Файл: Диссертация на соискание ученой степени кандидата технических наук Владимирский государственный университет.doc

04200911472 Дерябин Александр Вячеславович

Защита информации в телекоммуникациях АСУ ТП химической промышленности

Специальность 05.12.13. - Системы, сети и устройства телекоммуникаций

Диссертация на соискание ученой степени кандидата технических наук


Владимирский государственный университет

Научный руководитель: Доктор технических наук, профессор

Галкин А.П.

Владимир - 200

9
ОГЛАВЛЕНИЕ

04200911472 Дерябин Александр Вячеславович 1

Защита информации в телекоммуникациях АСУ ТП химической промышленности 1

1 УГРОЗЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ И УЯЗВИМОСТИ АСУ ТП 9

1.1 Телекоммуникации АСУ ТП 9

1.1.1 Типовая структура АСУ ТП 9

¡1]]]]]] 1ЕШ ШШ В11 36

Il i 46

2 ЗАЩИТА ИНФОРМАЦИИ В АСУ ТП 63

i 398

_А=я₂/я, 1 ... ык _(43Л) 543

А = — ■ А ; А = — ■■ АА, =—■ А 576

А = " А ^ А = " А ^ ■ ■ ■ ^ А = " А 577

М1 = --М»>М2 = --М»>-'>М_п-, = —-А 579

к. т, 843

Акт внедрения 843

ВВЕДЕНИЕ

Актуальность работы связана с широким использованием телекомму­никаций в автоматизированных системах управления технологическими про­цессами (АСУ ТП) и высоким уровнем опасности искажения или потери ин­формации. Готовность организаций и предприятий, разрабатывающих и экс­плуатирующих АСУ ТП, выполнять анализ их надёжности и безопасности является обязательным условием государственной и международной серти­фикации. Однако большинство систем управления технологическими про­цессами малой и средней сложности чаще всего проектируются малыми ор­ганизациями в условиях жёстких финансовых и кадровых ограничений. И в силу этого вопросами информационной безопасности (ИБ) не занимаются вообще.

Если в атомной промышленности и энергетике последствия нарушения безопасности, в том числе информационной, могут быть масштабными и ка­тастрофическими, то масштаб ущерба в АСУ ТП химической^ промышленно­сти далеко не всегда так очевиден и велик. Размер ущерба и его характер оп­ределяется, прежде всего, самим технологическим процессом. При систем­ном подходе необходимо рассматривать систему управления во взаимосвязи и взаимовлиянии не только с объектом управления (в данном случае - техно­логическим процессом), но и с источниками энергии, и с окружающей сре­дой. В химической промышленности влияние на окружающую среду должно всегда подвергаться тщательному анализу не только в аварийном, но и в нормальном режиме работы АСУ ТП. Нарушение экологии может быть вы­звано не только утечками и технологическими выбросами вредных веществ, но и, например, изменением температуры воды в водоёме при сбросе в него технологической воды, забранной из артезианской скважины для охлаждения процесса.

Обеспечить ИБ АСУ ТП на достаточно высоком уровне, при постоянно растущем уровне информатизации и постоянно увеличивающемся количест­ве угроз, уже невозможно только комплексом внешних мер защиты. Автор

2

предлагает такой подход к обеспечению ИБ АСУ ТП, когда внешнюю за­щитную оболочку будет создавать комплексная система ИБ (включая систе­мы мониторинга и управления информационной безопасностью, интегриро­ванные с системами мониторинга и управления^ защищаемой системы), а внутренние барьеры образуют встроенные механизмы защиты программных и технических компонентов АСУ ТП. Такой подход можно назвать систем­ным.

Обойти внешнюю защиту можно, внутреннюю — гораздо сложнее. По­этому автор обращает особое внимание на преимущества разработки и при­менения программных и аппаратурных средств АСУ ТП, имеющих встроен­ные механизмы защиты, которыми пользователь может управлять для созда­ния требуемой пропорции- механизмов- защиты в системе защиты информа­ции (СЗИ).

Средства телекоммуникаций в АСУ ТП — это многообразие аппаратуры и программного обеспечения, которые должны иметь внутренние механизмы собственной безопасности. Поэтому от производителей технических средств и программного обеспечения АСУ ТП требуется разработка инструментов обеспечения безопасности своих продуктов.

Цель диссертационной работы - обоснование методов и разработка ме­тодик и алгоритмов обеспечения информационной безопасности и оценки информационной защищённости телекоммуникаций нижнего уровня АСУ ТП в химической промышленности.

Для достижения указанной цели в диссертации сформулированы, и ре­шены следующие научные и технические задачи:

1. 
   Исследованы типичные АСУТП в химической промышленности, ЗСАОА-системы, интеллектуальные датчики и телекоммуникации.
   
2. 
   Выявлены угрозы ИБ, уязвимости СЗИ, особенности обеспечения ИБ АСУ ТП в химической промышленности.
   
3. 
   Разработаны принципы выбора локальных сетей, БСАОА-систем, ин­теллектуальных датчиков и рекомендации по обеспечению ИБ оборудования и телекоммуникаций нижнего уровня АСУ ТП в химической промышленно­сти.
   
4. 
   Разработаны алгоритмы защиты от НСД в сетях нижнего уровня АСУ ТП. Экспериментальным исследованием доказана эффективность раз­работанных алгоритмов для повышения защищённости узлов сети.
   
5. 
   Исследована эффективность использования физической скорости пере­дачи в сетях нижнего уровня АСУ ТП при программных методах защиты.
   
6. 
   Предложен метод аппаратурно-программной имитации для исследова­ния СЗИ на базовом для исследуемой АСУ ТП программно-техническом комплексе (ПТК). Метод опробован при оценке СЗИ АСУ ТП «ПХВ-1», раз­работке и испытании рекомендаций по модернизации СЗИ.
   
7. 
   Разработана методика оценки защищённости АСУ ТП. Обоснован по­казатель качества СЗИ АСУ ТП - уменьшение общего ущерба, наносимого воздействием угроз.
   
8. 
   Разработана компьютерная программа для НСД в сеть МосИэиБ и*прове­дено экспериментальное исследование защищённости сети, датчиков и 8САОА-системы.
   

Методы исследования. В диссертации научные исследования основа­ны на методах математического моделирования, математической статистики, экспертных оценок при широком использовании программно- математического инструментария.

Основные теоретические результаты проверены в конкретных системах и с помощью моделирующих программ на компьютерах, а также в ходе ис­пытаний и эксплуатации информационных сетей АСУ ТП.

Научная новизна диссертационной работы.

1. 
   Проведён анализ и систематизация типичных структур АСУ ТП в хи­мической промышленности, БСАОА-систем, интеллектуальных датчиков и телекоммуникаций. Выявлены угрозы ИБ, уязвимости СЗИ, особенности обеспечения ИБ АСУ ТП в химической промышленности.
   
2. 
   Предложено создавать и использовать встроенные механизмы защиты оборудования и телекоммуникаций АСУ ТП в сочетании с комплексом внешних мер защиты. На основе такого системного подхода разработана ме­тодика создания СЗИ в АСУ ТП.
   
3. 
   Разработаны алгоритмы защиты от НСД в сетях нижнего уровня АСУ ТП.
   
4. 
   Проведён анализ и обоснован выбор показателя качества и методов оценки качества СЗИ в телекоммуникациях АСУ ТП. Разработана методика оценки качества СЗИ.
   
5. 
   Проведены экспериментальные исследования разработанных методик и алгоритмов на действующих АСУ ТП.
   

Практическое значение диссертационной работы для разработчиков АСУ ТП и для эксплуатирующих предприятий заключается в облегчении за­дач выбора программных продуктов и технических средств с учётом ИБ, оценки информационной защищённости АСУ ТП с применением норматив­ной документации. Результаты работы полезны предприятиям, производя­щим аппаратуру и программное обеспечение для АСУ ТП.

Акты внедрения результатов диссертационной работы представлены в Приложении 9.

Диссертация состоит из введения, четырёх глав, заключения и прило­жений.

В первой главе выявлены угрозы информационной безопасности и уязвимости АСУ ТП. Проведен анализ типичных АСУ ТП в химической от­расли, ЗСАОА-систем и локальных сетей с точки зрения обеспечения безо­пасности.

Во второй главе рассмотрены особенности защиты информации в АСУ ТП химической промышленности, определены требования, к телеком­муникациям на всех уровнях иерархической структуры АСУ ТП. Выработа­ны рекомендации по выбору 8САГ>А-систем, аппаратуры и телекоммуника­ций нижнего уровня АСУ ТП. Разработана методика создания систем защиты информации в АСУ ТП химической промышленности.

В третьей главе исследовано влияние программных мер защиты на эффективность использования физической скорости передачи в сетях МосИэиэ и РгоАЬш, при применении их на нижнем уровне АСУ ТП. С помощью раз­работанной автором программы проведена экспериментальная проверка за­щищённости телекоммуникаций нижнего уровня АСУ ТП от НСД. Разрабо­таны алгоритмы доступа к узлам сети со стороны пульта и со стороны сети, отличающиеся оптимальным сочетанием методов защиты от НСД и обеспе­чивающие быстрое обнаружение вторжения. Сравнительное эксперимен­тальное исследование нескольких устройств показало многократное (мини­мум в 5 раз) превосходство по защищённости узлов, в которых реализован разработанный автором алгоритм доступа. Проанализированы существую­щие механизмы защиты информации в АСУ ТП производства бумвинила «ПХВ-1» и выработаны рекомендации по модернизации СЗИ. Предложено применение программно-аппаратурных имитаторов на базе контроллеров ПТК для имитации нештатных ситуаций (сбоев, отказов, НСД), а также за­щитных мероприятий. Приведены результаты моделирования на имитаторах АСУ ТП «ПХВ-1» до и после введения дополнительных мер защиты инфор­мации.

В четвёртой главе исследована нормативная база российских и меж­дународных стандартов и руководств по информационной безопасности те­лекоммуникаций АСУ ТП. Обоснован показатель качества, проведён обзор методов оценки качества СЗИ АСУ ТП. Разработана методика оценки защи­щённости АСУ ТП. Разработанная методика применена для оценки СЗИ АСУ ТП «ПХВ-1».

В приложениях приведены различные вспомогательные и справочные материалы, а также акты внедрения.

Основные положения диссертации опубликованы в следующих статьях:

1. 
   Дерябин, A.B. Компоненты и технологии видеонаблюдения /A.B. Дерябин // Современные проблемы экономикии новые технологии ис­следований: сб. науч.тр., ч.2 / Филиал ВЗФЭИ в г. Владимире. - Владимир, 2006.-С.17-21.
   
2. 
   Дерябин, A.B. Эффективность использования GSM канала в системах телекоммуникации АСУ ТП / A.B. Дерябин // Экономический журнал ВлГУ. - Владимир, 2006. - № 6. - С. 12-13.
   
3. 
   Дерябин, A.B. Угрозы информационной безопасности и уязвимости АСУ ТП / A.B. Дерябин, В.М. Дерябин // Проектирование и технология элек­тронных средств. - 2007. - № 1. - С. 47-51.
   
4. 
   Дерябин, A.B. Методология создания систем защиты АСУ ТП / A.B. Дерябин // Известия института инженерной физики. - 2008. - № 4. - С. 11-14.
   
5. 
   Дерябин, A.B. Обеспечение информационной безопасности ИС / A.B. Дерябин // Проектирование и технология электронных средств. — 2008. — № 3. - С. 7-10.
   
6. 
   Дерябин, A.B. Интеллектуализация датчиков и информационная безо­пасность / A.B. Дерябин, В.М. Дерябин // Известия института инженерной физики. - 2009. -№ 2. - С. 7-12.
   
7. 
   Дерябин, A.B. Применение алгоритма нечёткого вывода и нечёткой ло­гики в защите информации / А.П. Галкин, A.B. Дерябин, Аль- Муриш Мохаммед, Е.Г. Суслова // Известия института инженерной физики. — 2009.-№2.-С. 13-15.
   
8. 
   Дерябин, A.B. Комплексная или поэлементная защита? / A.B. Дерябин, В.М. Дерябин, Тахаан Осама // Перспективные технологии в средствах пере­дачи информации - ПТСПИ-2009: материалы VIII международной научно- технической конференции. - Владимир: Изд-во ВлГУ, 2009. - С. 188.
   

1 УГРОЗЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ И УЯЗВИМОСТИ АСУ ТП

1.1 Телекоммуникации АСУ ТП

Автоматизированная система управления технологическим процессом (АСУ ТП) — комплекс программных и технических средств, предназначен­ный для автоматизации управления технологическим оборудованием на предприятиях. Под АСУ ТП обычно понимается комплексное решение, обес­печивающее автоматизацию основных технологических операций на произ­водстве в целом или каком-то его участке, выпускающем относительно за­вершенный продукт.

В английской литературе для обозначения АСУ ТП обычно использу­ется термины Process Control Systems или реже Automatic Control Systems (последнее определение, на взгляд автора, несколько абстрактно, так как не указывает на конкретное предназначение системы управления).

Здесь важно сделать акцент на слове «автоматизированная». Под этим подразумевается, что система управления отнюдь не полностью автономна (самостоятельна), и требуется участие человека (оператора) для реализации определенных задач. Выражение «пустил и забыл» для таких систем не под­ходит. Напротив, системы автоматического управления (САУ) предназначе­ны для работы без какого-либо контроля со стороны человека и полностью автономны. Очень важно понимать эту принципиальную разницу между АСУ и САУ.

1.1.1 Типовая структура АСУ ТП

В большинстве современных автоматизированных систем управления технологическими процессами (АСУ ТП) можно выделить три уровня. На нижнем уровне располагаются аппаратные средства — датчики, исполнитель­ные механизмы, управляющие контроллеры. На среднем уровне находятся групповые контроллеры, устройства сопряжения с объектами. Верхний уро

­

вень реализуется на персональных компьютерах, где с помощью специаль­ных пакетов (БСАБА систем) реализуется интерфейс с оператором- технологом, выполняющим супервизорное управление технологическим процессом.

Пример трёхуровневой системы управления сложным технологическим процессом показывает Рисунок 1.1. Количество контролируемых параметров в таких системах измеряется сотнями, управляемых параметров — десятками.

Сеть верхнего уровня (АСУ предприятия)

Ж


Рабочие станции

XX


Сеть среднего уровня (йеИБиэ)


Групповые контроллеры


Сеть среднего уровня (йеЫЬиг)


г

Ш

1ЯГ

Ж

т

Ж

Локальные контроллеры

ТПШГ

Сеть нижнего уровня (<1еу1сеЬиз)

44Ш 4

4

Исполнительные 1лех аншмы

Технологический процесс

Рисунок 1.1- Типовая структура трёхуровневой АСУ ТП

Технологический процесс управляется с помощью исполнительных ме­ханизмов, а информация о параметрах технологического процесса снимается с помощью датчиков. Ввод информации о параметрах, вычисление управ­ляющих воздействий и их выдача на исполнительные механизмы осуществ­ляется локальными контроллерами ЛК или групповыми контроллерами ГК.

Координация управления процессом осуществляется рабочими (оператор-


Датчики

1

0
скими) станциями PC с помощью локальной сети. Количество PC определя­ется в зависимости от сложности процесса, но их всегда больше одной, так

/

как применяется дублирование для повышения надежности. В свою очередь, PC объединены как между собой, так и с другими абонентами цеха (предпри­ятия), с помощью локальной сети верхнего уровня типа Ethernet. Необходимо подбирать тип локальной сети и её параметры под конкретные требования: гарантированное время доставки; скорость передачи; объём пакетов; количе­ство аппаратно реализованных функций в контроллерах сети и т.д.

Устройства сопряжения с объектом (УСО) преобразуют управляющие коды, выдаваемые процессором контроллера, в сигналы управления испол­нительными механизмами (импульсные, дискретные, аналоговые), а сигналы датчиков преобразуют в коды для ввода в процессор. УСО располагаются внутри JIK или ГК. В последнее время имеется тенденция йнтеллектуализа-

I i

ции датчиков, то есть размещение схем преобразования непосредственно в корпусе датчиков и передачи кодов в процессор по стандартному последова­тельному интерфейсу.

1.1.2 Классификация АСУ ТП

В зарубежной литературе можно встретить довольно интересную клас­сификацию АСУ ТП [1], в соответствие с которой все АСУ ТП делятся на три глобальных класса:

• SCADA (Supervisory Control and Data Acquisition). На русский язык этот термин можно перевести как «система телемеханики», «система телеметрии» или «система диспетчерского управления»». На взгляд автора, последнее оп­ределение точнее всего отражает сущность и предназначение системы - кон­троль и мониторинг объектов с участием диспетчера. Тут необходимо неко­торое пояснение. Термин SCADA часто используется в более узком смысле: так называют программный пакет визуализации технологического процесса. Однако в данном разделе под словом SCADA мы будем понимать целый класс систем управления.

• 
  PLC (Programmable Logic Controller). На русский язык переводится как «программируемый логический контроллер» (или сокращенно ПЛК). Тут, как и в предыдущем случае, есть двусмысленность. Под термином ПЛК час­то подразумевается аппаратный модуль для реализации алгоритмов автома­тизированного управления. Тем не менее, термин ПЛК имеет и более общее значение и часто используется для обозначения целого класса систем.
  
• 
  DCS (Distributed Control System). По-русски: распределенная система управления (РСУ). Тут никакой путаницы нет, все однозначно.
  

Справедливости ради надо отметить, что если в начале 90-х такая клас­сификация не вызывала споров, то сейчас многие эксперты считают ее весь­ма условной. Это связано с тем, что в последние годы внедряются гибридные системы, которые по ряду характерных признаков можно отнести как к од­ному классу, так и к другому.

Автор предлагает не следовать делению АСУ ТП на SCADA, PLC и DCS, а рассматривать АСУ ТП в химической промышленности как распреде­ленные системы, в состав которых входят PLC и SCADA.

1.2 Угрозы информационной безопасности АСУ ТП

Рассмотрим наиболее распространенные угрозы [2], которым подвер­жены современные АСУ ТП. В отличие от других автоматизированных ин­формационных систем промышленные АСУ и АСУ ТП, особенно те, кото­рые используются для управления критической инфраструктурой государст­ва, имеют ряд особенностей, обусловленных их особым назначением, усло­виями эксплуатации, спецификой обрабатываемой в них информации и тре­бованиями, предъявляемыми к функционированию. Главной же особенно­стью этих систем является то, что с их помощью в автоматическом, либо ав­томатизированном режиме в реальном времени осуществляется управление физическими процессами и системами, от которых непосредственным обра­зом зависит наша безопасность и жизнедеятельность: электричество, связь, транспорт, финансы, системы жизнеобеспечения, атомное и химическое про­изводство и т.п. [3].

Поэтому обеспечение информационной безопасности таких систем яв­ляется одной из важнейших задач разработчиков АСУ ТП.

Промышленные системы прошли путь от простейших программных и аппаратных средств до современных систем, в которых используются стан­дартные компьютеры и серверы, операционные системы семейства Microsoft Windows, стандартные SCADA-системы, сетевые протоколы TCP/IP, Web- браузеры, доступ в Интернет. Множество угроз в отношении этих систем значительно расширилось благодаря такой стандартизации, а также благода­ря распространенной практике подключения промышленных систем к ло­кальным сетям предприятия и использованию в них технологий беспровод­ного доступа [4].

1.2.1 Классификация угроз информационной безопасности АСУ ТП

Иметь представление о возможных угрозах, а также об уязвимых мес­тах, которые эти угрозы обычно эксплуатируют, необходимо для того, чтобы выбирать наиболее экономичные средства обеспечения безопасности.

Само понятие «угроза» в разных ситуациях зачастую трактуется по- разному. Например, для подчеркнуто открытой организации угроз конфи­денциальности может просто не существовать - вся информация считается общедоступной; однако в большинстве случаев нелегальный доступ пред­ставляется серьезной опасностью. Иными словами, угрозы, как и все в ин­формационной безопасности, зависят от интересов субъектов информацион­ных отношений, и от того, какой ущерб является для них неприемлемым.

Отметим, что некоторые угрозы нельзя считать следствием каких-то ошибок или просчетов; они существуют в силу самой природы современных АСУ ТП [5]. Например, угроза отключения электричества или выхода его па­раметров за допустимые границы существует в силу зависимости аппаратно­го обеспечения АСУ ТП от качественного электропитания.

Угрозы можно классифицировать по разным критериям [6]:

1. 
   по аспекту информационной безопасности (доступность, целостность, конфиденциальность), против которого угрозы направлены в первую оче­редь;
   
2. 
   по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);
   
3. 
   по способу осуществления (случайные, либо преднамеренные действия природного или техногенного характера);
   
4. 
   по расположению источника угроз (внутри, либо вне рассматриваемой АСУ ТП);
   
5. 
   по агенту угрозы (вредоносное ПО, пользователи и обслуживающий пер­сонал АСУ ТП, хакеры, террористы).
   

В качестве основного мы будем рассматривать первый критерий (по

V

аспекту информационной безопасности), при необходимости привлекая ос­тальные.

1.2.1.1 Наиболее распространенные угрозы доступности.

Самыми частыми и самыми опасными, с точки зрения размера ущерба, являются непреднамеренные ошибки штатных пользователей, операторов, системных администраторов и других лиц, обслуживающих промышленные системы.

Иногда такие ошибки и являются собственно угрозами: неправильно введенные данные или ошибка в программе, вызвавшая крах системы. Ино­гда они создают уязвимые места, которыми могут воспользоваться злоумыш­ленники - таковы обычно ошибки администрирования. По некоторым дан­ным, до 65 % потерь — следствие непреднамеренных ошибок.

Остальные угрозы доступности классифицируем по компонентам АСУ ТП, на которые нацелены угрозы:

• 
  отказ пользователей;
  
• 
  внутренний отказ информационной системы;
  
• 
  отказ поддерживающей инфраструктуры.
  

Обычно применительно к пользователям рассматриваются следующие угрозы:

• 
  нежелание работать с информационной системой (чаще всего бывает при необходимости осваивать новые возможности системы и при расхождении между запросами пользователей и фактическими возможностями и техническими характеристиками);
  
• 
  невозможность работать с системой в силу отсутствия соответствующей подготовки (недостаток общей компьютерной грамотности, неумение интерпретировать диагностические сообщения, неумение работать с документацией и т.п.);
  
• 
  невозможность работать с системой в силу отсутствия технической поддержки (неполнота документации, недостаток справочной информации и т.п.).
  

Главными источниками внутренних отказов системы являются:

• 
  случайное или умышленное отступление от правил эксплуатации;
  
• 
  выход системы из штатного режима эксплуатации в силу случайных или преднамеренных действий пользователей или обслуживающего персонала (превышение расчетного числа запросов, чрезмерный объем обрабатываемой информации и т.п.);
  
• 
  ошибки при конфигурировании и администрировании системы;
  
• 
  отказы программного и аппаратного обеспечения;
  
• 
  разрушение данных;
  
• 
  разрушение или повреждение аппаратуры.
  

По отношению к поддерживающей инфраструктуре можно рассматри­вать следующие угрозы:

• 
  случайное или умышленное нарушение работы систем связи (телекоммуникации), электропитания, водо- или теплоснабжения, кондиционирования;
  
• 
  разрушение или повреждение помещений;
  
• 
  невозможность или нежелание обслуживающего персонала или пользователей выполнять свои обязанности (беспорядки, аварии на транспорте, террористический акт или его угроза, забастовка и т.п.).
  

Весьма опасны так называемые «обиженные» сотрудники — как ны­нешние, так и бывшие. Как правило, они стремятся нанести вред организа- ции-«обидчику», например:

• 
  испортить оборудование;
  
• 
  встроить логическую бомбу, которая со временем разрушит программы или данные;
  
• 
  удалить данные.
  

Опасны, разумеется, стихийные бедствия, пожары, наводнения, земле­трясения, ураганы. По статистике, на долю огня, воды и тому подобных фак­торов (среди которых самый опасный — перебой электропитания) приходится 13 % потерь, нанесенных промышленным системам.

1.2.1.2 Основные угрозы целостности.

На втором месте по размерам ущерба после непреднамеренных ошибок и упущений стоят кражи и подлоги. В большинстве случаев виновниками оказывались штатные сотрудники организаций, отлично знакомые с режи­мом работы и мерами защиты. Это еще раз подтверждает опасность внутрен­них угроз, хотя говорят и пишут о них значительно меньше, чем о внешних.

С целью нарушения статической целостности злоумышленник, как пра­вило, штатный сотрудник, может:

• 
  ввести неверные данные;
  
• 
  изменить данные.
  

Иногда изменяются содержательные данные, иногда - служебная ин­формация.

Потенциально уязвимы с точки зрения нарушения целостности не толь­ко данные, но и программы. Внедрение вредоносного ПО — пример подобно­го нарушения.

Угрозами динамической целостности являются нарушение атомарности транзакций, переупорядочение, кража, дублирование данных или внесение дополнительных сообщений (сетевых пакетов и т.п.). Соответствующие дей­ствия в сетевой среде называются активным прослушиванием.

Так же к угрозам целостности можно отнести потерю информации при передаче по каналам связи [7]. Частичная потеря пакетов в сетях телекомму­никации АСУ ТП может привести к получению неверных результатов, или выполнению неверных управляющих воздействий.

1.2.1.3 Основные угрозы конфиденциальности.

Конфиденциальную информацию в АСУ ТП можно разделить на слу­жебную и предметную. Служебная информация, такая как пароли пользова­телей, не относится к определенной предметной области, в информационной системе АСУ ТП она играет техническую роль, но ее раскрытие особенно опасно, поскольку оно может привести к получению несанкционированного доступа ко всей информации, в том числе предметной.

Многим людям приходится выступать в качестве пользователей не од­ной, а целого ряда систем (информационных сервисов). Если для доступа к таким системам используются многоразовые пароли или иная конфиденци­альная информация, то наверняка эти данные будут храниться не только в голове, но и в записной книжке или на листках бумаги, которые пользователь часто оставляет на рабочем столе, а то и попросту теряет. И дело здесь не в неорганизованности людей, а в изначальной непригодности парольной схе­мы. Невозможно помнить много разных паролей; рекомендации по их регу­лярной смене только усугубляют положение, заставляя применять неслож­ные схемы чередования или вообще стараться свести дело к двум-трем легко запоминаемым и столь же легко угадываемым паролям.

Описанный класс уязвимых мест можно назвать размещением конфи­денциальных данных в среде, где им не обеспечена необходимая защита. Уг­роза же состоит в том, что кто-то случайно или специально может получить полный либо частичный доступ к системе. В этот класс попадает также пере­дача конфиденциальных данных в открытом виде (в разговоре, в письме, по сети), которая делает возможным перехват данных. Для атаки могут исполь­зоваться разные технические средства (подслушивание или прослушивание разговоров, пассивное прослушивание сети и т.п.), но идея одна - осущест­вить доступ к данным в тот момент, когда они наименее защищены.

Угрозу перехвата данных следует принимать во внимание не только при начальном конфигурировании системы, но и, что очень важно, при всех изменениях. Очень опасной угрозой являются выставки, на которые многие организации отправляют оборудование из производственной сети, со всеми хранящимися на них данными. Остаются прежними пароли, при удаленном доступе они продолжают передаваться в открытом виде. Это плохо даже в пределах защищенной сети организации, а в объединенной сети выставки — это может привести к самым плачевным последствиям.

Еще один пример изменения, о котором часто забывают, - это хранение данных на резервных носителях. Для защиты данных на основных носителях применяются развитые системы управления доступом; копии же нередко просто лежат в шкафах и получить доступ к ним могут многие.

Перехват данных — очень серьезная угроза, и если конфиденциальность действительно является критичной, а данные передаются по многим каналам, их защита может оказаться весьма сложной и дорогостоящей. Технические средства перехвата [7, 8] хорошо проработаны, доступны, просты в эксплуа­тации, а установить их, например, на кабельную сеть может кто угодно, так что эту угрозу нужно принимать во внимание по отношению не только к внешним, но и к внутренним коммуникациям.

Кражи оборудования являются угрозой не только для резервных носи­телей, но и для компьютеров, особенно портативных.

К угрозам, от которых очень трудно защищаться, можно отнести зло­употребление полномочиями. На многих типах систем привилегированный пользователь, например, системный администратор, способен прочитать практически любой файл, войти в систему с учетными данными любого

пользователя и т.д. Возможно также нанесение ущерба при сервисном об­служивании. Обычно сервисный инженер получает неограниченный доступ к оборудованию и имеет возможность действовать в обход программных за­щитных механизмов.

Таковы основные угрозы, которые наносят наибольший ущерб инфор­мационной системе АСУ ТП (Таблица 1.1) [13].

Таблица 1.1- Основные угрозы Способы на­несения ущерба	Объекты воздействий
	Оборудование	Программы	Данные	Персонал
Раскрытие информации (конфиденциа льность)	Хищение носителей информации, подключение к линии связи, несанкциониров анное использование ресурсов	Несанкциониро ванное копирование перехват	Хищение, копирование, перехват	Передача сведений о защите, разглашение, халатность
Потеря целостности информации (целостность)	Подключение, модификация, спец.вложения, изменение режимов работы, несанкциониров анное использование ресурсов	Внедрение «троянских коней» и «жучков»	Искажение, модификация	Вербовка персонала, «маскарад»
Нарушение работоспо­собности автоматизи­рованной системы (доступность)	Изменение режимов функционирован ия, вывод из строя, хищение, разрушение	Искажение, удаление, подмена	Искажение, удаление, навязывание ложных данных	Уход, физическое устранение

  1   2   3   4   5   6   7   8   9   ...   25

1. 
   Человеческий фактор. Эксплуатацией промышленных и корпоратив­ных систем обычно занимаются разные подразделения. Персонал промыш­ленных систем, как правило, достаточно далек от вопросов обеспечения ин­формационной безопасности, в его составе нет соответствующих специали­стов, а рекомендации ИТ персонала на него не распространяются. Основной задачей остается решение технологических проблем возникающих в ходе эксплуатации системы, обеспечение ее надежности и доступности, повыше­ние эффективности и минимизация накладных расходов.
   
2. 
   Уязвимости операционных систем. Уязвимости операционных сис­тем свойственны и для промышленных и для корпоративных систем, однако установка программных коррекций в промышленных системах на регулярной основе зачастую не выполняется. Главной заботой администратора такой системы является ее бесперебойная работа. Установка предварительно не протестированных программных коррекций может повлечь серьезные непри­ятности, а на полноценное тестирование обычно нет ни времени, ни средств.
   
3. 
   Слабая аутентификация. Использование общих паролей является обычной практикой для промышленных систем. Благодаря этому у персонала пропадает ощущение подотчетности за свои действия. Системы двухфактор- ной аутентификации используются довольно редко, а конфиденциальная ин­формация зачастую передается по сети в открытом виде.
   
4. 
   Удаленный доступ. Для управления промышленными системами до­вольно часто используется удаленный доступ по коммутируемым каналам или по VPN каналам через сеть Интернет. Это может приводить к серьезным проблемам с безопасностью.
   
5. 
   Внешние сетевые подключения. Отсутствие соответствующей норма­тивной базы и соображения удобства использования порой приводят к тому, что между промышленными и корпоративными системами создаются сете­вые подключения. Существуют даже рекомендации по поводу использования «комбинированных» сетей, позволяющих упростить администрирование. Это может отрицательно сказаться на безопасности обеих систем.
   
6. 
   Средства защиты и мониторинга. В отличие от корпоративных сис­тем использование IDS, МЭ и антивирусов в промышленных системах не яв­ляется распространенной практикой, а для анализа журналов аудита безопас­ности обычно не остается времени.
   
7. 
   Беспроводные сети. В промышленных системах часто используются различные виды беспроводной связи, включая протоколы 802.11, как извест­но, не предоставляющие достаточных возможностей по защите [25].
   
8. 
   Удаленные процессоры. Определенные классы удаленных процессо­ров, используемых в промышленных системах для контроля технологических процессов, содержат известные уязвимости. Производительность этих про­цессоров не всегда позволяет реализовать функции безопасности. Кроме то­го, после установки их стараются не трогать годами, на протяжении которых они остаются уязвимыми.
   
9. 
   Программное обеспечение. Программное обеспечение промышлен­ных систем обычно не содержит достаточного количества функций безопас­ности. Кроме того, оно не лишено архитектурных слабостей.
   
10. 
    Раскрытие информации. Не редко владельцы промышленных систем сознательно публикуют информацию об их архитектуре. Консультанты и разработчики частенько делятся опытом и раскрывают информацию о быв­ших клиентах.
    
11. 
    Физическая- безопасность. Удаленные процессоры и оборудование промышленных систем могут находиться за пределами контролируемой зо­ны. В таких условиях, они не могут физически контролироваться персона­лом, и единственным механизмом физической защиты становится использо­вание железных замков и дверей, а такие меры уж точно не являются серьез­ным препятствием для злоумышленников.
    

Более подробные результаты анализа приведены в Приложении 1. Ос­новные механизмы безопасности в БСАИА-системах приведены в Приложе­нии 2, механизмы безопасности в системе ШТОИСН - в Приложении 3, справочная информация о 8САОА-системах приведена в Приложении 4. На основании проведенного анализа можно сделать следующие выводы.

Во всех проанализированных АСУ ТП в химической промышленности применяются следующие меры зашиты: в сетях АСУ ТП нижнего уровня - защита данных СЯС-кодом в протоколах нижнего уровня. Что касается аппа­ратуры, то наиболее используемыми мерами защиты являются - использова­ние промышленных контроллеров, соответствующих требованиям пылебрыз- гозащищенности. В программном комплексе АСУ ТП и сетях верхнего уров­ня применяются: ведение архива событий, защита информации встроенными

23

средствами протокола Ethernet, самодиагностика программно-технических средств, защита от несанкционированного доступа с помощью пароля.

Во многих АСУ ТП применяются: дублирование сетей нижнего уров­ня. В аппаратуре — применение промышленных шкафов, соответствующих требованиям по пылебрызгозащите, применение искрозащищенных УСО, применение резервных источников питания, резервирование контроллеров и датчиков, применение высоконадежных промышленных сетевых устройств, применение энергонезависимых ОЗУ, а также применение звукового и свето­вого оповещения об аварийных ситуациях. В программном комплексе и сетях верхнего уровня во многих АСУ ТП применяются: разграничение прав дос­тупа и создание профилей пользователей, автодиагностика состояния сети,

t

расширенная экранная помощь оператору, блокирование определенных функций в случае аварии, коррекция системного времени, обеспечение «без­ударного» перехода в ручной режим и обратно, применение брандмауэров для разделения сетей, функции сторожевого таймера.

Редко в АСУ ТП в химической промышленности находят применение следующие меры защиты информации: создание сетей нижнего уровня на ба­зе оптоволоконной технологии передачи данных. В аппаратуре — взрывобезо- пасные контроллеры и УСО, отапливаемые монтажные шкафы, отдельная программно-аппаратная система противоаварийной защиты. В программном комплексе АСУ ТП и сетях верхнего уровня редко применяются: резервиро­вание сетей верхнего уровня, разбиение локальной сети на изолированные сегменты (подсети), создание сетей верхнего уровня на базе оптоволоконной технологии передачи данных, рекомендации оператору о действиях в аварий­ной ситуации, применение защищенного протокола Industrial Ethernet в сетях верхнего уровня.

Нет сведений о применении следующих мер защиты: в сетях нижнего уровня АСУ ТП: применение безопасного f-профиля протокола. В аппаратуре - применение «интеллектуальных датчиков». В программном комплексе - на­стройка разрешенного времени для входа пользователя, системы обнаруже­ния несанкционированного доступа в систему.

На основе проведенного анализа были разработаны рекомендации по обеспечению информационной безопасности для проектировщиков АСУ ТП малой и средней сложности в химической промышленности. Эти рекомендации, безусловно, будут полезны и производителям программных продуктов и технических средств для АСУ ТП.

1.5 Основные проблемы информационной безопасности в химической

промышленности

Практические проблемы информационной безопасности в химической промышленности обусловлены, прежде всего, спецификой производственных процессов и отрасли в целом. Особенностями АСУ ТП химического произ­водства являются:

• 
  Взрывоопасность химического производства.
  
• 
  Необходимость обеспечения высокой надежности из-за экологической опасности.
  
• 
  Среда, в которой находится аппаратура АСУ ТП, особенно нижнего уровня - агрессивная, поэтому, аппаратура должна быть стойкой к коррозии.
  
• 
  Для обеспечения безопасности производственного процесса требуется разнесение объектов на большие расстояния (сотни метров), то есть, требует­ся создавать рассредоточенные АСУ ТП с локальными сетями большой про­тяженности, дублированными каналами связи. ■
  
• 
  Многие датчики и исполнительные механизмы располагаются на открытом воздухе, следовательно, они должны работать в широком температурном диапазоне.
  
• 
  Химические процессы обычно протекают медленно, поэтому не требу­ется высокого быстродействия АСУ ТП.
  
• 
  Разработкой сложных АСУ ТП в химической промышленности зани­маются крупные проектные организации с большим опытом работы, широ­кими финансовыми, кадровыми и техническими возможностями. Их проекты в наибольшей степени учитывают и вопросы обеспечения информационной безопасности.
  

• Проектированием АСУ ТП малой и средней сложности, как правило, занимаются малые проектные организации. Их проекты чаще всего вообще не учитывают проблемы информационной безопасности.

1.5.1 Телекоммуникации в АСУ ТП

1.5.1.1 Сети нижнего уровня АСУ ТП (полевые шины [11]).

Промышленные сети передачи данных — базовый элемент для построе­ния АСУ ТП. Появление промышленных коммуникационных протоколов по­ложило начало внедрению территориального распределенных систем управ­ления, способных охватить множество технологических установок, объеди­нить целые цеха, а иногда и заводы. Сегодня известно более 30 стандартов коммуникационных сетей (Таблица 1.3 содержит сведения об основных про­мышленных протоколах и их технических характеристиках [12]), специально адаптированных для промышленного применения, и каждый год появляются новые прогрессивные технологии передачи данных. Коммуникационные сети в большей степени определяют качество, надежность и функциональность АСУ ТП в целом.

Проанализировав Таблицу 1.3 можно сделать следующие заключения:

• 
  В АСУ ТП в химической промышленности чаще применяются прото­колы Modbus (ASCII, RTU), Profibus (DP, PA) с одним ведущим. При наличии многих ведущих к каждому относится своя группа ведомых.
  
• 
  Преобладает шинная топология сети.
  
• 
  Максимальное расстояние передачи 1,2 км без ретрансляторов.
  
• 
  Скорость.передачи в сети редко превышает 1 Мбит/с.
  
• 
  В большинстве случаев в качестве линии связи применяется экрани­рованная витая пара.
  
• 
  Максимальное количество узлов в сети редко превышает 127.
  
• 
  Обычно максимальная длина кадра 256 байт.
  

- Практически все протоколы имеют аппаратурную реализацию первых двух уровней модели OSI (физического и канального).

Сети передачи данных, входящие в состав АСУ ТП, можно условно разделить на два класса:

1. 
   Полевые шины (Field Buses);
   
2. 
   Сети верхнего уровня (операторского уровня, Terminal Buses).
   

В данной главе мы рассмотрим полевые шины, при этом сделаем ак­цент на методах обеспечения надежности и отказоустойчивости.

Главной функцией полевой шины является обеспечение сетевого взаи­модействия между контроллерами и удаленной периферией (например, узла­ми ввода/вывода). К полевой шине могут также подключаться контрольно- измерительные приборы (Field Devices), снабженные сетевыми интерфейса­ми. Такие устройства называют интеллектуальными (Intelligent Field Devices), так как они поддерживают высокоуровневые протоколы сетевого обмена.Таблица 1.3- Технические характеристики основных протоколов полевых шин Протокол	Ведущий	Топология	Макс, расстоя­ние передачи	Макс. Ско­рость пере­дачи	Провод	Макс, ко­личество станции	Макс. Длина кадра	Уровень 2	Стандарт
ASI	один	Шина, дерево	100м	167Кбит/с	2	32	4 бита	chip	EN50295
BITBUS	много	шина	300м/ 375Кбит/с	375Кбит/с	2	251	248байт	chip	IEEE1118
CAN	много	шина	500м/125Кбит/с 40м/1 Мбит/с	1 Мбит/с	2	64	8байт	chip	ISO 11898/ ISOl 1519
ControlNet	много	Шина, звезда, дерево	5км 250M/modes	5 Мбит/с	Коакс.	99	51Обайт	ASIC	Open specified
DeviceNet	много	шина	500м/125Кбит/с 100м/500Кбит/с	500Кбит/с	4	64	8байт	chip	Open specified
Foundation Fieldbus	много	шина	2000м, 9,5км всего	31,25Кбит/с	2	240	246байт	chip	Open specified
FIP	много	шина	2000м/1 Мбит/с	2,5Мбит/с	2	256	32байт	chip	EN50170
INTERBUS		кольцо	12,8км	500Кбит/с	2/8	255	64байт	chip	EN50253
LON	много	Шина, дерево	6,1км/5Кбит/с	1,2Мбит/с	2	2	228байт	chip	ANSI
Modbus Plus	много	шина	1,8км	1 Мбит/с	2	32	32байт	chip	proprietary
Profibus-Net	много	Шина, дерево	1,2км	76,8Кбит/с	2	32 ведущих, 125 ведомых	56байт	chip	EN50170
PROFYBUS FMS	много	шина	19,2км/9,6Кбит/с 200м/500Кбит/с	500Кбит/с	2	127	246байт	Chip/sw	EN50170
PROFYBUS DP	много	шина	1км/12Мбит/с (4повторителя)	12Мбит/с	2	127	246байт	ASIC	EN50170
PROFYBUS PA	один	шина	1,9км	93,75Кбит/с	2	32	246байт	ASIC	EN50170
SERCOS	один	кольцо	250м	16Мбит/с	2/fiber	245	1ббайт	ASIC	IEC61491
Seriplex	один	шина	1 ОООфутов	250Кбит/с	4	510	32байт	ASIC	proprietary
SwiftNet	много	шина	360м	5Мбит/с	2	>1024	896байт	ASIC	proprietary

Пример полевой шины представлен на Рисунке 1.2.

1   2   3   4   5   6   7   8   9   ...   25

1. 
   Profibus DP
   
2. 
   Profibus PA
   
3. 
   Foundation Fieldbus
   
4. 
   Modbus RTU
   
5. 
   HART
   
6. 
   DeviceNet
   

1. 
   Детерминированность. Под этим подразумевается, что передача со­общения из одного узла сети в другой занимает строго фиксированный отре­зок времени. Офисные сети, построенные по технологии Ethernet, - это от­личный пример недетерминированной сети. Сам алгоритм доступа к разде­ляемой среде по методу CSMA/CD не определяет время, за которое кадр из одного узла сети будет передан другому, и, строго говоря, нет никаких гаран­тий, что кадр вообще дойдет до адресата. Для промышленных сетей это не­допустимо. Время передачи сообщения должно быть ограничено и в общем случае, с учетом количества узлов, скорости передачи данных и длины сооб­щений, может быть заранее рассчитано.
   
2. 
   Поддержка больших расстояний. Это существенное требование, ведь расстояние между объектами управления может порой достигать нескольких километров. Применяемый протокол должен быть ориентирован на исполь­зование в сетях большой протяженности.
   
3. 
   Защита от электромагнитных наводок. Длинные линии в особенно­сти подвержены пагубному влиянию электромагнитных помех, излучаемых различными электрическими агрегатами. Сильные помехи в линии могут ис­казить передаваемые данные до неузнаваемости. Для защиты от таких помех применяют специальные экранированные кабели, а также оптоволокно, кото­рое, в силу световой природы информационного сигнала, вообще нечувстви­тельно к электромагнитным наводкам. Кроме этого, в промышленных сетях должны использоваться специальные методы цифрового кодирования дан­ных, препятствующие их искажению в процессе передачи или, по крайней мере, позволяющие эффективно детектировать искаженные данные прини­мающим узлом.
   
4. 
   Упрочненная механическая конструкция кабелей и соединителей. Здесь тоже нет ничего удивительного, если представить, в каких условиях зачастую приходиться прокладывать коммуникационные линии. Кабели и соединители должны быть прочными, долговечными и приспособленными для использования в самых тяжелых окружающих условиях (в том числе аг­рессивных атмосферах).