Konfiguracja VLAN w routerach Tosibox Lock serii 600

W nowoczesnych zakładach przemysłowych sieci OT (Operational Technology) odgrywają kluczową rolę w sterowaniu procesami produkcyjnymi. Zapewnienie ich ciągłej pracy i bezpieczeństwa jest priorytetem, zwłaszcza w obliczu rosnącej liczby połączeń z systemami IT i wszechobecnemu zdalnemu dostępowi. Niniejszy artykuł wyjaśnia, czym jest infrastruktura OT i dlaczego jest tak ważna, omawia wyzwania wynikające z braku segmentacji (płaskiej sieci), a także podkreśla nowe wymagania dyrektywy NIS-2 dotyczące cyberbezpieczeństwa przemysłowego. Przedstawiamy koncepcję segmentacji sieci oraz jej kluczową rolę w ochronie środowisk OT – w szczególności korzyści płynące z oddzielenia od siebie systemów takich jak PLC, SCADA czy sieci IT. W artykule opisujemy również praktyczne podejście do segmentacji logicznej z wykorzystaniem funkcji VLAN na routerach Tosibox Lock serii 600, w tym instrukcję konfiguracji VLAN oraz typowe scenariusze zastosowań (np. separacja sieci dla dostawców maszyn czy oddzielenie sieci produkcyjnej od serwisowej). Na zakończenie podsumowujemy najważniejsze zalety segmentacji i przedstawiamy rekomendacje dla zakładów przemysłowych, przygotowujących się do spełnienia wymogów NIS-2.

Infrastruktura OT – co to jest i dlaczego jest kluczowa?

Infrastruktura OT (Operational Technology) to całość systemów odpowiedzialnych za sterowanie i nadzór procesów fizycznych w przemyśle. Obejmuje ona m.in. linie produkcyjne i maszyny, systemy sterowania (sterowniki PLC) oraz stanowiska zrobotyzowane. Od sprawnego działania infrastruktury OT zależą bezpośrednio zdolności wytwórcze zakładu – innymi słowy, ma ona kluczowy wpływ na ciągłość produkcji i działalności operacyjnej przedsiębiorstwa. Z tego powodu w środowiskach OT od zawsze priorytetem była niezawodność i ciągłość pracy – stosuje się sprawdzone, często nieskomplikowane rozwiązania, aby nawet w razie awarii szybko przywrócić działanie systemów sterowania.

W praktyce infrastruktura OT obejmuje zarówno warstwę sprzętową (np. sterowniki PLC, czujniki, urządzenia wykonawcze), jak i oprogramowanie przemysłowe (np. systemy SCADA do wizualizacji i nadzoru). Historycznie sieci OT bywały odseparowane od reszty świata (tzw. air-gap), jednak we współczesnych fabrykach coraz częściej są one zintegrowane z systemami IT. Przykładowo, sterowniki PLC ciągle wymieniają dane z rozproszonymi modułami I/O oraz systemem SCADA, a system SCADA przekazuje kluczowe informacje dalej, np. do systemu ERP w dziale IT (chociażby w celu realizacji zleceń produkcyjnych). Oznacza to, że infrastruktura OT nie jest już siecią zamkniętą – jeśli SCADA komunikuje się z ERP, sieć OT nie jest wyizolowana od IT. Taka integracja niesie korzyści (jak lepsza koordynacja produkcji z biznesem), ale wystawia też systemy przemysłowe na nowe zagrożenia cyberbezpieczeństwa. W efekcie rośnie znaczenie wdrożenia odpowiednich zabezpieczeń w OT, z których fundamentalnym jest segmentacja sieci OT (w tym mikrosegmentacja) – to właśnie ona może zadecydować o odporności zakładu na incydenty cybernetyczne.

Wyzwania płaskiej sieci OT (brak segmentacji)

W wielu zakładach przemysłowych obecna infrastruktura sieciowa OT ma charakter płaski, tzn. brakuje w niej wydzielonych segmentów lub stref bezpieczeństwa. Często spotyka się mieszankę przełączników zarządzalnych i niezarządzalnych połączonych kaskadowo, zaś jedynym punktem odseparowania sieci OT od biurowej IT jest firewall na styku tych domen. Niestety takie podejście bywa uznawane za wystarczające, bazując na założeniu, że większość ataków i tak przenika z zewnątrz (np. poprzez phishing). Brak segmentacji wewnątrz sieci OT rodzi jednak szereg poważnych wyzwań:

Płaska sieć – brak izolacji: Sieć zbudowana bez segmentów (np. oparta na niezarządzalnych switchach) powoduje, że uzyskując dostęp w jednym miejscu infrastruktury, atakujący może poruszać się praktycznie po całym zakładzie. Innymi słowy, kompromitacja dowolnego urządzenia OT (np. stacji operatorskiej) zagraża od razu wszystkim innym systemom, ponieważ brak barier wewnętrznych ułatwia ruch lateralny w sieci.
Brak centralnego zarządzania i monitoringu: W niepodzielonej sieci trudniej jest monitorować ruch i szybko reagować na problemy. Awaria jednego elementu (np. pętla sieciowa lub przeciążenie) może być trudna do zlokalizowania, a personel nie dysponuje narzędziami do śledzenia, co dzieje się w poszczególnych częściach sieci . Skutkuje to dłuższymi postojami i utrudnia wykrywanie nietypowej aktywności mogącej świadczyć o włamaniu.
Nieograniczony zdalny dostęp: Często spotyka się praktykę, gdzie dostawcy maszyn lub serwisanci mają zdalny dostęp do urządzeń OT bez odpowiedniego nadzoru i ograniczeń (np. poprzez niezabezpieczone bramki VPN lub modemy 4G podłączone bezpośrednio do maszyn na publicznym adresie IP). W płaskiej sieci taki zdalny dostęp daje możliwość dotarcia nie tylko do docelowej maszyny, ale i do wszystkich innych urządzeń produkcyjnych, co stwarza ogromne ryzyko.
Brak zarządzania podatnościami i incydentami: Przy braku segmentacji trudno jest wdrożyć skuteczne mechanizmy zarządzania ryzykiem. W praktyce często ogranicza się to jedynie do firewalla na obrzeżu sieci OT/IT, bez dalszej analizy ruchu wewnątrz zakładu. Skutkiem jest brak widoczności zagrożeń w sieci produkcyjnej – organizacja może nie być świadoma trwającego ataku aż do momentu poważnej awarii. Ponadto brak jest wydzielonych stref, w których można łatwiej odkrywać podatności czy reagować na incydenty bez wpływu na całą produkcję.

Konsekwencje: Powyższe problemy przekładają się na zwiększone ryzyko dla ciągłości działania zakładu. Jeden błąd lub luka bezpieczeństwa może sparaliżować cały proces produkcyjny. Co więcej, obecna sytuacja regulacyjna sprawia, że utrzymywanie takiej nie zarządzanej infrastruktury jest już nie tylko ryzykiem biznesowym, ale może skutkować naruszeniem przepisów.

Wpływ dyrektywy NIS-2 na bezpieczeństwo infrastruktury OT

W 2024 roku w krajach UE (w tym w Polsce) zaczęły obowiązywać zapisy dyrektywy NIS-2, która znacząco zaostrza wymagania w zakresie bezpieczeństwa sieci i systemów informacyjnych. NIS-2 rozszerza poprzednie regulacje (m.in. ustawę o Krajowym Systemie Cyberbezpieczeństwa) i obejmuje swoim zakresem wszystkie systemy informatyczne przedsiębiorstwa, w tym infrastrukturę przemysłową OT. Oznacza to, że zakłady produkcyjne zostaną zakwalifikowane jako tzw. podmioty ważne i będą zobowiązane do wdrożenia szeregu środków bezpieczeństwa oraz procedur – nie tylko w obszarze IT, ale również na poziomie sieci przemysłowych OT.

Kilka kluczowych wymagań NIS-2 wiąże się bezpośrednio z tematyką segmentacji i zdalnego dostępu w OT. Regulacja kładzie nacisk m.in. na: zarządzanie ryzykiem, kontrolę dostępu oraz monitorowanie sieci. W praktyce firmy będą musiały dokonać zmian w architekturze swoich sieci przemysłowych, takich jak:

Wzmocnienie segmentacji i mikrosegmentacji sieci OT – organy regulacyjne będą oczekiwały, że newralgiczne części systemów (np. kluczowe maszyny, strefy produkcyjne) są od siebie odseparowane i odpowiednio chronione. Płaska, niesegmentowana sieć nie spełni tych wymogów.
Kontrola dostępu zdalnego do OT – konieczne stanie się wdrożenie rozwiązań, które umożliwią bezpieczny i nadzorowany dostęp zdalny do maszyn (np. dla dostawców), z możliwością łatwego odcięcia dostępu w razie potrzeby. Brak nadzoru nad zdalnymi połączeniami będzie poważnym uchybieniem wobec NIS-2.
Zarządzanie podatnościami i incydentami – firmy muszą prowadzić aktywną politykę w tym zakresie, co jest niemal niewykonalne bez podziału sieci na segmenty. Segmentacja umożliwi wdrożenie stref buforowych, systemów detekcji włamań w wybranych segmentach oraz ograniczy skutki pojedynczego incydentu.
Redundancja i ciągłość działania – NIS-2 wymaga również zapewnienia odporności infrastruktury na awarie (np. poprzez redundancję sieciową, zapasowe łącza, backupy itp.). Choć to osobny aspekt, segmentacja często jest pierwszym krokiem do budowania takiej odporności (np. poprzez wydzielenie segmentów można łatwiej wprowadzić redundantne ścieżki komunikacji dla krytycznych systemów).

Warto podkreślić, że NIS-2 wiąże zarządy firm do odpowiedzialności za cyberbezpieczeństwo. Niedostosowanie się do wymogów będzie skutkować audytami naprawczymi, a nawet potencjalnymi karami finansowymi. Dla przedsiębiorstw przemysłowych jest to więc silny bodziec do modernizacji sieci OT. Segmentacja sieci staje się nie tylko dobrą praktyką, ale wręcz koniecznością prawną – podstawowym elementem spełnienia norm i przygotowania się na audyty oraz testy penetracyjne w fabryce.

Na czym polega segmentacja sieci OT?

Segmentacja sieci to – jak wskazuje nazwa – podział sieci komputerowej na mniejsze części (segmenty), które są logicznie odseparowane od siebie i mogą być zarządzane oraz chronione niezależnie. W kontekście infrastruktury OT segmentacja oznacza oddzielenie od siebie różnych elementów sieci sterowania, takich jak systemy SCADA, sterowniki PLC, urządzenia pomiarowe czy same maszyny, w taki sposób, by komunikacja między nimi była ograniczona tylko do niezbędnych połączeń. Każdy segment stanowi wydzieloną strefę – urządzenia w jednym segmencie nie mogą swobodnie komunikować się z urządzeniami w innym, chyba że zdefiniujemy konkretne, ściśle kontrolowane zasady takiej komunikacji.

Segmentację można realizować fizycznie (poprzez budowę odrębnych, osobnych sieci dla różnych celów) lub logicznie (poprzez wprowadzanie podziału w ramach jednej infrastruktury fizycznej, np. za pomocą technologii VLAN). W realiach zakładów przemysłowych dużo bardziej praktyczne i elastyczne jest podejście logicznej segmentacji – pozwala ono wykorzystać istniejącą infrastrukturę kablową i urządzenia sieciowe, a jednocześnie osiągnąć wymagany podział sieci na strefy bezpieczeństwa. VLAN (Virtual Local Area Network) jest tu podstawowym mechanizmem: umożliwia stworzenie wielu odizolowanych segmentów w obrębie tej samej fizycznej sieci, przypisując urządzenia do różnych wirtualnych LAN na podstawie konfiguracji, zamiast okablowania. W rezultacie, dobrze zaprojektowana i podzielona na segmenty sieć OT pozwala uzyskać wszystkie korzyści separacji, bez konieczności dublowania sprzętu sieciowego.

Dlaczego segmentacja jest kluczowa dla OT? W środowisku produkcyjnym segmentacja pełni podobną rolę jak śluzy i strefy ochronne w zakładzie – ogranicza rozprzestrzenianie się problemów. Każdy segment można zabezpieczyć adekwatnie do potrzeb (np. inne reguły zabezpieczeń dla sieci PLC sterującej procesem, a inne dla segmentu kamer CCTV w zakładzie). W razie incydentu (np. infekcji malware) segmentacja powinna uniemożliwić zagrożeniu wydostanie się poza zaatakowany fragment sieci. Co istotne, segmentacja nie musi utrudniać normalnej pracy – poprawnie wdrożona, wciąż pozwala na wymianę danych między segmentami tam, gdzie jest to konieczne (np. SCADA ↔ PLC), ale czyni to w sposób kontrolowany i widoczny dla zespołów IT/OT. Poniżej omówimy szczegółowo zalety segmentacji w kontekście OT.

Kluczowe zalety segmentacji OT (separacja PLC, SCADA itp.)

Dobrze przemyślana segmentacja sieci OT przekłada się na wiele wymiernych korzyści z zakresu bezpieczeństwa i zarządzania. Szczególnie istotne jest odseparowanie krytycznych komponentów (jak sieci sterowników PLC) od innych systemów (np. SCADA, stacje robocze, sieć IT). Oto najważniejsze zalety segmentacji w środowisku przemysłowym:

Izolacja krytycznych systemów: Segmentacja zapewnia pełną separację np. sieci sterowników PLC od sieci systemu SCADA czy innych urządzeń. Dzięki temu ewentualny incydent w jednej strefie (np. zainfekowanie komputera SCADA poprzez malware) nie przeniknie łatwo do sterowników PLC czy maszyn. Mimo iż SCADA musi wymieniać dane z PLC, to ruch ten może być filtrowany i kontrolowany przez zapory ogniowe nowej generacji (NGFW) i inspekcję pakietów DPI, co zapobiega przesyłaniu niepożądanych komend. W praktyce segmentacja działa jak wewnętrzny firewall między komponentami OT – każdy segment to osobna „wyspa”, do której dostęp jest ściśle regulowany.
Ograniczenie lateralnego przemieszczania się zagrożeń: Podzielenie sieci na segmenty znacząco utrudnia swobodne poruszanie się atakującego wewnątrz infrastruktury. Nawet jeśli dojdzie do włamania do jednego segmentu, nieautoryzowany ruch nie przedostanie się do innych segmentów. Na przykład, infekcja ransomware, która dostanie się do segmentu stacji inżynierskich, nie będzie w stanie automatycznie zainfekować sterowników PLC w innym segmencie bez pokonania dodatkowych zabezpieczeń. Segmentacja działa więc jak przeciwpożarowe drzwi – zatrzymuje „rozlanie się” zagrożenia po całej sieci.
Kontrolowana komunikacja między strefami: Gdy segmenty muszą się komunikować, mamy pełną kontrolę nad tym ruchem. Reguły bezpieczeństwa mogą dopuszczać tylko ściśle określone połączenia między segmentami – np. pozwolić systemowi SCADA odczytać dane z PLC na określonym protokole i porcie, ale już zablokować wszelkie inne próby dostępu. Podobnie, systemy IT (np. serwer ERP w biurze) nie mają bezpośredniej łączności z siecią PLC; mogą jedynie pobierać wymagane informacje produkcyjne poprzez wyznaczony serwer pośredniczący w strefie DMZ, gdzie również obowiązują restrykcyjne reguły dostępu. Taka architektura zmniejsza powierzchnię ataku – nawet jeśli ktoś przeniknie do segmentu IT, nie dotrze do maszyn bez przejścia przez firewall i reguły dostępu.
Lepsza widoczność i łatwiejsze zarządzanie: Segmentacja ułatwia monitorowanie sieci OT. Gdy sieć jest podzielona, administratorzy mogą dedykować narzędzia do śledzenia ruchu w każdym segmencie osobno, co zwiększa widoczność zachowania urządzeń. W razie anomalii (np. nietypowy ruch sieciowy wskazujący na malware) łatwiej jest wskazać, w którym segmencie występuje problem i odizolować go od reszty zanim dojdzie do eskalacji. Dodatkowo, mniejsze segmenty znaczą, że incydenty wpływają tylko na część produkcji, a nie cały zakład – ułatwia to działania zespołów utrzymania ruchu i SOC, bo mogą skupić się na wybranej strefie. Segmentacja przygotowuje też grunt pod bardziej zaawansowane techniki jak mikrosegmentacja czy model Zero Trust, gdzie dostęp do każdego segmentu wymaga weryfikacji i jest ograniczony kontekstowo (np. tylko na czas serwisu konkretnej maszyny).
Zgodność z normami i ochrona przed karami: Wreszcie, podzielenie sieci OT na segmenty jest praktycznym wymogiem wynikającym z obecnych standardów bezpieczeństwa (np. IEC 62443) oraz przepisów w rodzaju NIS-2. Działając proaktywnie i wdrażając segmentację, organizacja spełnia kluczowe wymagania audytorów co do separacji systemów i kontroli dostępu. W kontekście audytu cyberbezpieczeństwa dobrze udokumentowana segmentacja wraz z politykami dostępu będzie mocnym dowodem na dojrzałość zabezpieczeń. Innymi słowy, segmentacja to nie tylko bezpieczeństwo techniczne, ale i dowód zgodności z najlepszymi praktykami oraz przepisami prawa.

Segmentacja logiczna VLAN w routerach Tosibox Lock serii 600 – konfiguracja i zastosowania

Aby skutecznie zaimplementować segmentację w istniejącej infrastrukturze OT, często najprostszym krokiem jest wykorzystanie obsługi VLAN w urządzeniach sieciowych już obecnych w zakładzie. Jednym z rozwiązań dedykowanych dla środowisk przemysłowych są routery serii Tosibox Lock 600, które łączą funkcje bezpiecznego zdalnego dostępu z możliwością segmentacji sieci za pomocą VLAN. Oznacza to, że na jednym fizycznym routerze możemy logicznie rozdzielić kilka oddzielnych podsieci, co stanowi podstawę do izolacji różnych segmentów OT.

Konfiguracja VLAN routery Tosibox Lock serii 600:

Definicja nowych sieci VLAN – Administrator tworzy w systemie nowe interfejsy VLAN, nadając im unikalne identyfikatory (ID VLAN, zazwyczaj liczby 1–4094) i przypisując do nich określone porty fizyczne routera. Przykładowo, możemy utworzyć VLAN 10 dla sieci produkcyjnej PLC i przypisać do niego port LAN1 routera, a VLAN 20 dla sieci serwisowej dostawców maszyn przypisując do niego port LAN2. Każdy VLAN otrzymuje też własną konfigurację IP – osobną podsieć adresów, z własnym serwerem DHCP obsługiwanym przez router.
Tryb portów: access/trunk – routery Tosibox Lock serii 600 wspiera zarówno porty typu access (nietagowane, przeznaczone dla urządzeń końcowych w jednym VLAN) jak i trunk (tagowane, przenoszące wiele VLAN jednocześnie, np. do dalszego przełącznika). Administrator może zdecydować, czy dany port routera będzie należał tylko do jednego VLAN (tryb access, używany np. do podłączenia pojedynczego urządzenia lub niezarządzalnego switcha dla jednej strefy) czy będzie wysyłał ramki z tagami VLAN (tryb trunk, używany do kaskadowego połączenia z większym, zarządzalnym switchem obsługującym wiele VLAN w hali produkcyjnej).
Izolacja lub routing między VLAN – Domyślnie utworzone VLANy na routerze są od siebie odseparowane (w warstwie 2). Routery Tosibox Lock serii 600, mogą jednak realizować routing między VLANami (warstwa 3) – administrator ma możliwość wprowadzić odpowiednie trasy i reguły firewall zezwalające bądź blokujące ruch pomiędzy wybranymi segmentami. To bardzo ważne: dzięki temu decydujemy, które segmenty OT mają się ze sobą komunikować, a które pozostają całkowicie izolowane. Na przykład, można w firewallu routera dopuścić ruch z VLAN sieci PLC do VLAN serwera SCADA na konkretnych portach, a zablokować wszelką inną komunikację. Routery Tosibox Lock serii 600 oferują zaawansowane opcje routingu między VLAN, łącznie z możliwością ustawienia translacji adresów (1:1 NAT) na poziomie każdego segmentu czy wyłączenia routingu dla pełnej izolacji.
Przypisanie dostępu zdalnego do VLAN – Unikatową cechą routerów Tosibox Lock serii 600 jest ścisła integracja sieci VLAN z mechanizmem VPN i kontroli dostępu użytkowników. Każdy użytkownik zdalny łączący się za pomocą Tosibox Key może otrzymać dostęp tylko do określonego przez administratora VLANu. Przykładowo, dostawca maszyny X, łącząc się zdalnie, zostaje „wpuszczony” wyłącznie do segmentu VLAN zawierającego urządzenia tej maszyny (PLC, HMI itd.), natomiast nie widzi innych segmentów. Z kolei pracownik działu technicznego może mieć przydzielony inny VLAN (np. sieć serwisowa) i mieć zdalny dostęp ograniczony do niego. Taka kontrola dostępu oparta na kontroli portów, w połączeniu z autoryzacją użytkowników oraz funkcjonalnością VLAN i tunelowaniem VPN, pozwala na precyzyjne zarządzanie zdalnym dostępem zgodnie z uprawnieniami poszczególnych osób.

Scenariusze zastosowań VLAN w środowisku przemysłowym: Możliwość logicznego podziału sieci OT za pomocą routerów Tosibox Lock serii 600 otwiera wiele praktycznych scenariuszy poprawy bezpieczeństwa i zarządzania zdalnym dostępem:

Separacja sieci produkcyjnej od serwisowej: Jednym z podstawowych zastosowań jest oddzielenie właściwej sieci produkcyjnej (gdzie działają urządzenia sterujące procesem – PLC, SCADA itp.) od sieci serwisowej używanej przez ekipy utrzymania ruchu lub serwisantów zewnętrznych. Dzięki VLAN można utworzyć wydzieloną sieć serwisową, do której podłączone są laptopy serwisowe, interfejsy diagnostyczne czy bramki zdalnego dostępu. Sieć ta (np. VLAN 20) nie ma bezpośredniego dostępu do segmentu produkcyjnego (VLAN 10) – serwisanci mogą łączyć się do maszyn tylko poprzez wyznaczone punkty dostępu i zgodnie z regułami (np. tylko w godzinach postoju maszyny. W ten sposób nawet jeśli konto serwisanta zostanie przejęte lub jego laptop zainfekowany, zagrożenie nie przeniknie na krytyczne systemy produkcyjne.
Wydzielenie zdalnego dostępu dla dostawcy maszyn przemysłowych: Często spotykanym wyzwaniem jest umożliwienie producentowi maszyny przemysłowej zdalnego dostępu i wglądu w jej stan lub wgrywania aktualizacji, przy jednoczesnym zachowaniu bezpieczeństwa reszty zakładu. Dzięki routerom Tosibox Lock serii 600 można stworzyć dla każdego dostawcy osobny VLAN dostępowy. Przykładowo, maszyna od Dostawcy A jest podłączona do portu w VLAN 101, a maszyna od Dostawcy B do VLAN 102. Każdy z dostawców otrzymuje swój klucz softwarowy Tosibox SoftKey, który daje mu dostęp tylko do jego własnego VLAN. Dostawca A nie ma więc fizycznej możliwości komunikacji z maszynami Dostawcy B ani z innymi segmentami zakładu. Taki podział typu multi-tenant gwarantuje, że nawet wielu zewnętrznych partnerów może bezpiecznie korzystać z jednej infrastruktury sieciowej, nie wpływając na siebie nawzajem. Dodatkowo nieużywane porty fizyczne na routerze można wyłączyć, co stanowi dodatkową warstwę zabezpieczenia przed nieautoryzowanym podpięciem się do sieci.
Odseparowanie OT od IT (strefa OT-DMZ-IT): Routery Tosibox Lock serii 600 z VLAN pozwalają wdrożyć klasyczny model rozdziału sieci OT od IT zgodnie z Purdue Model (ISA-95). Możemy zdefiniować VLAN dla strefy produkcyjnej (Poziom 0-3 Purdue) oraz osobny VLAN dla strefy IT (Poziom 4), a pomiędzy nimi utworzyć segment DMZ dla serwerów pośredniczących. Router Lock 600 może wówczas pełnić rolę pierwszej bramy, która izoluje ruch biurowy od produkcyjnego i przepuszcza tylko ruch dozwolony (np. replikację bazy danych produkcyjnych do serwera raportowego w DMZ). W efekcie uzyskujemy kompleksową izolację OT od IT na poziomie warstwy 2 i 3, minimalizując ryzyko, że atakujący z sieci korporacyjnej przeniknie do systemów kontrolnych fabryki.
Segmentacja sieci IoT/IIoT w zakładzie: Wraz z rozpowszechnieniem czujników Industrial IoT w fabrykach, pojawia się potrzeba izolacji tych urządzeń (często korzystających z protokołów bezprzewodowych lub chmurowych) od głównej sieci OT. Za pomocą VLAN w routerach Tosibox Lock serii 600 można wydzielić segment dla urządzeń IoT (np. czujników stanu maszyn przesyłających dane do chmury, sieci kamer CCTV) i odseparować go od sieci sterowania. Ewentualne zagrożenia wynikające z nieaktualnych urządzeń IoT (np. z powodu braku aktualizacji systemowych) nie wpłyną na pracę sterowników PLC. Jednocześnie VLAN dla sieci urządzeń IoT może mieć dostęp do internetu poprzez kontrolowane łącze VPN w routerze, podczas gdy główna sieć OT pozostaje zamknięta na ruch internetowy.

Konfiguracja funkcji VLAN w routerach Tosibox Lock serii 600 jest stosunkowo proste, a przynosi efekt w postaci logicznej segmentacji sieci OT bez konieczności dużych inwestycji sprzętowych. Router pełni rolę centralnego punktu dostępowego, który egzekwuje polityki separacji (na poziomie VLAN i firewall) oraz zarządza bezpiecznym zdalnym dostępem. Takie podejście znacząco zwiększa bezpieczeństwo zdalnych połączeń – nawet gdy zdalny użytkownik uzyska zdalny dostęp przez szyfrowany tunel VPN, porusza się on tylko w przydzielonym mu wycinku sieci, co spełnia zasadę least privilege (dostęp minimalny wymagany do zadania).

Podsumowanie i rekomendacje

Segmentacja sieci OT za pomocą VLAN i innych mechanizmów stanowi obecnie fundament zabezpieczania infrastruktury przemysłowej. Podział sieci na mniejsze, izolowane segmenty pozwala ograniczyć ryzyko cyberataków i lepiej zarządzać dostępem zdalnym do maszyn. Poniżej zebrano kluczowe zalety segmentacji oraz rekomendacje dla zakładów przemysłowych planujących modernizację sieci OT w zgodzie z wymogami NIS-2:

Najważniejsze zalety segmentacji sieci OT:

Ograniczenie zasięgu ataków malware: Segmentacja hamuje rozprzestrzenianie się złośliwego oprogramowania – infekcja w jednym segmencie nie przedostanie się do innych części sieci (urządzenia w odseparowanych VLANach nie komunikują się bezpośrednio). Zmniejsza to potencjalne straty i ułatwia opanowanie incydentu.
Izolacja i ochrona krytycznych systemów: Najważniejsze elementy OT (PLC, SCADA, HMI, bazy danych produkcyjnych) mogą być odizolowane w swoich segmentach, dzięki czemu awaria lub atak w jednym obszarze nie wpływa bezpośrednio na pozostałe. Dodatkowo komunikacja między segmentami odbywa się tylko wg ściśle zdefiniowanych zasad bezpieczeństwa.
Lepsza kontrola dostępu (zwłaszcza zdalnego): Dzięki segmentacji można precyzyjnie zdefiniować, kto i do czego ma zdalny dostęp. Zdalni użytkownicy (np. serwisanci z firm zewnętrznych) otrzymują dostęp wyłącznie do dedykowanych segmentów VLAN, co uniemożliwia im ingerencję w inne obszary OT. Każdy segment może mieć odrębne reguły uwierzytelniania i autoryzacji, co wspiera model Zero Trust (domyślnego braku zaufania) w OT.
Ułatwione monitorowanie i zarządzanie incydentami: Mniejsza domena rozgłoszeniowa i logiczny podział sieci sprawiają, że monitoring ruchu sieciowego jest skuteczniejszy – łatwiej wykryć anomalie w konkretnym segmencie. W razie incydentu, jego skutki są ograniczone do segmentu, co upraszcza analizę przyczyn i reakcję zespołów bezpieczeństwa. Logi sieciowe można agregować centralnie z podziałem na segmenty, co zwiększa czytelność informacji dla służb utrzymania ruchu i SOC.
Spełnienie wymogów prawnych i audytowych: Segmentacja sieci OT pomaga spełnić kluczowe wymagania norm bezpieczeństwa (np. wspomniane strefy ISA-95/IEC 62443) oraz dyrektywa NIS-2. Podczas audytu wykazanie istnienia segmentów, dedykowanych firewalli oraz kontrolowanych punktów zdalnego dostępu będzie dowodem proaktywnego podejścia do cyberbezpieczeństwa. Pozwoli to uniknąć zaleceń naprawczych lub kar ze strony regulatora.

Rekomendacje dla modernizacji sieci OT (przygotowanie do NIS-2):

Przegląd i audyt obecnej infrastruktury: Zacznij od inwentaryzacji systemów OT i analizy topologii sieci. Zidentyfikuj krytyczne elementy (PLC, SCADA, bazy danych, stacje operatorskie, interfejsy z IT) oraz oceń istniejące połączenia zdalne. Taka ocena pozwala wskazać, gdzie brak segmentacji tworzy największe ryzyko.
Wdrożenie segmentacji etapami: Wprowadź podział sieci krok po kroku. Najpierw rozdziel sieć IT i OT własnymi firewallami i strefą DMZ (oddzielny firewall dla OT). Następnie zastąp niezarządzalne switche przełącznikami zarządzalnymi i skonfiguruj VLANy – tak, aby segmenty OT nie widziały się nawzajem, a wymiana danych między nimi odbywała się tylko przez kontrolowany punkt (NGFW).
Zabezpieczenie zdalnego dostępu: Zaimplementuj rozwiązania umożliwiające bezpieczny dostęp zdalny do segmentów OT. Może to być dedykowana platforma VPN z kontrolą dostępu (jak Tosibox Hub) lub jump-serwer w strefie DMZ. Ważne, by każdy dostęp zdalny był autoryzowany, monitorowany i ograniczony tylko do tych zasobów, które są niezbędne. Unikaj bezpośrednich połączeń do maszyn spoza firewalli – każda bramka dostępu powinna być wpięta w odpowiedni segment VLAN i zarządzana centralnie.
Definiowanie polityk między segmentami: Utwórz szczegółowe reguły firewall regulujące ruch między wydzielonymi sieciami. Zasada minimalnych uprawnień powinna obowiązywać – np. segment PLC nie powinien inicjować żadnych połączeń do internetu, sieć SCADA powinna komunikować się z PLC tylko protokołami przemysłowymi i tylko do odczytu danych, itd. Regularnie przeglądaj te polityki pod kątem zmian w procesie (np. nowa maszyna = konieczność dopisania reguły).
Szkolenia i procedury: Upewnij się, że personel OT i IT rozumie nowe zasady segmentacji. Opracuj procedury dostępu do każdej strefy (np. jak uzyskać dostęp serwisowy do PLC – kto wydaje zgodę, na jak długo) oraz procedury reagowania na incydent w danym segmencie. W ramach przygotowań do audytu NIS-2 zadbaj o dokumentację: mapy sieci z zaznaczonymi segmentami, listy urządzeń w segmentach, opis reguł dostępu i plan ciągłości działania. To pokaże audytorom, że segmentacja jest świadomie zarządzana i stanowi element kultury bezpieczeństwa w organizacji.

Podsumowując, segmentacja sieci OT z wykorzystaniem VLAN – tak jak w routerach Tosibox Lock serii 600 – to efektywny mechanizm podniesienia poziomu bezpieczeństwa przemysłowego i kontroli zdalnego dostępu. Rozbijając płaską sieć na izolowane segmenty, chronimy ciągłość produkcji przed skutkami lokalnych awarii i ataków, zyskujemy większą kontrolę nad tym, kto i w jaki sposób łączy się z naszymi maszynami, a także przygotowujemy naszą infrastrukturę na spełnienie obecnych i przyszłych wymogów prawnych. W dobie integracji OT/IT i nasilających się zagrożeń cybernetycznych taka modernizacja nie jest już opcją, lecz koniecznością – i warto rozpocząć ją jak najszybciej, krok po kroku budując bezpieczną, segmentową sieć przemysłową.