Чем удаленно перепрошивать и мониторить?

[Ryzhij]

ВСЯ работа происходит на удаленных серверах (один-эсники, например). А в пандемию так вообще повально пересели на удаленку. Ну и вроде ничего, живут как-то. И только АСУТПшники продолжают твердить мантру - "удаленка зло".

Когда последний раз был физически травмирован человек из-за сбоя в 1С-системе? ;)

Отправлено спустя 9 минут 7 секунд:

Не столько сам удаленный способ работы ужасен, сколько его сочетание с безалаберностью сотрудников.

При том, что функции ПАЗ не должны зависеть от человеческого фактора. Ва-апче.
Часто нельзя не наблюдая за объектом кнопку нажимать на неудачно установленном пульте, а Вы тут про удалёнку...

Я бы тоже сейчас не прочь сидеть дома, а не мотаться на завод и с завода, я ж не бессмертный.
Но при сбое на удалёнке жертв будет больше...

[Jackson]

Ну а вообще, я всё это пишу не для того, чтобы кого-то в чём-то убеждать, а для того, чтобы коллеги поделились опытом такой работы и/или случаями реального успешного взлома, которым они были свидетелями. Ну, чтобы уж реально испугаться пришлось.

Вот у нас есть текущий опыт такой работы. Ехать категорически не было возможности, а надо. Там на заводе сеть естественно вся засекурена, права, разграничение, даже брандмауэры внутри есть. Но мы ставим туда свой модем который пускает нас в эту сеть (завод естественно уведомлен) и разбираемся с проблемой. Подключившись к своим аппаратам мы понимаем, что вот сейчас мы одним лишним кликом обесточиваем треть завода, от чего весь завод взрывается к чертям. А кто эти люди (мы) которым завод разрешил такое сделать - завод совершенно не в курсе. Так что это реально опасно. Даже если ты - суперответственный, суперчестный и мегадисциплинированный специалист - даже в этом случае от ошибки "лишнего клика" никто не застрахован. Не скажу где этот завод и что за доступ.

Александр правильно всё сказал. Можно ездить непристёгнутым или без шлема? Да, можно конечно, кто ж запретит. Но шансы устроить беду несколько растут, и если это будет именно твой шанс то будет всё равно, 1/100 он или 1/100000000000000. Мне, в своё время, шлем жизнь спас, два раза. Могу фото себя продемонстрировать переломанного, но живого. А уйма моих знакомых катаются без него всю жизнь. Это лотерея. Хотите сыграть? Играйте.

Отправлено спустя 1 час 6 минут 54 секунды:
И да, крайняя практика. Можно ли игнорировать правила? Да, конечно можно. Нет запрета нарушать правила. Таких игнорцев я 1 раз тушил в горящей машине (все живы), второй раз по частям вынимал из машины, после по лесам в поисково-спасательных отрядах я их искал, и спасти удавалось не всех.
Так что решайте сами, Лотерея есть лотерея.

[petr2off]

Уютно рассуждать о вреде удаленки, постоянно сидя внутри своего предприятия. По сути - на своём объекте.

Насчет уютно рассуждать улыбнуло. Сейчас вынужден погрузится в правила организации работ при отпуске нефтепродуктов. Есть правила отпуска (если непонятно - то это закон, за нарушение которого можно и уголовную ответственность поиметь). Там написано, что процесс налива оператор должен наблюдать визуально. При этом там и защита от перелива есть, и контроллер считает количество литров и больше не нальет. А еще принцип 2-х ключей используется, т.е. отпуск подтверждается 2-мя человеками.
Думаю про удаленный налив и улыбаюсь, аж хохочу.

[Velt]

Вот все почему-то думают сразу про критически важные и опасные производства, где высока цена ошибки. Отсюда и начинаются рассуждения про езду без шлема и т.п.
Конечно, если из-за одного неверного клика можно половину завода обесточить - удалёнка тут противопоказана, кто ж с этим спорит.

Но есть и относительно безобидные объекты, где присутствует человек (киповец), который "ассистирует" мне, работающему по удаленке. Ну например, небольшой конвейер, который работает как карусель и катает стулья в окрасочную зону. Там нужно очень постараться, чтобы травмироваться.... И из-за того, чтобы добавить несколько операторов в программу или поменять интерфейс в HMI, нужно ехать за тридевять земель?

И вообще, коллеги, прошу не подменять понятия. Этот разговор начинался с упоминаний про злых хакеров, которые всё сразу же сломают. А сейчас все хором начали про промышленную безопасность говорить. Так причем тут удаленный доступ? Я и сидя на объекте могу что-то поломать или кого-то травмировать.

Я потому и написал:

а для того, чтобы коллеги поделились опытом такой работы и/или случаями реального успешного взлома, которым они были свидетелями. Ну, чтобы уж реально испугаться пришлось.

Забытая админская учётка как-то не очень подходит под понятие "взлом"...

Отправлено спустя 4 минуты 21 секунду:

Когда последний раз был физически травмирован человек из-за сбоя в 1С-системе? ;)

Насчет травм не знаю, а вот потеря или слив базы данных гос органа или крупной компании приведет к срыву выполнения заказа и к ощутимым потерям. Вплоть до нанесения травм провинившемуся сотруднику благодарными коллегами )))
Возможно, как раз поэтому с такими штуками работа только удаленно, важные ресурсы располагаются на облачных серверах с системой разграничения доступа, бекапами и т.п.

[Ryzhij]

И вообще, коллеги, прошу не подменять понятия. Этот разговор начинался с упоминаний про злых хакеров, которые всё сразу же сломают. А сейчас все хором начали про промышленную безопасность говорить. Так причем тут удаленный доступ? Я и сидя на объекте могу что-то поломать или кого-то травмировать.

Вот как раз удалённый доступ и доступ физический "сидя на объекте могу что-то поломать или кого-то травмировать" к угрозам класса промышленной безопасности не относятся.
Это уже из понятий IT-безопасности и противодиверсионной защиты. Это если разговор пошёл за понятия.
Но в одном вы правы - безопасность понятие комплексное.

Отправлено спустя 2 минуты 25 секунд:

а вот потеря или слив базы данных

Та потеря или же слив? Разные угрозы - разные методы борьбы. И, в общем случае, к удалённому доступу, как и к АСУ ТП обношения не имеющие.

[Velt]

Это уже из понятий IT-безопасности и противодиверсионной защиты

Да причем здесь противодиверсионная защита?
Повторю свои мысли другими словами.
1. Во время пэнээра из-за ошибки в программе я могу что-то сломать (кого-то травмировать). Неважно, программу я пишу находясь на объекте или удаленно. Я тут, получается, сам себе диверсант )) Это я и назвал промышленной безопасностью (может быть, не совсем корректно).

2. Я спрашивал, знает ли кто-то случаи вмешательства именно третьей стороны (хакеров) во время осуществления удаленного доступа. В ответ были только теоретические мнения о том, что всё можно взломать.

Та потеря или же слив? Разные угрозы - разные методы борьбы.

Не собирался обсуждать методы борьбы. Это просто иллюстрация того, что сам по себе удаленный доступ не так опасен, как кажется. Это при условии если правильно его применять и в определенных ситуациях, а не всегда и везде.

[Jackson]

Я спрашивал, знает ли кто-то случаи вмешательства именно третьей стороны (хакеров) во время осуществления удаленного доступа. В ответ были только теоретические мнения о том, что всё можно взломать

Часто ли Вы слышали рассказы людей о том, как они облажались? :)

[Velt]

Часто ли Вы слышали рассказы людей о том, как они облажались? :)

Ну честно говоря, не частою А хотелось бы чаще.
Я бы не стал это расценивать, как "облажался". Это в большей степени относится к психике. Причем конкретного человека.
Я считаю, что нужно учитывать опыт других и не наступать на те же грабли.
Вы же приводили пример какого-то вроде Норвежского регистра, который построен на опыте аварий. Его для того кровью и писали.чтобы другие не наступали на те же грабли.
Вот так и здесь.
Я вот спокойно могу могу рассказать о своих success storys а также об epick fail могу рассказать. Ну без имен и лиц, разумеется.

[Jackson]

Я считаю, что нужно учитывать опыт других и не наступать на те же грабли.

проблема в том, что на словах все так считают. А на деле добрая половина всех кого я знаю, свои ошибки напрочь отказывается признавать, они не считают что ошиблись. Это сейчас время такое наступило, долго вбивали в голову много всякой дури, вот и добились того к чему стремились.
Ведь у каждого это будут свои собственные грабли, а не те же самые, и не грабли вовсе, а единственно верное решение в той ситуации и потому правильное, как они говорят. Увы.

[petr2off]

А на деле добрая половина всех кого я знаю, свои ошибки напрочь отказывается признавать, они не считают что ошиблись.

Ситуация еще хуже. Привели к нам на работу молодого человека. С очень активной жизненной позицией. Любимое построение разговора -нет, давайте договориватся. Например - Давайте договоримся, я делаю 18 сборок схем управления задвижкой АУМА на объекте - а вы мне заплатите СУММУ. Т.е. схема пока ты никто - натаскивайся, учись, вникай - не катит.
В 18 сборках он сделал 18 ошибок, из них повторяющихся 2. Т.е. переделывать пришлось все. Хорошо что железяка очень качественная и надежная, ее убить не так то просто.
Причем явление это было крайне стабильное. Т.е. факта накопления опыта не было, совсем. И это все на фоне абсолютно не замутненого сознания.
Потребовалась ему флешка, он вытащил ключ Isagraf (стоимость лицензии если что более 1000$) и спокойно на него начал что то писать.
Я не хочу сказать, что все жертвы ЕГ такие, ни в коем случае. Есть и вполне обучаемые нормальные люди. Но вот прослойка такой поросли значительна и она не сокращается.

[VADR]

Ну честно говоря, не частою А хотелось бы чаще.
Я бы не стал это расценивать, как "облажался". Это в большей степени относится к психике. Причем конкретного человека.
Я считаю, что нужно учитывать опыт других и не наступать на те же грабли.

Нельзя забывать ещё об одном немаловажном нюансе: информация, имеющая отношение к ИБ, практически всегда относится к категории "company confidential". И есть ли у меня на предприятии такие проблемы или их нет, есть ли у меня такая информация или её нет - я об этом распространяться не стану.

Привели к нам на работу молодого человека. С очень активной жизненной позицией. Любимое построение разговора -нет, давайте договориватся. Например - Давайте договоримся, я делаю 18 сборок схем управления задвижкой АУМА на объекте - а вы мне заплатите СУММУ.

А у меня противоположный опыт: молодой инженер (года три после ВУЗа, вроде бы) пашет всерьёз и опыта набирается, и есть примеры "в отличие от...". Так что это не показатель.

[Velt]

Нельзя забывать ещё об одном немаловажном нюансе: информация, имеющая отношение к ИБ, практически всегда относится к категории "company confidential". И есть ли у меня на предприятии такие проблемы или их нет, есть ли у меня такая информация или её нет - я об этом распространяться не стану.

Это так, но и не совсем так. Обмен информацией об угрозах и методам противодействия им нужен и широко применяется.
Западные компании создают банки данных угроз. Наш гос.орган, ответственный за безопасность информации имеет банк данных угроз.
https://bdu.fstec.ru/
А с недавних пор обмен информацией о кибератаках постепенно становится обязательным - создается ГосСОПКА, к которой подключают предприятия. Вот одна из первых попавшихся ссылок.
https://amonitoring.ru/service/gossopka/

Всё это затеяли для того, чтобы реализовать принцип - "сегодня напали на одного, завтра все остальные предупреждены и вооружены против этой атаки".

[Jackson]

Это так, но и не совсем так

Совсем-совсем. Нужных деталей в открытом доступе нет, а часто нет и ненужных, зато выдумок хватает. Это жизнь.

А с недавних пор обмен информацией о кибератаках постепенно становится обязательным

Это не тот обмен, не та информация и не на том уровне. Это как новости по зомбоящику - где-то в параллельной вселенной. Конкретной эта информация станет только тогда, когда за неё будут бить по рукам палкой, а не просто где-то там печатать и рассылать. Так человек устроен.

Всё это затеяли для того, чтобы реализовать принцип - "сегодня напали на одного, завтра все остальные предупреждены и вооружены против этой атаки"

Таким образом эта цель никогда не будет достигнута. Для чего затеяно - это надо спрашивать у того кто затеял, думаю что тут тоже всё не так.
Почему такая шёлковая Европа? Потому что воспитаны кнутом, а не пряником. Штрафы неотвратимы и огромны, и в 3-м поколении люди уже перестают задумываться "а почему собственно нельзя?". У этого тоже есть свои минусы, но для создания дисциплины это единственный метод.

А у меня противоположный опыт:

И это здорово! У меня он тоже есть. Жаль только этот опыт нельзя Ctrl+C Ctrl+V на всю жизнь. :)

[+] очень много букв оффтопиком

В детстве я зачитывался всякими морскими книжками. Сначала естественно Жюль Верн, потом про полярные экспедиции, сначала из области фантастики, потом дневники - дух захватывало. Потом я приобщился к парусному спорту, почувствовал что вода мокрая и холодная, уход от базы на 5-10 миль - это было что-то крутое, по возвращении все пацаны ощущали себя суперморяками. И это правда серьёзно, потому что на детском классе "оптимист" и "кадет" своим ходом дойти от Стрельны к Лахте, там провести три гонки, потом своим же ходом вернуться обратно, пересекая Морской Канал с огромными судами и Петровский фарватер с "Метеорами" - это в общем непросто, особенно когда тебе 12 лет. Можете погуглить карту и названия, ну или я видео найду желающим. Потом мне в руки дали книгу Коллса "Под Парусом в Шторм" и Барановского "Вокруг света на Полонезе" (помимо морских Правил, Школы Яхтенного рулевого и прочих учебных книг). Это редкие яхтсмены, которые ещё и подробно описывали свои выходы, в деталях останавливаясь на сложных ситуациях, и делали это интересно, как Экзюпери. Кроме того что это интересно, это ещё и познавательно - это конкретный опыт и конкретные ошибки, порой смертельные. Это ещё больше меня захватило, я уже попробовал большие яхты, умел ими управлять, только сил и роста не очень хватало.

И в первый же дальний поход - это в мои 14 лет - нас накрыло ураганом буквально через несколько часов после выхода. Настоящим ураганом, это ветер от 32 м/с и больше (как нам потом сказали), и мы в этом урагане чуть не погибли. Это было долго, противно и тяжело со всех сторон, буквально до изнеможения (натурально падали без сил после штормовой работы и не могли пошевелиться). Это был первый мой выход из Ленинграда дальше Кронштадта - и сразу такое. Было страшно? Да, было очень страшно и не только мне.
Сыграли свою роль все эти книги и учебники? Нет! Огромную роль сыграли наставники, те кто были раньше и те кто был рядом сейчас, и тут не было разницы в возрасте я был 14-летний пацан, были люди лет по 30 и 40 тоже без такого опыта, а кто-то и вообще без опыта. Учились все (кто не умел), а учиться-то было поздно уже, там шла работа уже не на маршрут, не на процесс, а на выживание, цена ошибки - жизнь всего экипажа. Представляете, каково было капитану и старпому? Они же знали кто мы на самом деле. И в этом аду надо ещё и подход к людям найти, не просто отдать команды а сделать это так, чтобы люди сделали именно то что надо и так как это надо. Ураган, как вы видите, мы преодолели, и потом ещё было очень много других приключений.

Но что я хотел сказать? Я после того первого похода (3000 миль, кстати) кинулся заново перечитывать все свои книги, включая и Правила и Школы и Коллса и Барановского, до справочника фельдшера даже дошло, по несколько раз и снова взахлёб, потому что я увидел и понял, о чём на самом деле это всё написано, что скрывается за простыми словами с листа бумаги в действительности - и эта пропасть огромна.

Вот также и во всей жизни, ребята. Отчёты, инструкции и нормативы - они все несут чей-то опыт, но его невозможно осознать, пока сам не проверишь в полном объёме. С морским делом это мне считай крупно повезло что сразу же влетели в такой ураган (потом были ещё, но это потом) и дважды повезло что выжили в нём. И там угроза была хорошо видна и ощущаема. Но это же не значит что по любому поводу надо лезть во что-то сложное и геройствовать - верно? А научиться по-другому намного сложнее и дольше. И вот теперь главный вывод: Чей-то опыт и статистика что-то значимое скажут только тем, кто и сам уже много знает и умеет; если познания ограничиваются в основном только теорией, то лучше нормативы, чем статистика, сначала исполнять и только потом обдумывать. И вот к этому многие современные специалисты совершенно не приучены, и это проблема. Причин тут несколько и они очень глубоки, никак на них не повлиять.

А ещё, во всех морских книгах и даже в некоторых Правилах есть удивительная вещь: во всём неоговоренном следует руководствоваться Правилами Хорошей Морской Практики (так и пишут - уважительно с заглавных букв). Это то что не объяснить, не формализовать, а передаётся это только от старших к младшим как-то в процессе взаимодействия, без специальных уроков. И в любой сфере это тоже есть - и в АСУ и в энергетике и в ИТ, музыке, медицине, в семье и школе - да везде. Нужно уметь слушать и слышать чтобы это воспринять, но с этим всё больше проблема и с этим ничего не поделать.

[VADR]

Обмен информацией об угрозах и методам противодействия им нужен и широко применяется.

И тут самое главное - не навредить. Напишет Вася Пупкин во всеуслышанье, что у них ломанули систему, установленную фирмой "Рога&Копыта", таким-то и таким-то образом. Злобный кулхацкер инфу увидит, найдёт эту фирму, заглянет в её референс-лист и начнёт лезть к другим клиентам в те же ворота. И высока вероятность, что косяки там те же.

А с недавних пор обмен информацией о кибератаках постепенно становится обязательным - создается ГосСОПКА, к которой подключают предприятия.

А это уже совершенно другая песня. Тут информация собирается и анализируется, и распространиться отсюда куда не надо по определению не должна.

[Velt]

Конкретной эта информация станет только тогда, когда за неё будут бить по рукам палкой, а не просто где-то там печатать и рассылать.

Вы сейчас обладаете своими знаниями благодаря тому, что вас много били? Или всё же вы где-то информацию получили о том, как надо/нельзя? Всё же, надо сначала человеку дать информацию о том, как нужно/нельзя делать и только потом бить за несоблюдение этого.
И, еще поясню, то это не "где-то там печатать и рассылать". Эти директивы являются обязательными к исполнению соответствующими организациями, которые занимаются работами по защите информации. Это так же как вы руководствуетесь гостами и прочими документами в своей инженерной деятельности.
Эта лицензируемая деятельность вполне себе живёт и здравствует, широко известная в узких кругах. Если вы с этим не сталкивались, то это не значит, что этого нет

Таким образом эта цель никогда не будет достигнута.

Как раз достигается, как раз по такому принципу. Простой пример. Какой-то злой человек написал вирус и кому-то сделал плохо. Но после этого сигнатура этого вируса попала в БД антивирусов и все остальные пользователи антивирусов защищены от этого вируса. Да, реализация этого принципа на практике может хромать, но сам принцип-то ведь весьма здравый, да?

Напишет Вася Пупкин во всеуслышанье, что у них ломанули систему, установленную фирмой "Рога&Копыта", таким-то и таким-то образом.

Ну это же банальная вещь, я просто поэкономил буквы про это писать, думая что и так понятно. Но теперь поясню.
Есть такое понятие - "Обезличивание информации". Разумеется, не нужно (крайне плохо!) публиковать в открытом доступе то, как у Васи Пупкина ломанули систему.
А вот говорить о том, что система защиты X имеет уязвимость Y полезно, т.к. другие пользователи системы X имеют время и возможность усилить систему X или заменить её на систему Z (про которую потом станет известно, что она имеет уязвимость... ну и так далее), чтобы взломщик не смог применить этот же свой приём в следующий раз - это хорошо.

Ну и вообще, господа, откуда вы узнали о том, что удаленный доступ это плохо? Вас взломали? Или вы всё же воспользовались возможностью обмена информацией, получили информацию о вреде этого явления (изучили его по информационым источникам) и теперь знаете, что удаленный доступ использовать опасно?

[ogorsv]

Ну и вообще, господа, откуда вы узнали о том, что удаленный доступ это плохо?

Как говорят в Испании - Es depende

Но, скажем, Schneider electric при описании найденной уязвимости, в бюллетене всегда размещает общие рекомендации по кибербезопасности (под спойлером)

[+]

General Security Recommendations
We strongly recommend the following industry cybersecurity best practices
•Locate control and safety system networks and remote devices behind firewalls and isolate them from the business network
•Place physical controls so no unauthorized person can access the ICS and safety controllers, peripheral equipment, or the ICS and safety networks.
•Place all controllers in locked cabinets and never leave them in the “Program” mode.
•Never connect programming software to any network other than the network for the devices that it is intended for.
•Scan all methods of mobile data exchange with the isolated network such as CDs, USB drives, etc. before use in the terminals or any node connected to these networks.
•Never allow laptops that have connected to any other network besides the intended network to connect to the safety or control networks without proper sanitation.
•Minimize network exposure for all control system devices and systems and ensure that they are not accessible from the Internet. •When remote access is required, use secure methods, such as Virtual Private Networks (VPNs). Recognize that VPNs may have vulnerabilities and should be updated to the most current version available. Also recognize that VPNs are only as secure as the connected devices

Специалисты по кибербезопасности SE многократно (в каждом бюллетене!) повторяют именно те мысли, которые коллеги здесь неоднократно озвучивали
А руководствоваться рекомендациями или иными соображениями - дело лично каждого.

"Странствуя по свету, я не закрываю глаз" (ц) О.Генри

[Jackson]

Вы сейчас обладаете своими знаниями благодаря тому, что вас много били?

Вы вот одного не понимаете, и это фундаментально: получить знания можно как угодно, и бить для этого не надо - читай, пробуй, слушай и всё получится - но одних знаний недостаточно, катастрофически мало для полного погружения. Чужой опыт - это тоже знания. Свой хороший опыт - это тоже только знания. А опыт должен быть всесторонним, с выводами, с работой над ошибками и со всеми вытекающими - вот тогда это будет что-то стОящее. А просто знаниями весь интернет заполнен, а толку-то? Так что отвечая на Ваш вопрос, много ли меня били для того чтоб знания вбить: вообще не били, даже наоборот бывало. Жизнь потом била, когда эти знания оказывались бестолковыми, немного, но точно и больно. И вот этим - а не только знаниями - я и руководствуюсь.

А вот говорить о том, что система защиты X имеет уязвимость Y полезно, т.к. другие пользователи системы X имеют время и возможность усилить систему X или заменить её на систему Z (про которую потом станет известно, что она имеет уязвимость... ну и так далее), чтобы взломщик не смог применить этот же свой приём в следующий раз - это хорошо.

Расскажите об этом топ-менеджерам и великим продавателям, которым подобные полезные отзывы сбивают продажи.

Ну и вообще, господа, откуда вы узнали о том, что удаленный доступ это плохо? Вас взломали? Или вы всё же воспользовались возможностью обмена информацией, получили информацию о вреде этого явления (изучили его по информационым источникам) и теперь знаете, что удаленный доступ использовать опасно?

А больше нет вариантов? Лично у меня свой.

Вот все механики по ДВСам слышали, что нельзя отключать аккумулятор от работающего двигателя - это может привести к выжиганию всей его электроники и современный двигатель (стоимостью в десятки-сотни тысяч евроденег) за секунду превратится в груду металлолома. И каждый раз, когда это происходит у очередного клиента, я слышу от него: "да, я читал/слышал что нельзя, но очень надо было, да и не думал что это правда". И тем не менее, это происходит регулярно. Вот Вам бесполезность знаний. Они есть, но ничего не значат. А значить они начнут только тогда, когда клиент увидит и почувствует сам, что означают эти слова.
Все ведь знают что нельзя лазать в розетки гвоздями и пальцами, но все лазают - до тех пор пока не шарахнет как следует.
Не умный но мудрый человек умеет воспринимать чужой опыт на слух и понимать его как свой, но таких людей даже не большинство на свете. Однако мудрый человек тоже не сам этому научился - где-то и когда-то его тоже шарахнуло как следует, и он смог распространить это понимание на остальную жизнь. А раз таких их меньше 100%, а их сильно меньше 100% - значит в точке Х в час Ч велика вероятность случиться именно тому, что все знают, но не все понимают и потому игнорируют.
Море ведь большое - а теплоходы сталкиваются, невзирая и на опыт и на Правила и на видимость и на уйму технических средств. Сталкиваются практически каждый день, а в день когда не сталкиваются - просто тонут. Автопилоты не сталкиваются, они уклоняются без всяких "но" и "я не думал что так серьезно" - потому что вообще не думают - но если за дело берётся человек - вероятность столкновения резко растёт. В ИТ и ИБ трудятся тоже люди.

[VADR]

Есть такое понятие - "Обезличивание информации". Разумеется, не нужно (крайне плохо!) публиковать в открытом доступе то, как у Васи Пупкина ломанули систему.

Ну, то есть ЗДЕСЬ (на этом форуме, где публикуемая информация доступна всем желающим, а автор публикуемой информации в большинстве случаев легко персонализируется и может быть сопоставлен с конкретными предприятиями/системами) кому-то писать о том, что ломали именно его систему - не есть хорошо. Правда? (Вариант "у одного моего знакомого везде пароль 123" - суть то же самое).

А вот говорить о том, что система защиты X имеет уязвимость Y полезно, т.к. другие пользователи системы X имеют время и возможность усилить систему X или заменить её на систему Z

А вот для этого информацию действительно надо предварительно обезличить, и форум сделать это не в состоянии.

[Ryzhij]

Уровень аргументации в дискуссии напоминает
https://vk.com/video-186255269_456239069

[Velt]

Jackson, вы пишете совсем очевидные вещи. Конечно, сами по себе знания могут быть бесполезными, если не применяются по назначению. Так же бесполезен инструмент, если просто лежит в шкафу. Но тем не менее получать их (знания) разными способами нужно и полезно (обзаводиться хорошим инструментом тоже полезно). Я как раз об этом и говорю. Для этого и идет общение в этой теме (да и весь этот форум существует, кмк для обмена знаний и опытом.). Но, в общем-то, новых мыслей больше не прозвучало, поэтому разговор можно завершать.

То, что большинство людей ведут себя неумно и нелогично - тоже далеко не новость и не открытие. Вспомните, скольким людям Чумак "зарядил" воду через телевизор )) Тому, что люди склонны действовать как лемминги (из той известной игры), много подтверждений как в прошлом, так и в наши дни.

А вот для этого информацию действительно надо предварительно обезличить, и форум сделать это не в состоянии.

Ну вот так бы сразу и сказали. Что обмен знаниями и опытом по ИБ в АСУТП делать можно и нужно, просто не на этой площадке.

[Serex]

Можно в автомобиле, когда оставляешь его на парковке, оставлять окна открытыми. Это очень полезно, потому в жару пластик не так нагревается и в салон можно сразу сесть, как придешь. Но почему-то никто это не делает на общественной парковке. И я тоже не делаю так, хотя ни у одного моего знакомого ни разу машину не угнали и не обокрали.
Тоже самое и с удаленным доступом к ресурсам. У меня и моих знакомых не было случаев взлома, но почему-то все закрывают лишний доступ.
А еще учитывая, что современные системы ограничения сетевого доступа построены на сложном программном обеспечении, которое написано неизвестно кем, то и вовсе хочется выдернуть шнурок.
Конечно, можно заниматься анализом трафика, накапливать статистику по каждой системе и искать уязвимости, все построить надежно, закрыть порты и удаленно работать. Но на это никто никогда не дает времени и старший менеджер просто не понимает зачем это нужно. Проще отключить.

[Jackson]

Jackson, вы пишете совсем очевидные вещи

Да. Потому что вижу проблему с их пониманием.

Можно в автомобиле, когда оставляешь его на парковке, оставлять окна открытыми. Это очень полезно, потому в жару пластик не так нагревается и в салон можно сразу сесть, как придешь. Но почему-то никто это не делает на общественной парковке. И я тоже не делаю так,

Ну и зря. Я так делаю. И зимой это тоже полезно делать. Но к делу это не относится. :)

Вот говорите "проще отключить". Именно что проще! Вопрос - кому проще? Наладчику проще как раз открыть всё настежь - чтобы издалека отладить не отрываясь от дачи. Программисту - тоже проще. Директору - наоборот, проще всё закрыть чтобы люди сидели на работе и не расслаблялись. А предприимчивому молодому эффективному менеджеру, читай сисадмину, как раз лучше нагородить сложную систему безопасности, в которой доступ получить можно, но непросто и не вполне удобно - поднять под это дело целую службу, новый отдел, оттянуть на себя бюджет и в целом быть очень важным, потому что от него будет зависеть работа многих и к нему будут ходить и просить. Такой локальный бог получится, я таких знаю.

Но и это всё тоже неважно. Речь в топике о другом - о дырах и форточках, которые неконтролируемо оставляют работники для своих нужд, и об этом никто не знает.

Топикстартер-то наверное уже всё перепрошил и сделал. :) Интересно, закрыл он за собой форточку или нет.

[apel512]

Топикстартер-то наверное уже всё перепрошил и сделал. :) Интересно, закрыл он за собой форточку или нет.

У меня попался вышеуказанный админ-локальный бог, ему проложить маршрут на 10 кликов работы. Нет, все запер, и сидит смотрит мультики днями.
Приходится городить хитровыкрученные VPN-туннели через мобильного оператора.

[Velt]

Но и это всё тоже неважно. Речь в топике о другом - о дырах и форточках, которые неконтролируемо оставляют работники для своих нужд, и об этом никто не знает.

Я в своем посте от 04 май 2020, 09:40 (и ранее) пытался сформулировать условия, при которых удаленный доступ является вполне удачным решением (наверно мне не удалось чётко сформулировать). Если кратко, то должны выполняться следующие условия:
1. Контролируемость. Т.е на объекте присутствуют мои сотрудники, которые следят за безопасностью.
2. Ограничен по времени. Т.е. по окончании работы доступ прекращается методом физического отключения и/или обесточивания оборудования
3. Объект не является опасным/критически значимым ИЛИ вносимые изменения малозначимые (например, перепрошивка панели оператора для изменения надписей).

Вообще, в такой трактовке это нельзя считать чисто удаленным доступом. Это скорее (назову модным словом) коллаборация. Часть спецов ПНээРит на объекте, часть - программирует удаленно.
Конечно, сейчас кто-то скажет, что киповец может "потерять рассудок", т.е. оставить свой включенным свой ноут с удаленным доступом к ПЛК на стульчике около шкафа автоматики и уйти домой. Но этому ноуту быстро приделают ноги и форточка естественным образом захлопнется ))

Если кому интересно, под спойлером конкретный пример применения "коллаборации".

[+]

Вот как раз недавно закончили пусконаладку подобного объекта. Объект - конвейер с двумя окрасочными роботами и промышленным сканером. Произвольные изделия навешаны на оснастку в произвольном порядке. Необходимо просканировать картину и синтезировать окрасочные программы для двух окрасочных роботов.
На объекте я писал логику управления конвейером, окрасочной пневматикой и прочим оборудованием. В это время небольшая команда программистов из Москвы удалённо допиливала модули сканирования, распознавания и синтеза управляющих программ для окрасочных роботов.
В итоге, мы получили технологию машинного зрения, которая выполняет так называемое оффлайн программирование, когда управляющая программа для робота синтезируется в автоматическом режиме. Эта технология есть у японцев и европейцев и её можно купить за "многоденег". На выставках в России я такого не видел (может просмотрел, если кто подскажет - буду рад) А теперь она, эта технология, у нас есть. И всё это благодаря удаленному доступу.
Если б пришлось тащить москвичей в пыльный и вонючий окрасочный цех (чтобы избежать удаленного доступа), то это не прибавило бы им работоспособности, а в связи с пандемией еще бы и отсрочило сдачу объекта на неопределенный срок.

[olexsa]

С интересом читал перипетии в этой теме (потому как тоже наблюдается тенденция к ней; пока получается пресекать). От практического выполнения данных процедур далек. Как то ближе к эксплуатации.
И хочется все таки бросить свои "пять копеек" в общий котел.
Как мне показалось, в этом споре возможности удаленного доступа придерживаются специалисты, находящиеся ближе к IT - технологиям. Против такового: специалисты АСУТП, кто много лет проработал, и кто непосредственно занимается эксплуатацией.
Удаленка - это конечно удобно, быстро, дешево. И много еще можно найти аргументов ЗА.
Также много можно привести и аргументов обратных.
Но имеется у меня вопрос, который не увидел при прочтении сообщений - в случае неблагоприятного развития событий (хоть сразу, хоть через год) с кем следователь будет беседовать? Сильно предполагаю, что при таком раскладе мало кто из сотрудников даст согласие на участие в данной процедуре.