VLAN, tűzfal vagy légrés? Hogyan válassz szegmentálási módszert egy üzemnél

Nem az a kérdés, hogy kell-e, hanem hogy mivel

2021-ben a Colonial Pipeline egy kompromittált VPN-fiók miatt került bajba. A nyilvános beszámolók szerint a zsarolóvírus az üzleti rendszereket érintette, a csővezeték vezérlését nem, a leállítást a cég elővigyázatosságból maga rendelte el. Pontosan ez a tanulság: ha nem tudod megmondani, hogy a baj meddig jutott, akkor a legbiztosabb, amit tehetsz, hogy leállsz. A jól szegmentált hálózat nem csak a terjedést fogja meg, hanem azt a bizonyosságot is adja, hogy a gyártás mehet tovább.

Hogy miért kell az irodai és a gyári hálózatot szétválasztani, arról már írtam: Mi a különbség IT és OT hálózat között, és miért kockázat egy hálózaton az iroda és a gyártás. Ez a cikk a következő kérdésre válaszol: melyik módszert válaszd, és mit várhatsz tőle.

Szegmentálás és szétválasztás: nem ugyanaz

A két szót gyakran összekeverik, pedig más a jelentésük.

Szegmentálás: a hálózatok összekötve maradnak, de a köztük lévő forgalom szabályozott. Ide tartozik a VLAN, az alhálózat, az ACL és a tűzfal.
Szétválasztás (légrés): a két rész között nincs hálózati kapcsolat. Az adat csak kézzel, például pendrive-val jut át.

Fontos, hogy a szegmentálás lehet logikai (két VLAN ugyanazon a switchen) és fizikai (két külön switch, köztük tűzfal). A külön switch erősebb, mert egy konfigurációs hiba nem érinti mindkét oldalt, de ettől még mindkettő szegmentálás.

Miért nem a légrés a válasz?

Papíron a légrés a legbiztonságosabb. A gyakorlatban az a gond vele, hogy a munkát valahogy el kell végezni. Ha a termelési adatnak át kell jutnia az irodába, valaki pendrive-ot fog használni. Ha a gépgyártónak el kell érnie a gépet, valaki bedug egy ideiglenes kábelt vagy egy mobilnet-routert, "csak most az egyszer". Ezek a kerülőutak ott maradnak, nincsenek dokumentálva, és kontroll nélküli belépési pontot adnak, ami rosszabb, mint egy jól beállított, ellenőrzött kapcsolat.

A légrés ezért olyan helyre való, ahol az átjárás ritka és a tét nagy: biztonsági rendszerek (SIS), különösen kritikus folyamatok. A legtöbb üzemben a reális cél a jól szabályozott szegmentálás.

A négy módszer egy táblázatban

Módszer	Biztonsági szint	Bonyolultság	Hatás a késleltetésre	Mikor jó
Fizikai szétválasztás, adatdióda	Nagyon magas	Kicsi	Nincs	Biztonsági rendszerek, extrém kritikus folyamatok
VLAN, port security, MAC-szűrés (L2)	Alacsony-közepes	Kicsi	Elhanyagolható	Első lépés, broadcast és forgalom rendezése
Routing, ACL, tűzfal (L3/L4)	Közepes-magas	Közepes	Mérhető, de általában nem gond	Az iroda/gyártás határ, a zónák közötti alapvédelem
Alkalmazásszintű tűzfal, DPI (L7)	Magas-nagyon magas	Nagy	Legnagyobb	Ahol protokollszintű szabály kell, például Modbus írás tiltása

A táblázatból az látszik, hogy a biztonság és a bonyolultság együtt nő. Nincs "legjobb" módszer, van olyan, ami a te üzemedben a kockázathoz és a karbantartható szinthez illik.

A VLAN: kényelmes, de önmagában nem határ

A VLAN a legtöbb helyen az első lépés, és jó is az: olcsó, a meglévő managed switchekkel megoldható, és rendezi a hálózatot. Két dolog miatt mégsem szabad rá egyedül építeni.

1. A VLAN-ok között is át kell menni valahogy

A VLAN csak a második rétegen választ szét. Ha az irodai és a gyári VLAN között egy L3 switch vagy router routol, és nincs rajta ACL vagy tűzfal, akkor minden forgalom átmegy. Ilyenkor a hálózat szép, színes táblázatban szegmentált, a gyakorlatban viszont nyitott. Ez a leggyakoribb hiba: a VLAN-ok léteznek, a szabályok nem.

Egy irodai VLAN bejövő ACL-jének vázlata Cisco IOS-en (a címek illusztrációk):

ip access-list extended IRODA-IN
 remark csak a DMZ historian webfelulete
 permit tcp 10.20.0.0 0.0.0.255 host 10.30.0.10 eq 443
 remark OT zona: tiltva, naplozva
 deny ip 10.20.0.0 0.0.0.255 10.40.0.0 0.0.255.255 log
 remark minden mas (internet, DNS) marad
 permit ip any any
!
interface Vlan20
 ip access-group IRODA-IN in

Az ACL állapotmentes, ezért az iroda és a gyártás közötti határon inkább valódi tűzfalat érdemes használni. A belső zónák között viszont egy jól megírt ACL egy L3 switchen már sokat ad. Éles hálózaton előbb figyelj (log), és csak utána tilts, különben leállást okozol.

2. A VLAN hopping hibás konfiguráción múlik

A VLAN-ugrás (VLAN hopping) valós támadás, de két jól ismert konfigurációs hibát használ ki: a switch-port automatikusan trunkra egyeztet (DTP), vagy a trunk natív VLAN-ja egy használt, hozzáférhető VLAN. Rendesen beállított switchen ez zárható:

interface GigabitEthernet0/24
 switchport mode trunk
 switchport nonegotiate
 switchport trunk native vlan 998
 switchport trunk allowed vlan 10,20,30

interface range GigabitEthernet0/10 - 20
 switchport mode access
 switchport access vlan 999
 shutdown

A 998-as (natív) és a 999-es (parkoló) VLAN itt két külön, nem használt VLAN. A pontos parancsok platformonként eltérnek, az elv ugyanaz: a trunkon nincs automatikus egyeztetés, a natív VLAN nem használt, csak a szükséges VLAN-ok engedettek, a szabad portok pedig le vannak kapcsolva.

Amit a tankönyv nem mond: az ipari protokollok korlátai

A Profinet RT nem routolható. A PLC és az I/O eszközei egy második rétegű szegmensben kell hogy legyenek. Egy gyártócella tehát egy zóna, a tűzfal vagy az ACL a cella és a külvilág közé kerül, nem a cellán belülre.
A késleltetés a cellák között számít, nem a cellán belül. Az időkritikus vezérlési forgalom a cellán belül marad, ezért egy router vagy tűzfal jellemzően az adatgyűjtést és a felügyeletet érinti. A DPI-nál viszont érdemes mérni, mielőtt élesítesz.
A túl szigorú szabály kerülőutat szül. Ha a karbantartó nem tudja elvégezni a munkáját, megtalálja a módját. A szabályrendszernek a működést kell szolgálnia.
Az aktív blokkolás (IPS) ipari hálózaton óvatosságot igényel. Először csak figyeld a forgalmat (IDS), és csak alapos tesztelés után blokkolj.

Mit válassz egy kisebb üzemben?

Egy 20-100 fős gyártó cégnél a reális csomag általában ez:

Iroda és gyártás között tűzfal, alapból tiltó szabályokkal, és köztük egy DMZ az adatcseréhez (például historian). Ne csak VLAN legyen.
Gyártócellák között VLAN és ACL, a cellákon belül egy L2 szegmens.
Biztonsági rendszerek külön, a lehető legszigorúbban elzárva, távolról nem elérhetően.
Távelérés csak a DMZ-n át, ugrószerverrel és többfaktoros belépéssel. Erről külön cikket írtam.
DPI és mikroszegmentáció csak ott, ahol a kockázat indokolja. Az üzemek többségében ez a rendszer túlméretezése.
Dokumentáció: zónák, engedélyezett forgalmak, indoklás. Szabályok nélkül egy év múlva senki nem tudja, mi miért van engedve.

Hogyan ellenőrizheted, mi van most nálatok?

Ehhez nem kell szkennelni, sőt, ipari szegmensen nem is szabad. A switch és a tűzfal konfigurációjából kiolvasható a lényeg:

Van-e ACL vagy tűzfalszabály a VLAN-ok közötti L3 interfészeken, és mi az utolsó sor (permit any any?)
Hogyan van beállítva a trunk: DTP, natív VLAN, engedett VLAN-ok listája
Vannak-e kapcsolat nélküli, de nem letiltott portok
Van-e két hálózati kártyás gép (például historian vagy mérnöki laptop), ami áthidalja a szegmenseket
Vannak-e ideiglenes kábelek, modemek, mobilnet-routerek, amik nincsenek a rajzon

Ha ezek közül kettőnél is bizonytalan vagy, az már jó ok a felmérésre.

Összefoglalás

A szegmentálás nem egyetlen eszköz, hanem rétegek: a VLAN rendez, az ACL és a tűzfal határt húz, a DPI finomhangol, a fizikai szétválasztás pedig a legkritikusabb helyekre való. A legtöbb üzemben nem a legerősebb módszer kell, hanem az, ami mellett a szabályok dokumentáltak, a kerülőutak megszűnnek, és a gyártás zavartalanul megy tovább.

Ha nem tudod, hol tart most az iroda és a gyártás szétválasztása nálatok, az ipari IT/OT hálózat felmérése és szétválasztása projektként megrendelhető, passzívan, a termelés zavarása nélkül.