Quản lý bản vá OT IEC 62443 cho tường lửa Schneider Modicon M580 và Phoenix Contact mGuard
Một quy trình quản lý bản vá tuân thủ IEC 62443-2-3 thực tiễn cho PLC Schneider Modicon M580 và tường lửa Phoenix Contact FL mGuard RS4000 — bao gồm đánh giá rủi ro CVSS, quy trình kiểm tra theo giai đoạn, giao thức khôi phục, và tài liệu kiểm soát thay đổi.
Tại sao Quản lý Bản vá OT khác với IT
Cập nhật bản vá cho máy chủ IT chỉ mất vài phút. Cập nhật PLC đang chạy trong nhà máy quy trình có thể gây ra ngừng sản xuất. IEC 62443-2-3 trực tiếp giải quyết sự khác biệt này. Tiêu chuẩn định nghĩa quản lý bản vá là một quy trình vòng đời liên tục, không phải sự kiện một lần. Tiêu chuẩn yêu cầu chủ sở hữu tài sản đánh giá rủi ro trước khi áp dụng bất kỳ bản vá nào. Điểm số CVSS v3.1 cung cấp cơ sở định lượng để ưu tiên.
Các lỗ hổng firmware Schneider Modicon M580 xuất hiện định kỳ trong cơ sở dữ liệu CẢNH BÁO ICS-CERT. Năm 2024, ba cảnh báo ảnh hưởng đến các phiên bản firmware M580 dưới 3.30. Mức độ nghiêm trọng nhất đạt điểm CVSS 9.8. Phoenix Contact FL mGuard RS4000 có hai cảnh báo trong cùng thời gian. Cả hai hệ thống đều nằm trong mạng EtherNet/IP Cấp 2 tại các nhà máy quy trình. Cập nhật một thiết bị ảnh hưởng đến kết nối EtherNet/IP CIP với toàn bộ mạng I/O. Do đó, một quy trình có cấu trúc giúp ngăn ngừa rủi ro không kiểm soát.
Đánh giá Rủi ro Bản vá và Điểm số CVSS
Trước khi thực hiện bất kỳ hành động bản vá nào, đánh giá cảnh báo dựa trên bốn tiêu chí: điểm cơ bản CVSS, vectơ tấn công, khả năng khai thác, và tác động đến tính khả dụng. Điểm trên 7.0 yêu cầu hành động trong vòng 30 ngày. Điểm trên 9.0 yêu cầu cập nhật khẩn cấp trong vòng 72 giờ.
Sử dụng dịch vụ PSIRT của Schneider Electric cho các cảnh báo M580. Sử dụng Cổng Bảo mật Phoenix Contact cho các cảnh báo mGuard. Cả hai đều công bố điểm CVSS được nhà cung cấp xác nhận và các bước khắc phục.
Thêm vào đó, đánh giá các biện pháp kiểm soát bù đắp hiện có. Nếu mGuard đã chặn cổng UDP 502 từ bên ngoài, lỗ hổng Modbus trong M580 sẽ giảm khả năng khai thác mạng. Điều chỉnh điểm rủi ro hiệu quả và ghi lại các biện pháp kiểm soát bù đắp trong sổ đăng ký rủi ro IEC 62443-2-1.
Quy trình Kiểm tra Bản vá theo Giai đoạn
Không bao giờ áp dụng cập nhật firmware trực tiếp cho M580 hoặc mGuard đang sản xuất. Sử dụng phương pháp theo giai đoạn: xác nhận trong phòng thí nghiệm, môi trường staging, rồi đến sản xuất. Thực hiện các bước sau:
- Bước 1: Tải gói firmware M580 từ cổng Schneider Electric Exchange. Xác minh hàm băm SHA-256 với giá trị đã công bố. Ghi lại hàm băm trong phiếu kiểm soát thay đổi. Đối với firmware FL mGuard, tải từ Trung tâm Phần mềm Phoenix Contact và xác minh checksum MD5.
- Bước 2: Áp dụng firmware cho một thiết bị M580 giống hệt trong phòng thí nghiệm thử nghiệm. Sử dụng Unity Pro XL hoặc EcoStruxure Control Expert để chuyển firmware qua cổng dịch vụ USB với tốc độ 115.200 baud. Giám sát thanh tiến trình chuyển. Tổng thời gian chuyển khoảng 8 phút cho hình ảnh firmware đầy đủ M580 BME P58 1020.
- Bước 3: Sau khi chuyển, xác minh phiên bản firmware trong EcoStruxure Control Expert tại PLC — Thuộc tính — Phiên bản Bộ xử lý. Xác nhận khớp với phiên bản mục tiêu trong bảng khắc phục cảnh báo.
- Bước 4: Thực hiện quy trình kiểm tra chức năng. Chạy bài kiểm tra chu kỳ I/O tự động 4 giờ. Xác minh tin nhắn EtherNet/IP CIP ngầm định đến tất cả bộ điều hợp I/O từ xa. Xác nhận RPI (Khoảng thời gian gói yêu cầu) ở 10 ms không có cảnh báo ngắt kết nối.
- Bước 5: Đối với mGuard, sao lưu bộ quy tắc tường lửa hiện tại trước khi cập nhật. Trong giao diện web mGuard, vào Quản lý — Hồ sơ Cấu hình — Xuất. Lưu tệp sao lưu .tar.gz vào máy chủ quản lý thay đổi. Áp dụng cập nhật firmware qua HTTPS (cổng 443). Xác minh tất cả quy tắc định tuyến VLAN và cấu hình đường hầm IPsec vẫn nguyên vẹn sau khi khởi động lại.
- Bước 6: Ghi lại kết quả kiểm tra trong hồ sơ kiểm soát thay đổi. Bao gồm ảnh chụp màn hình trước và sau của phiên bản firmware và số lượng quy tắc tường lửa. Nhận phê duyệt từ chủ quy trình và nhân viên bảo mật OT trước khi lên lịch cập nhật sản xuất.
Phân đoạn VLAN và Đánh giá Chính sách Tường lửa mGuard
Phoenix Contact FL mGuard RS4000 hỗ trợ kiểm tra gói trạng thái và đánh dấu VLAN 802.1Q. Trong kiến trúc nhà máy điển hình, M580 nằm trong VLAN 10 (Cấp 2). Hệ thống lưu trữ lịch sử và máy trạm nằm trong VLAN 20 (Cấp 3). mGuard thực thi ranh giới VLAN 10/20.
Trước khi cập nhật, xem xét bộ quy tắc tường lửa để loại bỏ các cổng mở không cần thiết. Các cấu hình sai phổ biến bao gồm:
- TCP 102 (S7) không giới hạn từ VLAN 20 đến VLAN 10 — chặn trừ khi cần truy cập Siemens PG/PC
- UDP 44818 (EtherNet/IP I/O) mở hai chiều — giới hạn cho các cặp IP M580 và bộ điều hợp cụ thể
- TCP 80 (HTTP) đến giao diện mGuard từ VLAN 20 — thay bằng TCP 443 HTTPS
- ICMP không giới hạn — giới hạn chỉ cho echo-request từ IP lưu trữ lịch sử OT
Bật Ghi nhật ký Kết nối mGuard cho syslog SIEM qua UDP 514 đến VLAN 30. Xác nhận tính liên tục của syslog như một phần của xác nhận sau bản vá. Mô-đun Mạng BMENOC0311 Modicon M580 hỗ trợ kết nối EtherNet/IP cần được xác minh sau bất kỳ thay đổi chính sách tường lửa nào.
Thực hiện Bản vá Sản xuất và Giao thức Khôi phục
Lên lịch cập nhật sản xuất trong cửa sổ bảo trì đã lên kế hoạch. Chuyển M580 sang chế độ thủ công. Xác nhận tất cả vòng PID ổn định. Phân công một nhân viên vận hành chuyên trách cho cửa sổ bản vá 15 phút.
Chuyển firmware M580 qua EcoStruxure Control Expert sử dụng cổng quản lý Ethernet. Không sử dụng cổng Modbus TCP 502 để chuyển firmware. M580 tự động khởi động lại. Thời gian khởi động lại từ 45–60 giây. Xác nhận đèn RUN sáng xanh ổn định trước khi trả lại điều khiển thủ công.
Để khôi phục, sử dụng Menu Control Expert — PLC — Khôi phục Phiên bản Trước. Quy trình này mất 6 phút. Xác nhận hoạt động nhà máy chấp nhận cửa sổ ngừng hoạt động tổng cộng 10 phút trong phê duyệt kiểm soát thay đổi. Đối với khôi phục mGuard, nhập hồ sơ .tar.gz đã lưu qua Quản lý — Hồ sơ Cấu hình — Nhập. Tất cả quy tắc tường lửa được khôi phục trong vòng 90 giây. Xác minh kết nối EtherNet/IP đến Bộ điều hợp Modicon X80 EIO Drop ngay sau khi khôi phục.
Kết luận và Lời khuyên Hành động
Quản lý bản vá IEC 62443-2-3 cho hệ thống OT đòi hỏi kỷ luật, không phải tốc độ. Ưu tiên bản vá dựa trên CVSS v3.1 đã điều chỉnh theo các biện pháp kiểm soát bù đắp. Xác nhận mọi cập nhật firmware trong phòng thí nghiệm thử nghiệm trước khi đưa vào sản xuất. Sao lưu quy tắc tường lửa mGuard trước mỗi lần cập nhật. Giảm thiểu thời gian ngừng sản xuất bằng cách chuẩn bị sẵn firmware và quy trình khôi phục. Xem xét quy tắc tường lửa trong mỗi chu kỳ bản vá để đóng các cổng không cần thiết. Ghi lại tất cả hành động với hồ sơ trước và sau, có chữ ký của nhân viên bảo mật OT. Quy trình này giữ cho các cài đặt Schneider Modicon M580 và Phoenix Contact mGuard an toàn mà không làm ảnh hưởng đến khả năng hoạt động của sản xuất.
Tác giả: Zhang Hua là kỹ sư tự động hóa công nghiệp với hơn 10 năm kinh nghiệm về PLC, DCS và hệ thống điều khiển.
