CC BY
264
УДК 004
БЕЗОПАСНОСТЬ ПРОМЫШЛЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМ, ВИДЫ УГРОЗ И ОБЩИЕ ПРИНЦИПЫ ЗАЩИТЫ
ИНФОРМАЦИИ
Винокурова Ольга Аскольдовна
доцент кафедры автоматизации технологических процессов, кандидат технических наук Московский государственный университет печати имени Ивана Федорова 127550 Россия, г. Москва, ул. Прянишникова, д. 2А ymo@mgup.ru
Шибарова Екатерина Васильевна
аспирантка кафедры автоматизации технологических процессов Московский государственный университет печати имени Ивана Федорова 127550 Россия, г. Москва, ул. Прянишникова, д. 2А shibarova00@mail.ru
Аннотация. В работе рассматриваются вопросы, касающиеся безопасности промышленных и информационных систем, приведены основные причины снижения информационной безопасности промышленных автоматизированных систем управления технологическими процессами. Представлена классификация уязвимостей, возможные основные угрозы и меры их нейтрализации.
Ключевые слова: информационная безопасность, уязвимость, кибербезопасность, промышленная безопасность, АСУТП, вредоносное программное обеспечение, комплексная система защиты.
На сегодняшний день функционирование любого промышленного предприятия невозможно представить без автоматизированной системы управления технологическими процессами (далее АСУТП).
АСУТП — комплекс программных и технических средств, предназначенный для автоматизации управления технологическим оборудованием на предприятиях [1]. Исторически сложилось так, что такого рода системы функционировали в закрытой информационной среде, и для них создавалось специфическое индивидуальное программное и аппаратное обеспечение.
Информационные технологии активно развиваются в различных сферах человеческой деятельности и автоматизированные системы управления производством не являются исключением. Внедрение унифицированных технологий (IP/Internet) позволило вывести промышленные системы управления на новый, более высокий уровень. Все это привело не только к росту экономических показателей, но и к повышению вероятности реализации существующих угроз, а также появлению новых. Стоит отметить, что в течение последних десятилетий атаки на АСУТП становятся привлекательной целью, наблюдается значительный рост целенаправленных атак на промышленные информационные системы с целью промышленного шпионажа, мошенничества и нарушения функционирования предприятия. Так, например, на смену отдельным «червям» Stuxnet (2010) и Flame (2012) пришли более изощренные схемы многоступенчатых атак. А для распространения трояна Havex в 2014 году хакеры взламывали сайты производителей программного обеспечения для управления промышленными
предприятиями ^САОА) и заражали официальные дистрибутивы SCADA-систем, которые затем устанавливались на предприятиях, что позволило злоумышленникам получить контроль над системами управления в нескольких европейских странах [4].
В АСУТП существует значительное количество уязвимостей, являющихся специфическими для промышленных систем, к которым можно отнести следующие.
Человеческий фактор. Эксплуатацией промышленных и корпоративных систем обычно занимаются разные подразделения. Персонал промышленных систем, как правило, достаточно далек от проблем обеспечения информационной безопасности, в его составе нет соответствующих специалистов, а рекомендации ИТ-персонала на него не распространяются. Основной задачей остается решение технологических проблем, возникающих в ходе эксплуатации системы, обеспечение ее надежности и доступности, повышение эффективности и минимизация накладных расходов [5].
Уязвимости операционных систем. Уязвимости операционных систем в равной степени свойственны и для промышленных и для корпоративных систем, однако установка программных коррекций в промышленных системах на регулярной основе зачастую не выполняется. Главной заботой администратора такой системы является ее бесперебойная работа. Установка предварительно не протестированных программных коррекций может повлечь серьезные неприятности, а на полноценное тестирование обычно нет ни времени, ни средств [5].
Слабая аутентификация. Использование общих паролей является обычной практикой для промышленных систем. Благодаря этому у персонала пропадает ощущение подотчетности за свои действия. Системы двухфакторной аутентификации используются довольно редко, а ключевая информация зачастую передается по сети в открытом виде [5].
Удаленный доступ. Для управления промышленными системами довольно часто используется удаленный доступ по коммутируемым каналам или по VPN каналам через сеть Internet. Это может привести к серьезным проблемам с безопасностью [5].
Внешние сетевые подключения. Отсутствие соответствующей нормативной базы и соображения удобства использования порой приводят к тому, что между промышленными и корпоративными системами создаются сетевые подключения. Можно услышать даже рекомендации по поводу использования «комбинированных» сетей, позволяющих упростить администрирование и улучшить безопасность [5].
Средства защиты и мониторинга. В отличие от корпоративных систем использование IDS и антивирусов в промышленных системах не является распространенной практикой, а для анализа журналов аудита безопасности обычно не остается времени [5].
Беспроводные сети. В промышленных системах часто используются различные виды беспроводной связи, включая протоколы 802.11, как известно, не предоставляющие достаточных возможностей по защите [5].
Удаленные процессоры. Определенные классы удаленных процессоров, используемых в промышленных системах для контроля технологических процессов, производительность которых не всегда позволяет реализовать функции безопасности [5].
Программное обеспечение. Программное обеспечение промышленных систем обычно не содержит достаточного количества функций безопасности. Кроме того, оно не лишено архитектурных слабостей [4].
Раскрытие информации. Не редко владельцы промышленных систем сознательно публикуют информацию об их архитектуре. Консультанты и разработчики частенько делятся опытом и раскрывают информацию о бывших клиентах [4].
Физическая безопасность. Удаленные процессоры и оборудование промышленных систем могут находиться за пределами контролируемой зоны. В таких условиях они не могут физически контролироваться персоналом, и единственным механизмом физической защиты становится использование железных замков и дверей, а такие меры уж точно не являются серьезным препятствием для злоумышленников [4].
Эти уязвимости обуславливают особые требования по безопасности и особые режимы эксплуатации таких систем [3]. Резкий рост уязвимостей стал заметен после 2009 года: за три следующих года (2010-2012) число обнаруженных уязвимостей АСУТП выросло в 20 раз (с 9 до 192). После этого среднегодовое количество выявляемых уязвимостей стабилизировалось (181 в 2014 году). Уровень опасности выявленных уязвимостей также сохраняет тенденции 2012 года.
Основное количество уязвимостей имеет высокую (58%) и среднюю (39%) степень опасности.
Промышленные системы эволюционировали от экзотических программных и аппаратных средств в 70-х до вполне современных систем, в которых используются стандартные IBM-совместимые персональные компьютеры, операционные системы семейства Microsoft Windows, сетевые протоколы TCP/IP, Web-браузеры, доступ в Internet [5]. Благодаря такой стандартизации множество угроз в отношении данных систем значительно расширилось. Умышленные угрозы, в зависимости от того, кто выступает в качестве «агента угрозы», можно разделить на следующие основные группы.
Вредоносное программное обеспечение. Промышленные системы также, как и любые другие ИТ-системы, потенциально подвержены угрозам со стороны компьютерных вирусов, сетевых червей, троянских программ и программ шпионов [5].
Инсайдеры. Недовольные внутренние пользователи, хорошо знающие систему изнутри, как показывает практика, представляют собой одну из основных угроз. Инсайдер может умышленно повредить оборудование или программное обеспечение. Администраторы и инженеры, обслуживающие систему, могут также неумышленно нанести вред ее функционированию, допустив ошибку в настройках системы или нарушив определенные правила безопасности [5].
Хакеры. Аутсайдеры могут быть заинтересованы в исследовании возможности получения доступа и контроля над системой, мониторинге трафика и реализации атак на отказ в обслуживании [5].
Террористы. Это наиболее серьезная угроза, создающая основные различия между системами, относящимися к критической инфраструктуре и обычными ИТ-системами. Террористы заинтересованы в том, чтобы вывести систему из строя, нарушить процессы мониторинга и управления, либо получить контроль над системой и нанести как можно больший вред критической инфраструктуре [5].
Последствия от атак на промышленные информационные системы могут носить следующий характер:
• повреждение промышленного оборудования: перегрузка оборудования и преждевременный износ; выход режимов работы оборудования за безопасные пределы;
• повреждение продукции предприятия: снижение качества или объема выпускаемой продукции; повышение затрат на сырье; повышение нагрузки на процесс технического обслуживания;
• нарушение отраслевого законодательства и норм: нанесение реального вреда охране труда и экологической безопасности; нарушение контрактных обязательств по выпуску продукции.
Для разработки методики обеспечения информационной безопасности АСУТП необходимо понимать различие между информационной безопасностью обычных информационных технологий и промышленных систем. Если рассматривать классические информационные системы, то главным объектом
наблюдения является информация, которая обрабатывается в этих информационных системах. В таких системах в первую очередь ориентируются на конфиденциальность, целостность и доступность информации. Если взять промышленные системы, то здесь рассматривается информация в совокупности с технологическим процессом. В таких системах важно обеспечить целостность и доступность технологического процесса и информации, которая в этом технологическом процессе циркулирует. Так же промышленные системы отличаются наличием специализированных протоколов, программного обеспечения и оборудования. Многие промышленные информационные системы были внедрены десятилетия назад, поэтому при работе над вопросами безопасности нужно учитывать, что внесение изменений в программное обеспечение и оборудование может каким-то образом воздействовать на технологический процесс, что в свою очередь усложняет задачу.
Комплексная система защиты АСУТП должна ре-ализовывать следующие функции:
• идентификацию и управление доступом субъектов к объектам защиты;
• целостность программной среды;
• защиту машинных носителей информации;
• антивирусную защиту;
• регистрацию событий и расследование инцидентов информационной безопасности;
• межсетевое экранирование;
• обнаружение или противодействие вторжениям и атакам различной природы;
• контроль и анализ защищенности информационных систем;
• защиту среды виртуализации;
• обеспечение безопасной разработки прикладного программного обеспечения;
• управление обновлениями программного обеспечения;
• обеспечение доступности технических средств и информации;
• защиту автоматизированной системы и ее компонентов [2].
Таким образом, рассмотрим общий подход к разработке комплексной системы защиты промышленных информационных систем, который можно разбить на несколько этапов.
1 этап
1. Оценка состояния.
2. Обследование, определение границ и классификация.
3. Моделирование угроз, анализ рисков, разработка концепции.
4. Техническое задание.
2 этап
1. Разработка системы информационной безопасности: проработка организационной части, техническое проектирование.
2. Внедрение системы (средства защиты, ответственные и документация).
3 этап:
1. Поддержка и улучшение.
Вопрос о защите информационных промышленных систем на сегодняшний день — это необходимая составляющая любого технологического процесса. Информационным промышленным системам присущи уязвимости, характерные и для других информационных систем, а также уязвимости, являющиеся для них специфическими. Для обеспечения адекватной защиты таких систем их разработчики должны будут предпринять значительные усилия по повышению уровня защищенности своих продуктов, встраиванию в них функций безопасности в соответствии с требованиями специализированных профилей защиты с последующей их сертификацией. Владельцы и организации, эксплуатирующие промышленные системы, должны будут изменить свое отношение к вопросам информационной безопасности и существующую систему приоритетов в этой области. Многие промышленные производители уже готовят новое поколение «больших» SCADA-систем, имеющих выходы в Internet. Если в них системы безопасности останутся на нынешнем уровне, то это может грозить серьезными проблемами.
БИБЛИОГРАФИЧЕСКИЙ СПИСОК
1. Втюрин В.А. Автоматизированные системы управления технологическими процессами. Основы АСУТП: учебное пособие для студентов специальности 220301 «Автоматизация технологических процессов и производств». — СПб: СПбГЛТА. 2006. — 152 с.
2. Безопасность АСУТП. URL: http://www. slideshare.net/lukatsky/ss-14279925 (дата обращения: 20.02.16).
3. Воронцов А. Автоматизированные системы управления технологическими процессами // Вопр. безопасности: информ. бюл. комп. «Инфосистемы Джет». Информационная безопасность промышленных объектов. URL: http ://www .jetinfo. ru/j etinfo_arhiv/informatsionnay a-bezopasnost-romyshlennykhobektov/2011/?nid =77f3dbdaa8dfb77077c0888a712a3e1a (дата обращения: 20.12.15).
4. Грицай Г., Тиморин А., Гольцев Ю. и др. Безопасность промышленных систем в цифрах v2.1*. URL: http://www.ptsecurity.ru/download/ SCADA_analytics_russian.pdf (дата обращения: 25.01.16).
5. Особенности обеспечения информационной безопасности промышленных систем. URL: http://iso27000.ru/chitalnyi-zai/bezopasnost-pro-myshlennyh-sistem/osobennosti-obespecheniya-
informacionmi-bezopasnosti-promyshlennyh-sis-tem&gws_rd (дата обращения 20.12.15) 6. Шахновский Г. Безопасность Систем SCADA и АСУТП. URL: http://www.security-bridge.com/ biblioteka/stati_po_bezopasnosti/bezopasnost_siste m_scada_i_asutp (дата обращения 13.02.2016).
7. SecurityLab.ru, FireEye obnaruzhila boviy variant Havex, scaniruushiy OPC-servery,
http://www.securitylab.ru/news/455022.php (дата обращения 13.02.16).
INDUSTRIAL INFORMATION SYSTEM SECURITY. TYPES OF THREATS AND GENERAL PRINCIPLES OF INFORMATION
SECURITY
Olga Askoldovna Vinokurova
Moscow State University of Printing Arts 127550Russia, Moscow, Pryanishnikova street, 2A
Ekaterina Vasilyevna Shibarova
Moscow State University of Printing Arts 127550Russia, Moscow, Pryanishnikova street, 2A
Annotation. The main idea of the article is issues, concerning the industrial information systems safety, also it deals with the main reasons for reducing information security of industrial process control systems. The classification of vulnerabilities are shown, possible threats and ways to remove them.
Keywords: information security, vulnerability, cyber security, industrial safety, process control system, Automated Process Control System (APCS), malicious software, comprehensive child-protection system.
