Honeywell Optimizer Advanced Controller

Spesifikasi

• Produk: Advanced Controller
• Nomer Model: 31-00594-03
• Sistem Operasi: Niagara Operating System
• Fitur Keamanan: Kode Verifikasi Akun, Akun Sistem, Recovery Sandi, Komunikasi Aman, Sertifikat
• Kompatibilitas Jaringan: BACnetTM, LAN

Penafian
Nalika kita wis melu ing efforts kanggo njamin akurasi document iki, Honeywell ora tanggung jawab kanggo karusakan apa wae, kalebu tanpa watesan karusakan consequential njedhul saka aplikasi utawa nggunakake informasi sing ana ing kene. Informasi lan spesifikasi sing diterbitake ing kene saiki ana ing tanggal publikasi iki lan bisa diganti tanpa kabar. Spesifikasi produk paling anyar bisa ditemokake ing kita websitus utawa kanthi ngubungi kantor perusahaan kita ing Atlanta, Georgia.
Kanggo akeh komunikasi berbasis RS-485 industri, status standar dipateni nalika dikirim metu saka pabrik kanggo mesthekake keamanan sing paling apik, amarga bus komunikasi warisan kasebut nggunakake teknologi warisan kanggo kompatibilitas sing paling apik lan dirancang kanthi proteksi keamanan sing lemah. Dadi, kanggo nggedhekake proteksi sistem sampeyan, Honeywell wis proaktif mateni port komunikasi bis industri warisan (ing wektu pangiriman pabrik), lan pangguna kudu ngaktifake jaringan ing Stasiun saben jaringan. Yen sampeyan pengin ngaktifake port kasebut, sampeyan kudu ngerti babagan risiko pelanggaran keamanan sing digawa dening teknologi warisan. Iki kalebu nanging ora winates kanggo: Panel-bus, C-Bus, BACnetTM, M-Bus, CP-IO Bus, NovarNet, protokol XCM-LCD, SBC S-Bus lan Modbus, etc.
Ngembangake kanggo ISA-62443

Honeywell wis ngandelake standar ISA 62443-4-1 sajrone pirang-pirang taun lan standar pendamping sing ditrapake kanggo ngembangake produk teknologi bangunan kanthi aman. Kanggo example, produk bangunan Honeywell uga nggunakake ISA / IEC 62443-4-2 minangka garis dasar kanggo syarat keamanan technical ing komponen, lan kita nggunakake ISA / IEC 62443-3-3 kanggo sistem lengkap. Dadi kanggo integrator lan pelanggan sing milih teknologi bangunan, ketaatan Honeywell marang kulawarga standar ISA / IEC 62443 bisa menehi tingkat kapercayan sing dhuwur yen produk kita ora mung ngaku dadi tahan cyber - wis dirancang, diuji, lan divalidasi kanggo ketahanan cyber wiwit wiwitan.
Honeywell ngembangake produk kita menyang ISA / IEC 62443-4-1 lan kita wis ditaksir dening pihak katelu lan diaudit nglawan standar iki.
Pambuka lan Pemirsa sing Dituju

Honeywell kanthi tegas nyatakake yen pengontrol kasebut ora dilindhungi saka serangan cyber saka Internet lan mulane mung dimaksudake kanggo digunakake ing jaringan pribadi. Nanging, malah jaringan pribadi isih bisa kena serangan cyber angkoro dening individu IT sing trampil lan dilengkapi lan mbutuhake pangayoman. Mula, para pelanggan kudu ngetrapake pedoman praktik paling apik kanggo instalasi lan keamanan kanggo produk adhedhasar IP Pengontrol Pabrik Lanjut kanggo nyuda risiko serangan kasebut.
Pedoman ing ngisor iki njlèntrèhaké Praktik Paling Apik Keamanan Umum kanggo produk basis Pengontrol Tanaman Lanjutan IP. Dheweke kadhaptar supaya bisa nambah mitigasi.

Persyaratan sing tepat saben situs kudu ditaksir kanthi basis kasus. Umume panginstalan sing ngetrapake kabeh tingkat mitigasi sing diterangake ing kene bakal ngluwihi sing dibutuhake kanggo keamanan sistem sing kepenak. Nggabungake item 1-5 (gegandhengan karo Jaringan Area Lokal), Waca "Rekomendasi Jaringan Area Lokal (LAN)" ing kaca 20. umume bakal nyukupi syarat kanggo panginstalan jaringan kontrol otomatisasi.
Manual iki ngemot informasi kanggo nuntun personel ing bakul Honeywell carane aman nginstal lan ngatur Advanced Plant Controller, HMI lan modul IO. Informasi sing gegandhengan karo keamanan babagan operasi, serep lan pamulihan USB, lan CleanDist file panginstalan controller bisa ditemokaké ing Instruksi Instalasi lan Commissioning Guide (31-00584).

CATETAN
Luangkan wektu kanggo maca lan ngerti kabeh manual instalasi, konfigurasi, lan operasi sing cocog lan priksa manawa sampeyan entuk versi paling anyar kanthi rutin.

Tabel 1 Informasi Produk

produk	Nomer produk	Katrangan
Pengontrol Tanaman	N-ADV-134-H	Niagara majeng controller karo Four bandar Ethernet, Port kanggo HMI, lan 4 port RS485
	N-ADV-133-H-BWA	Pengontrol canggih Niagara kanthi Empat port Ethernet, Port kanggo HMI, 3 port RS485, Wi-Fi (wilayah Amerika), lan dhukungan BluetoothTM
	N-ADV-133-H-BWE	Pengontrol canggih Niagara kanthi Empat port Ethernet, Port kanggo HMI, 3 port RS485, Wi-Fi (wilayah Eropa), lan dhukungan BluetoothTM
	N-ADV-133-H-BWW	Pengontrol canggih Niagara kanthi Empat port Ethernet, Port kanggo HMI, 3 port RS485, Wi-Fi (Wilayah liyane ing donya), lan dhukungan BluetoothTM
	N-ADV-133-H	Niagara majeng controller karo Four bandar Ethernet, Port kanggo HMI, lan 3 port RS485
	N-ADV-112-H	Niagara majeng controller karo Two bandar Ethernet, Port kanggo HMI, lan 2 port RS485
HMI	HMI-DN	HMI (DIN rail mount)
	HMI-WL	HMI (Lawang/Dinding)
Modul IO	IO-16UIO-SS	16UIO Modul IO tanpa HOA, Serial Comms, Screw Terminal
	IOD-16UIO-SS	16UIO Modul IO karo Tampilan HOA, Serial Comms, Terminal meneng
	IO-16UI-SS	16UI IO Modul, Serial Comms, Screw Terminal
	IO-16DI-SS	Modul 16DI IO, Komunikasi Serial, Terminal Sekrup
	IO-8DOR-SS	Modul 8DO IO tanpa HOA, Relay C/O, Komunikasi Serial, Terminal Sekrup
	IOD-8DOR-SS	Modul 8DO IO kanthi Tampilan HOA, Relay C/O, Komunikasi Serial, Terminal Sekrup
	IO-16UIO-SP	16UIO Modul IO karo Tampilan HOA, Serial Comms, Push Terminal
	IO-16UI-SP	16UIO Modul IO, Serial Comms, Push Terminal
	IO-16DI-SP	16DI IO Modul, Serial Comms, Push Terminal
	IO-8DOR-SP	8DO Modul IO tanpa HOA, C/O Relay, Serial Comms, Push Terminal
	IOD-8DOR-SP	Modul 8DO IO kanthi Tampilan HOA, Relay C/O, Komunikasi Serial, Terminal Push
	IO-8UIO-SS	8UIO Modul IO tanpa HOA, Serial Comms, Screw Terminal

Modul IO	IOD-8UIO-SS	8UIO Modul IO karo Tampilan HOA, Serial Comms, Terminal meneng
	IO-8AO-SS	8AO Modul IO tanpa HOA, Serial Comms, Meneng Terminal
	IOD-8AO-SS	8AO Modul IO karo Tampilan HOA, Serial Comms, Terminal meneng
	IO-4UIO-SS	4UIO Modul IO tanpa HOA, Serial Comms, Screw Terminal
	IOD-4UIO-SS	4UIO Modul IO karo Tampilan HOA, Serial Comms, Terminal meneng
	IO-8DI-SS	Modul 8DI IO, Komunikasi Serial, Terminal Sekrup
	IO-4DOR-SS	Modul 4DO IO tanpa HOA, Relay C/O, Komunikasi Serial, Terminal Sekrup
	IOD-4DOR-SS	Modul 4DO IO kanthi Tampilan HOA, Relay C/O, Komunikasi Serial, Terminal Sekrup
	IO-4DORE-SS	Modul 4DO IO tanpa HOA, Relay C/O Ditingkatkan, Komunikasi Serial, Terminal Sekrup
	IOD-4DORE-SS	Modul 4DO IO kanthi Tampilan HOA, Relay C/O Ditingkatake, Komunikasi Serial, Terminal Sekrup
	IO-8UIO-SP	8UIO Modul IO tanpa HOA, Serial Comms, Push Terminal
	IOD-8UIO-SP	8UIO Modul IO karo Tampilan HOA, Serial Comms, Push Terminal
	IO-8AO-SP	8AO Modul IO tanpa HOA, Serial Comms, Push Terminal
	IOD-8AO-SP	8AO Modul IO karo Tampilan HOA, Serial Comms, Push Terminal
	IO-4UIO-SP	4UIO Modul IO tanpa HOA, Serial Comms, Push Terminal
	IOD-4UIO-SP	4UIO Modul IO karo Tampilan HOA, Serial Comms, Push Terminal
	IO-8DI-SP	8DI IO Modul, Serial Comms, Push Terminal
	IO-4DOR-SP	4DO Modul IO tanpa HOA, C/O Relay, Serial Comms, Push Terminal
	IOD-4DOR-SP	Modul 4DO IO kanthi Tampilan HOA, Relay C/O, Komunikasi Serial, Terminal Push
	IO-4DORE-SP	Modul 4DO IO tanpa HOA, Relay C/O Ditingkatkan, Komunikasi Serial, Terminal Push
	IOD-4DORE-SP	Modul 4DO IO kanthi Tampilan HOA, Relay C/O Ditingkatake, Komunikasi Serial, Terminal Push

KENAPA AMAN KONTROL LANJUT?

• Nglindhungi sistem tanduran pelanggan saka owah-owahan ora sah kanggo operasi set-points, overrides lan jadwal wektu.
• Nyegah akses menyang rincian akun pangguna: contone jeneng pangguna, sandhi, alamat email, nomer SMS (seluler) lsp.
• Nyegah akses menyang data komersial-sensitif: Example- Metrik konsumsi energi, solusi strategi kontrol spesialis lsp.
• Nyegah akses ora sah menyang pengontrol, komputer lan jaringan sing ngemot piranti lunak lan piranti kontrol BMS.
• Njaga integritas data lan menehi tanggung jawab.

SISTEM LiwatVIEW

Sing liwatview saka instalasi sistem khas.

1. Internet/intranet/jaringan perusahaan
   Iki minangka perwakilan jaringan logis sing disederhanakake saka kabeh jaringan ing njaba ruang lingkup sistem otomatisasi bangunan (BAS). Bisa nyedhiyakake akses menyang antarmuka manajemen BAS (contone, workstation primer Niagara web antarmuka panganggo) nanging kudu nyedhiyani akses menyang Internet supaya komputer Niagara bisa mriksa lan download sistem operasi lan nganyari scanner virus kajaba liya kanggo nindakake iki kasedhiya.
2. jaringan BAS
   Jaringan iki mung digunakake kanggo protokol BAS, sing kasusun saka BACnetTM / IP, BACnetTM / Ethernet, lan protokol apa wae sing bisa digunakake kanggo Layanan Integrasi Niagara ing Pengontrol Pabrik Lanjut. Jaringan iki kudu ora padha karo jaringan Internet/intranet/perusahaan.
3. firewall BAS
   Kanggo nyedhiyakake pamisahan lan proteksi tambahan marang BAS, firewall kudu digunakake ing antarane jaringan Internet/intranet/perusahaan lan piranti BAS sing nyambung, kayata workstation primer Niagara, workstation Niagara, lan Advanced Plant Controller. Firewall iki mbatesi akses menyang BAS mung kanggo komputer sing sah lan bisa nyuda resiko serangan, kayata serangan penolakan layanan.
4. Niagara workstation
   Stasiun kerja utama Niagara yaiku komputer sing nganggo piranti lunak Niagara. Mbutuhake rong sambungan jaringan - siji kanggo nyambung menyang manajemen web antarmuka panganggo liwat a web browser (biasane ing
   Internet/intranet/corporate network) lan liyane kanggo nyambungake menyang jaringan BAS.
5. Ethernet Ngalih
   Switch Ethernet nggawe jaringan lan nggunakake macem-macem port kanggo komunikasi antarane piranti ing LAN. Switch Ethernet beda karo router, sing nyambungake jaringan lan mung nggunakake port LAN lan WAN siji. Infrastruktur nirkabel kabel lan perusahaan lengkap nyedhiyakake konektivitas kabel lan Wi-Fi kanggo konektivitas nirkabel.
6. Pengontrol Tanduran Lanjut
   Advanced Plant Controller minangka pengontrol global sing nyambung menyang jaringan Ethernet, IP BACnetTM lan segmen jaringan MS / TP host. MS / TP minangka sambungan bandwidth kurang sing digunakake kanggo nyambungake pengontrol lan sensor.
7. HMI
   HMI disambungake lan nampa daya saka pengontrol tanduran Advanced Niagara. Piranti kasebut dibangun kanthi tampilan layar demek kapasitif sing ndhukung pilihan kanthi driji kosong lan menehi fungsi kanggo operator. view, akses, lan ngatasi masalah titik pengontrol, modul IO, lan peralatan liyane sing disambungake.
8. Modul IO
   Modul IO bisa nyambung menyang controller nggunakake sambungan flake tutul (daya lan komunikasi) utawa modul IO bisa nyambung menyang adaptor wiring kang bakal diwenehake karo daya lan disambungake menyang salah siji saka antarmuka RS485 ing controller. Modul IO bisa diprogram nggunakake alat teknik sing ana kayata alat ComfortPointTM Open Studio lan Niagara 4 Workbench.

NETWORK PLANNING LAN KEAMANAN

1. Jaringan Ethernet
   Disaranake yen jaringan Ethernet sing digunakake dening sistem BMS dipisahake saka jaringan kantor normal.
   Example:
   Nggunakake longkangan udara, utawa jaringan pribadi virtual. Akses fisik menyang infrastruktur jaringan Ethernet kudu diwatesi. Sampeyan uga kudu mesthekake yen instalasi tundhuk karo kabijakan IT perusahaan.
   Pengontrol Lanjut ora kudu disambungake langsung menyang Internet.
2. Web Server
   Advanced Controller nyedhiyakake HTTP lan HTTPS web server. Yen a web server ora dibutuhake, disaranake sing loro web server dipatèni.
3. Jaringan IP BACnetTM
   Amarga sifat ora aman saka protokol BACnetTM, modul Advanced Controller, HMI, lan IO sing nggunakake BACnetTM kudu ora disambungake menyang Internet ing kahanan apa wae. Sistem keamanan Advanced Controller ora ngreksa marang BACnetTM nyerat. Akses fisik menyang infrastruktur jaringan IP BACnetTM kudu diwatesi. Yen komunikasi IP BACnetTM ora dibutuhake, Modul Jaringan Advanced Controllers (BACnetTM TM IP) kudu dipateni kanthi nyetel parameter 'Pateni Modul' dadi '1'.
   Yen komunikasi BACnetTMTM dibutuhake, disaranake banget yen BACnetTMTM Backup/Restore, Reinitialize Device lan BACnetTMTM layanan Writable ora diaktifake. Nanging, iki tegese strategi sing digawe ora tundhuk karo BTL - Waca "Keamanan Lokal" ing kaca 13.
4. MS/TP (lisensi NC)
   Akses fisik menyang infrastruktur jaringan MS/TP kudu diwatesi. Yen jaringan MS/TP ora dibutuhake, Modul Jaringan Advanced Controller (BACnetTM MSTP) kudu dipateni kanthi nyetel parameter 'Pateni Modul' dadi '1'. IO Bus (lisensi CAN)
   Akses fisik menyang Bus IO kudu diwatesi.
5. USB
   Akses fisik menyang Advanced Controller USB Local Engineering Port kudu diwatesi.
6. RS485 (kalebu lisensi Modbus)
   Akses fisik menyang port RS485 Controller kudu diwatesi. Yen ora dibutuhake, Modul Jaringan sing disambungake menyang port ora kudu kalebu ing strategi kasebut.
7. Jaringan IP Modbus (lisensi INT)
   Amarga sifat ora aman saka protokol Modbus Advanced Controller sing ndhukung Modbus IP ora kudu disambungake menyang Internet ing kahanan apa wae. Akses fisik menyang infrastruktur jaringan IP Modbus kudu diwatesi. Yen komunikasi Modbus IP ora dibutuhake, Modul Jaringan Advanced Controller (Modbus IP) ora kudu kalebu ing strategi kasebut.

KONTROL LANJUTAN, HMI, lan SISTEM KEAMANAN MODUL IO

Keamanan pengontrol Lanjut tundhuk karo ISA 62433-3-3 SL 3 lan nyedhiyakake boot aman, jaringan sing diasuransiake lan ndhelik, enkripsi nalika istirahat, lan manajemen akun sing disinkronake.
Kanggo entuk akses menyang produk Advanced Controller utawa nindakake samubarang tugas ing ndhuwur, jeneng pangguna lan sandhi sing bener kanggo Akun Sistem Teknik utawa Akun Sistem Piranti kudu diwenehake.

1. Keamanan nalika ora dikonfigurasi
   Kanggo sesambungan karo pengontrol Lanjut, Modul HMI lan IO, kredensial sing bener kudu diwenehake. Kontroler disedhiyakake saka pabrik tanpa kapercayan (Akun Sistem utawa modul pangguna) sing njamin yen nalika wiwitan dipateni, dilindhungi saka akses sing ora sah. Sapisanan nyoba kanggo nyambung menyang vCNC ing salah siji produk Lanjut ing jaringan Niagara kudu digawe Akun Sistem Engineering karo Administrator Peran.
2. Perlindhungan saka Piranti sing Ora Sah
   Tombol unik (Network Key) digunakake kanggo mesthekake yen mung piranti sah sing bisa nggabungake jaringan Niagara. Kabeh pengontrol sing bakal mbentuk jaringan Niagara kudu duwe Kunci Jaringan lan port UDP sing padha. Iki dikonfigurasi nggunakake Alat IP sajrone proses konfigurasi awal.
   Example:
   Yen papat Pengontrol Pabrik Lanjut duwe Kunci Jaringan sing padha (112233), lan sing kaping lima duwe Kunci Jaringan sing beda.
   (222). Nalika lagi disambungake menyang jaringan Ethernet padha papat pengontrol karo Network Key padha gabung bebarengan kanggo mbentuk jaringan siji, nanging Controller kalima ora bakal bisa kanggo nggabungake jaringan amarga wis Network Key beda ie (222).
   Kajaba iku, yen controller kalima anyar (minangka dikirim saka pabrik) lan ditambahake menyang jaringan Ethernet ora bisa nyambung menyang jaringan Niagara amarga ora Network Key.
   1. Kode Verifikasi Akun
      Nalika Akun Sistem Admin ditambahake menyang salah sawijining pengontrol ing jaringan, Kode Verifikasi Akun kanthi otomatis digawe dening pengontrol sing Akun Sistem ditambahake. Kode iki disinkronake menyang kabeh pengontrol liyane kanthi Kunci Jaringan lan port UDP sing padha ing jaringan Ethernet.
      Sawise Kode Verifikasi Akun wis digawe ALL pengontrol ing jaringan kudu duwe Kode Verifikasi Akun sing padha uga Kunci Jaringan lan port UDP sing padha.
      Example:
      Yen ana limang pengontrol, kabeh pengontrol Lanjut duwe Kunci Jaringan sing padha. Papat duwe Kode Verifikasi Akun (AVC) sing padha lan mulane mbentuk jaringan. Kalima duwe Kode Verifikasi Akun sing beda lan sanajan nduweni Kunci Jaringan sing padha, ora bisa gabung karo pengontrol liyane.
3. Sistem Akun
   Akun sistem mbisakake wong lan piranti kanggo sesambungan karo Advanced Controller. Akses sing diwenehake gumantung saka jinis akun lan peran.
   Ana rong jinis Akun Sistem:
   1. Rekening Sistem Teknik
   2. Akun Sistem Piranti
   3. Rekening Sistem Teknik
      Akun Sistem Teknik dimaksudake kanggo digunakake dening insinyur. Saben Akun Sistem engineering duwe jeneng akun lan sandhi sing kudu diwenehake nalika dijaluk dening controller. Yen jeneng pangguna lan sandhi sing bener diwenehake, controller bakal menehi akses.

Akun Sistem engineering sing kapisah kudu digawe kanggo saben wong. Akun Sistem Teknik bisa disetel dadi salah siji saka rong peran:

• Peran Teknik
• Peran Administrator

Peran Teknik
Peran Teknik nyedhiyakake akses sing dibutuhake kanggo ngrancang sistem Lanjut, nggawe / ngatur Akun Sistem Piranti lan ngatur rincian akun pangguna (alamat email, sandhi, lsp).
Peran Administrator
Peran Administrator nyedhiyakake akses sing padha karo peran Teknik plus kemampuan kanggo ngatur kabeh Akun Sistem lan Sistem Piranti.

Akun Sistem Piranti
Akun Sistem Piranti dimaksudake kanggo ngidini piranti kayata Niagara nyambung menyang jaringan kanggo entuk informasi sing dibutuhake lan nggawe owah-owahan. Disaranake nggawe Akun Sistem Piranti sing kapisah kanggo saben piranti sing ngakses jaringan. Dheweke duwe peran minangka 'Supervisor'.

PENTING
Penting: Sistem keamanan pengawas dhewe kudu dikonfigurasi kanggo mbatesi hak akses saben pangguna pengawas.

Nggawe Akun Sistem
Akun Sistem Teknik karo Peran Administrator kudu digawe nalika pisanan nyoba kanggo nyambung menyang vCNC ing jaringan Niagara. Akun iki banjur disinkronake menyang pengontrol liyane ing jaringan Niagara

• Waca "Manajemen Akun sing Disinkronake" ing kaca 12. Akun tambahan bisa digawe yen perlu nggunakake workbench Niagara.

CATETAN
Sepisanan Akun Sistem Teknik digawe ing pengontrol lan Kode Verifikasi Akun digawe kanthi otomatis lan disinkronake karo pengontrol liyane ing jaringan Ethernet kanthi Net-work Key lan port UDP sing padha. Nalika pengontrol duwe Kode Verifikasi Akun, mung bisa gabung karo jaringan karo pengontrol sing duwe Kode Verifikasi Akun sing padha - Waca "Kode Verifikasi Akun" ing kaca 11.

Manajemen Akun sing disinkronake
Manajemen akun sing disinkronake kanthi gampang lan aman nyinkronake Akun Sistem, kalebu Kode Verifikasi Akun, karo kabeh Pengontrol Lanjut ing jaringan Niagara sing padha. Iki ngidini:

• Single log on kanggo jaringan
• Suda overhead kanggo ngatur lan njaga akses ing situs kasebut tanpa nyuda keamanan Kabeh Pengontrol Lanjut ing jaringan sing padha bakal duwe Akun Sistem sing padha.

Nalika Pengontrol Lanjut tanpa Akun Sistem disambungake menyang jaringan Ethernet lan dikonfigurasi karo Kunci Jaringan lan port UDP kanggo jaringan Niagara bakal gabung karo jaringan kasebut lan kanthi otomatis entuk Akun Sistem saka pengontrol liyane ing jaringan Niagara.

Example:
yen Pengontrol Lanjut tanpa Akun Sistem ditambahake ing sistem ing ndhuwur lan diwenehi Kunci Jaringan kanggo jaringan Niagara (112233) lan port UDP bakal gabung karo jaringan lan entuk Akun Sistem (Panganggo 1, Pangguna 2, Pangguna 3) saka Pengontrol Lanjut liyane ing jaringan Niagara.
Sawise sinkronisasi wis rampung bakal bisa kanggo nyambung menyang vCNCs sembarang, tampilan web kaca lan mlebu menyang sembarang Advanced controller ing jaringan Niagara nggunakake sembarang Akun Sistem.
Yen owah-owahan digawe ing Akun Sistem, yaiku akun ditambahake, dibusak utawa diowahi, owah-owahan kasebut bakal diselarasake kanthi otomatis ing kabeh Pengontrol Lanjut ing jaringan Niagara.

Example:
yen ana limang Pengontrol Lanjut, Akun Sistem ing Controller (1) diowahi kanggo mbusak Panganggo 2, ganti jeneng Panganggo 3 dadi Pangguna 3a lan Pangguna 4 ditambahake pangowahan kasebut bakal diselarasake karo Pengontrol (2), Pengontrol (3), Pengontrol (4) lan Pengontrol (5).

CATETAN:
Yen sajrone sinkronisasi konflik ditemokake, owah-owahan paling anyar kudu diutamakake.

Ngganti Kunci Jaringan Kontrol Lanjut
Nalika Advanced Controller Network Key diganti, kabeh Akun Sistem bakal dibusak lan bakal dibusak saka jaringan Niagara saiki. Owah-owahan menyang Kunci Jaringan kudu diwenehi wewenang dening Engineer utawa Akun Sistem Administrator sing sah.
Sawise owah-owahan wis digawe iku bakal nggabungake jaringan Niagara nggunakake Network Key anyar, yen ana, lan njupuk Akun Sistem saka Advanced Controller ing jaringan Niagara anyar nyedhiyakake port UDP padha.

Keamanan Lokal
Keamanan lokal nggunakake pangguna lokal (Modul Pangguna) kanggo ngidini akses menyang Pengontrol Lanjut web kaca utawa tampilan sing disambungake sacara lokal lan kanggo ngontrol informasi sing katon utawa nilai sing bisa diatur.
Kanggo entuk akses lan ngganti jeneng pangguna lan sandhi sing bener kanggo pangguna lokal kudu diwenehake. Tingkat PIN pangguna nemtokake paramèter apa sing bisa dideleng lan diatur dening pangguna.

CATETAN
Pangguna lokal ora disinkronake karo Pengontrol Lanjut liyane ing jaringan Niagara.

Akses menyang Web kaca
Akses menyang controller web kaca dilindhungi dening sistem keamanan Advanced Controller. Nalika controller kang web server diakses a web kaca ditampilake sing nyedhiyakake sawetara informasi dhasar lan mbisakake pangguna kanggo mlebu - Waca "Akses Awal" ing kaca 13.
Pangguna sing mlebu bakal dianggep minangka pangguna sing wis mlebu - Waca "Panganggo sing mlebu" ing kaca 14. lan pangguna sing ngakses web kaca tanpa mlebu bakal diwenehi akses kaya sing diterangake ing "Akses Awal" ing kaca 13.

Akses Awal
Nalika controller kang web server pisanan diakses kaca Welcome ditampilake lan akses diwenehi gumantung konfigurasi keamanan controller saiki:

• Ora ana Akun Sistem Teknik lan ora ana modul pangguna (standar pabrik)
• Kaca 'Welcome' ditampilake lan akses lengkap menyang controller web kaca lan kemampuan kanggo nggawe owah-owahan bakal diwenehi.

CATETAN
Amarga ora ana Akun Sistem Teknik utawa modul pangguna, mula ora bisa mlebu.

Akun Sistem Teknik lan ora ana modul pangguna
Kaca 'Welcome' ditampilake, lan controller mung bakal menehi akses menyang Sensor, Input Digital, Knob, Switch, Driver, Jadwal, Jadwal Wektu, Wektu, modul Plot, Log Weker, lan Graphics lan ora ngidini owah-owahan.

CATETAN
Sampeyan bisa mlebu nggunakake Akun Sistem Teknik.

• Akun Sistem Teknik lan modul pangguna
  Tampilan awal lan akses dikontrol dening modul Pangguna. Yen ana modul Panganggo disebut 'Tamu' tanpa sandi nalika Advanced Controller web kaca sing diakses tanpa mlebu ing controller bakal menehi hak akses (tingkat pangguna, kaca ngarep, lan view standar) sing ditemtokake dening modul Panganggo 'Tamu'.
  Kanthi gawan, modul Panganggo 'Tamu' mung menehi akses menyang kaca 'Welcome' Lanjut lan nduweni level pangguna '0'. Iki tegese pangguna ngakses controller tanpa mlebu log mung bakal bisa view kaca 'Welcome'. Kanggo menehi akses luwih akeh pangguna 'Tamu' bisa dikonfigurasi kanthi cara sing padha karo Modul Panganggo Tipe 0 liyane.

CATETAN:
Meja kerja Niagara nyegah pangguna 'Tamu' diwenehi sandhi, PIN, utawa tingkat pangguna sing luwih dhuwur tinimbang '0'. Iku ngidini kaca ngarep lan view standar kanggo dikonfigurasi.

Disaranake banget yen pangguna Tamu ditinggalake karo konfigurasi standar (tingkat pangguna '0' lan ora view hak).
Yen ora ana modul Panganggo sing disebut 'Tamu' utawa wis dikonfigurasi nganggo sandhi, kaca 'Welcome' ditampilake, lan pengontrol mung bakal menehi akses menyang Sensor, Input Digital, Knob, Ngalih, Driver, Jadwal, Jadwal, Wektu, modul Plot, Log Alarm, lan Grafik lan ora ngidini owah-owahan.

CATETAN
Sampeyan bisa mlebu nggunakake Akun Sistem Teknik lan modul pangguna sing ana.

Pangguna mlebu
Kanggo mlebu menyang Pengontrol Lanjut web kaca jeneng pangguna lan sandhi sing cocog karo salah siji saka Akun Sistem Teknik Kontrol Lanjut utawa Ketik 0 Modul pangguna kudu dilebokake.

Sandi Recovery
Yen pangguna wis lali sandi bisa mbalekake kanthi nggunakake workbench Niagara. Kanggo rincian mbalekake sandi lali nggunakake Niagara ndeleng Niagara workbench Pandhuan pangguna.

Ngamanake SISTEM OPERASI NIAGARA

 Praktek Umum Umum
Tindakake praktik apik umum kanggo ngamanake sistem operasi kayata:

• Screen saver sing dilindhungi sandhi
• Piranti lunak enkripsi drive

Setelan Firewall
Sistem operasi kudu dikonfigurasi kanggo nggunakake firewall sing dianyari kanthi otomatis. Konfigurasi kudu nyegah akses (IN / OUT) kanggo kabeh port kajaba sing akses dibutuhake, AJA ninggalake port sing ora digunakake mbukak.

Versi Sistem Operasi
Sampeyan kudu mesthekake yen piranti apa wae sing nganggo aplikasi Niagara utawa disambungake menyang jaringan IP sing padha duwe nganyari sistem operasi paling anyar sing diinstal. Praktek sing apik kanggo mesthekake yen Pembaruan Windows ditinggalake kanthi otomatis lan diinstal kanthi pas wektune.

Pangayoman saka virus
Sampeyan kudu mesthekake yen komputer apa wae sing nganggo aplikasi Niagara utawa disambungake menyang jaringan IP sing padha nganggo piranti lunak proteksi virus, lan definisi virus tetep anyar.

 Perlindhungan Intrusion
Disaranake nggunakake Intrusion Detection System (IDS) saka panyedhiya produk keamanan sing terkenal ing komputer apa wae sing nganggo aplikasi Niagara. Tindakake praktik paling apik kanggo produk sing dipilih uga kabijakan IT perusahaan ing ngendi instalasi digawe.
Akeh produk IDS lan firewall nawakake solusi lengkap kanggo ngrekam kabeh lalu lintas sing mlebu lan metu saka komputer, nyedhiyakake pangguna kemampuan kanggo ngrekam kabeh kegiatan ing tingkat paling murah.

PERATURAN PROTEKSI DATA UMUM (GDPR)

Peraturan Perlindungan Data Umum (EU) 2016/679 (GDPR) minangka peraturan ing hukum EU babagan proteksi lan privasi data kanggo kabeh warga individu Uni Eropa (EU) lan Wilayah Ekonomi Eropa (EEA). Iki uga alamat transfer data pribadhi ing njaba wilayah EU lan EEA. GDPR ngemot pranata lan syarat sing ana gandhengane karo pangolahan data pribadhi individu (subjek data) ing EEA lan ditrapake kanggo perusahaan apa wae sing diadegake ing EEA (preduli saka lokasi lan kewarganegaraan subyek data) utawa sing ngolah informasi pribadhi subyek data ing EEA.
Miturut syarat data pribadhi GDPR kalebu informasi apa wae sing bisa digunakake kanggo ngenali individu. Iki kalebu (nanging ora winates ing):

• jeneng panganggo,
• tembung sandhi,
• nomer telpon,
• alamat email,
• alamat kerja utawa omah.

Informasi apa wae sing dilebokake ing Advanced Controller, HMI, lan Modul IO dienkripsi lan disimpen ing produk Lanjut ing papan pelanggan. Honeywell ora duwe keterlibatan karo panyimpenan lan/utawa pangolahan data pribadhi ing produk Advanced Honeywell.
Tanggung jawab kanggo tundhuk karo syarat GDPR dumunung ing integrator sistem utawa administrator sistem lan, kanthi mangkono, kudu mesthekake yen sistem teknis lan organisasi sing nyukupi kanggo:

• entuk idin sing jelas saka saben subyek data supaya data pribadhi disimpen, digunakake lan/utawa diproses,
• ngidini individu duwe akses menyang data pribadhi kanggo verifikasi akurasi,
• ngidini individu mbatalake idin sawayah-wayah lan data pribadhi bakal dibusak kanthi permanen,
• njaga keamanan lan integritas panyimpenan lan akses data sawayah-wayah,
• laporake apa wae pelanggaran keamanan data (sing bisa mengaruhi privasi pangguna) menyang panguwasa sing relevan sajrone 72 jam sawise pelanggaran kasebut.

KOMUNIKASI AMAN

Infrastruktur Kunci Umum (PKI) ndhukung distribusi lan identifikasi kunci enkripsi umum sing digunakake kanggo nglindhungi ijol-ijolan data liwat jaringan, kayata Internet. PKI verifikasi identitas pihak liyane lan encode transmisi data sing nyata. Verifikasi identitas nyedhiyakake jaminan identitas server sing ora ditolak. Enkripsi nyedhiyakake rahasia sajrone transmisi jaringan. Mbutuhake modul kode mlebu mesthekake yen mung kode samesthine mlaku ing sistem.

Kanggo nyedhiyakake jaringan aman nggunakake PKI, Niagara ndhukung protokol TLS (Transport Layer Security), versi 1.0, 1.1 lan 1.2. TLS ngganti sawijining leluhur, SSL (Secure Sockets Layer).
Saben instalasi Niagara kanthi otomatis nggawe sertifikat standar, sing ngidini sambungan langsung ndhelik. Nanging, sertifikat kasebut ngasilake bebaya ing browser lan Workbench lan umume ora cocog kanggo pangguna pungkasan. Nggawe lan mlebu sertifikat digital khusus ngidini panggunaan TLS kanthi lancar ing browser, lan nyedhiyakake enkripsi uga otentikasi server.
Ngluwihi keamanan komunikasi, saben modul kode komputer sing mlaku ing sistem kasebut dilindhungi kanthi tandha digital. Objek program sing ditambahake mbutuhake teken iki utawa ora bisa mlaku.

Verifikasi server, enkripsi transmisi lan mesthekake yen mung kode sing ditandatangani ora ngamanake data sing disimpen ing piranti panyimpenan. Sampeyan isih kudu matesi akses fisik menyang komputer lan pengontrol sing ngatur model bangunan, nyiyapake otentikasi pangguna kanthi sandhi sing kuat, lan ngamanake komponen kanthi ngontrol ijin.
Niagara ndhukung lan nggunakake komunikasi aman lan kode mlebu minangka standar. Sampeyan ora perlu tuku lisensi tambahan.
Keamanan minangka keprihatinan sing terus-terusan. Nalika sampeyan bakal nemokake akeh informasi terkenal ing topik komunikasi aman, nyana mangsa nganyari lan owah-owahan.
Ing ngisor iki ana komunikasi sing aman. Kanggo rincian liyane waca pandhuan Keamanan Stasiun Niagara.

• Hubungan klien / server
• Sertifikat
• Toko sertifikat
• Struktur folder CSR
• Sertifikat diatur
• Wisaya Sertifikat
• Teken pirang-pirang sertifikat
• Konfigurasi komunikasi platform sing aman
• Konfigurasi komunikasi stasiun aman
• Ngaktifake klien lan ngatur kanggo port sing bener
• Nginstal salinan stasiun ing platform liyane
• Ngamanake email
• Ngatasi masalah komunikasi sing aman

Hubungan klien / server
Hubungan klien / server ngenali sambungan sing mbutuhake proteksi. Hubungan klien / server Workbench beda-beda gumantung carane sampeyan ngatur lan nggunakake sistem. Workbench tansah klien. A platform tansah server. Stasiun bisa dadi klien lan server.
Protokol sistem sing ngatur komunikasi yaiku:

• Sambungan platform saka Workbench (klien) kanggo controller utawa Supervisor PC platform daemon (server) nggunakake Niagara. Sambungan platform sing aman kadhangkala diarani minangka platformtls. Sampeyan ngaktifake platformtls nggunakake Administrasi Platform view.
• Sambungan stasiun lokal (Supervisor lan platform) nggunakake Foxs. Sampeyan ngaktifake sambungan kasebut ing FoxService stasiun (Konfigurasi> Layanan> FoxService).
• Sambungan browser nggunakake Https, uga Foxs yen sampeyan nggunakake Web Launcher karo WbWebProfile. Sampeyan ngaktifake sambungan iki nggunakake stasiun kang WebLayanan (Konfigurasi > Layanan > WebLayanan).
• Sambungan klien menyang server email stasiun, yen ana. Sampeyan ngaktifake email aman nggunakake EmailService stasiun (Config> Services> EmailService).

SERTIFIKAT
Sertifikat minangka dokumen elektronik sing nggunakake tandha digital kanggo ngiket kunci umum karo wong utawa organisasi. Sertifikat bisa digunakake kanggo macem-macem tujuan gumantung carane sampeyan ngatur properti Panggunaan Kunci sertifikat. Tujuan utamane ing sistem iki yaiku kanggo verifikasi identitas server supaya komunikasi bisa dipercaya. Kanggo rincian liyane, waca Pandhuan Keamanan Stasiun Niagara - Sertifikat.
Niagara ndhukung jinis sertifikat iki:

• Sertifikat CA (Otoritas Sertifikat) minangka sertifikat sing ditandatangani dhewe sing dadi milik CA. Iki bisa dadi pihak katelu utawa perusahaan sing dadi CA dhewe.
• Sertifikat CA ROOT minangka sertifikat CA sing ditandatangani dhewe sing kunci pribadi digunakake kanggo mlebu sertifikat liyane nggawe wit sertifikat sing dipercaya. Kanthi kunci pribadi, sertifikat CA ROOT bisa diekspor, disimpen ing USB thumb drive ing lemari besi, lan digawa metu mung nalika sertifikat kudu ditandatangani. Kunci pribadi sertifikat CA ROOT mbutuhake nggawe sandhi ing ekspor lan panyedhiya sandhi sing padha nalika sampeyan nggunakake kanggo mlebu sertifikat liyane.
• Certificate Intermediate minangka sertifikat CA sing ditandatangani dening sertifikat CA ROOT sing digunakake kanggo mlebu sertifikat server utawa sertifikat CA penengah liyane. Nggunakake sertifikat penengah ngisolasi klompok sertifikat server.
• Sertifikat Server nggambarake sisih server saka sambungan sing aman. Nalika sampeyan bisa nyiyapake sertifikat kapisah kanggo saben protokol (Foxs, Https, Webs). Nalika sampeyan bisa ngatur platform lan stasiun (minangka server) karo sertifikat server kapisah, kanggo gamblang paling sistem biasane nggunakake certificate server padha.
• Sertifikat tandha kode minangka sertifikat sing digunakake kanggo mlebu obyek lan modul program. Sistem integrator nggunakake sertifikat iki kanggo nyegah introduksi kode angkoro nalika ngatur framework.

Sertifikat sing ditandatangani dhewe
Sertifikat sing ditandatangani dhewe yaiku sing ditandatangani kanthi gawan nggunakake kunci pribadhi dhewe tinimbang kunci pribadhi saka sertifikat CA root (Otoritas Sertifikat).
Sistem kasebut ndhukung rong jinis sertifikat sing ditandatangani dhewe:

• Sertifikat CA ROOT dipercaya kanthi implisit amarga ora ana wewenang sing luwih dhuwur tinimbang CA (Otoritas Sertifikat) sing duwe sertifikat iki. Mulane, CA, sing bisnis kanggo nyetujoni sertifikat wong liya, njaga sertifikat CA ROOT lan kunci pribadi. Kajaba iku, yen perusahaan sampeyan dadi CA dhewe, sampeyan kudu njaga sertifikat CA root sing sampeyan gunakake kanggo mlebu sertifikat liyane.
• Sertifikat sing ditandatangani kanthi standar: Sepisanan sampeyan miwiti conto Workbench, platform utawa stasiun sawise instalasi (commissioning), sistem nggawe sertifikat server sing ditandatangani dhewe kanthi alias tridium.

CATETAN:
Aja ngekspor sertifikat iki lan ngimpor menyang toko ing platform utawa stasiun liyane. Sanajan bisa, tumindak kasebut nyuda keamanan lan nambah kerentanan.
Kanggo nyilikake risiko serangan man-in-the-middle nalika nggunakake sertifikat sing ditandatangani dhewe, kabeh platform sampeyan kudu ana ing jaringan pribadi sing aman, offline, lan tanpa akses umum saka Internet.

AWAS
Kanggo nggunakake sertifikat sing ditandatangani dhewe, sadurunge ngakses platform utawa stasiun saka Workbench sapisanan, priksa manawa komputer lan platform kasebut ora ana ing jaringan perusahaan utawa Internet. Sawise pedhot, sambungake komputer langsung menyang platform, bukak platform saka Workbench, lan sarujuk sertifikat sing ditandatangani dhewe. Mung banjur sampeyan kudu nyambungake maneh platform menyang jaringan perusahaan.

Konvensi jeneng
Toko Kunci Pangguna, Toko Kepercayaan Pengguna, lan Toko Kepercayaan Sistem dadi inti konfigurasi kasebut. Sertifikat katon meh padha, lan macem-macem sertifikat sing ditandatangani dhewe standar dijenengi kanthi identik.

Toko sertifikat
Manajemen sertifikat nggunakake papat toko kanggo ngatur sertifikat: Toko Kunci Pangguna, Toko Kepercayaan Sistem, Toko Kepercayaan Pangguna lan dhaptar Host sing Diidini.
Toko Kunci pangguna digandhengake karo sisih server hubungan klien-server. Toko iki duwe sertifikat, saben duwe kunci umum lan pribadi. Kajaba iku, toko iki ngemot sertifikat sing ditandatangani dhewe sing wiwitane digawe nalika sampeyan miwiti Workbench utawa miwiti platform kanggo pisanan.
Toko Kepercayaan Pengguna lan Sistem digandhengake karo sisih klien saka hubungan klien-server. Toko Sistem Trust wis diisi karo sertifikat umum standar: sertifikat CA root saka Otoritas Sertifikat sing kondhang, kayata VeriSign, Thawte lan Digicert. Toko Trust Panganggo duwe sertifikat CA root lan intermediate kanggo perusahaan sing dadi wewenang sertifikat dhewe.
Dhaptar Hosts sing Diidini ngemot sertifikat server sing ora ana sertifikat CA ROOT sing dipercaya ing Sistem klien utawa Toko Trust Panganggo, nanging sertifikat server wis disetujoni kanggo digunakake. Iki kalebu server sing jeneng host server ora padha karo Jeneng Umum ing sertifikat server. Sampeyan nyetujoni panggunaan sertifikat kasebut kanthi basis individu. Nalika komunikasi aman, luwih becik nggunakake sertifikat server sing ditandatangani.

Enkripsi
Enkripsi yaiku proses enkoding transmisi data supaya ora bisa diwaca dening pihak katelu sing ora dipercaya. TLS nggunakake enkripsi kanggo ngirim data antarane klien lan server. Nalika sampeyan bisa nggawe sambungan sing ora dienkripsi mung nggunakake protokol rubah utawa http, sampeyan dianjurake supaya ora nguber pilihan iki. Tanpa enkripsi, komunikasi sampeyan bisa kena serangan. Tansah nampa sambungan Foxs utawa Https standar.

DASHBOARD KEAMANAN OVERVIEW
Ing Niagara 4.10u5 lan mengko, fitur Dashboard Keamanan nyedhiyakake (kanggo admin lan pangguna sah liyane) mripat manuk. view konfigurasi keamanan stasiun sampeyan. Iki ngidini sampeyan kanthi gampang ngawasi konfigurasi keamanan ing akeh layanan stasiun, lan ngenali kelemahan konfigurasi keamanan ing stasiun.

AWAS
Dashboard Keamanan View bisa uga ora nampilake kabeh setelan keamanan bisa, lan ora kudu dianggep minangka njamin sing kabeh wis diatur kanthi aman. Utamane, modul pihak katelu bisa uga duwe setelan keamanan sing ora ndhaptar ing dashboard.

Dashboard Keamanan view punika utama view ing SecurityService stasiun. Ing view menehi tandha marang kelemahane keamanan kayata setelan kekuatan sandi sing kurang; sertifikat kadaluwarsa, ditandatangani dhewe utawa ora sah; protokol transportasi unencrypted, etc., nuduhake wilayah ngendi konfigurasi kudu luwih aman. Data liyane sing dilaporake kalebu: kesehatan sistem, jumlah akun sing aktif, akun sing ora aktif, jumlah akun sing duwe ijin pangguna super, lsp. Opsional, atribut "sistem" ing fitur lisensi "securityDashboard" bisa disetel dadi "bener" kanggo ngaktifake Sistem View saka stasiun kang menehi rincian keamanan kanggo saben stasiun bawahan ing NiagaraNetwork.
Dashboard Keamanan minangka sing utama view kanggo Layanan Keamanan. Kanggo rincian lengkap ing view, Waca "nss-SecurityDashboardView” ing Pandhuan Keamanan Stasiun Niagara.

PLANNING lan INSTALASI

Bagean iki kalebu informasi kanggo planning lan nindakake instalasi Advanced Plant Controller.

Dianjurake instalasi lan konfigurasi
Bagean ing ngisor iki nggambarake rong konfigurasi instalasi sing disaranake.

• BACnetTM mung
• BACnetTM lan Niagara

BACnetTMBACnetTM mung
Nalika Advanced Plant Controller mung digunakake kanggo komunikasi BACnetTM, sambungake mung Ethernet 1 menyang jaringan BAS ing ngendi BACnetTM (BACnetTM/IP utawa BACnetTM/Ethernet) bakal mlaku.

BACnetTM lan Niagara
Nalika Niagara digunakake ing Advanced Plant Controller, bisa diatur kanggo nyedhiyani layanan, kayata web layanan utawa Niagara FOXS, menyang Internet / intranet / jaringan perusahaan. Yen ngono, sambungake Ethernet 2 menyang jaringan Internet / intranet / perusahaan liwat firewall BAS kanggo nyedhiyakake layanan menyang jaringan kasebut.

Rekomendasi Jaringan Area Lokal (LAN).
Mesthekake yen sistem beroperasi kanthi kabijakan sandhi sing cocog kanggo akses pangguna menyang kabeh layanan. Pedoman iki kalebu, nanging ora diwatesi ing:

1. Panggunaan sandhi sing kuwat.
2. A wektu siklus sandi dianjurake.
3. Jeneng pangguna lan sandhi unik kanggo saben pangguna sistem.
4. Aturan pambocoran sandhi.
5. Yen akses remot menyang sistem kontrol bangunan basis IT dibutuhake, gunakake teknologi VPN (Virtual Private Network) kanggo nyuda resiko intersepsi data lan nglindhungi piranti kontrol supaya ora langsung diselehake ing Internet.

DOKUMENTASI

Dokumentasi penting kanggo njupuk informasi desain lan konfigurasi sing dibutuhake kanggo njaga sistem sing aman.

Dokumentasi piranti lan konfigurasi fisik, kalebu informasi kunci sing gegandhengan karo keamanan
Kabeh dokumentasi ing piranti lan konfigurasi kudu nyakup informasi sing gegandhengan karo keamanan kanggo netepake lan njaga kontrol keamanan sing dituju. Kanggo example, yen owah-owahan kanggo layanan gawan utawa bandar digawe ing Advanced Plant Controller, banjur cetha document iki supaya setelan bisa dibalèkaké ing sawetara titik ing mangsa.

Dokumen sistem eksternal, utamane interaksi antarane Advanced Plant Controller lan sistem sing gegandhengan
BAS biasane mbutuhake utawa nggunakake sistem eksternal kanggo fungsional, kayata infrastruktur jaringan sing wis ana, akses VPN, host mesin virtual, lan firewall. Yen BAS mbutuhake sistem kasebut dikonfigurasi kanthi cara tartamtu kanggo keamanan, kayata firewall sing ngidini utawa nolak port tartamtu utawa jaringan sing ngidini akses menyang sistem tartamtu, mula sampeyan kudu nyathet informasi kasebut. Yen sistem iki kudu dibalèkaké ing sawetara titik ing mangsa, Example: amarga gagal peralatan, utawa owah-owahan kudu digawe kanggo sistem external, Example: nganyarke firewall, wis nyathet informasi iki bakal mbantu mulihake menyang tingkat keamanan sadurungé.

KONTROL AKSES lan KEAMANAN FISIK
Kontrol akses kalebu nemtokake lan matesi akses menyang piranti utawa fungsi mung kanggo pangguna sing sah.

Ngamanake Advanced Plant Controller, HMI, lan Modul IO kanthi fisik
Nyegah akses ora sah menyang peralatan jaringan sing digunakake bebarengan karo sistem sing diwenehake dening Honeywell. Kanthi sistem apa wae, nyegah akses fisik menyang jaringan lan peralatan nyuda risiko gangguan sing ora sah. Praktek paling apik keamanan karo instalasi IT bakal mesthekake yen kamar server, panel patch, lan peralatan IT ana ing kamar sing dikunci. Peralatan Honeywell kudu dipasang ing lemari kontrol sing dikunci, sing ana ing kamar tanduran sing aman.

Stiker liwat panel akses controller utawa pager
Aplikasi ingampstiker sing jelas ing panel akses utawa enclosure Advanced Plant Controller, HMI, lan Modul IO
Yen pelanggan mbutuhake jaminan tambahan yen akses fisik sing nglindhungi Advanced Plant Controller, HMI, lan Modul IO durung dilebokake, banjur instal ingampsegel utawa stiker sing jelas ing titik akses.

Pisah lan nglindhungi jaringan

1. Gunakake firewall antarane jaringan Internet/intranet/perusahaan lan BAS.
2. Gunakake jaringan fisik khusus sing kapisah (kabel kapisah) utawa jaringan virtual (VLAN) kanggo komunikasi BACnetTM. Iki kudu dadi jaringan sing kapisah saka Internet / intranet / jaringan perusahaan.
3. Aja nyambungake EN2 ing Advanced Plant Controller menyang jaringan apa wae kajaba sampeyan butuh layanan Niagara (Platform, Stasiun, lan/utawa Webserver). Yen sampeyan kudu nyambungake EN2 menyang jaringan Internet/intranet/perusahaan, mula sampeyan kudu nggunakake firewall BAS eksternal ing antarane Advanced Plant Controller lan jaringan Inter-net/intranet/corporate.

Keamanan Nirkabel

1. Pangguna kudu review keamanan jaringan nirkabel adhedhasar topologi jaringan, mesthekake ora ana paparan sing ora disengaja menyang INTERNET umum lan proteksi firewall BAS ora dilewati.
2. Penting kanggo nggunakake teknologi keamanan nirkabel sing paling dhuwur, kayata WPA2 utawa WPA3. Kajaba iku, pangguna kudu nglindhungi sandhi kanthi aman, kalebu nanging ora diwatesi karo sandhi Wi-Fi lan kode PIN BluetoothTM. Aja ngidini pengontrol nyambung menyang jaringan nirkabel sing mbukak utawa nyetel jalur akses nirkabel sing mbukak.
3. Tansah supaya ora nyambungake piranti sing ora sah menyang jaringan nirkabel utawa nggawe sambungan BluetoothTM kanggo nyegah eksploitasi potensial.
4. Iku tanggung jawab pangguna kanggo re ajegview setelan keamanan, ngganti sandhi utawa sandhi miturut kabijakan keamanan, lan ngawasi piranti sing kasambung ing jaringan nirkabel lan subnet. Pangguna uga kudu nyathet kegiatan audit kasebut.

Ngamanake MODUL KONTROL LANJUTAN, HMI, lan IO

1. Kredensial Akun Sistem Admin Disedhiyakake kanggo Pangguna Situs
   Kredensial Akun Sistem 'Admin' kudu diwenehake marang pemilik situs supaya bisa ngatur Akun Sistem.
2. Ngembangake Program Keamanan
   Waca 'Praktik Paling Apik Keamanan Umum'
3. Pertimbangan Fisik lan Lingkungan
   Modul Pengontrol Lanjut, HMI, lan IO kudu dipasang ing lingkungan sing dikunci, contone, ing ruangan tanduran sing aman, utawa lemari sing dikunci.

CATETAN
Mesthekake ventilasi sing cukup.

Nganyari Keamanan lan Paket Layanan
Priksa manawa Modul Pengontrol Lanjut, HMI, lan IO mbukak rilis perangkat kukuh paling anyar.

Pangguna & SAndhi

Pangguna
Priksa manawa jumlah pangguna lan tingkat akses sing diwenehake cocog kanggo aktivitas sing kudu ditindakake.

• Ing tingkat piranti controller ngatur akun sistem utawa pangguna ing pengontrol kanggo Web klien, Supervisor lan akses Peer-to-peer.
  Ngonfigurasi modul Pangguna ing pengontrol Lanjut, iki tegese pangguna kudu mlebu menyang piranti kanthi kredensial sing bener sadurunge pangaturan bisa ditindakake. Priksa manawa hak akses sing cocog ditugasake kanggo akun sistem lan pangguna.
• Gunakake Akun Beda kanggo Saben Pangguna
  Gunakake jeneng lan sandhi unik kanggo saben pangguna / akun ing sistem, tinimbang akses umum. Wong sing beda ora kudu nuduhake akun sing padha. Kanggo exampNanging, tinimbang akun 'manajer' umum sing bisa digunakake para manajer, saben manajer kudu duwe akun sing kapisah.

Ana akeh alasan kanggo saben pangguna duwe akun dhewe:

Yen saben wong duwe akun dhewe, log audit bakal luwih informatif. Bakal gampang kanggo nemtokake persis pangguna sing nindakake apa. Iki bisa mbantu ndeteksi yen akun wis dikompromi.

CATETAN
Ora kabeh produk duwe fasilitas log audit, nanging yen kasedhiya, ora kudu dipateni.

• Yen akun dibusak utawa diowahi, ora bakal ngganggu akeh wong. Kanggo exampNanging, yen wong kudu ora duwe akses maneh, mbusak akses individu iku prasaja. Yen akun sing dienggo bareng, pilihan mung ngganti tembung sandhi lan ngabari kabeh wong, utawa mbusak akun kasebut lan ngabari kabeh wong. Ninggalake akun kaya-kaya ora dadi pilihan - tujuane kanggo mbatalake akses kasebut.
• Yen saben wong duwe akun dhewe, luwih gampang ngatur ijin supaya bisa nyukupi kabutuhan. Akun sing dienggo bareng bisa nyebabake wong duwe ijin luwih akeh tinimbang sing kudune.
  Akun sing dienggo bareng tegese tembung sandhi sing dienggo bareng. Iku praktik keamanan sing ala banget kanggo nuduhake sandhi. Iku ndadekake luwih kamungkinan kanggo sandhi bocor, lan nggawe luwih angel kanggo ngleksanakake laku sandi paling apik tartamtu, kayata sandi kadaluwarsa.
• Panggunaan Pangguna Teknik Unik kanggo Proyek
  Praktek umum yen sawetara perusahaan nggunakake rincian akun sing padha ing saben proyek. Sawise iki dikenal yen siji sistem dikompromi, panyerang bisa duweni kredensial kanggo ngakses akeh proyek liyane sing diinstal dening perusahaan sing padha.
• Pateni Akun sing Dikenal Yen Bisa
  Sawetara produk duwe akun standar. Iki kudu dikonfigurasi supaya sandhi ora dadi standar maneh.
• Temtokake Idin Minimal sing Dibutuhake kanggo pangguna
  Priksa manawa mung akun sing dibutuhake sing disetel ing sistem kanthi tingkat keamanan minimal sing dibutuhake tinimbang akses lengkap. Nalika nggawe akun anyar, pikirake apa sing kudu ditindakake wong ing sistem kasebut, banjur wenehake ijin minimal sing dibutuhake kanggo nindakake proyek kasebut. Kanggo exampNanging, wong sing mung kudu ndeleng weker ora perlu akses administrator. Menehi ijin sing ora dibutuhake nambah kemungkinan nglanggar keamanan. Pangguna bisa kanthi ora sengaja (utawa kanthi sengaja) ngganti setelan sing ora kudu diganti.
• Gunakake Nomer Minimum Kemungkinan saka akun Administrator Sistem
  Mung wenehi ijin Administrator Sistem yen pancen perlu. Akun jinis iki minangka akun sing kuat banget - ngidini akses lengkap menyang kabeh. Mung administrator sistem sing duwe akses menyang akun kasebut. Uga mikir babagan nyedhiyakake Administrator Sistem rong akun, siji kanggo akses saben dina kanggo ngatur aktivitas saben dina, lan akun akses tingkat dhuwur kapindho sing mung dibutuhake nalika owah-owahan jinis administrasi dibutuhake.

Tembung sandhi
Sistem lan sistem operasi Niagara nggunakake produk Advanced Honeywell nggunakake tembung sandhi kanggo otentikasi 'pangguna' dadi Supervisor, Tampilan, Alat utawa sistem Operasi. Penting banget kanggo nangani sandhi kanthi bener. Ora nggunakake tingkat keamanan paling awal iki tegese sapa wae sing ngakses sistem liwat tampilan, web klien utawa supervisor bakal duwe akses kanggo nggawe pangaturan. Priksa manawa sistem Niagara beroperasi kanthi kabijakan sandhi sing cocog kanggo akses pangguna, pedoman iki kalebu, nanging ora diwatesi ing:

• Panggunaan sandhi sing kuwat - Sandhi sing kuat kudu digunakake. Deleng standar keamanan paling anyar kanggo rincian babagan apa sing nggawe tembung sandhi sing kuwat.
• A wektu siklus sandi dianjurake - Sawetara produk Niagara ngidini administrator sistem kanggo nemtokake wektu sawise sandi kudu diganti. Sanajan ora kabeh produk saiki ngetrapake wektu pangowahan tembung sandhi iki, kabijakan situs bisa menehi rekomendasi babagan iki.
• Aturan pambocoran tembung sandhi - Pangguna kudu mesthekake yen dheweke ora ngandhani rincian jeneng pangguna lan sandhi, marang wong liya lan ora nulis.

KONFIGURING KONTROL TANAMAN ADVANCED
Kanggo konfigurasi saka controller tanduran majeng, Waca Instruksi Instalasi lan Commissioning Guide
(31-00584). Waca HMI Driver guide (31-00590) kanggo HMI, lan Panel Bus Driver Guide (31-00591) kanggo modul IO.

Nggawe lan njaga konfigurasi dhasar
Nggawe lan njaga garis dasar konfigurasi Advanced Plant Controller sing wis dikonfigurasi kanthi bener kanggo keamanan. Priksa manawa garis dasar iki uga kalebu DCF files lan komponen Niagara. Aja nindakake konfigurasi sing ora aman ing garis dasar kanggo nyegah aplikasi kasebut kanthi ora sengaja ing mangsa ngarep. Nganyari dokumentasi sing relevan nalika konfigurasi diganti.

 Ngganti sandhi standar
Ngganti kabeh sandhi standar: sandhi Konfigurasi Konsol, sandhi serep / Mulihake / Wiwiti maneh / Kontrol, lan sandhi Niagara Platform. Nalika ngrampungake komisioning, priksa manawa piranti kasebut dilindhungi sandhi. Priksa manawa level pangguna sing cocog ditugasake kanggo pangguna situs.

Pertimbangan Luwih

Perjanjian Tingkat Layanan
Nganggo kabijakan nganyari sing cocog kanggo infrastruktur sing dipasang ing situs kasebut minangka bagean saka persetujuan tingkat layanan. Kabijakan iki kudu kalebu, nanging ora diwatesi, nganyari komponen sistem ing ngisor iki menyang rilis paling anyar:

• Perangkat kukuh kanggo controller, modul IO, HMI, etc.;
• Piranti lunak supervisor, kayata piranti lunak Arena NX;
• Sistem operasi Komputer/Server;
• Infrastruktur jaringan lan sistem akses remot apa wae.

konfigurasi jaringan IT
Konfigurasi jaringan IT sing kapisah kanggo sistem kontrol otomatis lan Jaringan IT perusahaan pelanggan. Iki bisa digayuh kanthi ngonfigurasi VLAN (Virtual LAN) ing infrastruktur IT pelanggan utawa kanthi nginstal infrastruktur jaringan kapisah sing disedhiyakake kanggo sistem kontrol otomatisasi.
Nalika interfacing karo pengontrol nggunakake supervisor sistem terpusat (Example: Niagara) lan ing ngendi sistem ora mbutuhake akses langsung menyang piranti individu web server, infrastruktur jaringan kudu diatur kanggo matesi web akses server.
VLAN dinamis nggunakake alokasi alamat MAC bisa nglindhungi saka sambungan ora sah saka piranti menyang sistem lan bisa nyuda resiko gadhah informasi ngawasi individu ing jaringan.

KONFIGURING THE BAS FIREWALL

Tabel ing ngisor iki njlèntrèhaké port jaringan sing digunakake ing Advanced Plant Controller. Waca Rujuk menyang "System Overview” ing kaca 8. kanggo mantanamparsitektur instalasi. Tabel kasebut nduweni kolom ing ngisor iki:

• Port Default lan Protokol (TCP utawa UDP)
• Tujuan saka pelabuhan
• Apa port standar kudu diganti utawa ora
• Apa sambungan mlebu utawa lalu lintas kudu diidini liwat BAS Firewall
• Cathetan tambahan kapacak ing ngisor tabel

Tabel 2 Konfigurasi firewall BAS

Default Port / Protokol	tujuane	Ganti Saka Default?	Ngidini Liwat BAS Firewall?	Cathetan
80 / TCP	HTTP	Ora	Ora
443 / TCP	HTTPs	Ora	Bisa uga, yen web akses saka Internet / intranet / jaringan perusahaan dibutuhake.	1
1911 / TCP	Fox (versi non-aman protokol aplikasi Niagara)	ya wis	Ora
4911 / TCP	Fox + SSL (versi aman saka protokol aplikasi Niagara)	ya wis	Ora
3011 / TCP	NiagaraD (versi non-aman protokol platform Niagara)	ya wis	Ora
5011 / TCP	NiagaraD + SSL (versi aman saka protokol platform Niagara)	ya wis	Ora
2601 / TCP	Port konsol Zebra	Ora	Ora	2
2602 / TCP	RIP konsol port			2
47808/UDP	Sambungan jaringan BACnetTM/IP	ya wis	Ora	3

CATETAN

1. Yen remote langsung web antarmuka panganggo didhukung, banjur port iki kudu diijini liwat firewall BAS.
2. Port dibukak kanthi otomatis dening daemon iki lan fungsi iki ora bisa dipateni. Daemon dikonfigurasi supaya ora ngidini login liwat port iki.
3. Tindakake pedoman konfigurasi jaringan sing kasebut ing manual iki supaya Advanced Plant Controller ora perlu ngliwati lalu lintas UDP liwat firewall BAS.

SETTING UP AUTHENTICATION

Skema Otentikasi Google minangka mekanisme otentikasi rong faktor sing mbutuhake pangguna nglebokake sandhi lan uga token siji-sijine nalika mlebu menyang stasiun. Iki nglindhungi akun pangguna sanajan tembung sandhine dikompromi.
Skema otentikasi iki gumantung marang TOTP (Sandhi OneTime basis wektu) lan aplikasi Google Authenticator ing piranti seluler pangguna kanggo ngasilake lan verifikasi token otentikasi siji-siji. Otentikasi Google adhedhasar wektu, mula ora ana ketergantungan ing komunikasi jaringan antarane piranti seluler pangguna, Stasiun, utawa Server eksternal. Wiwit authenticator adhedhasar wektu, wektu ing stasiun lan wektu ing telpon kudu tetep sinkron. App menehi buffer plus utawa minus 1.5 menit kanggo akun jam skew.
Prasyarat: Ponsel pangguna mbutuhake aplikasi Google Authentication. Sampeyan lagi kerja ing Workbench. Pangguna ana ing database stasiun.

tata cara

1. Bukak palet gauth lan tambahake GoogleAuthenticationScheme menyang Layanan> Authenticationservice node ing wit Nav.
2. Klik-tengen Userservice, lan klik kaping pindho pangguna ing tabel. Suntingan view kanggo pangguna mbukak.
3. Konfigurasi properti Jeneng Skema Authentication menyang GoogleAuthenticationScheme banjur klik Simpen.
4. Klik tombol ing jejere Kunci rahasia ing authenticator pangguna lan tindakake pituduh.
5. Kanggo ngrampungake konfigurasi, klik Simpen. Gumantung ing view sampeyan nggunakake, sampeyan bisa uga kudu mbukak pangguna maneh utawa refresh sawise nyimpen.

PENGIRIMAN SISTEM
Bagean iki ngemot informasi sing kudu diwenehake nalika BAS dikirim menyang pemilik sistem.

• Dokumentasi sing kalebu informasi keamanan, setelan konfigurasi, jeneng pangguna lan sandhi administrasi, rencana bencana lan pemulihan, lan prosedur serep lan pulihake.
• Pelatihan pangguna pungkasan babagan tugas pangopènan keamanan.

USB serep lan CLEANDIST FILE INSTALASI
Pangguna kudu nglindhungi tembung sandhi sing digunakake kanggo zipping lan unzipping controller. Aja nuduhake frasa sandhi lan kredensial pengontrol sajrone proses serep utawa pulihake.
Serep USB lan CleanDist file informasi instalasi bisa ditemokaké ing Instalasi Instruction lan Commissioning Guide - 31-00584.

DEKOMISI SISTEM
Data sensitif kudu dibusak saka unit sing lagi dicopot saka layanan lan iki bisa ditindakake kanthi ngreset pabrik. Waca Tombol Service/Layanan Alarm LED lan CleanDist file instalasi saka Instalasi Instruction lan Commissioning Guide - 31-00584.

CATETAN
Ing CleanDist file Prosedur bisa nindakake setelan pabrik kanthi nginstal clean4 file.

KEAMANAN PRODUK BERBASIS NIAGARA LANJUTAN
Kanggo produk Advanced Honeywell sing adhedhasar kerangka Niagara N4 lan Niagara AX (eg Advanced Plant Controller, HMI, lan Modul IO), sampeyan kudu ngetutake saran Tridium kanggo ngamanake kerangka Niagara.
Ana sawetara owah-owahan konfigurasi sing bisa digawe kanggo Niagara sing bisa rampung kanggo nggedhekake keamanan produk Advanced Honeywell.

• Gunakake Fitur Kekuwatan Sandi
• Aktifake Fitur Kunci Akun
• Kadaluwarsa Sandi
• Gunakake Riwayat Sandi
• Gunakake Fitur Reset Sandi
• Ninggalake kothak "Elinga Kredensial Iki" Ora dicenthang
• Ngganti Sandhi Sistem Default
• Gunakake TLS Kanggo Nyetel Sandi Sistem
• Pilih Sandhi Sistem Kuwat
• Nglindhungi Sandi Sistem
• Priksa manawa Pemilik Platform Ngerti Frase Sandi Sistem
• Gunakake Akun Beda kanggo Saben Pangguna Platform
• Gunakake Jeneng Akun Unik kanggo Saben Proyek
• Priksa manawa Pemilik Platform Ngerti Kredensial Platform
• Gunakake Akun Beda kanggo Saben Pangguna Stasiun
• Gunakake Akun Tipe Layanan Unik kanggo Saben Proyek
• Pateni Akun sing Dikenal Yen Bisa
• Nyiyapake Akun Sementara kanggo Kadaluwarsa Otomatis
• Ganti Kredensial Akun Tipe Sistem
• Ora ngidini Sesi Serempak Yen Cocok
• Konfigurasi Peran kanthi Idin sing Dibutuhake Minimal
• Nemtokake Peran Minimal sing Dibutuhake kanggo Pangguna
• Gunakake Jumlah Minimal Kemungkinan Pangguna Super
• Mbutuhake Idin Super User kanggo Obyek Program
• Gunakake Idin Minimal sing Dibutuhake kanggo Akun Eksternal
• Gunakake Skema Otentikasi sing Cocok kanggo Jinis Akun
• Mbusak Skema Otentikasi sing Ora Perlu
• TLS & Manajemen Sertifikat
• Instalasi Modul
• Mbutuhake Obyek lan Robot Program sing Ditandatangani
• Pateni SSH lan SFTP
• Pateni Layanan sing Ora Perlu
• Konfigurasi Layanan sing Dibutuhake kanthi Aman
• Nganyari Niagara 4 menyang Rilis Paling Anyar
• Instal Produk ing Lokasi sing Aman
• Priksa manawa stasiun ana ing mburi VPN
• Publikasi teknis khusus kasedhiya sing kudu ditindakake kanggo mesthekake yen sistem dikunci kanthi aman. Akeh opsi ana kayata enkripsi SSL lan langkah tambahan kanggo nglindhungi unsur kayata modul program, kanggo rincian liyane deleng Tridium websitus kanggo Niagara 4 Hardening Guide (kanggo produk Niagara N4 adhedhasar) lan Niagara Hardening Guide (produk adhedhasar Niagara AX).

Materi ing dokumen iki mung kanggo informasi. Konten lan produk sing diterangake bisa diganti tanpa kabar. Honeywell ora menehi representasi utawa jaminan babagan dokumen iki. Honeywell ora tanggung jawab amarga ngilangi kesalahan utawa teknis utawa editorial ing dokumen iki, utawa ora bakal tanggung jawab kanggo kerusakan, langsung utawa kedadeyan, sing ana utawa ana gandhengane karo panggunaan dokumen iki. Ora ana bagean saka dokumen iki sing bisa direproduksi kanthi bentuk apa wae utawa kanthi cara tanpa idin sadurunge ditulis saka Honeywell.
Honeywell | Otomasi Bangunan

715 Peachtree Street, NE,

• Atlanta, Georgia, 30308, Amérika Sarékat.
• https://buildings.honeywell.com/us/en
• ® Merek Dagang Kadhaptar AS
• ©2024 Honeywell International Inc. 31-00594-03 Rev. 12-24

DAFTAR PERIKSA KEAMANAN INSTALASI

• Instance Piranti Pengontrol Pabrik Lanjut: ____________________________________________________________
• Deskripsi Pengontrol Pabrik Lanjutan: ________________________________________________________________
• Lokasi Pengontrol Pabrik Lanjut: ________________________________________________________________
• Instal: _________________________________________________________
• Tanggal: ________________________________

Rampungake tugas keamanan ing ngisor iki kanggo saben Pengontrol Pabrik Lanjut sing diinstal

• Instal firewall ing antarane Advanced Plant Controller lan jaringan eksternal. Waca "BACnet lan Niagara" ing kaca 19.
• Ngamanake Pengontrol Pabrik Lanjut kanthi fisik. Deleng "Ngamanake Pengontrol Pabrik Lanjut, HMI, lan Modul IO kanthi fisik" ing kaca 22.
• Ngganti sandhi standar kanggo sandhi unik kanggo saben ing ngisor iki: Konfigurasi Konsol, Gawe serep / Mulihake / Wiwiti maneh / Kontrol, lan Platform Niagara. Waca Instalasi Instruction lan Commissioning Guide - 31-00584
• Yen a web server dibutuhake, banjur ngatur kanggo operate mung ing mode HTTPS. Waca Instalasi Instruction lan Commissioning Guide - 31-00584

Web Status Server: Pateni / Diaktifake.
If web layanan diaktifake, ngrampungake ing ngisor iki:

• Setel Http Aktif = palsu.
• Setel Https Aktif = bener.
• Setel Https Mung = bener.
• Konfigurasi firewall BAS. Waca "Konfigurasi firewall BAS" ing kaca 26.
• Nyedhiyani kabeh data sing dibutuhake kanggo pemilik sistem BAS nalika dikirim. Deleng "Ngatur Otentikasi" ing kaca 27.

FAQ

• Napa ngamanake Pengontrol Lanjut penting?
  Ngamanake controller mbantu nyegah akses ora sah, nglindhungi data sensitif, lan njamin linuwih sistem.
• Carane aku bisa mbalekake sandi?
  Kanggo mbalekake tembung sandhi, tindakake proses Recovery Sandi sing digarisake ing manual. Iki biasane kalebu verifikasi informasi akun sampeyan.

Dokumen / Sumber Daya

Honeywell Optimizer Advanced Controller [pdf] Manual pangguna 31-00594-03, Optimizer Advanced Controller, Advanced Controller, Controller

Referensi

• Manual pangguna