На сегодняшний день обеспечение безопасности информационных и телекоммуникационных систем промышленных объектов представляет одну из важнейших задач в информационной сфере. С точки зрения обеспечения информационной безопасности наиболее критичными являются системы управления энергоснабжением, водоснабжением, транспортом (наземным, воздушным, морским), потенциально опасными объектами и др.

Такие системы управления относятся к автоматизированным системам управления технологическими процессами (АСУ ТП) и являются проектно-компонуемыми системами, строящимися по иерархическому принципу с возможностью использования на промышленных объектах любой конфигурации. Данные системы позволяют осуществлять мониторинг и управлять устройствами низовой автоматики.

В первую очередь в зону риска попадают АСУ ТП, доступные из интернета. Зачастую такие системы предоставляют злоумышленнику только возможность раскрытия информации об объекте. Реже – управление компонентами таких систем. Список доступных в интернете АСУ ТП можно получить, используя поисковые системы. В практике компании «Информзащита» наиболее часто встречаются «изолированные» от внешних сетей передачи данных АСУ ТП, но имеющие доступ к корпоративным сетям предприятий. Этот доступ обычно организован через устройства межсетевого взаимодействия, безопасной настройкой которых иногда пренебрегают. В таких случаях, используя подключение корпоративных пользователей к интернету, внешний злоумышленник имеет возможность получения доступа к компонентам АСУ ТП. Что, в свою очередь, является непозволительным допущением с точки зрения обеспечения информационной безопасности на промышленных объектах.

Первоначальным и весьма эффективным этапом в обеспечении безопасности таких систем служит проведение теста на проникновение в целевую АСУ ТП. Такое тестирование помогает выявить и устранить критические уязвимости в архитектуре и компонентах системы, использование которых злоумышленниками может нанести экономический и экологический ущерб, а также создать угрозу для жизни людей.

Методика проведения тестов

Компания «Информзащита» имеет богатый опыт в проведении тестов на проникновение и аудита информационной безопасности АСУ ТП. Немаловажную роль в проведении тестирований подобного рода играет понимание основных принципов функционирования АСУ ТП. На первое место в таких системах выходит обеспечение технологической безопасности и, как следствие, обеспечение непрерывности технологического процесса (обеспечение доступности всех компонентов системы).

Каждая АСУ ТП по-своему уникальна. Даже если различные системы функционируют с использованием оборудования одного производителя, они могут иметь кардинальные отличия с точки зрения архитектурного построения системы. Поэтому при проведении тестирований специалистами нашей компании проводится подробный анализ используемых компонентов АСУ ТП и учитываются все особенности в построении систем. К особенностям таких систем также относится использование программируемых логических контроллеров (ПЛК), предназначенных для автоматизации технологических процессов, и промышленных протоколов передачи данных реального времени (таких как MODBUS, PROFIBUS, DNP3, Foundation Fieldbus). Исследования зарубежных и отечественных специалистов выявили большое количество уязвимостей как в ПЛК, так и в промышленных протоколах передачи данных, что создает предпосылки к появлению новых угроз информационной безопасности.

Как уже говорилось, АСУ ТП является ключевым звеном в обеспечении функционирования промышленных объектов. Нарушение в ее работе может вызвать серьезные последствия. В связи с этим, тестирование на проникновение проводится в технологические перерывы работы АСУ ТП (например, для проведения технического обслуживания). В случае невозможности остановки технологического процесса на стороне предприятия создается стенд, повторяющий действующую АСУ ТП, с точным копированием конфигурации ключевых элементов системы.

Тестирование на проникновение может проводиться как по методу «черного ящика», так и по методу «белого ящика». В первом случае проверяется возможность проникновения в технологическую сеть управления АСУ ТП и получения доступа к устройствам низовой автоматики со стороны внешнего периметра (модель нарушителя, атакующего промышленный объект из корпоративной сети или интернета). Тестирование по методу «белого ящика» подразумевает тесное взаимодействие с сотрудниками, обеспечивающими нормальный режим работы АСУ ТП. В ходе проведения работ предполагается, что «точками входа» для потенциального злоумышленника могут служить различные уровни иерархической модели АСУ ТП, включая уровень ПЛК.

Процесс проведения тестов на проникновение обычно состоит из нескольких этапов: сбор информации об объекте исследования; тестирование на проникновение на сетевом уровне; тестирование на проникновение на уровне приложений. Во избежание нежелательных последствий, в ходе проведения каждого из этапов, все действия согласуются с персоналом, обслуживающим АСУ ТП. На этапе сбора информации об объекте проводится подробное исследование системы с целью получения информации об её архитектуре, используемых ею технологического ПО, протоколов и программно-аппаратных средств обработки информации.

Тестирование на проникновение на сетевом уровне необходимо для того, чтобы ответить на вопрос, возможно ли нарушителю преодолеть защитные меры в виде межсетевых экранов и сегментации на втором уровне сетевой модели OSI. То есть, возможно ли получить доступ из верхнего уровня иерархической модели АСУ ТП в уровни непосредственного управления технологическим процессом? Также проводится исследование использования специализированных протоколов передачи данных, предназначенных для связи между компонентами АСУ ТП, с целью определения возможности проведения атак, позволяющих перехватывать и подменять сетевые пакеты.

Часто встречается использование промышленных протоколов передачи данных без верификации отправителя. Таким образом, проведя атаку ARP Cache Poisoning, злоумышленник получает возможность перехватывать команды, поступающие от АРМ управления к ПЛК, и видоизменять их, а также посылать собственные пакеты, замаскировав их под данные, отправленные АРМ управления. В случаях, когда применяется аутентификация пользователей ПЛК, остается возможным осуществление перехвата паролей или их хэшей, с дальнейшим проведением атаки типа brute-force

Тестирование на проникновение на уровне приложений позволяет определить, возможно ли получить несанкционированный доступ к объектам АСУ ТП, обладая требуемым сетевым доступом, но при этом не обладая достаточными правами в приложении или операционной системе. На данном этапе проводится анализ защищенности используемого общесистемного и технологического ПО, установленного на АРМ управления и ПЛК. Ключевой особенностью некоторых АСУ ТП является отсутствие возможности совершения деструктивных воздействий даже после получения доступа с правами администратора к АРМ управления. Это вызвано тем, что в некоторых системах логика работы технологического оборудования заложена в специализированном программно-аппаратном комплексе. Таким образом, цель проведения тестирования на проникновение считается достигнутой только в том случае, когда будет получен полный доступ над низкоуровневой автоматикой.

Так в ходе проведения одного из проектов были выявлены критические уязвимости в веб-интерфейсе управления ПЛК.

Данный интерфейс предполагал аутентификацию пользователей для доступа к управлению устройствами низовой автоматики объекта.

Но в самом коде веб-интерфейса были установлены значения хэш-функции, не отображаемые для обычного пользователя, используя которые, злоумышленник мог получить доступ к закрытым страницам и далее к управлению технологическим процессом промышленного объекта.

Трудности и уязвимости

Специфика обеспечения информационной безопасности АСУ ТП заключается в том, что основной приоритет при построении таких систем делается на обеспечении технологической безопасности. Местами это может устранять угрозы информационной безопасности (обработка логических операций, поступающих от АРМ управления на специализированном программно-аппаратном комплексе), но чаще создает предпосылки для возникновения новых угроз.

Основными препятствиями на пути обеспечения информационной безопасности в таких системах являются: использование устаревшего ПО; наличие незащищенного подключения к корпоративным сетям и интернету; отсутствие антивирусных средств защиты информации; использование нестойких паролей; некорректные настройки систем и сетевого оборудования.

Положительные аспекты

Специалистами компании «Информзащита» проводятся тестирования на проникновение АСУ ТП с использованием специализированного ПО. Они включает в себя самые современные и эффективные средства анализа защищенности, а также базы данных эксплоитов для ПЛК различных производителей. Это позволяет выявить наиболее критичные уязвимости системы.

По завершению работ, в ходе ведения диалога с персоналом, задействованным в работе АСУ ТП, формируются рекомендации, позволяющие устранить обнаруженные уязвимости и обеспечить информационную безопасность конкретной системы, с учетом всех её архитектурных и технологических особенностей.