Урок 15. Информационная безопасность

0:19 Здравствуйте, в сегодняшнем видеоуроке мы с вами поговорим о средствах информационной безопасности в ПЛК Регул, а также рассмотрим работу. С протоколом сислок начнем в 1 очередь рассмотрим уровень безопасности, относящийся к экземпляру самого контроллера для этого зайдем в.

0:40 Раздел пользователи и группы. Обновим информацию. В настоящий момент я уже подключен к конкретному экземпляру контроллера, и здесь мы наблюдаем, что у нас уже присутствует пользователь под названием 1. Он является администратором и других пользователей, мы пока не добавляли. Данному пользователю доступно все, то есть он может изменять проект, компилировать его и загружать данные изменения непосредственно в контроллер. Сейчас мы создадим пользователя с ограниченными правами.

1:23 Нажимаем добавить. Пользователь у нас будет называться. Юзер плц. Приставка ПЛЦ будет нам напоминать о том, что этот пользователь настроен именно в рамках безопасности контроллера. Потому что далее мы также будем еще говорить о безопасности проекта. Пароль зададим 2 подтверждение 2. И добавим нашего пользователя нового мы в группу вотч. Теперь мы видим, что в группе Вотч содержится наш новый пользователь. Чтобы сменить текущего пользователя, необходимо зайти в меню онлайн, безопасность отключить текущего пользователя устройства. Отключаем, закрываем таргет устройством.

2:27 Открываем его заново, к контроллеру мы сейчас не подключены. Я сейчас буду осуществлять соединение непосредственно по конкретному айпи адресу, нажимаю энтер. И запрашивается пользователь и пароль. В начале еще раз проверим, что для администратора у нас доступны все функции. Присоединились к контроллеру с правами администратора. Открываем программу, вносим какие либо изменения. И нажимаем плагин. Допустим, выполним онлайн загрузку. Мы видим, что произошло успешное подключение к контроллеру значение переменной д 1 на стороне контроллера. Равно 6 давайте запишем какое нибудь иное значение, например, 9.

3:37 И теперь запишем непосредственно его в контроллер. Запись успешно разведена. Теперь можем остановить контроллер. Обратно перевести его в режим старт, то есть у нас все функции работают. Отключаемся от контроллера. Отключаем пользователя. Закрываем таргет устройство, открываем его заново. И снова подключаемся. Теперь укажем нашего нового пользователя, которого мы добавили в группу вотч. Юзер ПЛЦ и пароль 2. Подключение удалось теперь попробуем проделать те же самые операции.

4:52 Попробуем для начала, ничего не меняя, просто подсоединиться к нашему контроллеру. Подсоединение успешно, теперь давайте попробуем записать измененное значение переменной пример 15. И мы видим, что у нас возникает запрос для введения иного пользователя и пароля, у которого будет достаточно полномочий для осуществления в данной операции. То есть у нас сейчас прав, на это не достаточно? Давайте попробуем остановить контроллер, нажимаем стоп. Также возникает данное окно, потому что на эту операцию также у нас прав недостаточно.

5:51 Отключаемся от контроллера, попробуем внести какие либо изменения. Проект мы успешно сохранили, но теперь этот измененный проект мы попробуем записать на контроллер. Нажимаем логин. Соглашаемся на онлайн, изменение происходит успешная компиляция проекта, но в момент попытки записать апликейшен на контроллер. Опять же мы сталкиваемся с ограничением и. На права пользователя и для того, чтобы осуществить эту операцию, мы должны уже указать пользователя, 1 у которого есть права администратор.

6:40 И вот только в этом случае у нас операция успешно прошла аналогичным образом. Вы можете добавлять и других пользователей можно достаточно гибко задавать им права. Для этого необходимо зайти непосредственно на закладку права доступа обновить.

7:02 И здесь мы видим для конкретного элемента в. Дерево. Наших программных компонентов есть настройки для каждой группы. Ну вот, в частности, мы видим, что для группы воч почти все. Функции закрыты. Их можно настраивать вручную, то. То есть серый знак означает, что права, унаследованные от более высокого уровня иерархии от корневого, а цветной значок, означает, что права непосредственно разрешены или запрещены для конкретного элемента, игнорируя более высокий уровень иерархии.

7:59 Данные права необходимо будет задавать персонально на каждом конкретном контроллере. И если вы хотите задать одних и тех же пользователей. На несколько контроллеров то можно воспользоваться кнопкой сохранить на диск. То есть вы сохраняете весь набор прав в отдельный? Файл, и потом его загружаете уже на следующем контроллере, но при этом пароли все равно потребуется заводить каждый раз заново. То есть пароли в этом файле не сохраняется? Теперь поговорим о безопасности на уровне самого проекта, для этого зайдем в меню проект.

8:36 Установки проекта Здесь у нас есть раздел безопасность. По умолчанию выбран уровень проверки проверки целостности нашего приложения, то есть автоматически вычисляется контрольная сумма. Мы можем выбрать вариант шифрования, при этом весь проект будет храниться на диске в зашифрованном виде, и мы можем выбрать, каким образом мы будем осуществлять. Доступ к нашему проекту самый простой и наиболее часто используемый способ. Это обычный пароль, при этом задав пароль на проект, вы его, конечно же, должны. Запомнить и в случае, если вы его потеряете, то никаким образом уже восстановить пароль будет невозможно. Проект у вас будет утрачен навсегда, поэтому очень. Важно пароль хранить в надежном месте, также возможно шифрование при помощи электронного ключа или с использованием специальных сертификатов безопасности.

9:45 Мы будем с вами использовать обычный пароль. Давайте зададим пароль 1 2 3. Сохраняемся. Закрываем. Наш проект. И теперь открываем его заново. Вот и при открытии сразу запрашивается пароль, если мы вводим неправильный пароль. То, соответственно, проект не открывается.

10:55 Проект мы вновь открыли, теперь давайте попробуем создать пользователя самого проекта и ограничим ему право в настоящий момент, если мы посмотрим. Вот сюда в статусную строку мы видим, что пользователь у нас называется никто. Это значит, что политика пользователь проекта сейчас не используется.

11:19 Можно всегда нажать сюда дабл кликом и при этом ввести конкретного пользователя и пароль. Пока сейчас мы этого делать не будем, но. Давайте зайдем в проект. Установки проекта Пользователи и группы. По умолчанию всегда есть пользователь ОВнер, это владелец проекта, у него присутствуют полные права на любые изменения. Также присутствует. Группа Эврива. Которая переводится как все, ну и естественно, что наш Ковнер он является членом сразу обеих этих групп, создадим еще 1 группу.

12:12 Назовем ее вотч. То есть, несмотря на то, что название группы совпадает с тем, что мы видели в правах у самого контроллера? Это все таки именно другая группа, относящаяся к правам именно на проект тут. Можно по русски написать наблюдателем? Для осуществления этого действия нам необходимо указать пользователя, от имени которого мы это действие осуществляем пользователь. По умолчанию у нас овна, давайте его и запишем я. Пароль на текущий момент у него не задано, ставим пустой нажимаем окей и.

13:12 И группа у нас создана. Давайте для нашего Овнара зададим новый пароль, например, единица, также как для администратора самого нашего контроллера. Прежний пароль пустой. Пароль 1 здесь также 1.

14:01 Теперь мы добавим еще 1 пользователя. Назовем его, Юзер, продж, то есть это у нас уже будет пользователь проекта. Пароли мы зададим 2. И добавим его в группу вотч. Опять же делать мы, это должны с правами администратор. Сейчас у нас пароль уже задан единица, указываем единицу. Пользователь успешно добавлен. Теперь необходимо ограничить эту группу в правах. Мы можем зайти непосредственно на приложение Правая кнопка свойства. Самая последняя закладка контроль доступа.

15:16 И теперь укажем что? Для всех пользователей. У нас запрещены все права.

15:58 Нажимаем применить, ну или сразу окей и теперь. И теперь, если мы зайдем в любую программу, допустим, ПЛЦ ПРГ. Контроль доступа мы видим, что у нас унаследованные родительские права, то есть доступ запрещен и на чтение, и на изменение вообще любой доступ. Мы хотим для пользователя вотч разрешить. И просмотр, и редактирование программы ПЛЦ ПРГ. Ну, Ну, допустим, удалять будет нельзя. Поставим вот так. А для программы ПРГ админ мы разрешим только просмотр.

17:27 Теперь Давайте попробуем посмотреть, как это выглядит с точки зрения разных пользователей. Сейчас мы подключены пользователем огнар, то есть у нас доступны любые права. Мы можем зайти непосредственно в программу и и увидеть, отредактировать. Сохранить. У нас все работает, как обычно, теперь мы заходим вот сюда, Дабл Кликом. Войти под другим пользователем. Убираем нашего нового пользователя. Теперь мы видим из пользователя видеопрош, и если мы это здесь.

18:21 Открываем, открываем программу программин, пытаемся внести какие то изменения. Я уже не могу ничего удалить, сразу возникает окно с запросом для введения нового пользователя и пароля, у которого прав на кредиты будет достаточно. А если я родился? То я без проблем могу, что то поменять. Если же я пытаюсь зайти в руке, для которого я права не сдавал, а унаследованы они, как мы помним, от вышестоящего предложения, то есть все остальное запрещено. Нет, даже прав на просмотр, то есть, например.

19:17 По таз на высоте я даже не могу увидеть настройки. Если я сейчас себя введу. Опять вижу, Родж. То, конечно же, ничего не изменится. И для того, чтобы вновь вернуть полные права, я опять же могу завести пользователя мощь и. Точнее пользователем Овер. Ставлю 1 И теперь у меня уже появится. Полный. Теперь мы войдем под новым пользователем Юзер Продж. Пароль 2 Вот мы видим текущий пользователь, изменился и теперь еще раз закроем. Если мы заходим в ПЛЦ ПРГ, то у нас доступны полные права, в том числе на редактирование.

20:31 Но если мы зайдем в пароходмин, попробуем внести какие то изменения вот. Вот то сразу же при попытке удалить какой либо символ возникает запрос для введения иного пользователя, у которого полномочий будет достаточно. Но при этом просматривать мы программу можем. Если же мы зайдем в иной объект, например, в задачу, для которой мы права не задавали, то даже открыть этот объект. Мы уже не сможем, потребуется введение пользователя и пароля, давайте введем овна. Кстати, обратите внимание, что Овна пишется с большой буквы, это важно и.

21:21 Вот и теперь мы получили полный доступ к нашей задаче более подробно. Мы можем посмотреть все права на элементы нашего проекта через меню. Проект Управление пользователями права доступа вот. Вот здесь мы можем раскрыть дерево объектов нашего проекта. Допустим, права на изменение. И мы видим полную иерархию, и для каждой программы также можем посмотреть, что разрешено, на что запрещено. Но так как я показал в начале, действовать намного удобнее, когда мы непосредственно выбираем сначала объект, для которого мы хотим задавать. Права заходим в его свойства и уже непосредственно здесь выбираем закладку контроля доступа. Задания пользователей для вашего проекта удобно, например, в тех случаях, когда вам необходимо передать ваш проект, каким то людям для того, чтобы. Например, проанализировали определенный участок кода, но при этом вы не хотите раскрывать все остальные ваши программные модули. В таком случае можно все скрыть и оставить именно только на чтении либо чтение + редактирование того фрагмента. Который вы хотите продемонстрировать, теперь давайте поговорим о фильтрации сетевых пакетов на контроллерах. Регул для фильтрации сетевых пакетов применяется так называемый пакетный фильтр. Он настраивается в файле ПФ Конф, который хранится.

23:06 Через закладку файлы можем посмотреть на контроллере, который хранится в папке Етц, так после. Так, пользователь 1 1. Етц, и здесь у нас имеется файл ПМФ ПФ Комф. Я подготовил чуть более расширенный файл ПФ Конф. И давайте рассмотрим, какие здесь есть правила, каким образом они применяются. В начале мы задаем список разрешенных Ай Пи Адресов, назовем его следующим именем Айпи Вайт. Лист паблик и здесь перечислим всю подсеть, 29:23 то есть через Слэш. Указывается маска и также еще дополнительно какой нибудь айпи. Адрес из другой подсети, естественно, можно через запятую прописывать и дополнительные адреса и.

24:15 Также создадим другой список под названием Айпи лайк лист админ, в него войдет только 1 айпи адрес. На текущий момент это айпи адрес моей сетевой карты. Через которую я осуществляю подключение к контролю. И также. Ниже мы видим. Строки С. Оператором Сет, который используется для, ну правильно, это называется опция, которая используется для. Игнорирования правил для определенных интерфейсов, то есть в данном случае интерфейс локальный, который 127 0 0 1 мы хотим проигнорировать и также интерфейс для работы по нашей шине для колбас.

25:09 Далее идет правило блок ОЛ, которая блокирует все пакеты. Ниже Перечислены ти си пи порты, которые наиболее часто используются для работы с контроллером. В частности, мы видим порты для подключения со стороны среды разработки порты для Макбасса для 104 протокола НТП и так далее. Также вот здесь мы задаем перечни определенных портов и именуем их конкретным названием. Ниже идет правило, которое разрешает входящие пакеты с определенных машин на конкретные порты из списка, в частности. Вот эти вот 2 правила разрешают подключение со стороны Астро Ивье.

26:09 То есть, как мы видим, здесь у нас применился именно список Айпи. Войт Лист Админ, вот этот, то есть подключение со стороны среды разработки будет разрешено только для данного айпи адреса. И очень важно понимать, каким образом происходит применение всех правил, то есть в начале. Используется верхнее правило и дальше для конкретного пакета используются все последующие правила условиям, которых данный пакет удовлетворяет. То есть в итоге, несмотря на то, что мы блокируем все пакеты, данное правило для конкретных пакетов все таки разрешит.

26:52 Прохождение. Ниже у нас. Разрешаются пакеты уже из песка в атеист паблик. Вот это он. Соответственно, в данной строке мы пропускаем пакеты и ЦМП, в частности, пинги. На все ай пи адреса из этого списка. Благодаря этой строке мы пропускаем все входящие и цен по пакеты, в частности пинги. С данного списка Ай Пи адресов на любые наши внутренние. Внутренние адреса, которые назначены на сетевые карты самого контроллера, аналогичная строка для ти си пи протокола, но здесь мы уже.

27:53 Разрешаем доступ только на конкретные порты, которые будут взяты из вот этого списка. И то же самое для УДП пакетов. Для удобства иногда можно воспользоваться отдельным файлом для хранения списка портов или айпи адресов, в частности, есть такая строка, но. Сейчас она у нас закомментирована, поэтому мы явным образом все наши порты и айпи адреса указываем непосредственно в данном файле ПФ ком.

28:29 Далее. У нас есть правило, которое разрешает исходящие пакеты на хосты из белого списка. И важно понимать, что Если присутствует какая либо ошибка в файле ПФ ком, то он целиком не будет применяться и посмотреть по факту, есть ли ошибка или нет, можно в файле. Систем лук. После применения нашего пакетного фильтра. Итак, Давайте запишем наш файл на контроллер. Пайфконф копируем поверх. И сразу после того, как файл скопировался, он уже применяется на контроллере. То есть каких либо дополнительных действий, например, перезагрузки контроллера не требуется?

29:51 Давайте попробуем подключиться к нашему контроллеру. Подключение успешно, потому что в файле Паев ком был указан Ай Пи адрес, 40 который соответствует моей сетевой карте. Теперь отключимся от контроллера.

30:28 И изменим айпи адрес моей сетевой карты. Например, на 39. От сеть осталось та же самое. И вновь пытаемся подключиться к контролю. Как мы видим, попытка неудачна. И даже если мы нажмем сканировать сеть в сканере, этот контроллер мы также не увидим. Теперь возвращаем. Ну давайте еще раз для надежности убедимся, что подключение невозможно. Да у нас ничего не получается. Меняем обратно, Ай Пи адрес на 40.

32:03 То есть вам здесь явным образом, он именно он у нас указан? И теперь вновь соединимся. И естественно, пароль нам также нужно будет ввести. Вот. Вот. Как мы видим, фильтрация пакетов успешно работает. Теперь давайте посмотрим непосредственно на файл систем блок, по которому мы должны определять, успешно ли применились правила или нет. Заходим в файлы. Папка Локс. Папка Логер, вот он систем блок копируем. Открываем. Переходим в самый низ файла. И видим, у нас присутствует строка Рело 1 пакет фильтр Руис.

33:43 Которая у нас свидетельствует об успешном применении правил из этого файла. Теперь давайте специально допустим какую нибудь ошибку и посмотрим, какое сообщение возникнет в данном блоке.

34:05 Переходим в наш рывком. И, например, давайте для задания диапазона портов применим другой символ вместо двоеточия напишем. - Сохранились. Так сейчас мы обновим информацию, было 12:41 файл, не собновился. Вновь копируем наш ПФ Конф на контроллер. Скопировали, он уже сразу применился. И теперь. Еще раз заберем систем лок.

35:43 Переходим вниз. И мы видим, что самая нижняя строка у нас сообщает об ошибке. Указывается конкретно номер строки внутри файла ПФ ком, где ошибка обнаружена и указывается, что они известный диапазон портов. В таком случае, повторюсь, полностью все содержимое файла ПФ комп не применяется. Теперь давайте поговорим еще о маршрутизации. На контроллере может иметься файл Роутерс. По умолчанию. Данный файл в папке и ТЦ отсутствует. Но мы можем его самостоятельно создать и записать на контроллер. Я его сейчас записывать не буду, так как у меня отсутствует дополнительное сетевое оборудование. В мы можем посмотреть суть работы маршрутизации на Слайде.

37:12 Справа у нас указано содержимое файла Роутерс. И с левой стороны указаны ай пи адреса для всего нашего сетевого оборудования, которое участвует в информационном обмене. У нас имеется 2 контроллера, у них настроено по 2 сетевых интерфейса. У каждого контроллера 1 сетевой интерфейс находится в Подсети 192 168 1 и. 2 Интерфейс подсети, 192 168 2 соответственно, у левого контроллера айпи адреса заканчиваются на 10 у правого. На 11 у нас имеется 2 маршрутизатора.

38:02 2 Сервера, ну, например, это серверы со Скадой системой, которые получают данные с контроллеров и на сервер на серверах, у нас также имеется по. 2 Сетевых интерфейса таким образом с каждого контроллера данные могут приходить на каждый из серверов 2 путями через 1 сетевой интерфейс.

38:26 Мы, соответственно, используем в данном случае 1 строчку, то есть мы хотим попасть на 1 сетевой интерфейс нашего сервера, находящегося в другой подсети 172 16. И мы указываем, что пакеты на данный интерфейс мы должны маршрутизироваться через некое стороннего устройства с айпи адресом 192 168 1. 1 В данном случае это вот этот маршрутизатор, ну а соответственно, сам этот маршрутизатор, он уже должен знать маршруты до данной темы. Сети и через 2 интерфейс, который у нас с двоечкой.

39:09 У нас пойдет маршрутизация через. 2 Маршрутизатор, который имеет Айпи адрес 2 31 вот этот. То есть таким образом вход на этот сервер хоть на этот сервер на 2 интерфейс мы будем попадать именно через 2 маршрутизатор? Ну и те же самые правила будут применяться и для правого контроллера. При этом на дополнительные машины, у которых только по 1 сетевому интерфейсу также в отдельный посетить мы будем попадать уже благодаря вот этим 2. Нижним правилом соответственно только по 1 конкретному маршруту, то есть на правую строится через правую маршрутизатор и на левую строку через левую.

39:56 Более подробную информацию о настройках пакетного фильтра и правила маршрутизации. Вы можете посмотреть, как в нашей документации, так и самостоятельно найти дополнительную информацию. В сети Интернет в принципе у нас используются стандартные правила, применимые для любых Линукс и Юникс систем. На сегодня это все спасибо за внимание, увидимся в следующих видеоуроках.

Расшифровка сделана автоматически (Yandex SpeechKit) и может содержать ошибки в терминах.