Denetim Kontrol ve Veri Toplama sistemleri, kontrol merkezlerini PLC'ler, RTU'lar, sayaçlar, sensörler ve endüstriyel alanlara dağıtılmış diğer saha ekipmanlarıyla bağlar. Su arıtma, enerji dağıtımı, ulaşım ve üretim gibi uygulamalarda, bu yerler uzun mesafelerle ayrılabilir ve kamu hücresel veya IP ağları aracılığıyla bağlanabilir.
Bu nedenle, güvenli uzaktan erişim tasarlamak sadece bir iletişim cihazı kurmaktan fazlasını gerektirir. Mimari, verilerin operasyonel teknoloji ağına nasıl girip çıktığını, kullanıcıların uzak varlıklara nasıl eriştiğini ve ağ arızaları sırasında iletişimin nasıl devam ettiğini kontrol etmelidir.
VPN Destekli Endüstriyel Yönlendirici, saha cihazları ile merkezi SCADA ortamı arasında güvenli bağlantı noktası olarak hizmet verir.
SCADA Uzaktan Erişim Mimarisi'nin Temel Hedefleri
İyi tasarlanmış bir mimaride birkaç temel hedef olmalıdır.
•Gizlilik: Yetkisiz kullanıcıların veri okumasından kaçının.
•Bütünlük: Komutlar, alarmlar ve süreç değerlerindeki değişiklikler korunacaktır.
•Erişilebilirlik: Yapılandırma yerlerinde yedeklik ve yedekleme kullanarak iletişimi sürdürmeye yardımcı olmak..
•Yönetilen erişim: SCADA varlıklarına erişim yetkili sistemler ve kullanıcılarla sınırlı olacaktır.
Yönlendirici bu mimarinin bir parçasıdır. Mimarinin güvenliği, segmentasyon, güvenlik duvarları, politikalar, kimlik doğrulama ve ağın izlenmesi ve bakımına bağlıdır.
Önerilen Mimari Katmanlar
Alan Cihazı Katmanı
Alan katmanı şunları içerebilir:
•PLC'ler ve RTU'lar
• Akıllı sayaçlar ve koruma röleleri
•Sensörler ve aktüatörler
•Yerel HMI'lar
•Seri Modbus cihazları
•Ethernet tabanlı denetleyiciler
Bu cihazlar genellikle doğrudan internete maruz kalmamak yerine özel yerel bir OT ağı içinde kalmalıdır.
VPN Destekli Endüstriyel Yönlendirici, Ethernet ve seri varlıkları bağlayarak saha ağı ile harici WAN arasında kontrollü bir sınır oluşturabilir.
Uzaktan Saha Güvenlik Katmanı
Uzak saha yönlendiricileri birkaç farklı görevi yerine getirmeleri gerekecek:
• OT LAN'ı kamu veya operatör ağından ayırmak
•Açık ağa giden ve gelen trafiğe farklı güvenlik duvarı kuralları uygulanır.
•Güvenli ve şifreli bir VPN tüneli inşa edin.
•Uzaktan yönetimi kısıtlayın.
•WAN sağlığını izleyin ve gerektiğinde arızalı bağlantıyı sonlandırın veya değiştirin.
•Gerekirse başka bir WAN'a geçiş.
Güvenlik duvarı politikaları uygulanırken, en az ayrıcalık ilkesi uygulanmalıdır. Bu da yalnızca gerekli IP adreslerinin, portların ve endüstriyel protokollerin açılması gerektiği anlamına gelir.
WAN Bağlantı Katmanı
Uzak SCADA siteleri şunları kullanabilir:
•4G ve 5G hücresel ağları
•Sabit genişbant
•Özel APN
•Endüstriyel Wi-Fi
•Birden fazla WAN bağlantısı
Kritik siteler, tek bir operatöre bağımlılığı azaltmak için çift SIM veya birden fazla WAN yönlendirici teknolojileriyle donatılabilir. Yönlendirici birincil bağlantıyı takip etmeli ve otomatik olarak devre dışı bırakmalı (sadece seçilen yönlendirici, SIM politikası ve firmware desteklediğinde) birincil yol iletişim arızası yaşarsa, ikincil bir güzergaha yönlendirir.
Central VPN ve OT DMZ
VPN tünelleri genellikle OT askerden arındırılmış bölgede bulunan merkezi bir güvenlik duvarı veya VPN geçidinde sonlanmalıdır.
OT DMZ şunları içerebilir:
•VPN yoğunlaştırıcıları
•Jump sunucuları
•Uzaktan erişim geçitleri
•İzleme platformları
•Sunucuları yama ve güncelleme
•Log toplama sistemleri
Bu düzenleme, uzak saha bağlantılarının SCADA sunucularına doğrudan ulaşmasını engeller.
SCADA Denetleyici Katmanı
Denetim katmanının bileşenleri SCADA sunucuları, tarihçiler, mühendislik iş istasyonları, alarm ve operatör sistemlerinden oluşur.
OT DMZ'den SCADA'ya trafik dahili güvenlik duvarları tarafından filtrelenmelidir. Sadece onaylanmış iletişim yollarına izin verilmelidir.
SCADA İletişimi için VPN'lerin Kullanımı
Uzak bir konumdan kontrol merkezine giden bir VPN tüneli, VPN ile Endüstriyel Yönlendirici kullanılarak gerçekleştirilebilir.
Yaygın kullanılan VPN teknolojileri arasında IPsec ve OpenVPN bulunur. Kullanılan VPN teknolojisi tüm gerekli politikaları karşılamalıdır.
Aşağıdakileri sağlamak en iyi güvenlik uygulamasıdır:
•Her uzak site kendi benzersiz sertifikalarını/kimlik bilgilerini kullanır.
•Farklı uzak site yönlendiricilerinde paylaşılan şifre yoktur.
•Kullanılmayan VPN hizmetleri ve yönetim portları devre dışı bırakılır.
•Uzaktan erişim güvenliği, çok faktörlü kimlik doğrulama kullanır ve makineden makineye tünelleri mühendislik tünellerinden ayırmak en iyi uygulamadır.
•VPN şifrelemesine rağmen, uç nokta tehlikesi risk olarak kalmaktadır; uç nokta sertleştirme ve izleme hâlâ gereklidir.
•VPN trafiği şifrelese de, uç noktaya müdahale hala büyük bir endişe ve en iyi uygulamadır.
Ağ Dayanıklılığı için Tasarım
Mimari tasarımı şunları içermelidir:
Bağlantı Devre Verme
Otomatik olarak farklı bir SIM, farklı operatör, farklı hücresel teknoloji veya kablolu bağlantı kullanmaya geçebilir.
Yerel Kontrol Sürekliliği
PLC'ler ve RTU'lar, merkezi SCADA sisteminden kopuk olsalar bile süreci kontrol etmelidir.
Veri Depolama
Önemli süreç değerleri geçici olarak PLC, RTU, kenar geçidi veya yerel tarihçide saklanabilir ve bağlantı tekrar açıldığında daha sonra gönderilebilir.
İletişim Alarmları
SCADA platformu, şu durumlarda alarmlar üretmelidir:
•Bir VPN tüneli bağlantıyı koparır
•Uzak bir site erişilemez hale gelir
•Sinyal gücü kabul edilebilir bir seviyenin altına düşer
•Tekrarlanan devralmalar gerçekleşir
•Yönlendirici yapılandırması beklenmedik şekilde değişir
Seri ve Ethernet Ekipmanının Yönetimi
Birçok SCADA ağı hem modern Ethernet denetleyicileri hem de eski seri cihazları içerir.
VPN Destekli Endüstriyel Yönlendirici, bu bağlantıları konsolide etmeye yardımcı olabilir:
•RS-232 ve RS-485 arayüzleri
•Seri-IP iletişimi
•Modbus RTU'dan Modbus'a TCP dönüşümü
•Yerel Ethernet anahtarlama
•Protokol farkında veri iletimi
Ancak, protokol dönüşümü dikkatlice belgelenmelidir. Mühendisler, dağıtımdan önce adresleme, anket aralıkları, zaman aşımına değerler, istisna yönetimi ve cihaz uyumluluğunu onaylamalıdır.
Tespro SCADA Mimari Projelerini Nasıl Destekler
Endüstriyel iletişim ekipmanı üreticisi olarak Tespro, hizmetlerini yönlendirici sunumunun ötesine kadar müşterilere de genişletebilmektedir.
Başvuru Değerlendirmesi
Tespro şunları değerlendirebilir:
•Saha cihazı arayüzü
•Hücresel ağdaki koşullar
VPN'nin gereksinimleri
•Gerekli endüstriyel protokoller
•Çevresel faktörler
•Fazlalık
Donanım Seçimi ve Akort
Uygulamaya bağlı olarak, Tespro uygun VPN'li Endüstriyel Yönlendiriciyi, gerekli arayüzü, anten yapılandırmasını ve ağın tercih edilen modunu önerme yeteneğine sahiptir.
Protokoller Desteği
PLC, sayaç, seri cihazlar ve Ethernet cihazları içeren sistemler için Tespro, iletişim ve protokol dönüşümü planlama yeteneğine sahiptir.
Konuşlandırma Desteği
Tespro, aşağıdaki konularda destek sağlayabilir:
•VPN'lerin yapılandırması
•Güvenlik duvarı ve yönlendirme politikaları
•Seri port yapılandırması
•Uzaktan erişim ve yönetim
• Kurulum ve hizmete alma
Modifikasyon Desteği ve Devam Desteği
Endüstriyel uygulamalar, özel hücresel bantlar, özel yapılandırmalar veya özel yazılım ve arayüzlerin geliştirilmesini gerektirebilir. Üreticiyle doğrudan çalışmak, müşterinin teknik koordinasyonu basitleştirmesini ve testlerin tamamlanmasının ardından büyük ölçekli uygulama için daha güvenilir bir yol oluşturmasını sağlar.
Son Düşünceler
SCADA sistemlerinin tasarımı için, yerel kontrolün devamını, geniş alan ağının yedekliliğini ve yerel alanda kontrolün merkezileştirilmesini sağlayan çok katmanlı bir tekniğe ihtiyaç vardır.
VPN ile Endüstriyel YönlendiriciSaha cihazlarına kontrollü bir iletişim yolu sağlarAncak, sistemin ne kadar güvenli olduğunu belirleyen sistemin bütünü tasarımıdır.
Tespro, endüstriyel ağ cihazlarının sağlanması ve iletişim ve protokol entegrasyonu desteği ile yapılandırma ve uygulama desteği sayesinde, uzaktan erişim için güvenli ve bakımı yapılabilir SCADA sistemlerinin geliştirilmesinde entegratörlere ve son kullanıcılara yardımcı olabiliyor.
SSS
S1. Çift SIM ağ güvenilirliğini nasıl artırır?
Çift SIM ile ise, yönlendirici bir rota arızalandığında başka bir hücresel operatör kullanma seçeneğine sahiptir.
S2. VPN koruması SCADA sistemleri için neden çok önemlidir?
SCADA sistemleri, güvensiz ağlar üzerinde risk altında olan veri ve kontrol komut paketlerine sahip olduğundan, VPN kullanımı bu tür paketleri koruyabilir.
S3. Endüstriyel yönlendiriciler PLC ve RTU'ları bağlayabilir mi?
Evet. Endüstriyel yönlendiricilerin, yönlendiricinin konfigürasyonuna bağlı olarak yukarıda bahsedilen cihazlara ve Ethernet, RS-232 ve RS-485 kullanan diğer cihazlara bağlanabilir.
S4. Hangi VPN koruma protokolleri kullanılır?
En yaygın olarak, endüstriyel uzaktan erişim IPsec ve OpenVPN gibi protokollerle korunur.
S5. SCADA sistemlerini doğrudan internete bağlamak izin verir mi?
SCADA sistemlerinin doğrudan ortaya çıkması tavsiye edilmez. Erişim, kontrol edilen bir ağ bölgesi içinde VPN ve güvenlik duvarı kullanılarak sağlanmalıdır.
