Makine Ağını Ofis Ağından Ayırmak

Fabrika ağları genelde tek bir mantıkla kurulur: her şey aynı switch'e takılsın, çalışsın. Ofis bilgisayarları, yazıcılar, kameralar, sunucu ve makinelerin başındaki bilgisayarlar yan yana durur. Kurulum kolaydır, ilk günlerde de sorun çıkarmaz.

Sorun, bir gün muhasebedeki bilgisayarda açılan bir e-posta ekiyle görünür. Zararlı yazılım ağdaki paylaşımları tarar ve en zayıf halkayı bulur: eski bir Windows sürümüyle çalışan, güncellemesi çıkmayan, antivirüs kurulamayan makine bilgisayarı. Ofis bilgisayarları birkaç saatte yeniden kurulur; makineyi geri getirmek ise günler alır, çünkü orada sadece bir işletim sistemi değil, üreticiye bağlı bir kurulum vardır.

Ayırmak ne demek

Ayrım, kabloları kesmek değildir. Makineler kendi ağ bölümünde durur, aralarındaki geçiş kurala bağlanır:

• Makineler ve operatör bilgisayarları ayrı bir ağ bölümüne (VLAN) alınır.
• Ofisten makine tarafına yalnız gerekli olan geçişe izin verilir; "her yerden her yere" kuralı kaldırılır.
• Makine tarafının doğrudan internete çıkışı kapatılır. Gerekli olduğunda kontrollü ve geçici olarak açılır.
• Kablosuz ağ ayrılır: misafir ağı, ofis ağı ve el terminali gibi üretim cihazlarının ağı aynı yer değildir.
• USB kullanımı için yazılı bir kural konur; makine bilgisayarına takılan bellek çoğu bulaşmanın yoludur.

Peki veri nasıl akacak

En sık duyduğumuz itiraz şudur: "Ayırırsak üretim raporunu ofisten göremeyiz." Görürsünüz. Doğru kurgu, verinin tek yönlü akmasıdır: makine tarafından toplanan üretim ve duruş bilgisi sınırda duran bir toplayıcıya gider, rapor ofis tarafında okunur. Ofisteki kullanıcı makineye bağlanmaz, raporu okur.

Aynı mantık bakım ve servis erişimi için de geçerlidir: üretici uzaktan bağlandığında yalnız makine bölümünü görür, ofis tarafını değil.

Mevcut düz ağda nasıl geçilir

Bu iş bir gecede yapılmaz, ama büyük bir proje de değildir. Sıra şöyledir:

• Envanter. Hangi cihaz nerede, hangi porta bağlı, hangisi neyle konuşuyor. Bu adım atlanırsa ayrım sonrası bir şey mutlaka kopar.
• Gruplama. Ofis, üretim, kamera, misafir ve sunucu olmak üzere beş grup çoğu fabrika için yeterlidir.
• Adres planı. Her grubun kendi adres aralığı olur; sonradan bakan kişi adrese bakıp cihazın türünü anlar.
• Taşıma. Grup grup ve planlı duruşlarda yapılır; üretim sırasında kablo değiştirilmez.
• Kurallar ve test. Geçiş kuralları yazılır, sonra tek tek denenir: rapor görünüyor mu, yazıcı çalışıyor mu, el terminali bağlanıyor mu.

VLAN desteklemeyen basit bir switch varsa donanım değişimi gerekebilir; bu çoğu atölyede tek bir cihazla çözülür.

Yaması çıkmayan makinenin yaması izolasyondur

Makine bilgisayarlarının çoğu güncellenemez: üretici o sürümü destekler, yenisine geçmek makineyi durdurma riski taşır. Bu bilgisayarları güvenli hâle getirmenin yolu güncellemek değil, ulaşılamaz kılmaktır. Ağdan ayrılmış bir makine, internetten gelen otomatik saldırıların menzili dışında kalır.

Yamanlar Bilişim nasıl destek sağlar

Yaptığımız iş, cihaz envanterini çıkarmak, grupları ve adres planını kurmak, geçişleri planlı duruşlarda yapmak ve üretim verisinin akmaya devam ettiğini test etmektir. Makinelerin programına dokunmuyoruz. Ağ tarafı ağ altyapısı kurulumu, güvenlik ve izleme tarafı kurumsal siber güvenlik hizmetimizde; üretim tesislerine özel işler üretim ve atölye çözümleri sayfasında.

Sık sorulan sorular