在產業非軍事區 (IDMZ) 安全地傳送 IACS 資料

白皮書

2015 年 5 月

文件參照編號：ENET-WP038A-ZC-P

3746

29

Rockwell Automation and

Cisco Four Key Initiatives:

• Common Technology View: A single system architecture, using open,

industry standard networking

technologies, such as Ethernet and IP, is

paramount for achieving the flexibility,

visibility and efficiency required in a

competitive manufacturing environment. • Converged Plantwide Ethernet

Architectures: These manufacturing focused reference

architectures, comprised of the Rockwell

Automation Integrated Architecture® and

Cisco’s Ethernet to the Factory, provide

users with the foundation for success to

deploy the latest technology by addressing

topics relevant to both engineering and

IT professionals.

• Joint Product and Solution

Collaboration: Stratix 5700™ and Stratix 8000™ Industrial

Ethernet switches incorporating the best

of Cisco and the best of Rockwell Automation.

• People and Process Optimization: Education and services to facilitate

Operational Technology (OT) and

Information Technology (IT) convergence

and allow successful architecture

deployment and efficient operations

allowing critical resources to focus on

increasing innovation and productivity.

在產業非ENET-WP038A-ZC-P

在產業非軍事區 (Industrial DMZ) 安全地傳送 IACS 資料

產業自動化和控制系統 (IACS) 網路通常預設為開放，這有助於技術共存和 IACS 裝置交互運作。 開放也需要 IACS 網路受到組態和架構，也就是防禦邊界的保護。 許多組織和標準機構建議使用產業非軍事區 (IDMZ)，將產業系統網路從全廠區網路中劃分出來。

IDMZ 是位於產業與企業區之間的一個層級的獨立網路，通常稱為 3.5 層。IDMZ 環境包含多種基礎架構裝置，其中包括防火牆、VPN 伺服器、IACS 應用程式鏡像及反向 Proxy 伺服器，以及交換器、路由器及虛擬化服務等基礎架構裝置。

融合式全廠區乙太網路 (CPwE) 是提供標準網路服務的基礎架構，適用於現今 IACS 應用程式的控制和資訊領域、裝置及設備。 CPwE 架構提供設計與建置指南，以實現 IACS 的即時通訊、可靠度、擴充性、安全性及彈性需求。

CPwE IDMZ for IACS 應用程式透過 Cisco Systems® 與 Rockwell Automation 雙方的策略結盟推出上市。 CPwE IDMZ 詳細說明設計考量，有助於順利設計與建置 IDMZ，以便在 IDMZ 安全共用 IACS 資料。

整體產業安全性沒有任何單獨一個產品、技術或方法能夠充分保護 IACS 應用程式。 保護 IACS 資產需要深入防禦安全性方法，才能因應內部和外部安全性威脅。 這種方法在個別 IACS 及層使用多層防禦措施 ( 實體、程序和電子 )，因應不同類型的威脅。

注意 因為資料必須從產業區安全傳送至企業區，所以實體 IDMZ 的安全性需求必須辨別 IACS 應用程式需要。 網路位址轉譯 (NAT) 和身分識別服務分別都是 CPwE 整體安全性架構的一部分。 這些是個別獨立的措施，結合構成 CPwE 的整體產業安全性方法。

CPwE 產業網路安全性架構 ( 圖 1) 採用深入防禦方法，符合 ISA/IEC-62443 ( 原為 ISA-99) 產業自動化及控制系統 (IACS) 安全性及 NIST 800-82 產業控制系統 (ICS) 安全性等產業安全性標準。

設計和建置全面性 IACS 網路安全性架構應該是 IACS 的自然延伸。不應該事後才建置網路安全性。 產業網路安全性架構應該對於 IACS 而言相當普遍而重要。不過，就既有的 IACS 部署而言，可以逐漸運用相同的深入防禦層改善 IACS 的安全態勢。

1軍事區 (IDMZ) 安全地傳送 IACS 資料

在產業非軍事區 (IDMZ) 安全地傳送 IACS 資料產業非軍事區 (IDMZ)

CPwE 深入防禦層 ( 圖 1) 包括：

• 控制系統工程師 ( 以褐色標示 )—IACS 裝置強化 ( 例如：實體和電子 )、基礎架構裝置強化 ( 例如：連接埠安全性 )、網路分段、IACS 應用程式驗證、授權及帳戶管理 (AAA)

• 控制系統工程師協同 IT 網路工程師 ( 以藍色標示 )—IACS 應用程式、作業系統強化、網路裝置強化 ( 例如：存取控制、彈性 )、無線區域網路存取政策的區域型政策防火牆

• IT 安全性架構師協同控制系統工程師 ( 以紫色標示 )— 身分識別服務 ( 有線和無線 )、Active Directory (AD)、遠端存取伺服器、廠區防火牆、產業非軍事區 (IDMZ) 設計最佳實務

圖 1 CPwE 產業網路安全性架構

產業非軍事區 (IDMZ)IDMZ ( 圖 2) 是一個緩衝區，有時候被稱為週邊網路，能在受信任的網路 ( 產業區 ) 與不受信任的網路 ( 企業區 ) 之間強制實施資料安全性政策。 IDMZ 是深入防禦的另一層防護，能在產業區與企業區之間共用 IACS 資料和網路服務。 在傳統 IT 網路中，隔離區是十分常見的概念，不過，對於 IACS 應用程式仍處於早期採用的階段。

為了進行安全的 IACS 資料共用，IDMZ 包含在各區之間做為中介的資產。 有許多方法可以進行 IDMZ 的 IACS 資料中介：

• 使用應用程式鏡像，例如 FactoryTalk® Historian 的 PI 到 PI 介面

• 使用 Microsoft® 遠端桌面閘道 (RD 閘道 ) 服務

• 使用反向 Proxy 伺服器

這些中介方法有助於隱藏與保護產業區伺服器的存在和特性，與企業區的用戶端和伺服器相隔離，這些中介方法已在 圖 2 中重點標示，並涵蓋在 CPwE IDMZ 中。

Zone-basedPolicy Firewall

(ZFW)

EnterpriseWAN Internet

Firewall(Active)

Firewall

(Standby)

MCC

Enterprise Zone: Levels 4-5

Core switches

Soft Starter

I/O

Level 0 - ProcessLevel 1 -Controller

Level 3 - Site Operations:

Controller

Drive

Level 2 - Area Supervisory Control

FactoryTalkClient

Controller

Physical or Virtualized ServersPatch ManagementAV ServerApplication Mirror

•••• Remote Desktop Gateway Server

Industrial Demilitarized Zone (IDMZ)

Industrial Zone: Levels 0-3

Authentication, Authorization and Accounting (AAA)

Distribution switch

External DMZ/

Firewall

LWAP

SSID2.4 GHz

SSID5 GHz

WGB

I/O

Active

Wireless LAN Controller

(WLC)UCS

RADIUS

AAA Server

Standby

Inter-zone traffic segmentationACLs, IPS and IDSVPN ServicesPortal and Remote Desktop Services proxy

Plant Firewalls

Standard DMZ Design Best Practices

HardeningAccess ControlResiliency

VLANs, Segmenting Domains of Trust

PhysicalProceduresElectronicEncrypted Communications

OS Hardening

Remote Access Server

FactoryTalk Security

Identity Services Engine (ISE)RADIUS

Active Directory (AD)Network Statusand Monitoring

Device Hardening

••••

Access Policy Equipment SSID Plant Personnel SSID Trusted Partners SSIDWPA2 with AES EncryptionAutonomous WLAN Pre-Shared Key 802.1X - (EAP-FAST)Unified WLAN 802.1X - (EAP-TLS) CAPWAP DTLS

•••

•

Wireless LAN (WLAN)

•

••

•

••

•

Port Security

•••

Network Infrastructure

3746

23

••••

2在產業非軍事區 (IDMZ) 安全地傳送 IACS 資料

ENET-WP038A-ZC-P

在產業非軍事區 (IDMZ) 安全地傳送 IACS 資料產業非軍事區 (IDMZ)

圖 2 CPwE 邏輯模型

高階 IDMZ 設計原則 ( 圖 3) 包括：

• IDMZ 任一端的所有 IACS 網路流量都會在 IDMZ 中終止；沒有 IACS 流量直接傳送到 IDMZ：

– 產業區與企業區之間沒有任何直接路徑

– 各個邏輯防火牆沒有共通的通訊協定

• EtherNet/IP™ IACS 流量不會進入 IDMZ；流量只會侷限在產業區內

• 主要服務不會永久儲存於 IDMZ 中

• 所有資料皆為暫存性資料：IDMZ 不會永久儲存資料

• 在 IDMZ 內設定功能子區以劃分 IACS 資料和網路服務 ( 例如：IT、作業和信任合作夥伴區 ) 的存取權。

• 妥善設計的 IDMZ 將能在遭到入侵時中斷連線，同時仍然讓產業區不中斷運作

圖 3 產業非軍事區 (IDMZ) 高階概念

Level 5

Level 4

Level 3

Level 2

Level 1

Level 0

Remote Gateway Services

Patch Management

AV Server

Application Mirror

Web Services Operations

Reverse Proxy

Enterprise Network

Site Business Planning and Logistics NetworkE-Mail, Intranet, etc.

FactoryTalkApplication

Server

FactoryTalk Directory

Engineering Workstation

Remote Access Server

FactoryTalkClient

Operator Interface

FactoryTalkClient

Engineering Workstation

Operator Interface

Batch Control

Discrete Control

Drive Control

ContinuousProcess Control

Safety Control

Sensors Drives Actuators Robots

Enterprise

Security

Zone

Industrial

Demilitarized

Zone

Industrial

Security

Zone(s)

Cell/Area

Zone(s)

WebE -Mail

CIP

Site Operations

Area Supervisory

Control

Basic Control

Process

Firewall

Firewall

3746

24

No Direct IACS Traffic

Enterprise Security

Zone

IndustrialSecurity

Zone

Disconnect Point

Disconnect Point

IDMZReplicated Services

Untrusted ? Trusted?

Trusted 3746

25

3在產業非軍事區 (IDMZ) 安全地傳送 IACS 資料

ENET-WP038A-ZC-P

在產業非軍事區 (IDMZ) 安全地傳送 IACS 資料融合式全廠區乙太網路 IDMZ

融合式全廠區乙太網路 IDMZCPwE IDMZ Cisco 驗證設計 (CVD) 概要說明關鍵需求和設計考量，有助於順利設計與部署 IDMZ。產業區與企業區之間的 IACS 資料和網路包括：

• IDMZ 概觀和關鍵設計考量

• 具有彈性的 CPwE 構成架構：

– 備援 IDMZ 防火牆

– 備援散佈 / 彙總乙太網路交換器

• 將 IACS 資料安全地傳送到 IDMZ 的方法：

– 應用程式鏡像

– 反向 Proxy

– 遠端桌面閘道服務

• 將網路服務安全傳送到 IDMZ 的方法：

• CPwE IDMZ 使用案例：

– IACS 應用程式 — 例如：安全檔案傳輸、FactoryTalk 應用程式 (FactoryTalk Historian、FactoryTalk VantagePoint®、FactoryTalk View Site Edition (SE)、FactoryTalk ViewPoint、FactoryTalk AssetCentre、Studio 5000®)

– 網路服務 — 例如：Active Directory (AD)、身份識別服務引擎 (ISE)、無線存取點 (CAPWAP) 的無線區域網路控制器 (WLC) 控制與部署、網路時間通訊協定

– 安全遠端存取

• IDMZ 建置和組態的重要步驟和設計考量

注意 這個版本的 CPwE 架構著重於採用 ODVA 通用產業通訊協定 (CIP) 驅動的 EtherNet/IP。 請參閱《CPwE 設計及建置指南》的「IACS 通訊協定」小節。

洛克威爾自動化網站：http://literature.rockwellautomation.com/idc/groups/literature/documents/td/enet-td001_-en-p.pdf

Cisco 網站：http://www.cisco.com/en/US/docs/solutions/Verticals/CPwE/CPwE_DIG.html

4在產業非軍事區 (IDMZ) 安全地傳送 IACS 資料

ENET-WP038A-ZC-P

在產業非軍事區 (IDMZ) 安全地傳送 IACS 資料

Cisco 是改變人際之間聯繫、通訊和共同合作方式的全球網路領導廠商。 可以在 www.cisco.com 找到關於 Cisco 的資訊。 如需後續消息，請造訪

http://newsroom.cisco.com。 歐洲的 Cisco 設備由 Cisco Systems, Inc. 的全資子公司 Cisco Systems International BV 提供。

www.cisco.com

美洲總部Cisco Systems, Inc.

加州聖荷西

亞太地區總部Cisco Systems (USA) Pte. Ltd.

新加坡

歐洲總部Cisco Systems International BV

荷蘭阿姆斯特丹

Cisco 在全球設立 200 多處辦公室。 Cisco 網站 www.cisco.com/go/offices 列出地址、電話號碼及傳真號碼。

Cisco 及 Cisco 標誌為 Cisco 及 / 或其附屬公司在美國及其他國家的商標或註冊商標。 請前往此 URL：www.cisco.com/go/trademarks 檢視 Cisco 商標的清單。 提及的第三方商標為其各自擁有者的財產。 使用的「合作夥伴」一詞不表示 Cisco 與其他任何公司之間的合作夥伴關係。 (1110R)

Rockwell Automation 是電源、控制及資訊解決方案的領導供應商，能讓客戶加速產品上市、降低總擁有成本、更有效運用廠區資產，並大幅降低製造環境的風險。

www.rockwellautomation.com

美洲：洛克威爾自動化公司1201 South Second Street

Milwaukee, WI 53204-2496 USA

電話：(1) 414.382.2000，傳真：(1) 414.382.4444

亞太地區：洛克威爾自動化公司Level 14, Core F, Cyberport 3

100 Cyberport Road, Hong Kong

電話：(852) 2887 4788，傳真：(852) 2508 1846

歐洲 / 中東 / 非洲：

洛克威爾自動化公司NV, Pegasus Park, De Kleetlaan 12a

1831 Diegem, Belgium

電話：(32) 2 663 0600，傳真：(32) 2 663 0640

Integrated Architecture, FactoryTalk、Stratix 5700、Stratix 8000 及 Studio 5000 是 Rockwell Automation, Inc. 的商標。 EtherNet/IP 是 ODVA 的註冊商標。

© 2015 Cisco Systems, Inc. 及 Rockwell Automation, Inc. 保留所有權利。

出版品 ENET-WP038A-ZC-P - 2015 年 5 月