Миссиоцентрический подход к кибербезопасности АСУ ТП
илиистория о солнце, ветре, 9ГВт и
спекании кабелей
Устранение!--snip--
Comment to PT-SOL-2014001:The upload path has been changed. It is still possible to upload files, but they can't overwrite system critical parts any more.
Comment to PT-SOL-2014002:The system backup is created in a randomly chosen path an deleted afterwards. Therefore an unauthorized access is made much more difficult and very unlikely.
Second comment to PT-SOL-2014002:In order to compensate the weak encryption in the configuration file, the whole configuration file is now encrypted via the new HTTP transmission.
--snip--
АСУ ТП: анализ защищенности
• Более 200 0-day• ABB
• Siemens
• Yokogawa
• Emerson
• Schneider Electric
• Спецсистемы
• Стандарты
• Методики
0
50
100
150
200
250
ABB Advantech Emerson Honeywell Other Siemens SchneiderElectric
Total Total Fix
Vulns Fixed
Кибербезопасность?
• Не все уязвимости имеют смысл
• Модель угроз• Учет промышленной и функциональной безопасности
• Учет экономической эффективности
• Учет надежности
Угрозы
• Нарушение промышленной безопасности: реализация угроз непосредственно влияет на промышленную безопасность, может являться причиной техногенной катастрофы.
• Снижение эффективности производственного процесса: реализация угроз явно снижает количественные экономические показатели процесса, автоматизируемого с помощью АСУ ТП.
• Другие нарушения функциональной безопасности и надежности: реализация угроз непосредственно не влияет на промышленную безопасность и оказывает косвенное влияние на качественные или количественные показатели эффективности, надежности и безопасности (SIL, наработка на отказ и т.д.).
Кибербезопасность!
Процесс обеспечения функционирования АСУ ТП, при котором отсутствуют опасные отказы и недопустимый ущерб, обеспечивается заданный уровень экономической эффективности, функциональной безопасности и надежности с учетом вероятности целенаправленного негативного антропогенного информационного воздействия на компоненты АСУ ТП.
От чего отталкиваться?
• Построение системы управления безопасности на отраслевом уровне
• Угрозы и требования• Отраслевые ФЗ «О безопасности…»• Методическое обеспечение ФСТЭК• 102-ФЗ «Об обеспечении единства измерений» и ГОСТ РВ
0015–002–012• ГОСТ 61508• ISA-62443-4
• Специфический Secure SDL• Внедрение в функциональную безопасность
• EN 50128 • Тестирование на уязвимости• Совместимость с средствами защиты
Проблемы телекомов?
*PacSec 2014, Tokyo, Japan
• Установка «троянца» на SIM
• «Взлом» модемов через SMS
• Взлом ноутбука через…
взломанный модем
• Кроме того: DES за 3 дня