Обзор рынка встроенных средств кибербезопасности АСУ ТП

Безопасность сетей и АСУ ТП сейчас является одним из важнейших направлений защиты информации, многие вендоры стараются выйти на этот рынок, разработать собственные средства борьбы с киберугрозами или интегрироваться с уже имеющимися. В обзоре мы рассмотрим современную ситуацию на отечественном и зарубежном рынках встроенной киберзащиты промышленного сектора.

Содержание:

1. Введение
2. Встроенные средства кибербезопасности АСУ ТП
3. Мировой рынок встроенных средств кибербезопасности АСУ ТП
4. Российский рынок встроенных средств кибербезопасности АСУ ТП
5. Обзор отечественных средств кибербезопасности, встроенных в АСУ ТП

5.1. «АПРОТЕХ»

5.2. «Информационные системы и стратегии»

5.3. «Модульные Системы Торнадо»

5.4. «Физприбор»

6. Обзор зарубежных средств кибербезопасности, встроенных в АСУ ТП

6.1. ABB

6.2. Emerson Electric

6.3. General Electric Digital

6.4. Honeywell

6.5. Schneider Electric

6.6. Siemens

6.7. Yokogawa

7. Выводы

Введение

В одном из эфиров AM Live был поднят вопрос о встроенных средствах кибербезопасности АСУ ТП; эксперты поделились своим видением положения дел с информационной безопасностью на объектах критической инфраструктуры, рассказали о мерах и средствах защиты информации и выстроили предположения относительно будущего этой области. В статье мы постараемся более развёрнуто рассказать о таких средствах защиты АСУ ТП, проблематике рынка и основных векторах его развития.

Хотя первые образцы антивирусных решений, средств контроля целостности и выделенных «демилитаризованных» контуров появились в АСУ ТП более десятилетия назад, важно отличать цельную защиту от разрозненных попыток производителей самостоятельно внедрить элементарные системы защиты информации. В отчёте Массачусетского технологического института от 2019 года указано, что 96 % исследованных локальных промышленных систем управления были уязвимы к различного рода кибератакам, а индекс IBM X-Force Threat Intelligence показывает, что количество атак на промышленные и производственные объекты увеличилось более чем на 2000 % с 2018 года.

АСУ ТП, или автоматизированная система управления технологическим процессом, в частном случае обеспечивает комплексную автоматизацию производства, выработки электроэнергии, добычи полезных ископаемых, переработки материалов, подачи и очистки воды или воздуха, управления ядерной энергетикой. В качестве основных частей АСУ ТП возможно выделить САУ — системы автоматического управления, а также SCADA (диспетчерское управление и сбор данных), ESD (системы противоаварийной защиты) и DCS (распределённые системы управления). Физически они представлены рабочими местами инженеров АСУ ТП (рабочая станция в виде персонального компьютера), пультами управления, средствами и системами обработки поступающей информации, датчиками, контроллерами, исполнительными устройствами, телеметрией. Текущая стадия развития АСУ ТП позволяет исключить человеческий фактор из многих процессов, нивелировав роль инженера-оператора и возложив на него функцию контроля без непосредственного вмешательства в технологический процесс, позволяя сделать последний максимально автономным.

Рисунок 1. Пример визуализации SCADA для турбин от Schneider Electric

С усложнением АСУ ТП появилась необходимость защиты их инфраструктуры и смежных систем. В частности, если раньше было возможно выделить АСУ ТП в особый сегмент сети, использовав так называемый «воздушный зазор» (air gap), то сейчас построить подобную схему очень трудно, особенно если это касается распределённых сетей, таких как сети городских электростанций, общественного транспорта, АЭС, ГЭС, то есть сетей, разные части которых физически распределены, но без взаимосвязи не могут комплексно сопровождать единый технологический процесс, наполняя его информацией, регистрируя события, метрики, аварии, аномалии и иные взаимосвязанные сигналы, компенсируя нагрузку и обеспечивая бесперебойность процесса и устойчивость к катастрофам. В частном случае «воздушный зазор» также далёк от идеального способа защиты сетей АСУ ТП, основными векторами атак на которые являются:

• Съёмные носители. Для любой АСУ ТП рано или поздно возникнет необходимость обновления, съёма данных, загрузки информации, установки нового ПО.
• Внутренние нарушители, отсутствие или недостаток контроля физического доступа.
• Угрозы в цепочке поставок, программные закладки в поставляемом ПО для АСУ ТП.
• Несанкционированные или неконтролируемые подключения сети АСУ ТП к иным сетям, когда фактически никакого «воздушного зазора» в организации не существует: персонал подключает 3G-модемы к рабочим местам, сторонние подрядчики получают сетевой доступ в рамках сопровождения и обслуживания устройств и систем АСУ ТП, сами устройства или рабочее место оператора имеют беспроводные сетевые модули и могут подключаться к неконтролируемым точкам доступа, в т. ч. по Bluetooth.

Из наиболее известных случаев атак на АСУ ТП, когда был пройден «воздушный зазор», можно вспомнить внедрение Stuxnet: вирус, передающийся через USB-носители и иные каналы связи, не детектировался антивирусным ПО, имел легитимную цифровую подпись и мог долгое время оставаться незамеченным в сети АСУ ТП ядерного проекта Ирана, нарушая технологический процесс работы центрифуг обогащения уранового топлива. Также как пример «успешного» влияния кибератак на промышленные сети возможно отметить кибернападение на термальную солнечную электростанцию Ivanpah Solar Electric Generating System в 2016 году, которое привело к возникновению пожара из-за нарушения порядка позиционирования зеркал. При этом даже банальный шифровальщик может полностью остановить технологический процесс предприятия, поразив пользовательский и серверный сегменты. Возможно и вполне вероятно, что некоторые случаи заражения не афишируются, так как большая часть объектов управления АСУ ТП подпадает под определение критической информационной инфраструктуры (КИИ).

Отметим, что в 2016 году была принята новая Доктрина информационной безопасности Российской Федерации. Одна из ключевых её тем — безопасность КИИ. Также стоит выделить приказ ФСТЭК России от 25 декабря 2017 г. № 239 «Об утверждении требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации», где явно и чётко выделены основные требования к защите сетей АСУ ТП на протяжении всего жизненного цикла системы, в том числе:

• идентификация и аутентификация (ИАФ),
• управление доступом (УПД),
• ограничение программной среды (ОПС),
• защита машинных носителей информации (ЗНИ),
• аудит безопасности (АУД),
• антивирусная защита (АВЗ),
• предотвращение вторжений и компьютерных атак (СОВ),
• обеспечение целостности (ОЦЛ),
• обеспечение доступности (ОДТ),
• защита технических средств и систем (ЗТС),
• защита информационной (автоматизированной) системы и её компонентов (ЗИС),
• планирование мероприятий по обеспечению безопасности (ПЛН),
• управление конфигурацией (УКФ),
• управление обновлениями программного обеспечения (ОПО),
• реагирование на инциденты в информационной безопасности (ИНЦ),
• обеспечение действий в нештатных ситуациях (ДНС),
• информирование и обучение персонала (ИПО).

Также есть нормативное требование, которое вызывает у предприятий — владельцев АСУ ТП некоторые затруднения. Оно детализировано в постановлении Правительства РФ № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений» от 8 февраля 2018 г. Субъект КИИ должен сам проводить категорирование своих систем, но зачастую даже у крупных предприятий недостаточно внутренних компетенций для оценки рисков и угроз. В этом случае без внешней помощи не обойтись.

Добавим, что в 2015 г. ФСТЭК России выпустила национальный стандарт средств безопасной разработки ПО, а далее — обязательные требования для всех разработчиков СЗИ. Одно из этих требований сводится к тому, что поставщик решения для АСУ ТП должен иметь у себя регламентированные процессы безопасной разработки. Международные вендоры, такие как Schneider Electric или Siemens, внедрением подобных механизмов уже занялись — в соответствии с международным стандартом МЭК 62443-4-1 «Сети промышленной коммуникации. Безопасность сетей и систем». Помимо этого отметим стандарт МЭК 61850 «Сети и системы связи на подстанциях» и нормативный документ ISA/IEC-62443, который описывает процедуры внедрения электронно-защищённых промышленных систем автоматизации и управления.

Как можно заметить, обеспечить безопасность и выполнение всех требований законодательства одними организационными мерами или «воздушным зазором» просто невозможно. Владельцы АСУ ТП начали приходить к выводу, что без систем защиты уже не обойтись.

Это подводит нас к теме обзора, а именно — к средствам защиты информации, которые предоставляются производителями и вендорами. Выделим основные тенденции, которые увеличивают влияние общеизвестных угроз ИБ на сети АСУ ТП:

• Развитие предприятий. Старые системы управления, которые разрабатывались десятки лет назад и имеют неисправленные уязвимости, интегрируются в современные системы и сети (Windows, Linux, БД, Ethernet), которые и сами могут содержать бреши. Итоговый эффект неизвестен и может привести к негативным последствиям.
• Усложнение технологических процессов. Полная или частичная автоматизация даже самых простых процессов может привести к сбою большей части производственного процесса из-за программной ошибки, изъянов в логике при нештатных ситуациях, человеческого фактора, действий злоумышленника.
• Доступность информации об АСУ ТП. Всё большее количество специалистов работают в обслуживании, управлении, продажах, сопровождении, внедрении систем АСУ ТП; соответственно, и информации о таких системах стало в сотни раз больше, чем на заре их разработки, когда ими занимались отдельные специалисты, часто с доступом к государственной тайне.
• Удалённый доступ. Уже ставший повседневным источник угроз как для рядового состава сотрудников предприятия, работающих из дома, так и для инженеров обслуживания систем управления, имеющих доступ к технологическому процессу.

Какова проблематика внедрения безопасности в АСУ ТП? Во-первых, это — малочисленность специалистов, занимающихся информационной безопасностью именно в АСУ ТП и разбирающихся в специфике рынка и технологиях. Во-вторых, это — нехватка на предприятии с АСУ ТП персонала, который занимался бы организацией защиты не только критически важного производственного контура, но и пользовательских сетей, серверной инфраструктуры. В-третьих, это — высокие затраты на закупку решений по безопасности АСУ ТП, которые сдерживают рост рынка. Кроме того, многие предприятия являются государственными и не всегда имеют бюджет на наём квалифицированных специалистов, не занимающихся основным технологическим процессом предприятия напрямую. Это касается и частных компаний, которые заинтересованы в максимизации прибыли, в том числе путём использования устаревших технологий, систем и бизнес-процессов.

В совокупности эти факторы приводят к проблемам с обслуживанием и модернизацией решений по безопасности АСУ ТП. Устаревшие системы и датчики могут физически не подходить для включения СЗИ: малое количество производственных мощностей, устаревшее неподдерживаемое программное обеспечение. Но с приходом новых угроз и разработкой нормативных требований рынок открывает дополнительные возможности для вендоров и производителей. Инвестиции в разработку надёжных решений по безопасности АСУ ТП для защиты критической инфраструктуры, в том числе правительственные, подталкивают предприятия к тому, чтобы пересматривать, перестраивать и обновлять свои системы. Также понемногу исчезает разрыв в зрелости процессов ИБ между государственными предприятиями и частным сектором: многие вендоры сертифицируют свои решения под государственный сектор, занимаются аудитом инфраструктур АСУ ТП, проводят анализ рисков для этого сектора и для новых рынков сбыта своей продукции и услуг.

Что нужно сделать для запуска процесса защиты сетей и компонентов АСУ ТП? Можно отметить шаги, основанные как на организационных мерах, так и на средствах встроенной и накладной защиты:

• Определить и зафиксировать информационные активы и потоки.
• Применить концепцию «нулевого доверия» (Zero Trust), по умолчанию не давая полномочий никому — ни удалённым работникам, ни пользовательскому сегменту, ни внутреннему оператору АСУ ТП, ни установленному ПО, ни каналам связи внутри сети предприятия или между распределённой группой предприятий и систем.
• Контролировать сетевые аномалии и список приложений. Необходимо применять принцип наименьших привилегий, максимально широко использовать промышленные протоколы для точной идентификации сетевых взаимодействий — в частности, для явного определения и разрешения связей между несколькими распределёнными сетями АСУ ТП, разграниченными межсетевым экраном на периметре. В этом случае количество ложных срабатываний IPS / IDS будет минимальным. Также стоит учесть, что IPS / IDS могут работать в автоматическом режиме, а МСЭ придётся настроить вручную, возможно — с привлечением внешних специалистов.
• Внедрить SIEM-систему, «заточенную» под требования АСУ ТП, в частности — способную собирать, коррелировать и обрабатывать события из SCADA-систем, с датчиков технологических процессов.
• Привлекать экспертов по новым для АСУ ТП направлениям, в частности — сетевых аналитиков, специалистов по расследованию инцидентов именно на АСУ ТП. В приказе ФСТЭК России № 239 есть требование анализа исходных кодов программного обеспечения АСУ ТП, что также должны делать эксперты, будь то статический / динамический анализ или защита цепочек поставок.
• Тестирование сетей АСУ ТП на проникновение, проверка важных сотрудников предприятия на устойчивость к социальной инженерии, контроль соблюдения регламентов.
• Внедрение доверенной ОС, защищённого протокола передачи данных (в т. ч. проприетарного), идентификации и аутентификации как рабочего персонала, так и процессов.

Полный обзор здесь.