без общих учётных записей помогает отделить персональную ответственность за доступ от общей сетевой видимости.
Согласовать минимально необходимую связь
После инвентаризации для каждой границы зоны формулируют разрешённый обмен, а не список того, что «обычно должно работать». Хорошее правило отвечает на вопросы: кто инициирует связь, к какому узлу, для какой технологической функции, по какому согласованному сервису и как будет видно отклонение. Запрет по умолчанию без проверки может быть столь же опасен, как открытая связь: важно не обрывать критичные зависимости.
Граница между корпоративным и производственным контурами заслуживает отдельной оценки. Если требуется передавать данные, владельцы определяют контролируемый маршрут и условия доступа вместо прямого подключения «для удобства». Нельзя переносить типовой дизайн на объект без учёта его контроллеров, систем безопасности, устаревших компонентов и режима работы.
Не оставлять исключения вне схемы
Временное правило для подрядчика, диагностический ноутбук, модем, беспроводной мост или обмен с внешним сервисом — такие соединения нужно включать в карту так же, как постоянные. Для каждого исключения задают владельца, срок действия, цель и способ закрытия. Если связь нужна только на время работ, её не стоит превращать в бессрочный маршрут, о котором узнают после инцидента или очередного обновления.
Физическая защита и доступ в шкаф также входят в реальную границу сети. Настройка межсетевого экрана не компенсирует свободный доступ к порту или общую учётную запись на инженерной станции. Поэтому сетевое изменение согласуют с теми, кто отвечает за технологию, эксплуатацию, физический доступ и информационную безопасность, а разногласия фиксируют до окна работ.
Подготовить изменение как производственную работу
В заявке описывают исходное состояние, цель, затронутые зоны, согласованные потоки, окно работ, роли исполнителей, критерии успеха и понятный план возврата. До переключения проверяют актуальность резервной копии конфигурации и способ её восстановления; при этом копия должна быть читаемой и привязанной к версии. Подробнее этот контур разобран в статье о резервном копировании конфигурации ПЛК.
Тестирование организуют на согласованном наборе сценариев: оператор видит нужные экраны и тревоги, контроллеры обмениваются обязательными данными, архив получает значения, инженерный доступ работает только по утверждённому маршруту. Не следует проверять всё массовым отключением действующей сети. Если сценарий нельзя безопасно подтвердить, это ограничение фиксируют и переносят решение в ответственный технический контур.
Проверить результат и сохранить карту живой
После изменения сравнивают фактический обмен с согласованной таблицей, проверяют журналы и подтверждают работу с владельцем процесса. Ошибка «пингуется — значит готово» здесь недостаточна: доступность сетевого адреса не подтверждает прикладной сценарий, корректность данных и безопасность управления. Изменённые правила, схема, даты, ответственные и результат проверки входят в одну версию документации.
Новость о соглашении МФТИ, Академии горных наук и IMC Montan отражает интерес отрасли к цифровым решениям. Однако конкретная сегментация остаётся инженерной задачей объекта и не может строиться по новостному сообщению или общей схеме из презентации.
Практический маршрут
- Определить технологические функции и владельцев каждой зоны.
- Собрать фактические потоки из документации и разрешённых источников наблюдения.
- Согласовать только необходимые связи и их назначение.
- Подготовить окно работ, критерии проверки и обратный план.
- Подтвердить прикладные сценарии после изменения и обновить карту.
Вопросы и ответы
Достаточно ли разделить сеть на VLAN?
VLAN может быть частью решения, но сам по себе не описывает допустимые потоки, владельцев, правила границ и проверку технологических сценариев. Архитектуру выбирают по рискам и ограничениям объекта.
Можно ли выявить все связи активным сканированием?
Не без согласования. В OT-среде метод обследования выбирают так, чтобы не создавать непредусмотренную нагрузку и не менять состояние оборудования.
Что считать успешной проверкой после сегментации?
Не только доступность адресов, а воспроизводимое выполнение согласованных операторских, управляющих, архивных и сервисных сценариев без лишних соединений.
Вывод. Сегментация промышленной сети становится управляемой, когда ей предшествуют карта реальных потоков, согласование функций и проверяемый план изменения. Тогда граница сети поддерживает технологический процесс, а не становится неожиданным источником простоя.
Комментарии