С чего начать защиту производства от кибератак

Редакция

Сергей Сидоров, руководитель отдела сервисов промышленной безопасности «Лаборатории Касперского», рассказал, какие базовые меры помогут снизить риск кибератак на промышленную инфраструктуру.

Полный разбор доступен по ссылке:

Слабые места в контуре производства

«Любое производство остаётся потенциальной целью для злоумышленников. Часто станки и контроллеры взаимодействуют через промышленные протоколы, которые создали десятилетия назад.

Тогда разработчики даже представить не могли, что оборудование может являться целью атаки злоумышленников, поэтому не рассматривали возможность использования функций защиты. Более того, используемые логины и пароли для доступа к оборудованию могут быть прописаны в технической документации, которая доступна в интернете — там её легко находят злоумышленники.

При этом изолированная промышленная сеть — скорее миф.

За 12 лет практики я встречал по-настоящему изолированный контур лишь раз, и в этом случае физического подключения между корпоративной и промышленной сетью действительно не было. Обычно такое подключение существует — вопрос в том, как оно настроено и контролируется.

На схеме показано, как можно проникнуть в инфраструктуру корпоративной и промышленной сети:

Продолжать список можно долго, но для защиты производства не нужно превращать его в неприступную крепость. Нет абсолютной безопасности: безопасность — это процесс.

Большинство злоумышленников не будет изобретать уникальные способы компрометации — это дорого и долго. Скорее, они попробуют зайти через самые уязвимые места. Если это не сработало, переключатся на менее защищённую компанию.

Поэтому задача предприятия — увеличить стоимость атаки: когда затраты злоумышленника перестают окупаться, он теряет интерес.

Увидеть самые уязвимые места в инфраструктуре помогает тестирование на проникновение. Его проводят специалисты по информационной безопасности внутри компании или подрядчики.

Какие меры нужны для профилактики атак

Тестирование на проникновение выявляет конкретные уязвимости. Параллельно с их устранением стоит выстраивать постоянные меры защиты.

Проведите техническую инвентаризацию. Соберите список всех ваших ресурсов, у которых есть доступ в сеть — от приложений до конвейеров и ТСД. Всё, что не используете, отключите, чтобы уменьшить число точек входа для злоумышленников.
Внедрите двухфакторную аутентификацию. Это когда помимо пароля пользователь подтверждает вход в учётную запись вторым фактором. Например, при подключении к ERP сначала вводит пароль, а потом код из push-уведомления на телефоне. Если злоумышленники украдут доступ, второй этап защиты они не пройдут.
Ограничьте доступы. Если у сотрудника есть доступ и к корпоративной, и к промышленной сети — злоумышленник, укравший его аккаунт, пройдёт от почтового сервера до контроллеров на производстве. После проникновения злоумышленники перемещаются по сети именно под чужими аккаунтами, поэтому чем меньше доступов у каждого — тем длиннее путь злоумышленника.
Настройте демилитаризованные зоны (DMZ). DMZ — буферная зона между сегментами сети с ограниченным доступом в обе стороны. В DMZ выносят все программы, которые доступны через интернет. Кроме этого, DMZ нужна между корпоративной и производственной сетями: корпоративная сеть для производственной является недоверенной, и доступ между ними должен быть ограничен.
Контролируйте настройки оборудования. На контроллерах, которые управляют промышленным оборудованием, есть аппаратные ключи защиты. Например, на контроллерах Siemens S7 физический переключатель определяет, можно ли перезаписать прошивку. Если ключ стоит в режиме «настройка», злоумышленник может заменить прошивку и превратить контроллер в кирпич. Переключение в режим «run» блокирует эту возможность.
Обучайте сотрудников базовой кибергигиене. Персонал может оставить точки входа для злоумышленника по незнанию или невнимательности. Проводите регулярные тренинги: как реагировать на подозрительные письма, что можно и что нельзя скачивать на рабочие устройства.

Важная часть профилактики кибератак — следить за действиями злоумышленников в сети компании.

Этим занимается внутренний отдел кибербезопасности или подрядчик. Такой контроль позволяет своевременно выявлять подозрительную активность и обнаруживать попытки получить первоначальный доступ к инфраструктуре. Чем раньше будет замечена атака, тем больше времени останется на её сдерживание и предотвращение возможного ущерба.

Что делать, если атака уже произошла

Инциденты случаются даже при выстроенной защите. Главное — не усугубить ситуацию. Ни в коем случае нельзя удалять данные на заражённом компьютере: это уничтожит следы, по которым можно восстановить картину атаки. Стоит изолировать заражённую машину от сети, лучше всего — выключить её.

После этого необходимо обратиться к экспертам по расследованию инцидентов — внутри компании или внешним специалистам. Они определят, как произошло проникновение, и помогут восстановить работоспособность».