Безопасность АРМ АСУ ТП

[SaNNy]

Да тупо по деньгам выгодней, потому что эти Ваши "проще" - это ведь на самом деле "дешевле".

В системе автоматизации арм оператора - это не самое дорогое оборудование. А обучение и так обслуживающий персонал должен проходить, просто иногда на это дело забивают.

[SaNNy]

Первый в мире вирус появился именно на Юниксе. Неуловимый Джо.

Ну это ничего не значит. Вирусов не под windows в настоящее время практически нет.

[Василий Иванович]

И тем не менее, при прочих равных - спецсистема всегда дороже. Тупо просрут тендер по деньгам.

[Василий Иванович]

Первый в мире вирус появился именно на Юниксе. Неуловимый Джо.

Ну это ничего не значит. Вирусов не под windows в настоящее время практически нет.

Их нет не потому, что Юникс такая безопасная, а потому что денег и славы на написании вируса не заработаешь.

[SaNNy]

И тем не менее, при прочих равных - спецсистема всегда дороже. Тупо просрут тендер по деньгам.

Чем дороже? ОС бесплатна (например linux), стоимость скада системы должна быть сравнима

[SaNNy]

Их нет не потому, что Юникс такая безопасная, а потому что денег и славы на написании вируса не заработаешь.

И поэтому в том числе. И шансов занести какую-то бяку при обслуживания - значительно ниже

[Бондарев Михаил]

Расскажите же! Прям заинтриговали! Почему сожалеете, на поменять предлагаете?

[Exactamente]

>Кстати, что еще?
Есть занятная APROL от B&R под SLES.

[MuadDib]

Как зачем Винду обновлять? Вирусов не боитесь? Ведь если дажи закрыть USB и прочее, АРМ в подавляющем количестве случаев в сети находится, откуда всякая хрень может прилететь, и файрволлы при этом не являются стопроцентной гарантией.

Не могли бы вы привести пример заражения, когда "хрень прилетела из сети"? То есть стоит себе компьютер, подключенный к локалке, у пользователя нет прав на доступ к Интернет Эксплореру и любому другому браузеру, все системные серверные службы (т.е. все системные процессы, ожидающие входящей сетевой активности) остановлены. Права у пользователя минимально возможные. Иными словами, правильно сконфигурированная рабочая машина. Есть ли (были ли) по факту уязвимости винды, которые способны работать в таких условиях?
Ясное дело, во времена Win98 было много всяких веселостей, в частности, в реализации стека TCP/IP. Но сейчас везде уже используются винды на основе WinNT. И лично я не припоминаю ни одного факта такой вот вопиющей удаленной уязвимости. Локальные уязвимости - полно. Заражения через браузер (с деятельным участием пользователя) - в ассортименте. Но так чтобы на WinNT просто что-то прилетело и само запустилось и установилось...

[MuadDib]

Это если потребительский рынок займет. А если использовать ее в автоматизации, то вероятность появления вируса ничтожно мала.

Восхитительно! То есть безопасность не в том, что нет дырок, а в том, что никто эти дырки в массовом порядке не искал?

Не хотелось бы вас разочаровывать, но в случае со Stuxnet у разработчиков малвари оказался доступ к проекту Step7. То бишь к программам контроллеров стратегически важного для некоего государства промышленного объекта Понадобился код - не вопрос, достали. Потенциальных искателей дыр в том же QNX вообще ничего не останавливает. ОС общедоступна, а у спецслужб и организаций по сертификации наверняка есть исходный код, на законных основаниях. Бери и ищи эксплойты :)

Вы надеетесь на то, что у вашего QNX мало инсталляций, и никто ломать его не будет. Но атаки на промышленные объекты - это работа на заказ, и исполнителям пофигу, на скольких машинах развернута подобная система. Будет заказ - найдут возможность исполнить. Все средства для этого есть, а желание ломать легко покупается за деньги.

[MuadDib]

Так ведь вроде же писали про взлом офиса где-то в Малайзии для получения разрешения белого листа (вроде как Стакснет подменил ключ сертификата). Или я что-то не так понял? Точно же где-то про это писали...я не мог это из головы выдумать :)

Все верно. В Stuxnet был руткит-компонент (по сути, драйвер), подписанный "краденным" сертификатом. Руткит скрывал присутствие червя на зараженной машине. Без подписи было бы сложно организовать скрытую установку руткита. Был ли реальный взлом офиса или просто кто-то кому-то занес деньги - про это можно только гадать.

[MuadDib]

Я, к слову, согласен, что винде нужна реальная альтернатива в области автоматизации. От сименсовского софта на винде плюются даже иностранные коллеги. Чего один только последний TIA стоит... Наблюдал тут, как инженер из цивилизованной Европы мучился с сабжем на собственном нетбуке. Но альтернатива-то где? Когда у тех же сименсовских контроллеров будет среда разработки на других ОС? Скады потихоньку пилят под никсами, это да. Но не более. И это очень грустно.
Был на местной конференции президент крупной отечественной фирмы, выпускающей свою СКАДу. Система работает на .Net, но фирма не заинтересована в развитии кроссплатформенности. Нет спроса. .Net приложение можно портировать на Mono, но все портит привязка к "классическому" OPC. OPC UA? "Нет спроса". Вот и весь разговор. Не привлекают альтернативные платформы в первую очередь разработчиков софта. Как сложилась такая ситуация - адекватного ответа нет.

[SaNNy]

Восхитительно! То есть безопасность не в том, что нет дырок, а в том, что никто эти дырки в массовом порядке не искал?

Не хотелось бы вас разочаровывать, но в случае со Stuxnet у разработчиков малвари оказался доступ к проекту Step7. То бишь к программам контроллеров стратегически важного для некоего государства промышленного объекта Понадобился код - не вопрос, достали. Потенциальных искателей дыр в том же QNX вообще ничего не останавливает. ОС общедоступна, а у спецслужб и организаций по сертификации наверняка есть исходный код, на законных основаниях. Бери и ищи эксплойты :)

Вы надеетесь на то, что у вашего QNX мало инсталляций, и никто ломать его не будет. Но атаки на промышленные объекты - это работа на заказ, и исполнителям пофигу, на скольких машинах развернута подобная система. Будет заказ - найдут возможность исполнить. Все средства для этого есть, а желание ломать легко покупается за деньги.

Да, именно в этом. К тому же от спланированной атаки на объект защититься куда более сложнее, чем от случайной. И тут выбор ОС не стоит на первом месте. А должны быть меры огранизационного характера, чтобы предотвратить подобное.
Но от случайно словленного вируса во время обслуживания станции или от установки игр на АРМ оператора - выбор другой ОС вполне решает проблему.

Встречали ли вы вирусы на АРМах под windows? Вот под Linux или QNX вы их не встретите с 99% верояностью. Если там что-то и будет, то это будет скорее всего целенаправленная атака на данный объект автоматизации.

[SaNNy]

Я, к слову, согласен, что винде нужна реальная альтернатива в области автоматизации. От сименсовского софта на винде плюются даже иностранные коллеги. Чего один только последний TIA стоит... Наблюдал тут, как инженер из цивилизованной Европы мучился с сабжем на собственном нетбуке. Но альтернатива-то где? Когда у тех же сименсовских контроллеров будет среда разработки на других ОС? Скады потихоньку пилят под никсами, это да. Но не более. И это очень грустно.
Был на местной конференции президент крупной отечественной фирмы, выпускающей свою СКАДу. Система работает на .Net, но фирма не заинтересована в развитии кроссплатформенности. Нет спроса. .Net приложение можно портировать на Mono, но все портит привязка к "классическому" OPC. OPC UA? "Нет спроса". Вот и весь разговор. Не привлекают альтернативные платформы в первую очередь разработчиков софта. Как сложилась такая ситуация - адекватного ответа нет.

Просто на рынке ОС Майкрософт самый крупный игрок и может продавливать решения на своей операционке. В том числе и оказывая помощь в разработке. Та же технология OPC изначально создавалась этой компанией и именно для своей ОС. А вот другие игроки пока в отстающих, у них нет возможности проспонсировать создание ПО под свою ОС или эти возможности значительно уступают майкрософту.
К тому же уже написаны тонны кода под windows и переписывать их (например сименсу - 7GB софта) очень накладно. Тут надо создавать что-то с нуля, а крупные компании вроде того же Сименса, Эмерсона и тп. этим заниматься не хотят.

[MuadDib]

Да, именно в этом. К тому же от спланированной атаки на объект защититься куда более сложнее, чем от случайной. И тут выбор ОС не стоит на первом месте. А должны быть меры огранизационного характера, чтобы предотвратить подобное.
Но от случайно словленного вируса во время обслуживания станции или от установки игр на АРМ оператора - выбор другой ОС вполне решает проблему.

Пожалуй, единственный возможный источник заразы на АРМ оператора - флешка. Для юзеров можно запретить подключение флеш-накопителей. Для нужд поддержки флешку можно предварительно просканировать антивирусом. То есть, на винде есть дыры и средства контроля безопасности. Неидеальные, но есть. На прочих ОС тоже есть дыры, но из средств защиты - только вера в "99% заразы на винде". Вопрос: а что хуже?

Встречали ли вы вирусы на АРМах под windows? Вот под Linux или QNX вы их не встретите с 99% верояностью. Если там что-то и будет, то это будет скорее всего целенаправленная атака на данный объект автоматизации.

Вирусы под виндой встречал. Некоторые АРМы поставлены иностранными конторами, которые кладут известный орган на настройки безопасности. Улов за последние 6 месяцев - какой-то жалкий троян, ворующий пароли к онлайн-играм. Предыдущие аналогичные случаи можно пересчитать по пальцам одной руки, эффект был аналогичный. Чтобы заразить компьютер, не подключенный к интернету, нынче нужно здорово постараться. Если бы не было софта для обнаружения заражения, мы бы про эту малварь даже не узнали - ну не делала она там нифига. Зато появился повод повысить дисциплину у работников, имевших доступ к компьютеру - это даже небольшой плюс :D Замена такой "проблемы" на проблему тотального вакуума специализированного софта - это примерно как ампутировать руку из-за заусенца на пальце.

Просто на рынке ОС Майкрософт самый крупный игрок и может продавливать решения на своей операционке. В том числе и оказывая помощь в разработке.

"Помощь в разработке" == "давление"?

Та же технология OPC изначально создавалась этой компанией и именно для своей ОС. А вот другие игроки пока в отстающих, у них нет возможности проспонсировать создание ПО под свою ОС или эти возможности значительно уступают майкрософту.

Нет. Технология OPC изначально создавалась OPC foundation, и Майкрософт там была исключительно в виде свадебного генерала. Текущий расклад сил виден по составу совета директоров:

Thomas Burke - OPC Foundation
Thomas Hahn - Siemens AG
Dr. Grant Wilson - Emerson Process Management (chairman)
Nobuaki Konishi - Yokogawa
David Eisner - Honeywell
Dr. Juergen Weinhofer - Rockwell Automation
Russ Agrusa - ICONICS

Нынешняя редакция их стандарта - OPC UA - полностью кроссплатформенная. Только вот никто не спешит ей пользоваться. Что мешает той же QNX войти в OPC foundation и разработать под свою платформу, скажем, фреймворк для создания OPC UA сервера? С закрытым исходным кодом, дабы продвинуть свою платформу? Нет, зачем рисковать, все же уже откусили по мелкому кусочку рынка и сидят, жалуются на страшный-ужасный Microsoft, который всех давит. "Возможности нет"? Не верю. Желания выходить на новые платформы нет - это точно, а вот чтобы у всех производителей разом не было возможности? Даже у тех, кто входит в число основателей OPC?
А вот у отсутствия желания вполне может быть объективная причина. Остается только гадать, какая.

[SaNNy]

Ну как сказать, антивирусные программы червя stuxnet не нашли бы, а на других ОС обычные вирусы бы не появились и вовсе. А от специализированных вирусов защиты нет нигде. Плюс ограничение прав пользователя под nix снижает риск повреждение системы к минимуму.

OPC - это технология OLE for Process Controls. OLE - это чисто майкрософтовская фишка, посему OPC изначально делалось исключительно под Windows и майкрософт там играл не последнюю роль.

[Василий Иванович]

Как зачем Винду обновлять? Вирусов не боитесь? Ведь если дажи закрыть USB и прочее, АРМ в подавляющем количестве случаев в сети находится, откуда всякая хрень может прилететь, и файрволлы при этом не являются стопроцентной гарантией.

Не могли бы вы привести пример заражения, когда "хрень прилетела из сети"? То есть стоит себе компьютер, подключенный к локалке, ...

И лично я не припоминаю ни одного факта такой вот вопиющей удаленной уязвимости. Локальные уязвимости - полно. Заражения через браузер (с деятельным участием пользователя) - в ассортименте. Но так чтобы на WinNT просто что-то прилетело и само запустилось и установилось...

Неужели Вы утверждаете, что под WinNT не бывает червей? Мне остается лишь пожать плечами.

In August 2003, computer systems of CSX Transportation got infected by a
computer virus, halting passenger and freight train traffic in Washington,
DC.

In 2003, the east coast of America experienced a blackout, while not the
cause, many of the related systems were infected by the Blaster worm.

Ohio Davis-Besse nuclear power plant safety monitoring system was offline
for 5 hours due to Slammer worm in January 2003

http://www.blackhat.com/presentations/b ... ham-up.pdf

http://www.ptil.no/getfile.php/z%20Konv ... daptil.pdf

The most recent incident was on January 25, 2003, when the SQL/Slammer worm
devastated companies the world over. The Electricity Sector Information Sharing
and Analysis Center, with assistance from cyber security experts from the CIP
Advisory Group, investigated a known instance where an electric utility company
lost control of their EMS/SCADA system for several hours. While nothing serious
happened as a result, the EMS/SCADA system was not able to communicate with
substations and plants, forcing the company operations staff to resort to manual
operation of their transmission and generation assets until control could be restored.
By the company’s own admission, this incident would not have happened if the
requirements of the proposed Urgent Action standard had been implemented.
b. In September 2001, the Nimda worm was circulated widely throughout the world.
We know of an electric utility whose EMS/SCADA network was compromised by
the Nimda worm. The worm then propagated itself to the internal project network of
a major EMS/SCADA vendor via the vendor’s support communications circuit,
devastating the EMS vendor’s internal network and launching further attacks against
the EMS/SCADA networks of all other customers of the vendor with support
communications circuits.
c. In August 2001, the Code Red II worm successfully compromised the internal
network of a company that provides services to NERC and numerous electric utility
companies. This worm then attacked the connected customers of this company,
successfully compromising an exposed web server at one of the utility control
centers. It is important to note that the compromised server was presumed to be
protected, as it was not exposed to the Internet. This attack was propagated via the
private frame relay network connecting the service company, the impacted utility,
and the other connected utility companies.

http://www.nerc.com/pa/Stand/Cyber%20Se ... -0803a.pdf

Один только OPC на компьютере - это уже конкрентая головная боль в плане безопасности, а без него пока мало какая скада обходится.

[Василий Иванович]

Даже тот же Стакснет прекрасно размножается по сети, чего уж там еще вспоминать.

[Grafik]

Занимаемся автоматикой ТЕЦ (в основном сах.заводы), АРМы у нас чисто для сбора данных, формирования отчетов...Все управление независимое от верхнего уровня. В тоже время сеть организовываем полностью закрытую (без доступа в нет, в сеть предприятия). Ну и блочится полностью комп чисто под АРМ. Проблем пока не возникало.

[VADR]

Как зачем Винду обновлять? Вирусов не боитесь? Ведь если дажи закрыть USB и прочее, АРМ в подавляющем количестве случаев в сети находится, откуда всякая хрень может прилететь, и файрволлы при этом не являются стопроцентной гарантией.

Не могли бы вы привести пример заражения, когда "хрень прилетела из сети"? То есть стоит себе компьютер, подключенный к локалке, у пользователя нет прав на доступ к Интернет Эксплореру и любому другому браузеру, все системные серверные службы (т.е. все системные процессы, ожидающие входящей сетевой активности) остановлены. Права у пользователя минимально возможные. Иными словами, правильно сконфигурированная рабочая машина. Есть ли (были ли) по факту уязвимости винды, которые способны работать в таких условиях?

Кстати, именно таким образом сконфигурённые машины замечательно заражались вирусом kido. Вылечивалось (при условии, что нет совпадений по паролям пользователей с админскими правами) специальными патчами от MS. Это до win XP SP3 - начиная с этой версии патчи были уже в установке. Без патчей - было нечто гениальное: я и предположить не мог, что уязвимости службы "server" могут быть использованы при остановленной службе "server" :). И несмотря на то, что никто внутри сети флешки левые не втыкал и левые документы не открывал / программы посторонние на запускал - вирус внутрь пролез: была одна машина, включенная двумя сетевухами в разные сети: одна во внутреннюю сеть, через неё информация из системы берётся; вторая - во внешнюю (общую сеть предприятия), через неё те данные получают удалённые клиенты. Вот через эту машинку и пошло заражение, да так, что еле вычистили...

[VADR]

Это если потребительский рынок займет. А если использовать ее в автоматизации, то вероятность появления вируса ничтожно мала.

Восхитительно! То есть безопасность не в том, что нет дырок, а в том, что никто эти дырки в массовом порядке не искал?

Как раз с точностью до наоборот. Системы с открытыми исходными кодами (которые ковыряют все, кому не лень, и куча народа ищет уязвимости) имеют больше шансов избавиться от уязвимостей раньше, чем их успеют применить. А закрытые - они и есть закрытые: жди милости от разработчика.
Кстати, небольшой пример из собственной практики. Как-то нашёл у себя в закромах книжку под названием "Атака через интернет". Книжка довольно интересная, хоть информация там и далеко не новая. Вернее сказать, эта информация была не очень свежей на момент издания этой книги. В общем, посмотрел описанные примеры атак, выбрал самую на мой взгляд простую (с ложным arp-ответом) и решил поэкспериментировать. В общем, книга - 1997 года издания, атакуемая машина - под windows server 2003, атака успешна. О какой безопасности мы говорим?

[Jackson]

Как зачем Винду обновлять? Вирусов не боитесь? Ведь если дажи закрыть USB и прочее, АРМ в подавляющем количестве случаев в сети находится, откуда всякая хрень может прилететь, и файрволлы при этом не являются стопроцентной гарантией.

Василий Иваныч, а причем тут обновление винды?
Если АРМ в сети, то его закинуть в отдельную подсеть, возможно даже физически отдельную, это несложно, интернет в ней отрубить, УСБ отрубить (у всех), NetBIOS отрубить. И всё.

ПО обновляется в т.ч. и на АРМах только по необходимости, когда в обновлении содержится что-то нужное для ТП. А так-то зачем? работает и работает.

[Jackson]

Один только OPC на компьютере - это уже конкрентая головная боль в плане безопасности, а без него пока мало какая скада обходится.

OPC это серверная часть СКАДА. А речь про АРМ, где клиентская часть.

Ну или если АРМ со скадой одновременно является и сервером (что бывает) и в добавок находится в общей сети где работают ещё и обычные шары - тут, как говорится, против лома нет приёма.

Чтобы защитить АРМ нужно оставить ему только необходимые ресурсы, а не все подряд. Вплоть до физического выделения, как я писал. И всё. На этом и строятся практически все меры защиты. Если этим пренебрегать то о защите можно просто не париться - не будет её.

[Василий Иванович]

Вроде бы речь шла о том варианте, когда он именно в сети, и это кстати скорее правило, чем исключение. Потому что переток информации снизу вверх и сверху вниз в пирамиде АСУТП - вещь необходимая. Организовывать это дело вручную хотя и можно, но будет для очень многих неприемлемо.

[Василий Иванович]

Системы с открытыми исходными кодами (которые ковыряют все, кому не лень, и куча народа ищет уязвимости) имеют больше шансов избавиться от уязвимостей раньше, чем их успеют применить.

Правильно.