Проект приказа ФСТЭК по защите информации в АСУ ТП

Требования ФСТЭК по защите информации в АСУ ТП

Лукацкий Алексей, консультант по безопасности

Почему Cisco говорит о законодательстве?

ТК22 ТК122 ТК362 РГ ЦБ

«Безопасность ИТ» (ISO SC27 в

России)

«Защита информации в кредитных

учреждениях»

«Защита информации» при ФСТЭК

Разработка рекомендаций по ПДн, СТО БР ИББС v4 и 382-П/2831-У

ФСБ МКС ФСТЭК РАЭК РКН

Экспертиза документов Предложения Экспертиза и

разработка документов

Экспертиза и разработка документов

Консультативный совет

КРИТИЧЕСКИ ВАЖНЫЕ ОБЪЕКТЫ

Последние изменения по направлению КВО

•  Постановление Правительства №861 от 02.10.2013 •  Законопроект по безопасности критических информационных инфраструктур –  Будет вноситься в ГД в апреле 2014

•  Реализация Основных направления государственной политики в области обеспечения безопасности автоматизированных систем управления производственными и технологическими процессами критически важных объектов инфраструктуры Российской Федерации

•  Указ Президента №31с «О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ»

•  Разработка нормативных документов во исполнении законопроекта по безопасности КИИ и основных направлений госполитики

ВВЕДЕНИЕ В КАТЕГОРИРОВАНИЕ КИИ

Категорирование объектов КИИ

•  Субъекты КИИ на основании установленных критериев и в соответствии с утвержденными показателями этих критериев, осуществляют отнесение принадлежащих им на праве собственности или ином законном основании объектов КИИ к установленным категориям

•  Критерии –  критерий экономической значимости –  критерий экологической значимости –  критерий значимости для обеспечения обороноспособности –  критерий значимости для национальной безопасности –  критерий социальной значимости –  критерий важности объекта КИИ в части реализации управленческой функции;

–  критерий важности объекта КИИ в части предоставления значительного объема информационных услуг

Категории объектов КИИ

•  3 категории объектов КИИ –  объекты критической информационной инфраструктуры Российской Федерации высокой категории опасности

–  объекты критической информационной инфраструктуры Российской Федерации средней категории опасности

–  объекты критической информационной инфраструктуры Российской Федерации низкой категории опасности

Что делать с категориями?

•  Направить в ФСБ 1 категория •  Направить в ФСТЭК 2 категория •  Направить в ФСТЭК 3 категория

•  ФСБ или ФСТЭК могут не согласиться с установленной категорией –  На проверку дается 3 месяца

•  При несогласии возврат документов о категорировании на доработку с указанием мотивированного отказа

•  При согласии – включение в реестр объектов КИИ, которые ведутся ФСТЭК и ФСБ в рамках своих полномочий

ВВЕДЕНИЕ В ТРЕБОВАНИЯ ПО БЕЗОПАСНОСТИ

5 требований по безопасности

1.  Организационные вопросы безопасности 2.  Требования к персоналу, непосредственно обеспечивающему

функционирование и безопасность объектов КИИ 3.  Требования к защите от вредоносного программного обеспечения

и от компьютерных атак 4.  Требования безопасности при взаимодействии с сетями связи

общего пользования 5.  Требования к обеспечению безопасности информационных

технологий в ходе эксплуатации информационно-телекоммуникационных систем

•  ФОИВы могут устанавливать дополнительные требования по обеспечению безопасности объектов КИИ по согласовании с ФСБ и ФСТЭК соответственно

•  Субъекты КИИ могут дополнять непротиворечащие закону требования по безопасности

Система безопасности объекта КИИ должна включать

•  Предотвращение неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения информации, а также совершения иных противоправных действий по отношению к информации, обеспечивающей управление и контроль за технологическими процессами КВО

•  Недопущение воздействия на технические средства обработки информации, в результате которого может быть нарушено или прекращено КИИ

•  Реагирование на компьютерные инциденты •  Возможность незамедлительного восстановления информации и функционирования объекта КИИ

•  Создание и хранение резервных копий информации, обеспечивающей управление и контроль за технологическими процессами КВО

•  Непрерывное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ

КСИИ ИЛИ АСУ ТП?

АСУ ТП – это подмножество КСИИ

•  Ключевая (критически важная) система информационной инфраструктуры – информационно-управляющая или информационно-телекоммуникационная система, которая осуществляет управление КВО (процессом), или информационное обеспечение таким объектом (процессом), или официальное информирование граждан и в результате деструктивных действий на которую может сложиться чрезвычайная ситуация или будут нарушены выполняемые системой функции управления со значительными негативными последствиями

•  Автоматизированная система управления производственными и технологическими процессами КВО инфраструктуры РФ – комплекс аппаратных и программных средств, информационных систем и информационно-телекоммуникационных сетей, предназначенных для решения задач оперативного управления и контроля за различными процессами и техническими объектами в рамках организации производства или технологического процесса КВО

Отнесение систем к КСИИ

•  КСИИ делятся на группы –  Системы сбора открытой информации, на основании которой принимаются управленческие решения

–  Системы хранения открытой информации –  Системы управления СМИ –  Системы управления критически важным объектом

•  Требования по обеспечению безопасности информации в КСИИ отличаются в зависимости от их типа и между собой не пересекаются (!!!) –  1-й тип – системы сбора и хранения открытой информации, а также системы управления СМИ

–  2-й тип – системы управления критически важными объектами

Требования по защите КСИИ 1-го типа

Группы требований Уровень важности КСИИ

3 2 1

Управление доступом 1Г 1В 1Б

Регистрация и учет 1Г 1В 1Б

Обеспечение целостности 1Г 1В 1Б

Обеспечение безопасного межсетевого взаимодействия в КСИИ 4 3 2

Уровень контроля отсутствия НДВ 4 3 2

Антивирусная защита + + +

Анализ защищенности + + +

Обнаружение вторжений + + +

Требования доверия к безопасности + + +

Требования по защите КСИИ 2-го типа

Группы требований Уровень важности КСИИ

3 2 1

Планирование обеспечения безопасности + + +

Действия в непредвиденных ситуациях + + +

Реагирование на инциденты + + +

Оценка рисков + + +

Защита носителей информации + + +

Обеспечение целостности + + +

Физическая защита и защиты среды + + +

Безопасность и персонал + + +

Информирование и обучение по вопросам ИБ + + +

Защита коммуникаций + + +

Аудит безопасности + + +

ВВЕДЕНИЕ В ПРОЕКТ ПРИКАЗА ФСТЭК ПО ЗАЩИТЕ АСУ ТП

Проект нового приказ ФСТЭК

•  «Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды» –  Ориентация на объекты ТЭК, транспортной безопасности, использования атомной энергии, опасных производственных объектов, гидротехнических сооружений

На кого распространяется приказ?

•  Автоматизированные системы управления, обеспечивающие контроль и управление технологическим и (или) производственным оборудованием (исполнительными устройствами) и реализованными на нем технологическими и (или) производственными процессами –  В том числе системы диспетчерского управления, системы сбора

(передачи) данных, программируемые логические контроллеры, распределенные системы управления, системы управления станками с числовым программным управлением

–  На АСУ ТП с гостайной не распространяются •  Требования предназначены для лиц

–  обеспечивающих задание требований к защите информации в АСУ ТП (заказчик),

–  обеспечивающих эксплуатацию АСУ ТП (оператор), –  привлекаемых в соответствии с законодательством РФ к проведению работ по созданию (проектированию) АСУ ТП и (или) их систем защиты (разработчик)

Объект защиты

•  Информация (данные) о производственном и (или) технологическом процессе, управляемом (контролируемом) объекте (в том числе данные о параметрах (состоянии) управляемого (контролируемого) объекта или процесса, входная (выходная) информация, команды управления, контрольно-измерительная информация)

•  Программно-технический комплекс, включающий технические средства (в том числе автоматизированные рабочие места, серверы управления, телекоммуникационное оборудование, каналы связи, программируемые логические контроллеры, системы локальной автоматики, исполнительные устройства), общесистемное, прикладное (специальное, микропрограммное) программное обеспечение, а также средства защиты информации

Можно ли использовать корпоративные стандарты?

•  ФОИВ, корпоративные структуры и организации в соответствии с настоящими Требованиями в пределах своих полномочий могут устанавливать отраслевые (ведомственные, корпоративные) требования к обеспечению защиты информации в АСУ ТП, находящихся в их ведении, с учетом особенностей соответствующих отраслей экономики (промышленности) и специфики управляемых (контролируемых) объектов

Смена парадигмы

•  Принимаемые организационные и технические меры защиты информации должны обеспечивать доступность обрабатываемой в АСУ ТП (исключение неправомерного блокирования информации), ее целостность (исключение неправомерного уничтожения, модифицирования информации), а также, при необходимости, конфиденциальность (исключение неправомерного доступа, копирования, предоставления или распространения информации)

•  Организационные и технические меры защиты информации должны быть согласованы с мерами по промышленной, физической, пожарной, экологической, радиационной безопасности, иными мерами по обеспечению безопасности АСУ ТП и управляемого (контролируемого) объекта и (или) процесса и не должны оказывать отрицательного (мешающего) влияния на штатный режим функционирования АСУ ТП

Безопасное функционирование АСУ ТП на первом месте

•  Система защиты автоматизированной системы управления не должна препятствовать достижению целей создания автоматизированной системы управления и ее безопасному функционированию

Вас могут защищать не все

•  Для выполнения работ по обеспечению безопасности могут привлекаться организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации

•  При проведении оценки защищенности объектов КИИ могут привлекаться аккредитованные для этих целей в установленном порядке организации

•  Аккредитация –  Проводится на добровольной основе и на срок 5 лет –  Требует наличия лицензии на гостайну –  Требует наличия средств, предназначенных для оценки защищенности объектов КИИ и получивших подтверждение соответствия требованиям ФСТЭК (по согласованию с ФСБ)

–  Требует не менее 3-х специалистов с ВПО в области ИБ –  По критериям, установленным ФСБ и ФСТЭК соответственно

ЖИЗНЕННЫЙ ЦИКЛ СИСТЕМЫ ЗАЩИТЫ

Жизненный цикл системы защиты АСУ ТП

•  Формирование требований к защите информации в АСУ ТП •  Разработка системы защиты АСУ ТП •  Внедрение системы защиты АСУ ТП и ввод ее в действие; •  Обеспечение защиты информации в ходе эксплуатации АСУ ТП •  Обеспечение защиты информации при выводе из эксплуатации АСУ ТП

Формирование требований

•  Принятие решения о необходимости защиты информации в АСУ ТП

•  Классификация АСУ ТП по требованиям защиты информации –  3 класса защищенности –  При разбиении АСУ ТП на сегменты (подсистемы) класс устанавливается для каждого сегмента отдельно

–  Класс пересматривается только при модернизации, в результате которой поменялась значимость информации

•  Определение угроз безопасности информации, реализация которых может привести к нарушению доступности, целостности или конфиденциальности информации и безопасного функционирования АСУ ТП, и разработку на их основе модели угроз безопасности информации

•  Определение требований к системе защиты АСУ ТП

Классификация АСУ ТП

•  Класс защищенности АСУ ТП зависит от уровня значимости информации

•  Уровень значимости информации (УЗ) определяется степенью возможного ущерба от нарушения ее целостности, доступности или конфиденциальности, в результате которого возможно нарушение штатного режима функционирования АСУ ТП

•  Степень возможного ущерба определяется заказчиком или оператором экспертным или иным методом –  Например, в соответствии с постановлением Правительства Российской Федерации от 21 мая 2007 г. № 304 «О классификации чрезвычайных ситуаций природного и техногенного характера»

Степень наносимого ущерба

Степень ущерба Описание ущерба Высокая Возникновение чрезвычайной ситуации федерального

или межрегионального характера* или иные существенные негативные последствия в социальной, политической, экономической, военной или иных областях деятельности

Средняя возникновение чрезвычайной ситуации регионального или межмуниципального характера* или иные умеренные негативные последствия в социальной, политической, экономической, военной или иных областях деятельности

Низкая Возникновение чрезвычайной ситуации муниципального (локального) характера или возможны иные незначительные негативные последствия в социальной, политической, экономической, военной или иных областях деятельности

Какой класс защищенности будет оптимальным?

•  Для объектов ТЭК, обязанных произвести категорирование опасности своих объектов в рамках обеспечения антитеррористической защищенности, оптимальным будет установить уровень защищенности равный уровню категории опасности –  Ниже можно (по результатам оценки защищенности) –  Выше будет нелогично

Класс защищенности Категория опасности 1 Высокая 2 Средняя 3 Низкая

Моделирование угроз

•  Модель угроз безопасности информации должна содержать описание АСУ ТП и угроз безопасности информации, включающее описание возможностей нарушителей (модель нарушителя), возможных уязвимостей АСУ ТП, способов реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации и безопасного функционирования автоматизированной системы управления

•  Для определения угроз безопасности информации и разработки модели угроз безопасности информации применяются методические документы, разработанные и утвержденные ФСТЭК

ВВЕДЕНИЕ В ЗАЩИТНЫЕ МЕРЫ

Меры по защите информации

•  Организационные и технические меры защиты информации, реализуемые в АСУ ТП –  идентификация и аутентификация субъектов доступа и объектов доступа

–  управление доступом субъектов доступа к объектам доступа

–  ограничение программной среды

–  защита машинных носителей информации

–  регистрация событий безопасности

–  антивирусная защита

–  обнаружение (предотвращение) вторжений

–  контроль (анализ) защищенности –  целостность АСУ ТП –  доступность технических средств и информации –  защита среды виртуализации

Меры по защите информации

•  продолжение: –  защита технических средств и оборудования –  защита АСУ ТП и ее компонентов –  безопасная разработка прикладного и специального программного обеспечения разработчиком

–  управление обновлениями программного обеспечения –  планирование мероприятий по обеспечению защиты информации –  обеспечение действий в нештатных (непредвиденных) ситуациях –  информирование и обучение пользователей –  анализ угроз безопасности информации и рисков от их реализации

–  выявление инцидентов и реагирование на них –  управление конфигурацией информационной системы и ее системы защиты

Как определяются защитные меры

•  Выбор мер защиты информации в АСУ ТП включает выбор базового набора мер адаптацию выбранного базового набора мер применительно к структурно-функциональным характеристикам АСУ ТП, реализуемым ИТ, особенностям функционирования АСУ ТП (включает исключение защитных мер) уточнение адаптированного набора дополнение адаптированного базового набора мер по обеспечению защиты информации в АСУ ТП дополнительными мерами, установленными иными нормативными актами

Базовые меры

Адаптация базового набора

Уточнение адаптированного набора

Дополнение уточненного адаптированного набора

Компенсационные меры

А если какую-то меру невозможно реализовать?

•  При отсутствии возможности реализации отдельных мер защиты информации в АСУ ТП или отдельных ее сегментах (устройствах) и (или) невозможности их применения к отдельным объектам и субъектам доступа, в том числе в следствии их негативного влияния на штатный режим функционирования АСУ ТП, на этапах адаптации базового набора мер защиты информации или уточнения адаптированного базового набора мер защиты информации разрабатываются иные (компенсирующие) меры защиты информации, обеспечивающие адекватное блокирование (нейтрализацию) угроз безопасности информации и необходимый уровень защищенности АСУ ТП

•  В качестве компенсирующих мер, в первую очередь, рассматриваются меры по обеспечению меры промышленной и (или) физической безопасности АСУ ТП, поддерживающие необходимый уровень защищенности АСУ ТП

Можно ли исключать защитные меры?

•  Исключение из базового набора мер защиты информации мер, непосредственно связанных с информационными технологиями, не используемыми в АСУ ТП, или структурно-функциональными характеристиками, не свойственными АСУ ТП

•  В целях исключения избыточности в реализации мер защиты информации и в случае, если принятые в АСУ ТП меры по обеспечению промышленной безопасности и (или) физической безопасности обеспечивают блокирование (нейтрализацию) угроз безопасности информации, отдельные меры защиты информации могут не применяться

ОБ УПРАВЛЕНИИ ИНЦИДЕНТАМИ

Управление инцидентами – обязанность субъекта КИИ

•  Субъекты КИИ обязаны незамедлительно информировать в порядке, установленном ФСБ, о компьютерных инцидентах, произошедших на объектах КИИ

•  Субъектами КИИ в незамедлительном порядке принимаются меры по ликвидации последствий компьютерных инцидентов. Порядок реагирования на компьютерные инциденты и ликвидации их последствий на объектах КИИ определяется ФСБ

•  Субъекты КИИ обязаны оказывать содействие должностным лицам ФСБ, в выявлении, предупреждении и пресечении компьютерных инцидентов, а также в ликвидации их последствий, установлении причин и условий их совершения

Уведомление об инцидентах: как правильно?

•  По законопроекту уведомлять об инцидентах ИБ необходимо ФСБ и незамедлительно –  А если группа холдинговая? –  А кому в ФСБ? ЦИБ? 8-й Центр? УФСБ? УКООП СЭБ? –  Каков порядок?

•  По ПП-861 от 02.10.2013 уведомлять об инцидентах ИБ на объектах ТЭК надо МВД, ФСБ, МЧС и МинЭнерго –  Каков порядок? –  Кому конкретно в указанных ФОИВах?

ОЦЕНКА СООТВЕТСТВИЯ

Как осуществляется приемка системы защиты АСУ ТП?

•  По решению заказчика подтверждение соответствия системы защиты АСУ ТП техническому заданию на создание АСУ ТП и (или) техническому заданию (частному техническому заданию) на создание системы защиты АСУ ТП, а также требованиям ФСТЭК может проводиться в форме аттестации АСУ ТП на соответствие требованиям по защите информации –  В этом случае для проведения аттестации применяются национальные стандарты, а также методические документы, разработанные и утвержденные ФСТЭК

•  Приемочные испытания системы защиты АСУ ТП проводятся, как правило, в рамках приемочных испытаний АСУ ТП в целом

Сертификация средств защиты необязательна

•  Для обеспечения защиты информации в АСУ ТП применяются средства защиты информации, прошедшие оценку соответствия в соответствии с законодательством Российской Федерации о техническом регулировании

Оценка соответствия

Госконтроль и надзор

Аккредитация

Испытания

Регистрация

Подтверждение соответствия

Добровольная сертификация

Обязательная сертификация

Декларирование соответствия

Приемка и ввод в эксплуатацию

В иной форме

Соответствие уровней защищенности классам сертифицированных СЗИ (в случае их применения)

Тип СЗИ / ПО 3 уровень 2 уровень 1 уровень

СВТ Не ниже 5 Не ниже 5 Не ниже 5

IDS Не ниже 5 Не ниже 4 Не ниже 3

Антивирус Не ниже 5 Не ниже 4 Не ниже 3

Средства доверенной загрузки Не ниже 5 Не ниже 4 Не ниже 3

Средства контроля съемных носителей Не ниже 5 Не ниже 4 Не ниже 3

МСЭ Не ниже 4 3Интернет 4

3Интернет 4

НДВ в СЗИ - Не ниже 4 Не ниже 4

Какие решения Cisco имеют сертификаты ФСТЭК?

•  Многофункциональные защитные устройства –  Cisco ASA 5505, 5510, 5520, 5540, 5550, 5580 –  Cisco ASA 5512-X, 5515-X, 5525-X, 5545-X, 5555-X, 5585-X –  Cisco ASA SM

•  Системы предотвращения вторжений –  Cisco IPS 4200, AIP-SSM-10/20, IPS 4240, 4255, 4260, 4270, IDSM2

•  Межсетевые экраны –  Cisco Pix 501, 506, 515, 520, 525, 535 –  Cisco FWSM –  Cisco 1800, 2800, 3800, 7200, 7600, 676, 871, 881, 891, 1750, 1751,

1760-V, 1811, 1841, 2509, 26xx, 2600, 2611, 2621, 2651, 2801, 2811, 2821, 2851, 2901, 2911, 3640, 3661, 3662, 3725, 3745, 3825, 3845, 3925, 7201, 7206, 7301, 7604

–  ASR 1002, GSR 12404, CGR2000, CGR2500

Какие решения Cisco имеют сертификаты ФСТЭК?

•  Коммутаторы –  Cisco Catalyst 2912, 2924, 2950G, 2960, 2970, 3508G, 3512, 3524,

3548, 3550, 3560, 3750, 4003, 4503, 4506, 4507, 4510, 4900, 6006, 6504, 6506, 6509, 6513

–  Cisco Nexus •  Системы управления

–  CiscoWorks Monitoring Center –  Cisco Security Manager 3.2, 3.3 –  Cisco Secure ACS 4.x –  Cisco Secure ACS 1121 –  CS MARS 20, 25, 50, 100, 110

•  Прочее –  Cisco AS5350XM

Какие решения Cisco планируется сертифицировать?

•  Системы предотвращения вторжений –  Cisco IPS 4345, 4360, 4510, 4520 –  Cisco IPS for АСУ ТП

•  Межсетевые экраны –  Cisco ASA 1000v –  Cisco Virtual Security Gateway

•  Cisco UCS •  Решения Sourcefire

РЕШЕНИЯ CISCO

Решения Cisco для индустриальных сетей

•  Индустриальные коммутаторы IE 3000, IE 2000, IE 3010 и CGS 2500

•  Индустриальные маршрутизаторы ISR 819H, CGR 2000

•  Индустриальные беспроводные решения Cisco 1550 Outdoor AP

•  Индустриальные встраиваемые маршрутизаторы в форм-факторах PC104 и cPCI

•  Индустриальные системы предотвращения вторжений IPS for SCADA

•  В ближайшее время планируется появление еще ряда решений

Cat. 6500 Cat. 4500

Cat. 3750

Available COTS Platforms

Available Industrial Platforms 1260 and 3560 APs

ASA

IE 3010

IE 3000 1552 AP

CGR 2010

IE 2000

ISR 819

7925G-EX IP Phone

Cisco SAFE for PCN

Site Business Planning and Logistics Network

Batch Control

Discrete Control

Supervisory Control

Hybrid Control

Supervisory Control

Enterprise Network

Patch Mgmt

Web Services Operations

AV Server

Application Server

Email, Intranet, etc.

Production Control Historian Optimizing

Control Engineering Station

Continuous Control

Terminal Services

Historian (Mirror)

Site Operations and Control

Area Supervisory

Control

Basic Control

Process

ЛВС АСУТП

Зона корпора-тивной ЛВС

DMZ

Уровень 5

Уровень 3

Уровень 1

Уровень 0

Уровень 2

Уровень 4

HMI HMI

МСЭ и IPS

МСЭ и IDS

Cisco IPS для АСУ ТП

Все типы оборудования •  SCADA •  DCS •  PLC •  SIS •  EMS

•  Все основные производители •  Schneider •  Siemens •  Rockwell •  GE, ABB •  Yokogawa •  Motorola •  Emerson •  Invensys •  Honeywell •  SEL

•  И это не конец…

Защита индустриальных систем с помощью Sourcefire

•  2 препроцессора для Modbus и DNP3 •  Возможность написания собственных сигнатур •  Свыше сотни встроенных сигнатур

CitectSCADA OMRON Kingview IGSS Tecnomatix RealWin Iconics Genesis Siemens IntelliCom Cogent

RSLogix DAQFactory Beckhoff Measuresoft ScadaPro Broadwin Progea Movicon Microsys Sunway Moxa

GE Sielco ScadaTec Sinapsi DATAC WellinTech Tridium Schneider Electric CODESYS

Сигнатуры для АСУ ТП – можно и самостоятельно

ID сигнатуры

Сообщение Modbus TCP -Unauthorized Write Request to a PLC

Сигнатура alert tcp !$MODBUS_CLIENT any -> $MODBUS_SERVER 502 (flow:from_client,established; content:”|00 00|”; offset:2; depth:2; pcre:”/[\S\s]{3}(\x05|\x06|\x0F|\x10|\x15|\x16)/iAR”; msg:”Modbus TCP –Unauthorized Write Request to a PLC”; reference:scada,1111007.htm; classtype:bad-unknown; sid:1111007; rev:1; priority:1;)

Резюме Неавторизованный Modbus-клиент попытался записать информацию на PLC или иное устройства

Воздействие Целостность системы Отказ в обслуживании

Информация

Подверженные системы PLC и другие устройства с Modbus TCP сервером



Сообщение Unauthorized communications with HMI

Сигнатура alert tcp192.168.0.97 any <> ![192.168.0.3,192.168.10.21] any (msg:"HMItalking to someone other than PLC or RTU -NOT ALLOWED"; priority:1; sid:1000000; rev:1;)

Резюме Попытка неавторизованной системы подключиться к HMI

Воздействие Компрометация системы


Подверженные системы PLC;RTU;HMI;DMZ-Web



Сообщение Unauthorized to RTU Telnet/FTP

Сигнатура alert tcp!$PCS_HOSTS any -> 192.168.0.3 23 (msg:”Unauthorized connection attempt to RTU Telnet”; flow:from_client,established; content:”GET”; offset:2; depth:2; reference:DHSINLroadshow-IDStoHMI1;classtype:misc-activity; sid:1000003; rev:1; priority:1;)

Резюме Узел в контролируемой ЛВС попытлся подключиться к RTU Telnet-серверу

Воздействие Сканирование Компрометация системы управления


Подверженные системы RTU

Smart Grid коммутатор, маршрутизатор, IE3000 (как МСЭ) и IPS for SCADA

Проект приказа ФСТЭК по защите информации в АСУ ТП

Technology