Trước khi nối mạng CNC FANUC: đối chiếu thông báo bảo mật và giới hạn truy cập bên ngoài

Để thuận tiện truyền chương trình hoặc bảo trì từ xa, xưởng có thể dần nối CNC vào mạng. Trước khi thêm kết nối, phải xác nhận cả mục đích sản xuất và ranh giới truy cập. Thiết bị nhận được IP và truyền được tệp không có nghĩa nên mở mọi truy cập từ bên ngoài. Kế hoạch mạng cần người bảo trì máy và quản trị mạng doanh nghiệp cùng xác nhận.

Đọc phạm vi sản phẩm và ngày công bố trước

Ngày 26 tháng 11 năm 2020, FANUC công bố thông báo lỗ hổng từ chối dịch vụ TCP/IP của Ethernet tích hợp, mã CVE-2020-12739. Thông báo nêu việc khai thác có thể làm dừng chức năng mạng và liệt kê nhiều dòng CNC liên quan. Khuyến nghị nhận diện thiết bị truyền thông không được phép và dùng tường lửa cùng biện pháp tương tự để hạn chế truy cập trái phép từ bên ngoài. Thông báo không đưa ra một “phiên bản phần mềm an toàn” dùng chung cho mọi model.

Không kết luận chỉ từ tên FANUC

Trước tiên ghi mã máy, model CNC đầy đủ, giao tiếp mạng thực tế đang dùng, mã dòng phần mềm và phiên bản, rồi đối chiếu phạm vi cụ thể của thông báo. Ethernet tích hợp và các tùy chọn khác cần kiểm tra riêng. Khi chưa rõ, gửi thông tin cho bên cung cấp thiết bị hoặc hỗ trợ nhà sản xuất xác nhận. Ghi ngày đối chiếu và câu trả lời; kiểm tra lại khi thay bo hoặc nâng cấp.

Lập danh sách truy cập mạng đơn giản

• Liệt kê các máy tính hoặc hệ thống cần kết nối máy, phân rõ dùng để truyền chương trình, thu thập dữ liệu hay bảo trì.
• Ghi ai phê duyệt truy cập mới, ai quản lý tài khoản và cách thu hồi quyền khi nhân sự hoặc nhà cung cấp thay đổi.
• Để quản trị mạng xác minh quy tắc tại ranh giới mạng, chỉ giữ truyền thông cần cho công việc và đã được xác nhận. Bảo trì từ xa cần có thời gian và người phụ trách rõ ràng.
• Đưa kết quả thử và cách hoàn nguyên vào hồ sơ thay đổi, xác nhận điều chỉnh giới hạn truy cập không làm gián đoạn truyền thông sản xuất cần thiết.

Giữ bằng chứng khi chức năng mạng dừng

Chức năng mạng bất thường không tự động có nghĩa bị tấn công; cần xét cùng báo động thiết bị, trạng thái kết nối và nhật ký mạng. Thông báo nói tắt rồi bật nguồn có thể phục hồi hiện tượng được mô tả, nhưng phục hồi truyền thông không loại bỏ điều kiện phơi nhiễm. Khởi động lại phải theo quy trình dừng và bảo trì máy, không coi việc lặp lại thường xuyên là giải pháp lâu dài. Đồng thời ghi thời gian, phạm vi ảnh hưởng và thay đổi mạng gần đây.

Đây là cách đọc thông báo và đối chiếu hiện trường, không thay thế đánh giá an toàn cho thiết bị cụ thể. Về sau cần xem danh mục thông báo lỗ hổng chính thức của FANUC, không coi thông báo cũ là toàn bộ tình trạng hiện nay. Cách ghi phiên bản có tại lập hồ sơ nhận dạng hệ thống 0i-F; tài liệu bảo trì khác nằm trong chuyên mục FANUC.

Tài liệu tham khảo và phạm vi áp dụng

• FANUC: thông báo lỗ hổng từ chối dịch vụ Embedded Ethernet TCP/IP (2020-11-26): trang 1, ảnh hưởng, phạm vi sản phẩm và biện pháp giảm thiểu.
• Danh mục thông báo lỗ hổng sản phẩm chính thức của FANUC: tra các thông báo tiếp theo cho sản phẩm tương ứng.