Кейсы ИБ АСУ ТП — Три кейса ИБ АСУ ТП с InfoWatch ARMA и как они нас изменили

0:00 Приветствую всех наших дорогих участников сегодняшней онлайн встречи. Приветствую спикера Демида Балашова, и мы начинаем сегодняшний наш вебинар, посвященный промышленности, мы безопасности расскажем про. Кейсы Иб ступе с Инфо Вотч Арма, как они изменили нас и, как мы надеемся, могут в лучшую сторону изменить вашу профессиональную деятельность. И так сегодня представляю вам Демида Балашова, руководителя отдела. Развития всех продуктов НФО Чарма фактически все продукты, посвященные сетевой безопасности. Это направление у нас возглавляет Демид, и я очень рада, что сегодня он нашел время для того, чтобы подготовиться. И присоединиться к нашему сегодняшнему вебинару с вами. Демид, я представляю тебе слово, спасибо большое за теплое приветствие всем добрый день. Доброе утро, еще раз рад вас здесь приветствовать на Вебинаре.

1:01 Действительно, сегодня хочется поговорить про продукты в 1 очередь про промышленную линейку, ну и буквально там пару слов и про корпоративную линейку это расскажу. Так для общего представления давайте тогда начинать. В 2 словах про портфель решения инфоводж Арма для тех, кто может быть впервые на смотрит не очень хорошо. Знаком с линейкой у нас 2 направления, это кибербезопасность, а супер и с недавнего времени корпоративная сетевая безопасность. Это наш новый продукт Инфо Чарма. Стена это настевой экран нового поколения. Буквально недавно пару недель назад у нас проходил вебинар тоже по очередному по выходу очередного релиза и там. Мы подробно рассказывали продам как раз продукт менеджер, который отвечает за развитие, подробно рассказывал про то, как мы внедряли наш продукт у нас в компании. Как проходил пилот, как проходило внедрение, какие были интересные моменты и как мы этот опыт перенесли на уже внедрение и пилоты с партнерами и клиентами. По Кьюар Коду можете отсканировать позже, посмотреть тоже очень интересно. Но сегодня будем говорить про промку и промышленное направление у нас представлено 3. Продуктами это инфовод Фарма индастрил Файервол сердце нашей системы. Это межсетевой экран для промышленности, соответствующий всем требованиям СтЭК в данном. направлении о нем поговорим сегодня подробно. Это индустриальный инфой, то есть агент для защиты рабочих станций и серверов, которые непосредственно участвуют. Уже внутри контура участвует в управлении технологическим процессом и, конечно же, менеджмент, консоль, центр управления, который помогает администрировать как. Локальные инсталляции, так и распределенные сети будут кейсы как раз про распределенное управление. Это тоже неотъемлемая часть, то есть такой фронт, если так. Посмотреть чуть более обсчета на то, как мы подходим к защите, как она выстраивается, как на чем мы фокусируемся. То, как я уже сказал, в основе фундаменте лежит все. Таки наш сетевой экран, это защита от атак вторжений преимущественно внешних, но и внутренних. То есть это защита сегментирования сети и контроль того, что в ней? Происходит 2 уровень чуть повыше, это защита рабочей станции серверов. Как я уже говорил, ну и вишенка на торте. Это центр реагирования на инцидент и управление. С точки зрения фокуса это, конечно же, соответствие требованиям и регулиторки. Потому что это 1 из таких сильных векторов развития, ибо на сегодня, если не самый. Сильный по сравнению с импортозамещением наравне 2 это обеспечение собственно защиты фактической. Это эшелонированная защита с единым центром управления.

4:12 Всех этапов, как отдельных сегментов границы сети. Установка туннелей между удаленными площадками и удаленная, опять же безопасное управление всем этим прекрасным комплексом. Ну и снижение стоимости владения за счет того, что если если можно так сказать, Олан Ван, да, то. Есть можно закрыть большинство требований как регуляторных, так и фактических. С помощью нашей линейки продуктов с помощью наших продуктов и, более того, можно и какие то сторонние источники сторонние продукты также.

4:50 Подключить к нашей системе, к нашей консоли и тем самым закрыть какие то более широкие потребности, даже самые там модуль госсобки, интеграция с Си, Эм, системами и так далее. Для кого, для кого это все мы делаем, на ком фокусируемся, от кого мы в 1 очередь берем обратную связь? Это такие 2 большие группы, а это госпредприятия с объектами Кии, то есть те. Кто категорирована те, кто обязательно должны соответствовать требованиям и закона, и требованиям безопасности тех специалистов, которые настраивают безопасность на этих объектах? Ну и 2 направление это тоже пром, но не категорированные объекты. Тем не менее они хотят обеспечить безопасность своих технологических цепочек своего бизнеса, поэтому далеко не. Всем нужен обязательно сертификат, тем не менее нужна надежная система обеспечения безопасности, и вот для них мы тоже улучшаем, дорабатываем наши проекты, наши продукты, если.

6:04 Сформулировать с точки зрения направлений отраслей то примерно перечень будет выглядеть вот так. Это, конечно, энергетика нефтегазной трубки, то есть все, что ассоциируется с крупными распределенными промышленными предприятиями у нас в стране. Это все со всеми ними, мы работаем, взаимодействуем и стараемся обеспечить максимум потребностей непосредственно. Хочется перейти к внедрениям и особенностям. И прежде чем перейти к конкретике, хотелось бы немножко так обобщить и на опыте последнего года полутора. Наверное, мы статистику в основном смотрели.

6:46 Явно видны 3 такие крупные, ну, 3% -5 частные группы, типов проектов, типов потребностей у клиентов, которые. В сумме описывают большинство задач, которые на сегодня есть и они звучат примерно таким образом. 1 Группа, это те достаточно понятный сценарий, когда необходимо заменить существующее решение по обеспечению безопасности сетевой кран с. Импортного зарубежного с того, которое нельзя использовать либо по закону, либо даже если в принципе можно. Но прекращена поддержка и становится просто неудобным и опасным использовать дальше без поддержки, без обновления, без сервиса.

7:35 И когда вот просто убирается импортное решение, ставится отечественное решение, и на нем уже настраивается. Все необходимые сценарии решаются все задачи и это. Вот 1 такой большой блок 2 блок, когда ситуация в каком то смысле чуть сложнее, когда технологическая цепочка выстроена в виде такого монолита, когда нельзя.

8:05 Когда нет возможности взять и вытащить какой то из кусков, например тот же самый ту же самую систему безопасности, не нарушает экологический процесс, не проводя его большую модернизацию изменения. И так далее, иногда это по причине бюджетов, иногда по причине в принципе там невозможности и отсутствие аналогов. Но тем не менее и тетики, это когда можно так сказать. Смотрят дальше и понимают, что замена все равно рано или поздно будет происходить замена иностранных решений на отечественные, и в этом направлении мы тоже движемся.

8:46 Теперь чуть больше конкретики и на примере кейса нефтеперерабатывающего завода. Классическая ситуация есть, зарубежный сетевой экран хиршман необходимо менять, соответствовать требованиям, чтобы закрывать задачи. И Армо Индастриал Файербол для этого прекрасно подошел помимо. Сегментации помимо фильтрации промышленного трафика от остального был реализован, была реализована аналитика протоколов. Описи Сименс 7 Мопас, понятно и также принципиальным моментом было детектирование и разбор протокола Сиб и как. Раз по запросу этого клиента мы в течение года добавили поддержку протокола Сиб, потому что это достаточно часто ситуация, когда неразбор. Невозможность разбора какого то конкретного протокола сводит весь проект к не то чтобы к 0 но.

9:52 Сильно затрудняет его внедрение, потому что вот в каком то сегменте этот протокол используется и вот принципиально его нужно разобрать в таких. Ситуациях мы стараемся идти навстречу, и эти протоколы мы добавляем достаточно активно, чем позже. Я скажу вот таким образом, мы просто заместили 1 в. 1 Зарубежная система, 2 большой такой кейс, тоже клиент, это добыча ресурсов большой монолит на основе зарубежных решений, скада правления рабочей. Станции и было защищено, это все с помощью продуктов Циска вытащить их, к сожалению, оттуда нельзя было безболезненно, но при этом необходимо было.

10:36 Закрыть этот сегмент сверху, то есть так его на окукли, если можно так сказать. При этом внутри необходимо было анализировать весь трафик, выявлять нарушения аномалии, но при этом не нарушать его целостность и. Устроить границу соответственно с помощью нашего индустриального файрвола мы. Забираем этот трафик, я, к сожалению, протоколы сюда не вывел, но мы забираем трафик, производим его глубокий анализ. Если там выявляются какие то нарушения, мы можем на это влиять, и при этом мы возвращаем его в неизменном и консистентном виде.

11:22 Таким образом, не нарушая существующего решения до, ну как минимум до тех пор, пока не удастся его как то попилить на отдельные части. Мы с помощью нашего решения закрыли сверху весь промышленный сегмент. И на соответствие и требованиям, то есть соответствие со всеми сертификатами и на соответствие фактическим задачам информационной безопасности. Ну и 3 направление для смелых, наверное, или для тех, кто.

11:53 Который планирует далеко, это использование отечественных, в том числе и скада систем. Система администрирования управления технологическими процессами. Мы точно также в эту сторону смотрим и с компанией Атомик софт, который является производителем альфа платформы в отечественной скады системы В.

12:17 Совместной работе с ними мы добавили поддержку протокола Альфа Линк их проприетарного протокола и. И вы можете, соответственно, этот протокол уже тоже закладывать как? Если вы закладываете уже использование данной системы, то можно использовать наш межсетевой экран, для том числе защиты и глубокого разбора данного протокола. Ну и вот, я сказал, что там такие 3 25. Но на самом деле это 4 полноценное тоже направление, это управление распределенной инфраструктурой.

12:56 Помимо обеспечения защиты, это не совсем про промышленное. Сегменты от сети, скажем так, но про промышленное оборудование для таких клиентов, как энергетические компании, нефтегазовые компании, у кого есть много географически удаленных площадок до них. Необходимо иметь доступ и с 1 стороны они в труднодоступных местах расплылись с другой стороны. Там есть оборудование, которое достаточно умное, чтобы им можно было управлять удаленно, но при этом. Использовать для этого какие то незащищенные каналы категорически нельзя. + Хотелось бы иметь возможность собирать какую то статистику и может быть действительно в экстренных ситуациях, иметь какой. То удаленный доступ, чтобы не всегда какие то неполадки влекли за собой физический выезд специалистов. Вот именно такие сценарии, вот сейчас на Слайде. Вы видите, я их немножко так обобщу, это про.

14:02 Установку распределенных инсталляций, когда на каждом объекте устанавливается наше устройство или кластер и и дальше устанавливается защищенный туннель. До какого то централизованного пункт управления это может быть как просто випиен Эн, туннель там оконы Ви. Пи Эн или Ай Би, Сек, также это может быть и шифрованный шифрование по ГОСТ. Алгоритмам достаточно популярный запрос, и на данный момент у нас есть опан ви пи Эн Гост с гостовыми алгоритмами. И в ближайшее время мы планируем добавить ай пи сек точно так же и.

14:46 Это 1 из требований, в частности, энергетического, энергетического сектора, потому что есть требования по передаче данных именно по данному протоколу. Все писековский ГОСТ, ну и. Также значительная часть клиентов вот с таким с распределенными инсталляциями они хотят действительно управлять и администрировать этим всем из единого места с единой площадки.

15:16 И для этого как раз. Используется наш менеджмент консоль, которая позволяет как удаленно администрировать, управлять, администрировать конфигурации наших фаерволов и эндпоинтов. Из любой локации само собой с обеспечением безопасного туннеля до них так и собирать события, обрабатывать инциденты, централизованно реагировать на них как. В ручном, так и в автоматическом режиме, ну и в дополнение к этому. Если есть необходимость, можно интегрировать менеджмент консоль в уже существующие ваши. Системы, то есть отправлять информацию как в съемки, так и в модуль госсопки в частности. Давайте двигаться дальше непосредственно к нашему межсетевому экрану.

16:09 И что хочется про него сказать, индастриал? Фаервол состоит из 2 частей, да как бы межсетевой экран для промышленности? И почему вот вот именно для промышленности? В чем особенность в том, что потребность анализа детектирования и глубокой аналитики? Промышленных протоколов она зачастую является критической для наших клиентов, и поэтому вот это вот направление. Добавление новых протоколов наиболее популярных или менее популярных, но очень важных для конкретных отраслей или клиентов.

16:47 Мы на этом стараемся фокусироваться, и вот за последний год мы прям сделали большой шаг в эту сторону, добавили более 4 протоколов новых, не только общие. Я и что то там какие то, как Макбаз. Или описи, но и достаточно такие специфические, о которых, кстати, недавно была речь на на мероприятии Шоп форума. Если слышали, там обсуждалась тема на российских НДФЛ. Встречный вопрос к нашей аудитории, если была у кого, то возможность услышать или увидеть секцию прожарка НГФВ, когда собирали там разных ветров и 1 из вопросов, причем таких достаточно остро поставленных. Был как раз вопрос про определенные промышленные протоколы, в частности. Насколько я вижу, этот список как раз 1 из этих протоколов упоминался на прожарке и действительно словами 1 из представителей.

17:55 Сидевших на сцене была такая информация, что пока действительно есть только 1 вендер, который поддерживает такие промышленные протоколы. Но я думаю, что мы сейчас здесь ни для кого не откроем великую тайну, что в общем речь шла как раз про. Про список тот, над которым мы уже достаточно большое количество времени бьемся и расширяем его именно сфокусировавшись на промышленных протоколах. Вот сейчас Демид, поэтому как раз спасибо тебе, что обращаешь внимание на конкретику вот эту специализированную.

18:33 Да вот по поводу протоколов значит и что важно понимать, я переключусь. Вот, может быть, так удобнее будет здесь правой колонки, полный список. Вот важно понимать, что мы говорим не просто о детектировании. Какого то протокола и последующего просто сегментации мы говорим про глубокий анализ этих протоколов, в том числе отдельных команд, в том числе параметров. Отдельных команд на допустимость, ну и те сценарии, которые возможно, которые являются запрещенными с блокировкой отдельных команд, то есть. Это важно понимать, потому что просто редактировать не всегда достаточно, хотя бывают ситуации действительно, когда в в рамках пилота мы.

19:21 Мы понимаем, что клиенту принципиален, какой то протокол, и он говорит без этого протокола. Дальше мне двигаться бессмысленно, потому что от. Этого все выстроено и зависит, и в частном порядке. Мы можем выстроить постепенный процесс, когда мы прям быстро добавляем детектирование и. Дальше уже начинаем углубляться в отдельные команды и возможность работы с ними. Это тоже, возможно, это тоже у нас есть такие ситуации. Поэтому мы стараемся максимально реагировать и подстраиваться под эти потребности. Вот соответственно справа полный перечень, там чуть более.

20:01 Болт шрифтом жирным шрифтом выделены те протоколы, которые добавлены в этом году. Альфа Линк выйдет вот буквально в ближайшем релизе, это уже будет поддерживать. Может быть, кстати, что то еще успеет запрыгнуть, но помимо промышленных протоколов. Конечно же, это и межсетевой экран. То есть мы говорим про базовую, найти функциональность, которая необходима для его встраивания всей для удобной эксплуатации для интеграции с существующими сервисами, то есть там динамическая маршрутизация.

20:37 Отчеты журналирования и прочее, и прочее. Там эти в Доректоре и так далее, конечно же, Айпиэс, сигнатуры как бы встроены от нас. Которые постоянно обновляются, у нас есть там база, можно настроить автоматическое обновление, можно вручную это делать периодически. Если, например, это какой, то там совсем закрытый контур. Да, ну и можно дополнять собственными правами слов, конечно же, это потоковый. Антивирус, в чем как интеграция на борту, так и настройка интеграции с любым уже вашим существующим антивирусом по Айкапу, ну и Випиэн.

21:20 Там айписек опен обычная, если можно, так сказать, и кастовые алгоритмы, то есть опытный клиент. Гост у нас уже есть достаточно давно, и в ближайшее время планируем тоже добавить эписев гост вот как раз актуальные задачи рынка. И все это, конечно же, управляется из менеджмент консоли отдельным экраном. Можно управлять локально, но группы экранов происходит управление из Централизованной. Межконсоли, то есть это администрирование, управление группами межсетевых экранов. Это сбор событий безопасности в Едином центре и их отправка, если.

22:04 Если необходимо в какие то сторонние решения съем системы или еще куда, то + работа с инцидентами, ибо корреляция, автоматизированные реакции на инциденты. И все это джентльменский набор сертификаций, так по типу д. Ну и по в реестре отечественного, по, конечно же, это вот. Такое общее достаточно описание, самые крупные такие мазки. Если необходимо, хочется узнать подробнее, у нас есть более подробные листовки. С описанием отдельных модулей с подробным перечислением и описанием протоколов, в том числе обращайтесь, мы обязательно вам их вышлем.

22:54 Если говорить про релизы, то в этом году было у нас 4 релиза, планируем успеть 5 подробно там читать. Все не буду, но скажу, что практически каждом ревизе у нас 1 или даже несколько протоколов добавляются, у нас добавляются. Фишки и плюшки с точки зрения отдельных требований, то есть как по удобству, так и по администрированию. И само собой мы заправляем какие то. Критические дефекты или цвехи, если вдруг такие поступают от рынка список релизов также релиз ноуций. Мы можем прислать отдельно, если вы обратитесь.

23:39 Помимо релизов по у нас еще есть обновления по аппаратной платформе, добавлена воспроизводительная платформа Арма к 10.00. В Минпром это платформа в Минпромторге находится, и она также с расчетом на будущее. Обновление нашего продукта и работу с более высокой производительностью на новой платформе по планам развития ближайшие планы это. Набор протоколов, это гостовые алгоритмы Випиэна и миграция на новую высокопроизводительную платформу. О ней мы будем рассказывать уже в следующем году, но пока вот наш наш текущий индастриал Фаервол уже известный. Многим он продолжает развиваться, и постепенно он будет переходить в новое качество. Помимо внешних угроз и защиты от внешних угроз, которые обеспечивает мы понимаем, конечно, что есть еще и внутренние угрозы, причем. Как говорится, не по злокозненности, а по доброглубью это бывают и ошибки бывают, и намеренные какие то действия. Поэтому это тоже хотелось бы защищать, хотелось бы помочь нашим клиентам обеспечить и эту часть.

25:03 Защитой, поэтому у нас есть. Это агент, который позволяет подстраховаться и защититься от таких рисков, как запуск нежелательного по вредоносного по опять же за счет. Контроля того, что используется и запускается на подключение нежелательных устройств для того, чтобы что то принести или что то унести.

25:33 Станции или сервера, которая непосредственно находится в контуре технологического процесса, ну и подмена программ. То есть контроль целостности, это как контроль целостности самой рабочей станции, так и конкретных. Отдельных файлов папок на ней, то есть это подмена, программ саботажи, изменения и так далее. Ну и, соответственно, помимо защитных технологий, фактических закрытия фактических угроз, это еще и выполнение требований списков. Стэк тоже можно подробнее это точно знать. На этом сейчас останавливаться не буду, как я уже сказал, у нас есть.

26:18 Агент под Виндоус системы. И как бы не хотелось сохранить стабильность и знакомость, тем не менее идет движение в сторону импортозамещения. Кому как больше нравится и движение в сторону ильных систем отечественных клиновых систем? Мы понимаем, что Если в корпоративном сегменте это, ну, можно сказать, уже там произошло по большей части, то в промышленном есть некоторые особенности, которые не позволяют взять и просто перепрыгнуть на новые операционки, это и с точки зрения.

26:58 использования и времени ресурса промышленных систем и с точки зрения их в Вегасе переезда цены, переезда и так далее. Но мы понимаем, что кто то уже находится в активной фазе такого перехода, кто то новые предприятия. Запускает на уже базе российских операционных систем, поэтому мы в эту сторону тоже идем, и скоро у нас выйдет версия 1 версия под астролинукс. Мы уже готовим пилотные сборки и с удовольствием приглашаем вас поучаствовать. В пилотах и совместно пройти этот путь по переходу от Виндс систем на Астру с пониманием, что и это тоже можно защитить, и оно должно быть защищено на самом деле по продуктам. У меня все немножко хотелось бы обобщить. Опять с точки зрения фокусов, в которые мы смотрим направления, которых мы двигаемся в создании наших продуктов по промке инфо воч Арма. Это мы, конечно же, смотрим в сторону регуляторов обновления требований, обновления.

28:12 Трендов, которые они задают, да не будем называть закручиванием гаек, а будем называть это повышение меры защиты. Помимо соответствия требованиям, мы смотрим и в фактическую защиту. Технологических процессов и клиентов, и поэтому там, в 1 очередь, мы добавляем протоколы, но помимо этого не забываем и об остальных функциях, таких как на. Отказоустойчивость, централизованное управление, возможность это все администрировать удобно, быстро и меньшими ресурсами. И в эту сторону мы тоже смотрим, ну и полноценная. Такая защита с разных сторон и сеть, и рабочие станции, и все это по защищенным каналам управляется из 1 защищенного центра управления. На это у меня, наверное, по. Фактической части все пришло время мне поблагодарить тебя, Демид, за рассказ и за твои ответы, и наших слушателей за вопросы. Благодарю вас за то, что нашли силы время.

29:19 И возможности присоединиться, послушать наш рассказ. Спасибо всем большое, рады рады вас видеть и прощаемся с вами до следующих встреч.

Расшифровка сделана автоматически (Yandex SpeechKit) и может содержать ошибки в терминах.