Чем удаленно перепрошивать и мониторить?

[Velt]

Измеряйте. И даже регистрируйте. Только в управление не лезьте

И в управление я лезу ))

Мне уже этот разговор начинает надоедать. Я конкретные примеры и условия привел, при которых удобно и экономически выгодно использовать удаленный доступ.
А в ответ вижу только общие рассуждения про ИБ и лозунги, отсылки к фильмам на Ютубе. Ну смешно же!
Ryzhij, если вы готовы принять условия спора, которые я выше озвучил, то можете даже не высылать мне проспоренный с вероятностью 98% Вами мне ящик пива, а выпить его со своими коллегами за процветание автоматизации )))

[apel512]

Измеряйте. И даже регистрируйте. Только в управление не лезьте

Тоже плохо. Пендосы узнают про запасы)

А в ответ вижу только общие рассуждения про ИБ и лозунги, отсылки к фильмам на Ютубе. Ну смешно же!

У меня тоже впечатление легкой неадекватности и "у страха глаза велики".

С компьютерами еще можно понять...банковские карты, паспорта, пароли, фотоархив, проекты автоматизации....все может в одночасье рухнуть от Petya-like. И почемуто не упоминают коллеги об этом.

Но вот с ПЛК где все намного прозрачней и проще это конец света.

Надіслано від мого Redmi 4X, використовуючи Tapatalk

[Ryzhij]

И почемуто не упоминают коллеги об этом.

Потому, что было запрещено обсуждать последствия разгула "Пети" ))
Видимо, чтобы не давать пищи небратьям и пиндосам...
ИМХО мои "подопечные" выжили тогда лишь благодаря air-gap.
Velt, у меня правило - не спорить с определёнными категориями визави.

Отправлено спустя 1 минуту 32 секунды:

Но вот с ПЛК где все намного прозрачней и проще это конец света.

Именно так. Без шуток.

[keysansa]

Вы утверждаете, что вероятность успешной атаки при указанных условиях равна 100% (достоверное событие). Так чтоль?

Я описал свои условия. Чем моя единица вероятности отличается от ваших 0.98? Ваша цифра обоснована чем-то? Тогда может мотивируете, почему именно 0.98, а не 0.01 или 1 или 0.99?

Вы беретесь утверждать, что при удаленном подключении в любой момент времени любой ПЛК (или HMI) будет окирпичен в течение часа.

Плюс, вы, похоже, не совсем (совсем не) понимаете статистику, а все меня подводите к чему-то... Даже ваши 2% говорят и о том, что вас могут 10 раз взломать в первые 10 минут, а потом лет 10 не трогать ). Или наоборот, что страшнее...
А вашим заказчикам будет нанесен урон просто простоем оборудования.

ЗЫ. Весь ваш пост я могу выразить гораздо лаконичнее: "Авось пронесет, спорим на ящик пива?".

ЗЫЫ.

Кстати, route, trace, nmap позволяют марку и модель ПЛК или HMI?? Я ведь именно этот вопрос задавал. Если возможно с помощью этих программ определить конкретную модель ПЛК или HMI - напишите, буду благодарен.

Вы мое сообщение внимательно почитайте. Там есть ответ на ваш вопрос. Правда вам интереснее пространно рассуждать, а не разобраться в вопросе.

[Velt]

описал свои условия. Чем моя единица вероятности отличается от ваших 0.98? Ваша цифра обоснована чем-то? Тогда может мотивируете, почему именно 0.98, а не 0.01 или 1 или 0.99?

Читайте внимательнее, писал о том, что вероятность успешного взлома составляет 0,02, а Вы утверждаете что 1.
Вот мои условия. Я их выразил весьма чётко.

Итак. Я утверждаю, что если я в СЛУЧАЙНЫЙ момент времени удаленно подключусь к ПЛК (или HMI) по VPN и в ТЕЧЕНИЕ ЧАСА буду с ним работать (отлаживать программу) то с вероятностью 98% сетевой атаки НЕ СЛУЧИТСЯ или она будет НЕУДАЧНОЙ для хакера.
Другими словами, с вероятностью 2% на меня осуществлена будет сетевая атака, которая окирпичит ПЛК (или HMI).

Вы мое сообщение внимательно почитайте. Там есть ответ на ваш вопрос.

Простите, не нашел конкретного ответа, только намёки на то, чтобы я сам догадался. Если есть конкретный способ, как по IP определить марку и модель ПЛК и/или HMI, то озвучьте, буду очень благодарен.
Я даже готов подключить одну китайскую ноунейм-панельку к инету, а вы потрудитесь узнать её модель с помощью route, trace, nmap. Готовы?
Ну и заодно, постарайтесь её окирпичить. Ведь это же так просто, с Ваших слов )))

Даже ваши 2% говорят и о том, что вас могут 10 раз взломать в первые 10 минут, а потом лет 10 не трогать ). Или наоборот, что страшнее...

Откуда цифры 10 раз, 10 минут и 10 лет?? Кажется, лекции по ТВ в институте Вы прогуливали. Давайте ликвидируем пробел в Ваших знаниях.
10 лет это 365*24*10= 87600 часов. Вероятность того, что меня взломают в какой-то любой час 1/87600=1,14*10(-5)

Если Вы продолжаете верить в то, что пишете, прямо сейчас, в течение 10 минут купите лотерейный билет, и Вы обязательно выиграете миллион. Так чтоль?? Проверьте свои утверждения на практике. Я Вас постоянно к этому призываю.

"Авось пронесет, спорим на ящик пива?".

Судя по Вашей оценке, скорее всего "не пронесет". Ну тогда принимайте условия спора. Что же Вас останавливает от получения бесплатного ящика пива?

[VADR]

Коллеги, вам куда-то не в ту степь занесло. Все эти прикидки вероятности взлома - от эффективных менеджеров лукавого. Реально при планировании мероприятий в области ИБ такие вопросы, как "какова вероятность взлома" и "кому надо нас взламывать" вообще не рассматриваются. Основной вопрос звучит так: "Нас взломали. Наши действия?"

[keysansa]

Коллеги, вам куда-то не в ту степь занесло. Все эти прикидки вероятности взлома - от эффективных менеджеров лукавого. Реально при планировании мероприятий в области ИБ такие вопросы, как "какова вероятность взлома" и "кому надо нас взламывать" вообще не рассматриваются. Основной вопрос звучит так: "Нас взломали. Наши действия?"

Я бы добавил, что первое - это разработка методов обнаружения взлома, потом, да, реакция на него.

[Ryzhij]

И "взломом" будет считаться сам факт подключения к интернету не через шлюзы службы IT компании.
Короче, вернулись к самому началу )))

[keysansa]

И "взломом" будет считаться сам факт подключения к интернету не через шлюзы службы IT компании.
Короче, вернулись к самому началу )))

Таки да, и не будет, а должен. И надо предусмотреть и определение ситуации, и реакцию на нее.

[maxamin]

Но если есть такие устройства как 4G рутеры , например https://irz.net/ru/products/routers/r4-series/rl42l , значит это решённый вопрос.

[keysansa]

Решенный в чем?

Отправлено спустя 42 минуты 31 секунду:
Я тут пропустил, по моему важное.

С компьютерами еще можно понять...банковские карты, паспорта, пароли, фотоархив, проекты автоматизации....все может в одночасье рухнуть от Petya-like. И почемуто не упоминают коллеги об этом.

Это все важно. И нет разницы что конкретно ломанули, компьютеры или PLC. Все это убытки. А с PLC, выше писали, еще и жертвы могут быть.Да и с PC могут быть

[Velt]

Если иметь в виду небольшой объект на неопасном производстве, но находящийся далеко. Но очень нужно перепрошить панельку, например. Добавить кнопку, надпись. Там каких-то IT-служб и в помине не бывает обычно....
Тогда есть выбор:
1. Ехать на этот объект. При этом есть ненулевая вероятность погибнуть в ДТП, например. Ну и прочие инциденты. Обязательно потерять 2-3 рабочих дня+ билеты. А работы - на час максимум.
2. На один час подключиться по VPN и сделать работу. При этом есть риск, что кто-то в этот момент окирпичит ПЛК/панель ну или еще какой-то вред принесет.
Какой вариант выбрать - зависит от величины риска (риск=ущерб*вероятность события).

Отправлено спустя 52 минуты 40 секунд:

Реально при планировании мероприятий в области ИБ такие вопросы, как "какова вероятность взлома" и "кому надо нас взламывать" вообще не рассматриваются.

Оценка риска позволяет сформулировать требования к уровню защиты. Поэтому банковское хранилище золотых слитков оборудуют серьёзными системами защиты, а на деревенский туалет достаточно простой щеколды повесить.

Вопрос "кому надо нас взламывать" как раз в первую очередь волнует безопасников. Если, например, говорить о защите гостайны, то в этой сфере существует фундаментальный секретный документ - МВТР (модель возможностей технических разведок). На основе этого и других документов разрабатываются новые стандарты и требования по безопасности. Те, кто занимается технической защитой информации в курсе этой кухни.

При построении системы защиты других ИС, в частности КИИ, также обязательно разрабатывается документ под названием "модель нарушителя".

[Ryzhij]

Оценка риска позволяет сформулировать требования к уровню защиты. Поэтому банковское хранилище золотых слитков оборудуют серьёзными системами защиты, а на деревенский туалет достаточно простой щеколды повесить.

Верно. Вот только оценка эта, как Вы и сами догадываетесь, выражается в рублях, а не в процентах.
Не используется там теория вероятности.

2. На один час подключиться по VPN и сделать работу...

Там, где есть служба IT-безопасности тоже так делают
Обоснуйте (если сможете), и Вам дадут корпоративный канал VPN. А за "партизанщину" - в в стоп-лист без лишних разговоров.

[Velt]

Ryzhij, наконец-то до Вас дошло, что оценка риска используется для формирования требований к системе защиты.
Вот вы как мантру повторяете " корпоративный канал VPN". А с чего вдруг Вы решили, что это гарант безопасности? Откуда такая уверенность в волшебниках-безопасниках, которые с помощью такой магической штуки дадут отпор злым хакерам?
Правильно - на основе оценки риска.
В первом же Вашем ответе эта мысль и была выражена. Риск нанесения ущерба при подключении через " корпоративный канал VPN" Вы оцениваете как низкий, а при "партизанщине" - как высокий (хотя там тот же самый VPN). А если совсем отрезать от внешнего мира, то риск=0.
И вообще, со стороны " службы IT-безопасности" в таких вопросах в первую очередь недоверие к тому, кто осуществляет удаленный доступ, а не боязнь атаки хакеров.

И напомню, какие еще объекты я имел в виду

Если иметь в виду небольшой объект на неопасном производстве, но находящийся далеко. Но очень нужно перепрошить панельку, например. Добавить кнопку, надпись. Там каких-то IT-служб и в помине не бывает обычно....

Отправлено спустя 15 минут :
Ryzhij, вообще-то я прекрасно понимаю точку зрения безопасников, которую Вы проповедуете - "запретить и не пущЯть, кабы чего не вышло". Но этими своими требованиями они доводят своё благоразумное дело по ИБ до абсурда и создают кучу сложностей на пустом месте.
Вот как объяснить разумность требования о запрете проноса флешки на предприятие, куда беспрепятственно разрешают проносить смартфон?
Это конкретный пример на предприятии, которое не буду называть.

[Ryzhij]

В первом же Вашем ответе эта мысль и была выражена. Риск нанесения ущерба при подключении через " корпоративный канал VPN" Вы оцениваете как низкий, а при "партизанщине" - как высокий (хотя там тот же самый VPN).

Тот же самый! Ну-ну...

[keysansa]

https://habr.com/ru/post/482784/
Вот такое бывает

[Jackson]

Я бы добавил, что первое - это разработка методов обнаружения взлома

Если вспомнить старое доброе кино "Хакеры" еще из 90х годов, то о взломе оператор должен узнать по аварийной сигнализации (беконы, ревуны, звонки громкого боя, сирены), яркой красной подсветке, куче красных табло, развешанных везде где только можно, и по столбам искр, высыпающихся из компьютеров и шкафов, а также и просто с потолка. :)

Кстати, для завлекалочки можно перед сетевыми экранами поставить ПЛК/ПК с копией софта с одного из реальных контроллеров, но никуда больше не подключенный кроме как в розетку питания. Взломщики его быстро найдут и потратят приличное время, пока поймут что это пустышка (если вообще поймут), зато по факту приёма им команд/данных можно зафиксировать сам факт несанкционированного доступа.

Отправлено спустя 9 минут 8 секунд:
А ещё, если верить тому же кино, отказ доступа можно легко обойти при помощи команды "игнорировать". :)

Извините, это я оффтоплю, просто кино это вспомнил. Всем советую пересмотреть и улыбнуться.

[Valerich]

Кстати, для завлекалочки можно перед сетевыми экранами поставить ПЛК/ПК с копией софта с одного из реальных контроллеров, но никуда больше не подключенный кроме как в розетку питания...

Интересная мысль

[aranea]

Jackson, а еще для завлекалочки можно муляж 5т.р. купюры в заднем кармане чтобы видно было по улице носить до ближайшего переулка со спортивными ребятами-бездельниками, которые и реальные деньги/часы/телефон попросят показать методом удара по голове

Алсо, оффтоп

[keysansa]

то о взломе оператор должен узнать по аварийной сигнализации (беконы, ревуны, звонки громкого боя, сирены), яркой красной подсветке, куче красных табло

По факту из всего этого - куча красных табло и получается.
Сирену я хотел придумать, но подумал, что будет расслаблять. Дежурные должны анализировать логи.

[Velt]

Позвольте вспомнить об этом холиваре - о том что надо ли иметь удаленку на объекте или это зло.
За прошедшие полгода я успешно пусконалаживал несколько небольших локальных объектов через AnyDesc и никакой хакер не успел ничего попортить. Вот такая статистика )))
А в этой ветке форума были версии, что меня взломают чуть ли мгновенно )))

[VADR]

За прошедшие полгода я успешно пусконалаживал несколько небольших локальных объектов через AnyDesc и никакой хакер не успел ничего попортить. Вот такая статистика )))

"Я всегда езжу на мотоцикле без шлема, и со мной ничего не случилось..."
"Я никогда не пристёгиваю ремень безопасности - и всё в порядке..."
"Каска на голове только мешает..."
Можно продолжить, в принципе.

[petr2off]

А ещё, если верить тому же кино, отказ доступа можно легко обойти при помощи команды "игнорировать". :)

Это если не сработали пароли qwerty или god

Отправлено спустя 5 минут 11 секунд:
Последний случай взлома у моего заказчика. Приехал из московского офиса специалист. (все знают, что из москвы предприятием управлять сподручней). Кстати специалист по ИБ. Потребовал учетку с административными правами. Поработал с недельку, и уехал обратно. Попросив учетку оставить, там по удаленке что то еще хотел посмотреть или поправить. И забыл про это благополучно. Самое смешное - никого не интересовало, что нужно сделать, что бы такие ситуации исключить. Все дружно начали искать крайнего.

[Serex]

Не столько сам удаленный способ работы ужасен, сколько его сочетание с безалаберностью сотрудников. При надлежащей организации можно и удаленно работать.

[Velt]

Уютно рассуждать о вреде удаленки, постоянно сидя внутри своего предприятия. По сути - на своём объекте. Или иметь неограниченный бюджет для выезда в любое время в любую точку страны даже по незначительному поводу. Согласен, удаленка это вред )))

Ну а вообще, я всё это пишу не для того, чтобы кого-то в чём-то убеждать, а для того, чтобы коллеги поделились опытом такой работы и/или случаями реального успешного взлома, которым они были свидетелями. Ну, чтобы уж реально испугаться пришлось.

Забытая админская учётка как-то не очень подходит под понятие "взлом"...
Вообще, удаленный доступ, защищенные каналы придумали давно и много людей им пользуется. Более того, есть фирмы, у которых ВСЯ работа происходит на удаленных серверах (один-эсники, например). А в пандемию так вообще повально пересели на удаленку. Ну и вроде ничего, живут как-то. И только АСУТПшники продолжают твердить мантру - "удаленка зло".

П.С. Может быть, эту тему надо в отдельной ветке обсуждать, если это интересно будет.