IEC 62443 OT патчтарды басқару Schneider Modicon M580 және Phoenix Contact mGuard брандмауэрлері үшін

IEC 62443-2-3 стандартына сәйкес Schneider Modicon M580 PLC-лері мен Phoenix Contact FL mGuard RS4000 брандмауэрлері үшін практикалық патчтарды басқару жұмыс процесі — CVSS тәуекелін бағалау, кезең-кезеңімен тестілеу процедуралары, кері қайтару хаттамалары және өзгерістерді бақылау құжаттамасын қоса.

OT патчтарын басқару IT-ден неге өзгеше

IT серверін патчтау бірнеше минутты алады. Өндірістік зауыттағы жұмыс істеп тұрған PLC-ні патчтау өндірісті тоқтатуға әкелуі мүмкін. IEC 62443-2-3 осы айырмашылықты тікелей қарастырады. Ол патчтарды басқаруды бір реттік оқиға емес, үздіксіз өмірлік цикл процесі ретінде анықтайды. Стандарт актив иелерінен кез келген патчты қолданбас бұрын тәуекелді бағалауды талап етеді. CVSS v3.1 баллдары басымдықты сандық негізде береді.

Schneider Modicon M580 микробағдарламасының осалдықтары ICS-CERT ADVISORIES дерекқорында тұрақты түрде пайда болады. 2024 жылы үш хабарлама 3.30-дан төмен M580 микробағдарламаларына әсер етті. Ең маңыздысы CVSS 9.8 баллына жетті. Phoenix Contact FL mGuard RS4000-ге де сол кезеңде екі хабарлама түсті. Екі жүйе де өндірістік зауыттардағы EtherNet/IP 2-деңгей желілерінде орналасқан. Біреуін патчтау EtherNet/IP CIP байланысын бүкіл I/O желісіне әсер етеді. Сондықтан құрылымдалған процедура бақылаусыз тәуекелді болдырмайды.

Патч тәуекелін бағалау және CVSS баллдары

Кез келген патч қолданбас бұрын хабарламаны төрт критерий бойынша бағалаңыз: CVSS негізгі баллы, шабуыл векторы, пайдалану мүмкіндігі және қолжетімділікке әсері. 7.0-ден жоғары балл 30 күн ішінде әрекет жасауды талап етеді. 9.0-ден жоғары балл 72 сағат ішінде шұғыл патчтауды қажет етеді.

M580 хабарламалары үшін Schneider Electric PSIRT қызметін пайдаланыңыз. mGuard хабарламалары үшін Phoenix Contact Security Portal-ды қолданыңыз. Екеуі де өндіруші расталған CVSS баллдары мен түзету қадамдарын жариялайды.

Сонымен қатар, бар өтемдік бақылауларды бағалаңыз. Егер mGuard сырттан UDP 502 портын бұғаттаса, M580-дегі Modbus осалдығы желі арқылы пайдалану мүмкіндігін азайтады. Тиімді тәуекел баллын түзетіп, өтемдік бақылауларды IEC 62443-2-1 тәуекелдер тізілімінде құжаттаңыз.

Кезең-кезеңімен патчты тестілеу процедурасы

Өндірістік M580 немесе mGuard-қа микробағдарламаны тікелей қолданбаңыз. Кезең-кезеңімен тәсілді қолданыңыз: зертхана тексерісі, дайындық ортасы, содан кейін өндіріс. Төмендегі қадамдарды орындаңыз:

• 1-қадам: Schneider Electric Exchange порталынан M580 микробағдарламасының пакетін жүктеп алыңыз. SHA-256 хэшін жарияланған мәнмен салыстырыңыз. Хэшті өзгерістерді бақылау билетіндегі жазбаға енгізіңіз. FL mGuard микробағдарламасы үшін Phoenix Contact Software Center-ден жүктеп, MD5 тексеру сомасын растаңыз.
• 2-қадам: Микробағдарламаны зертханадағы бірдей M580 құрылғысына қолданыңыз. Unity Pro XL немесе EcoStruxure Control Expert арқылы USB қызметтік порт арқылы 115,200 бод жылдамдықпен микробағдарламаны жіберіңіз. Жіберу барысын бақылаңыз. Толық M580 BME P58 1020 микробағдарламасының жіберілу уақыты шамамен 8 минут.
• 3-қадам: Жіберуден кейін EcoStruxure Control Expert бағдарламасында PLC — Properties — Processor Version бөлімінде микробағдарлама нұсқасын тексеріңіз. Ол хабарламадағы мақсатты нұсқамен сәйкес келуін растаңыз.
• 4-қадам: Функционалдық тест протоколын орындаңыз. 4 сағаттық автоматтандырылған I/O циклін жүргізіңіз. Барлық қашықтағы I/O адаптерлеріне EtherNet/IP CIP имплицитті хабарламаларын тексеріңіз. RPI (Requested Packet Interval) 10 мс және байланыс уақытының аяқталу дабылы жоқ екенін растаңыз.
• 5-қадам: mGuard үшін патчтаудан бұрын ағымдағы брандмауэр ережелерінің сақтық көшірмесін жасаңыз. mGuard веб-интерфейсінде Management — Configuration Profiles — Export бөліміне өтіңіз. .tar.gz сақтық көшірме файлын өзгерістерді басқару серверіне сақтаңыз. HTTPS (443 порт) арқылы микробағдарламаны жаңартыңыз. Қайта жүктеуден кейін барлық VLAN бағыттау ережелері мен IPsec туннель конфигурацияларының сақталғанын тексеріңіз.
• 6-қадам: Тест нәтижелерін өзгерістерді бақылау жазбасында құжаттаңыз. Микробағдарлама нұсқасының және брандмауэр ережелерінің санының бұрынғы және кейінгі скриншоттарын қосыңыз. Өндірісті патчтауды жоспарламас бұрын процесс иесі мен OT қауіпсіздік офицерінен бекітуді алыңыз.

VLAN сегментациясы және mGuard брандмауэр саясатын қарау

Phoenix Contact FL mGuard RS4000 күйлі пакет тексеру және 802.1Q VLAN таңбалауын қолдайды. Қалыпты зауыт архитектурасында M580 VLAN 10 (2-деңгейде) орналасқан. Гисториан және жұмыс станциялары VLAN 20-де (3-деңгейде). mGuard VLAN 10/20 шекарасын бақылайды.

Патчтаудан бұрын брандмауэр ережелерін қажетсіз ашық порттар үшін тексеріңіз. Жалпы қате конфигурациялар:

• VLAN 20-ден VLAN 10-ға TCP 102 (S7) шектеусіз — Siemens PG/PC қолжетімділігі қажет болмаса бұғаттаңыз
• UDP 44818 (EtherNet/IP I/O) екі бағытта ашық — нақты M580 және адаптер IP жұптарына шектеңіз
• VLAN 20-ден mGuard интерфейсіне TCP 80 (HTTP) — тек TCP 443 HTTPS-пен ауыстырыңыз
• ICMP шектеусіз — тек OT гисториан IP-ден echo-request-ке шектеңіз

SIEM syslog үшін mGuard қосылым журналын UDP 514 арқылы VLAN 30-ға қосыңыз. Патчтан кейінгі тексеру кезінде syslog үздіксіздігін растаңыз. BMENOC0311 Modicon M580 желілік модулі EtherNet/IP байланысын қолдайды, оны брандмауэр саясатын өзгерткеннен кейін тексеру қажет.

Өндірістік патч қолдану және кері қайтару хаттамасы

Өндірістік патчтауды жоспарланған техникалық қызмет көрсету терезесінде өткізіңіз. M580-ді қолмен басқару режиміне ауыстырыңыз. Барлық PID циклдарының тұрақты екенін растаңыз. 15 минуттық патч терезесі үшін арнайы оператор тағайындаңыз.

EcoStruxure Control Expert арқылы Ethernet басқару порты арқылы M580 микробағдарламасын жіберіңіз. Микробағдарламаны жіберу үшін Modbus TCP 502 портын пайдаланбаңыз. M580 автоматты түрде қайта жүктеледі. Қайта жүктеу 45–60 секундты алады. RUN индикаторы тұрақты жасыл болғанда қолмен басқаруды босатыңыз.

Кері қайтару үшін Control Expert мәзірінен PLC — Restore Previous Version тармағын пайдаланыңыз. Бұл процедура 6 минутты алады. Өндіріс жұмыстары 10 минуттық жалпы тоқтау уақытын қабылдайтынын өзгерістерді бақылау бекітуінде растаңыз. mGuard кері қайтару үшін сақталған .tar.gz профилін Management — Configuration Profiles — Import арқылы импорттаңыз. Барлық брандмауэр ережелері 90 секунд ішінде қалпына келеді. Қалпына келтіргеннен кейін дереу Modicon X80 EIO Drop Adapter EtherNet/IP байланысын тексеріңіз.

Қорытынды және іс-әрекетке кеңес

OT жүйелері үшін IEC 62443-2-3 патчтарды басқару жылдамдық емес, тәртіпті талап етеді. CVSS v3.1 баллдарын өтемдік бақылауларға қарай түзетіп, патчтарды басымдыққа қойыңыз. Әрбір микробағдарламаны өндірістен бұрын зертханаға тексеріңіз. Әр жаңартудан бұрын mGuard брандмауэр ережелерінің сақтық көшірмесін жасаңыз. Микробағдарламаны алдын ала дайындап, кері қайтару процедураларын әзірлеп, өндірістік тоқтауды азайтыңыз. Әр патч циклінде брандмауэр ережелерін қарап, қажетсіз порттарды жабыңыз. Барлық әрекеттерді OT қауіпсіздік офицері қол қойған бастапқы және соңғы жазбалармен құжаттаңыз. Бұл жұмыс процесі Schneider Modicon M580 және Phoenix Contact mGuard орнатуларын өндірістік қолжетімділікті бұзбай қауіпсіз етеді.

Автор: Чжан Хуа — PLC, DCS және басқару жүйелері саласында 10 жылдан астам тәжірибесі бар өнеркәсіптік автоматтандыру инженері.