IEC 62443 OT javításkezelés a Schneider Modicon M580 és a Phoenix Contact mGuard tűzfalakhoz

Gyakorlati IEC 62443-2-3 kompatibilis javításkezelési munkafolyamat Schneider Modicon M580 PLC-k és Phoenix Contact FL mGuard RS4000 tűzfalak számára — beleértve a CVSS kockázatértékelést, szakaszos tesztelési eljárásokat, visszaállítási protokollokat és változáskezelési dokumentációt.

Miért más az OT javításkezelés, mint az IT-é

Egy IT szerver javítása perceket vesz igénybe. Egy működő PLC javítása egy folyamatüzemben termelésleállást idézhet elő. Az IEC 62443-2-3 közvetlenül kezeli ezt a különbséget. A javításkezelést folyamatos életciklus-folyamatként definiálja, nem egyszeri eseményként. A szabvány előírja, hogy az eszköztulajdonosok kockázatértékelést végezzenek bármilyen javítás alkalmazása előtt. A CVSS v3.1 pontozás kvantitatív alapot nyújt a prioritások meghatározásához.

A Schneider Modicon M580 firmware sebezhetőségek rendszeresen megjelennek az ICS-CERT ADVISORIES adatbázisban. 2024-ben három figyelmeztetés érintette a 3.30 alatti M580 firmware verziókat. A legsúlyosabb CVSS 9,8 pontot ért el. A Phoenix Contact FL mGuard RS4000-nek ugyanebben az időszakban két figyelmeztetése volt. Mindkét rendszer EtherNet/IP 2. szintű hálózatokban működik folyamatüzemekben. Egyik javítása befolyásolja az EtherNet/IP CIP kapcsolatot az egész I/O hálózathoz. Ezért egy strukturált eljárás megakadályozza a kontrollálatlan kockázatot.

Javítási kockázatértékelés és CVSS pontozás

Bármilyen javítási lépés előtt értékelje a figyelmeztetést négy szempont alapján: CVSS alap pontszám, támadási vektor, kihasználhatóság és rendelkezésre állásra gyakorolt hatás. 7,0 feletti pontszám esetén 30 napon belüli intézkedés szükséges. 9,0 feletti pontszám esetén 72 órán belüli sürgős javítás szükséges.

Használja a Schneider Electric PSIRT szolgáltatást az M580 figyelmeztetésekhez. A mGuard figyelmeztetésekhez használja a Phoenix Contact Security Portált. Mindkettő közzéteszi a gyártó által megerősített CVSS pontszámokat és javítási lépéseket.

Ezen felül értékelje a meglévő kompenzáló kontrollokat. Ha a mGuard már blokkolja a külső UDP 502 portot, az M580 Modbus sebezhetőség hálózati kihasználhatósága csökken. Állítsa be a tényleges kockázati pontszámot, és dokumentálja a kompenzáló kontrollokat az IEC 62443-2-1 kockázati nyilvántartásban.

Szakaszos javítási tesztelési eljárás

Soha ne alkalmazzon firmware frissítést közvetlenül egy éles M580 vagy mGuard eszközön. Használjon szakaszos megközelítést: laboratóriumi validálás, előkészítő környezet, majd éles üzem. Kövesse az alábbi lépéseket:

• 1. lépés: Töltse le az M580 firmware csomagot a Schneider Electric Exchange portálról. Ellenőrizze a SHA-256 hash értéket a közzétett értékkel. Rögzítse a hash-t a változáskezelési jegyben. Az FL mGuard firmware esetén töltse le a Phoenix Contact Software Centerből, és ellenőrizze az MD5 ellenőrző összeget.
• 2. lépés: Alkalmazza a firmware-t egy azonos M580 egységen a teszt laborban. Használja a Unity Pro XL vagy EcoStruxure Control Expert szoftvert a firmware átviteléhez az USB szolgáltatási porton keresztül 115 200 baud sebességgel. Figyelje az átvitel előrehaladási sávját. Az átvitel teljes ideje körülbelül 8 perc egy teljes M580 BME P58 1020 firmware kép esetén.
• 3. lépés: Az átvitel után ellenőrizze a firmware verziót az EcoStruxure Control Expertben a PLC — Tulajdonságok — Processzor verzió menüpont alatt. Győződjön meg róla, hogy megegyezik a figyelmeztetés javítási táblázatában szereplő célverzióval.
• 4. lépés: Végezze el a funkcionális teszt protokollt. Futtasson 4 órás automatizált I/O ciklus tesztet. Ellenőrizze az EtherNet/IP CIP implicit üzenetküldést az összes távoli I/O adapterhez. Erősítse meg a 10 ms-os RPI-t (Requested Packet Interval) és a kapcsolat időtúllépési riasztások hiányát.
• 5. lépés: Az mGuard esetén készítsen biztonsági mentést a jelenlegi tűzfal szabályzatról a javítás előtt. Az mGuard webes felületén navigáljon a Kezelés — Konfigurációs profilok — Export menüponthoz. Mentse el a .tar.gz biztonsági mentési fájlt a változáskezelő szerverre. Alkalmazza a firmware frissítést HTTPS-en (443-as port). Ellenőrizze, hogy az összes VLAN útválasztási szabály és IPsec alagút konfiguráció megmarad a rendszer újraindítása után.
• 6. lépés: Dokumentálja a teszt eredményeket a változáskezelési nyilvántartásban. Tartalmazza a firmware verzió és a tűzfal szabályok számának előtte-utána képernyőképeit. Szerezze be az aláírást a folyamat tulajdonosától és az OT biztonsági felelőstől, mielőtt ütemezné az éles javítást.

VLAN szegmentáció és mGuard tűzfal szabályzat felülvizsgálat

A Phoenix Contact FL mGuard RS4000 támogatja az állapotfüggő csomagszűrést és az 802.1Q VLAN címkézést. Egy tipikus üzemarchitektúrában az M580 a VLAN 10-ben (2. szint) helyezkedik el. A történeti adatgyűjtő és munkaállomások a VLAN 20-ban (3. szint) vannak. Az mGuard érvényesíti a VLAN 10/20 határt.

Javítás előtt vizsgálja felül a tűzfal szabályzatot a felesleges nyitott portok miatt. Gyakori hibás konfigurációk:

• TCP 102 (S7) korlátlanul a VLAN 20-ról VLAN 10-re — blokkolja, kivéve ha Siemens PG/PC hozzáférés szükséges
• UDP 44818 (EtherNet/IP I/O) kétirányúan nyitva — korlátozza konkrét M580 és adapter IP párokra
• TCP 80 (HTTP) az mGuard interfészhez VLAN 20-ról — cserélje TCP 443 HTTPS-re
• ICMP korlátlan — korlátozza csak echo-kérésre az OT történeti adatgyűjtő IP-jéről

Engedélyezze az mGuard kapcsolatnaplózást SIEM syslog számára UDP 514 porton a VLAN 30 felé. Erősítse meg a syslog folytonosságát a javítás utáni ellenőrzés részeként. A BMENOC0311 Modicon M580 hálózati modul támogatja az EtherNet/IP kapcsolatot, amelyet minden tűzfal szabályzat változtatás után ellenőrizni kell.

Éles javítás végrehajtása és visszaállítási protokoll

Ütemezze az éles javítást egy tervezett karbantartási ablakra. Állítsa az M580-at kézi módba. Erősítse meg, hogy minden PID szabályozó stabil. Jelöljön ki egy dedikált kezelőt a 15 perces javítási időszakra.

Az M580 firmware-t EcoStruxure Control Expert segítségével töltse fel az Ethernet kezelő porton keresztül. Ne használja a Modbus TCP 502 portot firmware átvitelre. Az M580 automatikusan újraindul. Az újraindítás 45–60 másodpercet vesz igénybe. Erősítse meg, hogy a RUN LED folyamatos zöld, mielőtt feloldja a kézi vezérlést.

Visszaállításhoz használja a Control Expert Menü — PLC — Előző verzió visszaállítása opciót. Ez az eljárás 6 percet vesz igénybe. Erősítse meg, hogy az üzem elfogad egy 10 perces teljes leállási időablakot a változáskezelési jóváhagyásban. Az mGuard visszaállításhoz importálja a mentett .tar.gz profilt a Kezelés — Konfigurációs profilok — Import menüponton keresztül. Minden tűzfal szabály 90 másodpercen belül visszaáll. Ellenőrizze az EtherNet/IP kapcsolatot a Modicon X80 EIO Drop Adapter felé azonnal a visszaállítás után.

Következtetés és javaslatok

Az IEC 62443-2-3 szerinti javításkezelés az OT rendszerek számára fegyelmet igényel, nem sebességet. Prioritizálja a javításokat a CVSS v3.1 pontszám alapján, figyelembe véve a kompenzáló kontrollokat. Minden firmware frissítést validáljon laboratóriumban az éles üzem előtt. Minden frissítés előtt készítsen biztonsági mentést az mGuard tűzfal szabályzatról. Minimalizálja a termelési leállást a firmware előzetes előkészítésével és visszaállítási eljárások előkészítésével. Minden javítási ciklus során vizsgálja felül a tűzfal szabályokat a felesleges portok lezárásához. Dokumentáljon minden lépést az eredeti és a módosított állapotot igazoló feljegyzésekkel, amelyeket az OT biztonsági felelős aláír. Ez a munkafolyamat biztonságban tartja a Schneider Modicon M580 és Phoenix Contact mGuard telepítéseket anélkül, hogy veszélyeztetné a termelés rendelkezésre állását.

Szerző: Zhang Hua ipari automatizálási mérnök, több mint 10 éves tapasztalattal PLC, DCS és vezérlőrendszerek területén.