Кибербезопасность АСУ ТП. Перечень мероприятий для повышения безопасность. То есть "куда смотреть", чтобы стало немного безопасней. Совет по ТЭК 4CIO

1. Подольный Вадим Павлович
Независимый эксперт
Кибербезопасность АСУ ТП
ЖЦ аппаратного и программного обеспечения АСУ ТП

2. КБ АСУ ТП. Обеспечение безопасности на этапах жизненнго цикла
2
Методы обеспечения КБ различны и применяются на всех этапах ЖЦ:
Этап ЖЦ МУ МН МЗ
Планирование (нулевой цикл, идея, сбор информации) + - -
Проектирование (с учетом безопасности, Secure By Design) + + +
Разработка (тестирование и испыания у поставщикка) + + +
Сопряжение / интеграция (комплесное тестирование) + + +
Ввод в эксплуатацию + + +
Эксплуатация + + +
Ремонты + + +
Модернизация + + +
Вывод из эксплуатации + + +

3. КБ АСУ ТП. Угрозы КБ
Выделяются следующие типы угроз КБ АСУ ТП:
 Техногенные
 Не корректные обновления ПО;
 Замена аппаратного обеспечения;
 Антропогенные
 Внутренний нарушитель (преднамеренный);
 Человеческий фактор (непреднамеренный);
 НСД, НДВ
 Непреднамеренные ошибки в ПО приводящие к НСД;
 Преднамеренные НДВ в ПО приводящие к НСД и прочим инцидентам;
3

4. КБ АСУ ТП. Вопросы КБ
Самые страшные ошибки делаются при проектировании!
 Ошибки проектирования нельзя устранить, их можно только скрыть от потребителя,
но они могут проявиться, так как эффективных методов маскировки “кривого”
проектирования не бывает;
 Вы знали, что модули корректировки погрешностей в составе различных САПР и
расчётных комплексов могут отличаться? Это к вопросу “почему падают ПРОТОНы”
(с) …
4

5. КБ АСУ ТП. Вопросы КБ
Из недоверенных компонентов можно сделать доверенную систему!
 Одна из задач системной интеграции - грамотно замаскировать ошибки
проектирования отдельных компонентов и добиться надежности их работы в
комплексе в целом и в заданных условиях.
 Используя методы интеграционного тестирования, в т.ч. тестирования на взлом,
пентесты, потенциально можно их найти (уязвимости, баги), инициировать
процесс исправления.
 Внимание, вопрос! А когда нанятые Вами, гордые и отважные “белые шляпы”,
проводят пентесты, средства для такого рода тестирования сертифицированы?
Кем? Точно самое важное не пропустят?...
5

6. КБ АСУ ТП. Для обеспеченея КБ АСУ ТП...
На следующем слайде будет список того, что можно сделать, чтобы на каждом
этапе ЖЦ АСУ ТП жилось немного безопасней.
Этот список очень плохой, так как нельзя дать универсальный рецепт для
каждого этапа ЖЦ. Но все же я попытался.
Все ли я там указал? Определенно нет.
6

7. КБ АСУ ТП. Для обеспечения КБ АСУ ТП...
На каждом этапе ЖЦ АСУ ТП необходимо иметь (хотя бы понимание):
 план этапа ЖЦ (все действия, процедуры, по пунктам);
 внятные требования к каждому пункту этапа ЖЦ;
 оценку рисков на этапе ЖЦ;
 модель угроз (МУ), модель нарушителя (МН), модель защиты (МЗ) этапа ЖЦ;
 средства учета АО и ПО, соответствующих этапу ЖЦ;
 план инвентаризации АО и ПО;
 план учета изменений, поддержки актуальности РКД;
 план мониторинга и аудита изменений;
 эффективные средства изоляции и разделения на зоны доступа, СРД, СКУД;
 эффективное сопряжение средств мониторинга с СРД, СКУД и видеонаблюдения;
 контроль и учет действий персонала, желательно дублированный (журнал, видео);
 план внедрения процедур к контрагентам, внешним подрядчикам;
 план эффективного резервного копирования;
 план обучения и тренировки персонала, аттестации;
 план сертификации, использования сертифицированных средств, их аттестации;
 план аудита (объектов и процессов) соответствия моделям (МУ, МН, МЗ);
7

8. КБ АСУ ТП. Для обеспечения КБ АСУ ТП...
Пример перечня действий на этапе “разработка”:
 план разработки, декомпозиция, план сопряжения;
 требования к системе и подсистемам, общие, функциональные;
 оценка рисков невыполнения, некачественного выполнения требований;
 модель угроз (МУ), модель нарушителя (МН), модель защиты (МЗ) при разработке;
 средства учета АО и ПО (все средства должны быть на балансе или в аренде, и
сертифицированы, никакого “левого” железа и софта );
 инвентаризации АО и ПО, учет изменений, на основе, например бухгалтерии;
 учет изменений с помощью средств инвентаризации, репозиторий РКД, кода;
 средства СРД, СКУД, в разных помещениях разрабатываются разные компоненты;
 мониторинг активности РС, СРД сопряжение со СКУД, видеонаблюдение;
 контроль действий разработчиков, контроль исполнения задач, журнал, экран;
 внедрение процедур к контрагентам, подрядчикам, должны следить за качеством;
 резервное копирование, за неисполнение страшно, демонстративно наказывать;
 обучение и тренировка персонала, аттестация, поощрения за экзамены;
 сертификация, использование сертифицированных средств, их аттестация;
 аудит (объектов и процессов) соответствия моделям (МУ, МН, МЗ);
8

9. КБ АСУ ТП. Для обеспечения КБ АСУ ТП...
Пример перечня действий на этапе “ввод в эксплуатацию”:
 план ввода системы в эксплуатацию (все действия, процедуры, по пунктам);
 требования к объекту, АС, персоналу, процедурам;
 оценка рисков невыполнения, некачественного выполнения требований;
 модель угроз (МУ), модель нарушителя (МН), модель защиты (МЗ) при вводе в экс.;
 средства учета АО и ПО (все средства должны быть на балансе или в аренде, и
сертифицированы, никакого “левого” железа и софта );
 инвентаризации АО и ПО, учет изменений, на основе, например бухгалтерии;
 учет изменений с помощью средств инвентаризации, РКД, лицензии, акты;
 изоляция помещений, СРД, СКУД, изоляция контуров АС, средства (МСЭ, диоды,..);
 мониторинг активности РС, СРД сопряжение со СКУД, видеонаблюдение;
 контроль действий операторов, контроль исполнения задач, журнал (ТОиР), экран;
 процедуры к подрядчикам, распространение на них правил нахождения на объекте;
 резервное копирование, за неисполнение страшно, демонстративно наказывать;
 обучение и тренировка персонала, аттестация, поощрения за экзамены;
 использование только сертифицированных средств, их аттестация, инспекции;
 инспекции и аудит (объектов и процессов) соответствия моделям (МУ, МН, МЗ);
9

10. КБ АСУ ТП. Типовая схема АСУ ТП
10

11. КБ АСУ ТП. АО и ПО “Ввод в эксплуатацию”
11
Перечень аппаратного обеспечения (АО)
Устройство ОС ПО СЕРТ
Датчики и исполнительные механизмы FW - +
Логические контроллеры FW - +
Полевые сетевые контроллеры ОС - +
Шлюзовые контроллеры ОС + +
Сетевые контроллеры (маршрутизаторы и коммутаторы) ОС + +
Серверы или спецвычислители ОС + +
Рабочие станции и терминальные клиенты ОС + +
Экраны коллективного пользования и мозаичные панели ОС + +
Планшеты и мобильные устройства ОС + +

12. КБ АСУ ТП. АО и ПО “Ввод в эксплуатацию”
12
Перечень аппаратного обеспечения (АО) - вспомагательные
Устройство ОС ПО СЕРТ
Принтеры FW - +
Переносные устройства хранения данных (SSD, USB и др) FW - +
Устройства СРД (считыватели, токены и др.) FW - +
Устройства СКУД (в помещения) FW - +
Устройства видеонаблюдения FW - +
Устройства связи FW - +
Устройства индентификации (оборудования, помещений) FW - +
Устройства навигации (на объекте и в помещениях) FW - +
Устройства поиска, подавления радиосигнала FW - +

13. КБ АСУ ТП. АО и ПО “Ввод в эксплуатацию”
13
Перечень программного обеспечения (ПО)
ПО РКД Серт Аттес
Прошивки датчиков, контроллеров + + +
ОС контроллеров, сетевго оборудования, шлюзов + + +
ОС серверов, рабочих станций, терминальных клиентов + + +
ОС ЭКП, и прочего оборудования визуализации + + +
ОС мобильных устройств + + +
Системное ПО – драйверы устройств, конфигурац ПО и др. + + +
Специальное ПО – SCADA (мониторинг и управление) + + +
Специальное ПО – вспомогательные средства + + +
Специальное ПО – средства аудита и обеспечения ИБ + + +

14. КБ АСУ ТП. Контакты
Спасибо за внимание!
Вадим Подольный
vadim.podolniy@gmail.com
+7 916 530 46 56 Группа Кибербезопасность
АСУ ТП в Facebook