29.03.2011

Безопасность АСУ ТП. Первые шаги

Aikashev_AB

Автор: Айкашев Алексей

Должность: Консультант отдела консалтинга компании «Информзащита»

Используя пять шагов, представленных в данной статье, Вы существенно повысите уровень безопасности своей АСУ ТП. В бурный век развития технологий и методов управления, автоматизированные системы управления технологическими процессами (АСУ ТП) претерпели значительные изменения — от изолированных устройств управления они превратились в промышленные сети на базе протокола IP. АСУ ТП все больше стали напоминать корпоративные сети с их хорошо известными угрозами и уязвимостями.

Такие угрозы как компьютерные вирусы, хакерские атаки, сбои программного обеспечения, DoS и другие уже реально влияют на производственные процессы, количество инцидентов с каждым годом неуклонно растет.

Для того, чтобы существенно уменьшить вероятность реализации угроз в промышленных сетях, необходимо выполнить целый комплекс мероприятий по защите. Представленные ниже шаги, были разработаны с учетом собранной статистики по промышленным инцидентам информационной безопасности на период с 2000-ого по 2010-ый год.

Шаг первый. Инвентаризация и анализ рисков

Нужно знать от кого/чего мы защищаемся, и что конкретно мы защищаем.

Необходимо определить все активы, входящие в АСУ ТП, составить сетевую диаграмму и выявить все подключения к промышленной сети, выявить критичные активы для функционирования АСУ ТП.

В процессе анализа рисков, специалистом выявляются «узкие» места в архитектуре АСУ ТП, определяются угрозы и уязвимости АСУ ТП и оценивается текущий уровень защищенности активов.

Степень сложности анализа рисков определяется организацией. Это может быть как экспертный, так и качественный или количественный анализ.

Шаг второй. Убрать все лишнее

Ненужные сервисы — это возможные уязвимости.

На данном шаге мы, по возможности, убираем следующее:

  • лишние подключения к промышленной сети;
  • неиспользуемые сервисы (сетевые протоколы, неиспользуемые возможности программных продуктов и т.д.)
  • излишние права пользователей, например права администратора. Если есть возможность, то желательно использовать бездисковые рабочие станции и удаленный доступ.

Необходимо оставить только то, что необходимо для функционирования АСУ ТП.

Шаг третий. Настроить средства защиты

Внедряем организационные, технические и физические меры защиты.

На данном шаге мы защищаем все что осталось, а именно:

  • Определяем требования безопасности к АСУ ТП (Политика безопасности АСУ ТП);
  • Изменяем архитектуру сети по принципу defense-in-depth;
  • Настраиваем имеющиеся средства защиты, согласно требованиям по безопасности;
  • При необходимости, внедряем новые защитные меры (Система контроля и управления доступом, видеонаблюдение, антивирусные средства, межсетевой экран и т.д.).

Будьте осторожны, средства защиты могут привнести новые уязвимости.

Шаг четвертый. Внедрить процессы обеспечения информационной безопасностью

Постепенно внедряем следующие процессы обеспечения информационной безопасностью:

  1. Управление правами доступа

    Пользователи АСУ ТП должны иметь только те права, которые им необходимы для выполнения их должностных обязанностей. Процесс предоставления и изменения прав должен быть контролируемым.

  2. Управления конфигурациями и изменениями

    Данный процесс должен охватывать как изменения в программном обеспечении АСУ ТП, так и в аппаратной ее части. Все изменения конфигурации АСУ ТП должны планироваться и проходить тестирование в тестовой среде перед непосредственной реализацией в промышленной сети.

  3. Обслуживание технических средств

    Все оборудование АСУ ТП должно проходить техническое обслуживание. Должны быть установлены нормативы замены устаревшего оборудования. Например, согласно паспорту устройства, после 5 лет эксплуатации датчика вероятность его выхода из строя, может составлять 35%. Довольно часто такая вероятность считается недопустимой для определенный процессов.

  4. Управление инцидентами информационной безопасности

    Данная процедура должны быть установлена для эффективного реагирования на любые атаки, а также для последующего анализа причин их возникновения и последующего анализа динамики инцидентов.

  5. Управление непрерывностью бизнеса

    Должны быть составлены планы восстановления бизнеса на случай возникновения экстренной ситуации. Резервное копирование является неотъемлемой частью такого плана. Планы должны регулярно тестироваться и по результатам тестирования — совершенствоваться.

  6. Аудит информационной безопасности

    Признак зрелой организации — это идентификация своих слабых мест, проведение анализа причин и применение корректирующих действий. Процесс аудита обычно часть такой организации, который включает сканирование на уязвимости и проверку выполнения установленных требований по безопасности.

Шаг пятый. Обучить пользователей

Все предыдущее теряет смысл без участия пользователей.

Люди могут быть слабой точкой в хорошо защищенной сети. Необходимо проведение тренингов и курсов повышения осведомленности, для того чтобы персонал оставался бдительным в ситуациях касающихся информационной безопасности.

Итог.

Информационная безопасность — это непрерывный процесс. Бизнес процессы меняются, появляются новые угрозы и открываются новые уязвимости, поэтому как минимум раз в год необходимо проводить анализ рисков, аудит и пересмотр существующей системы безопасности с целью ее дальнейшего улучшения.