Ada perusahaan yang membangun lapangan atau platform pengeboran minyak. Mereka memiliki jaringan area lokal yang terpisah untuk pengawasan video, secara terpisah untuk sistem kontrol proses otomatis, secara terpisah untuk akses Internet, dan jaringan area lokal yang terpisah (pada kenyataannya) untuk telepon.
Seolah-olah kita dalam jaringan perusahaan (produksi) bukannya firewall menggunakan pemisahan fisik jaringan. Akibatnya, banyak perusahaan memiliki selusin solusi yang homogen. Pemilik membayar lebih untuk fungsi duplikat.
Seperti inilah jaringan lokal “tunggal”. Jauh lebih efisien untuk membuat satu jaringan tempat semua jaringan itu bersatu. Dan yang kedua, agar ada cadangan. Kami melakukannya, dan sekarang saya akan memberi tahu Anda apa yang diberikannya.
Bagaimana melakukan yang lebih baik
Untuk sejumlah perusahaan pertambangan, kami telah melakukan proyek yang sangat rumit. Ada puluhan vendor dan ratusan solusi berbeda, semua ini saling terkait. Ada optik, relay radio, ada Wi-Fi, akses radio dengan teknologi lain, ada Ethernet industri, pertukaran telepon biasa, sensor IoT untuk sistem kontrol industri, dan banyak lagi.
Tidak ada yang memiliki solusi stabil untuk Feng Shui: kebun binatang yang mengerikan dari Legacy membuat dirinya terasa. Bahkan di daerah ini, merger dan akuisisi sering terjadi dan ternyata dua kebun binatang berbeda digabungkan. Ternyata kebun binatang kuadrat.
Tugas kami adalah meyakinkan pelanggan bahwa integrasi jaringan aman. Ini adalah penghalang utama kemajuan, misalnya, di sektor minyak: di sini, seperti di tempat lain, prinsip "kerja - jangan sentuh" digunakan.
Pertama, bagian sistem kontrol proses otomatis selalu menggunakan sakelar lain daripada jaringan lainnya. Ini adalah kenaikan harga yang serius, tetapi secara historis benar. Diasumsikan bahwa ACS TP akan bekerja dalam kondisi apa pun, karena setidaknya secara resmi terlepas dari Internet.
Pada saat yang sama, isolasi fisik jaringan tidak menjamin isolasi dari malware: insinyur secara teratur terhubung ke peralatan segmen internal dengan komputer yang terinfeksi dari eksternal. Melindungi jaringan ICS sangat penting, dan Anda masih perlu mengambil langkah-langkah yang sama seolah-olah hanya mencuat.
Pengawasan video: diyakini tidak perlu melindunginya seperti segmen ACS. Ya, baik jaringan dibangun secara terpisah dan pada analog (sangat mahal), atau diyakini bahwa itu dilindungi kondisional. Dalam praktik saya, Anda dapat mematikan kamera dan mengakses jaringan. Atau ganti gambar, dan tidak ada yang akan tahu dalam enam bulan ke depan sampai akhir musim dingin. Memeriksa ketersediaan kamera dan ketersediaan gambar. Banyak orang merasa sangat aman: gambarnya mungkin tidak berubah selama 100 tahun. Tundra dan tundra. Kita harus berkeliling dan melihat apa dan di mana.
Hasilnya, kami menjawab semua pertanyaan keamanan. Mari kita beralih ke detailnya.
Contoh
Opsi pertama adalah ketika hanya radio relay. Itu baik, tetapi jika hujan deras (hujan, salju) atau angin kencang dimulai, maka kegagalan akan dimulai. Angin kencang dapat menyebarkan antena, hujan dan perisai salju dan mengganggu. Jika semua jenis hujan es atau apa pun lewat, maka es dapat menurunkan antena. Komunikasi radio relay akan bekerja dengan baik dalam kondisi cuaca yang ideal. Dalam kondisi cuaca buruk (dan di Rusia, produksi, sebagai aturannya, terjadi dalam kondisi cuaca buruk), perlu digandakan.
Dari sudut pandang kami, opsi terbaik adalah optik + relay radio. Tetapi optik juga dapat merobek, mereka merobeknya lebih sering daripada yang terlihat. Terlepas dari apakah mereka menguburnya atau menggantungnya di atas dukungan. Dan selama satu perbaikan, pipa bisa pecah di banyak tempat.
Hasil
Dalam contoh kita, ada pipa minyak - sekitar seratus kilometer.
Kami menggabungkan jaringan menjadi satu kompleks, seperti pada diagram di atas. Toleransi kesalahan dicapai melalui jembatan relai radio, ada reservasi telepon melalui jaringan trunking (ini diintegrasikan melalui walkie-talkie untuk memanggil pelanggan jaringan telepon).
Hasilnya adalah ini:
- Kapasitas kabel serat dibelah dua;
- Tiga kali pengurangan peralatan aktif;
- Setiap objek (simpul) mengkonsumsi daya tiga kali lebih sedikit.
Sekarang tentang keamanan. Misalnya, kamera IP, situs penetrasi malware yang sering:
Bagaimana lalu lintas dibedakan? Sekarang saya memotong VLAN. Secara konvensional, ICS memiliki prioritas tertinggi, kemudian video dan telepon, lalu lintas lainnya berjalan.
Mengapa VLAN diatur aman dibandingkan dengan demarkasi fisik lama yang baik?
Ketika Anda berbagi secara fisik, Anda memiliki sepotong besi untuk setiap tugas. Ini benar-benar aman. Jika penyerang menabrak sepotong besi, mereka tidak akan mendapatkan yang berikutnya. Perlu menuju ke segmen manajemen. Ada titik puncak yang umum - ini adalah jaringan manajemen. Oleh karena itu, jika ada satu titik kegagalan, lalu apa bedanya, pada sepotong besi, vylans dipotong atau semuanya menyala pada yang berbeda. Pengguna terisolasi, mereka tidak melihat pengguna dari vilans tetangga. Karakteristik probabilistik dari beberapa masalah dalam jaringan virtual tidak jauh lebih tinggi dari perkiraan yang sama dalam jaringan yang terpisah secara fisik. Switch dapat dibuat terisolasi, cluster switch, tautan optik akan diduplikasi. Dengan demikian, probabilitas kegagalan diminimalkan.
Sampai baru-baru ini, keamanan bersikeras bahwa jaringan pengawasan video, sistem kontrol proses, dll. Berada di jaringan yang didedikasikan secara fisik, ini adalah sudut pandang tertentu. Dan jelas ada akal sehat dalam hal ini. Tapi itu mahal. Anda dapat sangat mengurangi harga karena pengurangan toleransi kesalahan yang sangat kecil.
Alasan kedua adalah bahwa jika ada tiga jaringan yang berbeda, mereka sangat jarang diduplikasi oleh ketiganya. Kami mengusulkan opsi untuk menggabungkan sakelar gagal-aman, LAN toleran-kesalahan - peran utama diduplikasi di sini, tetapi, karenanya, kami membagi semua jaringan secara virtual.
Mereka membuat perhitungan dan menunjukkan bahwa sebenarnya solusi semacam itu sekitar sepertiga lebih murah. Dimungkinkan untuk meminimalkan jumlah optik yang dipasang, untuk meminimalkan waktu pemulihan. Karena jika Anda telah merobek serat optik, misalnya 8-serat, Anda memiliki waktu pemulihan setengah jam, jika 32-serat, itu jauh lebih lama. Juga mengurangi biaya perawatan.
Saluran
Ada band yang dijamin. Datang 10G, itu dibagi menjadi beberapa bagian di bawah garansi dan pembuangan maksimum. Semua perhitungan ini bersifat individual.
Bagaimanapun, optiknya terletak di lapangan - misalnya, kabel serat optik digunakan dalam sistem deteksi kebocoran yang sama. Ketika suhu tanah dengan serat yang tergeletak di sana berubah, menjadi jelas bahwa minyak telah bocor. Oleh karena itu, tidak ada masalah dengan switching dan saluran sempit di dalam jaringan lokal. Ya, itu dapat dibangun di atas tembaga atau teknologi lama, tetapi tidak rasional. Karena itu, serat diberikan.
Saluran satelit mereka agak duplikat, untuk telemetri kritis dan sistem kontrol proses yang sama. Sensor bekerja - segera reaksi, bahkan jika ada perang. Inilah failovernya:
Peralatan
Berikut ini tentang kabinet teknologi yang dipasang pada pelanggan. Untuk pengertian.
Ringkasan
Sebagai hasilnya, kami dapat mengumpulkan seluruh kebun binatang dalam satu solusi karena penggambaran jaringan virtual. Ini dua kali lebih baik pada kabel dan tiga kali lebih baik di kebun binatang besi di node dalam jumlah unit. IS berkurang sedikit, toleransi kesalahan tumbuh karena duplikasi lengkap node kunci. Perawatan yang lebih sederhana, lebih cepat dan lebih murah.
Sakelar mahal digunakan untuk sistem kontrol proses otomatis, melalui mereka lalu lintas sistem kontrol proses otomatis berjalan dengan prioritas tertinggi. Lalu sisanya pergi.
Untuk kompromi kecil yang obyektif dalam keamanan, Anda bisa mendapatkan penyederhanaan dukungan yang signifikan, penyatuan solusi dan penghematan biaya daya dan modal.