מהו DMZ תעשייתי בהקשר של שילוב OT ו-IT ב-Azure?

DMZ תעשייתי (IDMZ) הוא אזור חיץ רשתי ייעודי שנמצא בין טכנולוגיית התפעול (OT) בקומת הייצור לבין סביבות ה-IT הארגוניות או הענן, כמו Azure. הוא מארח שירותי ביניים שמבטיחים שפגיעה או תקלה ברשת הארגונית לא תוכל להשפיע ישירות על בקרים לוגיים programmable (PLC) בקו הייצור, או להגיע אליהם.

מדוע VLAN-ים אינם מספיקים לאבטחת רשתות OT המתחברות ל-Azure?

למרות ש-VLAN-ים מפרידים תעבורה באופן לוגי ברשת מבוססת מתגים, הם אינם אוכפים מדיניות אבטחה בכוחות עצמם. ללא אכיפת חומת אש מנותבת בין ה-VLAN-ים, תעבורה יכולה בקלות לעקוף את הגבולות המיועדים. יתר על כן, מתגים פיזיים משותפים שמתחת ל-VLAN-ים מייצגים עדיין נקודת כשל יחידה עבור נכסי IT ו-OT כאחד.

האם שירותים בצד המפעל צריכים ליזום חיבורים יוצאים ל-Azure?

כן. יזימת סשנים יוצאים משירותים באתר המפעל היא שיטה מומלצת, כי היא מונעת הפעלת שירותי האזנה נכנסים מסוכנים בצד המפעל. עם זאת, צוותי האבטחה חייבים לבדוק את נקודות הקצה של היעד ולהגביל את התעבורה היוצאת, כך שמארחי האיסוף לא יוכלו ליצור קשר חופשי עם כתובות אינטרנט שרירותיות.

כיצד מגדירים אזורי אבטחה נכונים עבור קווי אריזה בייצור?

יש לתחום אזורי אבטחה לפי תפקידי הייצור והסיכונים המשותפים, ולא לפי תכנון החדרים הפיזי או שמות המחלקות. ציוד שייך לאותו אזור אם הוא מבצע עבודה קשורה, דורש רמות הגנה זהות, ו חולק השלכת כשל מוערכת שהמפעל אישר במפורש.

איך בונים DMZ תעשייתי לשילוב מאובטח של OT ו-IT ב-Azure

By Mirko Peters · 2026-10-27

למדו כיצד לבנות DMZ תעשייתי מאובטח לשילוב OT ו-IT ב-Azure. הגנו על קווי ייצור, פלחו רשתות וחברו בבטחה בקרים מסוג PLC כבר היום.

Automatically translated with AI from the original post. Read the English original

Cover: OT-IT Convergence on Azure: Connecting PLCs Without Breaking Production

תכנון DMZ תעשייתי (IDMZ) הוא הכרחי לשילוב OT ו-IT מאובטח ב-Azure. מדריך זה בוחן כיצד להקים גבולות רשת מאובטחים, ליישם אזורי חיץ נכונים ולבודד ארכיטקטורות של טכנולוגיית תפעול, מבלי לחשוף בקרים לוגיים programmable (PLC) לסיכוני הארגון או להשבתת ייצור.

עיקרי הדברים

DMZ תעשייתי (IDMZ) משמש כאזור רשת חיץ קריטי, הנמצא בבטחה בין טכנולוגיית התפעול (OT) למערכות ה-IT הארגוניות.
מרחק פיזי אינו שווה לאזור אבטחה; יש לקבץ ציוד לפי תפקידי ייצור, השפעת סיכון ורמות אמון.
יזימת סשנים יוצאים מצד המפעל מסייעת למנוע את הצורך בשירותי האזנה נכנסים מסוכנים מסביבות ארגוניות או ענן.
VLAN-ים בלבד אינם מספיקים לאבטחת רשת ללא אכיפת חומת אש מנותבת ומחמירה, החוסמת תנועה רוחבית בלתי מורשית.
תשתית מתגים משותפת יוצרת תלויות פיזיות נסתרות שיש למפות לפני תחילת כל פרויקט נתונים בענן.

תפקיד ה-DMZ התעשייתי בארכיטקטורת Azure

בעת חיבור מכונות קו הייצור ל-Microsoft Azure לצורך טלמטריה, ניתוח ביצועים או למידת מכונה, ארגונים ניצבים בפני אתגר ארכיטקטוני מרכזי: כיצד להעביר נתוני ייצור בעלי ערך כלפי מעלה, מבלי לפתוח מסלולי רשת מסוכנים כלפי מטה. כללי חומת אש מסורתיים של IT אינם מספקים בסביבות תעשייתיות, שכן חשבון ארגוני שנפרץ עשוי, באופן תיאורטי, לחצות רשתות שטוחות ישירות אל בקר הקו.

כאן ה-DMZ התעשייתי הופך לחובה. IDMZ משמש כאזור חיץ מבוקר מאוד בין רשת המפעל לרשת הארגונית. במקום לאפשר לשירותי Azure או ליישומים ארגוניים לשאול בקרי מכונות ישירות, שירותים בצד המפעל דוחפים נתונים מאושרים ומצטברים אל ה-IDMZ. משם, מערכות ארגוניות או ענן צורכות את הנתונים מהחיץ, ולא נוגעות במישור הבקרה.

באמצעות אכיפת הפרדה ארכיטקטונית זו, מובטח שאם מסד נתונים ארגוני או חיבור ל-Azure נתקלים בתקלה, מכונות הייצור נשארות ללא פגע לחלוטין. ה-IDMZ סופג את החשיפה, ושומר על תהליך הייצור מבודד לחלוטין מכשלים התלויים בענן.

הגדרת אזורים לפי תפקידי ייצור, לא לפי מחלקות

טעות נפוצה במהלך פרויקטים של שילוב בענן היא קיבוץ מכשירים לאזורי רשת לפי קרבה פיזית או בעלות מחלקתית. מחשב שנמצא באותו ארון כמו בקר PLC של מילוי אינו שייך אוטומטית לאזור האבטחה של המילוי. יש להרוויח את האמון ולהגדיר אותו לפי התנהגות תפקודית.

תכנון יעיל של אזורים מחייב הערכה של מה שיקרה אם מערכת מחוברת תכשל או תיפרץ. גבול האזור חייב להגביל את מידת ההתפשטות של הבעיה דרך חיבורי רשת מותרים. דמיינו קו אריזה עם מכונות מילוי ישנות, מדבקות חדשות ומכונות אריזה בסוף הקו. למרות שהמכונות האלה חולקות זרימת מוצר פיזית, אין צורך שהן יחלקו אזור רשת שטוח ומתיר.

הגדרת גבולות אמון

בתוך אזור מוגדר, מנהלי המערכת מקבלים רמת תקשורת מסוימת בהתאם לתפקידים המתמשכים של המערכות הללו. אסטרטגיות מרכזיות לתכנון אזורים חזק כוללות:

הגבלת היקף האזור, כך שקו אריזה שלם לא יהפוך למשטח תקיפה אחד ענק.
דרישה לתיעוד מפורש לכל מעבר בין אזורים, שמזהה את המקור, היעד והפרוטוקול המדויק המותר.
איסור על כללים רחבים כמו „גישה לייצור” ותעדוף כללים ממוקדים מאוד בין שירות לשירות.
וידוא שהשירותים ביעד מכירים בגבולות ואינם מעניקים גישה רחבה לכל המפעל כברירת מחדל.

הפרדה באמצעות VLAN לעומת אכיפה בחומת אש מנתבת

רשתות VLAN (Virtual Local Area Networks) נפרסות לעיתים קרובות כדי להפריד בין תעבורה ארגונית לתעבורה תעשייתית על גבי מתגים משותפים. עם זאת, הצבת ציוד ברשתות VLAN נפרדות אינה מבטיחה אבטחה.

כאשר תעבורה נעה בין רשתות VLAN, הארכיטקטורה נשענת לגמרי על אופן הניתוב. אם התקן רשת פנימי מנתב תעבורה בין רשתות VLAN תעשייתיות ללא פיקוח הדוק של חומת אש עם מעקב אחר מצב החיבור (stateful), התעבורה עלולה לעקוף בקלות את היקפי הבטיחות המיועדים. יתרה מזאת, הפרדה לוגית על מתג פיזי יחיד אינה מבטלת תלויות בחומרה פיזית. אם המתג המשותף מתקלקל, שני האזורים נופלים בבת אחת.

פיצול רשת אמיתי מחייב חומות אש ייעודיות עם מעקב אחר מצב חיבור, הממוקמות בין רשתות VLAN לאזורים באופן מחמיר. חומות האש הללו חייבות לבדוק פרמטרים של הסשן, לאמת שהפעולות המותרות אכן מותרות (למשל, לחסום פקודות כתיבה בנתיב שמיועד לטלמטריה בלבד), ולוודא שגם אם נוצר חיבור מותר, כללי הפרוטוקול הבסיסיים לא ינוצלו כדי להפיק פקודות בלתי מורשות למכונות.

ניהול כיוון הסשנים ותעבורה יוצאת

כיוון החיבור הוא עמוד תווך יסודי בארכיטקטורה מאובטחת של ענן תעשייתי. בכל מקום שניתן, שירותים באתר הייצור צריכים ליזום סשנים יוצאים לעבר ה-IDMZ או ל-Azure. תבנית תכנון זו מונעת מהמערכות המרוחקות צורך בשירות האזנה נכנס בצד הייצור, ובכך מבטלת למעשה ניסיונות חיבור חיצוניים לא מבוקשים.

עם זאת, מנהלי המערכת חייבים לבחון בקפידה מה קורה לאחר שנוצר סשן יוצא. חומות אש עם מעקב אחר מצב חיבור מתירות באופן טבעי תעבורת חזרה עבור חיבורים מותרים, כלומר האתר המרוחק יכול לשלוח נתונים חזרה דרך הצינור. בעלי התוכנה חייבים להוכיח שהשירותים שלהם דוחים מטענים לא רצויים, שינויי תצורה או נתיבי הפעלת פקודות חבויים שמסתתרים בתגובות שרת שגרתיות.

גם פרטי ההזדהות חייבים לשקף הפרדה קפדנית זו. חשבון המשמש לאיסוף רשומות עצירה לקריאה בלבד לעולם לא יוכל להחזיק בהרשאות לשינוי מתכוני מכונות, להתאמת לוגיקת בקרה או להעברת עדכוני קושחה. אכיפת עיקרון ההרשאה המינימלית הנדרשת הן בשכבת היישום והן בממשק השער מבטיחה שגם אם פרטי ההזדהות ייגנבו, רדיוס הנזק יישאר מוגבל בחוזקה.

סיכום

חיבור מוצלח בין טכנולוגיית התפעול לבין Azure דורש תשומת לב מדוקדקת לגבולות הרשת, להגדרות אזורים מפורשות ולחיץ DMZ תעשייתי חזק. על ידי מתן עדיפות לרציפות הייצור על פני נוחות מנהלתית, צוותי IT ו-OT יכולים לפתוח בבטחה תובנות בעלות ערך מקו הייצור, מבלי להסתכן לעולם בפעילות הייצור החיה.

לדיון מעמיק בדפוסי ארכיטקטורה, גבולות נתונים בטוחים וחיבור ציוד מבלי לשבש את הייצור, היכנסו ל-האזינו לפרק המלא של פודקאסט M365 FM.

שאלות נפוצות

מהו Industrial DMZ בהקשר של התכנסות OT-IT ב-Azure?

Industrial DMZ (IDMZ) הוא אזור חיץ רשתי ייעודי הנמצא בין טכנולוגיית התפעול בקו הייצור לבין סביבות IT ארגוניות או ענן כמו Azure. הוא מארח שירותי ביניים שמבטיחים שפשרה או תקלה ברשת הארגונית לא יוכלו להשפיע ישירות על בקרים לוגיים לתכנות (PLC) בקו הייצור או להגיע אליהם.

למה VLANs אינם מספיקים כדי לאבטח רשתות OT המחוברות ל-Azure?

אף שה-VLANs מפרידים את התעבורה באופן לוגי ברשת מתוגה (Switched), הם אינם אוכפים מדיניות אבטחה בעצמם. ללא אכיפה של חומת אש מנתבת בין ה-VLANs, תעבורה יכולה לעקוף בקלות את הגבולות שהוגדרו. יתר על כן, מתגים פיזיים משותפים שמתחת ל-VLANs מהווים עדיין נקודת כשל יחידה עבור נכסי IT ו-OT כאחד.

האם שירותים בצד המפעל צריכים ליזום חיבורים יוצאים אל Azure?

כן. מומלץ מאוד לתת לשירותים באתר המפעל ליזום סשנים יוצאים, מכיוון שכך נמנעים מפתיחת שירותי האזנה נכנסים מסוכנים בצד המפעל. עם זאת, צוותי האבטחה חייבים לבחון את נקודות הקצה ביעד ולהגביל את התעבורה היוצאת, כך שמארחי האיסוף לא יוכלו ליצור קשר חופשי עם כתובות אינטרנט שרירותיות.

איך מגדירים אזורי אבטחה נכונים לקווי אריזה בייצור?

יש לשרטט אזורי אבטחה סביב תפקידי הייצור והסיכונים המשותפים, ולא סביב פריסת החדרים הפיזית או שמות המחלקות. ציוד שייך לאותו אזור אם הוא מבצע עבודה קשורה, דורש רמות הגנה זהות, וחולק תוצאה משבשת שהוערכה ואושרה במפורש על ידי המפעל.