12 июля 2016

[аналитика] Кибератаки на критически важную инфраструктуру: методы борьбы и российские нормативы

Команда IBM X-Force опубликовала ежегодный доклад, посвященный исследованию кибератак на индустриальные системы и критически важную инфраструктуру. За два года количество подобных атак выросло во всем мире на 636%.

Развитие сферы «Интернета вещей» позволило предприятиям значительно снизить стоимость и улучшить качество эксплуатационного обслуживания индустриальных систем, но в то же время предоставило киберпреступникам больше возможностей для их деятельности.

О том, как обстоит дело с защитой критически важной инфраструктуры в России, рассказали эксперты.


Какие методы защиты SCADA-систем применяются в России?

img
Андрей ЗАИКИН, руководитель ИБ-направления компании КРОК:

Чаще всего промышленные системы наподобие SCADA работают на базе специфических сетевых стандартов, поэтому требуют специализированных инструментов анализа и могут болезненно реагировать на внешние подключения, вплоть до нарушений в функционировании системных компонентов. Поэтому особую популярность получили пассивные системы мониторинга активности и предотвращения угроз (Network Anomaly Detection). Они встраиваются в существующую инфраструктуру и прослушивают трафик на предмет выявления аномалий. Это, в частности, системы класса Network Behavior Anomaly Detection/Deep Packet Inspection, которые применяются для обнаружения аномалий в случае использования промышленных протоколов. Применение подобных решений позволит выявлять атаки на 0-day-уязвимости, а также аномальные команды управления и параметры в промышленных протоколах.

Существуют и так называемые активные инструменты управления информационными потоками и доступом. К ним относятся промышленные межсетевые экраны, решения для защиты конечных узлов и управления доступом к сети, однонаправленные шлюзы и иные подобные решения.

img
Василий ШИРОКО, заместитель директора Check Point Software Technologies в России и СНГ:

Не так давно вышел приказ ФСТЭК № 31, который как раз регулирует методы защиты SCADA, регламентирует требования к системам защиты и является ключевым двигателем развития средств безопасности для SCADA-систем.

В целом безопасность таких объектов во всем мире складывается из двух направлений: защита информационных систем и организация общего уровня безопасности производства, который выражается в большей степени в физической безопасности. Все методы на этих двух уровнях должны работать в комплексе.

Есть ли нормативы, регулирующие данную область в нашей стране?

Андрей ЗАИКИН (КРОК):
На данный момент в сфере государственного регулирования безопасности промышленных и производственных процессов есть несколько рекомендательных документов. В частности, документ Совета безопасности РФ, определяющий «Основные направления государственной политики в области обеспечения безопасности автоматизированных систем управления производственными и технологическими процессами критически важных объектов инфраструктуры РФ». Также существует приказ ФСТЭК России № 31, определяющий методологию защиты автоматизированных систем управления технологическими процессами (описываются процессы обследования защищенности промышленных систем и инфраструктуры, а также проектирования и внедрения мер защиты). Однако и этот документ не является обязательным и требует формализации.

Таким образом, пока общепринятые стандарты в ИБ-области АСУ ТП отсутствуют, некоторые предприятия разрабатывают собственные отраслевые стандарты. В частности, похожая практика используется в концерне «Росэнергоатом», компаниях «Газпром», ТНК и «Транснефть».

По опыту участия в разработке внутрикорпоративных стандартов защиты информации в процессе функционирования промышленных систем могу сказать, что это довольно трудоемкий процесс, требующий предварительного обследования инфраструктуры, определения централизованных механизмов защиты и контроля, учета отраслевых требований к обеспечению безопасности и пр.

Кто понесет в России ответственность в случае крупного сбоя, вызванного проникновением злоумышленников в SCADA-систему?

Андрей ЗАИКИН (КРОК):
Вопрос разделения ответственности напрямую зависит от тяжести последствий такого сбоя. Безусловно, сам злоумышленник будет привлечен к ответственности. Степень ответственности руководства организации будет зависеть от суммы причиненного ущерба, последствий для окружающей среды и здоровья граждан. К примеру, если сумма ущерба для предприятий топливно-энергетического комплекса превысит миллион рублей или в результате сбоя пострадают люди, то руководство предприятия может быть привлечено к уголовной ответственности в соответствии со ст. 217.1 УК РФ как «не обеспечившее защиту».

Василий ШИРОКОВ (Check Point Software Technologies):
Как правило, злоумышленник находится далеко и призвать его к ответственности практически невозможно. Любой инцидент на предприятии регулируется в том числе внутренними документами. Представьте себе, что в результате действий злоумышленников остановилась домна или произошел взрыв на алюминиевом комбинате – тогда понесут ответственность все те, кто связан с безопасностью и организацией производства, начиная с технических директоров и заканчивая высшим руководством. Причем она может быть вплоть до уголовной, если будут человеческие жертвы.

К счастью, дисциплина в таких организациях существенно выше, чем в обычных компаниях. Статистика свидетельствует, что атак на SCADA-системы действительно много, уязвимостей тысячи, но тех, которые могут быть использованы, всего несколько. И даже их можно легко закрыть, в том числе организационными методами. Представьте себе обычную компанию, руководитель которой обязывает сотрудников, чтобы все флешки, которые они приносят, сначала проверялись на отдельном специальном компьютере, где установлены все обновленные версии антивирусов. Если все в порядке, можно вставлять их в рабочий ПК. Это та самая гигиена, аналогичная персональной, которая существенным образом снижает вероятность несанкционированного проникновения в SCADA-систему.

Насколько дорого обеспечить защиту SCADA-системы на высоком уровне?

Андрей ЗАИКИН (КРОК):
Стоимость обеспечения защиты SCADA-системы будет существенным образом зависеть от текущего уровня защищенности предприятия, его территориальной распределенности и выбранных инструментов защиты. Однако совершенно точно можно сказать, что затраты на информационную безопасность несопоставимы с возможными последствиями. Экономика взлома также может варьироваться. Иногда, особенно если система доступна для удаленного управления, а ИБ-политика не продумана, для атаки не понадобится особых усилий. В других же случаях взлом потребует покупки или длительного сбора технической информации.

Василий ШИРОКОВ (Check Point Software Technologies):
Организация безопасности на критически важных объектах действительно стоит недешево, однако при правильном подходе она вписывается в рамки и полностью себя оправдывает.
Главное – это использовать комплексный подход к безопасности. Так, в SCADA-системах существуют три сегмента, которым необходима защита. Причем для первого, который отвечает за общее диспетчерское управление, можно задействовать уже имеющиеся в организации решения по безопасности корпоративных сетей: межсетевые экраны, системы обнаружения вторжения, антивирусы и т. д. К этому нужно добавить не так уж и много.

Затем идут сегмент контроллеров, которые отвечают за технологический процесс, и сегмент управляющих устройств, куда входят датчики, переключатели и т. д. Таким образом, в современных системах очень много контролируется в комплексе, а не только ИБ-решениями. Поэтому стоимость расширения системы безопасности будет незначительной, а вред от атак снизится.

Однако сейчас доказать владельцам SCADA, что нужно защищаться от атак, не так просто, потому что в основном инциденты на объектах связаны с технологическим процессом, а не с информационной безопасностью. Например, шахты: мы много раз слышали про случаи взрывов газа – и ни разу про атаки на АСУ ТП.

Но есть высокотехнологические процессы, где это важно. И таких процессов с каждым годом все больше и больше. Критическим становится третий сегмент, который связан с исполняющими механизмами. От простой проволоки и электрических сигналов он переходит на цифровые каналы типа Ethernet, и вот здесь начинаются проблемы.

В России есть компании, предлагающие решения, которые обещают перевод всех контроллеров в локальные облака и соответствующие методы защиты. В ответ им стоит напомнить про «Интернет вещей» – это глобальная АСУ-ТП-система. Сейчас на вещах типа холодильников, утюгов и автомобилей, которые не являются критическими, отрабатываются все новые технологии управления, контроля, безопасности, авторизации и т. д. И если компания-разработчик сейчас не поймает этот тренд, то через два-три года она уже не сможет догнать рынок. Все, кто это понимает, отработают свои технологии и придут в промышленность с готовыми решениями. Кроме того, на волне популярности «Интернета вещей» разработка ведется всем мировым сообществом. Поэтому плата за технологии для отдельного вендора будет минимальной. В результате на рынке появятся приемлемые по цене, работоспособности и безопасности решения для управления технологическими процессами, в том числе для стратегических предприятий.

Реальна ли угроза масштабной кибервойны, когда в случае конфликта на территории какого-либо государства выйдет из строя критически важная инфраструктура?

Андрей ЗАИКИН (КРОК):
Теоретически это возможно. И даже отражено в обновлении ИБ-доктрины, где особое внимание уделяется блоку угроз со стороны зарубежных стран в плане воздействия на критическую информационную инфраструктуру РФ, предприятия оборонно-промышленного комплекса и пр. Кстати, показательно, что и в опросе, проведенном недавно университетом «Иннополис», 18 из 100 опрошенных руководителей крупных российских компаний также видят угрозу со стороны иностранных правительств.

Кроме того, в конце прошлого года Президент РФ подписал Указ № 683 «О Стратегии национальной безопасности РФ», где деятельность террористических и экстремистских организаций в отношении критической инфраструктуры названа одной из основных угроз. Возможно, следующий шаг сделают регуляторы и примут соответствующий закон в области защиты АСУ ТП. Пока же обеспечивать защиту стоит в соответствии с внутрикорпоративной политикой безопасности и здравым смыслом.

Василий ШИРОКОВ (Check Point Software Technologies):
Этот вопрос уже относится к информационной безопасности и независимости на уровне государства. Нельзя полностью исключать опасность отказа в функционировании или просто отключения тех или иных устройств, формирующих информационную сеть страны, в случае каких-либо конфликтов или санкций. И именно поэтому ключевые стратегические производства и системы – железные дороги, атомные электростанции, сети электропередач, информационные сети и т. д. – должны защищаться на самом высоком уровне.

В том числе для этого применяется подход, который называется импортозамещением. По факту (с моей точки зрения) это использование доверенного оборудования. Не так важно, кто и где его произвел, – важно, чтобы оно выполняло свои функции надлежащим образом и гарантированно обеспечивались сервис его поддержки и долгосрочный контролируемый производственный цикл. Для этого текущих процедур сертификации недостаточно. Требуются дополнительные меры, а весь процесс проходит в русле информационной безопасности страны, а не просто отдельных объектов и производств.

Автор: Ольга Блинкова
Источник: Google Alert - ИБ АСУ ТП