Giải pháp mGuard của Phoenix Contact
28/07/2026
Admin
Khi doanh nghiệp kết nối hệ thống văn phòng, dây chuyền sản xuất và nền tảng Cloud/IIoT, ranh giới mạng truyền thống dần biến mất. Một máy tính IT bị nhiễm mã độc, tài khoản bị lộ hoặc một cổng truy cập từ xa cấu hình sai có thể trở thành điểm xuất phát để xâm nhập vào HMI, SCADA, PLC hoặc hệ thống an toàn. DMZ được sử dụng để chặn đường đi trực tiếp này và buộc mọi trao đổi dữ liệu phải qua một lớp kiểm soát trung gian.
1. Định nghĩa về DMZ
DMZ là viết tắt của Demilitarized Zone - vùng phi quân sự. Trong mạng máy tính, CISA định nghĩa DMZ là một mạng con vật lý hoặc logic dùng để tách mạng cục bộ khỏi các mạng không tin cậy. NIST mô tả DMZ như một giao diện hoặc vùng phía sau tường lửa, nơi lưu lượng đi tới các vùng được bảo vệ vẫn phải đi qua chính sách lọc của tường lửa.
Nói đơn giản, DMZ là “vùng đệm” nằm giữa hai hoặc nhiều vùng mạng có mức độ tin cậy khác nhau. Các máy chủ hoặc gateway cần giao tiếp với cả hai phía được đặt trong DMZ, thay vì đặt trực tiếp trong mạng nội bộ hoặc mạng điều khiển.
DMZ không đồng nghĩa với một thiết bị
Tường lửa là thiết bị hoặc chức năng thực thi luật truy cập. VLAN là phương thức phân đoạn logic. VPN là kênh truyền mã hóa. NAT là cơ chế chuyển đổi địa chỉ. DMZ là một vùng/kiến trúc mạng; để tạo DMZ cần kết hợp tường lửa, định tuyến, phân đoạn, máy chủ trung gian, giám sát và chính sách vận hành.
Mục tiêu chính của DMZ
- Không cho phép Internet, mạng IT hoặc người dùng từ xa kết nối thẳng vào tài sản quan trọng.
- Giảm phạm vi ảnh hưởng khi một máy chủ công khai, gateway hoặc tài khoản bị xâm nhập.
- Chỉ cho phép các luồng dữ liệu đã được định nghĩa rõ nguồn, đích, cổng và giao thức.
- Tạo điểm tập trung để xác thực, ghi log, giám sát, quét mã độc và kiểm soát truy cập.
- Hỗ trợ kiến trúc defense-in-depth, phân vùng zones and conduits theo ISA/IEC 62443.
DMZ thường sẽ chứa
- Trong IT: reverse proxy, web server, DNS, mail relay, WAF, SFTP gateway, VPN concentrator.
- Trong OT: jump server/bastion, remote access gateway, historian replica, patch/antivirus staging server, file transfer gateway, máy chủ đồng bộ thời gian và hệ thống giám sát.
- Trong IIoT: DMZ thường chứa OPC UA proxy, MQTT broker, API gateway, managed file transfer, certificate service, log collector và cloud connector.
Edge gateway hoặc IIoT platform nên nằm trong phân đoạn Edge/IIoT riêng ở phía OT, rồi trao đổi qua proxy/broker trong DMZ; không mặc định đặt chung với PLC/HMI hoặc cho phép điều khiển từ Cloud đi thẳng xuống OT.
2. Ứng dụng DMZ trong IT, OT và IIoT
a. DMZ trong IT
Trong môi trường IT, DMZ thường nằm giữa Internet và mạng nội bộ doanh nghiệp. Các dịch vụ phải công khai ra ngoài được đặt trong DMZ. Nếu web server bị tấn công, kẻ xâm nhập vẫn chưa có quyền tự do truy cập máy chủ tài chính, hệ thống ERP hoặc máy trạm nhân viên. Mọi kết nối từ DMZ vào mạng nội bộ phải được cấp phép theo nguyên tắc tối thiểu.
- Công bố dịch vụ web, DNS, email hoặc cổng API ra Internet.
- Tập trung VPN và truy cập từ xa của nhân viên/đối tác.
- Tách hệ thống có nguy cơ phơi nhiễm cao khỏi dữ liệu nội bộ.
- Áp dụng WAF, IDS/IPS, SIEM và quản lý chứng thư tại biên mạng.
b. DMZ trong OT - Industrial DMZ/IDMZ
Trong OT, DMZ thường được gọi là Industrial DMZ hoặc IDMZ và được bố trí giữa mạng doanh nghiệp và mạng vận hành. Trong các sơ đồ Purdue mở rộng, IDMZ thường được gọi quy ước là “Level 3.5”; đây không phải một level chính thức của ISA-95. NIST khuyến nghị dùng kiến trúc DMZ với tường lửa để ngăn lưu lượng đi trực tiếp giữa mạng doanh nghiệp và OT, còn ISA/IEC 62443 áp dụng cách tiếp cận phân vùng theo zones và conduits dựa trên rủi ro.
Điểm khác biệt quan trọng là OT ưu tiên an toàn, tính sẵn sàng và tính xác định của quá trình. Vì vậy, IDMZ không chỉ bảo vệ dữ liệu mà còn bảo vệ hoạt động vật lý: máy móc, dây chuyền, năng lượng, môi trường và con người.
- Không cho phép máy tính IT truy cập trực tiếp PLC, DCS, RTU hoặc SIS.
- Dữ liệu sản xuất đi lên IT thông qua historian replica hoặc dịch vụ trung gian.
- Bản vá, phần mềm chống mã độc và tệp cấu hình được đưa vào vùng staging để kiểm tra trước khi chuyển sang OT.
- Nhà thầu kết nối vào jump server trong IDMZ; từ đó mới được cấp quyền có thời hạn tới đúng thiết bị cần bảo trì.
- Luồng kết nối được ghi log, giám sát, giới hạn thời gian và có thể yêu cầu MFA.
c. DMZ trong IIoT
IIoT làm tăng số lượng kết nối giữa cảm biến, PLC, edge computer, nền tảng phân tích và Cloud. Một kiến trúc đầy đủ không đặt mọi thành phần IIoT vào IDMZ: edge gateway và IIoT platform thường nằm trong phân đoạn Edge/Platform riêng ở phía OT; IDMZ chứa broker, proxy và dịch vụ giám sát để trung gian hóa luồng dữ liệu ra IT hoặc Cloud. Nếu thiết bị điều khiển gửi dữ liệu thẳng ra Internet, doanh nghiệp sẽ tạo ra đường kết nối xuyên qua nhiều lớp bảo vệ.
- OPC UA hoặc giao thức công nghiệp được kết thúc tại gateway; dữ liệu được chuyển thành MQTT/HTTPS ở phía bắc.
- Chứng thư số, khóa và danh tính máy được quản lý tại gateway thay vì phân tán trên từng PLC.
- Edge gateway lưu đệm dữ liệu khi mất Cloud và gửi lại khi kết nối phục hồi.
- Chỉ dữ liệu cần thiết được đưa lên Cloud; lệnh điều khiển từ Cloud phải qua kiểm soát chặt, không mặc định đi thẳng xuống PLC.
- Có thể tách riêng DMZ truy cập từ xa và DMZ dữ liệu IIoT nếu mức rủi ro hoặc quy mô hệ thống yêu cầu.
Danh mục
