Применение устройств однонаправленной передачи данных в АСУ ТП

0:05 Добрый вечер, коллеги у. Меня, правда, доклад более такой технический, поэтому много времени не займет. Завершим вот на такой технической ноте, прежде чем начать, расскажу немножко о себе. Меня зовут фунтов, Александр, я представляю компанию Росатом автоматизированные системы управления или коротко росу. В рамках этой компании я являюсь руководителем обособленного подразделения в Екатеринбурге. Как видно на картинке, география наших проектов довольно широкая, здесь представлена только часть наших проектов, самые ключевые. На самом деле это все атомные электростанции. В России и много электростанции, которые сейчас строятся за рубежом во всех этих проектах, мы активно внедряем устройства, о которых как раз сегодня и мой доклад.

1:05 Так устройство однонаправленной передачи данных у каждого вендора, у каждого производителя. Они могут называться по разному, какой то единой методологии здесь нет по. Названию поэтому здесь представлены основные названия, которые можно встретить на рынке. Мы привыкли их называть диоды данных по аналогии с электронным устройством диодом.

1:32 Если говорить о названии, то есть о сути этого устройства, то это устройство, которое позволяет передавать данные в 1 направлении и что очень важно на физическом уровне, запрещает данным. Переходить в обратном направлении. Условно все эти устройства можно разделить на 3 вида. Это аппаратные диоды данных, программные диоды данных и аппаратно программное. Я намерена сегодня про программные диоды. Рассказывать ничего не буду, потому что они не удовлетворяют основной функции диодов, то есть гарантировать обратную передачу данных. Они не могут, так как реализуются они все. Таки с помощью программного кода в нашей сфере это недопустимо, в том числе в благодаря некоторым нормативным актам, которые запрещают передачу в обратном направлении именно. На физическом уровне аппаратные диоды данных служат для того, чтобы передавать трафик. Это может быть системное событие по протоколу Сислок, может быть, зеркалированный трафик.

2:45 По технологии спан либо метки времени и много чего еще то, что умеет ходить в 1 направлении. Например, по протоколу Юдипия все это можно передавать через. Аппаратные диоды данных программно, аппаратные диоды данных расширяет функционал аппаратных и включает в себя еще программную составляющую, которая. Позволяет уже передавать файлы, как известно файлы. Точнее, протоколы, которые передают файлы, требует двухсторонней связи, эта проблема решается как раз. С помощью этих устройств производители поставляют их вместе со специальным, по которое позволяет это делать. Но об этом я чуть позже еще расскажу.

3:32 Все эти устройства объединяет принцип работы, он тоже разнится от производителя к производителю, но в целом вот на картинке видно общий принцип работы это. Передающая часть диода, принимающая часть диода и соединение между ними может быть реализована как на схеме, например, на передающей части. Просто убран порт, который умеет. Принимать сигналы либо в виде программируемых микросхем, либо с использованием гальванической развязки. Тут кто на что горазд, что называется, у производителей подходы разные.

4:13 Дальше я вот решил показать то, с чем мы реально работали, а мы протестировали практически все представленные на российском рынке диоды. И они все выглядят по разному, выполняют разные функции. Вот это самое простое устройство, которое обычно имеет настольное исполнение. И уже встроенные медные порты, то есть она никак не конфигурируется, поставили, работает чуть дальше, идут другие производители, которые. Предлагают уже эс эф пи модули, здесь уже можно подбирать интерфейсы. Под ваши нужды можно и оптику поставить, можно поставить медь.

4:57 Следующим этапом идут вот такие устройства в стоечном исполнении, которые наиболее востребованы на рынке. Нами тоже чаще всего применяются, они устанавливаются в стандартную стойку. У них, как правило, можно выбирать интерфейсы под ваши нужды, то есть это и любая. Длина волны, если мы говорим про оптику и медные интерфейсы, и они уже что тоже важно для красоты части. Имеют резервированное питание, также встречаются устройства с с резервированными входами и выходами. То есть здесь можно предусмотреть при резервирование?

5:37 Также есть вариант, видно, здесь уже вот появляется. Табло, на котором можно видеть режим работы, также эти устройства могут быть конфигурируемыми, потому что появляется слот для карты СД, с помощью которой. Например, можно выполнять функции, точнее заставить устройство выполнять функции межсетевого экрана, фильтровать трафик на таком начальном уровне.

6:06 И на верхушке этой цепочки. Точнее, нет, еще вот забыл про 1. Бывает так, что мало 1 порта на входе 1 на выходе производители это поняли и начали выпускать вот подобного рода устройства, у которого на борту уже 24 порта, входных на выходе 2 производительных 10 ГБит порта.

6:32 Часто встречаются в. Применение вот таких устройств очень удобно. Ну и вот как раз на самой верхушке всех этих устройств стоят вот такие громоздкие кластерные устройства. Это уже представитель аппаратно программных диодов, который, в частности, может, например, позволять передавать промышленный трафик, например или о п. Си Ю. Эй?

7:00 Но также умеет и передавать просто трафик. Здесь видно, что он резервируется и по портам, и по питанию, и имеет еще в своем составе несколько серверов, потому что здесь. Такие устройства используются при проксировании. И вот теперь как раз варианты сценариев, которые мы используем чаще всего. На самом деле этих вариантов очень много, если вы зайдете на странице к производителям. Этих диодов у них встречаются просто десятки вариантов, которые можно использовать. Это может быть и корпоративная инфраструктура, и асп и много чего еще становлюсь. На 2 которые мы лично используем, чаще всего 1 сценарий решает задачу по сбору и передачу трафика в систему обеспечения информационной безопасности у нас он. Называется Саиб, во многих местах он называется Центр мониторинга СОК или как то иначе. Но смысл 1 в рамках этой задачи нам необходимо собрать в промышленном сегменте.

8:11 Как можно больше событий с устройств, которые это умеют делать и собрать копию сетевого трафика? Мы это делаем все по 2 отдельным каналам, на каждом из которых. Устанавливаем аппаратный диод, основным преимуществом данной схемы является то, что мы никаким образом не влияем на промышленный сегмент. Это самое важное, что. Мы делаем при внедрении б, ну и при этом мы получаем всю нужную информацию. Для специалиста по информационной безопасности трафик поступает на систему обнаружения. Вторжений и анализируется системные события, поступают напрямую в сьем, где проходят правила корреляции и формируют события информационной безопасности.

9:01 И 2 сценарий он заключается в передаче именно файлов и отличается он от 1 сценария тем, что мы используем. В этом случае аппаратно программные диоды данных, которые позволяют, как я уже говорил, передавать файлы здесь. Сценарии могут быть разные, это может быть и передача в смежную СутТП систему, это может быть передача файлов системному оператору либо в корпоративный. Сегмент в любом случае применяем аппаратно программный диод. Ну и здесь, вот я кратко перечислил другие сценарии, с которыми мы встречаемся. Это самый, наверное, навороченная передача промышленных протоколов, потому что для этого требуется. Вот как раз тот самый кластерный большущий. Аппаратно программный диод, ну и простые, какие то задачи по передаче видео потока может быть аудио потока, репликации, баз данных и так далее.

10:04 Так как диоды, по сути своей, это устройство прозрачные для сети, это накладывает определенные ограничения и особенности, которые нужно учитывать при внедрении этих устройств. Тут можно заметить, что у меня звездочка стоит, потому что диоды тоже постоянно. Прогрессируют, и они могут уже иметь и свой пи адрес, свой Мак, адрес и их уже намного легче внедрять. Но в общем случае это все таки прозрачное устройство, невидимые в сети, поэтому во 1 при применении их необходимо настраивать как принимающую сторону, так и.

10:40 Передающую потому, что иначе устройства просто не смогут взаимодействовать друг с другом связь. Я напоминаю однонаправленная, нужно как минимум маршруты. Настроить на передающей стороне и указать в них Мак адрес получателя, который стоит уже за Диодом. Также нужно настраивать, конечно, программное обеспечение.

11:01 Для сбора системных событий для зеркалирования трафика мы для сбора системных событий используем в основном встроенные средства операционных систем для Линукса. Это. Эр Эс Эр Слог Сислок Энджи и встроенная функция в сетевые устройства. Если же такой функции у них нет, мы можем передавать по. События по другим протоколом, например, поясаным Петра Пом. Вот и, конечно, нужно проектировать систему правильно, учитывая вот эти все. Особенности иначе может возникнуть ситуация, когда уже система спроектирована. Вам нужно поставить в нее диод, но физически у вас коммутатор не. Умеет зеркалировать трафик, мы с таким сталкивались. На самом деле есть еще запасной вариант по использованию ответвителей трафика, которые. Являются такими пассивными устройствами, вставляются в разрез сети, не затрагивая мощности коммутаторов и зеркалирует трафик отдельно.

12:08 Вот, ну и с восклицательным знаком у меня стоит. Тестирование перед использованием устройств очень важно проверить, как они работают, потому что 1 из производителей прислал нам на тест Дио данных, который в итоге работал как диод в обе. Стороны, то есть он и не туда, и не сюда, не пропускал трафик. В итоге мы его отправили обратно с запросом нового устройства, и производитель исчез из поля зрения, больше не появлялся. Вот такое бывает и негативный опыт, ну и напоследок. Хотел бы сказать, что требования особых регуляторов пока нет, к этим устройствам нет отдельных профилей защиты. Как для тех же межсетевых экранов, но производители может быть с маркетинговыми целями, сертифицируют их на требования по. Уровной доверия, и мы, кстати, рекомендуем использовать именно такие устройства. Потому что это хоть какая то гарантия, что эти устройства будут долго и правильно работать и будут иметь техподдержку, развитую сеть продаж и так далее.

13:18 На этом, наверное, все.

Расшифровка сделана автоматически (Yandex SpeechKit) и может содержать ошибки в терминах.