مطالعه موردی طراحی شبکه صنعتی مبتنی بر Zero Trust

در بسیاری از کارخانه‌ها، شبکه طی سال‌ها و بر اساس نیازهای مقطعی توسعه پیدا کرده است. در نتیجه، تجهیزات اداری، سرورها، دوربین‌ها، سیستم‌های کنترل صنعتی، پیمانکاران و کاربران در شبکه‌ای قرار می‌گیرند که مرزهای امنیتی آن شفاف نیست. در چنین شرایطی، نفوذ به یک رایانه اداری یا سوءاستفاده از یک حساب کاربری می‌تواند مسیر دسترسی به سرورها، سامانه‌های مدیریتی یا حتی تجهیزات عملیاتی را باز کند. وجود VLAN به‌تنهایی نیز به معنای جداسازی امن نیست؛ زیرا تا زمانی که مسیرهای ارتباطی، هویت کاربران، سطح دسترسی و رویدادها کنترل نشوند، جداسازی فقط روی کاغذ باقی می‌ماند. در این مطالعه موردی، معماری شبکه یک مجموعه صنعتی با رویکرد Zero Trust بازطراحی شده است. اصل طراحی این است که هیچ کاربر، تجهیز، سرویس یا بخش شبکه‌ای صرفاً به دلیل حضور در شبکه داخلی قابل اعتماد نباشد. هر ارتباط باید بر اساس نیاز عملیاتی، هویت، نوع تجهیز، موقعیت شبکه و سطح ریسک مجاز شود. معماری پیشنهادی شامل جداسازی شبکه‌های IT، OT، امنیت، دوربین‌ها، مدیریت تجهیزات، سرورها، مجازی‌سازی، پشتیبان‌گیری، مهمان و دسترسی پیمانکاران است. ارتباط میان این نواحی از طریق فایروال، ACL، سیاست‌های حداقل دسترسی و مسیرهای مشخص کنترل می‌شود. برای ارتباط میان شبکه سازمانی و تجهیزات صنعتی، یک Industrial DMZ در نظر گرفته شده است تا تبادل اطلاعات با سامانه‌هایی مانند SCADA، Historian، MES، OPC UA و سرویس‌های گزارش‌گیری بدون ایجاد دسترسی مستقیم میان IT و OT انجام شود. مدیریت هویت نیز بر اساس Active Directory، گروه‌های دسترسی، حساب‌های مدیریتی مجزا، LAPS، MFA و مدل Role-Based Access Control طراحی شده است. رویدادهای امنیتی از فایروال‌ها، سرورها، کنترل‌کننده‌های دامنه، سوئیچ‌ها، سامانه‌های امنیتی و تجهیزات حساس در SIEM جمع‌آوری می‌شوند تا فعالیت‌های غیرعادی قابل شناسایی و پیگیری باشند. این طرح همچنین پشتیبان‌گیری را بخشی از معماری امنیتی می‌داند، نه صرفاً یک عملیات روزانه. مخزن Backup از شبکه کاربران و Domain جدا می‌شود و در کنار نسخه تغییرناپذیر، Tape و آزمون دوره‌ای بازیابی، الگوی 3-2-1-1-0 را پوشش می‌دهد. هدف Zero Trust در این پروژه، خرید یک محصول جدید نیست؛ بلکه ایجاد مجموعه‌ای از کنترل‌های هماهنگ است که سطح دسترسی را کاهش می‌دهند، مسیر حرکت مهاجم را محدود می‌کنند و امکان شناسایی و بازیابی سریع‌تر را فراهم می‌سازند.