Khu vực phi quân sự, hay ngắn gọn là DMZ, là một khái niệm trong bảo mật mạng. Đây là khu vực được đặt giữa của mạng tin cậy nội bộ và mạng không tin cậy ở bên ngoài. Mục đích sơ cấp của DMZ là cung cấp một lớp bảo vệ trong khi cho phép các dịch vụ mạng và các tài nguyên khác có thể phơi bày/ xuất hiện ra bên ngoài. Tài liệu này cung cấp các thông tin và hướng dẫn để cài đặt một DMZ cho các kịch bản khác nhau có sử dụng thiết bị router bảo mật của Moxa.
2. Các lợi ích quan trọng của DMZ
Mô hình Purdue của bảo mật các hệ thống điều khiển công nghiệp (ICS-Industrial Control Systems) gồm các framework cho bảo mật các mạng truyền thông công nghiệp. Trong mô hình này, DMZ level 3.5 hoạt động với vai trò nhằm đảm bảo sự bảo mật và tin cậy cho các quá trình công nghiệp quan trọng.
Một DMZ cung cấp một số điểm nổi bật về bảo mật quan trọng, bao gồm:
👉 Phân tách và bảo vệ: DMZ hoạt động giống như vùng đệm giữa mạng cộng ty (Level 4) và mạng điều khiển quá trình (Level 0-3). Nó cung cấp sự phân tách các mức mạng khác nhau, đảm bảo rằng các quá trình công nghiệp quan trọng được cách ly với phần còn lại với các mạng công ty ít được bảo mật.
👉 Truy cập có kiểm soát: DMZ cho phép truy cập có kiểm soát đến và đi từ mạng điều khiển quy trình. Nó thực thi các chính sách bảo mật nghiêm ngặt để hạn chế tương tác với mạng công nghiệp, giảm bề mặt tấn công và ngăn chặn truy cập trái phép.
👉 Kiểm tra bảo mật: Các thiết bị bảo mật, chẳng hạn như tường lửa, hệ thống phát hiện xâm nhập (IDS), hệ thống ngăn chặn xâm nhập (IPS) và cổng lớp ứng dụng (ALG), thường được triển khai trong DMZ. Các thiết bị này kiểm tra lưu lượng mạng, phát hiện sự bất thường và ngăn chặn các hoạt động độc hại tiếp cận mạng kiểm soát quy trình quan trọng.
👉 Giám sát mạng: DMZ cung cấp một điểm thuận lợi để giám sát lưu lượng mạng giữa mạng doanh nghiệp và mạng khu vực điều khiển chu trình. Các nhóm bảo mật có thể phân tích các mẫu lưu lượng truy cập, phát hiện các mối đe dọa tiềm ẩn và phản ứng kịp thời với bất kỳ sự cố bảo mật nào.
👉 Gateway trao đổi dữ liệu: Trong nhiều môi trường công nghiệp, việc trao đổi dữ liệu giữa mạng doanh nghiệp và mạng điều khiển quy trình vẫn có thể cần thiết cho mục đích báo cáo, phân tích dữ liệu và giám sát từ xa. DMZ đóng vai trò là một cổng (gateway) an toàn để tạo điều kiện trao đổi dữ liệu này mà không ảnh hưởng đến tính toàn vẹn của các quy trình công nghiệp.
👉 Khả năng phục hồi và dự phòng: Các cơ chế dự phòng và chuyển đổi dự phòng có thể được thực hiện trong DMZ để đảm bảo tính liên tục của các quy trình công nghiệp quan trọng. Các công cụ dự phòng thích hợp giúp duy trì tính khả dụng của các dịch vụ thiết yếu và giảm thiểu thời gian chết do gián đoạn mạng.
👉 Sự tuân thủ và kiểm toán: Nhiều ngành công nghiệp có các yêu cầu quy định về an ninh mạng và bảo vệ dữ liệu. DMZ giúp các tổ chức tuân thủ các quy định này bằng cách thực thi các chính sách bảo mật và cung cấp sự tách biệt rõ ràng của các mạng.
👉 Giảm thiểu rủi ro: Bằng cách đặt các chức năng điều khiển và giám sát bảo mật trong DMZ, các tổ chức có thể giảm thiểu rủi ro liên quan đến các mối đe dọa và lỗ hổng trên mạng. Điều này giảm thiểu tác động tiềm tàng của các sự cố an ninh đối với hoạt động công nghiệp.
Các phần sau đây sẽ giới thiệu ba kịch bản triển khai DMZ khác nhau. Mỗi phần sẽ cung cấp hướng dẫn về cách thiết lập Moxa Secure Router cho từng tình huống.
Lưu ý: Các hướng dẫn và hình ảnh trong hướng dẫn này chỉ mang tính chất tham khảo và có thể xuất hiện khác nhau tùy thuộc vào Moxa Secure Router nào được sử dụng.
𝟑. 𝐇𝐮̛𝐨̛́𝐧𝐠 𝐝𝐚̂̃𝐧 𝐯𝐞̂̀ 𝐜𝐚́𝐜𝐡 𝐭𝐡𝐢𝐞̂́𝐭 𝐥𝐚̣̂𝐩 𝐌𝐨𝐱𝐚 𝐒𝐞𝐜𝐮𝐫𝐞 𝐑𝐨𝐮𝐭𝐞𝐫 𝐜𝐡𝐨 𝐛𝐚 𝐤𝐢̣𝐜𝐡 𝐛𝐚̉𝐧 𝐭𝐫𝐢𝐞̂̉𝐧 𝐤𝐡𝐚𝐢 𝐃𝐌𝐙 𝐤𝐡𝐚́𝐜 𝐧𝐡𝐚𝐮
📌 𝐊𝐢̣𝐜𝐡 𝐛𝐚̉𝐧 𝐭𝐡𝐚𝐦 𝐤𝐡𝐚̉𝐨 𝟏: Cách ly hoàn toàn mạng LAN khỏi Internet
📌 𝐊𝐢̣𝐜𝐡 𝐛𝐚̉𝐧 𝐭𝐡𝐚𝐦 𝐤𝐡𝐚̉𝐨 𝟐: Mạng LAN được cách ly và việc truy cập Internet có giới hạn
📌 𝐊𝐢̣𝐜𝐡 𝐛𝐚̉𝐧 𝐭𝐡𝐚𝐦 𝐤𝐡𝐚̉𝐨 𝟑: Mạng LAN cách ly hoàn toàn với Internet, và các trao đổi truyền thông Modbus
⚡ Để biết thêm thông tin chi tiết về cách triển khai các kịch bản DMZ nêu trên, Quý khách hàng quan tâm xin vui lòng liên hệ với chúng tôi qua Fanpage để được hỗ trợ nhanh nhất.
Bài viết gốc được đăng tải trên wedsite của Moxa: https://moxa.ru/files/Manuals_IE/moxa-building-an-industrial-dmz-with-moxa-secure-routers-tech-note-v1_0.pdf
——————————————————————————————————————————————
🌟 Liên hệ ngay với SAFEnergy – Nhà phân phối chính thức của MOXA tại Việt Nam để được hỗ trợ nhanh nhất về sản phẩm
✉ kinhdoanh@safenergy.com.vn
