Типовые уязвимости компонентов АСУ ТП

0:06 Доброе утро, коллеги, меня зовут Алексей Комаров. Компания Уральский центр систем безопасности сегодня мы проводим очередной наш вебинар по теме безопасности СТП и сегодня в рамках под серией, где мы. Рассказываем про аудит ступы, мы поговорим про инструментальную составляющую этого аудита. Про те типовые уязвимости компонентов от ступе, которые характерны и про наш опыт анализа защищенности от ступней.

0:37 Доклад сегодня будет читать мой коллега Сергей Краснов Сергей. Доброе утро, передаю тебе слово, коллеги, доброе утро меня зовут Краснов. Сергей, я аналитик из компании Уральский центр безопасности. Так сегодняшняя тема нашего доклада это типовой уязвимости в АСУ КП, а именно. Наш опыт анализа защищенности технологических сетей. Для начала я хотел бы рассказать пару слов о нашей команде, которая проводит анализ. Защищенности на Слайде можно почитать общую информацию о ЦСБ, а я пока расскажу именно о своих коллегах, с которыми мы проводим анализ.

1:22 В основном это специалисты с большим опытом участия в соревнованиях Ситев. Наши мои коллеги, которые проводят анализ священности и имеют достаточно. И имеет достаточно большой опыт, в этом мы на протяжении прошлого года провели больше 20 проектов по анализу защищенности, большая часть которых это был именно. Работы по аудиту. Производств различных технологических сетей, вот специалисты у нас имеют сертификаты, в частности. И других международных.

2:12 Сертификационных центров также на нашем счету есть ряд найденных уязвимости Экскада системах. На некоторые из них заведены бюллетени безопасности Цумае, но некоторые еще бюллетени не заведены. И стоит отметить очень важную часть, что наша команда занимается только анализом защищенности. Это исследование и это проект по анализу защищенности. Почему это важно, потому что зачастую?

2:45 Те проектные команды, которые проводят анализ защищенности, кроме него, занимается и другими проектами, и. Это создает определенные проблемы в том, чтобы поддерживать постоянно уровень компетенции, актуальность своих знаний. Ну, в мире информационной безопасности еще буквально пару слов о нас. То, что мы оказываем все услуги, которые есть на рынке, анализ защищенности, это внешний. Аудит периметра, это внутренние анализы защищенности. Это анализ безопасности конкретных ресурсов, такие как веб, сайты, мобильные банки, какие нибудь приложения.

3:32 Также мы проводим нагрузочное тестирование и буквально. Год назад мы начали оказывать услуги по проведению тестирования методами социальной инженерии. В основном наши заказчики, это заводы и производства, но за прошлый год у нас также были проекты с некоторыми аэропортами, с авиакомпаниями, банками, ну и другими коммерческими. Героприятиями теперь перейдем к теме нашего Вебинара, анализ защищенности судьбы. Сегодня мы поговорим про информационные системы, которые присутствуют на производствах.

4:13 В них, конечно же, есть своя специфика, но и общего с анализом защищенности для других других информационных систем тоже достаточно. Содержание нашего доклада будет примерно таким. Сначала мы вкратце рассмотрим, что же такое. Как выглядит типовая информационная система на производстве и основная часть нашего доклада? Это наш опыт по анализу защищенности, что же такое? Автоматизация, разумеется, я буду говорить достаточно общей вещи, не углубляясь в технические детали. Что такое производство, это когда мы из ресурсов?

4:56 Из ресурсов получаем какой то конечный продукт, тот способ, как мы его получаем. Это технологический процесс, кто технологический процесс достаточно. Сложный и он нуждается в постоянном контроле, и и поэтому его в последнее время активно все автоматизирует последнее время, это последние лет 50.

5:23 Мы, разумеется, будем говорить про последнее поколение. Именно компьютерную автоматизацию, чтобы самим технологическим процессом управляла какой. То контроллер ну не релейной системы, а уже современный высокого уровня. Зачем же нужна автоматизация, я думаю, всем все понятно, но мы поговорим.

5:49 Во 1 автоматизация она уменьшает влияние человеческого фактора на сам технологический процесс человеку. Это достаточно ненадежный элемент любого механизма. Вследствие из за уменьшения влияния человеческого фактора у нас уменьшается количество людей, то есть своеобразная экономия производства. На производстве также. Целями является увеличение объема и качества выпускаемой продукции. Стабильность в выпуске продукции, чтобы не было накладок, все было надежно и регулярно приносила прибыль и балансируя всеми этими атрибутами, мы стараемся увеличить. Прибыль на нашем предприятии это всем понятно, и общие вещи, примеры автоматизации тоже все знают. В основном это металлургия, электростанция и подстанции, и собственно. Любое производство, даже те же химические лаборатории и бетонные заводы или заводы, которые не знаю, варят пиво. Они нуждаются в автоматизации, потому что любой технологический. Процесс тест достаточно сложный и чтобы не была нарушена технология, и мы получали стабильный качественный результат, все уже давно автоматизируются и процесса.

7:20 Теперь перейдем к рассказу про информационные системы. Это достаточно общая модель информационных систем, не судите строго, каждая система она индивидуальна. Обычно системы состоят из каких то датчиков и так называемых полевых механизмов. Это вентили, это насосы, датчики температуры объема. И данные датчики обычно сообщаются напрямую с контроллером. Примерно логический контроллер используется при УЗИ различных версий. Который уже объединен в обычную в.

8:11 В нашем понимании технологическую сеть с компьютерами, с серверами, но эта сеть называется технологической. В этой сети находится как минимум скада система, которая получает информацию. С контроллера и представляет ее на более высоком уровне, в виде каких то таблиц зарисовок хода процесса также в технологическом сегменте присутствует. Персонал это операторы диспетчер, у которых тоже есть рабочие места и почти всегда из технологической сети есть так называемая дырка, а в корпоративную сеть. А это нужно для отчетов для предоставления какой то информации для получения. Информации для того, чтобы генеральный директор мог видеть красивые графики, сидя за своим ноутбуком, как протекает производство. В данный текущий момент следующий слайд, это у нас корпоративная сеть. Опять опять же, это модель корпоративной сети и.

9:25 Почему на любом заводе присутствует корпоративная сеть, да потому что? Всегда есть не технический персонал, это отдел бухгалтерии, это по делу, по продажам, по связям с общественностью и которые тоже находятся в корпоративной сети завода, но не в технологической. Ее принято изолировать, назвать. Корпоративные сети в эту сеть также объединил я внешние сервера, не заставляя внимание на том, что обычно внешние сервера они изолируются в демилитаризованную зону. То есть Денсер и напрямую связи с от веб сайта до того?

10:09 Того же. Контроллера домена, который находится в квартирной сети, нет почти любая корпоративная сеть, также состоит из беспроводной сети. На дворе 2017 год все уже пользуются беспроводными технологиями, а состоит корпоративная сеть из. Компьютеров самих сотрудников есть также серверный сегмент, в котором содержится база данных, в которой та же скада. Система может складывать какие какую то аналитику отчеты и связано обычное технологическое. И корпоративная сеть, через какие то элементы защиты все стараются изолировать 2 этих сегмента.

10:59 Все делают это по разному, кто то использует межсетевые экраны, кто то использует. Различные вилланы на коммутаторах, некоторые используют физическую изоляцию, ну так называемую физическую изоляцию, это когда сами сети. Изолированы друг от друга, но у них есть пересечение в виде какого нибудь 1 сервера, который просто находится в обоих из этих сетей, конечно же. Самый популярный вариант-это межсетевой экран и при этом варианте для доступа в технологический сегмент поднимается обычно випиент соединение.

11:42 И тем самым организуется связь данных сетей, теперь перейдем к анализу защищенности. Обычно цель любого анализа это получить доступ в технологическую сеть просто доступ. Потому что все, наверное, понимают, чем чреваты. Различные действия, несанкционированные в. В технологической сети, когда идет производственный процесс. И обычно риски настолько велики, что ни 1 скачек не согласен проводить на работающей системе какие либо аналитические действия. Поэтому все анализы защищенности у нас ограничиваются получением доступа в. Технологический сегмент наш опыт так называемых плохих вещей в технологии ограничивается только взломом различных подстанций. На соревнованиях в основном заказчики функционирует только отправить какой нибудь. Пинк запрос, а в технологической сети просто для демонстрации того, что у нас есть этот доступ, и мы действительно там находимся, и то нам это разрешает далеко не всегда. Были случаи, когда от Костова тиски Коннект. Соединения база данных превратила к соду, и некоторые технологические моменты нарушались в нашей практике. Но это вот было достаточно высоком уровне и не влияла на сам процесс, из за чего такое происходит.

13:26 Технологические сети обычно строятся 1 раз, и на очень долгое время она большинство сетей в нашей стране построена лет 10:15 назад, когда были только Виндс 2000. Которые с тех времен, разумеется, не обновлялись, на которых стоят необновленные версии программного обеспечения. И, собственно говоря, даже незачем пытаться найти какие то уязвимости всеми. Так понятно, что в технологической сети. Они, скорее всего, есть и очень большая вероятность того, что они очень опасны.

14:07 Поэтому Главной Идеей построения всех технологических сетей технологических сегментов является то, что там нет злоумышленника и, собственно, анализ защищенности ограничивается. Попаданием в эту сеть связи с этим могут возникнуть вопросы, если так опасно проводить аналитические работы в технологическом сегменте. Зачем, собственно говоря, их вообще проводить? Ответ просто нужно определиться с рисками и с опасностями, которые актуальны для производства. В основном основные типы опасности перечислены на свадьбе, это как недавно нашумевший.

14:58 Кальян шоколадщик Петя, который пасховал технологические процессы во многих производствах на Украине, также на некоторых у нас в стране. Бывают и более такие не глобальные теории заговоров и шпионажей опасности, например, просто банальное хищение, кража сырья, это если. Выставить в каком нибудь котле температуру повыше, то объем жидкости увеличивается. Можно незаметно отливать, сливать и, собственно говоря.

15:36 Влияя. Злоумышленники, влияя на технологический процесс, могут в каких то корыстных целях совершать различные манипуляции. Ну и результат всех этих манипуляций обычно негативно сказывается на на авторитете, на репутации, само по производству или в и, конечно же, на.

16:01 Прибыли на заработках и на тех средствах, которые впоследствии придется потратить для устранения каких либо инцидентов на этом сайте, я объединил в общую схему. Технологическую и корпоративную сеть для того, чтобы просто рассмотреть возможные векторы атак на эту информационную систему. Тут можно заметить, что добавилось вай фай. Точка доступа в технологическом сегменте это сделано специально, потому что наблюдается тенденция того, что в различных цехах на заводах появляется вай фай точки доступа, обычно это. Ставят сотрудники сами для себя какие нибудь криджи модемов, которые объединены с Вай Фай. Точкой доступа обеспечение доступа в интернет или для своего удобства, что влечет, разумеется, соответствующие риски нам бы всем подряд.

17:10 1 Вектор атак. Который возможен это? Датчики, ну начнем с права налево. Так сказать, самого технологического сегмента, постепенно повышаясь в уровне абстракции до внешней системы 1 уровень опасности. Это датчики, то есть это те системы, которые установлены обычно на каких нибудь котлах на весах, на насосах или же.

17:47 Они установлены на газопровейных станциях или на электроподстанциях, которые недостаточно защищены физически, но также объединены в технологическую сеть, и они передают данные нашему контроллеру, который находится в сегменте.

18:10 Этот вектор атак достаточно. Ну, мало актуален, скажем так, большинство заказчиков он не интересен, потому что это обычно закрытые производства, где все датчики расположены внутри цеха. И чтобы злоумышленнику начать проводить атаки по этому вектору, необходимо взять и. Подключено подойти к высокотемпературной печи и и начать там с ноутбуком, что нибудь подключаться к ним данная проблема. Но что, разумеется, не актуально для большинства, и поэтому в этом вопросе у нас нет опыта работы.

18:56 Мы перейдем сразу к другим веткам, следующий вектор это. Арм диспетчера потому что. Операторы и диспетчеры-это тоже люди, которые выполняют рабочие процессы. Им необходимо проверять почту, им необходимо передавать, какие то документы, данные возможно подключать съемные носители. И это достаточно актуальный вектор атак, потому что. Атаки методами социальной инженерии очень результативный, если. На компьютере, который расположен технологическом сегменте, настроен доступ к корпоративной почте или еще хуже выход в интернет. Что тоже, кстати, случается достаточно часто, то это становится самой легкой и достижимой целью для любых, а так.

19:55 Ну, через соответственно социальную инженерию. Дальше вектора, так это скада системы, данные системы почти всегда имеют выход в корпоративную сеть. И даже был на нашем практике случай, когда у этой системы был выход в интернет, то есть в хаосе 80 порт. И прокидывался доступ наружу до штатной авторизации ската системы для того, чтобы выдавать учетные данные своим сотрудникам. И они могли из дома наблюдать за технологическим процессом и даже управлять.

20:38 Что являлось, если вернуться к этому случаю большой уязвимости, потому что скады системы достаточно сказа, системах достаточно часто находится в уязвимости. И через тот можно было выполнять произвольный код и как бы вывести из строя технологическую сеть. Далее векторами атак являются корпоративная сеть.

21:05 Тут, в принципе, все то же самое можно получить доступ к к рабочим местам сотрудников через социальную инженерию или сломать точки доступа. Вай фай сети, если они ненадежно устроены. И потом находить пересечение корпоративной сети с технологической и, соответственно, дать в технологический сегмент внешние сервера. Они обычно хоть и изолированные, но это можно. Сказать добавляет просто еще 1 1 область, в которой нужно искать пересечения, то есть где внешние сервера пересекаются с корпоративной сетью и далее пути корпоративные пересекаются. Технологической и организовывать атаку именно таким путем небольшой логический итог этого всего. То, что у нас есть огромное количество точек входа для злоумышленников в нашу.

22:05 Систему это внешний периметр в 1 очередь, потому что он доступен доступен абсолютно всем, и данный данный входа могут воспользоваться все злоумышленники с любой квалификацией и с любым доступом. Вести интернет потом идут вай фай сети, дальше идет точка входа сама сеть. То есть это когда злоумышленник имеет просто доступ в сеть без каких то прав либо на компьютерах, либо учетных данных?

22:46 Соответственно, имеем точку входа, это автоматизированные, это рабочие места сотрудников. Ну и как уже обсудили также элементы технологической сети, могут быть точками входа с нашими функциями системы сервера, тут не случайно выделены. Желтыми желтым, потому что они хоть и не являются точкой входа, но они обычно являются мостиком между корпоративной сетью и технологической. Потому что в серверном сегменте расположены те самые базы данных, которые необходимы для.

23:23 Рабочего процесса обоих элементов нашей информационной системы теперь перейдем к опыту анализа защищенности по анализу защищенности технологических сетей. Он не сильно отличается от взлома каких либо корпоративных сетей, можно сказать он. Даже только из этого и состоит, потому что любая корпоративная сеть состоит из содержит в себе какие то защищенные сегменты сети, которым нужно получать доступ специфика. Тут только в том, что отношения к защищенному сегменту сети нет слегка. Другое в нем нельзя ничего делать, в него нужно только получить доступ тогда, когда производится анализ защищенности корпоративных сетей, то обычно там требуется более глубокие действия по анализу. Из соченых сегментов тоже, из чего они состоят? И какие опасности содержат многие, думают, что взлом систем в современном мире это что то очень сложное и недоступное? Потому что все доклады, которые проводятся на конференциях, исследования найдены уязвимости, они очень высокого уровня и.

24:46 Обычно показывают, как в современном мире хорошо, хорошо развита индустрия обеспечения безопасности и как сложно становится обходить различные механизмы защиты. Это, разумеется, так, но есть, 1 но это справедливо только для тех систем, в которых персонал серьезно занимается своей безопасностью, но обычно это происходит не так.

25:16 Обычно, как происходит взлом какой либо информационной системы, это стандартная теория, потому как проводятся атаки. Каждый излом состоит из 5 стадий, это пассивные стадии, такие как разведка, пассивное сканирование. Дальше идут неактивные стадии сканирования поиска уязвимостей обычно. 2 Этих стадии растягиваются по времени на длительное время, и когда злоумышленники находят лазейки, продумывают внимательно свой вектор атаки, они уже занимаются. Получением доступа с закреплением в системе и сокрытия следов своего присутствия или какого то своего влияния по аналогии со взломом анализ защищенности проводится. Почти так же, но его стадии можно разделить на 3. Это подготовительная стадия, в котором обычно согласуется все действия заказчиком, подготавливается документация.

26:22 И проводятся пассивные виды разведки, сбор информации из открытых источников о объекте, на котором будет проводиться анализ защищенности, после чего проводится. Сам анализ в слом и завершающей стадии является подготовка отчета и по аналогии с открытием следов. Просто удаление любого своего воздействия и всех файлов или.

26:51 Еще того хуже поднятых служб, которые были оставлены в системе. Стандартная ситуация можно назвать то, когда злоумышленник имеет доступ в какую либо сеть, но не имеет. Никаких касс на ней, это достаточно общий уровень абстракции, то есть даже когда происходит взломе сети Интернет. Он начинает с того, что находится уязвимость, в какой. Нибудь внешней системе и получается доступ в сегмент сети с внешними сервисами. То есть та же самая ситуация злоумышленник, в какой то сети, но никаких прав этой сети. Нет, это также аналогично для корпоративной сети. Когда там было был взломан вай фай, и злоумышленник подключился к атомной сети или просто воткнулся в сетевую розетку.

27:45 Мы рассмотрим именно эту ситуацию, потому что все анализы и начинаются именно отсюда. Типовые уязвимости, то есть те уязвимости, которые в нашей. Преду встречаются в 99 я случаев, и с помощью которых удается успешно сломать информационную систему и получить доступ к каким то защищенным. Сегмент 1 уязвимость, это сеть, что сюда входит. Это это означает то, что инфраструктура сети обычно не настроена безопасным образом, обычно установлены. Коммутаторы, в которых в настройках, которых прописаны просто только маршруты или просто включены протоколы динамической маршрутизации, никаких. Дополнительных средств защиты не устанавливается следующая уязвимость, это отсутствие обновлений. Ну, тут все понятно, устаревшие системы с известными. Уязвимостями, которые позволяют сломать, осуществлять зону, ну и 3 уязвимость, это недостатки парольных политик очень часто используются одинаковые. Пароли для большинства административных учетных записей в информационных системах, то есть это пароли от баз данных вот локальных администраторов. Это породы для доменных учетных записей администраторов, зачастую совпадают, что позволяет осуществлять успешный взлом, собственно говоря, как приходит.

29:28 Данный анализ с практической точки зрения он начинается со сбора информации в сети. Когда мы находимся в сегменте сети, мы начинаем слушать Сниффи. В трафике зачастую находится, если тем более если архитектура сети такая, что трафик доступен всем и летает на каждого конечного пользователя. Если если к субботнику подключены к хабом, к примеру, то в этом трафике может содержаться. Много интересной информации для злоумышлений. Это трафик каких то сислоуков, которые содержат учетные записи, это нешипованные тилны от соединения различные файлы конфигурации, которые передаются между серверами и рабочими станциями, ну и соответственно можно.

30:19 Перехватывать трафика в типи серверов ТНС. Трафик каких то веб служб и получать оттуда учетные данные конфигурации Айпедриса? Это если мы говорим про пассивный, снизить, если же. Архитектура Сети немного более сложная и уже настроена сетевые элементы, такие как коммутаторы, маршрутизаторы, то можно применять различные атаки для активного сниффинга. Эти атаки обычно называются флотом поездом или с пуфингом.

30:59 И в 99 ты случаев, как я уже упоминал. Корпоративных сетях не настраивается защиты от данных типа, так то есть можно выбрать любую понравившуюся себе цели и начать. Ее с пуфики и получать тот трафик, который она отправляет и который получает тем самым получить. Какие то дополнительные исходные данные в виде учетных записей?

31:24 Сертификатор после сбора информации идет этап сканирования системы системы сканирование, обычно последует 4 главные цели. Это найти жилые, скажем так, элементы нашей сети, все на которых реально работает железка или виртуальные машины, далее мы.

31:50 Проверяем, какие порты открыты на данных системах, собираем возможные баннеры и сканируем на уязвимости. По банерам почти всегда удается определить версия установленного программного обеспечения и. Найти известные уязвимости для того, чтобы. Как сплотить, если они имеются, потому что внутри сегментов стей? О безопасности каких то систем особенно не думают хедерах каких нибудь реб серверов. Зачастую содержится полная информация даже с кейсингом ошибок и исключений, которые возникают приложений, что позволяет достаточно точно определять версии. Программного обеспечения и софта, который и самой Красной системы, которая работает на данном узле. После сканирования наступает этап получения доступа, многие думают, что между найденной уязвимостью и получением доступа связь ну нет как таковой. Связи потому, что доступ это физически какой то терминал, открытый по большому на системе, чтобы можно было убедить команды. А то, что уязвимость красным уровнем риска, то это никак не связано с напрямую доступом. Но это не так и так, как меня. Просили сказать про инструменты, я упомянул здесь всего 2 основных инструмента, которые используются для получения доступа. Это небезызвестный в Оренбург, на котором можно буквально 1 командой получить полноценный доступ с программы системы.

33:46 На любую известную зиму, с которой это позволяет. Тут стоит отметить опять же, что не все уязвимости одинаковых, потому что редкий случай тех уязвимостей, на которых в открытых источниках есть эксплойты, позволяющие выполнить произвольный код и. Которыми могут пользоваться аналитики при проведении своих анализов, то есть это те эксплойты, которые стабильны, хорошо работают и которые не вызовут еще больше проблем после их эксплуатации. Ну и, собственно говоря, после того как с помощью. Метод сплава это эксплуатирует свою уязвимость, в основном все используют метод. Это достаточно известный и широко используемый швейцарский нож в области шелов, который позволяет на целевой системе выполнять практически все от стандартных. Каких то шиловских команд до таких специфических, как получить снимки веб камеры, сделать скриншота. Сдам пить все возможные пароли хорошо пароли, какие только можно и все это позволяет, позволяет в дальнейшем повышать привилегии в системе.

35:09 Повышение привилегий в этом то и заключается, чтобы получить дополнительные учетные данные с большими правами, которые подходят нам больше систем. Даже если это не пароли в открытом виде, а Хэшет в роли этого зачастую тоже. Достаточно для какой то сетевой аутентификации, используя локальную уязвимость, также зачастую удается повысить привилегии до уровня самой системы. И спокойно уже залазит в память к различным приложениям таким, как Алтук, эпэксэс.

35:51 Которым пользуются многие сотрудники и которые к своей памяти хранит в виде те учетные данные, которые используются для вот идентификации в нем. Потому что механизм аутентификации расположен дальше и из памяти. Вот тут этот секс, это все можно достать после всевозможного повышения привилегий.

36:14 Происходит сбор данных, которые содержатся на системах, которые были взорваны. Это обычно имена компьютеров в списке шар, к которым есть доступ. И получение файлов с этих шар, в которых также могут содержаться какие нибудь конфиденциальные данные, учетные данные списке пользователей.

36:37 Из списка групп, что позволяет осуществлять эффективный атаки по подбору паролей, когда есть список пользователей и какое то уже представление о. Именах, компьютерах и данные в файлах Шарах можно грамотно составлять в списке пароля, по которому будет осуществляться, а так грамотно составлять. Расписание этой атаки, то есть основываясь именно на парольной политики, сколько возможно попыток до заблокирования учетной записи и получая эти данные. Мы опять же повышаем какие то свои привилегии, получаем новые учетные данные, доступ к новым системам. И все это необходимо повторять до тех пор, пока.

37:26 Мы не достигнем своей нужной цели, а именно доступа к изощренному сегменту сети не всегда с 1 цикла. Получается, получить доступ и обычно это требует дополнительных? Шаблов через другие сильные листики, но следующие круги они под трением идут значительно легче. Потому что это как снежный ком накапливается различные права привилегии пароли у злоумышленника и проходить через освещенных сетей. Становится все проще, тем самым.

38:06 Мы поняли примерно, как входят большинство анализов освещенности, как в 99 или случаев. Заламывается операционная система резона, будет вопрос, как защититься хотя бы от этих типовых атак. Универсальный рецепт, он 1, это нужны инструменты для. Защиты защиты и нужны люди, которые будут этими инструментами пользоваться. Ну, к примеру, чтобы защитить свою сеть, это достаточно грамотно настроить сетевое оборудование, использовать различные арпинспекторы, порт, секьюр, механизм парцикью и.

38:50 Другие настройки сетевых сетевых устройств для того, чтобы как отвратить активный с ней фильм для того, чтобы хотеть любой сниффинг и спуфинг, и трагические атаки. По отсутствию обновления, ну всем понятно, что нужно просто регулярно устанавливать обновления и все правильной политикой. Нужно следить, проводить контрольные мероприятия, объяснять пользователям, как правильно. А выбирать пароль, какие пароли лучше использовать и. Это в основном организационные моменты обеспечения безопасности, политику.

39:40 Также рекомендуется устанавливать систему мониторинга для того, чтобы вовремя заметить атаки, которые проводятся, ну и, разумеется, нужны сотрудники, которые. Будут следить за такими атаками, за этим система мониторинга, за межсекретными экранами. И понятно, что это все можно сделать собственными силами, большинство. Компаний к этому идут и достаточно много квалифицированных специалистов, на рынке которых можно нанять, которые все это сделают, купить необходимые средства и. Все будет замечательно сессии, но не все на самом деле так просто. Необходимо также контролирующие контрольные мероприятия для проверки качества этих работ.

40:32 Может возникнуть, кто зачем они нужны, ведь крутые специалисты, они лучше знают, что делать им. За это деньги платят и директором или начальником, который не совсем прямо имеется ввиду этих департаментов, которые. Не всегда. Обладает актуальными знаниями в сфере информационной безопасности. Понятно, как можно это контролировать, и за этим они понимают специалисты, но любые средства защиты они их сложно. Настроить качественно, то есть для того, чтобы не возникало никаких проблем. Тот же порт, порт, механизм порт Хью. Он вызывает неудобства и проблемы с точки зрения обычных пользователей, если.

41:21 Политика и организация в сети. Не устроены должным образом, а если применять инструменты и другие средства защиты не качественно, то возникает много проблем. Это как переполненные логи безопасности, это как. Нескончаемые списки инцидентов, которые никто не просматривает, и никто за ними не следит и удобнее. Зачастую бывает специалистам, обеспечивающий информационную безопасность для сильно. Сложной системы особо не заморачиваться и ничего не делать. Но это актуально не только в сфере безопасности, это актуально в принципе в любой рабочей сфере, потому что все знаем. Что любую работу нужно проконтролировать, так на этом у меня все спасибо за понимание. Я жду от вас вопросов, Сергей, даст спасибо за рассказ, да вот вопросы уже начали поступать.

42:26 Давай тогда я буду их зачитывать, ты будешь на них отвечать. Единственно, что не всегда понятно, какой именно части презентации носился вопрос. Давай зачитаю, потом попробуем разобраться, на что мы просто Антона. По поводу обновлений каких операционных систем прошивок контроллеров конкуриционных процессов прикладного по систему визуализации? Я отпустил момент, когда вопрос был задан. Можешь понять, к чему он относится.

42:57 Ну, я думаю, это достаточно общий вопрос. Какие системы необходимо обновлять, обновлять необходимо все системы, потому что везде? Ну как бы во всех стенах постоянно находится у новой уязвимости, они несут опасность и могут повлечь в слон, ну успешный. Тут, наверное, вопрос отчасти связан с тем, что не всегда есть возможность обновить все, что мы используем прошивки контроллеров. Те же обновление их, это отдельная задача, и все такие обновления, в том числе операционных. Систем, которые используются, например, на каком то ПТК это задача, которая требует от компании, поставляющей. Это как минимум тестирование, что те патчи, которые будут установлены, они не повредят работе самого технологического. Комплекса и здесь, собственно, возникает как раз самая большая проблема, что с 1 стороны заказчик вправе требовать от производителя повышения уровня безопасности. С другой стороны, производители не всегда готовы. Требуемый уровень безопасности обеспечить при этом на практике. Получается такая ситуация, что есть операционная система, какая то она уязвима в ней уязвимость? Известно, но для того, чтобы установить туда, какой то Патч.

44:25 Системного интегратора, выполняющего, например, работы нет таких полномочий. Сам по себе заказчик опять таки не может эти работы выполнить, потому что у него контракт гарантийный, предполагающий не. Вмешательство в работу, а убедить, например, производителя СТП или какого то технологического комплекса и всегда представляется возможным. Потому что если контракт был подписан достаточно давно, то в. Нем никогда ничего подобного не предполагалось, и сейчас мы оказываемся в ситуации, когда делать что то нужно, а что делать непонятно. Ну, это скорее вопрос там чуть выходит за рамки сегодняшняя тема. До сегодня мы говорим больше про техника, тут уже вопрос менеджмента управления, так давайте к следующему вопросу перейдем. Есть ли на рынке продукты, кроме ВСУС, которые процесс обновления упрощают?

45:18 В основном используется софт и оборудование Сименса вот такой, видимо, прикладной вопрос. сожалению я. Не знаю ничего по поводу продуктов на рынке, которые облегчает процесс наказания обновления. Так что я думаю, этот вопрос можно адресовать к нам в почту, и наши специалисты прокомментируют его. Хорошо, спасибо комментарий и вопросов Михаила. Комментарии заключается в том, что парольная политика не спасает. Нужно именно 2 факторов классификации и вопрос, насколько применимы системы до фактом сертификации в ступе если применимы, то какие?

46:05 Да, коллеги, но тут стоит понимать, для чего от чего должна спасать вольная политика. Она, разумеется, не спасает от всего на свете. Она сильно усложняет взлом данной системы, когда не используется, 1 2 3 4 5 6 когда на различных системах. На локальных, что то заблокированы локальные учетные данные администратора или используются различные пароли от этих учетных данных. То это сильно затрудняет взлом и является достаточно существенной препятствием, собственно говоря, для.

46:45 Для быстрого получения доступа в защищенный сегмент сети чем медленнее злоумышленник проводит свою атаку, тем больше вероятность эту атаку. Обнаружить и ликвидировать и поймать злоумышленника система двухфакторная аутентификация в системах ступе. Я опять же никак не могу это.

47:10 Потому что не обладаю нужными данными зданиями. Ну давайте, я про 2 факторов секацию прокомментирую, собственно, технически применимые любые средства, которые. Применимы в корпоративной сети, но если там используются те же операционные системы, да и те же там те же вариант отсекаций 2 фактора в принципе в толгической. Сети можно настроить другое дело, что на практике это вызывает там целый ряд сложностей, ведь зачастую отсутствие пароля работа под 1 учетной записью это. Не только халатность и безалаберность. Да, но это и в принципе, в каком то смысле требование, которое накладывается особенностью самого психологического. процесса и той системы, которой пользователи должны идентифицироваться скорость реакции оператора, какой то установки, она зачастую важна и критична, и. Если для того, чтобы аутентифицироваться и получить доступ ему нужно, ну не знаю. Там самый худший случай ввести какой то одноразовый пароль, который у. нее генерирует отипи Токин, то вот сама эта процедура сильно повлияет на безопасность техпроцесса. Он должен, что то предпринять в него требует ввести. Одноразовый пароль, который он там в воде ошибается, вводит заново. Он пока его водил, он уже на экране поменялся. Ну, то есть вопрос применимости 2 фактора. Сертификации всегда нужно рассматривать в зависимости от того, в каких системах мы аттестируемся в высококритичных системах, в принципе, если мы говорим про. Нахождение внутри защищенного периметра и про наличие каких то дополнительных мер видеонаблюдения, чтобы всегда могли посмотреть, кто конкретно в систему. В это время заходил и работал, можно обойтись и более простыми способами аутентификации. Более того, сколько я помню, пару лет назад даже была статья про то. Что в качестве пароля к ядерному чемоданчику в Америке используется там? Какой то очень простой пароль, состоящий из 8 нулей для того, чтобы в критичной. Ситуации всегда была возможность оперативно отреагировать на происходящее. Так следующий, даже столько не вопрос, как комментарий от Эдуарда к вопросу регулярного. Обновления в технологических сетях инсталляция обновления может привести к остановке производственного процесса и еще корпоративные технологические. Сети не всегда имеют четкого разделения совершенно с вами. Согласен, Эдуарду даже что то дополнительно комментировать очень сложно, так приведите. Пожалуйста, пример системы опосредованного доступа. Вопрос от Леонида, если честно, не до конца понял, в чем этот вопрос. Сергей, я тоже не понял, в чем вопрос.

50:08 А Леонид, если не сложно, Леонид, если не сложно, чуть более подробнее раскройте, что вы хотели спросить? Так еще комментарий у нас получается как бы диалог не столько вопросы, а сколько просто обмен мнениями. Комментарии от его раз так снят, несколько лет атаковал и не сразу его заметили. Ну вот и к вопросу, наверное. Комментарии Сергей к твоему тезису о том, что чем медленнее злоумышленник в системе действует, тем больше шансов обнаружить можешь. Прокомментировать Такса такова несколько лет, но тем не менее это не помогло его обнаружить. Но, насколько мне известно, он не то чтобы. Атаковал несколько лет, он выжидал больше сказать несколько лет, а атаку я имел ввиду именно активные, какие то действия в самой сети злоумышленников для достижения определенной цели, а не пассивное выжидание нужного момента. Спасибо, ну тут я еще бы добавил, что.

51:13 Его и не заметили. В том числе и потому, что не было средств, отходящих, видимо, для мониторинга. Что если бы хотя бы каким то образом проверялась целостность систему СТП? Как то контролировать, какие то аномалии, отклонения от эталонного состояния, то это можно за уж несколько лет, это точно такое можно было сделать. Так, а вот да, Леонид чуть подробнее раскрыл свой вопрос. Зачастую после аудита 1 из типовых рекомендаций по итогам аудита использовать системы. Опосредованного доступа из корпоративной сети в технологическую вопрос был в том. Именно приведите пример такой системы опосредованного доступа.

51:56 Сергей, ответишь или Ну, как я понял, это самый простой пример, который я упоминал. Это какой нибудь межсетевой экран, который не дает прямой доступ, а но? Через который можно посредством випен соединений получать с некоторых узлов. Носите доступ на к кузовам другой другого сегмента сети.

52:19 Да, спасибо, Сергей, я могу еще здесь прокомментировать. У нас буквально недавно вышел пресс релиз о том, как мы выполнили работу по разделению технологической и корпоративной сети в интересах компании ЕВРАЗ. Есть там общая какая то информация в тексте. Пресс релиза есть у нас описание истории успеха и был ряд статей, в том числе с достаточно подробными техническими описаниями того, на базе каких типов решений конкретно был этот вопрос по разделению технологической корпоративной сети, там решен.

52:55 Выбивается за рамки сегодняшнего вебинара и без слайдов. Тяжело показать пример таких решений, но для них, если интересно, можем с вами после просто связаться информацию об этом. Я вам пришлю, и, возможно, кстати, даже нам есть смысл. Провести вебинар, посвященные в принципе вот эта задача по разделению, потому что она 1 из основных так, чтобы закончить с со стакснетом. Егор комментирует, что результат был выведения из строя центрифуг по обогащению урана.

53:26 Действительно, так и было. Вопрос от Булата про нагрузочное тестирование. Что это, что здесь имеется ввиду? Сергей, расскажу так подробно, что это за услуга, что сам собой представляет это услуга эта услуга. Представляет тестирование информационных систем, она актуальна в основном для внешних сервисов, которые имеют доступ к сети Интернет. Результат этого тестирования показывает, насколько устойчива данная система к проведению атак по определенным. Также она дает подробную аналитику, сколько одновременных соединений, различные элементы данной информационной системы.

54:13 Имеет как бы эффективно параллельно. Обслуживать, но эта часть может быть актуально в технологических каких то системах, которые предоставляют аналитику прямо в интернет в виде графиков общей информации для того, чтобы понять. Есть ли опасность выведения данной системы из строя? Хорошо, спасибо, Сергей, так вот вопрос все таки еще раз про средства посредного доступа. Является ли Майкрософт Липиен таким средством, можно ли использовать Майкрософтный випиен для разделения технологической и корпоративной сети?

55:03 Наверное, в каких то, с какими то ограничениями, с какими то оговорками, наверное, так можно сказать, другое дело, что? Вопрос всегда в архитектуре конкретной системы, а самое главное в той информации, которая должна проходить. Проходить между корпоративной сетью и технологической. Если там вообще какой, то обмен информацией, когда мы говорим про решение Майкрософт Пипен, скорее всего, мы говорим все таки. Про задачу удаленного администрирования технологической сети, когда у нас есть человек, который может поднять, получить доступ временных корпоративную сеть, пройти аутентификации вот. Здесь, кстати, решение фактор аттестации как раз отлично подойдут и выполнить какие то работы. Когда же мы говорим про разделение сетей, то предполагается, что эти сети все время между. собой чем то обмениваются, какой то поток информации идет и технологии ВПК. Вот по крайней мере там и кроссовки, когда у нас клиент подключается к сети. Это немножечко неподходящее, и.

56:07 Здесь скорее может речь идти о чтивых экранах. Как говорил уже, Сергей упоминал речь, может идти о каких либо однонаправленных шлюзах. Диодах по другому называют либо, в том числе это может быть вариант какого то терминального доступа там посредством каких то виртуальных. Дестопных рабочих станций, ну опять же подчеркну, что здесь отдельно большой разговор и нужно там и в рамках этого вебинара. Про это говорить так, коллеги, но по времени СКА сейчас закончился. Сергей, спасибо тебе за рассказ, спасибо всем, кто задавал вопросы у нас.

56:51 Следующий вебинар состоится опять таки ровно через неделю говорить. Мы будем про другой аспект, связанный с аудитом, мы будем говорить про классификацию систему СТП. У нас есть требования по выполнению такого такие. Такой работы в 31 приказе в СтЭК и, соответственно, про особенности этого процесса, про какие то тонкие моменты, связанные с этой классификацией, как ее. Проводить, как к ней подходить, ну и, собственно, в следующий раз и поговорим. Важность, как бы это она понятна в зависимости от того, как мы классифицируем. Свою страну у нас будет проявляться к ней разный набор защитных мер и мероприятий в зависимости от собственно ее класса, вот поэтому приглашаю. Всех на наш очередной вебинар через неделю большое, еще раз все спасибо. Коллеги Сергей тоже, спасибо и всем, до свидания, всем до свидания коллег.

Расшифровка сделана автоматически (Yandex SpeechKit) и может содержать ошибки в терминах.