Зачем и как проводить пентест АСУ ТП

С ростом автоматизации бизнеса и производства растет и количество уязвимостей. В некоторых сферах их наличие особенно критично. Например, для комплекса решений автоматизации управления технологическими процессами — АСУ ТП, важно своевременно выявлять наиболее опасные векторы атак злоумышленников. Пентест АСУ ТП позволяет проанализировать внешние и внутренние угрозы, чтобы обнаружить и устранить слабые места.

Почему так важно обеспечить кибербезопасность АСУ ТП

АСУ ТП — общий термин для всех устройств, которые помогают автоматизировать управление разнообразными процессами.

Первые автоматические системы управления технологическими процессами появились на производстве. Однако позже их стали применять для транспортных и инженерных систем. Например, такие устройства применяют в системах «умный дом». В них входят контроллеры и датчики, устройства для обработки информации, пульты ДУ и сети, связывающие все компоненты в единое целое.

У АСУ ТП есть три составляющие: система диспетчеризации, телеметрическая подсистема и инфраструктура коммуникации. Система диспетчеризации — это комплекс аппаратных и программных средств для мониторинга и контроля над технологическими процессами. Диспетчер видит на едином экране информацию обо всем оборудовании, которое подключено к этой системе. В телеметрическую подсистему входят датчики, устройства для регуляции и исполнительные механизмы, помогающие автоматизировать технологические процессы. Инфраструктура коммуникации строится на базе промышленных протоколов передачи данных.

Поддержка высокого уровня безопасности АСУ ТП — отдельное направление со своими особенностями. Если в инфосистемах важно обеспечить конфиденциальность информации, то основная цель в системах управления — автоматизировать и обеспечить непрерывность и целостность технологического процесса. При этом среди рисков при атаках хакеров на АСУ ТП — не только утечка данных, но и потенциальный вред здоровью, ущерб инфраструктуре и экологии. Для выявления уязвимостей проводят пентест или тест на проникновение.

Выявленные уязвимости делятся на критичные и нет, систематические и случайные. Критичные систематические уязвимости устраняют первыми. Требования к кибербезопасности систем управления технологическими процессами можно найти в Приказе ФСТЭК № 31 от 14 марта 2014 и в международных стандартах IEC 62443.

Как защитить данные с помощью пентестов АСУ ТП

Во все мире регулярно проводятся атаки киберпреступников на АСУ ТП. Борьба с последствиями этих атак может обернуться серьезными потерями для организации. Поэтому проще предотвратить их. Для этого специалисты по информационной безопасности заранее находят уязвимости в инфраструктуре и дают рекомендации по их устранению, то есть проводят пентест или тестирование на проникновение. Тест на проникновение — имитация кибератак для выявления уязвимостей в защите и в компонентах инфраструктуры и независимая оценка безопасности АСУ ТП. Его цель — попытаться обойти систему защиты, чтобы дать независимую оценку безопасности и рекомендации по устранению уязвимостей. Действия специалистов по тестированию полностью согласовываются с заказчиком.

Пентест помогает оценить информационную и функциональную безопасность. Вовремя заметив и устранив уязвимости, можно предотвратить серьезные проблемы, включая риски для жизни людей. При этом обеспечить безопасность можно как организационными, так и техническими способами:

• организационная часть пентеста АСУ ТП проверяет уровень обученности и информированности сотрудников;
• техническая часть включает меры повышения безопасности систем управления, такие как размещение оборудования и ПО на разных уровнях информационной безопасности, резервирование данных, диагностика и т.д.

Тестирование на проникновение АСУ ТП проводят вручную или с использованием автоматизированных технологий. Специалисты пытаются скомпрометировать серверы, приложения, сетевые устройства и т.д., имитируя действия злоумышленников.

Пентест АСУ ТП бывает внешним и внутренним:

• внешнее тестирование проверяет беспроводные и корпоративные сети, внешнюю инфраструктуру и ресурсы, на которые есть доступ у сторонних пользователей;
• внутренний пентест оценивает уровень защищенности изнутри корпоративной сети, может использовать методы социальной инженерии и способы, основанные на невнимательности сотрудников (но не обязательно).

Есть три метода тестирования на проникновение. Метод WhiteBox основывается на том, что злоумышленнику известна вся информация о системе и способах защиты. BlackBox предполагает минимальную осведомленность киберпреступника. Промежуточный вариант GreyBox находится посередине между этими двумя методами.

После обнаружения уязвимостей им дается оценка степени критичности. На основе этого специалисты составляют отчет с рекомендациями по устранению уязвимостей и их приоритетами.

Учитывая важность тестирования безопасности АСУ ТП, желательно, чтобы его проводили сторонние специалисты, которые обладают не только знаниями, но и богатым опытом. Инженеры ITGLOBAL.COM Security проводят тестирование на проникновение с применением современных инструментов, которые моделируют различные виды кибератак. Их отчеты позволяют повысить безопасность и добиться соответствия требованиям Российских и международных стандартов.