Как повысить защищенность АСУ ТП? Практические советы по первоочередным мерам Пора действовать © ОАО «ЭЛВИС-ПЛЮС», 2012 г. Руслан Стефанов Руководитель направления ИБ АСУТП ОАО «ЭЛВИС-ПЛЮС» 2012 год

Материалы по защите АСУТП По мнению экспертов разработка отраслевых стандартов ИБ АСУТП в энергетике должна основываться на: Документах о КСИИ и НСД в АС (ФСТЭК) NIST SP DHS Common Cybersecurity Vulnerabilities in ICS NERC CIP NISTIR 7628 (SmartGrid) ISA-99 Материалы компании ЭЛВИС-ПЛЮС: (Infobez 2012)

Отправная точка на пути защиты АСУТП Все согласны: АСУТП защищать надо! От НСД! Подходы информационной и промышленной безопасности отличаются! Стоимость защиты НЕ должна быть больше выгод от автоматизации! При оценке экономического эффекта автоматизации необходимо учитывать затраты на защиту АСУТП!

Не материальный объект В чем главная особенность АСУТП? Информация в АСУТП в отличие от других ИС имеет не косвенную, а прямую взаимосвязь с физическим (материальным) объектом через датчики и приводы Информация АСУТП Материальный объект Информация ИС Прямая связь Косвенная связь

Что интересует злоумышленника в АСУТП? Информация? Нет! Влияние на физический объект или технологический процесс!

Цели злоумышленников Вредоносное ПО (хакеры) – как правило, не направлено непосредственно на АСУТП, но ведет к отказу в обслуживании в различных видах (полный отказ, потребление ресурсов системы, отказ служб и сервисов при отсутствии контроля) Инсайдеры – сокрытие следов экономических преступлений, месть Террористы – чрезвычайные ситуации различного масштаба Иностранные разведки – влияние на внутреннюю и внешнюю политику государства

Деструктивные воздействия Потеря управляемости технологического процесса Несанкционированное управление исполнительными механизмами Потеря видимости технологического процесса Фальсификация измерений датчиков Модификация параметров технологического процесса Параметры нормального режима Уставки противоаварийной защиты Отказ в обслуживании Авария или останов технологического процесса Деградация вычислительных ресурсов Сокрытие следов преступлений Экономических Уголовных

Немного общих рекомендаций по защите АСУТП Защищать «Белый ящик» АСУТП легче и эффективнее, чем «Черный ящик». Стратегия известна: ISA-99 – зоны и каналы, защита периметра Разделение на независимые части (сегментирование, Defense-In-Depth) Не использовать одинаковые и общие реализации функций АСУТП, способы и средства доступа к компонентам, дублирование и резервирование! Стремиться обнаружить угрозу и атаку, как можно раньше! Физическая защита

Что делать? (Приоритеты) 1. Готовьтесь к худшему: подготовка планов и ревизия ресурсов для аварийного восстановления критичных сервисов, обучение персонала Никто Вам не поможет! Защиты против 0-day угроз нет и не может быть! 2. Будьте бдительны: выявление актуальных угроз из всех возможных Происходят ли в Вашей АСУТП странные события и подозрительная активность? Создайте систему обнаружения подозрительных событий и атак. 3. Действуйте: Примите все остальные возможные меры и средства по защите АСУТП, начиная с наиболее простых и доступных.

Готовьтесь к худшему! Разрабатывайте и проверяйте осуществимость планов восстановления после аварий Вспомните, где лежат дистрибутивы, лицензионные ключи, ЗИП, бекапы и прочее необходимое при реализации плана восстановления Выполните шаги по процедуре восстановления Используйте новые или другие проверенные методы повышающие эффективность восстановления Виртуализация и создание снимков системы Точки восстановления ОС

Будьте бдительны! Следите за публикациями ICS-CERT и других источников: ICS-СERT, Digitalbond, Toffino, RISI, MITRE (CVE, CWE) Отчеты исследователей ИБ (Beresford, Santamarta, Auriemma, Wightman) Ни одно технологическое нарушение или инцидент не должны остаться без выяснения причин его возникновения! Собирайте информацию о технологических нарушениях и инцидентах, анализируйте результаты расследований Используйте имеющиеся средства регистрации и анализа событий (журналы устройств и программного обеспечения) Внедряйте новые средства и системы, имеющие функции предупреждения и оповещения ПО антивирусной защиты и контроль приложений (белые списки) Системы обнаружения подозрительной активности (network, host IDS) Security information and event management (SIEM) Приманки-ловушки (honeypot)

Действуйте! Используйте доступные меры: от простого к сложного Усиленная аутентификации «Белые списки» приложений и ПО антивирусной защиты Защита периметра и сегментация Защита удаленного доступа Архитектурные решения Помните! Затраты на внедрение решений ИБ НЕ должны превышать выгоду от автоматизации, иначе лучше жить в каменном веке ручного управления!

Усиленная аутентификация Наш опыт в проведении аудитов и тестов на проникновение привел к следующим выводам: Почти все АРМы и серверы доступны из корпоративной сети Даже, если технологическая сеть изолирована, есть USB На одном обследуемом объекте системный блок АРМа был закрыт в тумбочке на ключ Почти везде есть удаленный доступ к АРМ (RDP, Radmin) Даже, если удаленный доступ закрыт, уязвимости используемых не обновляемых версий ОС Windows позволяет его получить Везде используются слабые пароли (3-4 символа, максимум 6, стикеры с паролями на столах дежурного персонала) Хеши таких паролей подбираются максимум за сутки Все пароли из 6 символов были паролями «по умолчанию» и присутствовали в проектной и технической документации производителя

Успешная атака на АРМ дежурного подстанции

Пароль на столе дежурного Курьезный случай: При проникновении на АРМ с Windows 7 было обнаружено, что пользователь использовал при аутентификации встроенную возможность ОС для подсказки пароля. Подсказка содержала … Пароль! Пароль

Усиленная аутентификация (вариант 1) Решение для АРМ АСУТП Ревизия и смена паролей для всех учетных записей SmartCard считыватель с функцией эмуляции клавиатуры Программатор и карточки SmartCard Пароль вводится при поднесении карточки к считывателю (курсор должен быть в поле ввода пароля) И уровень защиты повышен и оператору удобно!

Усиленная аутентификация (вариант 2) Драйвер Коннектор Приложение

Усиленная аутентификация Плюсы Применение сложных паролей, которые намного труднее подглядеть, запомнить или подобрать (повышение уровня защищенности) Удобнее чем вводить пароль с клавиатуры, даже если пароль «111» (повышение эргономичности рабочего места) Возможность определения признака «внутренний/внешний» при помощи журналов (расследование инцидентов)

ПО антивирусной защиты Оценка необходимости ПО антивирусной защиты Плюсы Вредоносное ПО все-таки проникает в АСУТП и с ним необходимо бороться Индикатор возможных угроз, требующих дальнейшего внимания и расследования Минусы Низкая эффективность противодействия уникальному и ранее неизвестному вредоносному ПО (0-day уязвимости)

«Белые списки» приложений Решения McAfee, Kaspersky Lab Плюсы Фильтрация по принципу: запрещено все кроме того, что разрешено В настоящее время это решение активно внедряется в АСУТП за рубежом

Защита периметра и сегментация Подход на основе «зон» и «каналов» изложен в ANSI/ISA-99

Защищенный удаленный доступ Современный подход к организации обслуживания и эксплуатации требует наличия удаленного доступа Активно используются (через Интернет и Интранет): Доступ с использованием веб-технологий (к прикладному ПО) Терминальный доступ (к активным сетевым компонентам, серверам, АРМ и прикладному ПО) VPN доступ (в технологическую сеть) Dial-Up доступ (к отдельным устройствам по коммутируемым каналам связи) Там где это возможно, доступ должен предоставляться по запросу на время необходимое для проведения работ. Затем доступ должен быть закрыт.

Решения на рынке Проведенные нами исследования показали, что на мировом рынке присутствует около 30 специализированных зарубежных решений и 3 российских, как для производителей, так и операторов АСУТП: Tofino, Wurdltech, Industrial Defender, Cisco, Waterfall, MatriconOPC, McAfee, EDF, Revere Security, Tenable Nessus, Canvas (SCADA+ Pack GLEG) и другие Станкоинформзащита, ОКБ САПР, MaxPatrol Ведутся активные работы по созданию новых решений (ОС для АСУТП от Kaspersky Lab). Наблюдается тенденция поглощения крупными вендорами АСУТП производителей защищенных решений для промышленных сетей Siemens и RuggedCom Belden/Hirschmann и Tofino Industrial Security

Заключение Еще раз: Готовьтесь к худшему! Будьте бдительны! Действуйте!

Спасибо за внимание ! , МОСКВА, Зеленоград, проезд 4806, д. 5 стр. 23 тел. (495) , факс (499) Руслан Стефанов Моб: