Безопасность АРМ АСУ ТП

[MuadDib]

Я, к слову, согласен, что винде нужна реальная альтернатива в области автоматизации. От сименсовского софта на винде плюются даже иностранные коллеги. Чего один только последний TIA стоит... Наблюдал тут, как инженер из цивилизованной Европы мучился с сабжем на собственном нетбуке. Но альтернатива-то где? Когда у тех же сименсовских контроллеров будет среда разработки на других ОС? Скады потихоньку пилят под никсами, это да. Но не более. И это очень грустно.
Был на местной конференции президент крупной отечественной фирмы, выпускающей свою СКАДу. Система работает на .Net, но фирма не заинтересована в развитии кроссплатформенности. Нет спроса. .Net приложение можно портировать на Mono, но все портит привязка к "классическому" OPC. OPC UA? "Нет спроса". Вот и весь разговор. Не привлекают альтернативные платформы в первую очередь разработчиков софта. Как сложилась такая ситуация - адекватного ответа нет.

[SaNNy]

Восхитительно! То есть безопасность не в том, что нет дырок, а в том, что никто эти дырки в массовом порядке не искал?

Не хотелось бы вас разочаровывать, но в случае со Stuxnet у разработчиков малвари оказался доступ к проекту Step7. То бишь к программам контроллеров стратегически важного для некоего государства промышленного объекта Понадобился код - не вопрос, достали. Потенциальных искателей дыр в том же QNX вообще ничего не останавливает. ОС общедоступна, а у спецслужб и организаций по сертификации наверняка есть исходный код, на законных основаниях. Бери и ищи эксплойты :)

Вы надеетесь на то, что у вашего QNX мало инсталляций, и никто ломать его не будет. Но атаки на промышленные объекты - это работа на заказ, и исполнителям пофигу, на скольких машинах развернута подобная система. Будет заказ - найдут возможность исполнить. Все средства для этого есть, а желание ломать легко покупается за деньги.

Да, именно в этом. К тому же от спланированной атаки на объект защититься куда более сложнее, чем от случайной. И тут выбор ОС не стоит на первом месте. А должны быть меры огранизационного характера, чтобы предотвратить подобное.
Но от случайно словленного вируса во время обслуживания станции или от установки игр на АРМ оператора - выбор другой ОС вполне решает проблему.

Встречали ли вы вирусы на АРМах под windows? Вот под Linux или QNX вы их не встретите с 99% верояностью. Если там что-то и будет, то это будет скорее всего целенаправленная атака на данный объект автоматизации.

[SaNNy]

Я, к слову, согласен, что винде нужна реальная альтернатива в области автоматизации. От сименсовского софта на винде плюются даже иностранные коллеги. Чего один только последний TIA стоит... Наблюдал тут, как инженер из цивилизованной Европы мучился с сабжем на собственном нетбуке. Но альтернатива-то где? Когда у тех же сименсовских контроллеров будет среда разработки на других ОС? Скады потихоньку пилят под никсами, это да. Но не более. И это очень грустно.
Был на местной конференции президент крупной отечественной фирмы, выпускающей свою СКАДу. Система работает на .Net, но фирма не заинтересована в развитии кроссплатформенности. Нет спроса. .Net приложение можно портировать на Mono, но все портит привязка к "классическому" OPC. OPC UA? "Нет спроса". Вот и весь разговор. Не привлекают альтернативные платформы в первую очередь разработчиков софта. Как сложилась такая ситуация - адекватного ответа нет.

Просто на рынке ОС Майкрософт самый крупный игрок и может продавливать решения на своей операционке. В том числе и оказывая помощь в разработке. Та же технология OPC изначально создавалась этой компанией и именно для своей ОС. А вот другие игроки пока в отстающих, у них нет возможности проспонсировать создание ПО под свою ОС или эти возможности значительно уступают майкрософту.
К тому же уже написаны тонны кода под windows и переписывать их (например сименсу - 7GB софта) очень накладно. Тут надо создавать что-то с нуля, а крупные компании вроде того же Сименса, Эмерсона и тп. этим заниматься не хотят.

[MuadDib]

Да, именно в этом. К тому же от спланированной атаки на объект защититься куда более сложнее, чем от случайной. И тут выбор ОС не стоит на первом месте. А должны быть меры огранизационного характера, чтобы предотвратить подобное.
Но от случайно словленного вируса во время обслуживания станции или от установки игр на АРМ оператора - выбор другой ОС вполне решает проблему.

Пожалуй, единственный возможный источник заразы на АРМ оператора - флешка. Для юзеров можно запретить подключение флеш-накопителей. Для нужд поддержки флешку можно предварительно просканировать антивирусом. То есть, на винде есть дыры и средства контроля безопасности. Неидеальные, но есть. На прочих ОС тоже есть дыры, но из средств защиты - только вера в "99% заразы на винде". Вопрос: а что хуже?

Встречали ли вы вирусы на АРМах под windows? Вот под Linux или QNX вы их не встретите с 99% верояностью. Если там что-то и будет, то это будет скорее всего целенаправленная атака на данный объект автоматизации.

Вирусы под виндой встречал. Некоторые АРМы поставлены иностранными конторами, которые кладут известный орган на настройки безопасности. Улов за последние 6 месяцев - какой-то жалкий троян, ворующий пароли к онлайн-играм. Предыдущие аналогичные случаи можно пересчитать по пальцам одной руки, эффект был аналогичный. Чтобы заразить компьютер, не подключенный к интернету, нынче нужно здорово постараться. Если бы не было софта для обнаружения заражения, мы бы про эту малварь даже не узнали - ну не делала она там нифига. Зато появился повод повысить дисциплину у работников, имевших доступ к компьютеру - это даже небольшой плюс :D Замена такой "проблемы" на проблему тотального вакуума специализированного софта - это примерно как ампутировать руку из-за заусенца на пальце.

Просто на рынке ОС Майкрософт самый крупный игрок и может продавливать решения на своей операционке. В том числе и оказывая помощь в разработке.

"Помощь в разработке" == "давление"?

Та же технология OPC изначально создавалась этой компанией и именно для своей ОС. А вот другие игроки пока в отстающих, у них нет возможности проспонсировать создание ПО под свою ОС или эти возможности значительно уступают майкрософту.

Нет. Технология OPC изначально создавалась OPC foundation, и Майкрософт там была исключительно в виде свадебного генерала. Текущий расклад сил виден по составу совета директоров:

Thomas Burke - OPC Foundation
Thomas Hahn - Siemens AG
Dr. Grant Wilson - Emerson Process Management (chairman)
Nobuaki Konishi - Yokogawa
David Eisner - Honeywell
Dr. Juergen Weinhofer - Rockwell Automation
Russ Agrusa - ICONICS

Нынешняя редакция их стандарта - OPC UA - полностью кроссплатформенная. Только вот никто не спешит ей пользоваться. Что мешает той же QNX войти в OPC foundation и разработать под свою платформу, скажем, фреймворк для создания OPC UA сервера? С закрытым исходным кодом, дабы продвинуть свою платформу? Нет, зачем рисковать, все же уже откусили по мелкому кусочку рынка и сидят, жалуются на страшный-ужасный Microsoft, который всех давит. "Возможности нет"? Не верю. Желания выходить на новые платформы нет - это точно, а вот чтобы у всех производителей разом не было возможности? Даже у тех, кто входит в число основателей OPC?
А вот у отсутствия желания вполне может быть объективная причина. Остается только гадать, какая.

[SaNNy]

Ну как сказать, антивирусные программы червя stuxnet не нашли бы, а на других ОС обычные вирусы бы не появились и вовсе. А от специализированных вирусов защиты нет нигде. Плюс ограничение прав пользователя под nix снижает риск повреждение системы к минимуму.

OPC - это технология OLE for Process Controls. OLE - это чисто майкрософтовская фишка, посему OPC изначально делалось исключительно под Windows и майкрософт там играл не последнюю роль.

[Василий Иванович]

Как зачем Винду обновлять? Вирусов не боитесь? Ведь если дажи закрыть USB и прочее, АРМ в подавляющем количестве случаев в сети находится, откуда всякая хрень может прилететь, и файрволлы при этом не являются стопроцентной гарантией.

Не могли бы вы привести пример заражения, когда "хрень прилетела из сети"? То есть стоит себе компьютер, подключенный к локалке, ...

И лично я не припоминаю ни одного факта такой вот вопиющей удаленной уязвимости. Локальные уязвимости - полно. Заражения через браузер (с деятельным участием пользователя) - в ассортименте. Но так чтобы на WinNT просто что-то прилетело и само запустилось и установилось...

Неужели Вы утверждаете, что под WinNT не бывает червей? Мне остается лишь пожать плечами.

In August 2003, computer systems of CSX Transportation got infected by a
computer virus, halting passenger and freight train traffic in Washington,
DC.

In 2003, the east coast of America experienced a blackout, while not the
cause, many of the related systems were infected by the Blaster worm.

Ohio Davis-Besse nuclear power plant safety monitoring system was offline
for 5 hours due to Slammer worm in January 2003

http://www.blackhat.com/presentations/b ... ham-up.pdf

http://www.ptil.no/getfile.php/z%20Konv ... daptil.pdf

The most recent incident was on January 25, 2003, when the SQL/Slammer worm
devastated companies the world over. The Electricity Sector Information Sharing
and Analysis Center, with assistance from cyber security experts from the CIP
Advisory Group, investigated a known instance where an electric utility company
lost control of their EMS/SCADA system for several hours. While nothing serious
happened as a result, the EMS/SCADA system was not able to communicate with
substations and plants, forcing the company operations staff to resort to manual
operation of their transmission and generation assets until control could be restored.
By the company’s own admission, this incident would not have happened if the
requirements of the proposed Urgent Action standard had been implemented.
b. In September 2001, the Nimda worm was circulated widely throughout the world.
We know of an electric utility whose EMS/SCADA network was compromised by
the Nimda worm. The worm then propagated itself to the internal project network of
a major EMS/SCADA vendor via the vendor’s support communications circuit,
devastating the EMS vendor’s internal network and launching further attacks against
the EMS/SCADA networks of all other customers of the vendor with support
communications circuits.
c. In August 2001, the Code Red II worm successfully compromised the internal
network of a company that provides services to NERC and numerous electric utility
companies. This worm then attacked the connected customers of this company,
successfully compromising an exposed web server at one of the utility control
centers. It is important to note that the compromised server was presumed to be
protected, as it was not exposed to the Internet. This attack was propagated via the
private frame relay network connecting the service company, the impacted utility,
and the other connected utility companies.

http://www.nerc.com/pa/Stand/Cyber%20Se ... -0803a.pdf

Один только OPC на компьютере - это уже конкрентая головная боль в плане безопасности, а без него пока мало какая скада обходится.

[Василий Иванович]

Даже тот же Стакснет прекрасно размножается по сети, чего уж там еще вспоминать.

[Grafik]

Занимаемся автоматикой ТЕЦ (в основном сах.заводы), АРМы у нас чисто для сбора данных, формирования отчетов...Все управление независимое от верхнего уровня. В тоже время сеть организовываем полностью закрытую (без доступа в нет, в сеть предприятия). Ну и блочится полностью комп чисто под АРМ. Проблем пока не возникало.

[VADR]

Как зачем Винду обновлять? Вирусов не боитесь? Ведь если дажи закрыть USB и прочее, АРМ в подавляющем количестве случаев в сети находится, откуда всякая хрень может прилететь, и файрволлы при этом не являются стопроцентной гарантией.

Не могли бы вы привести пример заражения, когда "хрень прилетела из сети"? То есть стоит себе компьютер, подключенный к локалке, у пользователя нет прав на доступ к Интернет Эксплореру и любому другому браузеру, все системные серверные службы (т.е. все системные процессы, ожидающие входящей сетевой активности) остановлены. Права у пользователя минимально возможные. Иными словами, правильно сконфигурированная рабочая машина. Есть ли (были ли) по факту уязвимости винды, которые способны работать в таких условиях?

Кстати, именно таким образом сконфигурённые машины замечательно заражались вирусом kido. Вылечивалось (при условии, что нет совпадений по паролям пользователей с админскими правами) специальными патчами от MS. Это до win XP SP3 - начиная с этой версии патчи были уже в установке. Без патчей - было нечто гениальное: я и предположить не мог, что уязвимости службы "server" могут быть использованы при остановленной службе "server" :). И несмотря на то, что никто внутри сети флешки левые не втыкал и левые документы не открывал / программы посторонние на запускал - вирус внутрь пролез: была одна машина, включенная двумя сетевухами в разные сети: одна во внутреннюю сеть, через неё информация из системы берётся; вторая - во внешнюю (общую сеть предприятия), через неё те данные получают удалённые клиенты. Вот через эту машинку и пошло заражение, да так, что еле вычистили...

[VADR]

Это если потребительский рынок займет. А если использовать ее в автоматизации, то вероятность появления вируса ничтожно мала.

Восхитительно! То есть безопасность не в том, что нет дырок, а в том, что никто эти дырки в массовом порядке не искал?

Как раз с точностью до наоборот. Системы с открытыми исходными кодами (которые ковыряют все, кому не лень, и куча народа ищет уязвимости) имеют больше шансов избавиться от уязвимостей раньше, чем их успеют применить. А закрытые - они и есть закрытые: жди милости от разработчика.
Кстати, небольшой пример из собственной практики. Как-то нашёл у себя в закромах книжку под названием "Атака через интернет". Книжка довольно интересная, хоть информация там и далеко не новая. Вернее сказать, эта информация была не очень свежей на момент издания этой книги. В общем, посмотрел описанные примеры атак, выбрал самую на мой взгляд простую (с ложным arp-ответом) и решил поэкспериментировать. В общем, книга - 1997 года издания, атакуемая машина - под windows server 2003, атака успешна. О какой безопасности мы говорим?

[Jackson]

Как зачем Винду обновлять? Вирусов не боитесь? Ведь если дажи закрыть USB и прочее, АРМ в подавляющем количестве случаев в сети находится, откуда всякая хрень может прилететь, и файрволлы при этом не являются стопроцентной гарантией.

Василий Иваныч, а причем тут обновление винды?
Если АРМ в сети, то его закинуть в отдельную подсеть, возможно даже физически отдельную, это несложно, интернет в ней отрубить, УСБ отрубить (у всех), NetBIOS отрубить. И всё.

ПО обновляется в т.ч. и на АРМах только по необходимости, когда в обновлении содержится что-то нужное для ТП. А так-то зачем? работает и работает.

[Jackson]

Один только OPC на компьютере - это уже конкрентая головная боль в плане безопасности, а без него пока мало какая скада обходится.

OPC это серверная часть СКАДА. А речь про АРМ, где клиентская часть.

Ну или если АРМ со скадой одновременно является и сервером (что бывает) и в добавок находится в общей сети где работают ещё и обычные шары - тут, как говорится, против лома нет приёма.

Чтобы защитить АРМ нужно оставить ему только необходимые ресурсы, а не все подряд. Вплоть до физического выделения, как я писал. И всё. На этом и строятся практически все меры защиты. Если этим пренебрегать то о защите можно просто не париться - не будет её.

[Василий Иванович]

Вроде бы речь шла о том варианте, когда он именно в сети, и это кстати скорее правило, чем исключение. Потому что переток информации снизу вверх и сверху вниз в пирамиде АСУТП - вещь необходимая. Организовывать это дело вручную хотя и можно, но будет для очень многих неприемлемо.

[Василий Иванович]

Системы с открытыми исходными кодами (которые ковыряют все, кому не лень, и куча народа ищет уязвимости) имеют больше шансов избавиться от уязвимостей раньше, чем их успеют применить.

Правильно.

[MuadDib]

Василий Иванович
Да, действительно, 10 лет назад было дело. Была куча червей, атакующих винды через клиентские компоненты - RPC, LSASS и т.п. Но со времен WinXP SP3 страсти поутихли. Если не считать тяжелой артиллерии в виде семейства stuxnet...
Я не отрицаю очевидного. Вирье, черви есть и будут. Но проблема, по-моему, сильно преувеличена.
А вот SQL/Slammer и Code Red - это мимо. Речь идет о клиентских машинах, где не нужны веб-серверы и СУБД с доступом извне. На любом сервере, с любой операционной системой постоянный контроль безопасности и патчи нужны по умолчанию. Такова жизнь... И если у кого-то критически важные системы на АЭС зависят от обычного компьютера (!) с MS SQL (!?), то этот кто-то сам себе злобный Буратино.

[MuadDib]

Как раз с точностью до наоборот. Системы с открытыми исходными кодами (которые ковыряют все, кому не лень, и куча народа ищет уязвимости) имеют больше шансов избавиться от уязвимостей раньше, чем их успеют применить. А закрытые - они и есть закрытые: жди милости от разработчика.

Во-первых, речь тут была о QNX vs. Windows. А QNX - проприетарная система с закрытыми (для общественности) исходниками.
Во-вторых, вспоминаем многочисленные факты обнаружения уязвимостей в "свободных" ОС. kernel.org клали на лопатки? Клали. Эпичный баг с високосной секундой обнаружили, когда народ начал развлекаться, уводя Linux-сервера в даун? Обнаружили. А что на днях сделали с серверами проекта php?
Кстати, помнится, контора, распространявшая stuxnet/duqu/flame юзала взломанные сервера на основе CentOS в качестве C&C. Информации об использованной уязвимости до сих пор нет. Неуловимый Джо такой неуловимый, пока его не ловят :D
Так что, помимо веры в непогрешимость "свободы", ничто не отличает Linux- и BSD-системы от проприетарщины в плане безопасности. Свобода хороша, когда речь идет о каком-то компоненте системы, скажем о реализации некоего защищенного протокола обмена. В таком случае, если один человек - специалист в данном вопросе - в состоянии охватить функции кода, можно говорить о том, как независимая оценка качества помогает безопасности. Открытые криптографические системы без всяких сомнений лучше чем те, которые построены на security through obscurity. Последние существуют, надеясь на "авось никто не поймет, как оно работает", отсюда и недостатки.
Операционная система в целом - это другое. Там огромный объем кода, который пишут (и понимают) совершенно разные специалисты. Надежда на то, что в этом стоге сена непременно найдут иголку - это тоже надежда на "авось". Да, иногда иголку находят. Более того, уже находили преднамеренные попытки внедрения бэкдоров в ядро Linux. А есть гарантии, что _все_ такие попытки нашли и пресекли? Кроме веры? И зачем тогда разговоры о превосходстве свободы, если превосходства нет?
И ладно бы нормальная софтовая экосистема под АСУТП существовала под *nix. Дык, кроме кросплатформенных SCADA и ad hoc - приложений (проприетарных :) ) нет там ничего. Говорить не о чем.

[Бондарев Михаил]

А QNX - проприетарная система с закрытыми (для общественности) исходниками.

Открыли ужо года два как.

Вообще все эти крики про stuxnet - они слегка истеричны. Поправьте если я не прав: да, системы уязвимы, но поражена-то была только одна, та для которой все и затевалось. Остальные тупо носители ( как с герпесом ), но сами никак не страдают. Захотят сломать вашу систему - так же точно и сломают. Не через stuxnet, так через бригаду морских котиков, к вам на балкон высадившуюся.

[Ryzhij]

Но это не повод бросать трап с того же балкона, а то, неровен час, не котики, а просто праздные оболтусы на балкон залезут.
Всё упирается в цену вопроса.
А так-то, взломать можно всё.
Некоторое просто невыгодно взламывать, а некоторое - невыгодно и защищать.

[MuadDib]

Открыли ужо года два как.

Ого, действительно. Моя ошибка, отстал я от жизни.

Вообще все эти крики про stuxnet - они слегка истеричны. Поправьте если я не прав: да, системы уязвимы, но поражена-то была только одна, та для которой все и затевалось. Остальные тупо носители ( как с герпесом ), но сами никак не страдают. Захотят сломать вашу систему - так же точно и сломают. Не через stuxnet, так через бригаду морских котиков, к вам на балкон высадившуюся.

Вот и я про то же. Тем более что последние события наглядно показывают: не только (и не столько) винда - это трап с балкона :D

[Ryzhij]

Поэтому-то и в серьёзных системах и существуют проверки на целостность ПО и т.п.

[Бондарев Михаил]

любой неудачливый программист из собственной обслуживающей организации

Знаю преценденты, при том со стороны "интегратора". Не знаю били его, когда все вскрылось, или нет,
но в командировки он ездил исправно, видимо суточные любил.

и существуют проверки на целостность ПО и т.п.

кстати очень интересный организационно-технический вопрос. Кто как его решает? Ну кроме передачи ПО на CD.))

[Василий Иванович]

Но со времен WinXP SP3 страсти поутихли.

Но ведь каждая новая версия винды приносит и новые дыры. Да, ХР вроде более-менее почистили, так ведь их и не продают уже вовсе.

[Василий Иванович]

и существуют проверки на целостность ПО и т.п.

кстати очень интересный организационно-технический вопрос. Кто как его решает? Ну кроме передачи ПО на CD.))

Я же говорил, есть специальный софт для этого, в частноти от Bit9 и McAfee. Можно обеспечить целостность как исполняемых, так и всех прочих файлов.

[VADR]

Во-вторых, вспоминаем многочисленные факты обнаружения уязвимостей в "свободных" ОС. kernel.org клали на лопатки? Клали. Эпичный баг с високосной секундой обнаружили, когда народ начал развлекаться, уводя Linux-сервера в даун? Обнаружили. А что на днях сделали с серверами проекта php?

Сколько раз за это время роняли сервера MS? Тишина... Отсутствие информации - рулит .
Кстати, "эпичный баг с високосной секундой" - легенда. Реально подтверждённых взломов нет, хотя хвастались многие.

Кстати, помнится, контора, распространявшая stuxnet/duqu/flame юзала взломанные сервера на основе CentOS в качестве C&C.

"Взломанные" или всё-таки "подконтрольные"? Две большие разницы, как говорят в некоторых городах :)

Так что, помимо веры в непогрешимость "свободы", ничто не отличает Linux- и BSD-системы от проприетарщины в плане безопасности.

Дело не только и не только в свободе кода. Важна, к примеру, политика прав пользователя. Под продуктами MS по умолчанию пользователь является администратором. Он же (пользователь) может запустить любой исполняеый файл, откуда бы он ни был получен. С запросом, естестенно: "Вы уверены, что этот файл можно запускать?", "Да, конечно! Я же ведь насквозь вижу каждый исполняемый файл, и этот не исключение!" . А далее - подцепленный вирус запихивает свою тушку в самое анекдотичное место файловой системы - каталог "System Volume Information": никакому поьзователю, включая админов, туда нельзя... только вирусам можно, причём без ограничений К слову, я упоминал уже вирус kido. Мерзкая штука, вычищается из сети не очень просто. Для чистки использовал утилиту от Касперского kidokiller. Запускается и работает под простым пользователем, не обязательно под админом, проверяет все живые процессы, ищет и прибивает нехорошие фрагменты потоков, правит "spliced functions"... всё это - чужие для пользователя процессы и доступ к ним получается запросто даже без админских прав! Безопасность так и прёт
Под *nix-ами ситуация кардинально другая. По умолчанию пользователь - просто пользователь и запустить что-то, что может повлиять на функционирование системы, не сможет. И установить что-то, не подписанное электронной подписью репозитория - тоже вряд ли. Всё это, конечно, можно отключить, только зачем?

И ладно бы нормальная софтовая экосистема под АСУТП существовала под *nix. Дык, кроме кросплатформенных SCADA и ad hoc - приложений (проприетарных :) ) нет там ничего. Говорить не о чем.

Вообще говоря, уже немало. Линухи на операторских станциях - пока ещё редкость, но линухи в контроллерах - обычное явление.

[VADR]

Вдруг подумалось, что в случае полной открытости системы, любой неудачливый программист из собственной обслуживающей организации может запросто и в любой момент добавить вредоносный код с таймером на случай его увольнения. Если же система закрыта для подобных действий, то полную ответственность за ее работоспособность несет внешний системный интегратор и риски подобного исхода стремятся к нулю. Ибо терять свои деньги стороннему всегда не выгодно. Поразмышляйте над этим в свободное время :)

Открытая система - не значит открытый доступ везде. Каждый может, к примеру, пересобрать ядро, но поставить его - только там, где есть админские права.