Перед подключением ЧПУ FANUC к сети: проверка бюллетеней безопасности и ограничение внешнего доступа

Для передачи программ или удалённого обслуживания цех может постепенно подключать ЧПУ к сети. До добавления соединения нужно подтвердить производственную цель и границы доступа. Получение IP и успешная передача файла не означают, что можно разрешить произвольный внешний доступ. План сети должны согласовать специалисты по станкам и администраторы сети предприятия.

Сначала прочитайте перечень изделий и дату публикации

26 ноября 2020 года FANUC опубликовала бюллетень об уязвимости отказа в обслуживании встроенного Ethernet TCP/IP, CVE-2020-12739. В нём сказано, что эксплуатация уязвимости может остановить сетевые функции; перечислены несколько затронутых серий ЧПУ. Рекомендуется выявлять неавторизованные устройства связи и ограничивать несанкционированный внешний доступ, в том числе межсетевыми экранами. Единой «безопасной редакции ПО» для всех моделей бюллетень не устанавливает.

Не делайте вывод только по названию FANUC

Сначала соберите номер станка, полную модель ЧПУ, фактически используемый сетевой интерфейс, серию и редакцию ПО, затем сопоставьте с конкретным перечнем бюллетеня. Встроенный Ethernet и другие опции проверяются отдельно. При сомнениях передайте сведения поставщику оборудования или поддержке изготовителя. Запишите дату проверки и ответ; после замены платы или обновления проверьте снова.

Составьте простой перечень сетевого доступа

• Перечислите компьютеры и системы, которым требуется связь со станком, указав назначение: передача программ, сбор данных или обслуживание.
• Укажите, кто разрешает новый доступ, кто управляет учётными записями и как отзываются права при смене персонала или поставщика.
• Сетевой администратор должен проверить правила на границе сети и оставить только подтверждённый обмен, необходимый для работы. У удалённого обслуживания должны быть определённые сроки и ответственный.
• Внесите результаты испытаний и способ отката в журнал изменений, подтвердив, что ограничения не прервали необходимую производственную связь.

При остановке сетевых функций сохраняйте доказательства

Сетевой сбой не равнозначен атаке: учитывайте аварии оборудования, состояние соединений и сетевые журналы. Бюллетень указывает, что отключение и включение питания может восстановить описанное состояние, но восстановленная связь не устраняет условия уязвимости. Перезапуск выполняют по процедуре останова и обслуживания станка; частые перезапуски не являются постоянным решением. Фиксируйте время, затронутые функции и недавние изменения сети.

Это метод чтения бюллетеней и проверки на месте, а не оценка безопасности конкретного оборудования. В дальнейшем проверяйте официальный каталог бюллетеней FANUC об уязвимостях, не считая старый бюллетень полным отражением текущего положения. Метод записи версий: идентификация системы 0i-F. Другие материалы по обслуживанию: раздел FANUC.

Источники и область применимости

• FANUC: бюллетень об отказе в обслуживании Embedded Ethernet TCP/IP (2020-11-26): страница 1, последствия, затронутые изделия и меры снижения риска.
• Официальный каталог бюллетеней FANUC об уязвимостях изделий: последующие сообщения по соответствующему изделию.