ЖУРНАЛ «СТА» 4/2018

значение 0 × 54 на другом объекте может означать сервис Write Set Value. Это означает, что недостаточно груп- пировать сервисы CIP в целом, необхо- димо объединить CIP-сервисы и их свя- занные объекты вместе, чтобы разрабо- тать абстрактную группу функций. Пре- имущество создания подобной группы объектов и сервисов заключается в том, что пользователю предоставляется эф- фективный способ защиты потока пе- редачи данных EtherNet/IP. Если объединить подобную фильтра- цию по объектам и сервисам вместе с проверкой протокола по специфика- ции, то получится мощный инструмент по обеспечению безопасности протоко- ла. А если развить идею объединения объектов и сервисов, то этот список фильтрации может быть формируемым пользователем. Например, для конкрет- ного процесса может иметь смысл раз- решить функцию только для чтения на объекте TCP/IP, но разрешить возмож- ность чтения и записи на объектах ана- логового вывода. Эта гибкость позволит пользователю настраивать фильтрацию систем на основе пары клиент/сервер. Tofino EtherNet/IP Enforcer LSM Чтобы разобраться в тонкостях про- мышленных протоколов, необходимы достаточно глубокие знания. Зачастую у специалистов, которые эксплуати- руют готовую систему АСУ ТП, нет ин- формации, какие конкретные объекты или сервисы использует их система. Для облегчения данной задачи должно быть средство, которое позволит создать пра- вила фильтрации простым и удобным способом. Одно из таких средств – промышлен- ный брандмауэр Tofino Xenon с уста- новленными модулями глубокого ана- лиза трафика. Более подробно о бранд- мауэре Tofino Xenon рассказано в [1]. За анализ трафика EtherNet/IP отвечает модуль Tofino EtherNet/IP Enforcer LSM, который позволяет достаточно просто настроить правила его фильтра- ции. Рассмотрим его более подробно. Пользователю доступен графический интерфейс (рис. 6), который предна- значен для создания требуемой конфи- гурации брандмауэра. При этом началь- ной точкой конфигурации становится создание стандартных IT-правил на ба- зе списков доступа. Затем пользователь может указать те правила, где необхо- димо, чтобы брандмауэр выполнял бо- лее глубокий анализ. Таким образом, можно управлять как правилами DPI, так и стандартными IT-правилами. На рис. 6 показан набор правил. В этом примере HMI физически располо- жен в сети Supervisory (подключён к од- ному интерфейсу брандмауэра), тогда как ПЛК размещён в сети управления (подключён к другому интерфейсу брандмауэра). Поскольку пакеты про- ходят через интерфейсы на брандмау- эре, устройство проверяет пакеты по тем правилам, которые были обозначе- ны. Также следует обратить внимание на то, что в дополнение к правилу EtherNet/IP существуют правила для трафика, проходящего между двумя устройствами, например, для того что- бы разрешить другие протоколы, такие как FTP и HTTP. Но одно поле, которое может потре- бовать дополнительного объяснения, – это поле “Direction”. Как известно, SPI- брандмауэр [1] пропускает через устройство пакеты, предназначенные для установленной сессии соединения. Эта же функциональность присутству- ет в устройстве Tofino Xenon, что позво- ляет пользователю явно указать, какие устройства задействованы в соедине- ниях и в каком направлении можно установить соединения, не требуя ука- зания дополнительных правил для от- ветов. Выделенное правило на рис. 6 – это то, что соответствует трафику EtherNet/ IP, исходящему из HMI и входящему в ПЛК. В данном случае брандмауэр ав- томатически разрешает ответы от ПЛК на HMI без каких-либо дополнитель- ных правил. Применяя функциональность DPI со встроенным редактором, пользователь получает дополнительные преимуще- ства. К ним относится возможность создания своих правил для протокола EtherNet/IP. Настройки реализуются в своём редакторе ACL (Access Control List – список управления доступом) и требуют просто добавления дополни- тельной конфигурации к уже суще- ствующим правилам. На рис. 6 показан редактор DPI-пра- вила для EtherNet/IP, выбранного ра- нее. Редактор автоматически предо- ставляет пользователю все параметры для выбранного правила. Основные па- раметры, связанные с функциональ- ностью DPI для этого правила, отобра- жаются в правой части этого редактора. Например, здесь отображена опция “Sanity Check” которая как раз и позво- ляет проверить трафик на правильность по стандартизованной спецификации. В левой части редактора представлен интерфейс для настройки правил, свя- занных с протоколом CIP. Редактор позволяет создавать правила на основе сервисов и объектов CIP (рис. 7). ОБ ЗОР / П РОМЫШЛ Е ННЫЕ С Е Т И СТА 4/2018 36 www.cta.ru Рис. 6. Настройка DPI-фильтра для протокола EtherNet/IP