Теоретическая база знаний
Защита АСУ ТП: как обеспечить безопасность критических систем на производстве
Промышленные системы управляют станками, конвейерами, энергоблоками. Если туда проникнут хакеры, могут ожидаться последствия в виде остановки завода, повреждения оборудования, создания аварии. Защита АСУ ТП предприятий – это архитектура, сегментация и специализированные средства, которые работают в условиях реального производства. Кредо-С проектирует защиту объектов КИИ так, чтобы производство работало без сбоев, а злоумышленники оставались снаружи.
Обеспечение безопасности критических систем на производстве
При проектировании системы нужно использовать интеграционные решения: разрывать связи между сетями, ставить шлюзы с глубокой фильтрацией, настраивать мониторинг. Это безопасность технологических процессов на уровне архитектуры.
Что получает бизнес:
| Результат | Что это означает на практике |
|---|
| Производство не останавливается | Атака локализована, цех продолжает работу |
| Нет штрафов от регуляторов | Выполнены требования КИИ и ФСТЭК 235 приказа |
| Соответствие КИИ перечню | Документация готова к проверке надзорных органов |
| Управляемые риски | Каждый сегмент сети под контролем |
Интеграция решений для сегментации сетей АСУ ТП
Самая частая дыра, когда офисная сеть имеет доступ к программируемым контроллерам (PLC). Достаточно заразить ноутбук бухгалтера и вирус ползёт в цех.
Интеграционные решения для сегментации делят промышленную сеть на изолированные зоны:
- Между офисом и производством – межсетевой экран, пропускающий только разрешённые протоколы
- Внутри АСУ ТП – отдельно система управления, отдельно исторические данные, отдельно удалённый доступ инженеров
- На периметре – промышленные диоды данных для однонаправленной передачи телеметрии
Это важно для бизнеса, так как атака сдерживается в одной зоне, а не расползается по всему заводу. Как противопожарные двери: локализуют бедствие. Защита объектов КИИ без сегментации практически невозможна – это первое, что проверяют надзорные органы.
Реализация происходит следующим образом: берём вашу схему сети, находим все пересечения между IT и OT. Ставим сертифицированные интеграционные решения – промышленные межсетевые экраны, диоды данных. Настраиваем правила так, чтобы технолог мог работать, а хакер – нет.
Вирус не увидит контроллеры, даже если вирус попал в офис. Производство продолжает работать.
Проектирование систем защиты для технологических процессов
Нельзя взять офисный антивирус и поставить на промышленный сервер – он уронит систему реального времени. Для АСУ ТП нужны специальные технические меры: лёгкие, проверенные, совместимые со старыми контроллерами.
| Слой защиты | Что закрывает |
|---|
| Контроль запуска ПО | Только разрешённые процессы на контроллерах |
| Защита от несанкционированного доступа | Блокировка несанкционированных действий операторов и подрядчиков |
| Модули доверенной загрузки | Защита от подмены прошивки при старте |
| Мониторинг событий | Полный аудит действий в сети АСУ ТП |
Вы получаете защиту АСУ ТП предприятий, которая не ломает производство. Не надо перезагружать станки посреди смены. Не надо отключать безопасность ради скорости. Подбираем решения под ваш тип оборудования – Siemens, Rockwell, отечественные контроллеры.
Модули доверенной загрузки для промышленных контроллеров
Вредоносная программа может прописаться в автозагрузку ещё до старта операционной системы – антивирус её не увидит. Помогают модули доверенной загрузки. Это устройство или программа в защищённой области, которая проверяет цифровые подписи всех компонентов при включении. Если подпись не совпадает – система не стартует. Средства доверенной загрузки ФСТЭК – сертифицированные, входят в КИИ перечень для объектов первой и второй категории.
Без такого модуля злоумышленник может перепрошить контроллер или загрузить свою прошивку. Результат – остановка производства или физическое повреждение оборудования.
Как внедряем:
- Устанавливаем модуль на промышленные серверы и рабочие станции операторов
- Настраиваем политики: от кого разрешена загрузка
- Интегрируем с системой учёта событий
Вы точно знаете, что на оборудовании работает только то, что вы разрешили. Никакого скрытого ПО.
Защита от несанкционированного доступа на объектах КИИ
НСД информационная безопасность – это когда кто-то получает доступ туда, куда не должен. В АСУ ТП это особенно опасно: злоумышленник может изменить уставки, отключить защиту, запустить аварию.
Комплекс мер защиты от несанкционированного доступа:
- контроль съёмных носителей – техник не занесёт вирус на флешке;
- управление учётными записями – у каждого оператора свой логин, без общих паролей;
- разграничение доступа – мастер может менять параметры, оператор – только смотреть;
- полное логирование – каждое действие записано с меткой времени и именем пользователя.
Многие атаки на объекты КИИ начинаются изнутри: бывший сотрудник, обиженный подрядчик, просто неосторожность. Обеспечение безопасности КИИ и ФСТЭК 235 приказ требуют закрыть эти каналы.
Реализуем это внедрением сертифицированного ФСТЭК средства защиты от НСД. Настраиваем политики: кто, куда, когда и с какого устройства может зайти. Включаем аудит всех действий. Благодаря этому каждое нажатие кнопки записано. Если кто-то попытается изменить критический параметр – система спросит разрешение или заблокирует. Это реальная промышленная безопасность.
Производство под контролем
Защита АСУ ТП предприятий обязательное условие для объектов КИИ. Штрафы за нарушение требований КИИ могут достигать миллиона. Но главное не штрафы: главное, чтобы завод работал, люди были целы, а продукция выходила по графику.
Кредо-С проектирует защиту данных и безопасность технологических процессов под ваш бюджет и ваше оборудование. Мы знаем, как совместить ФСТЭК 235 приказ с реальной эксплуатацией. Наш опыт в ИТ для промышленности позволяет закрывать все требования регуляторов без остановки производства.
Оставьте заявку – приедем на объект, посмотрим ваши промышленные сети, покажем слабые места. Первая консультация бесплатно.
Обеспечьте надежную защиту промышленных систем и полное соответствие регуляторам, изучив наш полный гайд по 117 приказу ФСТЭК.
