ЖУРНАЛ «СТА» 4/2018

да эти изменения в стандартах будут приняты, с учётом специфики внедре- ния обновлений на промышленных объектах обновления тех же самых ПЛК будут далеко не быстрыми. Ведь, как правило, срок эксплуатации ПЛК на производстве может составлять 10, 20 или более лет. И даже смена политик безопасности существующих протоко- лов в SCADA и ICS (Industrial Control System) не может быть обеспечена с по- мощью патчей, так как функциональ- ность этих протоколов определяется в глобальных масштабах, требующих из- менений самих стандартов. Пройдёт ещё много лет до того, как будут широко использоваться более но- вые, более безопасные промышленные протоколы и устройства. Это оставляет миллионы существующих промышлен- ных устройств управления открытыми для возможных атак. Если атакующий ПК или червь смогут получить доступ к системе АСУ ТП, то это может привести к тому, что промышленный протокол, в нашем случае EtherNet/IP, может быть использован для отключения или пере- программирования большинства ПЛК. Получается, что необходим метод за- щиты уже существующих промышлен- ных протоколов, устройств и систем, независимо от будущих улучшений спе- цификаций. В IT-мире есть две основ- ные технологии, обеспечивающие без- опасность трафика в проводных сетях. Это шифрование и фильтрация паке- тов. Если рассматривать EtherNet/IP на базе этих технологий, то получается следующая картина. Шифрование данных и VPN Более подробно о технологиях шиф- рования и VPN было написано в [4]. VPN обеспечивает три ключевые воз- можности: ● конфиденциальность: VPN-сервер шифрует данные, проходящие между двумя конечными точками; ● аутентификация: VPN-сервер аутен- тифицирует каждую конечную точку; ● целостность: VPN-соединения обес- печивают неизменность сообщений при передаче между отправителем и получателем. Данный метод в целом является очень перспективными, но криптография в настоящее время страдает от ряда огра- ничений. Например, протокол EtherNet/IP является критичным по времени, и для каждого пакета, входя- щего в VPN-туннель, потребуются до- полнительные вычислительные ресурсы для шифрования и дешифрования паке- та. Для таких устройств, как ПЛК с огра- ниченными ресурсами центрального процессора, это может привести к значительным задержкам. Кроме того, VPN не обеспечивает проверку данных. Если авторизованный VPN-узел отправ- ляет ложные данные в туннель, на дру- гом конце туннеля эти данные появятся без изменений. Существует мнение, что наиболее перспективным использованием крип- тографических технологий является аутентификация устройств, а не шиф- рование потока данных [3]. Но, к сожа- лению, вопросы, касающиеся надёжно- го управления ключами или сертифика- тами для управляющих устройств, таких как ПЛК, по-прежнему остаются от- крытой темой для исследований. Глубокая инспекция пакетов (DPI) Deep Packet Inspection (DPI) – это рас- ширение традиционной технологиимеж- сетевого экрана, которая может обеспе- чить аналитику и управление трафи- ком EtherNet/IP. Более подробно о базо- вых принципах DPI было написано в [1]. ОБ ЗОР / П РОМЫШЛ Е ННЫЕ С Е Т И СТА 4/2018 31 www.cta.ru ХОРОШО ПОД СОЛНЦЕМ, ЕСЛИ ТЫ LITEMAX! ОФИЦИАЛЬНЫЙ ДИСТРИБЬЮТОР УЗНАТЬ БОЛЬШЕ