Кибербезопасность АСУ ТП: защита производственных систем

АСУ ТП — автоматизированные системы управления технологическими процессами: контроллеры, датчики, панели операторов, SCADA-системы, которые управляют оборудованием на заводах, электростанциях, насосных станциях, складах с автоматикой. Раньше такие системы работали изолированно, и их безопасность считалась вопросом физической охраны. Сейчас они всё чаще подключены к корпоративной сети и интернету для мониторинга и удалённого обслуживания, а значит, становятся доступными для атак.

Чем отличается от офисной безопасности

Приоритеты. В офисе главное — защита данных от утечки. В АСУ ТП главное — непрерывность и безопасность процесса. Остановка линии или неверная команда насосу может привести к аварии, порче продукции, угрозе для людей.

Срок жизни оборудования. Офисный компьютер заменяют через несколько лет. Контроллер на производстве может работать десятилетиями. Многие системы работают на устаревших операционных системах, для которых обновления уже не выпускаются.

Обновления. Установить обновление на офисный компьютер можно вечером. На производственной системе обновление нужно согласовать с производителем оборудования, протестировать и проводить в плановую остановку.

Протоколы. Многие промышленные протоколы создавались без расчёта на защиту: они не проверяют, кто отправил команду.

Люди. Системами занимаются инженеры АСУ ТП и технологи, у которых нет специализации в IT-безопасности, а IT-специалисты не знают особенностей технологического оборудования.

Основные угрозы

• Заражение через корпоративную сеть, если она не отделена от производственной
• Удалённый доступ подрядчиков через небезопасные программы удалённого управления
• Заражённые флешки, которые используют для переноса проектов и обновлений
• Открытые в интернет панели управления и контроллеры
• Пароли по умолчанию на оборудовании
• Ошибки персонала, особенно при отсутствии разграничения прав

Сегментация сети

Главная мера — разделение сетей. Производственная сеть отделяется от офисной, а между ними ставится контролируемая граница с межсетевым экраном. Часто используется промежуточная зона, через которую данные с производства передаются в офисные системы: например, показатели выпуска для отчётов. Прямой доступ из офисной сети к контроллерам должен быть закрыт.

Внутри производственной сети тоже полезно разделение: отдельные зоны для разных линий или участков, чтобы проблема на одном участке не распространилась на всё предприятие.

Удалённый доступ

Подрядчики и производители оборудования часто обслуживают системы удалённо. Правила:

1. Доступ только через защищённый канал с двухфакторной аутентификацией
2. Доступ включается на время работ и отключается после
3. Каждый подрядчик имеет именную учётную запись
4. Сессии записываются или журналируются
5. Никаких постоянно открытых программ удалённого управления на операторских станциях

Обновления и уязвимости

Если обновить систему нельзя, применяют компенсирующие меры: изоляцию, ограничение доступа, контроль запускаемых программ, мониторинг. Список систем с известными уязвимостями и мерами защиты для каждой — обязательный документ.

Съёмные носители

• Отдельные проверенные носители только для производственных систем
• Проверка файлов на изолированном компьютере перед переносом
• Отключение автозапуска и ограничение использования USB на операторских станциях

Мониторинг

Специализированные системы мониторинга промышленных сетей анализируют трафик промышленных протоколов и замечают необычные команды: например, изменение программы контроллера вне плановой работы. Даже без специализированных средств полезно собирать журналы событий с серверов SCADA и инженерных станций.

Резервные копии

Копии проектов контроллеров, конфигураций SCADA и настроек оборудования должны храниться отдельно и быть актуальными. При сбое восстановление без них может занять очень долго.

Как начать

1. Инвентаризация: какое оборудование, версии, связи, кто имеет доступ
2. Схема сети и точек подключения к офисной сети и интернету
3. Закрытие самых опасных точек: прямой доступ из интернета, пароли по умолчанию, неконтролируемый удалённый доступ
4. Сегментация
5. Регламенты для персонала и подрядчиков

Ошибки

• Поручить защиту АСУ ТП офисному системному администратору без участия инженеров
• Установить офисный антивирус на операторскую станцию без согласования с производителем
• Оставить удалённый доступ подрядчика постоянно включённым
• Подключить производственную сеть к офисной ради удобства отчётов без межсетевого экрана

Если вы хотите оценить защищённость производственных систем, расскажите о предприятии — поможем организовать обследование совместно с вашими инженерами.