Одной из проблемных отраслей, которая требует модернизации  защитных ИТ-систем, является электроэнергетика

     Насколько защищены системы управления промышленными объектами, играющими важнейшую роль в экономической и социальной жизни нашей страны? Ответ на это вопрос становится все более актуальным в свете таких событий последнего времени, как катастрофа на Саяно-Шушенской ГЭС или атака червя Stuxnet на предприятия ядерной энергетики Ирана.

     Автоматизированные системы управления технологическими процессами (АСУТП), используемые современными промышленными предприятиями, являются многоуровневыми решениями, содержащими серверы приложений и баз данных, автоматизированные рабочие места операторов (АРМ), программируемые логические контроллеры (ПЛК), распределенные системы сопряжения с объектами, датчики и исполнительные механизмы.
Переход от лоскутной автоматизации к интегрированным системам, охватывающим значительную часть производственных процессов, заметно повышает сложность комплексов промышленной автоматизации, чт, в свою очередь приводит к росту числа потенциальных угроз и уязвимостей, способствующих их реализации.

     Применение в продуктах и решениях, предназначенных для создания АСУТП, таких широко распространенных операционных систем, протоколов и технологий, как, например, Windows, Etnernet, HTTP, XML, DCOM, .Net, принятых в качестве стандартов де-факто для корпоративных информационных систем, является источником потенциальных угроз, поскольку все их слабые места хорошо известны создателям вредоносных кодов.

     В области промышленной автоматизации ситуация исторически складывалась таким образом, что комплексы АСУТП создавались подразделениями автоматизации предприятий, которые без привлечения "корпоративных" ИТ-специалистов разрабатывали системы, выполняли или курировали проекты. Основное внимание в таких проектах уделялось, как правило, повышению быстродействия и производительности, оптимизации ценовых параметров, а комплексная защита от потенциальных угроз не входила в состав первоочередных задач.

     Появившаяся несколько лет назад тенденция построения на базе коммуникационной технологии Ethernet единых сетей предприятий, охватывающих их офисные и технологические сегменты, повышает вероятность проникновения вредоносных кодов на уровень АСУТП. Беспроводные коммуникации, дистанционные методы управления на базе Интернета и веб-технологий лишь усугубляют ситуацию и требуют применения специальных мер обеспечения информационной безопасности.

     Компания "Станкоинформзащита" опубликовала аналитический отчет о нарушениях режима информационной безопасности в зарубежных АСУТП, составленный по материалам интернет-изданий в период с 2008 по 2010 год. За это время обнаружены различные уязвимости, способные привести к нарушению технологических процессов путем несанкционированного доступа к информации, обрабатываемой в системах диспетчерского управления и сбора данных (Supervisory Control And Data Acquisition, SCADA), в отдельных интерфейсах управления объектами автоматизации, элементах телеметрических подсистем и телемеханики, приложениях анализа производственных и технологических данных, системах управления производством (Manufacturing Execution System, MES).

     Авторы отчета считают, что применение традиционных информационных технологий в элементах АСУТП является одной из причин низкого уровня защищенности большинства из них. В нашей стране статистики подобных инцидентов не существует, но это не значит, что отечественные системы являются более защищенными и безопасными.

     Одним из методов повышения уровня информационной безопасности промышленных предприятий является разграничение офисного и технологического сегментов сети предприятия путем создания демилитаризованной зоны, которая должна стать единственной точкой информационного обмена между ними. Подобное разделение существенно повышает информационную безопасность при реализации "сквозных" систем управления деятельностью предприятия, таких как интегрированная система управления производственными активами, финансовые и производственные компоненты которой находятся по разные стороны безопасной точки обмена информацией.

     При создании точек обмена используются интеллектуальные шлюзы, которые обеспечивают применение установленных политик безопасности, регламентирующих передачу информации в любом направлении, а также межсетевые экраны, осуществляющие углубленный анализ трафика, и сетевые системы обнаружения и предотвращения вторжений. По мнению Андрея Гречина, системного инженера-консультанта Cisco, комплекс решений, используемых в демилитаризованных зонах, способен выявлять вредоносные коды в легитимном трафике, проходящем через точку обмена, и блокировать их негативное воздействие.

     Список угроз, которым подвержены комплексы АСУТП, содержит известные по корпоративным ИС проблемы, включая вирусы, троянцы, черви, DoS-атаки, некорректное обновление программных систем, несанкционированные проникновения, влияние человеческого фактора. Однако использовать в технологическом сегменте производственных сетей общепринятые системы ИТ-безопасности следует очень продуманно и дозированно, поскольку даже широко распространенные антивирусные программы способны замедлить обработку информации, чт, в свою очередь может привести к потере данных или некорректной работе системы управления.

     В то же время, по мнению разработчиков АСУТП, следует уделять повышенное внимание управлению правами доступа персонала к технологическим информационным системам. Как показал опыт работы компании "РТСофт", значительный вред могут принести преднамеренные действия так называемых "обиженных пользователей". Важен также выбор операционных систем, архитектурных решений и их компонентов. Немалая часть вредоносных кодов различных типов нацелена на системы на базе Widows и в меньшей степени подвержены риску операционные среды Linux и Unix. Следует отметить также, что с точки зрения информационной безопасности "фирменные" проприетарные ПЛК являются более защищенными устройствами, чем контроллеры, работающие под управлением открытых ОС.

     "Сами по себе встраиваемые ОС не могут эффективно противостоять информационным атакам, но их потенциальные уязвимости сокращаются за счет выбора только необходимого для работы функционала. Наряду с этим ведущие производители антивирусного ПО предлагают специализированные решения для встраиваемых систем", - замечает Павел Белевский, системный инженер компании "Кварта Технологии".

     Тем не менее применение открытых систем, ИТ- и промышленных стандартов в комплексах АСУТП становится повсеместным явлением. Эффективное обеспечение информационной безопасности систем автоматизированного управления технологическими процессами является сегодня комплексной задачей, содержащей технологические, архитектурные и организационные аспекты. 

     Независимой организацией KEMA, специализирующейся в области консалтинга, тестирования и сертификации систем энергетики, предложена методология построения и внедрения систем защиты комплексов промышленного управления. Эта методология предусматривает координацию усилий различных подразделений предприятия в процессе создания системы защиты, ее проектирование на базе существующих стандартов в сфере безопасности и местной специфики, внедрение архитектурных решений, упрощающих выявление потенциальных угроз и предотвращение их воздействия, разработку методов верификации и тестирования применяемых систем, продуктов и технологий.

     Одной из успешных инициатив в этой сфере стало создание комплексного решения компании "РТСофт", предоставляющего возможность разработки специализированных систем информационной безопасности промышленных объектов. Такие системы создаются с учетом специфики производственных процессов, используемых протоколов и сред передачи данных; они обладают высокой производительностью для работы в жестких условиях реального времени, снабжены средствами мониторинга ключевых приложений управления и баз данных. Указанные системы содержат интегрированный пакет продуктов и технологий контроля безопасности и производительности, в состав которого входят все компоненты, необходимые для реализации многоуровневой системы безопасности – от комплекса защиты периметра управляющей сети до единой системы управления, приложений аналитики и формирования отчетов. Высокий уровень производительности достигается за счет выбора архитектурных решений и рационального распределения функций между системами аппаратного и программного обеспечения.

     "В основе нашей разработки - системный подход, основанный на формировании процессов промышленной безопасности предприятия. Такие процессы базируются на государственных и отраслевых нормативно-регламентных документах, определяют методы и средства для выполнения содержащихся в них требований и роли персонала для их реализации, предусматривают необходимую ИТ-поддержку", - пояснила Надежда Куцевич, технический директор компании "РТСофт".

     Российские компании не спешат внедрять подобные комплексные системы, хотя и применяют отдельные технологии и решения в области информационной безопасности для защиты систем управления. Однако довольно часто на первый план выходят соображения экономической эффективности, ограничивающие функциональность таких решений и систем противоаварийной защиты. Только такие крупные организации, как "Газпром", пытаются создавать типовые решения, включающие, например, отраслевую систему сертификации "Газпромсерт".

     В настоящее время системы автоматизированного управления большинства российских промышленных компаний едва ли сумеют эффективно отразить неизвестные ранее и целенаправленные угрозы, такие как атака червя Stuxnet. Впрочем, по мнению специалистов американской компании NitroSecurity, промышленные предприятия США тоже не готовы к подобным инцидентам.

     Чтобы повысить безопасность промышленных объектов, ассоциация International Society of Automation (под ее эгидой создан стандарт ISA99: Security for Industrial Automation and Control Systems, одобренный институтом American National Standards Institute) сообщила о формировании рабочей группы, которая должна определить пробелы стандарта ISA99 и оценить влияние новейших угроз, способных поразить критически важные объекты промышленной инфраструктуры.

     В нашей стране создание полнофункциональных современных систем управления, обеспечивающих высокий уровень защиты, могло бы осуществляться одновременно с введением в действие новых промышленных объектов или в процессе модернизации предприятий. Одной из проблемных отраслей, которой требуется срочная модернизация, является электроэнергетика. Однако, как выяснилось на заседании Госсовета, проведенном в марте 2011 года в Хакасии, даже получая высокую прибыль, инвесторы не торопятся вводить в действие новые мощности и новые защитные технологии.