Hướng dẫn sử dụng bộ điều khiển Honeywell Optimizer Advanced

Sản phẩm: Bộ điều khiển nâng cao
Số hiệu mẫu: 31-00594-03
Hệ điều hành: Hệ điều hành Niagara
Tính năng bảo mật: Mã xác minh tài khoản, Tài khoản hệ thống, Khôi phục mật khẩu, Giao tiếp an toàn, Chứng chỉ

Khả năng tương thích mạng: BACnetTM, LAN

Tuyên bố miễn trừ trách nhiệm
Mặc dù chúng tôi đã nỗ lực để đảm bảo tính chính xác của tài liệu này, Honeywell không chịu trách nhiệm về bất kỳ thiệt hại nào, bao gồm nhưng không giới hạn ở các thiệt hại do hậu quả phát sinh từ việc áp dụng hoặc sử dụng thông tin có trong tài liệu này. Thông tin và thông số kỹ thuật được công bố tại đây là thông tin hiện hành tính đến ngày công bố này và có thể thay đổi mà không cần thông báo. Bạn có thể tìm thấy thông số kỹ thuật sản phẩm mới nhất trên webtrang web hoặc bằng cách liên hệ với văn phòng công ty của chúng tôi ở Atlanta, Georgia.
Đối với nhiều ngành công nghiệp truyền thông dựa trên RS-485, trạng thái mặc định đang bị vô hiệu hóa tại thời điểm xuất xưởng để đảm bảo bảo mật tốt nhất, vì các bus truyền thông cũ này sử dụng công nghệ cũ để có khả năng tương thích tốt nhất và chúng được thiết kế với khả năng bảo vệ bảo mật yếu. Vì vậy, để tối đa hóa khả năng bảo vệ hệ thống của bạn, Honeywell đã chủ động vô hiệu hóa các cổng truyền thông bus công nghiệp cũ (vào thời điểm xuất xưởng) và người dùng phải bật rõ ràng các mạng trong Trạm của từng mạng. Nếu bạn muốn bật các cổng này, bạn cần phải biết về rủi ro của bất kỳ vi phạm bảo mật nào do việc sử dụng công nghệ cũ gây ra. Những điều này bao gồm nhưng không giới hạn ở: Panel-bus, C-Bus, BACnetTM, M-Bus, CP-IO Bus, NovarNet, giao thức XCM-LCD, SBC S-Bus và Modbus, v.v.
Phát triển theo ISA-62443

Honeywell đã dựa vào tiêu chuẩn ISA 62443-4-1 trong nhiều năm và các tiêu chuẩn đi kèm có thể áp dụng để phát triển các sản phẩm công nghệ xây dựng của chúng tôi một cách an toàn. Ví dụ:ample, các sản phẩm xây dựng của Honeywell cũng sử dụng ISA/IEC 62443-4-2 làm cơ sở cho các yêu cầu bảo mật kỹ thuật trong các thành phần và chúng tôi sử dụng ISA/IEC 62443-3-3 cho các hệ thống hoàn chỉnh. Vì vậy, đối với các nhà tích hợp và khách hàng lựa chọn công nghệ xây dựng, việc Honeywell tuân thủ họ tiêu chuẩn ISA/IEC 62443 có thể mang lại mức độ tin cậy cao rằng các sản phẩm của chúng tôi không chỉ tuyên bố có khả năng phục hồi mạng - chúng đã được thiết kế, thử nghiệm và xác thực về khả năng phục hồi mạng ngay từ đầu.
Honeywell phát triển sản phẩm của mình theo tiêu chuẩn ISA/IEC 62443-4-1 và chúng tôi đã được bên thứ 3 đánh giá và kiểm toán theo tiêu chuẩn này.
Giới thiệu và Đối tượng dự kiến

Honeywell tuyên bố rõ ràng rằng các bộ điều khiển của họ không được bảo vệ chống lại các cuộc tấn công mạng từ Internet và do đó chúng chỉ được sử dụng trong các mạng riêng. Tuy nhiên, ngay cả các mạng riêng vẫn có thể bị các cá nhân CNTT có kỹ năng và được trang bị tấn công mạng độc hại và do đó cần được bảo vệ. Do đó, khách hàng nên áp dụng các hướng dẫn về thực hành tốt nhất về cài đặt và bảo mật cho các sản phẩm dựa trên IP của Bộ điều khiển nhà máy tiên tiến để giảm thiểu rủi ro do các cuộc tấn công như vậy gây ra.
Các hướng dẫn sau đây mô tả các biện pháp thực hành bảo mật chung tốt nhất cho các sản phẩm dựa trên IP của Advanced Plant Controller. Chúng được liệt kê theo thứ tự giảm thiểu tăng dần.

Các yêu cầu chính xác của từng địa điểm nên được đánh giá theo từng trường hợp cụ thể. Phần lớn các cài đặt triển khai tất cả các mức giảm thiểu được mô tả ở đây sẽ vượt xa mức yêu cầu để đảm bảo an ninh hệ thống. Kết hợp các mục 1-5 (liên quan đến Mạng cục bộ), Tham khảo “Khuyến nghị về Mạng cục bộ (LAN)” trên trang 20. nói chung sẽ đáp ứng các yêu cầu đối với hầu hết các cài đặt mạng điều khiển tự động hóa.
Sổ tay hướng dẫn này chứa thông tin hướng dẫn nhân viên tại đại lý Honeywell về cách cài đặt và cấu hình an toàn Bộ điều khiển nhà máy tiên tiến, mô-đun HMI và IO. Thông tin liên quan đến bảo mật về hoạt động, sao lưu và khôi phục USB và CleanDist file có thể tìm thấy hướng dẫn lắp đặt bộ điều khiển trong Hướng dẫn lắp đặt và hướng dẫn vận hành (31-00584).

GHI CHÚ
Vui lòng dành thời gian để đọc và hiểu tất cả các hướng dẫn cài đặt, cấu hình và vận hành có liên quan và đảm bảo rằng bạn thường xuyên nhận được các phiên bản mới nhất

Bảng 1 Thông tin sản phẩm

Sản phẩm	Số sản phẩm	Sự miêu tả
Bộ điều khiển nhà máy	N-ADV-134-H	Bộ điều khiển tiên tiến Niagara với bốn cổng Ethernet, cổng cho HMI và 4 cổng RS485
	N-ADV-133-H-BWA	Bộ điều khiển tiên tiến Niagara với bốn cổng Ethernet, cổng cho HMI, 3 cổng RS485, hỗ trợ Wi-Fi (khu vực Châu Mỹ) và BluetoothTM
	N-ADV-133-H-BWE	Bộ điều khiển tiên tiến Niagara với bốn cổng Ethernet, cổng cho HMI, 3 cổng RS485, hỗ trợ Wi-Fi (khu vực Châu Âu) và BluetoothTM
	N-ADV-133-H-BWW	Bộ điều khiển tiên tiến Niagara với bốn cổng Ethernet, cổng cho HMI, 3 cổng RS485, Wi-Fi (khu vực còn lại trên thế giới) và hỗ trợ BluetoothTM
	N-ADV-133-H	Bộ điều khiển tiên tiến Niagara với bốn cổng Ethernet, cổng cho HMI và 3 cổng RS485
	N-ADV-112-H	Bộ điều khiển tiên tiến Niagara với hai cổng Ethernet, cổng cho HMI và 2 cổng RS485
HMI	HMI-DN	HMI (gắn thanh ray DIN)
HMI	HMI-WL	HMI (Gắn cửa/tường)
Mô-đun IO	IO-16UIO-SS	Mô-đun IO 16UIO không có HOA, Serial Comms, Đầu nối vít
	IOD-16UIO-SS	Mô-đun IO 16UIO với màn hình HOA, truyền thông nối tiếp, đầu nối vít
	IO-16UI-SS	Mô-đun IO 16UI, Truyền thông nối tiếp, Đầu nối vít
	IO-16DI-SS	Mô-đun IO 16DI, Truyền thông nối tiếp, Đầu nối vít
	IO-8DOR-SS	Mô-đun IO 8DO không có HOA, Rơ le C/O, Truyền thông nối tiếp, Đầu nối vít
	IOD-8DOR-SS	Mô-đun IO 8DO với màn hình HOA, Rơ le C/O, Truyền thông nối tiếp, Đầu nối vít
	IO-16UIO-SP	Mô-đun IO 16UIO với màn hình HOA, truyền thông nối tiếp, thiết bị đầu cuối đẩy
	IO-16UI-SP	Mô-đun IO 16UIO, Truyền thông nối tiếp, Thiết bị đầu cuối đẩy
	IO-16DI-SP	Mô-đun IO 16DI, Truyền thông nối tiếp, Thiết bị đầu cuối đẩy
	IO-8DOR-SP	Mô-đun IO 8DO không có HOA, Rơ le C/O, Truyền thông nối tiếp, Thiết bị đầu cuối đẩy
	IOD-8DOR-SP	Mô-đun IO 8DO với màn hình HOA, Rơ le C/O, Truyền thông nối tiếp, Thiết bị đầu cuối đẩy
	IO-8UIO-SS	Mô-đun IO 8UIO không có HOA, Serial Comms, Đầu nối vít

Mô-đun IO	IOD-8UIO-SS	Mô-đun IO 8UIO với màn hình HOA, truyền thông nối tiếp, đầu nối vít
	IO-8AO-SS	Mô-đun IO 8AO không có HOA, Truyền thông nối tiếp, Đầu nối vít
	IOD-8AO-SS	Mô-đun IO 8AO với màn hình HOA, truyền thông nối tiếp, đầu nối vít
	IO-4UIO-SS	Mô-đun IO 4UIO không có HOA, Serial Comms, Đầu nối vít
	IOD-4UIO-SS	Mô-đun IO 4UIO với màn hình HOA, truyền thông nối tiếp, đầu nối vít
	IO-8DI-SS	Mô-đun IO 8DI, Truyền thông nối tiếp, Đầu nối vít
	IO-4DOR-SS	Mô-đun IO 4DO không có HOA, Rơ le C/O, Truyền thông nối tiếp, Đầu nối vít
	IOD-4DOR-SS	Mô-đun IO 4DO với màn hình HOA, Rơ le C/O, Truyền thông nối tiếp, Đầu nối vít
	IO-4DORE-SS	Mô-đun IO 4DO không có HOA, Rơ le C/O nâng cao, Truyền thông nối tiếp, Đầu nối vít
	IOD-4DORE-SS	Mô-đun IO 4DO với màn hình HOA, Rơ le C/O nâng cao, Truyền thông nối tiếp, Đầu nối vít
	IO-8UIO-SP	Mô-đun IO 8UIO không có HOA, Truyền thông nối tiếp, Thiết bị đầu cuối đẩy
	IOD-8UIO-SP	Mô-đun IO 8UIO với màn hình HOA, truyền thông nối tiếp, thiết bị đầu cuối đẩy
	IO-8AO-SP	Mô-đun IO 8AO không có HOA, Truyền thông nối tiếp, Thiết bị đầu cuối đẩy
	IOD-8AO-SP	Mô-đun IO 8AO với màn hình HOA, truyền thông nối tiếp, thiết bị đầu cuối đẩy
	IO-4UIO-SP	Mô-đun IO 4UIO không có HOA, Truyền thông nối tiếp, Thiết bị đầu cuối đẩy
	IOD-4UIO-SP	Mô-đun IO 4UIO với màn hình HOA, truyền thông nối tiếp, thiết bị đầu cuối đẩy
	IO-8DI-SP	Mô-đun IO 8DI, Truyền thông nối tiếp, Thiết bị đầu cuối đẩy
	IO-4DOR-SP	Mô-đun IO 4DO không có HOA, Rơ le C/O, Truyền thông nối tiếp, Thiết bị đầu cuối đẩy
	IOD-4DOR-SP	Mô-đun IO 4DO với màn hình HOA, Rơ le C/O, Truyền thông nối tiếp, Thiết bị đầu cuối đẩy
	IO-4DORE-SP	Mô-đun IO 4DO không có HOA, Rơ le C/O nâng cao, Truyền thông nối tiếp, Thiết bị đầu cuối đẩy
	IOD-4DORE-SP	Mô-đun IO 4DO với màn hình HOA, Rơ le C/O nâng cao, Truyền thông nối tiếp, Thiết bị đầu cuối đẩy

TẠI SAO NÊN BẢO VỆ BỘ ĐIỀU KHIỂN NÂNG CAO?

Bảo vệ hệ thống nhà máy của khách hàng khỏi những thay đổi trái phép về điểm đặt vận hành, ghi đè và lịch trình thời gian.

Ngăn chặn truy cập vào thông tin chi tiết về tài khoản người dùng: ví dụ tên người dùng, mật khẩu, địa chỉ email, số SMS (di động) v.v.
Ngăn chặn truy cập vào dữ liệu nhạy cảm về mặt thương mại: Ví dụample- Đo lường mức tiêu thụ năng lượng, giải pháp chiến lược kiểm soát chuyên biệt, v.v.

Ngăn chặn truy cập trái phép vào bộ điều khiển, máy tính và mạng lưu trữ phần mềm BMS và thiết bị điều khiển.
Duy trì tính toàn vẹn của dữ liệu và chịu trách nhiệm.

HẾT HỆ THỐNGVIEW

Cái trênview của hệ thống cài đặt thông thường..

Internet/mạng nội bộ/mạng công ty
Đây là một biểu diễn mạng logic, đơn giản hóa của tất cả các mạng bên ngoài phạm vi hệ thống tự động hóa tòa nhà (BAS). Nó có thể cung cấp quyền truy cập vào các giao diện quản lý BAS (ví dụ: máy trạm chính Niagara web giao diện người dùng) nhưng phải cung cấp quyền truy cập Internet để máy tính Niagara có thể kiểm tra và tải xuống các bản cập nhật hệ điều hành và trình quét vi-rút trừ khi có phương tiện khác để thực hiện việc này.

Mạng BAS
Mạng này chỉ được sử dụng cho các giao thức BAS, bao gồm BACnetTM/IP, BACnetTM/Ethernet và bất kỳ giao thức nào mà Niagara Integration Services trên Advanced Plant Controller có thể sử dụng. Mạng này không được là cùng một mạng với Internet/mạng nội bộ/mạng công ty.
Tường lửa BAS
Để cung cấp thêm sự tách biệt và bảo vệ cho BAS, phải sử dụng tường lửa giữa Internet/mạng nội bộ/mạng công ty và bất kỳ thiết bị BAS nào kết nối với nó, chẳng hạn như máy trạm chính Niagara, máy trạm Niagara và Bộ điều khiển nhà máy tiên tiến. Tường lửa này giới hạn quyền truy cập vào BAS chỉ đối với các máy tính được ủy quyền và có thể giúp giảm nguy cơ bị tấn công, chẳng hạn như tấn công từ chối dịch vụ.

Trạm làm việc Niagara
Trạm làm việc chính Niagara là máy tính chạy phần mềm Niagara. Nó yêu cầu hai kết nối mạng – một để kết nối với quản lý web giao diện người dùng thông qua một web trình duyệt (thường là trên
(Internet/mạng nội bộ/mạng công ty) và một mạng khác để kết nối với mạng BAS.
Chuyển mạch Ethernet
Bộ chuyển mạch Ethernet tạo ra mạng và sử dụng nhiều cổng để giao tiếp giữa các thiết bị trong mạng LAN. Bộ chuyển mạch Ethernet khác với bộ định tuyến, kết nối mạng và chỉ sử dụng một cổng LAN và WAN. Cơ sở hạ tầng không dây và có dây đầy đủ của công ty cung cấp kết nối có dây và Wi-Fi cho kết nối không dây.

Bộ điều khiển nhà máy tiên tiến
Advanced Plant Controller là bộ điều khiển toàn cầu kết nối với mạng Ethernet, BACnetTM IP và các phân đoạn mạng MS/TP lưu trữ. MS/TP là kết nối băng thông thấp được sử dụng để kết nối bộ điều khiển và cảm biến.
HMI
HMI được kết nối và nhận nguồn điện từ bộ điều khiển nhà máy Advanced Niagara. Các thiết bị này được chế tạo với màn hình cảm ứng điện dung hỗ trợ lựa chọn bằng ngón tay trần và cung cấp cho người vận hành các chức năng để view, truy cập và khắc phục sự cố các điểm điều khiển, mô-đun IO và các thiết bị được kết nối khác.

Mô-đun IO
Các mô-đun IO có thể kết nối với bộ điều khiển bằng các kết nối vảy cảm ứng (nguồn điện và thông tin liên lạc) hoặc các mô-đun IO có thể kết nối với bộ chuyển đổi dây điện sẽ được cung cấp nguồn điện và được kết nối với một trong các giao diện RS485 trên bộ điều khiển. Các mô-đun IO có thể lập trình bằng công cụ kỹ thuật hiện có như công cụ ComfortPointTM Open Studio và Niagara 4 Workbench.

QUY HOẠCH VÀ BẢO MẬT MẠNG

Mạng Ethernet
Nên tách biệt mạng Ethernet mà hệ thống BMS sử dụng với mạng văn phòng thông thường.
Examplê:
Sử dụng khoảng cách không khí hoặc mạng riêng ảo. Quyền truy cập vật lý vào cơ sở hạ tầng mạng Ethernet phải bị hạn chế. Bạn cũng phải đảm bảo rằng quá trình cài đặt tuân thủ chính sách CNTT của công ty bạn.
Bộ điều khiển nâng cao không được kết nối trực tiếp với Internet.

Web Máy chủ
Bộ điều khiển nâng cao cung cấp cả HTTP và HTTPS web máy chủ. Nếu một web máy chủ không bắt buộc, khuyến cáo là cả hai web máy chủ bị vô hiệu hóa.
Mạng IP BACnetTM
Do bản chất không an toàn của giao thức BACnetTM, các mô-đun Advanced Controller, HMI và IO sử dụng BACnetTM không được kết nối với Internet trong bất kỳ trường hợp nào. Hệ thống bảo mật Advanced Controller không bảo vệ chống lại các lệnh ghi BACnetTM. Quyền truy cập vật lý vào cơ sở hạ tầng mạng IP BACnetTM phải bị hạn chế. Nếu không yêu cầu truyền thông IP BACnetTM, phải tắt Advanced Controllers (BACnetTMTM IP) Network Module bằng cách đặt tham số 'Disable Module' thành '1'.
Nếu cần giao tiếp BACnetTMTM, chúng tôi khuyến cáo không nên bật các dịch vụ BACnetTMTM Backup/Restore, Reinitialize Device và BACnetTMWritable. Tuy nhiên, điều này có nghĩa là chiến lược được tạo không tuân thủ BTL – Tham khảo “Local Security” ở trang 13.

MS/TP (giấy phép NC)
Phải hạn chế quyền truy cập vật lý vào cơ sở hạ tầng mạng MS/TP. Nếu không cần mạng MS/TP, phải vô hiệu hóa Mô-đun mạng Advanced Controller (BACnetTM MSTP) bằng cách đặt tham số 'Tắt Mô-đun' thành '1'. Bus IO (giấy phép CAN)
Phải hạn chế quyền truy cập vật lý vào Bus IO.
USB
Phải hạn chế quyền truy cập vật lý vào Cổng kỹ thuật cục bộ USB của Bộ điều khiển nâng cao.

RS485 (bao gồm cả giấy phép Modbus)
Phải hạn chế quyền truy cập vật lý vào cổng RS485 của Bộ điều khiển. Nếu không cần thiết, bất kỳ Mô-đun mạng nào được kết nối với cổng không nên được đưa vào chiến lược.
Mạng IP Modbus (giấy phép INT)
Do bản chất không an toàn của giao thức Modbus, Bộ điều khiển nâng cao hỗ trợ IP Modbus không được kết nối với Internet trong bất kỳ trường hợp nào. Quyền truy cập vật lý vào cơ sở hạ tầng mạng IP Modbus phải bị hạn chế. Nếu không yêu cầu truyền thông IP Modbus, Mô-đun mạng của Bộ điều khiển nâng cao (Modbus IP) không nên được đưa vào chiến lược.

HỆ THỐNG BẢO MẬT MODULE IO, HMI VÀ BỘ ĐIỀU KHIỂN NÂNG CAO

Bộ điều khiển bảo mật nâng cao tuân thủ ISA 62433-3-3 SL 3 và cung cấp khả năng khởi động an toàn, mạng được xác thực và mã hóa, mã hóa khi lưu trữ và quản lý tài khoản được đồng bộ hóa.
Để truy cập vào các sản phẩm Bộ điều khiển nâng cao hoặc thực hiện bất kỳ tác vụ nào nêu trên, bạn phải cung cấp tên người dùng và mật khẩu hợp lệ cho Tài khoản hệ thống kỹ thuật hoặc Tài khoản hệ thống thiết bị.

Bảo mật khi chưa cấu hình
Để tương tác với bộ điều khiển Nâng cao, HMI và Mô-đun IO, phải cung cấp thông tin xác thực hợp lệ. Bộ điều khiển được cung cấp từ nhà máy mà không có bất kỳ thông tin xác thực nào (Tài khoản hệ thống hoặc Mô-đun người dùng) đảm bảo rằng khi lần đầu tiên bật nguồn, nó được bảo vệ khỏi truy cập trái phép. Lần đầu tiên thực hiện nỗ lực kết nối với vCNC trong một trong các sản phẩm Nâng cao trên mạng Niagara, phải tạo Tài khoản Hệ thống Kỹ thuật có Vai trò Quản trị viên.

Bảo vệ khỏi các thiết bị trái phép
Khóa duy nhất (Khóa mạng) được sử dụng để đảm bảo rằng chỉ những thiết bị được ủy quyền mới có thể tham gia mạng Niagara. Tất cả các bộ điều khiển tạo thành mạng Niagara phải có cùng Khóa mạng và cổng UDP. Những khóa này được định cấu hình bằng IP Tool trong quá trình định cấu hình ban đầu.
Examplê:
Nếu bốn Bộ điều khiển nhà máy tiên tiến có cùng Khóa mạng (112233) và bộ thứ năm có Khóa mạng khác
(222). Khi chúng được kết nối với cùng một mạng Ethernet, bốn bộ điều khiển có cùng Khóa mạng sẽ kết hợp với nhau để tạo thành một mạng duy nhất, nhưng Bộ điều khiển thứ năm sẽ không thể kết nối mạng vì nó có Khóa mạng khác, tức là (222).
Tương tự như vậy, nếu bộ điều khiển thứ năm là bộ điều khiển mới (khi xuất xưởng) và được thêm vào mạng Ethernet thì nó sẽ không thể kết nối với mạng Niagara vì không có Khóa mạng.
1. Mã xác minh tài khoản
  Khi Tài khoản Hệ thống Quản trị được thêm vào một trong các bộ điều khiển trên mạng, Mã Xác minh Tài khoản sẽ tự động được tạo bởi bộ điều khiển mà Tài khoản Hệ thống được thêm vào. Mã này được đồng bộ hóa với tất cả các bộ điều khiển khác có cùng Khóa Mạng và cổng UDP trên mạng Ethernet.
  Sau khi Mã xác minh tài khoản được tạo, TẤT CẢ các bộ điều khiển trên mạng PHẢI có cùng Mã xác minh tài khoản cũng như cùng Khóa mạng và cổng UDP.
  Example:
  Nếu có năm bộ điều khiển, tất cả các bộ điều khiển Nâng cao đều có cùng Khóa mạng. Bốn bộ điều khiển có cùng Mã xác minh tài khoản (AVC) và do đó tạo thành một mạng. Bộ điều khiển thứ năm có Mã xác minh tài khoản khác và mặc dù có cùng Khóa mạng nhưng không thể kết nối với các bộ điều khiển khác.

Tài khoản hệ thống
Tài khoản hệ thống cho phép mọi người và thiết bị tương tác với Advanced Controller. Quyền truy cập được cấp phụ thuộc vào loại tài khoản và vai trò.
Có hai loại Tài khoản hệ thống:
1. Tài khoản hệ thống kỹ thuật
2. Tài khoản hệ thống thiết bị
3. Tài khoản hệ thống kỹ thuật
  Tài khoản Hệ thống Kỹ thuật dành cho các kỹ sư sử dụng. Mỗi Tài khoản Hệ thống Kỹ thuật có tên tài khoản và mật khẩu phải được cung cấp khi bộ điều khiển yêu cầu. Nếu cung cấp tên người dùng và mật khẩu hợp lệ, bộ điều khiển sẽ cấp quyền truy cập.

Mỗi người phải tạo một Tài khoản Hệ thống Kỹ thuật riêng. Tài khoản Hệ thống Kỹ thuật có thể được thiết lập thành một trong hai vai trò sau:

Vai trò kỹ thuật
Vai trò quản trị viên

Vai trò kỹ thuật
Vai trò Kỹ thuật cung cấp quyền truy cập cần thiết để thiết kế hệ thống Nâng cao, tạo/quản lý Tài khoản Hệ thống Thiết bị và quản lý thông tin tài khoản của người dùng (địa chỉ email, mật khẩu, v.v.).
Vai trò quản trị viên
Vai trò Quản trị viên cung cấp quyền truy cập giống như vai trò Kỹ thuật cộng với khả năng quản lý tất cả Tài khoản Hệ thống Thiết bị và Kỹ thuật.

Tài khoản hệ thống thiết bị
Tài khoản hệ thống thiết bị được thiết kế để cho phép các thiết bị như Niagara kết nối với mạng để lấy thông tin cần thiết và thực hiện thay đổi. Nên tạo một Tài khoản hệ thống thiết bị riêng cho mỗi thiết bị truy cập mạng. Chúng có vai trò là 'Giám sát viên'.

QUAN TRỌNG
Quan trọng: Hệ thống bảo mật của người giám sát phải được cấu hình để hạn chế quyền truy cập của mỗi người dùng giám sát.

Tạo tài khoản hệ thống
Tài khoản Hệ thống Kỹ thuật có Vai trò Quản trị viên phải được tạo lần đầu tiên khi cố gắng kết nối với vCNC trên mạng Niagara. Tài khoản này sau đó được đồng bộ hóa với các bộ điều khiển khác trên mạng Niagara

Tham khảo “Quản lý tài khoản đồng bộ” ở trang 12. Có thể tạo thêm tài khoản nếu cần bằng Niagara workbench.

GHI CHÚ
Lần đầu tiên Tài khoản Hệ thống Kỹ thuật được tạo trong bộ điều khiển, Mã xác minh Tài khoản sẽ tự động được tạo và đồng bộ hóa với các bộ điều khiển khác trên mạng Ethernet có cùng Khóa mạng và cổng UDP. Khi bộ điều khiển có Mã xác minh Tài khoản, nó chỉ có thể tham gia mạng với các bộ điều khiển có cùng Mã xác minh Tài khoản – Tham khảo “Mã xác minh Tài khoản” ở trang 11.

Quản lý tài khoản đồng bộ
Quản lý tài khoản được đồng bộ hóa dễ dàng và an toàn đồng bộ hóa Tài khoản hệ thống, bao gồm Mã xác minh tài khoản, với tất cả Bộ điều khiển nâng cao trên cùng một mạng Niagara. Điều này cho phép:

Đăng nhập một lần cho mạng
Giảm chi phí cấu hình và duy trì quyền truy cập trên toàn bộ trang web mà không làm giảm tính bảo mật. Tất cả Bộ điều khiển nâng cao trên cùng một mạng sẽ có cùng Tài khoản hệ thống.

Khi Bộ điều khiển nâng cao không có bất kỳ Tài khoản hệ thống nào được kết nối với mạng Ethernet và được cấu hình với Khóa mạng và cổng UDP cho mạng Niagara, nó sẽ tham gia mạng và tự động lấy Tài khoản hệ thống từ các bộ điều khiển khác trên mạng Niagara.

Examplê:
nếu một Bộ điều khiển nâng cao không có bất kỳ Tài khoản hệ thống nào được thêm vào hệ thống trên và được cung cấp Khóa mạng cho mạng Niagara (112233) và cổng UDP, nó sẽ tham gia mạng và lấy Tài khoản hệ thống của mình (Người dùng 1, Người dùng 2, Người dùng 3) từ các Bộ điều khiển nâng cao khác trên mạng Niagara.
Sau khi quá trình đồng bộ hóa hoàn tất, bạn có thể kết nối với bất kỳ vCNC nào, hiển thị web và đăng nhập vào bất kỳ bộ điều khiển Nâng cao nào trên mạng Niagara bằng bất kỳ Tài khoản Hệ thống nào.
Nếu có thay đổi nào được thực hiện đối với Tài khoản hệ thống, tức là một tài khoản được thêm, xóa hoặc chỉnh sửa, những thay đổi này sẽ tự động được đồng bộ hóa trên tất cả Bộ điều khiển nâng cao trên mạng Niagara.

Examplê:
nếu có năm Bộ điều khiển nâng cao, Tài khoản hệ thống trong Bộ điều khiển (1) được chỉnh sửa để xóa Người dùng 2, đổi tên Người dùng 3 thành Người dùng 3a và Người dùng 4 được thêm vào, những thay đổi sẽ được đồng bộ hóa với Bộ điều khiển (2), Bộ điều khiển (3), Bộ điều khiển (4) và Bộ điều khiển (5).

GHI CHÚ:
Nếu phát hiện xung đột trong quá trình đồng bộ hóa, thay đổi mới nhất sẽ được ưu tiên.

Thay đổi Khóa Mạng Bộ Điều Khiển Nâng Cao
Khi Khóa mạng Bộ điều khiển nâng cao được thay đổi, tất cả Tài khoản hệ thống của nó sẽ bị xóa và nó sẽ bị xóa khỏi mạng Niagara hiện tại. Việc thay đổi Khóa mạng phải được Tài khoản hệ thống Quản trị viên hoặc Kỹ sư hợp lệ cho phép.
Sau khi thực hiện thay đổi, mạng Niagara sẽ tham gia bằng Khóa mạng mới (nếu có) và lấy Tài khoản hệ thống từ Bộ điều khiển nâng cao trên mạng Niagara mới với điều kiện mạng này có cùng cổng UDP.

An ninh địa phương
Bảo mật cục bộ sử dụng người dùng cục bộ (Mô-đun người dùng) để cho phép truy cập vào Bộ điều khiển nâng cao web các trang hoặc màn hình được kết nối cục bộ và kiểm soát thông tin hiển thị hoặc các giá trị có thể điều chỉnh.
Để có quyền truy cập và thực hiện thay đổi, phải cung cấp tên người dùng và mật khẩu hợp lệ cho người dùng cục bộ. Cấp mã PIN của người dùng xác định những thông số nào người dùng có thể xem và điều chỉnh.

GHI CHÚ
Người dùng cục bộ KHÔNG được đồng bộ hóa với các Bộ điều khiển nâng cao khác trên mạng Niagara.

Truy cập vào Web Các trang
Truy cập vào bộ điều khiển web các trang được bảo vệ bởi hệ thống bảo mật Advanced Controller. Khi bộ điều khiển web máy chủ được truy cập một web trang cung cấp một số thông tin cơ bản và cho phép người dùng đăng nhập – Tham khảo “Truy cập ban đầu” trên trang 13.
Người dùng đăng nhập sẽ được coi là người dùng đã đăng nhập – Tham khảo “Người dùng đã đăng nhập” trên trang 14. và người dùng truy cập web các trang không cần đăng nhập sẽ được cấp quyền truy cập như mô tả trong “Quyền truy cập ban đầu” trên trang 13.

Truy cập ban đầu
Khi bộ điều khiển web máy chủ được truy cập lần đầu tiên, trang Chào mừng sẽ được hiển thị và quyền truy cập được cấp phụ thuộc vào cấu hình bảo mật hiện tại của bộ điều khiển:

Không có Tài khoản Hệ thống Kỹ thuật và không có Mô-đun Người dùng (mặc định của nhà máy)
Trang 'Chào mừng' được hiển thị và quyền truy cập đầy đủ vào bộ điều khiển web các trang và khả năng thực hiện thay đổi sẽ được cung cấp.

GHI CHÚ
Vì không có Tài khoản Hệ thống Kỹ thuật hoặc mô-đun người dùng nên không thể đăng nhập.

Tài khoản hệ thống kỹ thuật và không có mô-đun người dùng
Trang 'Chào mừng' sẽ hiển thị và bộ điều khiển sẽ chỉ cấp quyền truy cập vào Cảm biến, Đầu vào kỹ thuật số, Núm xoay, Công tắc, Trình điều khiển, Lịch trình, Lịch trình thời gian, Thời gian, Mô-đun biểu đồ, Nhật ký cảnh báo và Đồ họa và sẽ không cho phép thay đổi.

GHI CHÚ
Có thể đăng nhập bằng Tài khoản Hệ thống Kỹ thuật.

Tài khoản hệ thống kỹ thuật và mô-đun người dùng
Màn hình hiển thị và truy cập ban đầu được kiểm soát bởi các mô-đun Người dùng. Nếu có một mô-đun Người dùng có tên là 'Khách' không có mật khẩu khi Bộ điều khiển Nâng cao web các trang được truy cập mà không cần đăng nhập bộ điều khiển sẽ cấp quyền truy cập (cấp độ người dùng, trang chủ và view mặc định) được chỉ định bởi mô-đun Người dùng 'Khách'.
Theo mặc định, mô-đun Người dùng 'Khách' chỉ cung cấp quyền truy cập vào trang 'Chào mừng' Nâng cao và có cấp độ người dùng là '0'. Điều này có nghĩa là người dùng truy cập bộ điều khiển mà không đăng nhập sẽ chỉ có thể view trang 'Chào mừng'. Để cung cấp nhiều quyền truy cập hơn, người dùng 'Khách' có thể được cấu hình theo cùng cách như bất kỳ Mô-đun người dùng Loại 0 nào khác.

GHI CHÚ:
Niagara workbench ngăn chặn người dùng 'Khách' được cung cấp mật khẩu, mã PIN hoặc cấp độ người dùng cao hơn '0'. Nó cho phép một trang chủ và view mặc định sẽ được cấu hình.

Chúng tôi khuyến cáo mạnh mẽ rằng người dùng Khách nên giữ nguyên cấu hình mặc định (mức người dùng là '0' và không view quyền).
Nếu không có mô-đun Người dùng có tên 'Khách' hoặc mô-đun này đã được cấu hình bằng mật khẩu, trang 'Chào mừng' sẽ được hiển thị và bộ điều khiển sẽ chỉ cấp quyền truy cập vào Cảm biến, Đầu vào kỹ thuật số, Núm xoay, Công tắc, Trình điều khiển, Lịch trình, Lịch thời gian, Thời gian, Mô-đun Biểu đồ, Nhật ký cảnh báo và Đồ họa và sẽ không cho phép thay đổi.

GHI CHÚ
Có thể đăng nhập bằng Tài khoản Hệ thống Kỹ thuật và bất kỳ Mô-đun Người dùng nào hiện có.

Người dùng đã đăng nhập
Để đăng nhập vào Bộ điều khiển nâng cao web phải nhập tên người dùng và mật khẩu trùng với một trong các Tài khoản Hệ thống Kỹ thuật Bộ điều khiển Nâng cao hoặc Mô-đun Người dùng Loại 0.

Phục hồi mật khẩu
Nếu người dùng quên mật khẩu, họ có thể khôi phục mật khẩu bằng cách sử dụng Niagara workbench. Để biết chi tiết về cách khôi phục mật khẩu đã quên bằng Niagara, hãy xem Hướng dẫn sử dụng Niagara workbench.

BẢO VỆ HỆ ĐIỀU HÀNH NIAGARA

Thực hành chung tốt
Thực hiện các biện pháp chung tốt để bảo mật hệ điều hành như:

Màn hình bảo vệ bằng mật khẩu
Phần mềm mã hóa ổ đĩa

Thiết lập tường lửa
Hệ điều hành phải được cấu hình để sử dụng tường lửa được cập nhật tự động. Cấu hình phải ngăn chặn truy cập (IN/OUT) cho tất cả các cổng ngoại trừ những cổng cần truy cập, KHÔNG để bất kỳ cổng nào không sử dụng mở.

Phiên bản hệ điều hành
Bạn PHẢI đảm bảo rằng bất kỳ thiết bị nào chạy ứng dụng Niagara hoặc kết nối với cùng một mạng IP đều được cài đặt bản cập nhật hệ điều hành mới nhất. Thực hành tốt là đảm bảo Windows Updates được để tự động và được cài đặt kịp thời.

Phòng ngừa vi-rút
BẠN PHẢI đảm bảo rằng mọi máy tính chạy ứng dụng Niagara hoặc được kết nối với cùng một mạng IP đều đang chạy phần mềm diệt vi-rút và định nghĩa vi-rút được cập nhật thường xuyên.

Bảo vệ xâm nhập
Nên sử dụng Hệ thống phát hiện xâm nhập (IDS) từ nhà cung cấp sản phẩm bảo mật uy tín trên bất kỳ máy tính nào chạy ứng dụng Niagara. Thực hiện theo thông lệ tốt nhất cho các sản phẩm đã chọn cũng như bất kỳ chính sách CNTT nào của công ty nơi cài đặt.
Nhiều sản phẩm IDS và tường lửa cung cấp giải pháp hoàn chỉnh để ghi lại toàn bộ lưu lượng ra vào máy tính, giúp người dùng có khả năng ghi lại mọi hoạt động ở mức thấp nhất.

QUY ĐỊNH CHUNG VỀ BẢO VỆ DỮ LIỆU (GDPR)

Quy định bảo vệ dữ liệu chung (EU) 2016/679 (GDPR) là một quy định trong luật EU về bảo vệ dữ liệu và quyền riêng tư cho tất cả công dân cá nhân của Liên minh châu Âu (EU) và Khu vực kinh tế châu Âu (EEA). Quy định này cũng đề cập đến việc chuyển dữ liệu cá nhân ra bên ngoài EU và các khu vực EEA. GDPR bao gồm các điều khoản và yêu cầu liên quan đến việc xử lý dữ liệu cá nhân của các cá nhân (chủ thể dữ liệu) bên trong EEA và áp dụng cho bất kỳ doanh nghiệp nào được thành lập tại EEA (bất kể vị trí và quyền công dân của chủ thể dữ liệu) hoặc đang xử lý thông tin cá nhân của chủ thể dữ liệu bên trong EEA.
Theo các điều khoản của GDPR, dữ liệu cá nhân bao gồm bất kỳ thông tin nào có thể được sử dụng để xác định một cá nhân. Điều này bao gồm (nhưng không giới hạn ở):

tên người dùng,
mật khẩu,
số điện thoại,
địa chỉ email,
địa chỉ làm việc hoặc địa chỉ cư trú.

Bất kỳ thông tin nào được nhập vào Bộ điều khiển nâng cao, HMI và Mô-đun IO đều được mã hóa và lưu trữ trên các sản phẩm Nâng cao tại cơ sở của khách hàng. Honeywell không tham gia vào việc lưu trữ và/hoặc xử lý dữ liệu cá nhân trong các sản phẩm Nâng cao của Honeywell.
Trách nhiệm tuân thủ các yêu cầu của GDPR hoàn toàn thuộc về nhà tích hợp hệ thống hoặc quản trị viên hệ thống và do đó, họ phải đảm bảo có các hệ thống kỹ thuật và tổ chức phù hợp để:

nhận được sự đồng ý rõ ràng từ mỗi chủ thể dữ liệu để dữ liệu cá nhân được lưu trữ, sử dụng và/hoặc xử lý,
cho phép cá nhân có quyền truy cập vào dữ liệu cá nhân của họ để xác minh tính chính xác,

cho phép cá nhân rút lại sự đồng ý của họ bất cứ lúc nào và xóa vĩnh viễn dữ liệu cá nhân của họ,
duy trì tính bảo mật và toàn vẹn của việc lưu trữ và truy cập dữ liệu mọi lúc,
báo cáo bất kỳ vi phạm nào về bảo mật dữ liệu (có thể ảnh hưởng đến quyền riêng tư của người dùng) cho cơ quan có thẩm quyền trong vòng 72 giờ kể từ khi vi phạm xảy ra.

GIAO TIẾP AN TOÀN

Cơ sở hạ tầng khóa công khai (PKI) hỗ trợ việc phân phối và nhận dạng các khóa mã hóa công khai được sử dụng để bảo vệ việc trao đổi dữ liệu qua mạng, chẳng hạn như Internet. PKI xác minh danh tính của bên kia và mã hóa việc truyền dữ liệu thực tế. Xác minh danh tính cung cấp sự đảm bảo không thể chối cãi về danh tính của máy chủ. Mã hóa cung cấp tính bảo mật trong quá trình truyền mạng. Yêu cầu các mô-đun mã đã ký đảm bảo rằng chỉ có mã mong đợi mới chạy trong hệ thống.

Để cung cấp mạng lưới an toàn bằng PKI, Niagara hỗ trợ giao thức TLS (Bảo mật lớp truyền tải), phiên bản 1.0, 1.1 và 1.2. TLS thay thế giao thức tiền nhiệm của nó là SSL (Lớp cổng bảo mật).
Mỗi cài đặt Niagara tự động tạo một chứng chỉ mặc định, cho phép kết nối được mã hóa ngay lập tức. Tuy nhiên, các chứng chỉ này tạo ra cảnh báo trong trình duyệt và Workbench và thường không phù hợp với người dùng cuối. Việc tạo và ký các chứng chỉ kỹ thuật số tùy chỉnh cho phép sử dụng TLS liền mạch trong trình duyệt và cung cấp cả mã hóa cũng như xác thực máy chủ.
Ngoài bảo mật truyền thông, mỗi mô-đun mã máy tính chạy trong hệ thống đều được bảo vệ bằng chữ ký số. Các đối tượng chương trình được thêm vào yêu cầu chữ ký này nếu không chúng sẽ không chạy.

Xác minh máy chủ, mã hóa quá trình truyền và đảm bảo rằng chỉ các lần chạy mã đã ký mới không bảo mật dữ liệu được lưu trữ trên thiết bị lưu trữ. Bạn vẫn cần hạn chế quyền truy cập vật lý vào máy tính và bộ điều khiển quản lý mô hình tòa nhà của mình, thiết lập xác thực người dùng bằng mật khẩu mạnh và bảo mật các thành phần bằng cách kiểm soát quyền.
Niagara hỗ trợ và sử dụng giao tiếp an toàn và mã đã ký theo mặc định. Bạn không cần phải mua thêm giấy phép.
Bảo mật là mối quan tâm liên tục. Mặc dù bạn sẽ tìm thấy nhiều thông tin có giá trị trong các chủ đề giao tiếp an toàn, hãy mong đợi các bản cập nhật và thay đổi trong tương lai.
Dưới đây là các thông tin liên lạc an toàn. Để biết thêm chi tiết, hãy tham khảo hướng dẫn An ninh của Ga Niagara.

Mối quan hệ máy khách/máy chủ
Giấy chứng nhận
Cửa hàng chứng chỉ
Cấu trúc thư mục CSR
Thiết lập chứng chỉ
Trình hướng dẫn chứng chỉ
Ký nhiều chứng chỉ
Cấu hình giao tiếp nền tảng an toàn
Cấu hình giao tiếp trạm an toàn
Kích hoạt máy khách và cấu hình chúng cho đúng cổng
Cài đặt bản sao trạm trên nền tảng khác
Bảo mật email
Xử lý sự cố truyền thông an toàn

Mối quan hệ máy khách/máy chủ
Mối quan hệ máy khách/máy chủ xác định các kết nối cần được bảo vệ. Mối quan hệ máy khách/máy chủ Workbench thay đổi tùy thuộc vào cách bạn cấu hình và sử dụng hệ thống. Workbench luôn là máy khách. Nền tảng luôn là máy chủ. Trạm có thể là máy khách và máy chủ.
Các giao thức hệ thống quản lý truyền thông là:

Kết nối nền tảng từ Workbench (máy khách) đến bộ điều khiển hoặc daemon nền tảng PC của Supervisor (máy chủ) sử dụng Niagara. Kết nối nền tảng an toàn đôi khi được gọi là platformtls. Bạn bật platformtls bằng cách sử dụng Platform Administration view.
Kết nối trạm cục bộ (Giám sát và nền tảng) sử dụng Foxs. Bạn bật các kết nối này trong FoxService của trạm (Config > Services > FoxService).

Kết nối trình duyệt sử dụng Https, cũng như Foxs nếu bạn đang sử dụng Web Trình khởi chạy với WbWebChuyên nghiệpfile. Bạn kích hoạt các kết nối này bằng cách sử dụng trạm WebDịch vụ (Cấu hình > Dịch vụ > WebDịch vụ).
Kết nối máy khách với máy chủ email của trạm, nếu có. Bạn bật email an toàn bằng EmailService của trạm (Config > Services > EmailService).

GIẤY CHỨNG NHẬN
Chứng chỉ là một tài liệu điện tử sử dụng chữ ký số để liên kết khóa công khai với một cá nhân hoặc tổ chức. Chứng chỉ có thể phục vụ nhiều mục đích khác nhau tùy thuộc vào cách bạn cấu hình thuộc tính Sử dụng khóa của chứng chỉ. Mục đích chính của chúng trong hệ thống này là xác minh danh tính của máy chủ để có thể tin cậy vào giao tiếp. Để biết thêm chi tiết, vui lòng tham khảo Hướng dẫn bảo mật của Trạm Niagara – Chứng chỉ.
Niagara hỗ trợ các loại chứng chỉ sau:

Chứng chỉ CA (Certificate Authority) là chứng chỉ tự ký thuộc về một CA. Đây có thể là bên thứ ba hoặc một công ty đóng vai trò là CA của chính mình.
Chứng chỉ CA gốc là chứng chỉ CA tự ký có khóa riêng được sử dụng để ký các chứng chỉ khác tạo ra cây chứng chỉ đáng tin cậy. Với khóa riêng của mình, chứng chỉ CA gốc có thể được xuất, lưu trữ trên ổ USB trong kho lưu trữ và chỉ được đưa ra khi cần ký chứng chỉ. Khóa riêng của chứng chỉ CA gốc yêu cầu tạo mật khẩu khi xuất và cung cấp cùng mật khẩu khi bạn sử dụng để ký các chứng chỉ khác.
Chứng chỉ trung gian là chứng chỉ CA được ký bởi chứng chỉ CA gốc được sử dụng để ký chứng chỉ máy chủ hoặc các chứng chỉ CA trung gian khác. Sử dụng chứng chỉ trung gian sẽ cô lập một nhóm chứng chỉ máy chủ.

Chứng chỉ máy chủ đại diện cho phía máy chủ của kết nối an toàn. Mặc dù bạn có thể thiết lập một chứng chỉ riêng cho mỗi giao thức (Foxs, Https, Webs). Mặc dù bạn có thể cấu hình nền tảng và trạm (như máy chủ) bằng các chứng chỉ máy chủ riêng biệt, nhưng để đơn giản, hầu hết các hệ thống thường sử dụng cùng một chứng chỉ máy chủ.
Chứng chỉ ký mã là chứng chỉ được sử dụng để ký các đối tượng và mô-đun chương trình. Các nhà tích hợp hệ thống sử dụng chứng chỉ này để ngăn chặn việc đưa mã độc vào khi họ tùy chỉnh khuôn khổ.

Giấy chứng nhận tự ký
Chứng chỉ tự ký là chứng chỉ được ký theo mặc định bằng khóa riêng của nó thay vì bằng khóa riêng của chứng chỉ CA (Cơ quan cấp chứng chỉ) gốc.
Hệ thống hỗ trợ hai loại chứng chỉ tự ký:

Chứng chỉ CA gốc được tin cậy ngầm định vì không có thẩm quyền nào cao hơn CA (Cơ quan cấp chứng chỉ) sở hữu chứng chỉ này. Vì lý do này, các CA, có chức năng là xác nhận chứng chỉ của người khác, sẽ bảo vệ chặt chẽ chứng chỉ CA gốc và khóa riêng của họ. Tương tự như vậy, nếu công ty của bạn đang hoạt động như CA của riêng mình, bạn nên bảo vệ chặt chẽ chứng chỉ CA gốc mà bạn sử dụng để ký các chứng chỉ khác.
Chứng chỉ tự ký mặc định: Lần đầu tiên bạn khởi động phiên bản Workbench, nền tảng hoặc trạm sau khi cài đặt (chạy thử), hệ thống sẽ tạo chứng chỉ máy chủ tự ký mặc định với tên gọi là tridium.

GHI CHÚ:
Không xuất chứng chỉ này và nhập nó vào bất kỳ kho lưu trữ nào của nền tảng hoặc trạm khác. Mặc dù có thể, nhưng làm như vậy sẽ làm giảm tính bảo mật và tăng khả năng bị tấn công.
Để giảm thiểu rủi ro bị tấn công trung gian khi sử dụng chứng chỉ tự ký, tất cả nền tảng của bạn phải được đặt trong một mạng riêng an toàn, ngoại tuyến và không cho phép truy cập công khai từ Internet.

THẬN TRỌNG
Để sử dụng chứng chỉ tự ký, trước khi bạn truy cập nền tảng hoặc trạm từ Workbench lần đầu tiên, hãy đảm bảo rằng máy tính và nền tảng của bạn không nằm trên bất kỳ mạng công ty hoặc Internet nào. Sau khi ngắt kết nối, hãy kết nối máy tính trực tiếp với nền tảng, mở nền tảng từ Workbench và chấp thuận chứng chỉ tự ký của nền tảng. Chỉ sau đó, bạn mới nên kết nối lại nền tảng với mạng công ty.

Quy ước đặt tên
User Key Store, User Trust Store và System Trust Store tạo thành cốt lõi của cấu hình. Các chứng chỉ trông rất giống nhau và các chứng chỉ tự ký mặc định khác nhau được đặt tên giống hệt nhau.

Cửa hàng chứng chỉ
Quản lý chứng chỉ sử dụng bốn kho lưu trữ để quản lý chứng chỉ: Kho lưu trữ khóa người dùng, Kho lưu trữ hệ thống tin cậy, Kho lưu trữ người dùng tin cậy và danh sách Máy chủ được phép.
User Key Store được liên kết với phía máy chủ của mối quan hệ máy khách-máy chủ. Kho lưu trữ này lưu trữ các chứng chỉ, mỗi chứng chỉ có khóa công khai và khóa riêng. Ngoài ra, kho lưu trữ này còn chứa chứng chỉ tự ký ban đầu được tạo khi bạn khởi chạy Workbench hoặc khởi động nền tảng lần đầu tiên.
User Trust Stores và System Trust Stores được liên kết với phía máy khách của mối quan hệ máy khách-máy chủ. System Trust Store được điền sẵn các chứng chỉ công khai chuẩn: chứng chỉ CA gốc từ các Cơ quan cấp chứng chỉ nổi tiếng, chẳng hạn như VeriSign, Thawte và Digicert. User Trust Store lưu trữ CA gốc và các chứng chỉ trung gian cho các công ty đóng vai trò là cơ quan cấp chứng chỉ của riêng họ.
Danh sách Máy chủ được phép chứa các chứng chỉ máy chủ mà không có chứng chỉ CA gốc đáng tin cậy nào tồn tại trong Hệ thống hoặc Kho lưu trữ tin cậy của người dùng của máy khách, nhưng các chứng chỉ máy chủ đã được chấp thuận để sử dụng. Điều này bao gồm các máy chủ mà tên máy chủ của máy chủ không giống với Tên chung trong chứng chỉ máy chủ. Bạn chấp thuận việc sử dụng các chứng chỉ này trên cơ sở cá nhân. Mặc dù giao tiếp an toàn, nhưng tốt hơn là sử dụng các chứng chỉ máy chủ đã ký.

Mã hóa
Mã hóa là quá trình mã hóa dữ liệu truyền tải để bên thứ ba không đáng tin cậy không thể đọc được. TLS sử dụng mã hóa để truyền dữ liệu giữa máy khách và máy chủ. Mặc dù có thể tạo kết nối không được mã hóa chỉ bằng giao thức fox hoặc http, nhưng bạn được khuyến khích không nên theo đuổi tùy chọn này. Nếu không mã hóa, thông tin liên lạc của bạn có khả năng bị tấn công. Luôn chấp nhận kết nối Fox hoặc Https mặc định.

BẢNG ĐIỀU KHIỂN BẢO MẬT KẾT THÚCVIEW
Trong Niagara 4.10u5 trở lên, tính năng Bảng điều khiển bảo mật cung cấp (cho quản trị viên và những người dùng được ủy quyền khác) góc nhìn từ trên xuống view của cấu hình bảo mật của trạm của bạn. Điều này cho phép bạn dễ dàng theo dõi cấu hình bảo mật trong nhiều dịch vụ trạm và xác định bất kỳ điểm yếu nào về cấu hình bảo mật trên trạm.

THẬN TRỌNG
Bảng điều khiển bảo mật View có thể không hiển thị mọi cài đặt bảo mật có thể có và không được coi là đảm bảo rằng mọi thứ đều được cấu hình an toàn. Đặc biệt, các mô-đun của bên thứ ba có thể có các cài đặt bảo mật không đăng ký với bảng điều khiển.

Bảng điều khiển bảo mật view là chính view trên SecurityService của trạm. view cảnh báo bạn về các điểm yếu bảo mật như cài đặt độ mạnh của mật khẩu kém; chứng chỉ đã hết hạn, tự ký hoặc không hợp lệ; giao thức truyền tải không được mã hóa, v.v., chỉ ra các khu vực mà cấu hình cần được bảo mật hơn. Dữ liệu được báo cáo khác bao gồm: tình trạng hệ thống, số lượng tài khoản đang hoạt động, tài khoản không hoạt động, số lượng tài khoản có quyền siêu người dùng, v.v. Tùy chọn, thuộc tính "hệ thống" trên tính năng cấp phép "securityDashboard" có thể được đặt thành "true" để bật Hệ thống View của trạm cung cấp thông tin chi tiết về bảo mật cho từng trạm cấp dưới trong NiagaraNetwork.
Bảng điều khiển bảo mật là chính view cho Dịch vụ An ninh. Để biết thông tin chi tiết đầy đủ về view, Tham khảo “nss-SecurityDashboardView” trong Hướng dẫn an ninh tại Ga Niagara.

LẬP KẾ HOẠCH VÀ LẮP ĐẶT

Phần này bao gồm thông tin về việc lập kế hoạch và thực hiện lắp đặt Bộ điều khiển nhà máy tiên tiến.

Cài đặt và cấu hình được đề xuất
Phần sau minh họa hai cấu hình cài đặt được đề xuất.

Chỉ BACnetTM
BACnetTM và Niagara

Chỉ BACnetTMBACnetTM
Khi Bộ điều khiển nhà máy tiên tiến chỉ được sử dụng cho liên lạc BACnetTM, chỉ kết nối Ethernet 1 với mạng BAS nơi BACnetTM (BACnetTM/IP hoặc BACnetTM/Ethernet) sẽ chạy.

BACnetTM và Niagara
Khi Niagara được sử dụng trên Advanced Plant Controller, nó có thể được cấu hình để cung cấp các dịch vụ, chẳng hạn như web dịch vụ hoặc Niagara FOXS, đến Internet/mạng nội bộ/mạng doanh nghiệp. Nếu đúng như vậy, hãy kết nối Ethernet 2 đến Internet/mạng nội bộ/mạng doanh nghiệp thông qua tường lửa BAS để cung cấp dịch vụ cho mạng đó.

Khuyến nghị về Mạng cục bộ (LAN)
Đảm bảo hệ thống hoạt động theo chính sách mật khẩu phù hợp để người dùng có thể truy cập vào tất cả các dịch vụ. Hướng dẫn này bao gồm nhưng không giới hạn ở:

Sử dụng mật khẩu mạnh.
Thời gian chu kỳ mật khẩu được khuyến nghị.
Tên người dùng và mật khẩu duy nhất cho mỗi người dùng hệ thống.
Quy định tiết lộ mật khẩu.
Nếu cần truy cập từ xa vào hệ thống điều khiển tòa nhà dựa trên CNTT, hãy sử dụng công nghệ VPN (Mạng riêng ảo) để giảm nguy cơ đánh cắp dữ liệu và bảo vệ các thiết bị điều khiển không bị đặt trực tiếp trên Internet.

TÀI LIỆU

Tài liệu đóng vai trò thiết yếu trong việc ghi lại thông tin thiết kế và cấu hình cần thiết để duy trì hệ thống an toàn.

Ghi lại các thiết bị vật lý và cấu hình, bao gồm thông tin quan trọng liên quan đến bảo mật
Tất cả tài liệu về thiết bị và cấu hình phải bao gồm thông tin liên quan đến bảo mật để thiết lập và duy trì các biện pháp kiểm soát bảo mật theo ý định. Ví dụ:ample, nếu có thay đổi đối với các dịch vụ hoặc cổng mặc định trên Advanced Plant Controller, hãy ghi lại rõ ràng những thay đổi này để có thể khôi phục cài đặt tại một thời điểm nào đó trong tương lai.

Tài liệu về các hệ thống bên ngoài, đặc biệt là tương tác giữa Advanced Plant Controller và các hệ thống liên quan
BAS thường yêu cầu hoặc sử dụng các hệ thống bên ngoài cho chức năng, chẳng hạn như cơ sở hạ tầng mạng hiện có, quyền truy cập VPN, máy chủ máy ảo và tường lửa. Nếu BAS yêu cầu các hệ thống đó được cấu hình theo một cách nhất định để bảo mật, chẳng hạn như tường lửa cho phép hoặc từ chối một số cổng nhất định hoặc mạng cho phép truy cập vào một số hệ thống nhất định, thì bạn phải ghi lại thông tin này. Nếu các hệ thống này cần được khôi phục tại một thời điểm nào đó trong tương lai, Ví dụample: do lỗi thiết bị, hoặc cần phải thay đổi hệ thống bên ngoài, Ví dụample: nâng cấp tường lửa, việc ghi lại thông tin này sẽ giúp bạn khôi phục lại mức độ bảo mật trước đó.

KIỂM SOÁT TRUY CẬP VÀ AN NINH VẬT LÝ
Kiểm soát truy cập bao gồm việc chỉ định và giới hạn quyền truy cập vào thiết bị hoặc chức năng chỉ dành cho người dùng được ủy quyền.

Bảo vệ vật lý cho Bộ điều khiển nhà máy tiên tiến, HMI và Mô-đun IO
Ngăn chặn truy cập trái phép vào thiết bị mạng được sử dụng kết hợp với các hệ thống do Honeywell cung cấp. Với bất kỳ hệ thống nào, việc ngăn chặn truy cập vật lý vào mạng và thiết bị sẽ làm giảm nguy cơ can thiệp trái phép. Các biện pháp bảo mật tốt nhất với các cài đặt CNTT sẽ đảm bảo rằng phòng máy chủ, bảng vá và thiết bị CNTT nằm trong phòng khóa. Thiết bị Honeywell nên được lắp đặt trong tủ điều khiển có khóa, bản thân chúng nằm trong các phòng máy được bảo vệ.

Nhãn dán trên bảng điều khiển truy cập bộ điều khiển hoặc vỏ bọc
Nộp đơn tạiampnhãn dán rõ ràng trên bảng điều khiển hoặc vỏ bọc Bộ điều khiển nhà máy tiên tiến, HMI và Mô-đun IO
Nếu khách hàng cần đảm bảo thêm rằng quyền truy cập vật lý bảo vệ Bộ điều khiển nhà máy tiên tiến, HMI và Mô-đun IO chưa được nhập, thì hãy cài đặt tạiampcon dấu hoặc nhãn dán rõ ràng trên điểm truy cập.

Phân tách và bảo vệ mạng

Sử dụng tường lửa giữa Internet/mạng nội bộ/mạng công ty và BAS.

Sử dụng mạng vật lý chuyên dụng riêng (dây riêng) hoặc mạng ảo (VLAN) cho giao tiếp BACnetTM. Đây phải là mạng riêng biệt với Internet/mạng nội bộ/mạng công ty.
Không kết nối EN2 trên Bộ điều khiển nhà máy tiên tiến với bất kỳ mạng nào trừ khi bạn cần các dịch vụ Niagara (Nền tảng, Trạm và/hoặc Webmáy chủ). Nếu bạn cần kết nối EN2 với Internet/mạng nội bộ/mạng công ty, thì bạn phải sử dụng tường lửa BAS bên ngoài giữa Bộ điều khiển nhà máy tiên tiến và mạng Internet/mạng nội bộ/mạng công ty.

Bảo mật không dây

Người dùng cần phải review bảo mật mạng không dây dựa trên cấu trúc mạng, đảm bảo không có sự tiếp xúc ngoài ý muốn với INTERNET công cộng và tường lửa BAS không bị vượt qua.

Điều cần thiết là luôn áp dụng các công nghệ bảo mật không dây cao nhất hiện có, chẳng hạn như WPA2 hoặc WPA3. Ngoài ra, người dùng phải bảo vệ mật khẩu của mình một cách an toàn, bao gồm nhưng không giới hạn ở mật khẩu Wi-Fi và mã PIN BluetoothTM. Không bao giờ cho phép bộ điều khiển kết nối với mạng không dây mở hoặc thiết lập điểm truy cập không dây mở.
Luôn tránh kết nối các thiết bị trái phép vào mạng không dây hoặc thiết lập kết nối BluetoothTM để ngăn ngừa các hành vi khai thác tiềm ẩn.
Người sử dụng có trách nhiệm thường xuyên kiểm tra lạiview thiết lập bảo mật, thay đổi mật khẩu hoặc mật mã theo chính sách bảo mật và giám sát các thiết bị được kết nối trên mạng không dây và mạng con. Người dùng cũng nên ghi lại các hoạt động kiểm tra này.

BẢO VỆ BỘ ĐIỀU KHIỂN NÂNG CAO, HMI VÀ MÔ-ĐUN IO

Thông tin tài khoản hệ thống quản trị được cung cấp cho người dùng trang web
Thông tin đăng nhập của Tài khoản hệ thống 'Quản trị' phải được cung cấp cho chủ sở hữu trang web để cho phép họ quản lý Tài khoản hệ thống.
Phát triển một chương trình bảo mật
Tham khảo 'Thực hành bảo mật chung tốt nhất'
Xem xét về mặt vật lý và môi trường
Bộ điều khiển nâng cao, HMI và Mô-đun IO phải được lắp đặt trong môi trường có khóa, ví dụ như trong phòng máy an ninh hoặc tủ có khóa.

GHI CHÚ
Đảm bảo thông gió đầy đủ.

Cập nhật bảo mật và gói dịch vụ
Đảm bảo Bộ điều khiển nâng cao, HMI và Mô-đun IO đang chạy phiên bản phần mềm mới nhất.

NGƯỜI DÙNG & MẬT KHẨU

Người sử dụng
Đảm bảo số lượng người dùng và cấp độ truy cập phù hợp với các hoạt động họ cần thực hiện.

Ở cấp độ thiết bị điều khiển, cấu hình tài khoản hệ thống hoặc người dùng trong bộ điều khiển cho Web khách hàng, Giám sát viên và Truy cập ngang hàng.
Cấu hình mô-đun Người dùng trong Bộ điều khiển nâng cao, điều này có nghĩa là người dùng sẽ phải đăng nhập vào thiết bị bằng thông tin xác thực hợp lệ trước khi có thể thực hiện điều chỉnh. Đảm bảo quyền truy cập phù hợp được chỉ định cho tài khoản hệ thống và người dùng.

Sử dụng một tài khoản khác nhau cho mỗi người dùng
Sử dụng tên và mật khẩu duy nhất cho mỗi người dùng/tài khoản trên hệ thống, thay vì quyền truy cập chung. Những người khác nhau không bao giờ được chia sẻ cùng một tài khoản. Ví dụampThay vì một tài khoản 'quản lý' chung mà nhiều quản lý có thể sử dụng, mỗi quản lý nên có một tài khoản riêng biệt.

Có nhiều lý do khiến mỗi người dùng cần có tài khoản riêng:

Nếu mỗi người có tài khoản riêng, nhật ký kiểm tra sẽ cung cấp nhiều thông tin hơn. Sẽ dễ dàng xác định chính xác người dùng nào đã làm gì. Điều này có thể giúp phát hiện xem tài khoản có bị xâm phạm hay không.

GHI CHÚ
Không phải tất cả sản phẩm đều có chức năng nhật ký kiểm tra, nhưng nếu có thì không nên tắt chức năng này.

Nếu một tài khoản bị xóa hoặc sửa đổi, nó không gây bất tiện cho nhiều người. Ví dụample, nếu một người không còn quyền truy cập nữa, việc xóa quyền truy cập cá nhân của họ rất đơn giản. Nếu đó là tài khoản dùng chung, các tùy chọn duy nhất là thay đổi mật khẩu và thông báo cho mọi người hoặc xóa tài khoản và thông báo cho mọi người. Để nguyên tài khoản như hiện tại không phải là một tùy chọn – mục tiêu là thu hồi quyền truy cập.
Nếu mỗi người có tài khoản riêng, việc điều chỉnh quyền để đáp ứng chính xác nhu cầu của họ sẽ dễ dàng hơn nhiều. Một tài khoản được chia sẻ có thể khiến mọi người có nhiều quyền hơn mức họ nên có.
Tài khoản dùng chung có nghĩa là mật khẩu dùng chung. Chia sẻ mật khẩu là một hành vi bảo mật cực kỳ tệ. Điều này khiến mật khẩu dễ bị rò rỉ hơn và khiến việc triển khai một số biện pháp bảo mật tốt nhất trở nên khó khăn hơn, chẳng hạn như hết hạn mật khẩu.

Sử dụng Người dùng Kỹ thuật Độc đáo cho Dự án
Một thực tế phổ biến là một số công ty sử dụng cùng một thông tin tài khoản trên mọi dự án. Khi biết được điều này, nếu một hệ thống bị xâm phạm, kẻ tấn công có thể có thông tin xác thực để truy cập vào nhiều dự án khác do cùng một công ty cài đặt.
Tắt tài khoản đã biết khi có thể
Một số sản phẩm có tài khoản mặc định. Những tài khoản này phải được cấu hình sao cho mật khẩu không còn là mặc định nữa.
Chỉ định Quyền Tối thiểu Bắt buộc cho người dùng
Đảm bảo chỉ thiết lập các tài khoản cần thiết trên hệ thống với mức bảo mật tối thiểu theo yêu cầu thay vì quyền truy cập đầy đủ. Khi tạo tài khoản mới, hãy nghĩ về những gì người đó cần làm trong hệ thống, sau đó chỉ định các quyền tối thiểu cần thiết để thực hiện công việc đó. Ví dụample, một người chỉ cần xem báo động không cần quyền truy cập của quản trị viên. Việc cấp quyền không cần thiết sẽ làm tăng nguy cơ vi phạm bảo mật. Người dùng có thể vô tình (hoặc cố ý) thay đổi các cài đặt mà họ không nên thay đổi.

Sử dụng số lượng tài khoản Quản trị viên hệ thống tối thiểu có thể
Chỉ cấp quyền cho Quản trị viên hệ thống khi thực sự cần thiết. Loại tài khoản này là một tài khoản cực kỳ mạnh mẽ – nó cho phép truy cập hoàn toàn vào mọi thứ. Chỉ có quản trị viên hệ thống mới được phép truy cập vào tài khoản. Ngoài ra, hãy cân nhắc cung cấp cho Quản trị viên hệ thống hai tài khoản, một tài khoản để truy cập hàng ngày nhằm quản lý các hoạt động hàng ngày và một tài khoản truy cập cấp cao thứ hai chỉ được yêu cầu khi cần thay đổi loại quản trị.

Mật khẩu
Hệ thống Niagara và hệ điều hành sử dụng các sản phẩm Advanced Honeywell sử dụng mật khẩu để xác thực 'người dùng' vào hệ thống Giám sát, Màn hình, Công cụ hoặc Hệ điều hành. Điều đặc biệt quan trọng là phải xử lý mật khẩu đúng cách. Không sử dụng mức bảo mật ban đầu này có nghĩa là bất kỳ ai cũng có thể truy cập hệ thống thông qua màn hình, web khách hàng hoặc giám sát viên sẽ có quyền truy cập để thực hiện điều chỉnh. Đảm bảo hệ thống Niagara hoạt động theo chính sách mật khẩu phù hợp để người dùng truy cập, hướng dẫn này sẽ bao gồm nhưng không giới hạn ở:

Sử dụng mật khẩu mạnh – Nên sử dụng mật khẩu mạnh. Tham khảo các tiêu chuẩn bảo mật mới nhất để biết chi tiết về những gì tạo nên mật khẩu mạnh.

Chu kỳ thời gian mật khẩu được khuyến nghị – Một số sản phẩm của Niagara cho phép quản trị viên hệ thống chỉ định khoảng thời gian sau đó phải thay đổi mật khẩu. Mặc dù không phải tất cả các sản phẩm hiện nay đều áp dụng khoảng thời gian thay đổi mật khẩu này nhưng chính sách của trang web có thể khuyến nghị điều này.
Quy tắc tiết lộ mật khẩu – Người dùng PHẢI đảm bảo rằng họ không tiết lộ thông tin chi tiết về tên người dùng và mật khẩu của mình cho người khác và không viết chúng ra.

CẤU HÌNH BỘ ĐIỀU KHIỂN NHÀ MÁY TIÊN TIẾN
Để cấu hình bộ điều khiển nhà máy tiên tiến, hãy tham khảo Hướng dẫn cài đặt và Hướng dẫn vận hành
(31-00584). Tham khảo hướng dẫn Trình điều khiển HMI (31-00590) cho HMI và Hướng dẫn Trình điều khiển Bus bảng điều khiển (31-00591) cho mô-đun IO.

Tạo và duy trì cấu hình cơ sở
Tạo và duy trì đường cơ sở của các cấu hình Advanced Plant Controller đã được cấu hình đúng cách để bảo mật. Đảm bảo rằng đường cơ sở này cũng bao gồm DCF files và các thành phần Niagara. Không cam kết các cấu hình không an toàn vào đường cơ sở để tránh vô tình áp dụng chúng trong tương lai. Cập nhật bất kỳ tài liệu có liên quan nào khi cấu hình thay đổi.

Thay đổi mật khẩu mặc định
Thay đổi tất cả mật khẩu mặc định: Mật khẩu cấu hình bảng điều khiển, mật khẩu sao lưu/khôi phục/khởi động lại/điều khiển và mật khẩu nền tảng Niagara. Khi hoàn tất quá trình đưa vào sử dụng, hãy đảm bảo thiết bị được bảo vệ bằng mật khẩu. Đảm bảo cấp độ người dùng phù hợp được chỉ định cho người dùng trang web.

Những cân nhắc thêm

Thỏa thuận mức dịch vụ
Áp dụng chính sách cập nhật phù hợp cho cơ sở hạ tầng được cài đặt tại trang web như một phần của thỏa thuận mức dịch vụ. Chính sách này phải bao gồm, nhưng không giới hạn ở, việc cập nhật các thành phần hệ thống sau lên bản phát hành mới nhất:

Phần mềm thiết bị cho bộ điều khiển, mô-đun IO, HMI, v.v.;
Phần mềm giám sát, chẳng hạn như phần mềm Arena NX;
Hệ điều hành máy tính/máy chủ;
Cơ sở hạ tầng mạng và bất kỳ hệ thống truy cập từ xa nào.

Cấu hình mạng CNTT
Cấu hình mạng CNTT riêng cho hệ thống điều khiển tự động hóa và Mạng CNTT của công ty khách hàng. Điều này có thể đạt được bằng cách cấu hình VLAN (Mạng LAN ảo) trong cơ sở hạ tầng CNTT của khách hàng hoặc bằng cách cài đặt cơ sở hạ tầng mạng riêng biệt có khoảng cách không khí dành riêng cho hệ thống điều khiển tự động hóa.
Khi giao tiếp với bộ điều khiển bằng cách sử dụng một hệ thống giám sát tập trung (Ví dụample: Niagara) và nơi hệ thống không yêu cầu truy cập trực tiếp vào các thiết bị riêng lẻ web máy chủ, cơ sở hạ tầng mạng phải được cấu hình để hạn chế web truy cập máy chủ.
VLAN động sử dụng phân bổ địa chỉ MAC có thể bảo vệ chống lại kết nối trái phép của thiết bị vào hệ thống và có thể giảm thiểu rủi ro liên quan đến việc cá nhân theo dõi thông tin trên mạng.

CẤU HÌNH TƯỜNG LỬA BAS

Bảng sau đây mô tả các cổng mạng được sử dụng trong Bộ điều khiển nhà máy tiên tiến. Xem Tham khảo “Hệ thống quaview” trên trang 8. cho một người cũampKiến trúc cài đặt. Bảng có các cột sau:

Cổng mặc định và Giao thức (TCP hoặc UDP)
Mục đích của cảng
Có cần thay đổi cổng mặc định hay không

Có nên cho phép kết nối hoặc lưu lượng truy cập đến thông qua Tường lửa BAS hay không
Các ghi chú bổ sung được liệt kê bên dưới bảng

Bảng 2 Cấu hình tường lửa BAS

Mặc định Cổng/Giao thức	Mục đích	Thay đổi từ mặc định?	Cho phép qua tường lửa BAS?	Ghi chú
80 / TCP	Giao thức HTTP	KHÔNG	KHÔNG
443 / TCP	HTTP	KHÔNG	Có thể, nếu web yêu cầu phải truy cập từ Internet/mạng nội bộ/mạng công ty.	1
1911 / TCP	Fox (phiên bản không an toàn của giao thức ứng dụng Niagara)	Đúng	KHÔNG
4911 / TCP	Fox + SSL (phiên bản bảo mật của giao thức ứng dụng Niagara)	Đúng	KHÔNG
3011 / TCP	NiagaraD (phiên bản không an toàn của giao thức nền tảng Niagara)	Đúng	KHÔNG
5011 / TCP	NiagaraD + SSL (phiên bản bảo mật của giao thức nền tảng Niagara)	Đúng	KHÔNG
2601 / TCP	Cổng điều khiển Zebra	KHÔNG	KHÔNG	2
2602 / TCP	Cổng điều khiển RIP			2
47808 / UDP	Kết nối mạng BACnetTM/IP	Đúng	KHÔNG	3

GHI CHÚ

Nếu trực tiếp từ xa web giao diện người dùng được hỗ trợ, thì cổng này phải được phép thông qua tường lửa BAS.
Cổng được tự động mở bởi daemon này và chức năng này không thể bị vô hiệu hóa. Daemon được cấu hình để không cho phép bất kỳ đăng nhập nào qua cổng này.

Thực hiện theo các hướng dẫn cấu hình mạng được nêu trong hướng dẫn này để Advanced Plant Controller không bao giờ cần phải truyền lưu lượng UDP qua tường lửa BAS.

THIẾT LẬP XÁC THỰC

Google Authentication Scheme là cơ chế xác thực hai yếu tố yêu cầu người dùng nhập mật khẩu cũng như mã thông báo dùng một lần khi đăng nhập vào trạm. Điều này bảo vệ tài khoản của người dùng ngay cả khi mật khẩu của họ bị xâm phạm.
Sơ đồ xác thực này dựa trên TOTP (Mật khẩu một lần theo thời gian) và ứng dụng Google Authenticator trên thiết bị di động của người dùng để tạo và xác minh mã thông báo xác thực sử dụng một lần. Xác thực Google dựa trên thời gian, do đó không phụ thuộc vào giao tiếp mạng giữa thiết bị di động của người dùng, Trạm hoặc Máy chủ bên ngoài. Vì trình xác thực dựa trên thời gian, nên thời gian trong trạm và thời gian trong điện thoại phải đồng bộ tương đối. Ứng dụng cung cấp bộ đệm cộng hoặc trừ 1.5 phút để tính đến độ lệch đồng hồ.
Điều kiện tiên quyết: Điện thoại di động của người dùng yêu cầu ứng dụng Google Authentication. Bạn đang làm việc trong Workbench. Người dùng tồn tại trong cơ sở dữ liệu của trạm.

Thủ tục

Mở bảng màu gauth và thêm GoogleAuthenticationScheme vào nút Services > Authenticationservice trong cây Nav.

Nhấp chuột phải vào Userservice và nhấp đúp vào người dùng trong bảng. Chỉnh sửa view cho người dùng mở.
Cấu hình thuộc tính Tên lược đồ xác thực thành GoogleAuthenticationScheme và nhấp vào Lưu.
Nhấp vào nút bên cạnh Khóa bí mật bên dưới trình xác thực của người dùng và làm theo lời nhắc.

Để hoàn tất cấu hình, hãy nhấp vào Lưu. Tùy thuộc vào view bạn đang sử dụng, bạn có thể phải mở lại người dùng hoặc làm mới sau khi lưu.

GIAO HÀNG HỆ THỐNG
Phần này chứa thông tin mà bạn phải cung cấp khi BAS được chuyển đến chủ sở hữu hệ thống.

Tài liệu bao gồm thông tin bảo mật, cài đặt cấu hình, tên người dùng và mật khẩu quản trị, kế hoạch ứng phó thảm họa và phục hồi, cũng như quy trình sao lưu và khôi phục.

Đào tạo người dùng cuối về nhiệm vụ bảo trì bảo mật.

USB BACKUP VÀ DỌN DẸP FILE CÀI ĐẶT
Người dùng phải bảo vệ mật khẩu được sử dụng để nén và giải nén bộ điều khiển. Tránh chia sẻ mật khẩu và thông tin xác thực của bộ điều khiển trong quá trình sao lưu hoặc khôi phục.
Sao lưu USB và CleanDist file thông tin cài đặt có thể được tìm thấy trong Hướng dẫn cài đặt và Hướng dẫn vận hành – 31-00584.

THÁO HỆ THỐNG
Dữ liệu nhạy cảm nên được xóa khỏi các thiết bị đang ngừng hoạt động và có thể thực hiện việc này bằng cách khôi phục cài đặt gốc. Tham khảo Nút dịch vụ/Đèn LED báo động dịch vụ và CleanDist file lắp đặt từ Hướng dẫn lắp đặt và hướng dẫn vận hành – 31-00584.

GHI CHÚ
CleanDist là gì? file quy trình có thể thực hiện cài đặt tại nhà máy bằng cách cài đặt clean4 file.

SẢN PHẨM TIÊN TIẾN CÓ TRÊN NIAGARA BẢO MẬT
Đối với các sản phẩm Advanced Honeywell dựa trên nền tảng Niagara N4 và Niagara AX (ví dụ: Bộ điều khiển nhà máy tiên tiến, HMI và Mô-đun IO), bạn phải tuân theo lời khuyên của Tridium về việc bảo mật nền tảng Niagara.
Có một số thay đổi về cấu hình có thể được thực hiện đối với Niagara để tối đa hóa tính bảo mật của các sản phẩm Advanced Honeywell.

Sử dụng tính năng Độ mạnh của mật khẩu
Bật tính năng khóa tài khoản
Mật khẩu hết hạn
Sử dụng Lịch sử mật khẩu
Sử dụng tính năng đặt lại mật khẩu
Bỏ chọn ô “Ghi nhớ các thông tin xác thực này”
Thay đổi mật khẩu hệ thống mặc định
Sử dụng TLS để thiết lập mật khẩu hệ thống
Chọn một mật khẩu hệ thống mạnh
Bảo vệ mật khẩu hệ thống
Đảm bảo chủ sở hữu nền tảng biết mật khẩu hệ thống
Sử dụng một tài khoản khác nhau cho mỗi người dùng nền tảng
Sử dụng tên tài khoản duy nhất cho mỗi dự án
Đảm bảo chủ sở hữu nền tảng biết thông tin xác thực của nền tảng
Sử dụng một tài khoản khác nhau cho mỗi người dùng trạm
Sử dụng Tài khoản Loại dịch vụ duy nhất cho Mỗi Dự án
Tắt tài khoản đã biết khi có thể
Thiết lập tài khoản tạm thời hết hạn tự động
Thay đổi thông tin tài khoản loại hệ thống
Không cho phép các phiên đồng thời khi thích hợp
Cấu hình vai trò với quyền tối thiểu cần thiết
Chỉ định các vai trò tối thiểu cần thiết cho người dùng
Sử dụng số lượng người dùng siêu cấp tối thiểu có thể
Yêu cầu Quyền Siêu Người dùng cho Đối tượng Chương trình
Sử dụng Quyền Tối thiểu Bắt buộc cho Tài khoản Bên ngoài
Sử dụng một chương trình xác thực phù hợp với loại tài khoản
Xóa các chương trình xác thực không cần thiết
Quản lý TLS & Chứng chỉ
Cài đặt mô-đun
Yêu cầu các đối tượng chương trình đã ký và robot
Vô hiệu hóa SSH và SFTP
Tắt các dịch vụ không cần thiết
Cấu hình các dịch vụ cần thiết một cách an toàn
Cập nhật Niagara 4 lên bản phát hành mới nhất
Cài đặt sản phẩm ở vị trí an toàn
Đảm bảo rằng các trạm nằm sau VPN
Có các ấn phẩm kỹ thuật cụ thể phải tuân theo để đảm bảo hệ thống được khóa an toàn nhất có thể. Có nhiều tùy chọn như mã hóa SSL và các bước bổ sung để bảo vệ các thành phần như mô-đun chương trình, để biết thêm chi tiết, hãy tham khảo Tridium webtrang web hướng dẫn làm cứng Niagara 4 (dành cho các sản phẩm gốc Niagara N4) và hướng dẫn làm cứng Niagara (các sản phẩm gốc Niagara AX).

Các tài liệu trong tài liệu này chỉ dành cho mục đích thông tin. Nội dung và sản phẩm được mô tả có thể thay đổi mà không cần báo trước. Honeywell không tuyên bố hoặc bảo đảm liên quan đến tài liệu này. Trong mọi trường hợp, Honeywell sẽ không chịu trách nhiệm về những thiếu sót hoặc sai lầm về kỹ thuật hoặc biên tập trong tài liệu này, cũng như không chịu trách nhiệm về bất kỳ thiệt hại nào, trực tiếp hoặc ngẫu nhiên, phát sinh từ hoặc liên quan đến việc sử dụng tài liệu này. Không một phần nào của tài liệu này có thể được sao chép dưới bất kỳ hình thức nào hoặc bằng bất kỳ phương tiện nào mà không có sự cho phép trước bằng văn bản của Honeywell.
Honeywell | Tự động hóa tòa nhà

715 Đường Peachtree, NE,

Atlanta, Georgia, 30308, Hoa Kỳ.
https://buildings.honeywell.com/us/en
® Nhãn hiệu đã đăng ký tại Hoa Kỳ

DANH SÁCH KIỂM TRA BẢO MẬT CÀI ĐẶT

Thiết bị điều khiển nhà máy tiên tiến: ______________________________________________________________
Mô tả bộ điều khiển nhà máy tiên tiến: __________________________________________________________________
Vị trí của Bộ điều khiển Nhà máy Tiên tiến: _____________________________________________________________________
Người cài đặt:____________________________________________________________
Ngày: __________________________________

Hoàn thành các tác vụ bảo mật sau cho mỗi Bộ điều khiển nhà máy tiên tiến đã cài đặt

Cài đặt tường lửa giữa Advanced Plant Controller và mạng bên ngoài. Xem “BACnet và Niagara” trên trang 19.
Bảo vệ vật lý cho Advanced Plant Controller. Tham khảo “Bảo vệ vật lý cho Advanced Plant Controller, HMI và Mô-đun IO” ở trang 22.
Thay đổi mật khẩu mặc định thành mật khẩu duy nhất cho từng mục sau: Cấu hình bảng điều khiển, Sao lưu/Khôi phục/Khởi động lại/Điều khiển và Nền tảng Niagara. Xem Hướng dẫn cài đặt và Hướng dẫn vận hành – 31-00584
Nếu một web máy chủ là cần thiết, sau đó cấu hình nó để chỉ hoạt động ở chế độ HTTPS. Xem Hướng dẫn cài đặt và Hướng dẫn đưa vào sử dụng – 31-00584

Web Trạng thái máy chủ: Đã tắt / Đã bật.
If web dịch vụ được bật, hãy hoàn tất các bước sau:

Đặt Http Enabled = false.
Đặt Https Enabled = true.
Đặt Https Only = true.
Cấu hình tường lửa BAS. Tham khảo “Cấu hình tường lửa BAS” trên trang 26.
Cung cấp tất cả dữ liệu cần thiết cho chủ sở hữu hệ thống BAS khi giao hàng. Tham khảo “Thiết lập xác thực” ở trang 27.

Câu hỏi thường gặp

Tại sao việc bảo mật Bộ điều khiển nâng cao lại quan trọng?
Việc bảo mật bộ điều khiển giúp ngăn chặn truy cập trái phép, bảo vệ dữ liệu nhạy cảm và đảm bảo độ tin cậy của hệ thống.
Làm thế nào để tôi có thể khôi phục mật khẩu?
Để khôi phục mật khẩu, hãy làm theo quy trình Khôi phục mật khẩu được nêu trong hướng dẫn. Quy trình này thường bao gồm việc xác minh thông tin tài khoản của bạn.

Tài liệu / Tài nguyên

Bộ điều khiển nâng cao Honeywell Optimizer [tập tin pdf] Hướng dẫn sử dụng
31-00594-03, Bộ điều khiển nâng cao Optimizer, Bộ điều khiển nâng cao, Bộ điều khiển

Tài liệu tham khảo

Hướng dẫn sử dụng

Bộ điều khiển nâng cao Honeywell Optimizer