KNX IP Secure: רשימת בדיקות מעשית לאבטחת מערכת קיימת

מה התחדש ומה המשמעות לפרויקט בישראל?

ב-21 בספטמבר 2026 פרסמה KNX Association מאמר מעשי על החשיפה של מתקני KNX בצד ה-IP. ההמלצה המרכזית איננה לקנות מיד בקר חדש, אלא לבדוק קודם את תצורת הנתב, דרך הגישה מרחוק, הפרדת הרשתות והממשקים הקיימים. זה רלוונטי במיוחד לבית שנמסר לפני שנים, למבנה שעובר שדרוג BMS ולמתקין שנכנס לטיפול תחזוקה לאחר שנים.

מתקני KNX רבים פועלים לאורך זמן רב. לפעמים במקביל לממשק KNX IP הותקנו בבית מצלמות, אינטרקום, אזעקה, שרת ויזואליזציה, Home Assistant או ממשק לענן. שילוב מערכות מגדיל את יכולות הבית, אבל גם מחייב להבין מי רשאי להתחבר לאיזה רכיב ואילו פעולות מותרות לכל ספק. חשוב להפריד בין שליטה של דייר לבין גישה טכנית של מתקין ושל גורם תחזוקה.

למה לא מספיק לבחור מוצר שעליו כתוב Secure?

השם של המוצר אינו מבטיח שהתצורה בפועל מאובטחת. מערכת עם נתב IP מאובטח יכולה עדיין להיות חשופה דרך פורט פתוח או באמצעות הרשאות חלשות בשרת אחר. לכן בוחנים יחד את הציוד, הגדרות הרשת, הנהלים וההרשאות. אבטחה אמיתית היא רצף שניתן לתחזק, ולא רשימת רכיבים.

1. הנתב ופורט UDP 3671 — לפני החלפת ציוד

פורט UDP 3671 משמש כברירת מחדל לתקשורת KNXnet/IP. שימוש בו בתוך רשת מקומית מתוכננת אינו כשלעצמו תקלה. הסיכון עולה כאשר מוגדרת בנתב הפניית פורט מהאינטרנט ישירות לממשק KNX, לעיתים מתוך רצון לספק שירות מהיר מרחוק. הגדרה כזאת עשויה להישאר בשימוש שנים לאחר החלפת ספק אינטרנט, נתב או מתקין.

איך בודקים נכון?

בעל המערכת או הגורם המורשה מבקשים מאיש הרשת לבדוק מיפוי פורטים, כללי NAT ו-Firewall, שירותי גישה חיצוניים והרשאות צד שלישי. KNX Association מספקת כלי בשם KNX Security Check לבדיקת חשיפה של כתובת IP לאינטרנט. משתמשים בכלי עבור מערכת שיש הרשאה לבדוק, ולא מצרפים פרטי רשת רגישים או סיסמאות לטופס ציבורי.

אם יש חשיפה מיותרת, מתקנים אותה בתיאום עם מי שמכיר את המערכות. אין לבצע חסימה חפוזה שעלולה לנתק ממשק תפעולי חיוני ללא בדיקות חזרה לשגרה. שליטה במערכת חשמל, מיזוג או ציוד בניין צריכה להישמר בהתאם לתכנון המאושר.

2. גישה מרחוק: VPN, Gateway מאובטח והרשאות

שירות מרחוק הוא צורך אמיתי. אינטגרטור צריך לפעמים לבדוק תקלה, ללמוד את מצב המערכת, לתאם עם ספק מיזוג ולבצע שינוי מורשה. במקום לחשוף KNXnet/IP ישירות לאינטרנט, בוחרים גישה מרחוק מאומתת באמצעות VPN ארגוני או פתרון ייעודי מאובטח. השיטה המדויקת תלויה במדיניות הלקוח, ברשת ובדרישות התחזוקה.

מומלץ לנהל הרשאות לפי תפקיד: מי רשאי רק לצפות? מי רשאי לשנות תרחיש? מי רשאי להוריד תוכנה או לעדכן ממשק? יש להגדיר מי מאשר גישה, כיצד מבטלים אותה כשספק מסיים את עבודתו, והיכן נשמר תיעוד גישה. בפרויקטים מסחריים שבהם עובדים צוותי מיזוג, חשמל ו-BMS, חוסר בהירות בהרשאות הוא מקור אפשרי הן לסיכוני מידע והן לתקלות תפעוליות.

הפרדת רשתות עם VLAN ו-Firewall

רשת אורחים, מחשבי משרד, מערכות מצלמות, שרת BMS וממשק KNX אינם צריכים בהכרח לתקשר בחופשיות זה עם זה. סגמנטציה באמצעות VLAN וכללי Firewall מאפשרת לפתוח רק את התעבורה הדרושה לתפעול. גם אחרי הפרדה, צריך לבדוק בפועל את מסלולי התקשורת בין הבקרים והממשקים, כדי לא להפריע לבקרה המתוכננת.

3. KNX IP Secure לעומת KNX Data Secure

KNX IP Secure מאבטח תקשורת KNX על גבי מדיום IP באמצעות הגנות כגון אימות, שלמות נתונים והצפנה. הוא רלוונטי במיוחד כשמתכננים או משדרגים את עמוד השדרה של רשת הבקרה, נתבי KNX וממשקי IP תואמים. KNX Data Secure נועד להגן על המידע בטלגרמות KNX במדיומים נתמכים. ההבדל חשוב כאשר מתכננים מערכת שבה חלק מהתקשורת עובר ב-IP וחלקה ב-KNX TP או במדיום אחר.

ההגנות אינן מחליפות זו את זו באופן אוטומטי, והן אינן מחליפות גישה מרחוק מאומתת, הפרדת רשתות או ניהול הרשאות. בפרויקט מעורב בודקים אילו רכיבים תומכים באיזו תצורה, אילו הגדרות הופעלו ב-ETS, ואילו רכיבים ישנים מחייבים פתרון מדורג.

האם חייבים להחליף מערכת ישנה שלמה?

לא בהכרח. שיפור האבטחה יכול להתחיל מסגירת חשיפה חיצונית, החלפת שיטת גישה מרחוק, תיעוד ציוד וחיזוק חומת האש. בהמשך בוחנים אם נכון להחליף ממשק IP או נתב ישן לרכיב KNX IP Secure. את ההחלטה מבססים על התאמה טכנית, מצב הציוד, חשיבות המערכות והעלות לאורך חיי הפרויקט.

4. ETS6.4, מפתחות Secure וגיבוי פרויקט

ETS6.4 מציעה, בין היתר, Auto Backup to Archive, המאפשר לשמור גרסת פרויקט בארכיון בעת סגירה לפי הגדרות המשתמש. זהו כלי שימושי בעבודה צוותית ובמערכות שממשיכות לקבל שירות במשך שנים, אך הוא אינו מחליף מדיניות גיבוי מסודרת, שמירה מוגנת או בדיקת שחזור בפועל.

במערכת KNX Secure יש לטפל גם באישורי מכשירים, FDSK ומפתחות תכנות. מידע זה אינו מיועד להפצה בהודעת WhatsApp פתוחה או כנספח חופשי לקריאת שירות. יש להגדיר מי בעל ההרשאה לקבל גיבוי, באילו אמצעי הגנה הוא נשמר, וכיצד יטופל מעבר מסודר לספק שירות חדש. התחזוקה חייבת להתחיל מאימות בעלות והרשאות, לא מניסיון לעקוף מנגנוני הגנה.

5. חיבור ל-BMS, BACnet, Modbus ו-Siemens Desigo

מבנה גדול יכול לשלב KNX ברמת החדר, BACnet בין בקרי מיזוג, Modbus למונים, DALI לתאורה ו-Siemens Desigo בשכבת ניהול המבנה. כאן צריך להגדיר לא רק מה מחברים, אלא גם מי רשאי לכתוב לכל נקודה. צפייה בנתון טמפרטורה אינה זהה לשינוי Setpoint או ביטול לוח זמנים של מערכת מיזוג.

לכן מטריצת נקודות מקצועית צריכה לכלול את מקור הנתון, כיוון הקריאה או הכתיבה, יחידות מידה, קדימות פקודות, משוב ואחריות ספק. גם גישה מאובטחת צריכה לאפשר למערכת המקומית לפעול בהתאם לתכנון אם התקשורת למערכת המרכזית אינה זמינה.

מקרה בוחן וקישורים משלימים

לקריאה נוספת על מגמות אבטחה, ETS6.4 ואינטגרציה בין KNX ל-BMS, אפשר לעבור לסקירת KNX Awards 2026. לפרויקט ציבורי שמדגים שכבת ניהול מבנה רחבה ראו את קמפוס הרכבת בקיסריה. אין להסיק מכך שהפרויקט בקיסריה משתמש בתכונת Secure מסוימת שלא תועדה.