Американское лекало

В качестве примера комплекса мероприятий по обеспечению необходимого уровня защиты информации в системах управления производством можно рассмотреть методический материал Министерства энергетики США и Совета по защите критичной инфраструктуры при Президенте США «21 Steps to Improve Cyber Security of SCADA Networks».

В брошюре даётся 11 рекомендаций по снижению рисков информационной атаки на SCADA-системы (ещё 10 рекомендаций касаются выработки стратегии информационной безопасности):

1. Идентифицируйте все точки входа в сеть SCADA-системы.

   Добейтесь чёткого понимания всех способов подключения к сети SCADA-системы и уровня их защищённости. Необходимо проверить по крайней мере следующие каналы: внутренние локальные и глобальные сети, включая деловые сети; сеть интернет; беспроводные сетевые устройства, включая спутниковые подключения; модемные или телефонные соединения; каналы связи с партнёрами, поставщиками или регулирующими органами.

2. Отключите все необязательные точки входа в сеть SCADA-системы.

   Чтобы гарантировать высокий уровень защищённости SCADA-системы, изолируйте сеть системы от других сетей настолько, насколько это возможно. Любое соединение с другими сетями создаёт риски информационной безопасности, в особенности это относится к соединениям с интернет. Хотя прямые соединения с другими сетями могут позводить эффективно и удобно обмениваться информацией, небезопасные соединения просто не стоят связанного с ними риска; изоляция сети SCADA для обеспечения информационной безопасности должна быть на первом месте. Стратегии типа использования «демилитаризхованных зон» или организации хранилищ данных могут обеспечить безопасный обмен данными между сетями SCADA и деловыми сетями. Однако эти системы должны обеспечивать необходимый уровень безопасности.

3. Оцените и усильте информационную защищённость всех оставшихся точек входа в сеть SCADA-системы.

   Проведите тестирование на устойчивость к вторжению или анализ уязвимостей всех оставшихся соединений с сетью SCADA,чтобы оценить положение с информационной безопасностью этих каналов. Используйте эту информацию вкупе с процедурой анализа рисков для выработки взвешенной стратегии защиты всех каналов входа в сеть SCADA. Поскольку SCADA-система защищена настолько, насколько защищена её самая «слабая» точка входа, необходимо использовать брандмауэры, системы обнаружения вторжений и другие необходимые защитные меры в каждой точке входа.

4. Повысьте безопасность сети SCADA-системы при помощи отключения необязательных сетевых сервисов.

   Управляющие серверы SCADA, построенные на коммерческих или открытых операционных системах, могут быть уязвимыми для атак через стандартные сетевые сервисы. В максимально возможной степени удалите или отключите неиспользуемые сервисы и сетевые службы, чтобы снизить риск прямой атаки. Это особенно важно, когда сети SCADA соединены с другими сетями. Не активируйте сервис или возможность сети  SCADA, если тщательный анализ связанных с этим рисков не подтвердит, что преимущества использования этого сервиса или возможности значительно перевешивает потенциальные потери в случае использования его/её уязвимостей.

5. Не рассчитывайте на то, что секретные фирменные протоколы передачи данных защитят вашу систему.

   Некоторые SCADA-системы используют уникальные, фирменные протоколы омена данными между датчиками/приводами и серверами. Очень часто защита SCADA-систем базируется исключительно на секретности этих протоколов. К сожалению, засекреченные протоколы обеспечивают чрезвычайно слабую реальную информационную безопасность. Не полагайтесь на закрытые протоколы или настройки по умолчанию в вопросах защиты Вашей системы. Кроме этого, требуйте, чтобы поставщики закрывали все «люки» или сервисные интерфейсы в SCADA-системах, а также приобретайте только те системы, которые могут быть адекватно защищены.

6. Активируйте все возможности по защите информации, предоставленные поставщиками программных и аппаратных средств.

   Большинство старых SCADA-систем (большинство используемых сейчас систем) вобще не содержат средств защиты информации. Владельцы таких систем должны требовать от поставщиков реализовать функции защиты в виде патчей или обновлений. Некоторые более новые SCADA-системы включают в себя простейшие защитные функции, но обычно они отключены для облегчения установки.

   Преверяйте каждое устройство SCADA, чтобы определить, встроены ли в них защитные функции. Кроме того, заводские установки часто оптимизированы под максимальное удобство, а не под максимальную безопасность. Установите все настройки безопасности на максимальный уровень.

7. Установите жёсткий контроль над всеми каналами, которые можно использовать для нештатного проникновения в сеть SCADA-системы.

   В тех случаях, когда в SCADA-системах предусмотрены «люки» или «сервисные интерфейсы», должна использоваться надёжная аутентификация для гарантии безопасности соединения. Модемы, беспроводные устройства и проводные сети, используемые для связи и обслуживания системы представляют серьёзную уязвимость для систем и сетей SCADA.

8. Внедрите системы обнаружения внешних и внутренних вторжений и организуйте круглосуточный мониторинг нештатных ситуаций.

   Чтобы иметь возможность эффективно противостоять кибер-атакам, внедрите стратегию обнаружения вторжений, включающую в себя предупреждение сетевых администраторов о вредоносной сетевой активности, имеющей внешние или внутренние источники. Система обнаружения вторжений необходима 24 часа в сутки; эта возможность может быть легко реализована при помощи пейджера.

   Кроме этого, должны быть утверждены ответные меры эффективной реакции на атаку. В дополнение к сетевому мониторингу активируйте ведение журналов во всех системах и проверяйте их ежедневно, чтобы максимально оперативно отслеживать источники атак.

9. Проведите технический аудит устройств и сети SCADA-системы и всех подключённых к ним сетей, чтобы обнаружить проблемы безопасности.

   Технический аудит устройств и сети SCADA-системы критичен для эффективной работы системы обеспечения информационной безопасности. Доступно множество коммерческих и открытых программных продуктов для анализа защищённости сетей и систем и выявления уязвимостей. Использование этого инструментария не позволит решить системные проблемы, но исключит «путь наименьшего сопротивления» для злоумышленников.

10. Проведите проверки физической безопасности и определите все удалённые терминалы, подключённые к сети SCADA-системы, чтобы оценить их безопасность.

    Любое место, из которого можно установить связь со SCADA-системой, это цель для атаки, особенно если оно безлюдное или неохраняемое. Проведите проверку физической безопасности и инвентаризируйте все точки доступа к каждому устройству, имеющему связь со SCADA-системой. Определите и оцените каждый источник информации, включая телефонные/компьютерные сетевые/оптоволоконные кабели, к которым можно подключиться; радио и микроволновые каналы связи, которые можно злонамеренно использовать; компьютерные терминалы, к которым можно получить доступ; беспроводные точки доступа к локальным сетям. Выявите и устраните «слабые места». Безопасность точки доступа должна быть достаточной, чтобы зафиксировать или предотвратить несанкционированный доступ.

11. Организуйте «диверсионные подразделения» для SCADA-системы, чтобы выявить и оценить возможные сценарии атаки на систему.

    Задействуйте различных специалистов, которые могут предоставить «взгляд изнутри» на уязвимости сети в целом, SCADA-систем, физических систем и блоков системы защиты информации. Люди, постояно работающие со SCADA-системами, прекрасно представляют себе уязвимости Вашей сети SCADA и должны привлекаться к консультациям при определении сценариев потенциальных атак и оценке возможного ущерба от их реализации. Также, убедитесь, что полностью оценен риск столкнуться с действиями инсайдера, так как они сейчас оцениваются, как одна из самых опасных угроз. Используйте информацию «диверсионных подразделений» для оценки рисков и выработки адекватной стратегии обеспечения информационной безопасности.

Указанные рекомендации применимы не только к SCADA, но и к любым информационным системам, обеспечивающим функционирование критичных инфраструктур.

Сергей Середа / CNews Analytics