Технологии защиты непрерывности процесса управления АСУ ТП

0:03 Разработок является средства, с помощью которых можно защищать автоматизированные системы управления технологическими процессами. Вот, собственно, об этом я сегодня хочу поговорить, в общем, тема. Содержание моей презентации может показаться достаточно тривиальным, но я хочу обратить внимание, но достаточно принципиальное отличие от. Ставших уже привычными средствами информационной защиты в офисной сети от тех, которые. Можно и нужно применять для защиты автоматизированных систем управления технологическими процессами.

0:47 Собственно вот. Так просто давайте попробуем оценить, чем чем отличаются асотепешные информационные системы от офисных. Ну, 1 это то, что приоритеты разные, то есть в вас в тпшных системах, самым главным приоритетом является это.

1:09 Надежность, надежность, функционирование, непрерывность функционирования. В то время как в корпоративных сетях это самое главное, это конфиденциальность. Вот и сами по себе автоматизированные системы управления они. Угрозы, угрозы их функционированию. Вернее, их неправильное функционирование может быть угрозой жизни экологии или. Значительного ущерба бизнесу, потому что технологические стоимость, стоимость минуты процесса зачастую бывает очень дорогая, в то время как для корпоративных сетей, ну. Во 1 это эти технологии в в подавляющем большинстве своем жизни не угрожают, хотя когда то там, на заре, были были такие. Ну, не знаю исследования или попытки, которые.

2:16 С помощью воздействия на Психология человека за счет, там моргание экрана или еще каких то вещей могли каким то образом влиять на здоровье и жизнь, но это, конечно, конечно. Не характерно это, то есть основные угрозы, это для офисных сетей, это конфиденциальность данных. Ну, там самая большая угроза, это потеря денег вот.

2:40 А сутэпэшная система они? Очень высокие требования. Выдвигают, как правило, выдвигают к предсказуемости. То есть эта система в очень большом своем части, это реал тайм система не всегда так не. Везде так не для всех офисов, не для всех, а ступешных систем. Это реал тайм, но это для многих, и это очень важные требования в в офисных. сетях это транзакции, игроки, которые поставляют программное обеспечение для индустриальных сетей, это тоже другие. И Би, Би, Дженерал электрик. Сименс Якогава Ханивел Майкрософт, в том числе и для офисных сетей. Игроки тоже все крупные, тоже крупные бывают, но это другие игроки в.

3:39 В протоколы, которые применяются они в. В основе своей имеют достаточно привычные и распространенные протоколы эти си пи Эститипи. Ну, поверх этих протоколов в промышленных сетях используется большое число и проприетарных протоколов и специализированных протоколов, предназначенных для.

4:05 Асутопрочных систем. Ну вот, если С. Подойти к этой. К различиям с точки зрения основных основных принципов основных целей, которые достигают, достигаются с помощью средств информационной безопасности, если для корпоративной. Есть 3 основных целей конфиденциальность данных, целостность данных и доступность данных, вот для корпоративной сети эти цели конфиденциальность. Это высший приоритет имеет, а целостность и доступность они тоже важны, но меньше приоритет, в то время как для индустриальных сетей.

4:50 Доступность и целостность данных это имеет наивысший приоритет, а конфиденциальность часто тоже играет значительную роль, но приоритет, как правило, ниже. Ну, то есть если в офисных сетях мы говорим информационная безопасность, это конфиденциальность данных, то.

5:12 В сетупешных сетях это непрерывность процесса. Ну, хотя об сейчас эта конференция в целом посвящена. Нахождению различных угроз мерам противодействия и много кто про это говорит. Я в целом не хочу свою свою свою презентации большую долю времени посвящать этому, но хочу сказать, что. Автоматизированные системы управления часто подвергаются атакам, и хотя это не не очень часто. Такая информация попадает и в средства массовой информации становится известным публике широкой причины этого понять можно, в общем, пострадавшие. Объекты или организации не очень хотят раскрывать эту информацию, и, в общем, то это в целом правильно. Но тем не менее в прошлом году были зафиксированы несколько случаев, когда автоматизированная система управления, когда было документировано.

6:20 Информационное воздействие на автоматизированную систему управления вот в январе в январе 2014 года был зафиксирован случай, задокументирован случай, когда. С помощью различных ухищрений. Светоносный кот проник в центр управления. Атомной станцией японской манжу и там некоторое время существовал до тех пор, пока админы его не вычислили, что тоже потребовало некоторого времени и усилий. В июле летом 2014 года была такая очень известная компания Блэк Энерджи и Блэк Энерджи Блэк Энерджи 2 Блэк Энерджи. 3 Она постепенно развивалась вот 1 из 1 из составных частей этой вирусной компании Хавекс он.

7:22 Распространялся через Пси Сервера и по свидетельству уважаемой организации Оси Эс Цет это организация, которая. Освещает информацию по угрозам и по инцидентам в индустриальных сетей, это американская организация. Они заявили, что этот троянец он по причине того, что он был, ну, скажем, не очень грамотно написано. Он наносил ущерб, ну вешал, грубо говоря, описи некоторые из записи. Свереров, что приводило к ну, к ущербу непрерывности процесса технологического и в конце 2014 года. На мой взгляд, произошел наиболее значимый инцидент когда.

8:15 Немецкая. Государственное агентство по информационной безопасности опубликовал информацию о том, что на 1 из немецких сталелитейных заводов по причине. Хакерской атаки. 1 Из доменных печей ее не смогли остановить штатном режиме, информация об этом подробно и до сих пор нет. Я нигде нигде не встречал эту информацию, но в целом можно предположить, что такое внештатном режиме остановить доменную печь. Теперь вот немного статистики, это я, это статистика на основании средств, которые.

9:03 Собственное средство лаборатории Касперского у нас есть достаточно большое. Набор. Датчиков, которые в Сети датчиков, с которых мы получаем информацию, вот по это облачные технологии и вот по анализу. Данных, находящихся в нашем облаке, мы можем сделать заключение, что. На тех компьютерах, на которых установлено то или иное. Скада программное обеспечение на них существует вот приведенной здесь уязвимости их что. Конечно, надо учитывать, что это информация из тех компьютеров, которые по своему расположению логическому и физическому.

10:04 Поставлять информацию в интернет, то есть. Скажем так, вот эти компьютеры это не характерные компьютеры для для промышленных объектов. Но тем не менее информация достаточно большая, и по ней видно, что эти компьютеры, на которых стоит то или иное. Обеспечение содержит уязвимости, в том числе и уже это какие то доисторические уязвимости, которые использовался таксом. Уже там, 5 лет назад, они до сих пор здесь присутствует и достаточно большом объеме, и.

10:39 И график внизу справа, он показывает, что количество количество уязвимостей, обнаруженных уязвимостей, постоянно растет и растет достаточно быстро, вот. Ну теперь, если опять же обратиться к этой статистике Си Эсцерта. Она тоже показывает, что год от года количество инцидентов это уже не уязвимости, а зафиксированные инциденты информация по этому. Инцидентом иногда бывает публичной, иногда не бывает публично, но это официальный отчет американской государственной организации, ну и по.

11:16 Их же статистики наибольшее количество инцидентов, это в нефтегазовой области электроэнергетики. Транспорт присутствует, и причинами, причинами инцидентов больше всего является это человеческий фактор, то есть операторы, администраторы. Каким либо неправильным образом используют средства программно аппаратные средства сут и пышные, теперь еще вот основываясь. На статистике, но вот эта статистика, она уже публично ее много, где можно найти, и это есть. И наши наши специалисты из лаборатории Касперского публиковали такие и семантика Макафи. Много, то есть достаточно публично, и вот, на мой взгляд, достаточно значимым.

12:05 Является тот факт, что вот такие вот известные атаки, которые так или иначе затрагивали. Системы асотепешные, они очень долгое время находятся в скрытом состоянии. Ну вот, например, Стаксон, это его обнаружили в 2010 году, а функционировал. Он в скрытом в скрытом виде с 2005 года, то есть он 5 лет, он находился в свободном плавании. Никто не знал про него, ну и похожая статистика, она.

12:38 И для Других таких я бы сказал, таких выдающихся вирусных вирусных компаний. То есть вот если посмотреть на эту таблицу, там получается от 3 до 9 лет этот? Вот вредоносный программный код существовал в таком виде. Когда про него никто не знал, это это значит ровно то, что то, что сейчас происходит в.

13:05 Асутепешных сетях или в офисных сетях это офисных сетей тоже напрямую касается то, что сейчас происходит. Условно говоря, на наших компьютерах мы узнаем там через какое то время там, через 3, 5 лет, я говорю это к тому, что. Предпринимать меры информационной безопасности это очень актуально и особенно актуально это для системы СТП. Теперь хочу, хочу обратить внимание на те факторы, которые, которые часто препятствуют тому, что организация уделяет большое внимание средствам информационной. Защиты, ну то есть самый распространенный. Ну так я не знаю, как это сказать отмазка или причина, по которой владельцы или проектанты, или люди ответственные.

14:02 Или те люди, которые должны быть ответственность за информационную безопасность, не хотят применять таких мер информационной безопасности? Во 1 самые распространенные говорят, что наша система изолирована, мы не наша сатупешная сеть не. Недоступна из интернета, она существует изолирована по этой причине. Никаких мер информационной защиты предпринимать не нужно. Из нашего опыта и из опыта наших партнеров и позитив технолоджи с много исследовательских организаций, которые проводят.

14:46 Обследование, кстати, это касается вот эти вот эти. Вот такое распространенное мнение, оно характерно не только для России, это по всему миру, так то есть большинство владельцев. О сутэпэшных систем, ответственных или не очень ответственных. Они считают, что вообще никаких мер предпринимать не надо. Вот по этой причине так вот большое количество исследований аудитов проведенных. Она показывает, что информационные каналы существуют, если даже существует, как называется Эр Гэп. Или там воздушный зазор или или если информационная? Асутпешная сеть физически отключена от внешних сетей, даже в этом случае существуют информационные потоки, эти информационные потоки, это или через.

15:40 Подключаемые носители или это обслуживающие организации приходят со своими ноутбуками для того, чтобы? Для того чтобы обеспечивать обслуживание. Регулярный осмотр оборудования. Ноутбук, принесенный в высокотэпэшную сеть, это информационный поток, вот и. Это это опять же значит то, что меры информационной защиты нужно применять даже в таких случаях, когда реально сети физически изолированы. Зачастую бывают ситуации, когда. А сутэпэшные сети не являются изолированными, но в операторы уверены, что поскольку они установили его настроили. Иногда, кстати, не всегда бывает, что хорошо настраивает эти.

16:40 Формулы, которые отделяют офисную сеть от сутэпэшных. Но это такая же программа и который может содержать уязвимости этими уязвимостями. Можно пользоваться, даже если разделение сетей проходит на на. Уровне маршрутизаторов или сетевых сетевых устройств, то наш опыт жизнь показывает, что это тоже программное само по себе сам, по себе свеч. Он является программным аппаратным комплексом, которым тоже есть. Уязвимости, и они тоже используются вредоносным кодом.

17:24 Еще 1 миф. В Он звучит таким образом, у нас сети сложные такое оборудование. Кроме нас ни у кого не применяется, поэтому что его защищать, когда про него никто не знает и значит. Поломать не могут, это тоже ошибочное мнение, потому что ну во 1 для того, чтобы поломать сложную систему. Не надо разбираться во всех ее тонкостях, это во 1, а во 2.

17:57 Большинство этого оборудования оно доступно не только для для того, чтобы из него строить асоту пышной системы, но и для исследований, то есть там и скажем. Как правило, является дорогим оборудованием, но там на таких распространенных площадках, как и бы. Или там еще какие то другие можно купить там бывшего потребления оборудования, которые небольших денег стоит. Вот ну, то есть это такое возражение, оно тоже оказывается несостоятельным. Существует устойчивое мнение, что все ответственные технологические системы они оснащены противоаварийным оборудованием и такое оборудование. Оно в состоянии предотвратить любую аварию, да действительно. Это правда, эти противоаварийные защиты, они надежные, они опыт их использования, это опыт десятилетий, иногда нескольких десятилетий. Они очень хорошо работают, но они они защищают от тех инцидентов.

19:14 Опыта которых уже имеется, ну то есть. Дело в том, что информационные системы это и уязвимости, их это есть некоторое. Новые явления, ну скажем. Новое явление в мире Асутп. Что это значит? Могу там пример привести такой. Не существует противоаварийной защиты. Которая будет предотвращать включение выключения электрической цепи с частотой 50 герц. Ну или там 20 герц, то есть никто, никто не может представить, что это кто нибудь, это это будет вот так вот этим. Выключателем дергать, ну просто люди люди так не делали раньше. Поэтому противоаварийной защиты от таких инцидентов не существует с помощью автоматизированной системы управления, это можно добиться на раз.

20:18 1 2 Опасность это не только сами аварии, но и. Например, износ оборудования тот же Стаксон показал, что все те противоаварийные защиты, которые существовали на этом заводе. Они не сработали против того, что в эти. Не турбины, как они эти. Центрифуги работали в почти критических режимах, они не превышали порогов срабатывания вот этой противоаварийной защиты. Но они работали так, что они выходили из строя за время, которое там в десятки раз было меньше, чем расчетное. Время это тоже своего рода атака на на это. То есть я про что хочу сказать, что противоаварийной защиты нельзя полагаться на противоаварийную защиту? Если мы говорим об угрозах с точки зрения информационных систем управления, ну и.

21:18 Ну и тоже еще достаточно распространенная, но это уже как бы менее распространенное. Там люди считают, что вот у нас какой то объект, он там, где то находится какой то трансформатор, который. Ну зачем это кому то надо там, на него какие то атаки в? Осуществлять тоже хочу сказать, что вот отношении информационных систем это такое мнение, оно не совсем верно. Дело вот в чем, что действительно сам по себе объект может не являться. Значимым или в связи с тем, что таких объектов там 1000 или десятки тысяч конкретно вот этот объект вряд ли вряд ли на него попадет. Чей то выбор, чей то злой. Умысел, но при этом надо надо понимать тот факт, что информационные технологии обладают таким свойством, как высокую воспроизводимость, то есть повторить программный. Код можно очень легко, дешево разработать трудно, для это для этого нужны квалификации для соответствующие специалисты, иногда сложное оборудование, но после того. Как он этот код сделан, использовать его в каких то вредоносных целях? Уверяю вас, большого труда не составляет, то есть это это. Мы же знаем такие примеры, то.

22:46 Тот же Стаксон, он. Урок, который мы вывели из этого, он еще и говорит о том, что вот эти вот сложные, хорошо разработанные программные модули через год начали появляться в виде. Программного обеспечения, которые там атакуют банковские эти системы банкоматы, я имею ввиду. То есть они брали модули и готовые модули, которые были доступны так или иначе в интернете, и использовали их для каких то своих целей, то есть. Единожды созданное вредоносное программное обеспечение, оно очень хорошо тиражируется.

23:30 Это говорит о том, это все вместе говорит о том, что не обязательно быть целью, чтобы стать жертвой. Вот что самое, ну, скажем так, не дать самое негативное. Во всех этой истории заключается в том, что. Ну, скажем, нет, невозможно чувствовать себя защищенной. Если ты не предпринимаешь какие, то меры защиты. Теперь давайте попробуем. Поговорить о том, что Какие технологии можно было бы использовать? Мы вот я сначала рассказал о том, как это все отличается, потом рассказал о том, что существует целый набор опасностей. Теперь давайте попробуем поговорить о том, а как как нужно было бы, как правильно. Защищаться, какие методы применять, если офисные не подходят, значит, должны быть какие, то другие. Вот это так называемая референсная модель, которая в была приведена в стандарте Иса Иса 95. Это там опять же американская ассоциация Индустриальная.

24:42 Она состоит из нескольких уровней, самый верхний уровень бизнес Интеллидженс. Местного системы. Средний уровень это системы. Вот то, что называется Скада или АСУ ТП. Это Операторские рабочие станции для наблюдения за процессом и внесения каких то изменений это и чем ай панели сервера. Накопления исторических данных. Нижний уровень он. Это, как правило, Вычислительные системы, которые непосредственно непосредственно управляют оборудованием или получают показания датчиков с этих. Ну, это такие плк, контроллеры или рза, или какие то промышленные промышленные вычислительные системы, которые. Отзнать для непосредственного контакта с оборудованием то ли в качестве управляющих воздействий, то ли в качестве получения датчик. Ну и, собственно, само оборудование, вот то, что касается верхнего уровня, для это сейчас не входит в.

26:01 Круглов в круг обсуждаемых вопросов для него достаточно много разработано это офисной системой и. Много всяких средств информационной защиты, которые применяются и там они адекватно, но то, что касается нижнего уровня. Вот здесь есть те самые особенности, которые я приводил на 1 слайдов, на как эти вот здесь и есть те самые отличия от офисных сетей. Собственно, здесь, поскольку здесь есть тоже. Рабочие станции их тоже надо защищать, но средства и меры защиты они.

26:43 Должны отличаться от офисных и. В 1 очередь самое главное то, что они должны гарантировать непрерывность, наблюдение, непрерывность управления, ну и + средства, средства. мониторинга как средством мониторинга информационных процессов вычислительной сети, то есть, а сут и пышная сеть, это это тоже вычислительные. Сети в них тоже есть узлы, которые обмениваются информацией друг с другом. Мы очень, скажем так, адекватными мерами защиты считаются средства. Которые или мониторят эту информацию и делают какой то анализ или способны фильтровать информацию. Ну и + ко всему надо учитывать, что.

27:41 Ситуация с СТП она такова, что не бывает 2 одинаковых объектов. Поскольку жизненный цикл, жизненный цикл. А сутэпэшных систем он гораздо больше, чем система офисных, то есть если в офисной системе. Полный цикл обмена обновления, программное обеспечение, но это можно себе представить, где то 1 год, где то 2 где то 3 года. Ну, пускай будет более распространена такая цифра, это 2 года, то в асутэпэшных сетях это эти жизненные циклы измеряются.

28:23 5 Лет это, ну как бы самая быстро обновляющаяся асотепешная система. На самом деле там системы бывает, которые по 10 лет работают и и больше работает, что это значит, что что. За время этого своего жизненного цикла эти системы проходят плановые ремонты, обновления, оборудование. Какое то выходит из строя взамен взамен этого вышедшего из строя. Оборудования оборудование обновляется, но те модели, которые выпускались 5 лет назад, их уже нету, обновляется оборудование, другое приходят, приходят другие интеграторы, то. Есть период достаточно большой, то есть и поскольку вот Женина цикла такой достаточно длительный, то большинство этих систем огромное количество подавляющее большинство они.

29:14 Они содержат некоторый такой зоопарк из оборудования разных производителей разного программного обеспечения. Я думаю, что те люди. Которые сталкиваются с тупыми системами, они хорошо понимают эту ситуацию. Так вот, поскольку эти каждый из объектов уникален, то трудно. Себе представить какой то коробочный софт, который можно было бы там. Ну не знаю, условно говоря, там купить лицензию, поставить его 1. Раз настроить и забыть про него навсегда и считать, что меры информационной защиты адекватные и они такими будут оставаться всегда то.

29:54 То есть? Защита от судопрочных систем, это процесс некоторый процесс, который. Который требует постоянного внимания, то есть с какой то периодичностью там нужно проводить обследование. Ситуация с угрозами тоже постоянно меняется, ее надо учитывать. То есть я это говорю к тому, что меры информационной защиты? Они. Требуют необходимых дополнений из сопутствующих сервисов, то есть должны быть достаточно квалифицированные организации или специалисты, которые.

30:36 Вот процесс поддержания информационной защиты будет постоянно поддерживать в адекватном состоянии. Ну, собственно, теперь, если поговорить о том, а какие свойства я перечислил как бы 3 3 разных? Аспекта, то есть это защита рабочих станций в индустриальных сетях. Средства мониторинга сетевой и сервисы. Вот какими свойствами должна, по нашему мнению, была бы обладать средства. Защиты инпойнтов. Во 1 самое главное требование к нему это. Поскольку мы поговорили о обеспечении непрерывности, то вот эти средства информационной защиты самое главное, что они должны. Обеспечивать это не мешать тому программному обеспечению, которые крутятся на на этих рабочих станциях. Что это значит, то это значит, что?

31:42 Должно быть предсказуемое нормированное использование ресурсов компьютера. Это касается и ресурсов, процессора, и ресурсов, и памяти обращения к файлов. То есть в любой, в любой конкретный момент времени должно быть известно, сколько ресурсов? Необходимо отвести для работы средств информационной защиты только в так. В таких условиях можно спроектировать, спроектировать автоматизированную систему, которая будет себя вести себя предсказуемо. Вот то есть.

32:20 То есть такими технологиями являются как раз вот те технологии, которые здесь перечислены? Ну, во 1 это технологии в Атлистин, белые списки. Это так называемая технология создания замкнутой программной среды. То есть? Сама по себе технология, она характеризуется некоторым процессом настройки или обучения, который требует достаточно, ну во 1 квалификация. 2 Ресурсов компьютера и 2 это, ну, скажем, режим боевой боевой работы, вот в этом режиме боевой работы как раз мы можем гарантировать.

32:59 Какую долю ресурсов? Мы можем установить нормы. Какое количество ресурсов будет потреблять эта технология, и это очень важное свойство? То есть мы сначала во время настройки конфигурирования во время регламентных работ можем? Провести все необходимые работы для того, чтобы настроить этот эти белые списки, а во время боевой работы это будет во 1 очень маленькая, а во 2. Контроль подключения устройств. Как правило, в существующих сутэпэшных системах контроль подключения устройства осуществляется организационными мерами.

33:47 На большинстве объектов, на которых нам довелось проводить, какие то обследования были документы, по которым нельзя было там проносить флешку, включать флешку, иногда юэсбишные. Устройства заклеивали специальными маркерами с печатью. Иногда эти юэсбишные устройства они отключались на уровне биоса, разные меры предпринимались, но ни разу не видел, чтобы.

34:19 На каком либо объекте не было инцидента, связанного с использованием переносных устройств, так или иначе. Персонал находит возможности принести флешку и во время ночной смены, когда технологический процесс идет гладко и от оператора требуется. Только внимательно смотреть на экран и больше ничего не делать. Самое самое хорошее время, когда начальство уходит посмотреть фотографии с.

34:51 Пикника с выходных или киношку, или что нибудь еще. Так вот вот эти. Технологические меры они дополняют регламентные, то есть это с точки зрения. Регламентов, например, должны быть. Ясные правила для персонала и с точки зрения контроля технологического контроля этих регламентов это тоже должно быть. Мерообеспечения. Ну и то, что касается обычных технологий, сигнатурных эвристических и так далее, это тоже мера адекватная, но эти меры. Нужно применять, поскольку Применение этих технологий при применении этих технологий мы не можем нормировать.

35:50 Использование ресурсов такие меры можно применять только. Во время регламентных работ, ну короче, не в боевой работе. И такого же рода технологии, касающиеся поиска уязвимости. Их тоже необходимо для того, чтобы создать ту самую замкнутую среду, которая будет контролироваться Вайт листингом для того, чтобы эта среда была.

36:22 Адекватной правильно не содержал вредоносного кода или уязвимостей. Для этого нужно использовать такие профилактические меры, которые во время регламентных работ используются. Теперь по поводу сетевой анализы сетевой информации. Требование самое главное требование по прежнему такое же, как и для других мерой информационной защиты. То есть самое главное не мешать, не навредить, поэтому адекватно применять такие это с 1 стороны. С другой стороны, те информационные потоки и те те процессы взаимодействия, которые существуют в высокопышных сетях. Они характеризуются высокой сложностью, большим объемом и высокой сложностью, то есть.

37:17 Понять, что в сети происходят некоторые не не допустимые или не характерные события или событий, которых раньше раньше не наблюдалось вообще просто вот так. Находясь рядом сетью и смотря смотря в экран станции оператора, понять невозможно. Вот для этого для это для этого существуют технологии анализа сетевой информации.

37:44 Что тут важно отметить? Что во 1 в высокопышных сетях в качестве базовых применяются технологии, которые распространены? Я и про них уже упоминал, там это и ти си пи, ай пи и там и си ти пи. В общем, все достаточно распространенные привычные привычные технологии, но. Во 1 поверх этих в привычных протоколах используется. Протоколы, характерные для индустриальных сетей профибаст. 104 Протокол 61 850 Их большое количество, вот для них для них нужны адекватные, адекватные меры анализа. То есть во 1 эти средства анализы, ну как минимум, должны понимать эти протоколы, а еще самое главное, что.

38:42 Вот эти вот системы управления и по нашему. Пониманию и по сейчас вот существует достаточно большое большое комьюнити, которые там обмениваются мнения. Так вот, это это сообщество, оно приходит к выводам, что эти. Информационные системы нельзя рассматривать как чисто информационные, то есть для того, чтобы во 1 понимать процессы, которые там происходит, а во 2 каким то образом.

39:14 Предотвращать негативные воздействия эти системы должны рассматриваться как киберфизических систем. Есть есть такой уже сложившийся термин Сайбер физикал систем. Недостаточно для того, чтобы правильно анализировать информацию. Которыми обмениваются сетевые узлы. Нужно не просто распарить протокол, соответствующий и не просто понять, что сейчас идет команда на закрытие задвижки или там. На поворот на 30 ты нужно еще понимать, что вот эта вот информация она может привести к нарушению технологического процесса. К там поломки оборудования или к чему то еще.

40:03 Что это значит это во 1 это то, что? Такую информацию могут обладать только люди, которые понимают технологический процесс, технологи и инженеры, проектанты, которые разрабатывают это оборудование, но. Проанализировать ее эту информацию, если говорить об информационных потоках могут только специалисты, которые могут разрабатывать средства мониторинга и анализа.

40:32 То есть? Напрашивается вывод, что адекватные меры защиты могут быть разработаны только совместно специалистами из информационной безопасности и специалистами, обладающими знаниями. Технологического процесса, причем поскольку технологические процессы везде разные, то и специалисты должны быть или там химики, технологи или те, которые обеспечивают.

40:57 Там бесперебойное движение транспорта или какие то еще специалисты. И вот тот анализ, про который я говорил, он как раз должен основываться на информации, которая будет объединять знания. Вот этих вот 2 миров это очень. Непростая задача для того, чтобы, скажем, во 1 появились такие специалисты, а во 2 эти специально наладить взаимодействие между специалистами из 2 столь противоположных областей знания, это очень непростая задача.

41:34 Но тем не менее средства такие существуют, и лаборатория Касперского разрабатывает такие средства во 1 эти средства. Вот если обратиться на эту, на эту схему вот таким красным красным цветом обозначено.

41:58 Оборудование, которое как раз производит анализ, вот она устанавливается таким образом. Сейчас это очень жесткое требование, это в том. Обеспечить непрерывное. Непрерывное протекание технологического процесса мы разработали такие средства, которые анализируют. Не саму информацию, которая циркулирует на сетевых узлах, а ее копию. То есть это с помощью сетевых устройств делается копия мира сетевой информации? Вот эту вот эту копию мы анализируем вроде бы эта технология, она.

42:39 Не не способны защитить с 1 взгляда. Кажется, что вот использование таких технологий мониторинга оно не не способно предотвратить какую то угрозу. Опасность на самом деле это не так. Ну, из такой из Общей практики понятно, что камера наблюдения специалисты до сих пор спорят. Это камера наблюдения, это средство защиты или средства мониторинга способны или не способна. Вот здесь вот ситуация такая же, то есть это мониторинг, который с 1 стороны не.

43:20 Не способен нарушить информационные процессы, технологические процессы, которые управляются информационными процессами, а во 2 делает. Достаточно быстрый анализ, анализ этой сетевой информации и делают эту информацию видимой для обслуживающего персонала, то есть на основании. Тех правил, как правило, анализа, которые формулируется для каждого конкретного объекта, можно можно сделать вывод, что в информационной сети. Происходят процессы, которые там не должны происходить, и эта информация сразу становится доступным, доступным обслуживающим персоналом.

43:59 Почему это важно и почему это может предотвратить аварии? Кажется, что воздействие на судопешные системы это. Ну какое то там не знаю, какое то такое мгновенное воздействие, и оно сразу приводит к аварии, это не так во 1 все. Наш опыт показывает, что эти процессы воздействия внедрения в информационной сети это достаточно длительный процесс. Тем более что все объекты уникальны и воздействовать можно только после того, как когда злоумышленник соберет. Какую то информацию, собственно, вот это вот этот факт и позволяет нам на ранних этапах распознавать атаки, угрозы и делать эту информацию видимой. И администраторы способны вовремя предусмотреть, какие то меры, которые которые.

45:02 Нейтрализуют или противодействуют? Значит, как я уже говорил все эти технологии? Ну, не не инвазивные, скажем так, то есть это не внедрение в существующий информационный процесс, а это мониторинг без без воздействия. Это Если более подробно сказать, то это. С помощью таких технологий можно обнаружить изменения сетевой конфигурации изменения. характера взаимодействия узлов друг с другом и, как я говорил, уже основываясь на тех правила, которые формулируется специалистами информационной безопасности совместно. С технологами можно можно понимать, что команда, посланная на оборудование, она в данных конкретных условиях не не не должна. Быть может, привести к каким то последствиям.

46:02 Собственно, кроме кроме этого, если говорить о сервисах, то которые адекватны для применения в сетях, во 1 все начинается с обследования. Нельзя защитить объект, про который нету нету. Информации, поэтому, прежде чем разработать адекватные меры защиты, нужно провести аудит обследований на основании этой информации в формирование модели угроз и анализ рисков. Причем.

46:31 Специалисты по информационной безопасности они должны. Сделать понятными для лиц, принимающих решения все возможные риски, а? Выбрать из этих возможных рисков те риски, которые будут. Нейтрализовываться с теми или иными. Мирами это процесс совместной работы, то есть можно можно выбрать риски, которые нейтрализуют с помощью мер информационной безопасности. Какие то риски могут нейтрализовываться мерами физической безопасности или регламентными процессами, а какие то риски могут посчитать.

47:12 Быть признаны несущественными, и против них могут вообще никакие меры не применятся, но этот. Такой достаточно альтернативный процесс взаимодействия. Между нами и владельцами или проектными организациями. Ну и в общем, такие достаточно распространенные сервисы как техническая поддержка, обучение, информирование. То есть список сервисов достаточно большой? Надо надо еще сказать, что лаборатория Касперского уже давно занимается регулярными отчетами о состоянии дел с информационной безопасностью, в том числе сейчас. Последнее время мы начали, начали заниматься и.

48:02 Угрозами, инцидентами и уязвимостями, характерными для средства СТП. Также адекватными сейчас в лаборатории Касперского разрабатывается средства защиты от таргетированных атак, но эти средства они предназначены в целом для организации, то есть и для тех организаций. У которых отступешные средства есть, существуют некоторые особенности в применении такого рода технологий. Ну и как я говорил уже обучение, то есть разработали целый ряд курсов обучения, разработали.

48:44 Игру Игру, сюжет которой заключается в том, что нужно защитить. Станцию водоочистки, в которой есть то самое оборудование, про которое мы говорили о сутпешной системой контроллеры и которые находятся под воздействием разных. Внешних факторов, которые могут привести к нестабильности, ее это такая игра. У нас 2 варианта игры уже разработаны, это станция водоочистки и дизельная электростанция.

49:17 Ну, собственно, вот все, что я вам хотел рассказать, буду рад услышать ваши вопросы. Спасибо за внимание, вот пожалуйста.

Расшифровка сделана автоматически (Yandex SpeechKit) и может содержать ошибки в терминах.