Kancelářské IT vybavení bývá provozováno:

• v klimatizovaných serverovnách,
• v čistém prostředí,
• s důrazem na datové služby a uživatele.

OT infrastruktura však často pracuje:

• v rozvaděčích výrobních linek,
• v prašném a hlučném prostředí,
• za vibrací,
• v extrémních teplotách,
• nebo v prostředí s vysokým EMI rušením.

Použití běžného kancelářského vybavení v průmyslu proto může vést:

• k rychlému selhání ventilátorů,
• nestabilitě komunikace,
• výpadkům výroby,
• nebo bezpečnostním problémům.

Průmyslové komponenty proto bývají:

• bezventilátorové,
• odolné proti vibracím,
• rozšířené o diagnostiku,
• a certifikované například podle IEC 62443.

Moderní průmyslové sítě bývají rozděleny do několika vrstev:

• Core vrstva — propojení s IT sítí a internetem
• Distribuční / backbone vrstva — páteřní komunikace
• Access vrstva — výrobní buňky a technologie

Častým principem je tzv. Cell Protection Concept, kdy jsou jednotlivé výrobní buňky odděleny pomocí VLAN, routerů a firewallů.

Doporučené Siemens řady

• SCALANCE XC-200
• SCALANCE XC-300
• SCALANCE XC-400
• SCALANCE XR-300
• SCALANCE XR-500

Řady XR jsou určeny především pro 19" rack infrastrukturu a páteřní vrstvy.

Routery zajišťují komunikaci mezi:

• podsítěmi,
• VLAN segmenty,
• výrobními buňkami,
• SCADA a MES systémy.

Segmentace sítě výrazně zvyšuje:

• bezpečnost,
• přehlednost,
• odolnost proti šíření problémů.

Moderní průmyslové routery často podporují:

• routing mezi VLAN,
• NAT,
• VPN,
• firewall funkce,
• redundanci VRRP.

Firewally oddělují jednotlivé části OT infrastruktury a řídí komunikaci mezi nimi.

Typické použití:

• oddělení IT a OT,
• ochrana výrobních buněk,
• řízení vzdáleného přístupu,
• omezení komunikace mezi zařízeními.

Layer 2 / MAC Firewall

Pracuje na základě MAC adres.

Dnes se používá méně často kvůli složitější správě.

Stateful Inspection Firewall

Modernější firewall vrstvy 3 analyzující:

• IP adresy,
• TCP/UDP porty,
• stav komunikace.

Běžně tvoří hranici mezi:

• výrobní buňkou,
• agregační vrstvou,
• IT a OT sítí.

Doporučené Siemens firewally

• SCALANCE S615
• SCALANCE SC-600
• SCALANCE SC622-2C
• SCALANCE SC626-2C

Vybrané modely mají také certifikace pro safety aplikace.

Malé OT sítě typicky obsahují:

• do 50 zařízení,
• několik výrobních buněk,
• omezenou redundanci.

I zde se však doporučuje:

• segmentace VLAN,
• firewall mezi IT a OT,
• základní redundance spojení.

Střední sítě obvykle obsahují:

• desítky až stovky zařízení,
• více linek,
• vyšší požadavky na dostupnost.

Doporučuje se:

• redundantní backbone,
• kruhové topologie,
• VRRP,
• RSTP/MRP,
• redundantní uplinky.

Velké výrobní závody často obsahují:

• stovky až tisíce zařízení,
• více výrobních hal,
• distribuované technologie,
• vysoké nároky na kybernetickou bezpečnost.

V těchto sítích se používají:

• víceúrovňové redundantní backbone kruhy,
• více routerů,
• agregační vrstvy,
• segmentace zón,
• redundantní firewally.

VRRP

Virtual Router Redundancy Protocol umožňuje automatické převzetí komunikace záložním routerem při výpadku hlavního zařízení.

RSTP

Rapid Spanning Tree Protocol zabraňuje smyčkám v ethernetových sítích a umožňuje rychlou rekonfiguraci při poruše spojení.

MRP

Media Redundancy Protocol je často používaný průmyslový mechanismus kruhové redundance například v PROFINET sítích.

S rostoucím propojením IT a OT roste význam průmyslové kybernetické bezpečnosti.

Typické hrozby:

• ransomware,
• útoky na PLC,
• napadení SCADA,
• neautorizovaný vzdálený přístup.

Proto se dnes běžně používá:

• segmentace VLAN,
• firewally mezi IT a OT,
• VPN přístupy,
• monitoring komunikace,
• správa uživatelů,
• IEC 62443 principy.

U větších sítí je velmi důležitá centralizovaná diagnostika a monitoring.

Siemens nabízí:

• SINEC NMS
• SINEC Security Inspector
• SINEMA Remote Connect

Tyto nástroje umožňují:

• správu zařízení,
• monitoring topologie,
• diagnostiku problémů,
• bezpečný vzdálený přístup.

• Nejčastější příčinou výpadků průmyslových sítí nebývá samotný switch, ale poškozené kabely, konektory nebo špatné uzemnění.
• Broadcast storm může bez správné segmentace ochromit velkou část výroby.
• Velké výrobní závody často provozují oddělené OT backbone sítě zcela nezávislé na kancelářské IT infrastruktuře.
• V některých provozech je stále běžný PROFIBUS vedle moderních ethernetových sítí.
• Deterministická komunikace je v průmyslu často důležitější než samotná přenosová rychlost.