Trung tâm An ninh mạng Quốc gia Vương quốc Anh (NCSC) ghi nhận sự gia tăng các chiến dịch tấn công mạng nhắm vào các hệ thống công nghệ vận hành (OT) tại nhiều ngành nghề ở Vương quốc Anh cũng như trên phạm vi toàn cầu. Do nhiều nhóm tác nhân đe dọa thực hiện, các hoạt động này đã gây ra một số gián đoạn thực tế. NCSC nhấn mạnh mọi đơn vị vận hành, triển khai hoặc bảo trì hệ thống OT cần nghiêm túc đánh giá lại trạng thái an ninh mạng.
Bất kỳ tổ chức nào sở hữu hệ thống OT kết nối Internet đều có nguy cơ trở thành mục tiêu. NCSC lưu ý các đơn vị không nên chủ quan cho rằng hệ thống OT của mình hoàn toàn cô lập nếu chưa tiến hành xác minh, bởi nguy cơ phơi nhiễm ngoài ý muốn thường xuất phát từ cấu hình sai, kết nối cũ chưa loại bỏ hoặc các tài sản không được quản lý. Trong bối cảnh bất ổn địa chính trị và sự phát triển của công nghệ hỗ trợ tấn công, rủi ro từ các cuộc tấn công mạng do quốc gia gia tăng đáng kể đối với cả hạ tầng thông tin quan trọng quốc gia (CNI) và các lĩnh vực khác.
Nhằm ứng phó với các mối đe dọa này, NCSC khuyến nghị các tổ chức thực hiện các biện pháp sau:
- Xây dựng bức tranh toàn diện về kiến trúc OT: Xác định rõ mọi tài sản, luồng truyền thông và kết nối bên ngoài để phát hiện hệ thống phơi nhiễm Internet hoặc kết nối cũ. Đảm bảo các thiết bị OT như Bộ điều khiển logic có thể lập trình (PLC) và Giao diện người - máy (HMI) không kết nối trực tiếp với Internet công cộng.
- Thắt chặt quản lý truy cập và xác thực: Thay đổi thông tin đăng nhập mặc định và cấm sử dụng chung mật khẩu. Triển khai tài khoản riêng cho quản trị viên, áp dụng xác thực nhiều yếu tố (MFA) và ưu tiên sử dụng cơ chế xác thực bằng khóa công khai/tư nhân (như SSH) thay cho mật khẩu khi giao thức hỗ trợ.
- Gia cố ranh giới mạng OT: Kiểm soát nghiêm ngặt truy cập từ các mạng bên ngoài hoặc không tin cậy. Đảm bảo các thiết bị kết nối biên (như gateway công nghiệp, tường lửa, router, thiết bị truy cập từ xa) còn trong thời hạn hỗ trợ của nhà sản xuất, được cập nhật thường xuyên, thay thế trước khi hết hạn vòng đời (EOL) và chỉ được quản trị từ mạng riêng biệt không kết nối Internet.
- Chuyển đổi sang giao thức bảo mật: Thay thế các giao thức chưa an toàn bằng phiên bản bảo mật hơn (chuyển đổi DNP3 sang DNP3-SAv5, CIP sang CIP Security, Modbus sang Modbus Security, OPC DA sang OPC UA; ngừng sử dụng Telnet, SNMP v1, SNMP v2). Hạn chế sử dụng giao thức không an toàn trong các phân đoạn mạng cô lập.
- Giám sát và ghi nhật ký toàn diện: Theo dõi chặt chẽ mọi kết nối đến và trong mạng OT, tập trung phát hiện nỗ lực truy cập bất thường tới PLC và HMI. Việc thiết lập đường cơ sở giám sát trong môi trường OT giúp nhanh chóng phát hiện các hành vi can thiệp trái phép.
- Bảo vệ logic điều khiển: Không để PLC ở chế độ PROGRAM hoặc chế độ bảo trì khi không cần thiết. Áp dụng bảo vệ ghi bằng mật khẩu hoặc cơ chế tương đương đối với logic điều khiển để ngăn chặn thay đổi trái phép từ các điểm cuối độc hại.
- Phân vùng mạng: Tách biệt mạng quản lý, hệ thống điều khiển OT và mạng IT doanh nghiệp dựa trên chức năng và mức độ quan trọng nhằm khoanh vùng sự cố, hạn chế khả năng di chuyển ngang của kẻ tấn công.
- Duy trì bản sao lưu có khả năng phục hồi: Lưu trữ các bản sao lưu chống mã độc tống tiền cho hệ thống OT, cấu hình và dữ liệu kỹ thuật. Thường xuyên diễn tập quy trình khôi phục để đảm bảo khả năng cô lập sự cố và phục hồi vận hành an toàn.
NCSC đánh giá bên cạnh mảng OT, xu hướng tấn công nhắm vào các hệ thống phơi nhiễm Internet và thiết bị biên vẫn diễn ra rộng khắp. Sự việc này tiếp nối các cảnh báo trước đó về những chiến dịch tấn công nhắm vào router cấu hình kém từng được công bố vào tháng 7 năm 2026 cùng các đối tác quốc tế, đòi hỏi các tổ chức duy trì khả năng giám sát liên tục đối với các tài sản kết nối Internet.
