Эта статья предназначена для специалистов в области кибербезопасности, инженеров, работающих с промышленными системами управления, а также для студентов и исследователей, изучающих особенности безопасности в ICS. Она также может быть полезна для владельцев и операторов критической инфраструктуры, заинтересованных в защите своих систем от современных угроз.
Статья посвящена безопасности систем управления промышленными процессами (ICS), с особым акцентом на SCADA-системы и связанные с ними угрозы. Рассматриваются основные компоненты ICS, включая ПЛК, DCS и SCADA, а также их архитектура в контексте защиты от кибератак. В статье анализируются риски, связанные с подключением этих систем к интернету и применениям новых технологий, таких как виртуализация. Обсуждаются роли специалистов в сфере ICS, важность обеспечения безопасности и участие различных организаций в создании стандартов и нормативных актов. Особое внимание уделено методам расследования инцидентов в ICS, а также важности своевременной диагностики и тестирования на уязвимости.
Статья посвящена безопасности систем управления промышленными процессами (ICS), с особым акцентом на SCADA-системы и связанные с ними угрозы. Рассматриваются основные компоненты ICS, включая ПЛК, DCS и SCADA, а также их архитектура в контексте защиты от кибератак. В статье анализируются риски, связанные с подключением этих систем к интернету и применениям новых технологий, таких как виртуализация. Обсуждаются роли специалистов в сфере ICS, важность обеспечения безопасности и участие различных организаций в создании стандартов и нормативных актов. Особое внимание уделено методам расследования инцидентов в ICS, а также важности своевременной диагностики и тестирования на уязвимости.
Введение
Industrial Control Systems (ICS) — это совокупность аппаратных и программных средств, используемых для автоматизации и управления технологическими процессами в промышленности. ICS включает различные подсистемы, среди которых выделяются SCADA (Supervisory Control and Data Acquisition), DCS (Distributed Control Systems) и PLC (Programmable Logic Controllers). Эти системы применяются в таких отраслях, как энергетика, транспорт, водоснабжение, нефтегазовая промышленность и многих других.
Почти ко всем современным SCADA-системам можно подключиться по протоколу TCP/IP. В прошлом эти системы обеспечивали безопасность благодаря скрытности. Это означает, что системы SCADA были безопасны, потому что мало кто знал об их существовании, а понимал принцип их работы — и того меньше. Однако теперь, когда у нас есть такие инструменты, как поисковые системы интернета вещей, по типу того же Shodan , а также другие средства разведки, SCADA-системы больше не могут полагаться на безопасность.
Почти ко всем современным SCADA-системам можно подключиться по протоколу TCP/IP. В прошлом эти системы обеспечивали безопасность благодаря скрытности. Это означает, что системы SCADA были безопасны, потому что мало кто знал об их существовании, а понимал принцип их работы — и того меньше. Однако теперь, когда у нас есть такие инструменты, как поисковые системы интернета вещей, по типу того же Shodan , а также другие средства разведки, SCADA-системы больше не могут полагаться на безопасность.
Роли и обязанности специалистов по ICS
Люди привыкли выполнять те части процесса, которые невозможно автоматизировать. С точки зрения безопасности, люди обеспечивают отличную защиту от атак.
Общими ролями людей в среде ICS являются:
Общими ролями людей в среде ICS являются:
- Инженер-технолог: Разрабатывает системы и процессы, используемые в среде управления
- Полевой техник: Обслуживает и ремонтирует полевые устройства
- Программист: Реализует отдельные этапы процесса в виде кода и внедряет этот код в контроллеры
- Оператор: Работает в операционном центре, удаленно управляя процессом.
Владельцы/операторы активов
Владельцы/операторы активов используют системы управления как часть своего бизнеса. Они бывают разных форм и размеров — от небольших семейных магазинов до крупных транснациональных корпораций.Обязанности владельцев активов и операторов:
- Сотрудничество с поставщиками и интеграторами для разработки и создания эффективных систем, соответствующих государственным нормативам.
- Обеспечение встроенной безопасности в системы, которыми они управляют.
Поставщики
Поставщики разрабатывают и изготавливают компоненты, используемые в системах управления, такие как:- программируемые логические контроллеры (ПЛК),
- человеко-машинные интерфейсы (HMI).
Проблемы поставщиков ICS:
- Устаревший код в сочетании с медленными циклами обновления.
- Миллионы строк кода в различных продуктовых линейках.
Интеграторы
Интеграторы занимаются:- выбором, созданием и настройкой систем управления,
- обучением персонала,
- обеспечением поддержки и мониторинга,
- автоматизацией совместной работы,
- миграцией и заменой устаревших систем.
Роль государства
Правительство само является владельцем/оператором активов, так как использует многочисленные системы контроля, выполняющие критически важные функции — от печатания денег до управления системами вооружения.Государство также несёт ответственность за:
- разработку нормативных актов,
- обеспечение соблюдения правил,
- безопасную и бесперебойную эксплуатацию критически важных объектов.
США:- DHS, NRC, FERC — контролируют деятельность операторов систем управления.
- Министерство торговли (NIST) — устанавливает технические стандарты.
Россия:- ФСТЭК России — защита критической информационной инфраструктуры (КИИ).
- ФСБ России — защита информации и криптографическая безопасность.
- Минцифры России — нормативные акты по цифровой безопасности.
- Роскомнадзор — контроль соблюдения требований по защите данных.
Особенности архитектуры SCADA: Purdue Enterprise Reference Architecture (PERA)
Purdue Enterprise Reference Architecture (PERA) — это одна из наиболее распространенных архитектур, используемых в SCADA-системах. Она представляет собой слоистую модель, которая делит систему на несколько уровней: от устройства, собирающего данные, до центральных серверов, анализирующих информацию. Архитектура включает в себя пять уровней:
- Уровень поля (Field Level) - Контроллеры (PLC, RTU, Интеллектуальные электронные устройства и т.д.)
- Уровень управления (Control Level) - Уровень управления включает системы управления каждым технологическим процессом, производственной линией или производственным подразделением.
- Уровень SCADA (Supervisory Level) - Этот уровень отвечает за сбор и отображение данных в реальном времени, а также за мониторинг и управление процессами. На уровне SCADA работают HMI, серверы SCADA, базы данных и устройства для архивирования данных.
- Уровень корпоративного управления (Enterprise Level) - Этот уровень обеспечивает интеграцию данных из SCADA-систем с корпоративными системами управления, такими как ERP (Enterprise Resource Planning) или MES (Manufacturing Execution System).
- Уровень бизнес-управления (Business Level) - На этом уровне происходит взаимодействие между системой управления бизнес-процессами компании и SCADA. Уровень включает стратегическое управление предприятием, анализ эффективности и разработку долгосрочных планов.
Purdue Level 0 и 1
Тут рассматриваются контроллеры, полевые устройства, к которым они подключаются, и все, что находится между ними.
На рисунке выше PLC Allen-Bradley.
Программируемый (логический) контроллер; ПЛК (programmable (logic) controller; PLC): Цифровая электронная система, предназначенная для применения в производственной среде, которая использует программируемую память для внутреннего хранения ориентированных на потребителя инструкций по реализации таких специальных функций, как логика, установление последовательности, согласование по времени, счет и арифметические действия для контроля посредством цифрового или аналогового ввода/вывода данных различных видов машин или процессов.
Как ПЛК, так и связанные с ними периферийные устройства разрабатываются таким образом, чтобы они могли легко интегрироваться в любую промышленную систему управления с применением всех встроенных в них функций.
Хотя ПЛК могут использоваться в системах DCSs, они часто являются основными компонентами в небольших конфигурациях систем управления, используемых для обеспечения оперативного управления отдельными процессами, такими как сборочные линии автомобилей и системы управления электростанций.
ПЛК широко используются практически во всех промышленных процессах. ПЛК — это физически защищённые компьютеры реального времени.
Это означает несколько вещей:
- Эти компоненты подвергаются испытаниям в экстремальных физических условиях, таких как:
- очень высокие температуры,
- очень низкие температуры,
- физические вибрации,
- электромагнитные помехи,
- всё вышеперечисленное одновременно.
- Это одна из причин дороговизны оборудования по сравнению с возможностями обработки.
- ПЛК должен считывать входные данные и реагировать на них, непосредственно регулируя выходные данные. Этот процесс должен происходить в режиме реального времени, иначе может произойти непреднамеренное поведение, приводящее к возникновению проблемы или, в худшем случае, к травмам персонала.
Учитывая безопасность ICS, атака, из-за которой ПЛК не может реагировать в режиме реального времени, может быть очень эффективной. Мы подробнее остановимся на этом позже (для этого нужно ставить реакции).
ПЛК использует заданный набор входных сигналов для расчета того, в какое состояние перевести его выходы.
Модульные ПЛК оснащены модулями расширения, позволяющими подключать больше устройств ввода-вывода. Процессор в ПЛК просматривает набор входных данных (иногда называемый "I/O Image Table") и использует запрограммированную логику для настройки необходимых выходных данных.
Практический пример:
В химическом процессе ПЛК может использоваться для автоматизации процесса смешивания партий химических веществ.
На одном из этапов процесса ПЛК необходимо закачать два химических вещества в смеситель.
- Входные сигналы: датчики, показывающие уровень воды в баке, температуру или другие параметры.
- Выходные сигналы: приводы (в данном случае — химические насосы), которые включаются для перекачки химикатов в смесительный бак.
Контрольно-измерительные приборы (Field Devices)
Контрольно-измерительные приборы — это все устройства, которые отвечают за мониторинг, измерение или управление элементами промышленной системы или процесса.Датчики могут быть важными элементами системы управления. Многие конфигурации микросхем либо напрямую управляют параметрами окружающей среды, либо зависят от их наличия на определённом уровне.
Примеры:
- Система кондиционирования воздуха
- Контролирует температуру, влажность и другие факторы.
- Использует сенсорную сеть для сбора данных и передачи их контроллеру.
- Химический процесс
- Требует температуры в помещении от 140 °C до 160 °C.
- Система кондиционирования воздуха поддерживает этот диапазон.
- Дополнительные датчики контролируют условия выполнения процесса.
- клапаны,
- переключатели,
- датчики уровня,
- насосы,
- компрессоры,
- рычаги,
- датчики давления,
- термопары и т.д.
Digital I/O - это вход или выход, на который заданное значение передается в виде простых сигналов включения или выключения. Распространенные примеры цифрового ввода-вывода включают реле, переключатели и отчеты о состоянии.
Analog I/O- это вход или выход, на который передается заданное значение путем изменения напряжения или тока сигнала. Распространенные примеры аналогового ввода-вывода включают измерения температуры, давления, расхода или скорости.
Резюме раздела
• Контроллеры постоянного тока разрабатываются специально для конкретного предприятия
• ПЛК могут быть запрограммированы инженером на различную технологическую логику
• Интеллектуальные полевые устройства (smart field) также можно считать контроллерами, но они не подлежат перепрограммированию
• IIoT and IED - это типы интеллектуальных полевых устройств
Контроллеры взаимодействуют с полевыми устройствами через базовые протоколы ввода-вывода или полевую шину
• Датчики позволяют контроллерам измерять элементы технологического процесса
• Приводы предоставляют контроллерам возможность изменять технологический процесс.
• Когда контроллеры получают входные данные и принимают решения, это часто имеет решающее значение
Purde Level 2 и 3
Источник:
Ссылка скрыта от гостей
HMI (Человеко-машинный интерфейс) - это то, о чем большинство людей думают в первую очередь, когда речь заходит о системе управления. Это наглядный пример процесса, и да, большинство из них выглядят такими старыми. HMI обычно представляет собой типовую диаграмму процесса. Если вы смотрите на химическую систему, на экране будут отображаться значки насосов, емкостей и уровней, индикаторы расхода и индикаторы мешалки, чтобы оператор знал, что происходит в процессе. Эта схема была создана интегратором процесса или оператором при сборке системы.
Кроме того, HMI отвечает за отображение важной информации для оператора. Например, если резервуар с химикатами вот-вот переполнится, оператор, вероятно, сразу же узнает об этом (в дополнение к строгой логике безопасности системы и автоматическому отключению насосов). Судя по описанию, можно подумать, что HMI является основным компонентом системы управления, но это не обязательно так.
HMI - это дополнительный компонент, который просто упрощает работу. Логика самого автоматического процесса (например, какие насосы включать, когда, как долго смешивать химикаты и т.д.) находится в другом месте, в других компонентах.
HMI предназначен для сбора данных с других компонентов и отображения их оператору. Таким образом, в случае сбоя HMI процесс может быть продолжен. Однако HMI может быть незаменим для ручного управления процессом. Для отдельных компонентов может существовать ручное управление, но нередко ICS имеют очень большие размеры или компоненты расположены в удаленных местах, что затрудняет доступ к устройствам.
Runtime Libraries
Они используются для предоставления доступа к различным технологиям ICS и их интеграции друг с другом. Эти среды выполнения обеспечивают стандартные программные средства взаимодействия с промышленными системами управления и подключенными к ним компонентами, предоставляя организациям удобные средства настройки своих микросхем и их интеграции с другими системами управления и бизнес-системами.С расширением возможностей настройки и взаимоподключения систем возрастает риск. Организации должны быть осведомлены о повышенном риске и вероятности атак, которые возникают при включении или установке внешних программ или API.
Контроль с помощью контроллеров и полевых устройств
Источник: NIST SP800-82
Ссылка скрыта от гостей
Системы управления технологическими процессами обеспечивают автоматизацию, что позволяет небольшому штату обслуживающего персонала управлять сложным процессом из центрального диспетчерского пункта. Система управления технологическими процессами контролирует производственную среду и электронно управляет процессом или технологической цепочкой на основе различных уставок, заданных пользователем.
На производстве для критически важных процессов необходимо контролировать различные параметры.
Значения этих параметров в режиме реального времени будут передаваться в центральную систему управления.
Эти значения сравниваются с предварительно установленными значениями с помощью систем обратной связи, и на дисплей выводятся необходимые предупреждения, позволяющие предпринять корректирующие действия.Приведенная выше схема является примером простой архитектуры ПК. Как правило, при проектировании технологических процессов используется программируемый логический контроллер (ПЛК), все системные входы и выходы которого подключены и запрограммированы в ПЛК.
Управление серверами
Система энергоменеджмента (EMS) - это компьютерная система, используемая для мониторинга, управления и оптимизации работы систем генерации, передачи и распределения энергии. Системы энергоменеджмента также часто используются отдельными коммерческими организациями для мониторинга, измерения и управления электрическими нагрузками в зданиях.
Системы управления энергопотреблением могут использоваться для централизованного управления такими устройствами, как кондиционеры и системы освещения, в различных местах, таких как магазины, продуктовые магазины и рестораны. Системы энергоменеджмента также могут обеспечивать функции учета, дозирования воды и мониторинга, которые позволяют руководителям предприятий и зданий собирать данные и информацию, которые позволяют им принимать более обоснованные решения об энергетической деятельности на своих объектах.
Системы управления энергопотреблением могут использоваться для централизованного управления такими устройствами, как кондиционеры и системы освещения, в различных местах, таких как магазины, продуктовые магазины и рестораны. Системы энергоменеджмента также могут обеспечивать функции учета, дозирования воды и мониторинга, которые позволяют руководителям предприятий и зданий собирать данные и информацию, которые позволяют им принимать более обоснованные решения об энергетической деятельности на своих объектах.
Система управления зданием (BMS) - это компьютерная система управления, установленная в зданиях. Она управляет механическим и электрическим оборудованием здания, таким как вентиляция, освещение, системы электроснабжения, противопожарные системы и системы безопасности. BMS состоит из программного и аппаратного обеспечения. Программное обеспечение может быть проприетарным с использованием таких протоколов, как C-bus, Profibus и т.д.
В дополнение к контролю внутренней среды здания, BMS иногда подключаются к системе контроля доступа (турникеты и входные двери контролируют, кому разрешен доступ в здание и выход из него) или другим системам безопасности, таким как система видеонаблюдения (CCTV) и датчики движения. Системы пожарной сигнализации и лифты также иногда подключаются к системе BMS для мониторинга. В случае обнаружения пожара только пульт пожарной сигнализации может отключить заслонки в системе вентиляции, чтобы предотвратить распространение дыма, а также перевести все лифты на первый этаж и припарковать их, чтобы люди не могли пользоваться ими в случае пожара.
Источник: goo.gl/DeuMkv
Выше приведено изображение удаленного терминального устройства (RTU). RTU бывают различных размеров и возможностей. Большинство RTU представляют собой кабели, смонтированные с помощью проводных разъемов для взаимодействия с полевыми устройствами.
RTU устанавливается для передачи информации о локальной системе и иного взаимодействия с вышестоящей системой управления. В распределенной системе управления (DCS) может быть много отдельных областей автоматизированного процесса. Например, типичная энергетическая компания будет иметь центральную систему управления, в которой операторы будут подключены к HMI, и каждая подстанция будет подключена к центральной системе с помощью RTU. RTU должны взаимодействовать с центральной системой и, возможно, с интеллектуальными электронными устройствами (IED).
Эта связь обычно осуществляется через последовательный порт (RS-232 или RS-485), оптоволокно или беспроводную связь, такую как сотовые сети. Коммуникации рассматриваются более подробно в другом модуле.
I/O Connections
RTU имеет множество подключений ввода-вывода. Это могут быть цифровые входы (например, датчик, определяющий закрытое/открытое состояние контейнера), аналоговые входы (например, данные о температуре) или цифровые выходы (например, электрическое реле).
Некоторая логика
хотя RTU обычно "тупее" ПЛК. RTU обычно запускают простые автономные программы для обеспечения резервирования и безопасности. Например, RTU на электрической подстанции будет иметь логику для изменения поведения, когда технический специалист работает на определенной линии и вручную отключил линию. Это не позволяет кому-либо за пультом оператора отключить реле во время технического обслуживания, что позволяет избежать травм.
Отличия от PLC
RTU в большей степени подходят для больших географических зон. Они используют беспроводную связь (например, сотовые сети) для обратной связи с системой управления. ПЛК, как правило, больше подходят для локальной системы управления, которая существует в одном месте и использует физические носители для обмена данными.
Особенности связи в региональных SCADA-системах
Источник:
Ссылка скрыта от гостей
Региональная SCADA-система может охватывать большие географические области. RTU могут передавать телеметрические данные по различным каналам связи, включая сотовую, телефонную/модемную, микроволновую, последовательную, Ethernet или другую радиосвязь. Для передачи данных может потребоваться расстояние в несколько километров (например, оборудование на нефтепроводе, разрозненные электрические подстанции или операции по бурению в океане). Такая связь может быть прерывистой или нерегулярной.
Например, если вы хотите установить связь с полевым устройством, которое использует модем для подключения к основной системе, вам, возможно, придется подождать, пока оно начнет соединение, что приведет к ограниченным возможностям, или вы можете рассмотреть возможность использования модема с функциями безопасности обратного вызова или дозвона, которые позволяют инициировать запросы и некоторые преимущества в плане безопасности. Погодные условия также могут повлиять на качество связи, вызывая временные сбои или длительные простои, требующие выезда специалиста на место установки оборудования.
Кратко о безопасности
В будущих статьях уже будем говорить о пентесте таких систем. Для этого нужно подтвердить, что вы заинтересованы, и мне стоит продолжить эту тему на Codeby.
Долговечность ICS
Типичные корпоративные ИТ-системы модернизируются, заменяются или выводятся из эксплуатации каждые несколько лет. В отличие от них, срок службы оборудования ICS в пять и более раз дольше — нередко достигая 15–30 лет. Многие системы, разработанные еще до появления Metasploit и до того, как кибербезопасность стала самостоятельной отраслью, продолжают использоваться и сегодня. Они изначально не предусматривали защитные механизмы, такие как TLS, поскольку на момент их создания подобных технологий просто не существовало.Еще одним фактором, продлевающим срок службы ICS, является высокая стоимость их обновления. Разработка новой системы, ее настройка, интеграция компонентов, тестирование, развертывание в промышленной среде и устранение возможных проблем требуют значительных финансовых затрат. В результате компании вынуждены поддерживать устаревшее оборудование, даже если оно не обладает современными средствами защиты.
С точки зрения бизнеса, если система продолжает работать, ее замена экономически нецелесообразна. В России Минэнерго оценивает суммарный эффект от цифровой трансформации к 2035 году в 700 млрд рублей в год, что также говорит о масштабных потребностях в замене оборудования
Ссылка скрыта от гостей
.Развертывание крупных DCS/SCADA-систем
Развертывание таких систем обычно начинается с установки большинства компонентов (ПО, серверов, сетевого оборудования и аппаратных средств) на одном этапе жизненного цикла. Однако во многих случаях новые системы приходится интегрировать с устаревшими решениями. Полноценное развертывание "с нуля" встречается редко, чаще всего оно происходит при строительстве новых объектов. В большинстве случаев модернизация системы управления включает в себя определенный уровень взаимодействия с устаревшими компонентами.Наименее подвержены обновлению такие элементы, как кабельная инфраструктура, ввод-вывод и аппаратное обеспечение — их жизненный цикл нередко составляет 18–20 лет.
Необходимость обновления компонентов SCADA/DCS может быть вызвана следующими факторами:
- Истечение срока службы операционных систем.
- Требования по безопасности, надежности и снижению затрат на обслуживание.
- Использование приложений, повышающих эффективность и надежность системы.
- Модернизация, направленная на снижение эксплуатационных расходов.
- Расширение производственных мощностей или изменение требований, требующее установки более мощных контроллеров.
Виртуализация в ICS
В традиционных ИТ-средах центров обработки данных виртуализация внедрялась преимущественно для сокращения затрат. Она позволяет уменьшить занимаемую площадь, снизить энергопотребление, сократить потребность в охлаждении и физических ресурсах, а также упростить управление инфраструктурой.В средах ICS процесс виртуализации сталкивается с рядом ограничений. Многие системы зависят от устаревших физических подключений, которые могут либо превышать возможности виртуализированной среды, либо не поддерживаться поставщиками.
Несмотря на эти ограничения, виртуализация в ICS имеет ряд преимуществ:
- Создание тестовых сред, максимально приближенных к производственным. Виртуализация позволяет быстро развертывать такие среды и синхронизировать их с системами тестирования и обучения.
- Обслуживание системы. Применение исправлений, резервное копирование, восстановление, тестирование бэкапов, планирование аварийного восстановления и обновление программного обеспечения.
- Реализация механизмов отказоустойчивости. Это ранее могло быть невозможно из-за ограничений поставщиков или отсутствия соответствующих решений.
- Миграция приложений на 64-разрядные платформы без необходимости полной переделки системы.
Расследование инцидента
Можно провести систематическую серию проверок, чтобы определить, существуют ли достаточные доказательства, указывающие на возможное киберпроникновение, произошедшее одновременно с физическим взломом.Рассматриваются три уровня анализа:
- Первичный осмотр (initial examination).
- Включает визуальную проверку объекта перед изучением цифровых активов.
- Лицо, знакомое с физической конфигурацией площадки, должно осмотреть её на предмет отсутствующих или измененных элементов (walk-down).
- Учет всех наблюдений, фото- или видеозаписи могут оказаться ценными доказательствами.
- Проверка систем и конфигурации (system and configuration checks).
- Анализ параметров и настроек систем, направленный на выявление отклонений, которые могут указывать на факт кибератаки.
- Детальное исследование файловых систем и бинарных данных (detailed examination of filesystems and binaries).
- Наиболее сложный и инвазивный этап.
- Требует высокой квалификации специалистов, взаимодействия с персоналом, отвечающим за кибербезопасность и производственные процессы.
Важные вопросы для анализа
Те, кто расследует нарушение физической безопасности, должны учитывать возможность киберинцидента.- Вы, как опытный сотрудник, знакомый с объектом, посмотрите на него глазами злоумышленника.
- Как бы вы поступили, если бы хотели скомпрометировать локальное оборудование или получить несанкционированный доступ?
- Какие риски связаны с несанкционированными изменениями конфигурации?
Заключение
Понимание архитектуры SCADA, особенностей виртуализации и методов расследования инцидентов помогает лучше подготовиться к возможным кибератакам. Однако для эффективного обеспечения безопасности необходимы не только теоретические знания, но и практическое применение, включая пентесты (о чём будут следующие статьи) и постоянный мониторинг состояния систем. Защита от атак требует скоординированных усилий специалистов в области информационной безопасности и промышленной автоматизации.