Zanesljiva komunikacijska omrežja morajo biti zasnovana tako, da zagotavljajo visoko razpoložljivost, nadzorovano prilagodljivost in varnost že v fazi načrtovanja. To zahteva arhitekturo, ki odpravlja osamljene točke odpovedi (»single point of failure«), omejuje področja napak, podpira predvidljivo rast in uveljavlja ukrepe kibernetske varnosti že na ravni omrežja.

 

Kako gradimo poslovna (IT) omrežja?

Peter Ceferin, direktor tehnike

V podjetniških IT-omrežjih se visoka razpoložljivost običajno doseže s hierarhično ali t.i. »spine-leaf« zasnovo, redundanco na jedrnem in agregacijskem sloju, dvojnimi navzgornimi povezavami, dinamičnim usmerjanjem, redundančnimi povezavami v WAN in/ali Internetno omrežje in prioritizacijo z uporabo QoS za kritične aplikacije.

 

Razširljivost (skalabilnost) omogočajo:

  • modularna zasnova uporabljenih gradnikov komunikacijskih sistemov (stikala, usmerjevalniki, požarne pregrade itd.),
  • uporabljeni principi segmentacije ali mikrosegmentacije za ločevanje posameznih domen, kot osnova za vzpostavitev con in dovoljenih povezav/komunikacij med njimi,
  • standardizirano naslavljanje,
  • virtualizacija in avtomatizirano vzpostavljanje storitev.

 

Vgrajena varnost se izvaja prek nadzora dostopa na podlagi vlog, mehanizmov kontrole dostopa (Network Access Control – NAC), uporabe večfaktorske avtentikacije (MultiFactor Authentication – MFA) za upravljavski dostop do gradnikov, segmentacije z uporabo mehanizmov VLAN na Ethernet ravni in VRF na ravni IP usmerjanja mehanizmov, razmestitve požarnih zidov z namenom ločevanja in uvedbe politik prehodov med ključnimi področji (LAN – WAN, LAN – podatkovni centri, itd.), okrepljenih ravni upravljanja, šifriranih protokolov za upravljanje, centraliziranega beleženja in neprekinjenega spremljanja, integriranega s procesi, ki jih nudijo varnostni operativni centri (SOC).

 

Cilj zasnove IT omrežja je podpora velikemu številu uporabnikov, raznolikim aplikacijam, povezljivosti z oblakom in pogostim spremembam brez poslabšanja razpoložljivosti storitev

 

Kako gradimo procesna (ICS/OT) omrežja?

Omrežja za industrijske kontrolne sisteme (Industrial Control Systems – ICS), kjer je v uporabi operativna tehnologija (Operational technology – OT) zahtevajo strogo segmentacijo v cone in povezave (»zones and conduits«), skladno s standardom IEC 62443, ki opredeljuje ločevanje komunikacijskih tokov glede na vloge in funkcije posameznih gradnikov v ICS/OT sistemu. Hkrati pa se uporabi model Purdue (Purdue Reference Model for Computer Integrated Manufacturing – CIM), ki se je kasneje preimenoval v Purdue Enterprise Reference Architecture – PERA) kot referenčni okvir za hierarhično razmejitev industrijskega omrežja.

 

Kadar je potreben pretok podatkov med IT in OT domenami, je treba vzpostaviti industrijske DMZ‑cone. Omogočeni morajo biti tudi mehanizmi za preusmerjanje storitev na redundantne povezave v primeru napak ter zagotovljeno lokalno delovanje ob izpadu povezave proti nadrejenemu sistemu ali omrežju WAN.

 

Zasnova ICS/OT omrežij pri zagotavljanju razpoložljivosti daje prednost preprostim, preverjenim in stabilnim topologijam pred arhitekturno kompleksnostjo. Varnostne kontrole je treba uvesti previdno, da ne vplivajo na starejše naprave,  na sisteme, občutljive na zakasnitve ali ne dovoljujejo dodatnih performančnih obremenitev procesorjev ali pomnilnikov.

Tipične kontrole v OT okoljih vključujejo:

  • komunikacijska pravila na podlagi seznama dovoljenj,
  • strogo nadzorovan oddaljeni dostop prek vmesnih gostiteljev (t. i. »jump serverjev«) z obvezno MFA in uporabo t. i. Privileged Access Management sistemov za dodeljevanje privilegijev in kontrolo zunanjih dostopov,
  • pasivno spremljanje omrežnega prometa ter zaznavanje groženj, anomalij ali incidentov z uporabo sistemov za zaznavanje anomalij (ADS) s podporo DPI (»Deep Packet Inspection«) in natančnimi podpisi OT protokolov,
  • prepoznavanje in upravljanje z ranljivostmi v programski opremi gradnikov OT/ICS sistemov,
  • utrjevanje (»hardening«) in zaščito inženirskih delovnih postaj in vmesnikov (HMI),
  • omejen in strogo nadzorovan dostop zunanjih dobaviteljev ter
  • jasno opredeljene postopke za popravke/spremembe, usklajene z vnaprej določenimi okni za vzdrževanje.

 

Kaj je ključna razlika?

Ključna tehnična razlika je, da so IT-omrežja zasnovana za prilagodljivost, obseg in hitro prilagajanje storitev, medtem ko so ICS/OT-omrežja zasnovana za visoko razpoložljivost, zanesljivo in predvidljivo delovanje ter omejevanje napak.

 

IT-okolja dopuščajo hitrejše cikle sprememb in širšo uporabo varnostnih orodij, medtem ko OT-okolja zahtevajo konzervativno upravljanje življenjskega cikla in strogo izolacijo kritičnih sredstev.

 

Zato robustna arhitektura v sodobnih IKT okoljih obravnava IT in OT kot medsebojno povezani, a ločeni področji, povezani le preko segmentiranih, nadzorovanih in s politikami nadzorovanih vmesnikov in povezav.

 

Ta pristop omogoča visoko stopnjo kibernetske odpornosti, zmanjšuje kibernetska tveganja ter ohranja tako neprekinjenost poslovanja kot tudi integriteto operativnih procesov.

 

Poglobljen vpogled v varnost industrijskih okolij

Razumevanje razlik med IT in OT arhitekturami ter pravilna zasnova varnostnih mehanizmov sta ključna za zagotavljanje kibernetske odpornosti v industriji.

 

Avtor: Peter Ceferin, direktor tehnike

 

Članek je bil objavljen v 172 številki revije IRT3000, aprila 2026.