Layer 3.5 (Industrial DMZ - IDMZ) and OT Cybersecurity

 

ပြီးခဲ့တဲ့ Post မှာ Purdue Model ရဲ့ Layer 0 ကနေ Layer 5 အထိ အခြေခံ စနစ်တွေကို ရှင်းပြခဲ့ပြီးပါပြီ။

မဖတ်ရသေးရင် ဒီအောက်က လင့် တွေ မှာ ဖတ်နိုင်ပါတယ်။

https://www.ictformyanmar.com/2026/09/it-network-vs-ot-network.html

https://www.ictformyanmar.com/2026/09/purdue-model-for-ot-network.html

ဒီနေ့မှာတော့ OT Network (Industrial Network) တွေကို ကာကွယ်ပေးဖို့ ဘာကြောင့် Industrial DMZ (IDMZ / Layer 3.5) ကို မဖြစ်မနေ လိုအပ်တာလဲဆိုတာကို ကမ္ဘာကျော် OT Cyberattacks ဖြစ်စဉ် နှစ်ခုနဲ့အတူ ဝေမျှပေးချင်ပါတယ်။

ကမ္ဘာကျော် OT Cyberattacks ဖြစ်စဉ်များ

-------------------------------------------------

၁) Stuxnet Attack (2010, Iran) – Air-gapped Physical Vector Attack

အီရန်နိုင်ငံ Natanz ယူရေနီယမ်သန့်စင်စက်ရုံမှာ OT Network (Layer 0–3) နဲ့ IT Network (Layer 4–5) တို့ကို လုံးဝ Physical အဆက်အသွယ်ဖြတ်တောက်ထားတဲ့ (Air-gapped) စနစ်ကို သုံးထားတာပါ။

ဒါပေမဲ့ Attacker တွေဟာ Layer 3 မှာရှိတဲ့ Engineering Workstations တွေဆီ Infected USB Flash Drive ကနေတစ်ဆင့် Stuxnet Malware ဝင်ရောက်အောင် ပြုလုပ်ခဲ့ပြီး  Layer 0 မှာရှိတဲ့ Centrifuges မော်တာတွေကို Physically ပျက်စီးသွားအောင် တိုက်ခိုက်ခဲ့ပါတယ်။

မော်တာတွေကို ပျက်စီးအောင်လုပ်ရုံသာမကပဲ  Malware က မော်တာတွေ ပုံမှန်လည်ပတ်နေစဉ် ၂ မိနစ်စာ Data ကို ကြိုတင် Record လုပ်ထားပြီး အပေါ် Layer တွေရဲ့ Monitoring Screens တွေပေါ်မှာ ပုံမှန်လည်ပတ်နေသယောင် လှည့်စား (Replay Attack) ခဲ့ပါတယ်။ 

ဒီ Attack ကြောင့် အီရန်ရဲ့ နူကလီးယားစီမံကိန်း ရေရှည် အဟန့်အတား ဖြစ်ခဲ့ရပါတယ်။

ဒီဖြစ်ရပ်ကနေ ပဲ တကမ္ဘာလုံး အတိုင်းအတာနဲ့ Physical USB Drive တွေရဲ့ အန္တရာယ်ကို သတိပြုမိစေခဲ့ပြီး Removable Media Control နဲ့ OT Network Visibility တို့ရဲ့ အရေးပါမှုကို မီးမောင်းထိုးပြခဲ့ပါတယ်။

၂) Ivano-Frankivsk Power Grid Attack (2015, Ukraine) – IT-to-OT Pivoting Attack

ဒီဖြစ်စဉ်ကတော့ ယူကရိန်းနိုင်ငံ၊ Ivano-Frankivsk မြို့ မှာ ရှိတဲ့ Power Substation တစ်ခုမှာ ဖြစ်ပွားခဲ့တာပါ။

Attacker တွေဟာ Power Station ရဲ့ IT Network ထဲကို Spear-phishing Email ကနေတစ်ဆင့် စတင်ဝင်ရောက်ခဲ့ပါတယ်။ ဝင်ရောက်ပြီးတာနဲ့ ဝန်ထမ်းတွေရဲ့ Login Credentials (VPN & System Access) တွေကို ခိုးယူပြီး OT/SCADA Network ထဲကိုတိုက်ရိုက် Pivot လုပ်ဝင်ရောက်၊  Substation Breakers တွေကို Remote ကနေ shutdown လိုက်တာကြောင့် မြို့ထဲက လူဦးရေ ၂ သိန်းကျော် ၁ နာရီကျော်ကြာ လျှပ်စစ်မီး ပြတ်တောက်ခဲ့ရပါတယ်။

ဒီ ဖြစ်ရပ်ကနေ ပဲ IT Network ကနေ OT Network ထဲကို တိုက်ရိုက် မဝင်ရောက်နိုင်အောင် ခိုင်မာတဲ့ Strict IDMZ Architecture လိုအပ်ကြောင်း အဓိက သက်သေပြခဲ့ပါတယ်။

အဲဒီတော့  IDMZ (Layer 3.5) ဆိုတာ ဘာလဲ။ ဘယ်လိုမျိုးလဲ။

IDMZ ဆိုတာ OT Zone (Layer 0–3) နဲ့ Enterprise IT Zone (Layer 4–5) ကြားမှာ ကြားခံအဖြစ် ခြားနားထားတဲ့ Buffer Zone (သို့မဟုတ်) Sanitizing Security Boundary တစ်ခု ဖြစ်ပါတယ်။

သမားရိုးကျ Network တွေမှာ IT နဲ့ OT ကို တိုက်ရိုက် Direct Connection ချိတ်ဆက်တာမျိုး လုံးဝ မလုပ်ရပါဘူး။ IT နဲ့ OT အကြား ဖြတ်သန်းမယ့် Data တွေ၊ Services တွေအားလုံးကို IDMZ (Layer 3.5) မှာတင် ရပ်တန့်စေပြီးမှ စစ်ဆေး အလုပ်လုပ်စေတာ ဖြစ်ပါတယ်။

ဒါဆိုရင် IT နဲ့ OT ကို လုံးဝ Air-gap လုပ်ထားလို့ မရဘူးလား။

မရပါဘူး။ ဘာကြောင့်လဲဆိုတော့ Layer 4 နဲ့ Layer 5 မှာ Business Intelligence Data နဲ့ Telemetry Data တွေ လိုအပ်လို့ပါပဲ။ Sub-contractor/Vendors တွေအနေနဲ့ Monitoring & Maintenance လုပ်ဖို့လိုသလို၊ ကုမ္ပဏီအနေနဲ့လည်း Business Strategy နဲ့ Daily Operations တွေ အတွက် Real-time and historical data တွေ လိုအပ်လို့ ဖြစ်ပါတယ်။

ဒါဆို Safe, Secure ဖြစ်ပြီး Business Operations မထိခိုက်အောင် IT နဲ့ OT ကို ဘယ်လို Isolate လုပ်ကြမလဲ။

အောက်ပါ နည်းလမ်းများကို ပေါင်းစပ်အသုံးပြုကြပါတယ်။

- Data Diode ဖြင့် Physical Boundary ခံယူခြင်း

OT Layer 2/3 က Telemetry Data များကို IT Layer 4/5 သို့ ပို့သည့်အခါ IDMZ (Layer 3.5) တွင် Data Diode (Hardware-enforced One-Way Data Flow) ခံထားခြင်း။ ဒါဆိုရင် IT Network ဘက်ကနေ OT ထဲကို Inbound Traffic တိုက်ရိုက် စီးဆင်း၍ မရတော့တာကြောင့် ယူကရိန်း Power Grid လိုမျိုး  IT Network က တစ်ဆင့် Attack လုပ်မှုကို ထိရောက်စွာ ကာကွယ်နိုင်သွားပါတယ်။

- OT Native IDS ဖြင့် Real-time Monitoring ပြုလုပ်ခြင်း

OT Zone (Layer 2/3) Switch တွေမှာNozomi Networks, Gigamon, Claroty, Dragos တို့ လို Industrial Control Vendor တွေ ရဲ့ OT Native IDS တပ်ပြီး Anomaly Detection & Monitoring လုပ်တာမျိုး။

ဒါဆိုရင် Stuxnet လိုမျိုး ပုံမှန်မဟုတ်တဲ့ PLC Logic Upload/Download activity၊ suspicious Remote Desktop (RDP) Access တွေ နဲ့ Unauthorized SCADA Commands တွေကို  Real-time Detect & Alert လုပ်ပေးနိုင်ပါတယ်။

- IDMZ (Layer 3.5) မှာ ဘာ Servers/Services တွေ ရှိသင့်သလဲ။

IT ဘက်ကနေ OT Systems တွေကို Remote Access လုပ်မယ်ဆိုရင် IDMZ ထဲရှိ Jump Host မှတစ်ဆင့်သာ ဝင်ရောက်စေပြီး MFA နှင့် Just-In-Time (JIT) Access Controls များ ထားရှိခြင်း။

 IT Network ကနေ OT Network ထဲက Historian Server ထဲမှာရှိတဲ့ Logs/Data တွေကို တိုက်ရိုက် မကြည့်စေဘဲ IDMZ ထဲတွင် Replica Server ထားခြင်း။

OT Layer 2/3 ထဲက Systems တွေ အတွက် Antivirus Definitions နဲ့ Firmware/OS Patches တွေကို delivery လုပ်ဖို့ အတွက် IDMZ ထဲမှာ Update Server ထားပြီး Patch delivery အမြဲလုပ်ခြင်း တို့ပဲ ဖြစ်ပါတယ်။

အနှစ်ချုပ် ပြောရမယ်ဆိုရင်

Cyberattacks တွေထဲမှာ OT Cyberattack တွေဟာ Critical Infrastructure တွေဖြစ်တဲ့ Power Stations, Water Treatment, Oil & Gas, Healthcare, Transportation (Airport, Railway) စတဲ့ စနစ်များကို ရပ်တန့်/ပျက်စီးစေပြီး လူတွေရဲ့ အသက်အန္တရာယ်ကိုပါ တိုက်ရိုက် ခြိမ်းခြောက်နိုင်တာကြောင့် 

Operational Technology Network အကြောင်း အခြေခံ သဘောတရားများကို သေချာ နားလည်ပြီး စနစ်တကျ ကာကွယ်နိုင်ကြပါစေကြောင်း အကြံပြုရင်း OT Network နဲ့ OT Cybersecurity အကြောင်းကို ဒီမှာပဲ နိဂုံးချုပ်လိုက်ပါတယ်။

(Hospital Network တွေ မှာ လုပ်ခဲ့ တုန်းက သိခဲ့ တဲ့ IoMT (Internet of Medical Things နဲ့ OT အကြောင်းတွေ ကို ရေးချင်သေးပေးမယ့် အချိန် မပေးနိုင်တော့လို့ မရေးတော့ပါဘူး။)

ပျော်ရွှင်ပါစေဗျာ။

(Be knowledgeable, pass it on then)

Purdue Model for OT Network

IT Network မှာ OSI 7 Layers ရှိသလိုပဲ၊ OT Network မှာလည်း Layer တွေ ခွဲခြားသတ်မှတ်ပေးထားတဲ့ Purdue Model ဆိုတာ ရှိပါတယ်။

OT Network ကို စီမံခန့်ခွဲမယ့်သူ သို့မဟုတ် Security ပိုင်း လုပ်ဆောင်မယ့်သူဆိုရင် Purdue Model ကို သေချာ နားလည်ထားဖို့ လိုအပ်ပါတယ်။

Layer 0: Physical Process

ဒီ Level မှာ Sensors, Actuators, Motors, Valves, Pumps တွေ အလုပ်လုပ်ပါတယ်။

ဥပမာ - ရေသန့်စက်ရုံတစ်ခုမှာ ပိုးသတ်ဆေး ထည့်တဲ့ လုပ်ငန်းစဉ်အတွင်း ပိုးသတ်ဆေး ပမာဏကို တိုင်းပေးတဲ့ Sensors တွေနဲ့ သတ်မှတ်ပမာဏ ရောက်တဲ့အခါ ဆေးထည့်တာ ရပ်တန့်ဖို့ ထိန်းချုပ်ပေးတဲ့ Valves တွေ အလုပ်လုပ်တာမျိုး ဖြစ်ပါတယ်။

Layer 1: Basic Control

ဒီ အပိုင်းမှာ PLCs (Programmable Logic Controllers), RTUs (Remote Terminal Units), IEDs (Intelligent Electronic Devices) တွေ ရှိပြီး Layer 0 မှာ အလုပ်လုပ်နေတဲ့ Physical Equipment တွေကို တိုက်ရိုက် ထိန်းချုပ်ခိုင်းစေတာပါ။

ဥပမာ - Shopping Mall တွေက Lift တွေ၊ Escalator တွေရဲ့ အမြန်နှုန်းနဲ့ အတက်အဆင်း Logic တွေကို PLC ထဲမှာ ရေးသွင်းထားပြီး အလိုအလျောက် အလုပ်လုပ်စေတာမျိုး ဖြစ်ပါတယ်။

Layer 2: Area Control (Supervisory Control)

ဒီ Layer ကတော့ HMIs (Human Machine Interfaces), SCADA Software, Engineering Workstations, Control Rooms တွေနဲ့ စနစ်တစ်ခုလုံးကို စောင့်ကြည့်တာနဲ့ ထိန်းချုပ်တဲ့ နေရာပါ။

ဒီအပိုင်းမှာ လူ Operator က ဝင်ရောက်ကြည့်ရှုပြီး လိုအပ်သလို ထိန်းချုပ်မှုများ ပြုလုပ်ပေးနိုင်ပါတယ်။

ဥပမာ - Lift ၄ စင်း Run နေတဲ့ Mall တစ်ခုမှာ မနက် 9 နာရီကနေ 10 နာရီအတွင်း လူအတက် ပိုများတာကို Control Room (HMI/SCADA) ကနေ တွေ့ရှိရတယ် ဆိုပါစို့။ ဒါဆိုရင် Lift အတက်/အဆင်း Mode တွေကို ပြောင်းလဲဖို့ သို့မဟုတ် Lift Controller Program တွေကို Engineering Workstation ကနေ Program Logic ကို ပြင်တာမျိုးလုပ်တာပါ။

Layer 3: Site Manufacturing Operations and Control

ဒီ အပိုင်းမှာ MES (Manufacturing Execution Systems), Historian Servers, Domain Controllers, Patch Management Servers, OT Jump Hosts စတာတွေ ပါဝင်ပါတယ်။

ဒီ Layer က Layer 2 Control က နေ monitoring လုပ်နေတဲ့ နေရာတွေအားလုံးရဲ့  အခြေအနေတွေကို ပေါင်းစပ် စီမံခန့်ခွဲပေးတာ ဖြစ်ပါတယ်။ Layer 1 နဲ့ Layer 2 က ရလာတဲ့ Logging Data တွေ ၊ Process Data တွေကို Historian Server မှာ သိမ်းပြီး Operation Improvement နဲ့ Audit တွေအတွက် ပြန်လည် ဆန်းစစ်တာမျိုး ဆောင်ရွက်ပါတယ်။

Layer 4: Enterprise Business Planning and Logistics (Enterprise IT Zone)

ဒီ Layer ကတော့ Enterprise IT Network အဆင့် ဖြစ်သွားပြီး ERP (e.g., SAP), Mail Servers, Business Applications, Corporate PCs တွေ ပါဝင်လာပါပြီ။

Layer 5: Enterprise Network / External Zone (Cloud & Internet)

ဒီ အပိုင်းမှာ Cloud Infrastructure (AWS, Azure), Corporate WAN, Internet Boundary, Third-party/Vendor Portals စတာတွေ ပါဝင်ပြီး ရုံးခွဲများ၊ Vendors များနှင့် Partners တွေ နဲ့ ချိတ်ဆက်အလုပ်လုပ်တဲ့ Network Boundary ဖြစ်ပါတယ်။

ဒါတွေကတော့ Purdue Model ရဲ့ Layer အဆင့်ဆင့်ပဲ ဖြစ်ပါတယ်။

Layer 3 (OT) နဲ့ Layer 4 (IT) ကြားမှာ Physical Connection လုံးဝ မထားတဲ့ Air-Gapped Systems တွေ ရှိသလို၊ နောက်ပိုင်းမှာ Industrial DMZ (IDMZ) လို့ ခေါ်ကြတဲ့ Layer 3.5 ဆိုတာကို ထားလာကြပါတယ်။ ဘာကြောင့် ဒီလို သီးခြား ခွဲခြားထားရတာလဲ ဆိုတဲ့ OT Cybersecurity အကြောင်းအရာတွေကိုတော့ နောက် Post တွေမှာ ဆက်လက် ဝေမျှပေးသွားပါမယ်။

IT Network vs OT network

ရထားစီးဖို့ ဘူတာထဲ ကို ဝင်လိုက်တာနဲ့ Escalator, Lift, Aircon တွေ ဟာ Building Management System  (BMS) နဲ့ အလိုအလျောက် အလုပ်လုပ်နေတာ၊

ဘယ်ဖက်ကို ဦးတည်သွားမယ့် ရထားက ဘယ်အချိန်ရောက်မယ် ဆိုတာမျိုး ကို နေ့စဉ် သွားရင်းလာရင်း သတိထားမိမယ်ထင်ပါတယ်။

နောက်တခါ ခရီးသွားဖို့ လေဆိပ်ကို ရောက်တဲ့ အခါ Baggage တွေ သယ်သွားတဲ့ Conveyor တွေ၊ လေကြောင်းလိုင်းတွေရဲ့ အချိန်ဇယားတွေ သတိထားမိလားတော့ မသိဘူး။

ဆေးရုံတွေ သွားတဲ့ အခါ လူနာတွေကိုယ်မှာ တပ်ထားတဲ့ Vital sign monitor တွေမြင်ဖူးကြမှာပေါ့။

ကားလမ်းဆုံတွေ က သူ့အလိုလို အလုပ်လုပ်နေတဲ့ Traffic light တွေ ကိုတော့ မြင်ဖူးကြမှာပါ။  

နောက်တခါ TV တွေမှာ စက်ရုံထဲကစက်တွေ အလိုအလျောက်လည်ပတ်နေတာကိုလဲ တခါတရံမြင်ဖူးကြမှာပါ။

ကိုယ်သောက်နေတဲ့ရေ က်ိုသန့်စင်ဖြန့်ဖြူးပေးနေတဲ့ Water Treatment Station တွေ၊ Electricity ကို ဖြန့်ဖြူးပေးနေတဲ့ Power station တွေ လဲ သိကြမယ်ထင်ပါတယ်။

ဒီ လုပ်ငန်းစဉ်တွေကို ထိန်းကျောင်း မောင်းနှင်နေတဲ့ Industrial Control Network တခုရှိပါတယ်။ ဒါကိုပဲ Operational Technology (OT) network လို့ ခေါ်တာပါ။

လူတော်တော်များများက OT ကို IT နဲ့ ကွဲပြီး မသိကြပဲ အတူတူလို့တောင် ထင်ကြပါသေးတယ်။

တကယ်တော့ OT network က Modbus, DNP3, Profinet, BACnet တို့လို Industrial Control System တွေ အတွက် Protocol တွေ သုံးပြီး လည်ပတ်နေရတာပါ။

Factory Automation လိုနေရာမှာပဲ IT network မှာ သုံးတဲ့ Ethernet/IP ကိုသုံးတာ။

ဒီ OT system တွေ နဲ့  IT system ရဲ့ အဓိက ကွာခြားချက်ကတော့ 

IT system က အမှားခံနိုင်တယ်၊ real time မလိုပဲ second/milliseconds နောက်ကျလို့ရတယ်။

OT system မှာ မှားတာတို့ နောက်ကျတာတို့ဆိုရင် လူမြောက်များစွာ ထိခိုက်နိုင်တာ၊ ငွေကြေးပေါင်း မြောက်များစွာ ဆုံးရှံးနိုင်တာတွေ ဖြစ်ပါတယ်။

ဒါကြောင့် IT network လို Confidential အရင်လာ Integrity and Availability က နောက်ကလိုက် မဟုတ်ပဲ၊ Availability က ပထမ၊ Integrity နဲ့ Confidentiality ကနောက်မှဆိုတဲ့ OT network operation နဲ့ OT network security ကို အချိန်ရရင် OT ရဲ့ အခြေခံ

စည်းမျဉ်း Purdue Model နဲ့ အတူ ထပ်ဝေမျှပါအုံးမယ်။ 

How to mitigate MFA fatigue attack?

 

ပုံထဲကလိုမျိုး ကိုယ်မရှိနေတဲ့ နေရာ၊ ကိုယ်သုံးနေကြ အချိန်မဟုတ်ပဲ Login Approval တောင်းနေတာမျိုးကို MFA fatigue attack လို့ခေါ်ပါတယ်။

Attacker ရဲ့ ရည်ရွယ်ချက်က ရှင်းပါတယ်။ခဏခဏ ပို့ပြီး စိတ်ရှုပ်အောင်လုပ်မယ်၊ တချက်လောက် သတိလက်လွတ်ဖြစ်ပြီး Approval ပေးလိုက်မိတာနဲ့ ရှိတာ ကုန်ပြီပဲပေါ့။

ဒီတော့ ဒါမျိုး Authentication Approval Push Notification တွေကို သတိထား သေချာကြည့်ပြီး ကိုယ်ကိုယ်တိုင် တကယ် request တာသေချာမှ approve လုပ်ကြဖို့ သတိပေးချင်ပါတယ်။

ဘာလို့ ဒါမျိုး Attack လုပ်ခံရတာလဲဆိုရင်

ကိုယ့် email နဲ့ တခြား အချက်အလက်တွေ dark web ပေါ်မှာ ပေါက်ကြားထားလို့ပါ။

ဒီလိုမပေါက်ကြားဖို့က ဘာလုပ်လုပ် Register လုပ်ခိုင်းနေတဲ့ အခုခေတ်မှာ မလွယ်တော့ပါဘူး။

ကိုယ်ဘယ်လောက်လုံခြုံရေး ဂရုစိုက်ပါစေ၊ ကိုယ်သုံးနေတဲ့ service တခုခုက လုံခြုံရေးကျိုးပေါက်တာနဲ့ ကိုယ့် data လဲ ပါသွားတာပါပဲ။

ကိုယ့်အချက်အလက် ပေါက်ကြားထားလား၊ 

မထားလားသိဖို့ကတော့ Identity Protection ကိုဝယ်သုံးမှပဲ ရပါမယ်။ ဒါတောင် protection က data expose ဖြစ်ကြောင်း သတိပေးတာနဲ့ ဖြစ်တဲ့နေရာက credential တွေလိုက်ပြောင်းရတာ နဲ့ အတော် အလုပ်ရှုပ်သေးတာပါ။

အခုလို MFA fatigue attack ကို အလွယ်ဆုံး ဖြေရှင်းနည်းကတော့ Authenticator ကိုပြောင်းလိုက်တာ၊ login email ကို alias (တခြား email) နဲ့ ပြောင်းလိုက်တာပဲ ဖြစ်ပါတယ်။