ЖУРНАЛ «СТА» 4/2018

относительно спецификации протоко- ла. Это необходимо для обеспечения правильного отображения структуры и значений в пакете. Во-вторых, необхо- димо определить, какие поля или дей- ствия будут иметь значимый смысл, с точки зрения пользователя. Далее они будут определены как фильтруемые. Начнём с проверки «правильности» пакета. Обычно подобные проверки могут существенно снизить атаки типа «отказ в обслуживании» (DoS). Резуль- татом же подобной атаки может стать ПЛК, который просто не отвечает. Что- бы предотвратить подобную атаку, про- верка должна выполняться в тандеме, как на уровне EtherNet/IP, так и на CIP. Эта проверка правильности также должна учитывать направленность па- кетов для определения запросов и отве- тов, поскольку они различаются по формату. Как отмечалось ранее, есть бит, указывающий, запрос это или от- вет, поэтому пакеты могут быть сопо- ставлены с адресами источника и полу- чателя и TCP-портами. Пакеты также могут быть проверены на правильность длины, допустимые пути запроса с ис- пользованием сегментов данных, дей- ствительность CIP-сервисов и т.д. С точки зрения пользователя, подоб- ная проверка должна быть реализована отдельно от оконечного устройства, на- пример, на отдельном брандмауэре. При этом такая проверка работоспо- собности протокола должна быть оп- циональной, потому что в некоторых случаях поставщик оборудования мо- жет не полностью придерживаться офи- циальной спецификации. Следующая область для фильтра- ции – это те поля, которые могут быть определены пользователем. Поскольку CIP – это объектно-ориентированная система с различными сервисами, дей- ствующими на объекты, имеет смысл фильтровать поля, которые обозначают, какой объект и сервис вызываются. Пользователь всегда может указать объ- екты и сервисы, которые безопасны для брандмауэра, и блокировать все осталь- ные. Например, чтобы предотвратить изменение злоумышленником парамет- ров CIP-объекта, пользователь может удалить этот объект из своего «белого» списка разрешённых объектов и серви- сов. Затем DPI-брандмауэр должен идентифицировать этот объект в паке- те и сравнить его с разрешённым спис- ком. Если сервис или CIP-объект явно не разрешены, брандмауэр заблокирует этот пакет. Спецификация ODVA описывает на- бор общих сервисов и необязательных объектов, которые могут быть привяза- ны к объекту. Она также позволяет по- ставщику группировать определённые сервисы. Эта группировка даёт возмож- ность реализовать список фильтров только для чтения или для чтения-за- писи. В качестве примера можно груп- пировать все атрибуты Set {Single, All} для команд записи, тогда как атрибуты Get Attribute {Single, All} можно сгруп- пировать для команд только для чтения. Ситуация становится более сложной при просмотре конкретных объектов. Если мы снова посмотрим CIP-сервис 0 × 54 Forward Open, привязанный к кон- кретному объекту CIP, то точно такое же ОБ ЗОР / П РОМЫШЛ Е ННЫЕ С Е Т И СТА 4/2018 35 www.cta.ru Рис. 5. CIP-пакет с несколькими сервисами (Multiple Service Packet) ОФИЦИАЛЬНЫЙ ДИСТРИБЬЮТОР УЗНАТЬ БОЛЬШЕ