Сегментація — найважливіший і водночас найчастіше ігнорований аспект безпеки OT. На багатьох підприємствах мережа OT з роками стає пласкою, щоб «було простіше керувати»: одна VLAN, один широкомовний домен, усі пристрої обмінюються даними між собою. Така структура — мрія зловмисника. Адже після початкового проникнення він має широкий простір для дій: переходячи від одного пристрою до іншого, зловмисник не зустрічає перешкод.

Тривожний сценарій: ноутбук технічного обслуговування заражається через фішинг у середовищі IT. Ноутбук приносять на виробничий майданчик для обслуговування та підключають до комутатора. Оскільки внутрішня мережа пласка, ноутбук безперешкодно отримує доступ до HMI, інженерної станції та сервера архівування технологічних даних. Починається поширення за принципом «хробака»: шкідливе ПЗ обходить усі пристрої з недостатньо захищеними спільними ресурсами SMB. Результат: екрани HMI заблоковано, служби SCADA не працюють, виробництво зупинено. Першопричина цього інциденту — «пласка мережа».

Мета сегментації проста: Якщо скомпрометовано одну ділянку, це не має призвести до компрометації всіх інших. Практичний спосіб реалізувати це в OT — застосувати підхід зон і каналів зв’язку згідно з IEC 62443:

  • Зона: Група активів із подібним рівнем критичності та вимогами до безпеки

  • Канал зв’язку: Контрольований канал обміну даними між зонами (міжмережевий екран/ACL/IPS)

Приклад належної сегментації:

  • Корпоративна мережа IT

  • DMZ (буфер між OT та IT)

  • Мережа керування OT (сервер проміжного доступу, репозиторій оновлень, NTP)

  • Мережа керування технологічними процесами (PLC/RTU)

  • Візуалізація (HMI/SCADA)

  • Моніторинг безпеки (колектор NDR/SIEM)

  • Зона доступу постачальників (із реєстрацією сеансів та обмеженням у часі)

Ключові моменти під час впровадження:

  • Підхід «заборонено за замовчуванням»: Не дозволяйте все підряд. Визначте необхідні потоки обміну даними.

  • Урахування особливостей протоколів: Протоколи OT іноді використовують широкомовні повідомлення або повідомлення підтримання з’єднання. Правила слід розробляти виважено, з урахуванням цих особливостей.

  • Обмеження латерального переміщення: Чи потрібен одному HMI доступ до всіх PLC? Чи лише до PLC відповідної виробничої лінії?

  • Відокремлення адміністративного трафіку: Трафік інженерної робочої станції та трафік керування виробництвом не повинні перебувати в одному сегменті.

  • Спостережуваність: Потоки даних між сегментами слід журналювати, а зміни правил — реєструвати.

Переконливий економічний аргумент: інвестиції в сегментацію можуть здаватися витратами на «додатковий міжмережевий екран». Але повна зупинка заводу через один інцидент коштує в рази дорожче за сегментацію. Сегментація уповільнює дії зловмисника. Що більше часу він втрачає, то вища ймовірність його виявлення. Саме це й потрібно виграти в OT: час.