Уязвимости промышленных систем

В критической инфраструктуре промышленного сектора обнаруживаются те же самые уязвимости, что и в большинстве обычных ИС. Тем не менее, в промышленных системах есть и свои  уникальные «узкие» места.

На начальном этапе развития в промышленных системах использовалось малоизвестное специализированное оборудование и программное обеспечение, а их сетевое взаимодействие с внешним миром было сильно ограничено. Круг возможных угроз был слишком узок, поэтому  внимания вопросам информационной безопасности со стороны разработчиков и владельцев таких систем практически не уделялось. Со временем разработчики перешли на стандартные ИТ-платформы, а владельцы промышленных систем с целью повышения эффективности управления стали подключать их к смежным системам.

Существующая тенденция к повышению открытости и стандартизации промышленных систем повышает их уязвимость к кибератакам. Однако среди экспертов не существует единого мнения относительно того, насколько сложной задачей для аутсайдера является получение доступа к промышленной системе.

Одной из главнейших уязвимостей остается человеческий фактор. Эксплуатацией промышленных и корпоративных систем обычно занимаются разные подразделения. Персонал промышленных систем, как правило, достаточно далек от вопросов обеспечения информационной безопасности, здесь нет соответствующих специалистов, а рекомендации ИТ-персонала на это подразделение не распространяются. Основной задачей остается решение технологических проблем, возникающих в ходе эксплуатации системы, обеспечение ее надежности и доступности, повышение эффективности и минимизация накладных расходов.

Уязвимости операционных систем в равной степени свойственны и для промышленных и для корпоративных систем, однако установка программных коррекций в промышленных системах на регулярной основе зачастую не выполняется. Главной заботой администратора такой системы является ее бесперебойная работа. Установка предварительно не протестированных программных коррекций может повлечь серьезные неприятности, а на полноценное тестирование обычно нет ни времени, ни средств.

Еще одной серьезной проблемой промышленных систем является слабая аутентификация. Использование общих паролей является здесь обычной практикой. Благодаря этому у персонала пропадает ощущение подотчетности за свои действия. Системы двухфакторной аутентификации используются довольно редко, а ключевая информация зачастую передается по сети в открытом виде.

Удаленный доступ по коммутируемым каналам или по VPN каналам через сеть интернет также образует уязвимость. Особенно если таким образом осуществляется управление промышленными системами.

Отсутствие соответствующей нормативной базы и соображения удобства использования приводят к тому, что между промышленными и корпоративными системами могут создаваться сетевые подключения. Есть даже рекомендации по поводу использования «комбинированных» сетей, позволяющих упростить администрирование и улучшить безопасность. Однако по сути здесь образуется еще одно «узкое» место.

Средства защиты и мониторинга (IDS, МЭ и антивирусы), в отличие от корпоративных систем, мало используются в промышленных. А для анализа журналов аудита безопасности обычно не остается времени.

В промышленных системах часто используются различные виды беспроводной связи, включая протоколы 802.11, которые, как известно, не предоставляют пока остаточных возможностей по защите.

Определенные классы удаленных процессоров, используемых в промышленных системах для контроля технологических процессов, содержат определенные уязвимости. Производительность этих процессоров не всегда позволяет реализовать функции безопасности. Кроме того, после установки их стараются не трогать годами, на протяжении которых они остаются уязвимыми.

Раскрытие информации. Нередко владельцы промышленных систем сознательно публикуют информацию об их архитектуре. Консультанты и разработчики также могут делиться опытом, раскрывая информацию о бывших клиентах.

Удаленные процессоры и оборудование промышленных систем могут находиться за пределами контролируемой зоны. В таких условиях, они не могут физически контролироваться персоналом, и единственным механизмом физической защиты становится использование железных замков и дверей, а такие меры, как известно, отнюдь не являются серьезным препятствием для террористов.

Другими словами, помимо широко распространенных уязвимостей, существует значительное количество специфичных уязвимостей промышленных систем. Они обуславливают особые требования по безопасности и особые режимы эксплуатации таких решений.

Александр Астахов, CISA / для CNews Analytics