На промышленных объектах ключевыми системами информационной инфраструктуры являются автоматизированные системы управления технологическими процессами (АСУТП), а также средства противоаварийной защиты (ПАЗ). От корректной и стабильной работы этих систем зависит безопасность всего объекта.
Для АСУТП характерна ярко выраженная программная и аппаратная неоднородность. В типовую технологическую сеть предприятия, как правило, входят серверы SCADA под управлением Windows либо Linux, серверы СУБД (SQL Server либо Oracle), множество программируемых логических контроллеров (PLC) различных производителей, панели оператора (HMI), интеллектуальные датчики и канал связи с системами бизнес-уровня ERP. При этом, согласно результатам последних исследований DHS, в среднем технологическая сеть имеет 11 (!) точек прямого подключения к корпоративной сети.
Точка доверия
В настоящее время назрела необходимость в создании решений, способных обеспечить надежную защиту и критически важных промышленных объектов, и прочих объектов и организаций, чувствительных к проникновению и утечке информации. Однако как бы хорошо ни работали такие решения, использование в АСУТП уязвимых ОС и ПО не позволит производителям средств защиты гарантировать безопасность системы. А в случае с критическими объектами такие гарантии необходимы.
Рассчитывать на то, что все разработчики АСУТП срочно займутся тотальной проверкой и обновлением всего используемого ими ПО, а руководители предприятий оперативно обновят уже установленные у них решения, не приходится. А если учесть, что жизненный цикл таких систем исчисляется десятилетиями, то станет очевидно, что по эволюционному сценарию внедрение защищенных АСУТП потребует значительного количества времени.
Однако глобальное решение проблемы уязвимости – не единственно возможное решение, способное обеспечить безопасность работы промышленных объектов.
В чем опасность наличия уязвимого ПО? Уязвимости – это бреши, которые могут быть использованы для проникновения вредоносных программ. Любой компонент АСУТП может быть заражен. А зараженный компонент может осуществлять в технологической сети вредоносные действия, ведущие к катастрофе, и при этом дезинформировать оператора.
В сложившейся ситуации оператор критически важной системы вынужден управлять техпроцессами, не имея никаких гарантий того, что информация, на основе которой он принимает решения, верна. По сути это одна из ключевых проблем безопасности системы – ведь цена ошибки на такого рода объектах очень высока.
Для безопасной работы промышленного объекта оператору критически важно получать достоверную информацию и управлять производством, исходя из этой информации. Это позволит избежать ошибок управления и поможет при необходимости вовремя остановить производство, не допустив аварии.
В настоящее время не существует ОС и ПО, которые могли бы быть применены в промышленных средах и результатам работы которых мы могли бы полностью доверять. И это не оставило нам иного пути, кроме как приступить к самостоятельной разработке таких средств.
Базовым средством обеспечения безопасности является операционная система. Мы считаем, что для контроля информации, которая циркулирует в промышленной сети, в первую очередь необходимо использовать саму операционную систему. Это даст гарантию, что информация корректна, достоверна и не содержит вредоносной составляющей.
Безопасная OС
Каким требованиям должна соответствовать максимально безопасная среда для контроля информационной инфраструктуры?
— ОС не может быть основана на каком-то уже существующем программном коде, поэтому должна быть написана с нуля.
— В целях гарантии безопасности она не должна содержать ошибок и уязвимостей в ядре, контролирующем остальные модули системы. Как следствие, ядро должно быть верифицировано средствами, не допускающими существования уязвимостей и кода двойного назначения.
— По той же причине ядро должно содержать критический минимум кода, а значит, максимальное возможное количество кода, включая драйверы, должно контролироваться ядром и исполняться с низким уровнем привилегий.
— Наконец, в такой среде должна присутствовать мощная и надежная система защиты, поддерживающая различные модели безопасности.
В соответствии с этим мы создаем собственную операционную систему, основной особенностью которой является принципиальная невозможность выполнения в ней незаявленной функциональности.
Только на основе такой ОС можно построить решение, позволяющее оператору не только видеть то, что реально происходит с производством, но и управлять им. Вне зависимости от производителей конкретных ОС, СУБД, SCADA и PLC, вне зависимости от степени их защищенности или наличия в них уязвимостей. Более того – вне зависимости от степени их зараженности.
Фактически речь идет об интеллектуальной системе противоаварийной защиты нового поколения. Системе защиты, учитывающей весь комплекс показателей предприятия сразу. Системе защиты, не позволяющей привести к аварии ни в результате неправильных действий оператора, ни в результате ошибок в ПО АСУТП, ни в результате кибератак. Помимо прочего, такая система сможет дополнить традиционные средства ПАЗ, что позволит отслеживать более сложные и комплексные сценарии происходящего.
Такое решение должно встраиваться в уже существующие АСУТП с целью их защиты и обеспечения достоверного мониторинга или учитываться при проектировании новых АСУТП – и в том, и в другом случае обеспечивая применение современных принципов безопасности.
Заключение
Мир изменился. Государства активно осваивают кибероружие, и это требует наличия адекватных средств защиты. Несмотря на то что ключевые системы информационной инфраструктуры имеют исключительную важность, средств, способных обеспечить их гарантированную защиту, в настоящее время нет.
На основе существующих ОС создать новые, современные и реально работающие средства защиты КСИИ невозможно. Создать новую ОС для всех компонентов АСУТП – задача очень сложная, ее решение требует времени. А проблему безопасности промышленных объектов надо решать уже сейчас.
Поэтому надо находить ключевые проблемы информационной безопасности и в первую очередь устранять именно их. Одна из таких проблем состоит в том, что системы информационной безопасности промышленных объектов опираются на недоверенные источники информации. Пока в технологической сети не появится компонент, которому оператор или некоторый контролирующий программный комплекс могли бы доверять, говорить о возможности построения системы безопасности не представляется возможным. Необходимо создать такую «доверенную базу», на основе которой можно строить систему обеспечения безопасности более высокого уровня. Такая «доверенная база» требует как минимум наличия доверенной ОС.
Мы создаем ОС, на которой будут работать компоненты системы безопасности, обеспечивающие доверенной информацией все составляющие АСУТП. В основу ОС мы заложили ряд фундаментальных принципов, соблюдение которых позволит гарантировать, что она в любой момент времени будет функционировать именно так, как было задумано разработчиком, и функционировать по-другому не может. Архитектурно операционная система построена таким образом, что даже взлом любых ее компонентов или приложений не позволит злоумышленнику получить контроль над нею или запустить вредоносный код. Этот подход позволяет нам считать такую ОС доверенной и использовать ее в качестве доверенного источника информации, который может являться базисом для построения системы защиты более высокого уровня.
Почитать рассказ Евгения Касперского на эту тему можно здесь.
Узнать больше о специфике АСУТП и предпосылках к созданию собственной ОС можно здесь.
Для АСУТП характерна ярко выраженная программная и аппаратная неоднородность. В типовую технологическую сеть предприятия, как правило, входят серверы SCADA под управлением Windows либо Linux, серверы СУБД (SQL Server либо Oracle), множество программируемых логических контроллеров (PLC) различных производителей, панели оператора (HMI), интеллектуальные датчики и канал связи с системами бизнес-уровня ERP. При этом, согласно результатам последних исследований DHS, в среднем технологическая сеть имеет 11 (!) точек прямого подключения к корпоративной сети.
Точка доверия
В настоящее время назрела необходимость в создании решений, способных обеспечить надежную защиту и критически важных промышленных объектов, и прочих объектов и организаций, чувствительных к проникновению и утечке информации. Однако как бы хорошо ни работали такие решения, использование в АСУТП уязвимых ОС и ПО не позволит производителям средств защиты гарантировать безопасность системы. А в случае с критическими объектами такие гарантии необходимы.
Рассчитывать на то, что все разработчики АСУТП срочно займутся тотальной проверкой и обновлением всего используемого ими ПО, а руководители предприятий оперативно обновят уже установленные у них решения, не приходится. А если учесть, что жизненный цикл таких систем исчисляется десятилетиями, то станет очевидно, что по эволюционному сценарию внедрение защищенных АСУТП потребует значительного количества времени.
Однако глобальное решение проблемы уязвимости – не единственно возможное решение, способное обеспечить безопасность работы промышленных объектов.
В чем опасность наличия уязвимого ПО? Уязвимости – это бреши, которые могут быть использованы для проникновения вредоносных программ. Любой компонент АСУТП может быть заражен. А зараженный компонент может осуществлять в технологической сети вредоносные действия, ведущие к катастрофе, и при этом дезинформировать оператора.
В сложившейся ситуации оператор критически важной системы вынужден управлять техпроцессами, не имея никаких гарантий того, что информация, на основе которой он принимает решения, верна. По сути это одна из ключевых проблем безопасности системы – ведь цена ошибки на такого рода объектах очень высока.
Для безопасной работы промышленного объекта оператору критически важно получать достоверную информацию и управлять производством, исходя из этой информации. Это позволит избежать ошибок управления и поможет при необходимости вовремя остановить производство, не допустив аварии.
В настоящее время не существует ОС и ПО, которые могли бы быть применены в промышленных средах и результатам работы которых мы могли бы полностью доверять. И это не оставило нам иного пути, кроме как приступить к самостоятельной разработке таких средств.
Базовым средством обеспечения безопасности является операционная система. Мы считаем, что для контроля информации, которая циркулирует в промышленной сети, в первую очередь необходимо использовать саму операционную систему. Это даст гарантию, что информация корректна, достоверна и не содержит вредоносной составляющей.
Безопасная OС
Каким требованиям должна соответствовать максимально безопасная среда для контроля информационной инфраструктуры?
— ОС не может быть основана на каком-то уже существующем программном коде, поэтому должна быть написана с нуля.
— В целях гарантии безопасности она не должна содержать ошибок и уязвимостей в ядре, контролирующем остальные модули системы. Как следствие, ядро должно быть верифицировано средствами, не допускающими существования уязвимостей и кода двойного назначения.
— По той же причине ядро должно содержать критический минимум кода, а значит, максимальное возможное количество кода, включая драйверы, должно контролироваться ядром и исполняться с низким уровнем привилегий.
— Наконец, в такой среде должна присутствовать мощная и надежная система защиты, поддерживающая различные модели безопасности.
В соответствии с этим мы создаем собственную операционную систему, основной особенностью которой является принципиальная невозможность выполнения в ней незаявленной функциональности.
Только на основе такой ОС можно построить решение, позволяющее оператору не только видеть то, что реально происходит с производством, но и управлять им. Вне зависимости от производителей конкретных ОС, СУБД, SCADA и PLC, вне зависимости от степени их защищенности или наличия в них уязвимостей. Более того – вне зависимости от степени их зараженности.
Фактически речь идет об интеллектуальной системе противоаварийной защиты нового поколения. Системе защиты, учитывающей весь комплекс показателей предприятия сразу. Системе защиты, не позволяющей привести к аварии ни в результате неправильных действий оператора, ни в результате ошибок в ПО АСУТП, ни в результате кибератак. Помимо прочего, такая система сможет дополнить традиционные средства ПАЗ, что позволит отслеживать более сложные и комплексные сценарии происходящего.
Такое решение должно встраиваться в уже существующие АСУТП с целью их защиты и обеспечения достоверного мониторинга или учитываться при проектировании новых АСУТП – и в том, и в другом случае обеспечивая применение современных принципов безопасности.
Заключение
Мир изменился. Государства активно осваивают кибероружие, и это требует наличия адекватных средств защиты. Несмотря на то что ключевые системы информационной инфраструктуры имеют исключительную важность, средств, способных обеспечить их гарантированную защиту, в настоящее время нет.
На основе существующих ОС создать новые, современные и реально работающие средства защиты КСИИ невозможно. Создать новую ОС для всех компонентов АСУТП – задача очень сложная, ее решение требует времени. А проблему безопасности промышленных объектов надо решать уже сейчас.
Поэтому надо находить ключевые проблемы информационной безопасности и в первую очередь устранять именно их. Одна из таких проблем состоит в том, что системы информационной безопасности промышленных объектов опираются на недоверенные источники информации. Пока в технологической сети не появится компонент, которому оператор или некоторый контролирующий программный комплекс могли бы доверять, говорить о возможности построения системы безопасности не представляется возможным. Необходимо создать такую «доверенную базу», на основе которой можно строить систему обеспечения безопасности более высокого уровня. Такая «доверенная база» требует как минимум наличия доверенной ОС.
Мы создаем ОС, на которой будут работать компоненты системы безопасности, обеспечивающие доверенной информацией все составляющие АСУТП. В основу ОС мы заложили ряд фундаментальных принципов, соблюдение которых позволит гарантировать, что она в любой момент времени будет функционировать именно так, как было задумано разработчиком, и функционировать по-другому не может. Архитектурно операционная система построена таким образом, что даже взлом любых ее компонентов или приложений не позволит злоумышленнику получить контроль над нею или запустить вредоносный код. Этот подход позволяет нам считать такую ОС доверенной и использовать ее в качестве доверенного источника информации, который может являться базисом для построения системы защиты более высокого уровня.
Почитать рассказ Евгения Касперского на эту тему можно здесь.
Узнать больше о специфике АСУТП и предпосылках к созданию собственной ОС можно здесь.
