Подробности о беспрецедентном взломе электрической сети Украины

Автор оригинала: Kim Zetter
  • Перевод


В среду 23 декабря 2015 года в 15:30 жители Ивано-Франковска на западной Украине готовились к окончанию рабочего дня и собирались идти домой по холодным зимним улицам. В центре управления предприятия «Прикарпатьеоблэнерго», которое распределяет электроэнергию в регионе, диспетчеры практически закончили свою смену. Но когда один из них приводил в порядок бумаги на столе перед завершением работы, курсор на экране компьютера cдвинулся c места.

Диспетчер видел, как курсор целенаправленно двинулся к кнопкам управления автоматическими выключателями на региональной подстанции, затем нажал кнопку для вызова окна с выключателями, чтобы вывести подстанцию в офлайн. На экране возникло диалоговое окно с требованием подтвердить операцию, а оператор ошарашенно смотрел, как курсор скользнул в это окно и нажал кнопку подтверждения. Он знал, что где-то в районе за городом тысячи домов только что лишились света.

Диспетчер схватил мышку и отчаянно попытался восстановить контроль, но курсор не реагировал на его манипуляции. Он самостоятельно двинулся в направлении другого выключателя, и текущая сессия авторизации в панели управления неожиданно прервалась. Диспетчер попытался спешно залогиниться обратно, но его пароль уже не действовал: злоумышленники поменяли его. Ему оставалось только беспомощно смотреть на экран, где неизвестные отключали на один за другим выключатели подстанций, прекратив работу около 30 из них. На этом они не остановились. Кроме «Прикарпатьеоблэнерго», в то же самое время были атакованы ещё два энергетических предприятия, так что общее количество выведенных из строя подстанций оказалось вдвое больше, а 230 000 жителей остались без электричества. И словно этого было мало, хакеры ещё отключили резервные источники питания, лишив света самих диспетчеров в двух из трёх центров управления.

Блестящий план


Хакеры, которые осуществили взлом энергетических предприятий Украины — первый в мире подтверждённый случай выведения из строя электрической сети — не были какими-то оппортунистами, проверяющими свои способности. В результате тщательного расследования инцидента вскрылись новые подробности: ясно, что за атакой стоят квалифицированные и скрытные стратеги, которые осторожно планировали нападение в течение многих месяцев, сначала проведя разведку, изучив сети жертвы, выудив учётные данные диспетчеров, а затем запустив синхронную атаку сразу на три центра управления.

«Это была блистательная атака, — говорит Роберт М. Ли (Robert M. Lee), который помогал в проведении расследования, бывший офицер по проведению киберопераций в ВВС США и сооснователь компании Dragos Security, которая специализируется на защите критической инфраструктуры. — Говоря об изощрённости взлома, многие люди всегда фокусируются на программных зловредах, которые использовались. Но для меня изощрённость атаки заключается в уровне логистики и планирования операции… и в том, что происходит во время неё. И здесь была действительно утончённая работа».

Украина сразу же указала на Россию как инициатора атаки. Роберт Ли уклонился от того, чтобы называть какую-то страну, но он сказал, что налицо чёткое разграничение между различными этапами операции, что предполагает участие хакеров разного уровня на разных этапах. Поэтому есть вероятность, что нападение совершено при сотрудничестве нескольких совершенно разных участников — возможно, киберпреступников и игроков государственного масштаба.

«Это должна быть хорошо финансируемая, хорошо обученная команда… Но она необязательно государственного уровня», — сказал он. Возможно, сначала киберпреступники низшего уровня получили первичный доступ в сеть, а затем передали управление более опытным хакерам федерального уровня.

Так или иначе, но успешная атака на энергетическую сеть поднимает вопрос о безопасности таких сетей в США, говорят эксперты. Удивительно, но украинские системы управления лучше защищены от подобного нападения, чем американские, поскольку хорошо отделены файрволами от бизнес-сетей. Но даже такой защиты оказалось недостаточно, поскольку сотрудники удалённо авторизуются в сети SCADA (Supervisory Control and Data Acquisition), откуда происходит управление электрическими подсистемами. При этом отсутствует двухфакторная аутентификация, так что зная учётные данные диспетчера злоумышленники могут взять на себя управление системами управления электрическими подстанциями.

Элекктроснабжение в украинских городах восстановили в течение одного-шести часов. Но даже спустя более чем два месяца после атаки центры управления так и не вернулись в нормальный режим работы, сказано в недавнем американском отчёте. Специалисты по компьютерной безопасности из Украины и США говорят, что хакеры заменили прошивки на критически важном оборудовании в 16 подстанциях, и теперь они не реагируют на команды из центра. Электричество подаётся, но управлять выключателями приходится в ручном режиме.

При атаке на американскую сеть всё может закончиться более печально, потому что во многих американских подстанциях отсутствуют резервные системы ручного управления, то есть в случае такого саботажа там будет гораздо сложнее восстановить подачу энергии.

Хронология атаки


Несколько американских агентств помогали Украине в расследовании атаки, включая ФБР и министерство внутренней безопасности США. Среди консультантов были эксперты Роберт Ли и Майкл Ассанте (Michael J. Assante), оба ведут курсы по компьютерной безопасности в вашингтонском SANS Institute. Они оказались приятно удивлены, что в украинских энергетических компаниях действует продвинутая система файрволов и системных логов, которые помогли воссоздать хронологию событий — такое нечасто встречается при расследовании атак на коммерческие компании, а ещё реже при атаках на критическую инфраструктуру.

По словам Ли и украинского эксперта, который участвовал в расследовании, подготовка к атаке началась весной прошлого года с фишинговой кампании, направленной на IT-персонал энергетических компаний и системных администраторов. На Украине 24 области, по 11-27 районов в каждой области. В каждой области своя компания, которая управляет распределением электричества в сети. Фишинговые письма с документом Word в аттаче были направлены сотрудникам трёх таких компаний. При запуске документа появлялось окно с просьбой включить выполнение макросов. Если пользователь делал это, то на компьютер устанавливалась программа под названием BlackEnergy3 с бэкдором для удалённого доступа. Уязвимости в Word и установка троянов через макросы — древняя техника, которая в последнее время снова стала популярной.

Фишинговая атака давала злоумышленникам доступ только в корпоративную сеть. Чтобы проникнуть в систему SCADA, нужно было пробиться через файрвол. В течение нескольких месяцев хакеры вели разведку. Они получили доступ к контроллерам домена Windows, которые управляют взаимодействиями пользователя и домена, включая процессы входа пользователя в систему, проверку подлинности и поиски в каталоге. Оттуда взяли учётные данные сотрудников, в том числе пароли от VPN-сервисов, которые использовались работниками в удалённом режиме для доступа в систему SCADA. Проникнув в SCADA, хакеры начали медленно готовиться к проведению атаки.

Сначала они изменили конфигурацию источников бесперебойного питания (UPS), которые обеспечивали резервное питание в двух центрах управления, чтобы отключить свет одновременно и жителям страны, и диспетчерам на предприятии. Это вопиющее и агрессивное действие, которое можно интерпретировать как «большой fuck you» энергетическим компаниям, считает Ли.

В каждой компании своя сеть распределения электроэнергии, и на этапе разведки хакеры осторожно изучили эти сети. Затем они написали оригинальные версии прошивок для конвертеров serial-to-Ethernet на подстанциях. Эти устройства передают команды от контрольного центра на подстанцию. Вывод конвертера из строя делает невозможным удалённое управление подстанцией. «Вредоносное обновление прошивки для конкретной операции никогда не использовалось раньше, — комментирует Роберт Ли. — С точки зрения атаки, это очень круто. Я имею в виду, действительно отличная работа».

Кстати, такие же модели конвертеров serial-to-Ethernet используются и на американских подстанциях.

Вооружённые вредоносными прошивками, хакеры были готовы начать атаку.

23 декабря примерно в 15:30 они вошли в систему SCADA по чужим паролям через VPN и отправили команды на отключение заранее переконфигурированных UPS. Затем начали открывать доступ к подстанциям и отключать их одну за одной. Прямо перед этим была организована телефонная TDoS-атака на колл-центры энергетических компаний, чтобы потребители не могли дозвониться и преждевременно сообщить диспетчерам об отключении света. Роберт Ли отмечает, что телефонный DDoS показывает высокий уровень сложности и планирования всей операции. «Что делают утончённые хакеры, так это прилагают согласованные усилия даже с учётом маловероятных сценариев, чтобы гарантированно устранить все возможные проблемы», — говорит он.

Проведение TDoS давало нападавшим чуть больше времени. Пока диспетчеры заметят странную активность на компьютерах, часть подстанций уже будет отключена. Эксперты говорят, что в случае политически мотивированной атаки России против Украины телефонный DDoS выполняет ещё одну задачу: подорвать доверие граждан к украинским энергетическим компаниям и правительству.

После отключения мощности на подстанциях хакеры заменили прошивку на установленных там конвертерах serial-to-Ethernet. По завершении операции они запустили зловред под названием KillDisk, чтобы стереть файлы и MBR на компьютерах в центрах управления.

Установленные логические бомбы запускали KillDisk по таймеру через 90 минут после начала атаки, то есть примерно в 17:00. Именно в это время «Прикарпатьеоблэнерго» опубликовало на своём веб-сайте сообщение с информацией о том, что и так было известно гражданам: электричество в ряде районов отключено и ведётся расследование причин сбоя.

Через полчаса, когда KillDisk завершил своё грязное дело, «Прикарпатьеоблэнерго» опубликовало ещё одно сообщение: причиной сбоя названа хакерская атака.



Кто бы ни стоял за организацией блэкаута на Украине, это первая в своём роде атака, которая создаёт зловещий прецедент для безопасности электрических сетей по всему миру. Диспетчер «Прикарпатьеоблэнерго» мог не знать, чем грозит слабое мерцание курсора мыши на экране в тот день. Но сейчас все ответственные за энергоснабжение в мире получили предупреждение. Эта атака была относительно краткосрочной и мягкой. Следующая может оказаться не такой.
AdBlock похитил этот баннер, но баннеры не зубы — отрастут

Подробнее
Реклама

Комментарии 383

    –2
    Первое, что сделал бы знающий человек — отжал бы Reset на железке
      –7
      P. S. Походу, я тоже был жертвой этой атаки: примерно неделю назад отключился свет, но не от перепада напряжения (предохранитель стоит), а от его пропажи.
        –7
        А, нет — я не живу в Ивано-Франковске
          –2
          Таки нет
          «В среду 23 декабря 2015 года в 15:30 „
          +6
          Аппаратный ресет далеко не всегда доступен. Это раз.
          Оператор может «ресетнуть» только свой терминал, после чего оператор просто потеряет соединение с системой управления, в то время, как взломщики там уже вовсю «резвятся» по известным им данным для соединения (в статье вроде есть про получение доступа именно к самой системе управления, а не просто к терминалам операторов).
            +3
            > Оператор может «ресетнуть» только свой терминал, после чего оператор просто потеряет соединение с системой управления, в то время, как взломщики там уже вовсю «резвятся»

            Ну, судя по

            > На экране возникло диалоговое окно с требованием подтвердить операцию, а оператор ошарашенно смотрел, как курсор скользнул в это окно и нажал кнопку подтверждения.

            взломщики зашли по RDP на машину оператора, и с неё творили беззаконие. Если б он перед «нажатием (хакером) кнопки подтверждения» резетнул бы свою машину, там бы всё и закончилось.
              0
              > Оттуда взяли учётные данные сотрудников, в том числе пароли от VPN-сервисов, которые использовались работниками в удалённом режиме для доступа в систему SCADA.
              Учитывая это, можно предположить, что оператор ресетом перекрыл бы только один способ атаки, в то время как злоумышленники спокойно лазили бы по SCADA с других машин.
                +4
                Господи, ну что мне, правда всё-всё разъяснять надо? После отрубания своей машины нужно быстренько метнуться по залу и повыдёргивать сетевые (в смысле локальной сети, а лучше и питающей тоже) кабеля из остальных машин, и резко звонить безопасникам. А если щёлкать клювом, произойдёт то, что, собственно, и произошло. Так или иначе, «ошалело смотреть на происходящее» — самый идиотский вариант действий из возможных.
                  +1
                  > быстренько метнуться по залу и повыдёргивать сетевые (в смысле локальной сети, а лучше и питающей тоже) кабеля из остальных машин

                  В данном конкретном контексте это тоже, что и «ресетнуть». Все это предотвращение локального вторжения. Нужно, но в данном конкретном случае недостаточно.

                  > и резко звонить безопасникам
                  А вот это уже ближе к теме.
                  И если в зале больше одного человека, то лучше с самого начала одного послать этим заниматься — звонить безопасникам.
                  А еще, если есть возможность, то также резко позвонить «кому надо», чтобы максимально быстро отдали необходимые распоряжения по переводу управляемого объекта на «ручной режим».
                    +3
                    Короче, я так понимаю, мы с Вами полностью согласны в моей оценке действий сотрудников — «Д, Б!»: надо было не «ошарашенно смотреть, как курсор скользнул в это окно», а *немедленно* предпринимать действия по купированию возникшей ситуации.
                      0
                      Естественно.
                        +3
                        Для этого должны организовываться соответствующие тренировки персонала. Они просто были не готовы к такому повороту событий, и просто не знали что делать. Простое обесточивание аппаратуры, особенно причастной к системам управления может быть чревато еще большей аварией чем то что произошло, при этом обвинят именно оператора т.к. его действия привели к аварии а потом доказывай что было какое-то вторжение.
                        Это если вообще была предусмотрена такая ситуация инструкцией.
                          0
                          Никакая инструкция не нужна — такая ситуация просто не должна была возникнуть в принципе.
                          Ибо нефиг в инете лазить и lines грузить на ответственных терминалах. Всё должно быть жёстко ограничено по функционалу, сеть — сугубо локальная. Для левых задач типа email и google отдельный терминал (если оно вообще надо).
                            0
                            Как в случае и с Чернобылем тренировок не было поскольку до этого подобного не случалось
                              0
                              Вот поэтому и ходим постоянно по граблям. Неужели нужно учится только на ошибках? Да ещё и собственных! Ведь такую возможность можно было предвидеть заранее.
                        +3
                        Не надо путать домашний ПК / мегасервер с АСУшной инфраструктурой.

                        В некоторых АСУТП отключение всех станций приводит к аварийной остановке контроллеров управления с вероятной отработкой аварийных алгоритмов( обесточить всех от греха подальше)
                        В «приличных конторах» все «системники» закрыты в терминалах с замками( на фото на уровне колен). Так что много оператор сможет ресетов нажать и кабелей подергать ???

                          0
                          Ну, по-моему, отключение по аварийному алгоритму всё одно лучше отключения по причине «хакеры пустили генератор вразнос, и ротор разлетелся на запчасти». (Оператор же не может прямо так сразу сказать, что там хакер пытается сделать...)
                            +1
                            А аварийное выключение системника (если СИЛЬНО припрёт) в случае недоступность кнопки «вкл/выкл» и розетки можно произвести, скажем, закоротив +5В (из USB кабеля мыши или клавы) на землю — долбанул изо всей силы мышь об пол, чтобы пластик разлетелся; вырвал концы кабеля из печатной платы, зубами зачистил и скрутил их все вместе — сработала защита блока питания компа по КЗ, система отрубилась.

                            (Помнится, писали, что авария на Фукушиме произошла оттого, что аварийные генераторы подвезли, а насосы подключить не смогли, потому что не было переходника с одного кабеля на другой, а отрубить нпеодходящие разъёмы от кабелей пожарным топором, зачистить кабели им же до жил и сделать скрутку никто не догадался. В обоих случаях мы говорим о ситуациях, когда не до красоты или безопасности — надо, чтобы любой ценой сработало.)
                              +3
                              Закорачивание 5В в USB может привести только к срабатыванию токовой защиты на данном порту, но никак ни к отключению БП по перегрузке.

                              И кстати оператор( если он homo sapience) никогда не будет делать таких резких действий, что бы потом не стать соучастником террористов( т.к. изначально он не в чем не виноват, а вот после самодеятельности...)
                                0
                                По поводу закорачивания с вами не согласен. Лично отправил комп в ребут несколько раз когда чинил мышь не отсоединив её от компа. чуть замкнул что-то — комп в перезагрузку. Не знаю, может это от материнской платы зависит, или от БП, но у меня было так.
                                  0
                                  Зависит от реализации железа. Видел, например, защиту от КЗ на плате с разъемами на морде корпуса.
                            +7
                            Тут есть некоторые "но": диспетчера действуют по строгим инструкциям. От их действий на компьютере могут пострадать люди на подстанциях и т.п.

                            Ни в одной инструкции нет такого пункта, как нажать ресет или выдернуть сетевой кабель. Такое просто не предусмотрено. А за самодеятельность он рискует не только потерять работу, но и получить срок.

                            И ещё один момент — диспетчера они не специалисты по компьютерам. Так что журналистское "ошалело смотреть на происходящее", скорее всего означает, что когда увидили странное поведение курсора, то насторожились, когда он начал осуществлять переключения — не на шутку взволновались и стали звонить местным системным администраторам. Вот это вот всё могло занять до 5-10 минут.

                            PS: безопасники они вообще не при делах. В том энерго, где я работаю, допустим, безопасностью вообще занимается айти отдел. Ну т.е., как безопасностью, антивирусы поставить, интернет кое-как настроить. Именно безопасность, это дело десятое.
                              +3
                              > журналистское «ошалело смотреть на происходящее», скорее всего означает, что когда увидили странное поведение курсора, то насторожились,

                              Сразу вспомнилось:

                              «Штирлиц и Кэт шли по улице. Вдруг раздался выстрел, и Кэт упала. Штирлиц насторожился.»
                                0
                                > От их действий на компьютере могут пострадать люди на подстанциях и т.п.
                                Случилось как-то бывать на энергетическом объекте (не энергосеть района, конечно, а так, городской электротранспорт), там в то время как раз внедряли новую систему управления.
                                Так у них было железное правило: если человек работает на объекте, то объект без вопросов переводится на ручное управление, как раз для того, чтобы оператор не натворил «шаловливыми ручками».
                                И у оператора в инструкциях был среди прочего пункт про перезагрузку терминала, с которого производилось управление, если управление становилось невозможным (что при мне один раз и произошло).
                                  +1
                                  Так у них было железное правило: если человек работает на объекте, то объект без вопросов переводится на ручное управление, как раз для того, чтобы оператор не натворил «шаловливыми ручками».

                                  Это правило — это основное, о чем говорится в ПТЭЭП, МПОТ и ещё в десятке инструкций по включению/переключению/отключению вводных аппаратов и автоматов отходящих линий. Грубо говоря, это таблички «Не включать. Работают люди.» и «Работа на линии».
                                  И вообще, непонятна ситуация с дистанционных выключением автоматов: у автоматов в ячейках (закрывающихся на круговой ключ) на моих подстанциях есть специальная «шпилька», идущая к ручке управления на лицевой стороне панели. У этой самой ручки есть специальные отверстия, в которые при повороте ручки и включении автомата, можно засунуть обычный навесной замочек и закрыть на ключ. Автоматы самые обычные. Конструкция ячеек и панелей тоже самая типовая. Да, на отходящих автоматах и у вводного автомата есть такие функции удаленного управления, но если ручка «закрыта на замок», то ни в ручную (без ключа от замочка просто физически нельзя ручку повернуть на выкл/вкл), ни уж тем более по интернету — не открыть. Я не думаю, что у тех ячеек, которые стояли на украинских подстанциях был советские рубильники 30-х годов, в которых нет такой защитной функции.
                                  0
                                  В том энерго, где я работаю, допустим, безопасностью вообще занимается айти отдел. Ну т.е., как безопасностью, антивирусы поставить, интернет кое-как настроить.

                                  А вот скажите, зачем на этих машинах интернет? Почему нельзя обойтись ведомственной сетью?
                                    0
                                    На компьютерах, с которых идёт управление подстанциями интернета нет. По сути на компьютере ничего, кроме программы управления не запущено. С другой стороны знаю точно (у нас так, как оно в Ивано-Франковске, утверждать не возьмусь), что часть данных программа получала через обычный 2g или 3g мобильный интернет — при отключении определённых подстанций выключались мобильные станции, с них запитанные и терялась связь с подстанцией. Включить её можно было обратно только через звонок на место. :)
                                      0
                                      На компьютерах, с которых идёт управление подстанциями интернета нет.

                                      Это радует.

                                      часть данных программа получала через обычный 2g или 3g мобильный интернет

                                      Ну, если 3G модем подключается в VPN (по договору с оператором связи) — это ещё куда ни шло. Хотя оператор — слабое звено. Или если нормальное шифрование организовано между подстанций и арм-ом. А ещё лучше и то, и другое.
                                  +1
                                  Вы среднестатистического оператора видели? Поверьте, он будет "ошалело смотреть на происходящее", а звонить будет когда уже что-нибудь вырубится.
                                    0
                                    Это правильно. Но так может поступить только ПОДГОТОВЛЕННЫЙ и тренированный персонал. Большинство действительно "ошалеют".
                                      +1
                                      Бегать по залу и провода выдергивать конечно можно. Только боюсь результата не будет. SDADA сервера находятся в другом зале/здании/городе. Адреса/пароли/явки у злоумышленников. И доступ к объектам уже получен (фирмварь на контроллерах поменяли).

                                      Показательные выступления с ползающим по экрану мышиным курсором всего лишь мэсседж "вас поломали, не сомневайтесь"
                                    +1
                                    На ОС Windows заход по RDP блокирует сеанс локального пользователя. Он не будет видеть рабочий стол, а только окно ввода пароля. На серверных Windows сеанс RDP будет проходить в фоновом режиме, диспетчер бы ничего не заметил.
                                      0
                                      Для WinXP есть неофициальный «патч», снимающий ограничение в 1 сеанс RDP. Хоть 10 человек могут параллельно работать. Что мешало вирусу сначала его поставить?
                                        +1
                                        Спасибо за инфу про патч, не знал. Но всё равно не сходится. Если речь идет о патче, который снимает лицензионное ограничение, то у каждого пользователя будет отдельный сеанс.
                                        То, что описывалось в статье, больше походило на работу программы Radmin и ей подобных.
                                          0
                                          скорее всего DameWare
                                      +1
                                      Чесно скажу, что не сразу понял о чем Вы. Скажу, что не понаслышке знаю, что много из диспетчеров даже не знают о ее соществовании (я о кнопке «ресет»), так как в компьютерах разбираются, мягко выражаясь, слабо.
                                  • НЛО прилетело и опубликовало эту надпись здесь
                                      0
                                      "2. Reset (практически всегда) приводит к выдаче аварийной ситуации подсистемы (поэтому очень часто отсутствует)."
                                      Т.е. перезагрузка рабочей машины диспетчера — это аварийная ситуация?
                                        0
                                        > 2. Reset (практически всегда) приводит к выдаче аварийной ситуации подсистемы (поэтому очень часто отсутствует).

                                        Представляю себе, какие ужасы творятся в энергосистеме каждый Patch Tuesday (с учётом любви винды перезагружаться для установки патчей, когда её левая пятка захочет).
                                          0
                                          На промышленных версиях винды обновления отключены.
                                          0
                                          2. Reset (практически всегда) приводит к выдаче аварийной ситуации подсистемы (поэтому очень часто отсутствует).

                                          Вы говорите про АРМ диспетчера?
                                            0
                                            Возможно речь о том, что доступность АРМ мониторится, и его пропадение из сети повод для создания аварийной заявки соответствующей службой.
                                            • НЛО прилетело и опубликовало эту надпись здесь
                                                0
                                                А зачем в телемеханике такие параметры? 1мс? 500мс?
                                                Кто там в таком realtime будет реагировать на события? Оператор что-ли?
                                                • НЛО прилетело и опубликовало эту надпись здесь
                                                    0
                                                    так ТМ, РЗА, РАС — разные системы. В ТМ 1с если ничего не путаю?
                                                    • НЛО прилетело и опубликовало эту надпись здесь
                                                        0
                                                        Что-то стрёмная какая-то схема.
                                                        Ну а отвалился телеканал — и как произойдет отключение аварийного участка?
                                                        Или если "может подождать", тогда и к телемеханике повышенные требования предъявлять бессмысленно.
                                                        А смешивание функций систем — это бомба замедленного действия.

                                                        Вон, у нас на одном объекте "заложили" тоже горе-проектировщики: убрали локальную автоматику, а её функции возложили на АРМы.
                                                        В итоге когда отказала телемеханика — спохватились только тогда, когда вода, которую никто не откачивал, появилась на пути (в метро это было).
                                                          0
                                                          А это не в Тбилиси случаем произошло?
                                                            0
                                                            Нет, в Тбилиси мы не работали.
                                                          • НЛО прилетело и опубликовало эту надпись здесь
                                                        0
                                                        Так это локальная автоматика делает.
                                                        Причём тут телемеханика?
                                                        • НЛО прилетело и опубликовало эту надпись здесь
                                                            0
                                                            Ну вот не должно быть "вышестоящих защит", в моём понимании.
                                                            Или, скажем так, не должно быть защит, требующих какого-то определённого времени реакции.
                                                              0
                                                              Не должно быть программируемых микроконтроллеров, как я ниже писал мнение к.т.н. В.И.Гуревича. «Похоронившего» тучи микросхем intel flash памяти через 15 лет, при их обещанном сроке службы 100 лет. В микропроцессорных устр-вах защиты подстанций.
                                                              Там оптимальны электромагнитные реле, дискретные тиристоры, транзисторы, интегральные компараторы максимум.
                                                              Но «школота» заминусовала.
                                                              • НЛО прилетело и опубликовало эту надпись здесь
                                                                  –2
                                                                  В.Гуревич — эксперт международной электротехнической комиссии по релейной защите.
                                                                  Его любимые швейцарские реле 1930-х годов до сих пор исправны и выдержат непрямой удар молнии. Или залп электромагнитного оружия (Красуха 1Л269 например).
                                                                  А «школота» с ардуинщиками допрограммируется до того, что «первый залетевший дятел разрушит цивилизацию».
                                                                  Поэтому у меня строится автономная система электроснабжения дома с 12-ю вольтами без ШИМ управлений и ВЧ излучений (радиомаяков для самонаводящихся ракет воздух-земля) :)
                                                                  • НЛО прилетело и опубликовало эту надпись здесь
                                                                    0
                                                                    Есть сферы жизнедеятельности, где нужно не как проще, а как надежней и постараться многократно запас сделать. Современные микросхемы становятся все менее надежными, по мере уменьшения техпроцесса. многократыне ошибки (в процессе проектирования, микрокодов, програмированния) надежности никак не добавляют. Да удобно, но уровень безопасности снижается. К примеру старое механическое УЗО срабатывает от батарейки, новое с электронным управлением требует допуски по напряжению когда оно работает иначе оно не работает. Удобно, дешевле, но надежность снижена.
                                                                    • НЛО прилетело и опубликовало эту надпись здесь
                                                                        0
                                                                        Запрещать не стоит. Но менталитет, новые схемы, другие подходы, а учат по старому. Меня учили делать скрутки к примеру в свое время, хотя они были не рекомендованы. не все проблемы можно решить, но вот попытаться примирить можно, но это года и года.
                                                                        • НЛО прилетело и опубликовало эту надпись здесь
                                                                    0
                                                                    Ну, вообще-то, где не нужна сложная и изменяющаяся логика, не нужны какие-то информационные функции — наворачивать ПЛК действительно не имеет смысла и даже вредно.
                                                                    Как минимум потому что обслуживающему персоналу диагностировать "черный ящик" сложнее, чем посмотреть на состояние десятка реле и выяснить по схеме кто кого включает-отключает.
                                                                    А в ПЛК и програмёры-то, которые его делали, могут долго ковыряться, выясняя какого рожна ему не хватает.
                                                                    • НЛО прилетело и опубликовало эту надпись здесь
                                                                        0
                                                                        Под ПЛК я имею ввиду любые программируемые модули, работающие непосредственно с объектом управления, которые теоретически могут быть заменены РКСом (раз уж у нас прошла такая песня).
                                                                        Так вот обычный электромеханик дядя Вася значительно быстрее выяснит "что не так" по состояниям релюшек (даже если для этого придется воспользоваться мультиметром), чем — ждать программиста, который потом столько же времени будет ковыряться в программе.
                                                                        • НЛО прилетело и опубликовало эту надпись здесь
                                                                            0
                                                                            Вместо дяди Вани можно обойтись кем угодно почти. А во программист? Да еще если нет связи ибо отключили электричество? программист будет всех сотни км ездить и сколько суток на это уйдет?
                                                                            • НЛО прилетело и опубликовало эту надпись здесь
                                                                                0
                                                                                В какой-то мере да, но фактор риска для программируемых критических участков многократно возрастает. Это тяжел овсе учесть, местами скорее всего и не возможно.
                                                                                  0
                                                                                  Тьма специальностей и просто родов занятий людей, где даже слова такого — программирование, — знать не надо.
                                                                                  Программирование должны знать программисты, в какой-то мере :)
                                                                                  Ну и то, чем ты не занимаешься — считай не знаешь. Так что или уж ты программируешь или не знаешь и не умеешь программировать.
                                                                                  А так — "в какой-то мере", когда-то видел как преподаватель на доске мелом программировал и считать, что можно лезть в программируемую систему с настроением " там разберёмся " — это большое заблуждение.
                                                                                0
                                                                                Да какое там "на пенсии". У нас на всех объектах есть обслуживающий персонал из местных специалистов. Иначе мы бы просто зашились обслуживая все свои системы от Дальнего востока до Прибалтики.
                                                                                И вот эти специалисты гораздо лучше ковыряются в релюшках, чем в контроллерах.
                                                                                И поэтому где не нужна навороченная логика: ну насос например включать/отключать по двум уровнями — там должен быть релейный ящик со схемой во внутреннем кармане и любой электромеханик, который даже первый день работает — разберётся в 2 минуты, вместо того чтобы ждать когда же с другого конца страны прилетит программист из компании, сопровождающей систему.
                                                                                Справедливости ради конечно надо сказать, что и ПЛК после нормальной пусконаладки каждый день по вине ПО из строя не выходят, но и аппаратные проблемы в микроэлектронике выловить гораздо сложнее, чем в РКС, где, грубо говоря, всё видно невооруженным или слабо вооружённым глазом и мозгом :)
                                                                                • НЛО прилетело и опубликовало эту надпись здесь
                                                                              0
                                                                              Ну и как вы программно диагностируете частичный отказ электролитич. конденсатора на плате?
                                                                              Или оптрона на цифровом входе. Который включается, только если напряжение в линии свыше 350кВ.
                                                                              • НЛО прилетело и опубликовало эту надпись здесь
                                                                        • НЛО прилетело и опубликовало эту надпись здесь
                                                                            0
                                                                            Без вышестоящих защит тоже нельзя. селективная реакция требует уже два уровня как минимум.
                                                            0
                                                            Первое, что сделала бы супер-квалифицированная команда хакеров, блестяще подготовившая операцию по нескольким направлениям (вплоть до перегрузки колл-центра) — подчистила бы логи (или отключила бы их нафиг, перенаправила куда-нибудь в /dev/null, оставила скрипт очистки… да мало ли что можно сделать, имея доступ, достаточный для перепрошивки аппаратуры). Здесь это сделано не было, так что «команда хакеров» оказалась одновременно супер-профи и банальными ламерами. Странно, да?
                                                            Второе. «Мышка гуляла по рабочему столу и клацала по кнопкам» (лень выдёргивать точную цитату — сути это не меняет). При обычном подключении по rdp локальная сессия отключается и оператор не видит «гуляния мышки». Через «удалённый помощник»? Может быть. Кто создал приглашение? Понятно: хакеры сами для себя. То есть доступ к АРМ таки был практически полный. Ну или какой-нибудь vnc или radmin поставлен. Но зачем, имея такой доступ, что-то там по экрану елозить? Не проще ли добраться до структуры данных скады (наверняка инженерная станция тоже либо постоянно в сети, либо появлялась там во время «подготовки атаки», и тоже взломана) и закидывать данные непосредственно куда надо, чтобы местные операторы вообще нифига не понимали. Или скопировать скаду на удалённый компьютер и рулить извне — тогда тоже никакой курсор никуда не победит.
                                                            Это так, навскидку по мелочи, если детально в этот «шедевр» не вчитываться. Детский лепет.
                                                            –20
                                                            На вору и шапка горит :) А чего сразу россияне? Есть ещё украинцы, есть татары… Правда там методы другие — обрубают железо, но не суть. Думаю, всё же вряд ли тут политический подтекст, иначе интереснее было бы экспорт рубануть — резонанс "обширнее".
                                                            Больше похоже на то, что скоро будет объявлен тендер на систему безопасности в энергосетях. Ищите мотив.
                                                            ИМХО, конечно, ну и давайте не о политике 0:)
                                                            +11
                                                            Мне кажется, атака (по описанию в статье) была слишком уж лёгкой по своим последствиям… Если бы была задача нанести реальный экономический ущерб и устроить долгий блэкаут, то ещё как минимум взорвали бы десяток опор ЛЭП где-нибудь в полях. Плюс побольше крупных ТПшек, питающих крупные микрорайоны городов. Так что, полагаю, это была либо тренировка, либо предупреждение, либо (что вряд ли) просто кучка опытных хакеров решила поглумиться.
                                                              +13
                                                              Начнем с того что ЛЭП подрывали уже, только на донбасе. Так же подрывали Ж/Д пути на достаточно большой неоккупированной части территории страны. Сейчас таких «туристов» успешно ловят на гарячем чуть ли не каждую неделю и это тысячи километров путей, а если так то и ЛЭП защищают надежно. Так что на тренировку это не похоже.
                                                                +2
                                                                Зачем уточнять про неоккупированность страны, с которой никто не воюет, простите?
                                                              +20
                                                              image
                                                                +14
                                                                <зануда>
                                                                В ленте говорится про резервуары нпз, а на форуме картинка установки по обезвоживанию нефти, причём с явно не рабочими параметрами (63 градуса после печки явно не процесс работы и даже на аварию не тянет) а судя по упоминанию скважин она вообще где-то в районе нефтепромысла)
                                                                </зануда>
                                                                  0
                                                                  Учитывая, что это имиджборда, а не серьезный ресурс, зря вы так. Хорошая шутка с претензией на правдоподобность. Хомячков пугать и веселить понимающих людей — в самый раз
                                                                +12
                                                                А это вообще нормально, что внутренняя сеть, из которой можно управлять электростанцией подключена к интернету?
                                                                  +3
                                                                  Надо же во время работы гиктаймс читать )
                                                                    +1
                                                                    Скажем подругому: и внутренняя сеть, и интернет — используют одни и те же каналы связи. Это практикуется во многих корпорациях, и уровень защиты очень зависит от квалификации админов и понимания серьезности вопроса руководством. Не так давно к примеру в одной конторе был инцидент с активацией вирусного кода, поступившего через эл. почту — что поделать, человеческий фактор везде ненадежное звено. Зловред был не простой. Сначала размножился, захватил компы и сетевые ресурсы, потом только дал о себе знать. Из-за изначально грамотного и серьезного подхода к распределению прав доступа, да и к безопасности в целом — ареал атаки локализован рамками отдела, не затронув другие подразделения. Рабочие станции были перезалиты, из бэкапов с ленты подняты тысячи испорченных вирусом пользовательских файлов. В целом устранение последствий заняло несколько часов, результирующие убытки незначительны. При других условиях, попади этот код в менее защищенную систему — были бы кранты полные.
                                                                      +1
                                                                      Им бы логично связь over токонесущие провода запилить.
                                                                        0
                                                                        Такая связь существует с 1960-х. Скорости там 33,6К. Потому сейчас на новых линиях тащат оптику.
                                                                          0
                                                                          Так можно оборудование проапгрейдить (если это их чему-то научит).
                                                                          Можно будет даже показания квартирных счетчиков удаленно считывать в перспективе.

                                                                          PS хотя подключиться к такой «линии передачи данных» довольно просто
                                                                            0
                                                                            не очень просто подключиться — там минимум 100 киловольт :)
                                                                              0
                                                                              маршрутизацию пакетов для удалённого считывания как налаживать собираетесь?
                                                                              0
                                                                              Неужели скорости 33,6К не хватает? Там же не картинки передаются.
                                                                                0
                                                                                21 век. Теперь надо телефонию, конференс-связь, и просто удаленное управление серверами удалено осуществлять. Кстати некоторые подстанции уже через спутник работают.
                                                                            +2
                                                                            Вот именно, что это ни по каким стандартам не нормально, от слова совсем, нельзя и точка. Вообще больше похоже на заметание следов действий неквалифицированного персонала, или обиженного работника. И в любом случае идиота (объясню почему), а уж тем более "российский след" — полная чепуха. Отрубать больницы от электросети, что бы кому то отомстить, что за глупость? И тем более бегающий курсор по экрану — это совсем уж не серьёзно (голливудское кино какое-то). А по поводу России, на минуточку, электросети Украины, России и почти всего СНГ, единое целое, очень сложно что то сломать в одном месте, что бы не аукнулось в другом.
                                                                            +4
                                                                            Удивительно, но украинские системы управления лучше защищены от подобного нападения, чем американские, поскольку хорошо отделены файрволами от бизнес-сетей. Но даже такой защиты оказалось недостаточно, поскольку сотрудники удалённо авторизуются в сети SCADA (Supervisory Control and Data Acquisition), откуда происходит управление электрическими подсистемами. При этом отсутствует двухфакторная аутентификация, так что зная учётные данные оператора злоумышленники могут взять на себя управление системами управления электрическими подстанциями.
                                                                            По такой логике что получается, если бы операторы работали в SCADA без авторизации — безопасность была бы еще выше? :)

                                                                            Если SCADA доступна снаружи, не важно по паролю или без него — я бы не назвал сети «хорошо отделеными файрволами».

                                                                            Он [курсор мыши] самостоятельно двинулся в направлении другого выключателя, и текущая сессия авторизации в панели управления неожиданно прервалась. Оператор попытался спешно залогиниться обратно, но его пароль уже не действовал: злоумышленники поменяли его. Ему оставалось только беспомощно смотреть на экран, где неизвестные нажимали на один за другим выключатели подстанций, прекратив работу около 30 из них.
                                                                            Тут вообще что-то непонятное. Как у злоумышленника и оператора могли оказаться разные сессии авторизации — если злоумышленник управлял курсором мыши того компьютера, за которым сидел оператор?
                                                                              0
                                                                              Скорее всего больше одной сессии нельзя (дабы в двое один вентиль не вертеть в разные стороны), а сама программа не принимает команды с консоли, так что пришлось установить аммуу и тыкать мышкой.
                                                                                +1
                                                                                Но как в таком случае хакер продолжил "тыкать мышкой" на глазах оператора — если у оператора прервалась сессия авторизации?
                                                                                  +1
                                                                                  Прочитал внимательнее описание процесса. Действительно, как-то не сходится.

                                                                                  Теоретически возможны следующие объяснения с понижением вероятности их достоверности.

                                                                                  1. Журналисты что-то напутали.

                                                                                  2. Оператор что-то напутал в объяснениях (от волнения или сознательно).

                                                                                  3. Автор перевода что-то напутал.

                                                                                  4. Почти фантастическая, но тем не менее: авторизация и управление выполняются с того самого компьютера, на котором «заморозилась», а потом, после вылета из сессии, «разморозилась» мышка, а злоумышленники просто сменили пароль, оборвали старую сессию на компьютере оператора и организовали новую уже на своем.
                                                                                  Просто же наблюдать за процессом «нажатия рубильников» (а в тексте не написано, что атакующие продолжали это делать мышкой оператора) можно было и без авторизации (что само по себе странно и очень плохо, ибо доступ без авторизации даже на «только посмотреть» для столь серьезных систем… должен быть хотя бы аккаунт на «только посмотреть»).

                                                                                  Могу придумать еще варианты, но они совсем уж фантастические. :)
                                                                                    0
                                                                                    Как уточнение любой из первых трех версий.
                                                                                    Вылет из сессии произошел уже после того, как все «рубильники» были «нажаты». Оператор попытался войти, чтобы включить все обратно, а не тут то было, пароль-то сменили.
                                                                                    А подправить последовательность событий могли, например, журналисты для вящего драматизму.
                                                                                      +2
                                                                                      Автор перевода слегка напутал, а в оригинале журналист выразился излишне цветисто.

                                                                                      All he could do was stare helplessly at his screen while the ghosts in the machine clicked open one breaker after another, eventually taking about 30 substations offline.

                                                                                      Ему оставалось только беспомощно смотреть на экран, гдепока неизвестные призраки внутри его компьютера нажимали на один за другим выключатели подстанций, прекратив работу около 30 из них.

                                                                                      Он смотрел уже на пустой экран.
                                                                                        0
                                                                                        Кликать может только мышь, значит оператор видел как мышь ходила по экрану и кликала на переключатели. Но это конечно фантазия журналиста или того кто ему рассказал эту сказку. Больше похоже на халатность и придумывание отмазки про хакеров.
                                                                                          +1
                                                                                          В английском языке «to click» = «щёлкать»; «to click open» = «размыкаться (со щелчком)», то есть не мышка кликала, а «ghosts in the machine clicked open one breaker after another» = «захватившие контроль над машиной неизвестные размыкали один размыкатель (breaker) за другим», соответственно тут ни слова о том, как именно отдавались команды — мышкой или не мышкой. Короче, наикривейший перевод.
                                                                                            0
                                                                                            ok, исправил, спасибо!
                                                                                              –1
                                                                                              Как носитель языка (и в некоторой степени — местной культуры) предлагаю услуги по предпубликационной вычитке переводов за некоторое количество К-единиц. ;)
                                                                                              0
                                                                                              Открываем оксфордский словарь и смотрим значение слова click
                                                                                              http://www.oxfordlearnersdictionaries.com/definition/english/click_1
                                                                                              из всех значений в данном случае подходит только второе.
                                                                                              в контексте размыкателей же используются глаголы to switch или to turn off.
                                                                                              поэтому призраки именно кликали мышкой, а не выключали размыкатели. Тем более в компьютере в котором призраки это делали (ghosts in the machine) размыкателей нет, Зато курсор мышки который кликает очень даже есть.
                                                                                                0
                                                                                                хотя чето туплю
                                                                                                  –1
                                                                                                  Уважаемый, я вижу — Вы на английском разговариваете со словарём, так вот: немедленно прекратите разговаривать с книгой — иначе и дальше будете переводить «naked conductor runs under the carriage» как «голый кондуктор бежит под вагоном». А я уже 15 лет ежедневно разговариваю с живыми людьми — там такие нюансы вылезают, которых Вам ни один словарь не расскажет. Ну, знаете, вида «сегодня бревно на спутнике макаку чешет.»
                                                                                          +1
                                                                                          Но как в таком случае хакер продолжил «тыкать мышкой» на глазах оператора — если у оператора прервалась сессия авторизации?

                                                                                          Издержки перевода (подробности выше).
                                                                                            +1
                                                                                            Отлично! Самая главная загадка всей истории решилась! :)
                                                                                      • НЛО прилетело и опубликовало эту надпись здесь
                                                                                          0
                                                                                          Это не объясняет противоречия в числе сессий.
                                                                                            0
                                                                                            Ну представьте работаете вы работаете и тут вас из сессии выкидывает — подозрительно!
                                                                                              +1
                                                                                              Как меня может выкинуть из сессии, если злоумышленник, который двигает по моему экрану мой курсор мыши — продолжает реализовывать свои злоумышления?
                                                                                                –1
                                                                                                Читайте всю цепочку комментариев, а не только последрий. (Ту часть где по поводу ammyy написано)
                                                                                                  0
                                                                                                  Я-то читаю все комментарии, но картинка все равно не складывается.
                                                                                                    0
                                                                                                    И в амми и в тимвьювере можно отключить отображение происходящего прокладке между монитором и креслом, очевидно речь об этом, но журналисты как всегда не в теме
                                                                                                      0
                                                                                                      Ему оставалось только беспомощно смотреть на экран, где неизвестные нажимали на один за другим выключатели подстанций, прекратив работу около 30 из них.
                                                                                                      Из этого фрагмента следует, что отображение ему не отключали.
                                                                                                        +1
                                                                                                        Да, изначально не отключили, потом видимо отключили и именно этот момент журналисты назвали "выкинуло из сессии".
                                                                                                          0
                                                                                                          Хронология в статье приводится прямо противоположная. Перечитайте, пожалуйста, процитированный мною изначально фрагмент полностью, а не кусками.
                                                                                                            0
                                                                                                            Там совсем все печально. Сказано о завершении сессии в некоей панели управления, в которую он попытался обратно залогиниться. Но как минимум мышка его уже не слушала.
                                                                                                            Это перевод, да еще и Ализара. Надо смотреть оригинал.
                                                                                                              0
                                                                                                              Ну, я-то сразу так и написал, что все печально и непонятно. Но 4 человека почему-то пытаются доказать обратное...
                                                                                          0
                                                                                          Скорее всего злоумышленники тестировали сразу несколько каналов атаки и в данном случае устроили удаленное управление непосредственно на терминале оператора, заодно заблокировав ему мышь и клавиатуру.
                                                                                            0
                                                                                            Но что в таком случае означают слова "Оператор попытался спешно залогиниться обратно, но его пароль уже не действовал: злоумышленники поменяли его"? Он это пытался сделать при заблокированных клавиатуре и мыши?

                                                                                              0
                                                                                              > и текущая сессия авторизации в панели управления неожиданно прервалась.

                                                                                              Возможно, что сразу после этого ему и управление вернули.

                                                                                              Впрочем, как вариант, оператор мог просто сначала впасть в ступор, а уже потом, описывая происшествие, прикрывать свое бездействие, ссылаясь на то, что мышь ему не подчинялась.
                                                                                          +5
                                                                                          Браво, alizar, второй интереснейший перевод за день!

                                                                                          Любопытно было бы узнать подробности TDoS-атаки: сколько и каких телефонных номеров было в ней задействовано.
                                                                                            0
                                                                                            А что сложного в организации спама на телефонные номера? В самом простом случае (рассуждаю, как я бы решил эту задачу) скайп + какой-нибудь автокликер, раз за разом набирающий номер. По 1-2 виртуальной машине с этим комплектом на каждый телефонный номер, который надо заспамить. Коллекторы вон блокируют же работу больниц, так, что телефоны становятся бесполезными, ни туда, ни сюда позвонить.

                                                                                              +1
                                                                                              Как вариант подать кучу объявлений о предложении каких-нибудь актуальных товаров задешево. Телефоны заспамятся на некоторое время.
                                                                                                +1
                                                                                                Это нужно сделать в строго определённое время. И так, чтобы не оставить наводок на тему звонка, иначе будут вопросы — какое объявление, где опубликовано? Так что ваш вариант пролетает.
                                                                                                  0
                                                                                                  Та куча есть контор в интернете, которые тебе за деньги заспамят по телефону кого-угодно, только плати.
                                                                                              –2
                                                                                              Перевод без ссылки на оригинал — это не "браво", это стыд.
                                                                                                +4
                                                                                                Хинт — для статей-переводов на ГТ есть отдельное специально для этого предназначенное поле с указанием автора оригинала и ссылки на него (под статьей после тегов).
                                                                                                Включая данный случай: Автор Kim Zetter, оригинал опубликован на http://www.wired.com/2016/03/inside-cunning-unprecedented-hack-ukraines-power-grid/
                                                                                                  –1
                                                                                                  На момент написания моего комментария статья не была оформлена как перевод. Ализар сделал это позже.
                                                                                                    +1
                                                                                                    Здесь невозможно изменить тип статьи после публикации, если изначально указал "Перевод" или "Публикация", уже не поменяешь.
                                                                                                      0
                                                                                                      Значит я совсем слепой стал. В таком случае прошу прощения. Мой исходный комментарий был вызван именно тем что я не увидел, что это перевод.

                                                                                                      Насчет "невозможно" — теоретически, возможности редактора могут и отличаться от возможностей простого пользователя. :)
                                                                                              –23
                                                                                              Возможно, это банальная месть людей, которые живут в Крыму?

                                                                                              В АСУТП с безопастностью все очень нехорошо. Надежда лишь на то, что промышленная сеть обычно развязана от общей, но к части оборудования обычно нужен удаленный доступ, через который осуществляется поддержка сторонними компаниями/разработчиками. А это, во многих случаях, банальный team viewer.
                                                                                                +1
                                                                                                А может это банальная халатность, и не профессионализм сотрудников? Удаленный доступ для поддержки сторонними компаниями и разработчиками,
                                                                                                для объектов от работы которых зависят жизни людей?

                                                                                                Кроме слов Лаврова (дб) сказать тут наверно нечего.
                                                                                                  +1
                                                                                                  Ну дык, распил и откат — это не чисто российское изобретение.

                                                                                                  Тут (https://habrahabr.ru/post/273249/) вот рассказывают, как заглянуть на дачу к президенту…
                                                                                                    –1
                                                                                                    Ну так загляни, потом поделишься. )
                                                                                                      +1
                                                                                                      Уважаемый, мне почему-то кажется, что мы с Вами на брудершафт не пИли. А делиться с Вами будет densneg; я «просто разместил объяву» ©.
                                                                                                        –5
                                                                                                        Я на брудершафт ни с кем не пью, а на тему ты, вы смысла рассуждать нет. Это форум.
                                                                                                      0
                                                                                                      Спасибо, за ссылку. Такие страсти и интриги.
                                                                                                      0
                                                                                                      Я не говорю, что это действительно так на АЭС. К сожалению, со спец. софтом на АЭС я не сталкивался, но в обычном АСУТП, таком как решения от Siemens Simatic, Schneider Electric Modicon, GE Fanuc, Mitsubishi Electric, Festo, Овен и т.д. сетевая безопасность не является приоритетом, увы. Обмен возможен только по стандартному протоколу и попав в сеть можно в ней делать что угодно, зная протокол. Никогда не встречал Profinet secure или подобного, чтобы трафик между контроллерами был зашифрован и возможна аутентификация/авторизация между устройствами. То есть, злоумышленнику достаточно попасть внутрисеть и, например, по modbus/tcp дать команду устройству.
                                                                                                        0
                                                                                                        На АЭС эти сети разделены физически, попасть в сеть управления можно только с управляющего компьютера. Впрочем, на АЭС высокие технологии пока применяют только для управления вторичными устройствами и мониторинга. Для управления используются железные контроллеры и по сигналам с пульта, никаких компьютеров.
                                                                                                          0
                                                                                                          Точно, никаких компьютеров с выходом во внешнюю сеть или SCADA на БЩУ, по крайней мере российских, АЭС нет. ПК для офисных задач, внутренней почты не в счет.
                                                                                                            0
                                                                                                            В продолжение темы как организованы эти системы.
                                                                                                            Попалось описание SCADA-система InTouch на Новосибирской ТЭЦ-5
                                                                                                            http://www.wonderware.ru/pdf/Wonderware_Success_Novosibirsk_InTouch_ru_0111.pdf
                                                                                                            Верхний уровень ПТК, составляют технические средства, объединенные дублированной сетью Ethernet:


                                                                                                            • три операторские станции, образующих 6-мониторный АРМ машиниста;
                                                                                                            • двухмониторная операторская станция старшего машиниста;
                                                                                                            • операторская станция персонала, обслуживающего АСУТП;
                                                                                                            • инженерная станция наладчиков;
                                                                                                            • инженерная станция проектирования;
                                                                                                            • дублированный сервер базы данных;
                                                                                                            • дублированный сервер приложений;
                                                                                                            • вспомогательный сервер, обслуживающий принтеры А3 и А4, выполняющий также функцию моста в общестанционную сеть;
                                                                                                            • операторская станция лаборанта-химика, расположена в экспресс-лаборатории и связана с остальными средствами недублированной сетью Ethernet;
                                                                                                            • рабочая станция метролога-теплотехника подключённая к недублированной общестанционной сети Ethernet;
                                                                                                            • совмещенная рабочая станция метролога-электрика и инженера РЗА подключённая к общестанционной сети Ethernet
                                                                                                        0
                                                                                                        Жизни людей? Не думаю.
                                                                                                        http://almih.narod.ru/lib-en/pue/_a-b-b-c.html

                                                                                                        В любом случае, сегодня это стандартная ситуация.

                                                                                                        https://www.shodan.io/search?query=scada
                                                                                                        https://www.censys.io/ipv4?q=scada+energy

                                                                                                        https://www.tofinosecurity.com/blog/project-shine-1000000-internet-connected-scada-and-ics-systems-and-counting

                                                                                                        Project SHINE development started mid-2008 and began ingesting raw data in mid-April 2012. It was initiated to determine a baseline of just how many SCADA/ICS devices and software products are directly connected to the Internet. At the time we started, many people said that the answer to our question would be «very few, if any.»

                                                                                                        To date, we have not reached a baseline (aka, «the bottom») in the total number of devices we discovered. The average number of new SCADA/ICS devices found every day is typically between 2000 and 8000. So far we have collected over 1,000,000 unique IP addresses that appear to belong to either SCADA and control systems devices or related software products.

                                                                                                        These devices include the traditional SCADA/ICS equipment, such as RTUs, PLCs, IEDs/sensor equipment, SCADA/HMI servers, and DCS. Non-traditional SCADA/ICS devices
                                                                                                        +3
                                                                                                        Зря минусуете. Может не стоит здесь искать руку Кремля и кровавой гэбни? Такое может провернуть человек с мозгами и определенным опытом. Возможно кому-то, например, человеку, который живет в Крыму, очень не понравилось сидеть в Новый год без электричества. Может он пошел в инст, который он ждал годами, может одного танка до первого воина не хватило и тут электричество и отрубило. Вот он и решил мстить тем, кто на территории Украины опоры ЛЭП подрывает. Таких недовольных в Крыму должно быть много.
                                                                                                          –1
                                                                                                          Оставшийся без электричества чел с помощью электричества отомстил? Это не слабый у него UPS был наверное чтоб столько времени атаку тянуть.
                                                                                                            +3
                                                                                                            Ну, никто ж не говорит, что отомстил он в ту же секунду. Месть, как известно, «это блюдо, которое следует подавать холодным».
                                                                                                          0
                                                                                                          Я как-раз работаю в этой области.
                                                                                                          Никакого удаленного доступа заказчики нам не представляют и более того — мы сами этого не только не просим, но даже требуем, чтобы в оперативную сеть никаких удаленных каналов не было.
                                                                                                          Это доставляет определенные неудобства в сопровождении: чтобы получить доступ нужно физически добраться хотя бы до какой-то точки, где можно включиться в оперативную сеть.
                                                                                                          Зато и хацкеры не шляются, как у себя дома.
                                                                                                          –3
                                                                                                          Все конечно нормально (сарказм). И управление энергосистемой из-под винды, и работа под админскими правами, и наличие на управляющих рабочих станциях интернета да и офиса до кучи. И еще вопрос у меня — а что любому com2ethernet контроллеру можно прошивку прям из сети апнуть? Американский отчет — просто вода, никакой инфы.
                                                                                                          Такой статье здесь не место. Если автор хотел набросить на вентилятор, то для этого есть куча ресурсов.
                                                                                                            +4
                                                                                                            Очень много софта в АСУТП требуют админа на компе. Да и софт для разработки и управления довольно низкого качества. Подавляющее большинство производителей уделяют не очень много внимания на софт для разработки и управления их оборудованием. Например, недавно настраивал софт компании Взлет "ВзлетСП". И пока не стартанул его под админом отчеты не получил.
                                                                                                            Прошивки, например, в шлюзах Moxa NPort обновляются из веб интерфейса.
                                                                                                              +1
                                                                                                              Боюсь спросить, у нас и на АЭС диспетчера могут в ютубе видео смотреть с пульта управления?
                                                                                                                0
                                                                                                                Не скажу за АЭС, но в НЭК Укрэнерго (оператор магистральных электрических сетей Украины) у диспетчеров телевизор в диспетчерской стоит.
                                                                                                                  +2
                                                                                                                  Дежурил во время ЧС несколько дней в диспетчерской местного энерго.

                                                                                                                  Из того, что видел, могу сказать следующее: рабочией станции на ХР. Интернета на них нет. Правда можно флэшку подключить. Для интернетов, офисов, фильмов и игр рядом стоит отдельная машина.

                                                                                                                  На счёт работы под админом ничего сказать не могу. На рабочем столе доступно только окно программы для управления сетью.

                                                                                                                  На экране возникло диалоговое окно с требованием подтвердить операцию, а оператор ошарашенно смотрел, как курсор скользнул в это окно и нажал кнопку подтверждения.
                                                                                                                  На самом деле оно немного не так. Во-первых, не оператор, а диспетчер, но это мелочи. А во-вторых, прежде чем выполнить переключение, диспетчер должен ввести пароль. И так делается перед каждым переключением. И на сколько мне известно (сам я был в ОДС, как наблюдатель) пароли для сессии и пароли для переключения — разные.
                                                                                                              –9
                                                                                                              «Прикарпатьеоблэнерго»… Я один лишнюю букву "о" тут читаю?..

                                                                                                                0
                                                                                                                Это ещё не самое нелепое сокращение, Вот пример получше www.google.ru/maps/uv?hl=ru&pb=!1s0x469630f44ec20bf5:0x6ebc6ca0f6fd272a!2m5!2m2!1i80!2i80!3m1!2i100!3m1!7e1!4shttp://www.adme.ru/zhizn-marazmy/post-neudachnyh-sovpadenij-v-reklame-655455/comments/!5z0LvQtdC90LDRjdGA0L7Qv9GA0L7QtdC60YIgLSDQn9C-0LjRgdC6INCyIEdvb2dsZQ&sa=X&ved=0ahUKEwi3iOjQ867LAhXJDZoKHWyQARcQoioIcDAQ
                                                                                                                  +2
                                                                                                                  Не могу понять, какая из них "лишняя" и что вы прочитали?
                                                                                                                    –4
                                                                                                                    Вы помните этот текст?

                                                                                                                    «По рзелульаттам илссеовадний одонго анлигйсокго унвиертисета, не иеемт занчнеия, в кокам пряокде рсапожолена бкувы в солве. Галвоне, чотбы преавя и пслоендяя бквуы блыи на мсете. Осатьлыне бкувы мгоут селдовтаь в плоонм бсепордяке, все-рвано ткест чтаитсея без побрелм. Пичрионй эгото ялвятеся то, что мы не чиатем кдаужю бкуву по отдльенотси, а все солво цликеом.»

                                                                                                                    Так вот, мне при чтении сокращения «Прикарпатьеоблэнерго» сочетание букв «еобл» всё время воспринимается по-другому…
                                                                                                                  +4
                                                                                                                  > во многих американских подстанциях отсутствуют резервные системы ручного управления
                                                                                                                  А за такие фокусы морду бить надо. Резервное ручное управление должно быть везде, где для этого есть хоть малейший смысл, хотя бы в опломбированном сейфе, если так страшно, что каждый встречный-поперечный что-то нажмет.
                                                                                                                    +1
                                                                                                                    Есть инфа, что у них и в военной технике так же обстоит, пруфов не будет. Отчасти за это их величают нудебилами. Как по мне, справедливо, и морду бить надо
                                                                                                                    +4
                                                                                                                    Как-то на сказку похоже. Еще и очень разбавленную журналистскими сравнениями. Оператор сидит не один, перед ними еще здоровенная схема области.

                                                                                                                    А учитывая общую ситуацию в энергосистеме вполне могло быть так:

                                                                                                                    Есть категории потребителей, которые отключаются при достижении определенных параметров. Поскольку "дикий капитализм" и "да я лучше знаю" на пару с любителями подзаработать далеко не редкость, то эти категории в общем-то существуют только на бумаге. Приходит к начальнику района недобизнесмен и говорит "мой ларек тут вырубается часто. Давайте сделаем так, чтобы считался категорией повыше. Буду благодарен." Сделали. Пока не было перебоев с поставками топлива все было хорошо (года с 2001 отключения практически не бывало, скорее как исключения, на них останавливаться не буду).

                                                                                                                    Наступает час Ч. Частота падает, все ждут срабатывания автоматики, а ничего не происходит. Еще и предприятие, упомянутое в статье, плевало на все предписания и жрет как не в себя. Пришлось вырубать вручную, а потом придумывать историю про вирус.

                                                                                                                    Подвариант — они сами так сделали, типа мы не при делах, хакеры все сами. Это гораздо проще, чем получить потом по голове от НЭК Укрэнерго.

                                                                                                                    В это я поверю больше. Хотя вариант отработки той же Россией из статьи или еще какой третей страной исключать на 100% нельзя, всякое бывало и может быть.

                                                                                                                    Любые совпадения в должностях и ситуациях случайны и приведены в качестве примера.
                                                                                                                      0
                                                                                                                      Эту версию можно было сколь-либо всерьез рассматривать до того момента как появилось расследование инцидента, причем сделанное не только самими сотрудниками УкрЭнерго. Да и не нужно было бы в описанном Вами сценарии отрубать электричество столь массово и столь надолго.
                                                                                                                        +1
                                                                                                                        Я работал с облэнерго и ситуацию представляю. И слежу за новостями. Вполне реалистичный сценарий, как по мне. И кстати, не так уж и много отключили, там на 100-150 МВт мощности отключили.
                                                                                                                      +1
                                                                                                                      Сколько всего ж, блин, уже на сеть завязано… Раньше одни тупые тумблеры/лампы были. Рубильник особо не хакнуть.
                                                                                                                        0
                                                                                                                        Вообще удивительно: неужели в системах АСУТП не предусмотрено никакой «защиты от дурака»? Я лично держал в руках «бешеную мышь», которая при подключении к компу выдавала хаотические данные, курсор скакал по экрану, запускались приложения, в них нажимались кнопки и т.д. Но одно дело офисный комп, а другое — технологический, на электростанции, у диспетчера железной дороги, на каком-нибудь опасном производстве…
                                                                                                                          0
                                                                                                                          Все мыслимые и немыслимые защиты существуют, и от дураков, и от злодеев тоже. Технический прогресс слишком быстро набирает обороты, и за ним не успевают готовиться нормативы строго обязательные хотя бы для стратегически важных сфер. При таком раскладе слишком многое начинает зависеть от каждого конкретного руководителя, выделяющего бюджет на админа той или иной квалификации, и на обеспечение информационной безопасности. При том что как правило IT сфера крайне далека от его компетенции, а надзорные органы не вправе потребовать скажем заменить d-link'и на циски, сегментацию сети, определенную политику резервирования и др. меры безопасности, да и сами подчас мало чего понимают. Поэтому требования к админу и его компетенции зачастую ограничиваются на уровне обеспечить работоспособность системы, а всё остальное упускается. С другой стороны, информационная безопасность это на 9/10 предвидение, моделирование и профилактика возможных проблем — поэтому тоже зачастую недооценивается руководством, пока не случится кирдык.
                                                                                                                            0
                                                                                                                            Вообще существует защита от дурака. Для осуществления переключения дистпетчер должен не просто нажать ОК, но ещё и пароль ввести.

                                                                                                                            И ко всему прочему было бы весьма интересно посмотреть записи с камер наблюдения. В них можно и монитор увидить, на котором всё происходило.
                                                                                                                              +1
                                                                                                                              В них можно и монитор увидить, на котором всё происходило.

                                                                                                                              Есть такой маразм в постсовковых странах (по другому это не назвать) — информация о расположении подстанций, ЛЭП и их характеристики являются государственной тайной.
                                                                                                                              Гениальная идея была рождена в России и перенята Украиной (распоряжение было еще с времен СССР, но его как бы не обновляли и не трогали до относительно недавнего времени) в то время, когда Гугл выложил очень качественное покрытие всей Украины.
                                                                                                                              Потому монитора нам не видать, придется верить на слово.
                                                                                                                                0
                                                                                                                                > Есть такой маразм в постсовковых странах (по другому это не назвать) — информация о расположении подстанций, ЛЭП и их характеристики являются государственной тайной.

                                                                                                                                Это не маразм. Это действительно важная информация.

                                                                                                                                Была реальная ситуация, когда даже по частично отретушированной фотографии пульта «вероятные партнёры» © вычислили расположение и производительность завода по обогащению урана: http://promzona.org/blog/403
                                                                                                                                  +1
                                                                                                                                  Думаю, имеется в виду, что кому надо — и так прекрасно найдёт, где идут ЛЭП и где стоят ТП по картам гугла. Или в крайнем случае съездит в турпоездку с фотоаппаратом. Не те это объекты, которые можно засекретить в эпоху цифровой спутниковой фотосъёмки.
                                                                                                                                    –1
                                                                                                                                    Ну, от «туристов с фотоаппаратами» колючую проволоку с собаками ещё никто не отменял, а от спутниковой фотосъёмки помогают подземные сооружения и надувные танки. Так или иначе, первая парадигма безопасности — «не надо концентрироваться на *стопроцентной* непробиваемости, это невозможно; надо сконцентрироваться на том, чтобы противоборствующему агенту добыча информации обошлась дороже, чем выгода, которую он получит от добытой информации». Если за рубль можно удорожить работу противника на десять рублей — это выгодно потраченный рубль.
                                                                                                                                      +2
                                                                                                                                      Речь идёт о ЛЭП. А их так просто не понадувать. И сверху их видно просто замечательно, если они, конечно, не закопаны.
                                                                                                                                        –2
                                                                                                                                        Ну, просеку со столбами сделать не так сложно, а есть ли на тех столбах провода, со спутника не видно.

                                                                                                                                        (А если даже и есть, то гудят ли...)
                                                                                                                                          0
                                                                                                                                          Для чего столько утомительных действий? Чтобы запутать вероятного противника? Так он не запутается.
                                                                                                                                      0
                                                                                                                                      Найти то могут найти, но для этого нужно проделать просто огромную работу по сбору информации, причём ножками и в реале. Если это надо делать относительно быстро — активность могут заметить и пресечь всё на корню. Гуглкарты, например, бываю весьма неточны. В ответственный момент может выплыть нежданчик — ну подумаешь делов-то на карте будет смещение от реальных координат метров на 500 или данные устарели на 2 года и ЛЭП в этом месте переложили парой километров в обход а нужный узел теперь за колючкой и охраняется…
                                                                                                                                      Другое дело, когда имеется актуальная документация — просто сиди себе в тепле и изучай.
                                                                                                                                        0
                                                                                                                                        Это только кажется, что работа огромная. Человек 10, по "ниве" на каждые 2 человека, за месяц прекрасно объедут и задокументируют сети в пределах средней области. Сам работаю в обслуживании оптических кабелей и понимаю, что при наличии желания, времени и денег на бензин это вполне возможно сделать. И по мне так пытаться бороться с таким "шпионажем" трудно: профи всё равно не попадётся, а если начать "охоту на ведьм", начнутся посадки невинных грибников, турисов с картой, всяких велосипедистов, обновляющих и уточняющих по результатом покатушки местность в OSM или Wikimapia, и прочих безобидных людей. Мне рассказывал пожилой преподаватель в колледже, как к нему домой приехал воронок после того, как он с друзьями-студентами в (примерно) послевоенные годы сфотографировал с набережной ростовский разводной железнодорожный мост, т.к. они писали дипломы по теме строительства мостов. Если такая бессмысленная и беспощадная фигня активно начнётся опять — это будет очень печально.
                                                                                                                                          0
                                                                                                                                          Месяц времени, 10 нив, 20 человек… слишком много ресурсов задействовано будет, велик шанс прокола. Особо слабое звено — люди.
                                                                                                                                            +1
                                                                                                                                            Как будто кто-то следит за всякими нивами, ездящими по разным грунтовкам около ЛЭП, и систематизирует, что они делают.
                                                                                                                                            У нас на юге таких грунтовок много и все они хорошо накатанные, местные жители их активно используют.
                                                                                                                                              0
                                                                                                                                              Да, конечно. Никто не следит. Но бывает местные очень бдительны и какая-нибудь бабка доложит участковому, а он вспомнит что в соседнем селе та же фигня была… всё это маловероятно, конечно. Да и вообще, пока ЛЭП не начнут массово взрывать никто и не почешется.
                                                                                                                                              Хотя вон периодически ловят же как-то любителей разбирать опоры на металл.
                                                                                                                                      0
                                                                                                                                      Это не маразм. Это действительно важная информация.

                                                                                                                                      Кому она важна? Вы выходите из расчета полномасштабной войны? Так кроме постсовка такой паранойи нигде нет.
                                                                                                                                      Канада, США, Польша, Германия, да что Германия, можно информацию по всей ENTSO-E нарыть вполне официально. И это только те карты, что я видел в свободном доступе (иногда за деньги).
                                                                                                                                        +2
                                                                                                                                        Видите ли, есть такие люди (некоторые называют нас хакерами), у которых при взгляде на *абсолютно* любой предмет первая возникающая мысль — «могу ли я это использовать для получения преимущества, и каким образом?» Соответственно, вторая мысль (если это мой предмет) — «как я могу не допустить, чтобы мой противник не мог воспользоваться им для получения преимущества?»

                                                                                                                                        Как там было у Лукьяненко?

                                                                                                                                        «И когда дверь в комнате раскрылась перед входящим капитаном, я совершено непроизвольно вспомнил, что движение двери обеспечивает сервомотор с независимым от корабельной сети питанием, который можно вывести из строя выстрелом или сильным ударом в правый верхний угол комингса.»

                                                                                                                                        Это очень полезное умение по жизни, даже безо всякой войны — например, делать деньги, причём с наитрепетнейшим почтением к уголовному кодексу.
                                                                                                                                          0
                                                                                                                                          «как я могу не допустить, чтобы мой противник не мог воспользоваться им для получения преимущества?»

                                                                                                                                          Это просто паранойя, не льстите себе.

                                                                                                                                          Как там было у Лукьяненко?

                                                                                                                                          А Ремарк писал по другому. Ему я доверяю больше. Там нет несознательного, там долгий и определенный процесс поиска, т.е. человек полностью переключается на эту задачу. Отсюда ваше:

                                                                                                                                          есть такие люди (некоторые называют нас хакерами), у которых при взгляде на *абсолютно* любой предмет первая возникающая мысль

                                                                                                                                          больше напоминает рассуждения вандала.
                                                                                                                                            +1
                                                                                                                                            > Это просто паранойя, не льстите себе.

                                                                                                                                            Это почти как в том анекдоте про обезьяну, моющую в реке банан. Считаете ли Вы это паранойей, не считаете ли — мне глубоко ультрафиолетово, а вот я свой миллион-другой баксов с этого имею.

                                                                                                                                            > больше напоминает рассуждения вандала.

                                                                                                                                            Вандал от милиционера отличается тем, что вандал по таким позывам действует, а милиционер — приходит туда, куда, как он чувствует, придёт вандал, и его арестовывает.
                                                                                                                                              0
                                                                                                                                              а вот я свой миллион-другой баксов с этого имею

                                                                                                                                              Налоги небось не платите. Никуда не уходите, за вами выехали.
                                                                                                                                                0
                                                                                                                                                Вам форму F-1040 предъявить?

                                                                                                                                                «Я, конечно, не херувим. У меня нет крыльев, но я чту Уголовный кодекс. Это моя слабость.» ©
                                                                                                                                                0
                                                                                                                                                Это почти как в том анекдоте про обезьяну, моющую в реке банан. Считаете ли Вы это паранойей, не считаете ли — мне глубоко ультрафиолетово, а вот я свой миллион-другой баксов с этого имею.

                                                                                                                                                Это типичная совковая паранойя. Есть два подхода:
                                                                                                                                                Первый, совковый — везде враги, нужно усложнить процедуру для все, чтобы даже законопослушному требовалось приложить массу усилий для в общем-то предусмотренного законом действия.
                                                                                                                                                Второй, нормальный — процедуры простые, для мошенников-преступников просто раздолье. Но тут логика в том, что число нарушающих закон настолько незначительно, что не нужно ограничивать свободы большинства.

                                                                                                                                                Вандал от милиционера отличается тем, что вандал по таким позывам действует, а милиционер — приходит туда, куда, как он чувствует, придёт вандал, и его арестовывает.

                                                                                                                                                Еще один совковый подход (отчетность пополнить, план ведь). Может все же профилактика лучше?

                                                                                                                                                P.S.Просто подумалось по вашим рассуждениям. Вы мне сейчас напоминаете анекдот "девушку из деревни вывести можно, а вот деревню из девушки — нет".
                                                                                                                                                  0
                                                                                                                                                  Так я и говорю — Вы там выводите из себя всё, что Вам угодно, а я из себя то, что приносит мне солидный доход, выводить не собираюсь.

                                                                                                                                                  А то Вы как в том анекдоте:

                                                                                                                                                  "— Между прочим, я не девушка!
                                                                                                                                                  — Подумать только, этим уже гордятся!" ©
                                                                                                                                      0
                                                                                                                                      Вообще существует защита от дурака. Для осуществления переключения дистпетчер должен не просто нажать ОК, но ещё и пароль ввести.
                                                                                                                                      Есть вероятность, что в случае ЧС оператор/диспетчер, для избежания непоправимого, просто не успеет произвести необходимые действия, если для каждого из них нужно будет вводить пароль, да ещё и соответствующий средним требованиям сложности.
                                                                                                                                        0
                                                                                                                                        Пароли — 4-6 символов из букв и/или цифр.

                                                                                                                                        А на счёт срочности: дежурил во время ЧС (не на западе Украине, в другой местности) в местном энерго. Был свидетелем ситуации, когда вдруг из ниоткуда был превышен лимит почти на 50МВт (при текущем лимите в 90-100), когда обрубилась свясь с подстанциями, менялась частота, когда был наоборот огромный недобор лимита, даже пожар на подстанции был. Но вот чего я не видел, так это что бы диспетчера что-то делали чисто на реакции.

                                                                                                                                        Времени на нажатие кнопки и ввода пароля находилось всегда и с лихвой.
                                                                                                                                      0
                                                                                                                                      Существует конечно. Но есть грань, за которой защита начинает мешать выполнять работу.
                                                                                                                                      И к сожалению, взламывали-то не дураки. Добрались до доверенной зоны, а там уже никаких защит.
                                                                                                                                      Так если защиты городить, можно дойти до того что переключатель физически нельзя будет перекинуть пока не введёшь пароль на панели из книги одноразовых паролей и не назовёшь кодовое слово текущей смены вслух три раза.
                                                                                                                                      +1
                                                                                                                                      Интересная статейка… Однако результат такой атаки не слишком велик. SCADA — это самый верхний уровень автоматизации. Оно в основном собирает данные о работе, неполадках и позволяет ограниченно управлять компонентами системы в ручном режиме. Штатное выключение сегментов при помощи этого возможно. Что собственно и случилось. Как мелкая пакость такая атака может сработать. Привести к серьезным последствиям скорее всего нет. Народ просто срочно вызвали на работу. Автоматические выключатели привели в нужное положение вручную. И в течение часа максимум двух устранили проблему. Хотя трюк с прошивкой конверторов интерфейса это круто. А что они кстати с ней сделали? Как изменили? Или они просто их сломали перезаписав неверную прошивку. Или просто настройки неверные вписали, чтоб доступ к оборудованию нарушить?
                                                                                                                                        0
                                                                                                                                        Судя по оригиналу просто сломали залив левую прошивку и сделав невозможным дальнейшее удаленное управление. Чем значительно затянули сроки ликвидации последствий — на такие объекты нужно было физически выезжать: для замены конверторов или их перепрошивки в аварийном режиме через какой-нибудь отладочный разъем если таковые там присутствуют.
                                                                                                                                          +1
                                                                                                                                          Я не знаю как такие проекты реализуются в Украине, но в тех проектах по энергетике, в России в которых я участвовал лично выход из стоя SCADA не является препятствием для функционирования системы электроснабжения. Да, многие операции придется делать вручную, но в целом все будет работать нормально. Конверторы интерфейса это скорее всего американские MOXA. Прошиваются они по веб интерфейсу, типа как бытовой роутер, а вот обратно, если прошивка залита «неудачно» прошить их целая отдельная история, хотя тоже возможно не критично.
                                                                                                                                        +3
                                                                                                                                        Я честно говоря в шоке, от системы безопасности на энергосетях, интересно это особенность Украинских энергосетей или у нас в России по такому же принципу сделано?

                                                                                                                                        Почему SCADA отделена от корпоративной сети файерволом? Зачем их вообще связали?
                                                                                                                                        Не безопасней ли разнести их физически, чтобы доступ к SCADA имели только сотрудники сидящие за компьютерами SCADA, но никак не менеджеры из корпоративной сети?

                                                                                                                                        Цитата — "пароли от VPN-сервисов, которые использовались работниками в удалённом режиме для доступа в систему SCADA"
                                                                                                                                        А зачем в SCADA вообще нужен удаленный доступ? Если уж нужна связь так она должна осуществляться исключительно внутри сети SCADA, и не по паролям, а по ключам. Что это за VPN сервера доступные из корпоративной сети?

                                                                                                                                        Цитата- "Сначала они изменили конфигурацию источников бесперебойного питания (UPS), которые обеспечивали резервное питание"
                                                                                                                                        Разве ввод резерва должен осуществляться не тупой автоматикой контролирующей напряжение в сети? Зачем его конфигурировать из системы?
                                                                                                                                        Нет напряжение — вводим резерв, простейшая автоматика которая используется везде.
                                                                                                                                        Ну и непонятно зачем в SCADA не просто удаленный доступ, а удаленный рабочий стол? Это уж вообще ни в какие ворота.

                                                                                                                                        А сама статья довольно неприятная своей политизированностью. Вроде прямо никто не говорит, но намеки на Россию в каждом абзаце.
                                                                                                                                        Я конечно понимаю что это перевод, но выглядит как заказная статья в стиле — вылей на конкурента ушат грязи. Зачем это на IT ресурсе?