Triển khai giám sát bảo mật mạng trong môi trường ICS/SCADA

Đặc thách của an ninh ICS (Industrial Control Systems)

• Ưu tiên: An toàn (Safety) > Sẵn sàng (Availability) > Toàn vẹn (Integrity) > Bảo mật (Confidentiality) – ngược với IT truyền thống.
• Thiết bị đời cũ (legacy), không hỗ trợ agent, không vá lỗi dễ dàng, vòng đời 15-20 năm.
• Giao thức chuyên dụng: Modbus, DNP3, IEC 60870-5-104, OPC UA, Profinet, EtherNet/IP – thường không mã hóa, không xác thực.
• Môi trường OT (Operational Technology) tách biệt IT, nhưng xu hướng IT/OT convergence làm tăng rủi ro.

Kiến trúc tham khảo: Purdue Model (IEC 62443 / ISA-95)

Level 5: Enterprise Network (ERP, Email, Internet)
Level 4: Site Operations (MES, Historian, Patch Server)
Level 3: Operations Management (SCADA Server, HMI, Engineering Workstation)
Level 2: Supervisory Control (DCS, PLC, RTU, Local HMI)
Level 1: Basic Control (Sensors, Actuators, Drives)
Level 0: Physical Process

Nguyên tắc: Chỉ cho phép traffic cần thiết giữa các Level, chặn traffic không cần thiết (Default Deny).

Giám sát bảo mật mạng ICS (NSM for OT)

1. Passive Network TAP/SPAN: Thụ động mirror traffic tại các điểm chiến lược (DMZ IT/OT, giữa Level 3-2, giữa các Cell/Area) – không đặt inline để tránh ảnh hưởng độ trễ/độ tin cậy.
2. Deep Packet Inspection (DPI) cho giao thức OT: Giải mã Modbus, DNP3, S7comm, OPC UA → phát hiện lệnh bất thường (ví dụ: ghi thanh ghi safety, thay đổi setpoint vượt ngưỡng).
3. Baseline hành vi (Behavioral Baseline): Học mô hình traffic bình thường (polling cycle, command pattern) → cảnh báo khi lệch (anomaly detection).
4. Threat Intelligence cho OT: Tích hợp feed (Dragos, Claroty, Nozomi, MITRE ATT&CK for ICS) – IOC, TTPs đặc thù ICS (TRITON, INDUSTROYER, HAVEUX).
5. Asset Inventory tự động: Passive discovery → build CMDB OT (device type, firmware, vendor, vulnerability CVE).

Công cụ & Platform chuyên dụng OT Security

Các bước triển khai (theo IEC 62443 / NIST SP 800-82)

1. Xác định phạm vi & phân loại tài sản: Zone/Conduit model, xác định SL (Security Level) mục tiêu (SL1-SL4).
2. Phân đoạn mạng vật lý & logic: Firewall OT (Industrial Firewall) giữa Level 3-2, Level 4-3. ACL chặt chẽ, stateful inspection giao thức OT.
3. Triển khai Passive Monitoring: TAP/SPAN + DPI engine tại mỗi Zone boundary.
4. Cơ sở dữ liệu hành vi (Baseline): Thu thập 2-4 tuần → tạo profile bình thường cho từng thiết bị/line.
5. Chính sách cảnh báo & ứng phó: Tích hợp SIEM IT (Splunk, Sentinel, QRadar) → correlation rule OT-specific → SOAR playbook (isolate port, notify OT engineer, block IOC).
6. Quản trị lỗ hổng OT: Theo dõi CVE/ICS-CERT advisory, đánh giá rủi ro (CVSS + context OT), virtual patching (IPS signature) nếu không vá được firmware.
7. Đào tạo & 演练 (Tabletop/Red Team OT): Kỹ sư OT và IT Security hợp tác.

Shodan – Công cụ tìm thiết bị ICS mở trên Internet

Shodan quét toàn Internet, lập chỉ mục banner dịch vụ. Tìm: port:502 "Modbus", port:20000 "DNP3", "OPC UA", "Siemens S7". Không bao giờ để thiết bị ICS truy cập trực tiếp Internet.

Phòng thủ chủ động (Active Defense)

• Deception: FortiDeceptor, Canary tokens, honeypot Modbus/DNP3 (Conpot, GridPot) – phát hiện sớm kẻ dòm ngó.
• Network Access Control (NAC) cho OT: 802.1X (nếu thiết bị hỗ trợ) hoặc MAB/Profiling (FortiNAC, Forescout, Aruba ClearPass).
• Secure Remote Access cho vendor: PAM (Privileged Access Management) + Just-in-Time access, session recording, MFA, không VPN trực tiếp.

Kết luận

Giám sát bảo mật ICS đòi hỏi passive, protocol-aware, behavior-based approach. Không đối xử OT như IT. Ưu tiên an toàn vận hành, hợp tác chặt chẽ IT-OT, dùng công cụ chuyên dụng, tuân thủ IEC 62443.