ЖУРНАЛ «СТА» 4/2018

ность отключить либо перепрограмми- ровать ПЛК. Пример подобных атак был проде- монстрирован на примере ПЛК Allen- Bradley серии ControlLogix [3]. В про- цессе атаки сперва был установлен сеанс EtherNet/IP между компьютером и ПЛК, а затем, используя CIP-объект, атакующий ПК смог изменить ряд пара- метров в устройстве, таких как IP-адрес, сетевая маска и DNS-серверы. Аутенти- фикация для данных действий не требо- валась, только создание нового сеанса EtherNet/IP. Объект CIP не является вредоносным по своей природе, но он может быть использован злоумышлен- ником для вредоносных действий. Используя подобную технику атаки, несложно догадаться, что атакующий ПК может прослушивать активный се- анс и добавлять в последовательность передаваемых данных различные CIP- пакеты, например, для изменения IP- адреса ПЛК, с которым происходит об- мен, тем самым прерывая сессию. От- сутствие в протоколе EtherNet/IP аутен- тификации оставляет достаточно явную «дыру» для возможных атак. Но, наверно, более опасной является способность атакующего ПК иницииро- вать обновление прошивки. EtherNet/ IP – это протокол, который обладает очень гибкими возможностями, что, с одной стороны, повышает возможности управления, а с другой стороны, позво- ляет сделать критические изменения конфигурации, причём для этого не- обходимо лишь использование стан- дартного обмена CIP-сообщениями. Подобная уязвимость была также про- демонстрирована на примере ПЛК ControlLogix [3]. Но такие уязвимости протокола не являются недоработкой, так как изначально спецификация EtherNet/IP не предполагала это. Ана- лиз всех подобных уязвимостей приво- дит к вопросу: какой механизм аутенти- фикации можно было бы добавить в спецификацию для предотвращения отправки вредоносных сообщений CIP? И это уже область для будущих иссле- дований и разработки дополнительных стандартов. Но иногда возникает ситуация, когда угрозы связаны не с ограничениями спецификации протокола EtherNet/IP, а, скорее, с его реализацией. Эти про- блемы часто проявляются, когда стек EtherNet/IP не организует должным об- разом проверку на изменённые фреймы. Также существует заблуждение, что изменённые пакеты могут исходить только от злоумышленника, хакера и т.п., но это далеко не так. Например, не- корректно спроектированный челове- ко-машинный интерфейс (HMI) может привести к логической ошибке типа «один за единицу» (off-by-one error) в поле длины EtherNet/IP. Это приведёт к тому, что процесс, который запущен на сервере или ПЛК, будет неправильно использовать длины полей данных. В итоге можно констатировать, что не- правильная структура EtherNet/IP- фрейма также может нанести суще- ственный вред. Методы защиты EtherNet/IP Проблемы безопасности промыш- ленных протоколов, которые уже сей- час являются частью существующих стандартов и повсеместно используют- ся, скорее всего, останутся в ближай- шие 10–15 лет. В настоящее время ве- дутся обсуждения по добавлению новых функций безопасности в специфика- ции, но процесс внедрения, вероятно, растянется на многие годы. И даже ког- ОБ ЗОР / П РОМЫШЛ Е ННЫЕ С Е Т И СТА 4/2018 30 www.cta.ru ОФИЦИАЛЬНЫЙ ДИСТРИБЬЮТОР УЗНАТЬ БОЛЬШЕ