Необходимость информационной защиты автоматизированных систем управления технологическими процессами (АСУ ТП) в настоящее время уже не подвергается сомнению со стороны ведущих мировых специалистов. Тем не менее все еще достаточно широко распространено мнение, что подобные системы не нуждаются в защите или изначально неплохо защищены. Кроме того, некоторые специалисты уверены, что имеющиеся сегодня средства защиты не могут быть использованы в индустриальной информационной среде.

Отчасти такие сомнения оправданны – существующие средства информационной защиты действительно необходимо применять в индустриальной среде с большой осмотрительностью, однако пренебрегать защитой ни в коем случае нельзя. Совершенно ясно, что в современных условиях информационные технологии могут быть использованы для негативного воздействия на индустриальные объекты, вплоть до нанесения значительного материального ущерба и даже до физического разрушения. Несколько таких случаев уже было зафиксировано.

Разумеется, подходы к информационной безопасности АСУ ТП существенно меняются по сравнению с «офисной» информационной средой или использованием информационных технологий в личных целях. Если для рядовых пользователей приоритетом является конфиденциальность информации, а целость и доступность данных имеют меньшую значимость, то в технологических системах управления приоритеты другие, и первостепенное значение здесь имеют как раз целостность и доступность данных, благодаря которым и обеспечивается непрерывность процесса управления.

Нарушить стабильность функционирования производственной сети сегодня может не только отказ технологических узлов или ошибка оператора, но также ошибки в ПО, случайное заражение рабочих станций вредоносными программами или целенаправленные действия со стороны киберпреступников. А они в последние годы проявляют все больший интерес к инфраструктурным и промышленным объектам.

Например, с 2010 г. и по настоящее время продолжается кампания кибершпионажа, известная как Crouching Yeti или Energetic Bear. Более 2800 предприятий, значительная часть которых связана с энергетикой и машиностроением, уже пострадали от действий организаторов этой операции – предположительно похищена конфиденциальная информация, составлявшая коммерческую тайну. Большая часть предприятий-жертв находится в США и Испании, однако в их числе есть и некоторые российские объекты.

Другой пример: 2 января 2014 г. системный администратор японской АЭС Monju обнаружил многократные удаленные подключения к одному из восьми компьютеров в центре управления реактором. Причиной этого инцидента стала установка одним из сотрудников обновления бесплатного видеоплеера GOM Media Player. В результате инцидента злоумышленниками была украдена часть информации, в том числе конфиденциальной, хотя последствия исполнения злонамеренного программного кода в центре управления реактором могли бы быть куда более опасными.

Казалось бы, в этих условиях достаточно обеспечить сетевую изоляцию АСУ ТП. Но несостоятельность этой концепции продемонстрировал печально известный инцидент с Stuxnet: компьютерный червь размером 500 Кб проник в изолированные сети через USB-накопитель и инфицированные SCADA-проекты, заразил программируемые логические контроллеры и физически вывел из строя центрифуги на ядерном объекте в Иране. Более того, потом этот червь «вырвался на свободу» и затронул ряд других критически важных объектов.

В конце 2014 г. также была зафиксирована атака на одно из металлургических предприятий в Германии. При помощи фишинга и методов социальной инженерии, в частности посредством писем, содержавших вредоносные вложения, киберпреступники проникли во внутреннюю сеть предприятия и получили доступ к системам управления производством. Инцидент привел к тому, что сталеплавильную печь невозможно было остановить в штатном режиме, что привело к значительным убыткам. Это второй случай после Stuxnet, когда проникновение вредоносного ПО в АСУ ТП закончилось для предприятия реальным материальным ущербом.

Однако АСУ ТП критически важных объектов угрожают не только целенаправленные атаки со стороны кибертеррористов. Специфика этих систем такова, что они вполне могут пострадать и от самых обычных, «офисных» вирусов. Однако в промышленных сетях обычное вредоносное ПО способно причинить несравнимо больший вред, чем при заражении офисного или домашнего компьютера – например, заблокировать выполнение критически важных приложений, что приведет к сбою в работе оборудования. Например, червь Conficker сумел заразить производственную сеть только потому, что в ней не было своевременно установлено обновление ОС Windows.

Зловред посылал миллионы сетевых запросов, тем самым вызывая паралич производственной сети.

Даже средства автоматизированного проектирования могут использоваться для распространения вредоносного кода. Так, например, был зарегистрирован случай проникновения в производственную сеть вредоносной программы, написанной на языке AutoLisp (AutoCAD). Она внедрила вредоносный код в чертеж, открытие которого привело к массовому уничтожению данных.

Основным показателем защищенности АСУ ТП является их способность поддерживать стабильность, непрерывность и корректное функционирование технологического процесса, будь то выработка и передача электричества, очистка воды, управление производством или что-то другое, независимо от внешних воздействий. Но в реальной жизни всегда существует масса факторов, из-за которых промышленные системы могут выйти из строя, особенно если им «помогают» киберпреступники.

Наибольшему риску АСУ ТП сегодня подвергаются в первую очередь из-за устаревшего ПО, оборудования и коммуникационных протоколов, изначально не предполагавших даже самой возможности существования киберугроз. Проблема усугубляется еще и тем, что для обновления этого ПО нужно преодолеть массу административных и технологических трудностей, и не каждая компания пойдет на это.

Немало вопросов вызывает также информационное взаимодействие сети АСУ ТП с офисной сетью предприятия. Обычно АСУ ТП функционируют в изолированной сети, но нередки случаи, когда в ней создаются каналы обмена информацией с корпоративной сетью для обеспечения тех или иных производственных процессов. Часто доступ к сети АСУ ТП имеют сторонние, например, сервисные компании или компании производители оборудования, что также чревато проблемами. Зачастую при этом владельцы промышленных объектов уверены в том, что их АСУ ТП изолирована, что не способствует принятию ими мер защиты и предотвращения вторжений.

Если говорить непосредственно о компонентах АСУ ТП, то уязвимыми элементами в них являются ПЛК, сетевое оборудование, промышленные сетевые протоколы общения, а также SCADA-системы. Контроллеры подвержены сетевым атакам вроде DoS/DDoS, часто содержат неизменяемую идентификационную информацию. Используемые сетевые протоколы нередко не имеют механизмов подтверждения аутентификации и шифрования данных. Что касается SCADA, то, как и обычные Windows приложения, они подвержены всем тем же уязвимостям, и это, безусловно, дает злоумышленникам «простор для творчества». На данный момент только в открытых источниках указано около 650 уязвимостей в SCADA-системах, и эта цифра продолжает расти.

В современных условиях информационные системы АСУ ТП должны как содержать защиту от «обычных» зловредов, так и располагать специальными средствами для противодействия целенаправленным атакам.

К сожалению, сегодня в России защиту промышленной инфраструктуры затрудняют как архитектурные, так и организационные и технологические факторы. Не способствует решению проблем и сложная бюрократическая процедура внесения изменений в работу промышленных и особенно критически важных промышленных объектов.

Как известно, российские АСУ ТП, однажды пройдя процедуру ввода в эксплуатацию, «опечатываются» и работают без обновлений многие годы. Строгие регламенты и нормативные акты не позволяют вносить в уже сертифицированную систему какие-либо изменения, даже в виде обновления операционной системы. Между тем, когда происходила приемка системы, проверка встроенных свойств безопасности, скорее всего, не проводилась. Да и само понятие безопасности, как правило, до сих пор сводится к ограничению доступа пользователя по паролю, который, опять же, нередко хранится в открытом виде в базе данных самого приложения.

Вычислительное оборудование АСУ ТП тоже, как правило, вводится в эксплуатацию с уже устаревшими прошивками (внутренним исполняемым микрокодом). Однако на сайте производителя всегда доступна свежая прошивка, в которой ряд известных проблем с информационной безопасностью уже закрыт, но их наличие никто не проверяет даже на этапе развертывания системы – просто потому, что с администраторов этого никто не требует.

С другой стороны, автоматизацией технологических процессов обычно занимаются не сами предприятия-операторы, а сторонние фирмы-подрядчики. Они, в свою очередь, заинтересованы в реализации именно функциональной составляющей, не придавая особого значения информационной безопасности, поскольку ее реализация – довольно трудозатратное занятие. Таким образом, предприятие получает только ту степень защиты от киберугроз, которая требуется действующим законодательством, ни о каких специальных настройках и проверках речь не идет. В конце концов использующееся ПО «падает» или поддается несанкционированному управлению без особых проблем.

Помимо этого, существуют трудности с обнаружением киберугроз из-за отсутствия сетевого мониторинга, а также с необходимостью привлечения сторонних экспертов, в то время как предприятия не горят желанием сообщать об инцидентах. Наконец, проще переустановить, чем разбираться.

Вопрос информационной безопасности КВО в России давно назрел, и его следует решать комплексно. Государственные органы всерьез озабочены разработкой регламентных документов. Так, сейчас проходит согласование в министерствах проекта федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации». ФСТЭК РФ выпустил приказ от 14.03.2014 № 31 «Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды». Эта деятельность, несомненно, полезна, но в условиях XXI в. ее недостаточно – регулирование в области IT/OT сегодня реактивно и явно отстает быстро развивающихся технологий. Помимо регламентных документов, должны быть:

• выработаны методологии и практики для построения защищенной инфраструктуры КВО;

• выработаны единые критерии защищенности инфраструктуры КВО, которые должны оперативно дорабатываться и адаптироваться под изменения ландшафта угроз;

• разработаны методы стимулирования и юридической поддержки КВО, которые уже разрабатывают и применяют эффективные меры защиты;

• образовательные программы для работников и управляющих КВО.

Надежную защиту АСУ ТП можно обеспечить только при сотрудничестве государства, самих предприятий, проектных, научных организаций и производителей решений информационной безопасности.

Необходимо выработать методологии и практики для построения защищенной инфраструктуры критически важных объектов, прийти к соглашению по единым критериям защищенности промышленной инфраструктуры, которые должны оперативно дорабатываться и адаптироваться под изменения ландшафта угроз, разработать методы стимулирования и юридической поддержки тех предприятий, которые уже применяют эффективные меры защиты, а также в обязательном порядке проводить образовательные программы для работников и управляющих АСУ ТП.

Государству также необходимо принимать и другие меры, например организовывать регулярные кибертеррористические тренировки, разработать и внедрить единую политику в области обеспечения и контроля поставок оборудования и ПО для АСУ ТП, создать единые стандарты по приемке и сертификации АСУ ТП при вводе их в эксплуатацию, которые включали бы критерии информационной безопасности.

Сегодня в России нет организаций, которые занимались бы мониторингом ситуации с безопасностью АСУ ТП системно, это вне компетенции любого из существующих госорганов. Именно поэтому «Лаборатория Касперского» видит необходимость в создании Национальной российской тестовой лаборатории по исследованию проблем информационной безопасности критически важных объектов. Такой единый центр мог бы на федеральном уровне исследовать как уже известные, так и перспективные подходы по организации защиты АСУ ТП, своевременно обнаруживать проблемы информационной безопасности в используемых программных и аппаратных средствах, вырабатывать рекомендации по их устранению, информировать соответствующие предприятия, рекомендовать к использованию протестированные программно-аппаратные средства, обладающие высокими показателями устойчивости к кибератаке, и т. д.

Наряду с этим для защиты ИТ-инфраструктур промышленных объектов нужны и принципиально новые методы, технологии и продукты. Многие производители решений информационной безопасности сейчас пытаются внедрять свои обычные, «офисные» продукты в АСУ ТП, однако такой подход может быть использован только в короткой перспективе. В промышленных системах есть своя специфика и нужны продукты, ее учитывающие. Именно поэтому «Лаборатория Касперского» сейчас работает над созданием ряда специальных решений, предназначенных для защиты АСУ ТП от самых разных киберугроз как на уровне сетевых узлов, так и на уровне защиты информационной сети в целом.

В основе разработок «Лаборатории Касперского» лежит безопасная операционная система, над созданием которой компания работает продолжительное время. Она не является заменой для существующих систем, таких как Windows, Linux, MAC OS, которые предназначены для рабочих станций и серверов. Защищенная ОС предназначена для устройств, для которых важно обеспечить высокий уровень информационной безопасности и надежности, например, для PLC-контроллеров, сетевого оборудования или узлов SCADA-систем.

Операционная система, созданная «Лабораторией Касперского», предоставляет программную среду, которая позволяет любому программному компоненту, будь то драйвер, сервис или приложение, выполнять только предварительно декларированную функциональность. Она обеспечивает такой контроль независимо от того, как реализован исполняющийся программный модуль, предоставляя возможность строить доверенные системы из недоверенных компонентов.

Кроме этого, «Лаборатория Касперского» разрабатывает специализированные средства, предназначенные для информационной защиты сетевых узлов под управлением операционных систем семейства Windows. Принципиальное отличие этих средств от широко распространенных средств антивирусной защиты заключается в том, что они используют ресурсы компьютера нормированным образом, позволяя гарантировать, что основная функциональность программного обеспечения компьютеров в ответственных применениях будет иметь ресурсы для исполнения.

Также «Лаборатория Касперского» разрабатывает средства сетевого мониторинга, которые анализируют копию сетевого трафика, тем самым гарантируя отсутствие влияния на процессы в управляющей сети. Вместе с тем такого рода мониторинг позволяет на ранней стадии определить нехарактерное поведение сетевых устройств, непредусмотренную сетевую активность, целостность сети, изменения в поведении отдельных сетевых узлов, нарушения в потоке управляющей информации технологического процесса. Мониторинг сетевой информации и предупреждения, генерируемые такой системой, позволяют вовремя информировать подготовленный обслуживающий персонал и принимать компенсирующие или иные меры, предупреждающие негативное развитие ситуации.