Hướng dẫn triển khai an ninh mạng

Cài đặt & Vận hành Bảo mật
Trước khi kết nối Ekip Connect với bất kỳ mạng hoặc thiết bị nào, đểgiảm thiểu nguy cơ vi phạm bảo mật và phần mềm độc hại, hãy làm theo danh sách kiểm tra bảo mật sau:

1. Hệ điều hành

Triển khai trên Windows 11 với các bản vá bảo mật mới nhất (tối thiểu: Windows 10, kết thúc hỗ trợ chính thức vào tháng 1 năm 2027)

Giảm thiểu mối đe dọa: Các lỗ hổng hệ điều hành đã biết, khai thác bảo mật chưa được vá và các cuộc tấn công leo thang đặc quyền cấp hệ thống.

Bật Khởi động an toàn trong BIOS (bắt buộc đối với Windows 11)

Giảm thiểu mối đe dọa: Các cuộc tấn công Bootkit, thực thi mã cấp khởi động trái phép và giả mạo quá trình khởi động

2. An ninh máy trạm

Hạn chế quyền truy cập vật lý vào máy trạm Ekip Connect
Giảm thiểu mối đe dọa: Giả mạo vật lý, truy cập trái phép thiết bị và thao túng phần cứng trực tiếp.
Bật mã hóa toàn bộ ổ đĩa (BitLocker hoặc tương đương)
Giảm thiểu mối đe dọa: Lấy cắp dữ liệu nếu máy trạm bị đánh cắp hoặc bị xâm phạm vật lý; truy cập trái phép vào dữ liệu nhạy cảm được lưu trữ.
Tắt tự động đăng nhập; Định cấu hình đăng nhập được bảo vệ bằng mật khẩu
Giảm thiểu mối đe dọa: Truy cập trái phép bởi các tác nhân đe dọa có quyền truy cập vật lý hoặc những người có quyền truy cập vào máy trạm đã mở khóa.
Định cấu hình khóa màn hình tự động (khuyến nghị 15 phút)
Giảm thiểu mối đe dọa: Truy cập trái phép vào ứng dụng EkipConnect và các hệ thống được kết nối khi người dùng vắng mặt
Bật Tường lửa Windows với các quy tắc đến từ chối mặc định
Giảm thiểu mối đe dọa: Truy cập mạng trái phép, lưu lượng truy cập đến không mong muốn và giao tiếp lệnh và kiểm soát phần mềm độc hại.

3. Bảo vệ phần mềm

Cài đặt phần mềm chống vi-rút + chống phần mềm độc hại
Giảm thiểu mối đe dọa: Nhiễm phần mềm độc hại, thực thi trojan và mã độc chạy trên máy trạm.
Định cấu hình Scanning thời gian thực và quét toàn bộ hàng ngày.
Giảm thiểu mối đe dọa: Phát hiện và ngăn chặn việc thực thi phần mềm độc hại theo thời gian thực; xác định các mối đe dọa không hoạt động hoặc được giới thiệu gần đây.
Bật cập nhật định nghĩa chống vi-rút tự động
Giảm thiểu mối đe dọa: Tránh phát hiện phần mềm chống vi-rút bởi các biến thể phần mềm độc hại mới hoặc được phát hiện gần đây.

4. Xác thực người dùng

Tất cả người dùng phải xác thực qua MyABB (nếu máy tính xách tay ABB)
Giảm thiểu mối đe dọa: Truy cập trái phép vào EkipConnect bởi người dùng chưa được xác thực hoặc mạo danh.
Thực thi mật khẩu mạnh (tối thiểu 8 ký tự, 3 loại ký tự)
Giảm thiểu mối đe dọa: Các cuộc tấn công vũ phu, tấn công từ điển và đoán mật khẩu của các tác nhân đe dọa.
Bật xác thực đa yếu tố (MFA) cho MyABB
Giảm thiểu mối đe dọa: Chiếm đoạt tài khoản và truy cập trái phép ngay cả khi thông tin đăng nhập của người dùng bị xâm phạm hoặc bị đánh cắp
Tắt các phiên đồng thời từ cùng một tài khoản người dùng
Giảm thiểu mối đe dọa: Truy cập trái phép bằng cách sử dụng thông tin đăng nhập bị đánh cắp hoặc bị xâm phạm trên một máy trạm hoặc thiết bị khác.

5. Cấu hình mạng

Triển khai trên phân đoạn mạng quản lý chuyên dụng (VLAN riêng)
Giảm thiểu mối đe dọa: Di chuyển ngang của những kẻ tấn công từ các hệ thống doanh nghiệp bị xâm nhập; truy cập trái phép vào các chức năng quản lý quan trọng.
Định cấu hình tường lửa để chỉ cho phép các cổng đi bắt buộc:

• Cổng 443 / TCP (kết nối đám mây HTTPS)

• Cổng 53 / UDP (DNS)

• Cổng 123 / UDP (NTP)

Giảm thiểu mối đe dọa: Giao tiếp ra ngoài trái phép, gọi lại lệnh và kiểm soát phần mềm độc hại và lấy cắp dữ liệu đến cơ sở hạ tầng của kẻ tấn công.

Cách ly mạng thiết bị khỏi mạng doanh nghiệp (yêu cầu tường lửa)
Giảm thiểu mối đe dọa: Chuyển động ngang giữa mạng doanh nghiệp và thiết bị quan trọng; truy cập trái phép vào các thiết bị quan trọng về an toàn.

6. Cập nhật tự động

Bật cập nhật Windows tự động
Giảm thiểu mối đe dọa: Các lỗ hổng hệ điều hành đã biết và các bản vá bảo mật cấp hệ thống được triển khai kịp thời.
Định cấu hình phần mềm chống vi-rút để tự động cập nhật định nghĩa
Giảm thiểu mối đe dọa: Tránh phát hiện bởi các biến thể phần mềm độc hại mới và các mối đe dọa phần mềm độc hại zero-day.

7. Xác minh ban đầu

Xác minh Khởi động an toàn đang hoạt động
Xác minh Tường lửa Windows đã được bật
Xác minh phần mềm chống vi-rút đang chạy và cập nhật
Giảm thiểu mối đe dọa: Lỗi cấu hình, bỏ lỡ các biện pháp kiểm soát bảo mật và triển khai không đầy đủ các đường cơ sở bảo mật bắt buộc.

Cấu hình tường lửa và bảo mật

Ekip Connect sử dụng các cổng cụ thể cho các loại giao tiếp khác nhau. Cấu hình tường lửa phù hợp là điều cần thiết để bảo mật.

Cổng bắt buộc (Bắt buộc đối với các tính năng đám mây)

Cổng 443 / TCP (HTTPS - Kết nối đám mây)

API Trình quản lý kỹ thuật số ABB ELSP
Kết nối Nền tảng khả năng ABB
Truy cập thư viện chương trình cơ sở
Tải xuống bản cập nhật và bản vá
Phải được BẬT cho các tính năng đám mây
LUÔN được mã hóa (TLS 1.2 trở lên)
Giảm thiểu mối đe dọa: Các cuộc tấn công trung gian (MITM) vào giao tiếp đám mây (được giảm thiểu bằng mã hóa TLS); Truy cập trái phép vào API đám mây và thư viện chương trình cơ sở; Chặn các bản cập nhật chương trình cơ sở và bản vá bảo mật

Cổng 53/UDP (DNS - Độ phân giải tên miền)

Bắt buộc để giải quyết điểm cuối đám mây ABB
Phải được BẬT cho bất kỳ kết nối đám mây nào
Không mã hóa (giao thức DNS tiêu chuẩn)
Đề xuất sử dụng máy chủ DNS đáng tin cậy
Giảm thiểu mối đe dọa: Các cuộc tấn công giả mạo DNS chuyển hướng EkipConnect đến các điểm cuối đám mây độc hại; Nhiễm độc bộ nhớ cache DNS; Chuyển hướng trái phép kết nối đám mây

Các cổng được đề xuất (Rất khuyến khích)

Cổng 123 / UDP (NTP - Đồng bộ hóa thời gian)

Giao thức thời gian mạng cho độ chính xác của đồng hồ hệ thống
Quan trọng đối với độ chính xác và bảo mật của dấu thời gian nhật ký
Rất khuyến khích nhưng không bắt buộc nghiêm ngặt
Bật nếu cấu hình mạng cho phép
Giảm thiểu mối đe dọa: Giả mạo và thao túng dấu thời gian nhật ký; Các cuộc tấn công lệch đồng hồ làm mất hiệu lực kiểm soát bảo mật dựa trên thời gian; Dấu vết kiểm tra không chính xác và tái tạo sự cố

Cổng giao tiếp thiết bị (Đối với kết nối thiết bị)

Cổng 502 / TCP (Modbus TCP)

Giao tiếp giữa thiết bị với Ekip Connect qua Ethernet
HAI CHIỀU (THIẾT BỊ CÓ THỂ KẾT NỐI LẠI)
Giao thức không được mã hóa (yêu cầu phân đoạn mạng)
Chỉ bật trên mạng thiết bị (không giao diện internet)
Tường lửa chỉ nên hạn chế cổng này cho các thiết bị được ủy quyền
Giảm thiểu mối đe dọa: Giao tiếp thiết bị trái phép và thao tác tham số; Thiết bị giả mạo kết nối với giao diện quản lý; Nghe lén lưu lượng truy cập thiết bị không được mã hóa (giảm thiểu bằng cách phân đoạn mạng); Các cuộc tấn công từ chối dịch vụ từ các phân đoạn mạng trái phép

Cổng 69 / UDP (TFTP - Giao thức truyền tệp tầm thường)

Tải xuống chương trình cơ sở và cung cấp thiết bị
Giao tiếp hai chiều
Không được mã hóa (chỉ sử dụng trên các mạng biệt lập)
Chỉ cần thiết trong quá trình cập nhật chương trình cơ sở
Có thể bị vô hiệu hóa bên ngoài cửa sổ bảo trì
Giảm thiểu mối đe dọa: Tải xuống và triển khai chương trình cơ sở trái phép; Chèn chương trình cơ sở độc hại thông qua các cuộc tấn công TFTP Man-in-the-middle vào việc truyền chương trình cơ sở (giảm thiểu bằng cách cách ly mạng); Cung cấp thiết bị trái phép; Nghe lén truyền chương trình cơ sở không được mã hóa

Lưu ý: trong quá trình cung cấp thiết bị vào ABB Ability™ EM & AM, hãy đảm bảo tường lửa của bạn được cấu hình đúng cách, theo các cổng hoạt động được báo cáo ở trên. Nếu gặp sự cố liên lạc, hãy thử tạm thời tắt tường lửa của bạn, bật lại tường lửa khi kết thúc quá trình Cung cấp.

Để biết thêm chi tiết về thông tin an toàn, vui lòng nhấp vào đây.