Удаленный мониторинг ГТУ (газотурбинных установок)

Меня всегда занимал данный вопрос: в России много внедрений ГТУ: основная доля рынка принадлежит Siemens и General Electric.
Данные фирмы после своих внедрений предлагают своим клиентам сервис удаленного мониторинга (в рамках сервисного контракта, который и составляет основную прибыль), то есть некая система опрашивает Ваше оборудование (вплоть до самих контроллеров) и отправляют данную информацию за пределы России матушки.
Опять же, насколько я могу судить, большая часть Заказчиков досконально не пытается построить свою систему так, чтобы предотвратить любые "встречные" пакеты в свой защищенный контур ГТУ, да и Исполнители в этом плане не гибки (вот есть решение его и внедряем).
Лично меня данная ситуация всегда смущала (это как минимум).
В 2015 году после поручения Президента началось хоть какое-то движение, чтобы эти центры мониторинга находили в России.
Декларировалось это, безусловно, в основном как процесс импортозамещения, так как в России имеют место быть компании, которые потянут мониторинг импортного оборудования.
Я это к чему? А к тому, что тема еще "шевелится" и МинЭнерго пытается собрать подробную информацию с основных производителей на территории РФ об их системах мониторинга.

"Бытовые случаи" ИБ

Зачастую компании рассказывают об известных мировых или широкоизвестных региональных случаях взлома информационных систем, о требованиях законодательства в области ИБ, о глобальных рисках в случае инцидентов в системах АСУ ТП и так далее.

Это, безусловно, хорошо и нужно, но, на мой взгляд, нужно рассказывать и о том, что произошло в Вашем городе, в Вашем регионе, возможно, с Вашими соседями или друзьями.

Со временем число людей, которые скажут Вам, что они как объект атаки не представляют интереса будет минимизировано.

Условно, я назвал подобные инциденты «бытовые случаи».

Пример №1.

В одной из организаций города Казани используется самописное программное обеспечения для бизнес-планирования и учета продукции. Автор данного программного обеспечения (далее ПО) бывший сотрудник данной организации. После некоторого интервала времени руководство организации пришло к выводу, что столь частый выход из строя данного ПО имеют только одну причину, а именно финансовый интерес бывшего сотрудника, который довольно часто приходил и «устранял неисправности».

Для решения данной задачи была выполнена декомпиляция данного ПО для получения исходного кода для. На данный момент ПО не выходило из строя 5 месяцев.

Пример №2.

При миграции с одного антивирусного программного обеспечения на другой в одной из казанских организаций по настоятельной просьбе руководства один из АРМ остался без антивирусной защиты с актуальными базами сигнатур за двое суток.

Мотивировалось данная позиция тем, что работа данного сотрудника очень напряженная, и он (сотрудник) выполняет задание критичной важности.

За данный период данный сотрудник загрузил файл (пришедший по электронной почте) с криптолокером (про криптолокеры я писал ниже).

Так как антивирусная актуальная защита отсутствовала, то началось шифрование файлов на данном локальном компьютере.

В запасе у меня остался свежий случай веб-атаки на интернет-магазин и злоупотреблений на производстве бетона.

Нацеленные "трояны" или почему стало так много вскрытых систем?

  Добрый день!

  Как обычно, в начале года пытаюсь взять себя в руки и вести страницу.

  Думал над тем, что в последнее время, заработок на банальных вирусах -троянах настолько хорошо выстроен, что вызывает уважение.

  Тренд последнего времени вирусы-шифраторы. Данный вирус может зашифровать все Ваши документы, а также файлы 1С. Вы ведь готовы заплатить (средний ценник 20 тысяч рублей) за то, чтобы вся важная информация на Вашем компьютере была восстановлена?

  Следует отметить, что доставка данного вируса осуществляется при помощи атак социальной инженерии: заводится отдельная электронная почта, придумывается текст сообщения, который может Вам отправить любой Ваш контрагент и добавляется гиперссылка на скачивание. Сейчас злоумышленники пошли еще дальше – они звонят и предлагают отправить коммерческое предложение для изучения руководства. Конечно, данное дело обычное, и, снова вирус оказывается в Вашей сети.

  Недавно столкнулся с вирусом, который в офлайн режиме (имея при себе словарь для перебора паролей) пытается подобрать пароль от Вашей учетной записи, чтобы затем постараться установить удаленную сессию, которой уже воспользуется злоумышленник.

  Или возьмем пару свежих примеров:

  24 декабря 2015 года в АлтынБанке город Казань вирус отправлял платежки (с подменными реквизитами). Информации в СМИ мало, но по тем крохам, что есть можно предположить, что это действовал троян, который предоставил удаленный доступ другой стороне, после чего был запущен троян типа шифровальщика для уничтожения следов.

  Вирус скорее всего начинал свою итоговую работу 23 декабря.

  Отмечу, что АлтынБанк был самым прижимистым банком из всех в РТ, я так думаю.

  

В это же время где-то на Украине...

  В среду 23 декабря из-за технических сбоев в работе «Прикарпатьеоблэнерго» без электроэнергии осталась половина Ивано-Франковской области и часть областного центра.
  Государственные органы и специалисты американской компании SANS ICS официально сообщили, что причиной этому послужила кибератака.
  Судя по информации в СМИ отработал BlackEnergy (троян) с последующим предоставлением удаленного доступа по протоколу SSH,
  

Самое ценное, что есть в данной информации, что есть довольно простые шаги, которые помогли им избежать подобных печальных последствий:

1) Проводить постоянные работы с сотрудниками по фактам пользования usb и сомнительных писем.

2) Ввести политику блокировки wscript.exe и cscript.exe.

3) Многие трояны, чтобы остаться незамеченными, после пребывания на каком либо машине обращаются к серверу для скачивания дополнительных модулей. Установите в сети единую контролируемую точку выхода в "Интернет". Кстати, антивирусный контроль на такой точке, помог бы запретить ряд подобных соединений.

4) Запретите нелигитимные подключения извне. Например, подключение по SSH можно было бы запретить на каком-либо пограничном устройстве.

Спасибо за внимание.

31 марта - день резервного копирования.

Я уже писал о такой базовой системе, и о моем взгляде на данный вопрос, как организация подсистемы антивирусной защиты.
А раз уж 31 марта - день резервного копирования, то скажите сколько внимания Вы ей уделили?

1) Начнем с простого можете ли Вы четко сказать сколько времени займет восстановление сервера (серверов) в часах?
2) Есть ли у Вас классификация по критичности?
3) Вы резервируете серверную инфраструктуру, рабочие станции, общие файлы, а подлежат ли у Вас резервированию настройки систем управления?
4) В каком состоянии у Вас хранение резервных копий?
5) Если Ваше резервное хранилище удаленное, то как защищается этот канал передачи данных?

Банк данных угроз безопасности информации.

Наверное, для Вас это уже не новость, но появился интересный сервис: http://bdu.fstec.ru/

Изучили? Какое Ваше мнение?)
Я думаю, что, конечно, работа интересная, но попытка обнять необъятное.
Или развитие и наполнение должно быть постоянно, но возникает вопрос, если производитель выпустил обновления и закрыл уязвимость, то кто будет проверять ее актуальность?
Здесь и уязвимости БИОС, и уязвимости перепрошивки микропроцессоров и элементы классификации OWASP...
А вот, например, АСУТП, захотел я проверить СУБД, но в списке уязвимостей представлены 3-4 типа, а как же информикс, линтер и так далее.
При первом осмотре такие ощущения.

АСУ ТП и паспорт безопасности объекта ТЭК.

Всем привет!
Мой первый пост в 2015 году.

Хотел бы обратить Ваше внимание на то, что если перед Вами стоит задача классификации АСУ ТП по Приказу №31, то сначала желательно взглянуть на паспорт безопасности объекта ТЭК (который Вы должны были сделать по ФЗ №256).

Кстати, имейте ввиду, что гриф секретности с паспортов безопасности уже снят.

Итак, 5 статья ФЗ №256 гласит:

2. С учетом того, является ли объект топливно-энергетического комплекса критически важным, и в зависимости от степени потенциальной опасности объекта топливно-энергетического комплекса устанавливаются три категории объектов топливно-энергетического комплекса:

1) объекты высокой категории опасности;

2) объекты средней категории опасности;

3) объекты низкой категории опасности

Приказ ФСТЭК №31 по АСУ ТП:
13.2. Классификация автоматизированной системы управления проводится заказчиком или оператором в зависимости от уровня значимости (критичности) информации, обработка которой осуществляется в автоматизированной системе управления.
Устанавливаются три класса защищенности автоматизированной системы управления, определяющие уровни защищенности автоматизированной системы управления. Самый низкий класс - третий, самый высокий - первый. Класс защищенности автоматизированной системы управления определяется в соответствии с приложением N 1 к настоящим Требованиям.

Другими словами, по моему мнению, если Вы доказали, что Ваш объект ТЭК низкой категории опасности, то будет сумбурно смотреться если Ваши АСУ ТП получат 1 или 2 класс.


 

Немного про экономическую безопасность (непонятная для меня тенденция).

Друзья, добрый вечер!

Зачастую в тех организациях, в которых отсутствует отдельная служба ИБ, данную функцию несет один или пара сотрудников (сотрудник), который относится к службе экономической безопасности.
Как обычно понимание задач ИБ у представителей данной службы весьма специфично.
Например, проверять и собирать сведения о контрагентах, соискателях, должниках и пр. должен именно специалист по ИБ: ведь это сбор информации, который влечет к усилению какой-то функции безопасности, а значит (играя словами) информационная безопасность. Но здесь я совсем о другом.
В последнее время публикуется много статей о том, как же проверить контрагентов, физические лица и прочее при помощи открытых источников. Некоторые представители уходят дальше и говорят, что при помощи тех же открытых данных они узнают и адрес, и телефон, и ФИО, и сведения об имуществе, об автомобиле и так далее.

Какое у Вас к этому отношение?

Я сам на практических занятиях рассказываю студентам о практических алгоритмах проверки контрагентов и физических лиц, пытаюсь до них донести, что в Интернете довольно много открытой информации и даже данные источники помогут отмести сомнительных партнеров (если хотите, здесь можем обсудить эти моменты).
Кстати вторым этапом я показываю студентам, что открытые источники это прекрасно, но лучше купить какую-то систему, которая позволит сэкономить время (особенно когда объектов проверки много и Вы выполняете работу не ради работы, а ради результата).

Итак, что меня всегда удивляет в выступлениях, советах, статьях и пр. в подобных материалах:

1) Серьезные люди объясняют другим серьезным людям, что информацию можно найти в открытых источниках, некоторые используют скудный набор федеральных официальных ресурсов, но скажите зачем? Почему Вы сразу не посоветуете купить систему, которая коррелирует эти данные, тем более Вы советуете использовать только федеральные официальные ресурсы?

2) Второй момент по построению логических линий. Вот авторы советуют обращаться к сайтам ФНС (выписка ЕГРЮЛ, адреса массовой регистрации, дискалифицированные лица), ФССП (приставы), список недобросовестных поставщиков, арбитражный суд, кто более продвинут говорит о системе ГАС РФ, узнать владельца домена, а потом...потом автор пишет: также есть такие системы как СПАРК, Интегрум, Контур-Фокус и так далее.
Если говорить о бесплатных ресурсах (пункт 1), то зачем же говорить о платных, которые данные из вышеописанных систем собирают автоматически?

3) Момент следующий, но это тот момент, который я больше всего не понимаю. Автор пошел по пункту 1, пошел по пункту 2, а далее говорит, да я вообще могу узнать все о человеке из открытых источников, ведь в "сети" валяется куча кем-то "залитых" реальных баз.

Я не поленился, внимательно изучил материалы данного автора.
Пугает обоснование правомерности использования подобных источников - логика автора потрясает - раз их кто-то выложил и "лавочку не прикрыли", то данные источники открыты и правомерны.
Меня, например, сразу интересует вопрос, а публиковать статьи с подобными ссылками уже нарушение закона и РКН может им заняться?
Ну и, конечно, было интересно узнать, а правда ли базы по данным ссылкам настолько полны?Один сайт оказался уже заблокирован, второй тоже, в третьем я пытался найти знакомых, о которых имею достоверные данные, но запросы не удовлетворялись.

Хотелось бы узнать Ваше к этому отношение.