Деавтоматизация?

Очередная новость об уязвимостях SCADA-систем. Как говорится, уже даже соскучиться успели, ничего о них не писали давненько. Ну, что тут сказать - наверное, после всего, что рассказали аналитики и эксперты мировому сообществу по поводу Stuxnet'а, добавить что-либо действительно будет крайне сложно.

Очевидно, что будет нарастать степень недоверия обществу к тому, что принято называть ещё с советских времен автоматизацией производства. В этом, в общем-то, нет ничего принципиально нового и, я бы сказал, страшного тоже нет - ещё до выхода "Терминаторов" было понятно, что обыватель боится компьютеров. Теперь компьютеров будет бояться и руководитель, начитавшийся про проблемы со SCADA и не желающий подвергать своё предприятие подобным рискам. Не разбирающийся в информационной безопасности директор завода скорее свернет программу внедрения SCADA-системы, чем доверит такой, как оказалось, ненадёжной штуке своё предприятие.

Конечно, не буду утверждать, что после этой или ещё пары новостей такой отказ от автоматизации примет массовый характер, но проблема определенно наличиствует. А лечится она только одним способом - повышением культуры информационной безопасности среди руководящих кадров на производствах. Образование в этой сфере должно вестись на государственном уровне, и не просто для "галочки", а для реального повышения уровня осведомленности об угрозах и уровня адекватности их восприятия.

Впрочем, реально ждать подобного, к сожалению, не приходится, ибо нужна экономическая заинтересованность руководителей в постижении азов инфобеза. Как её реализовать - вопрос, к сожалению, слишком сложный лично для меня...

Р. Идов,

аналитик компании SearchInform

И снова SCADA...

Я уже неоднократно писал о SCADA-системах. И теперь хочу еще раз сделать это - как и обычно, вдохновляют меня новости о них. Новость, правда, сложно назвать вдохновляющей - она скорее ужасает. Дело в том, что сразу в нескольких SCADA-системах обнаружены уязвимости «нулевого дня».

Думаю, что аудитории нашего блога не стоит слишком подробно рассказывать о том, что такое уязвимость нулевого дня. О SCADA-системах пару слов скажу: это программное обеспечение, контролирующее производственные процессы. Причем под производственными процессами имеются в данном случае в виду не только сборка автомобилей или распил досок. Атомные электростанции, нефтеперерабатывающие заводы, хладокомбинаты с сотнями тонн аммиака в старых советских холодильниках - всё это тоже "вотчина" SCADA-систем. Думаю, "радость" от нахождения огромного количество 0day-язвимостей испытают даже те, кто далек от вопросов обеспечения информационной безопасности.

Самое, впрочем, ужасное даже не в том, что эти язвимости в SCADA есть, и даже не в том, что их нашли. Самое "веселое" - это то, КАК их нашли. "По словам Ориеммы, поиск уязвимых мест занял совсем немного времени. В одном случае для удаленного исполнения кода оказалось достаточным просто ввести в систему нужную команду".

Очевидно, несмотря на специально разработанные для SCADA методики написания и тестирования программного кода, человеческий фактор в программировании по-прежнему означает слишком многое. Значит, надо пересмотреть подходы и, возможно, включить в процесс создания систем специалистов принципиально нового класса, которые будут заниматься дизайном безопасности подобных систем, посколько исключить ошибки нужно уже на этом этапе. Впрочем, вряд ли мы увидим коренные изменения в процессе создания SCADA в ближайшее время - инерция мышления, знаете ли...

Р. Идов,

аналитик компании SearchInform

ИБ как геополитический фактор

В последнее время всё больше внимания уделяют доблестные военные из разных стран такому, казалось бы, не сильно интересному для них прежде явлению, как кибератаки. Штаты вон даже бомбить обещали тех, кто будет излишне настойчиво приставать к их серверам с информацией государственной важности. Ещё десять лет назад такое обещание выглядело бы дичью, сегодня общественность восприняла его как нечто само собой разумеющееся.

Почему же сегодня всё так поменялось? Мне лично представляется, всё дело в возросшей на порядки роли Интернета как медиасреды, помноженное на зависимость от ИТ, которую сегодня уже начинают ощущать не только промышленность, "оборонка", банки, но даже такие традиционно консервативные отрасли, как коммунальное хозяйство. Не могу не вспомнить ещё раз об автоматизации производства и об атаках на системы, разработанные для обеспечения такой автоматизации. Не в последнюю очередь, думаю, американцев на эти громкие заявления вдохновил пример Stuxnet'а. Очень уж живо они, видимо, представили, что может наделать такой червь на хорошо автоматизированном производстве, которое распространено повсеместно в одной из наиболее высокоразвитых стран в мире.

Дальше внимание к информационной безопасности будет только расти. Вообще, дамы и господа, думаю, что не за горами время, когда наша отрасль станет такой же востребованной и в России, как в США - если, конечно, ситуация не испытает резкого перелома. Другой вопрос, насколько мы сможем наверстать отставание от "вероятного противника"... Пока что все шансы у нас есть, весь вопрос в том, как ими распорядиться.

Роман Идов,

аналитик компании SearchInform

SCADA не сдадутся злоумышленникам без боя

Намедни уже делился своими мыслями по поводу безопасности SCADA-систем. Новостная лента подтвердила правильность моих мыслей: Немецкий промышленный гигант Siemens накануне заявил, что компания работает над исправлением ряда серьезных уязвимостей, выявленных в ее промышленной оборудовании для управления заводами, электро- и атомными станциями. Компания заявила, что уже тестирует исправления для своих SCADA-систем в лабораторных условиях и готовится предложить их своим клиентам.

Как вы думаете, почтеннейшая публика, кто же в итоге выиграет в противостоянии индустриальных гигантов, исправно "патчащих" свои SCADA, и злоумышленников, старающихся воспользоваться уязвимостями в них? История Microsoft, патчи которой не успевают за многочисленной малварью, которая использует дырки и бэкдоры в Windows, IE и прочих приложениях как бы намекает нам на бесперспективность этой борьбы для Siemens и других вендоров SCADA-систем.

С другой стороны, всё-таки не будем забывать о специфике рынка. SCADA - это весьма специфичный программный продукт, который разрабатывается в совершенно иных условиях, чем ПО для домашних пользователей, и условия эти даже более жестки, чем для большинства продуктов по безопасности (довелось мне видеть воочию процесс создания одного из буржуинских корпоративных файрволов - удивился, как тот вообще работает). Даже найти SCADA-систему в свободном доступе - уже большая проблема, потому что из интернета её не скачаешь, а на предприятие, которое её использует, тоже нужно проникнуть.

То есть, битву производители SCADA скорее всего, проиграют, но при этом победителями будут не прыщавые подростки, пишущие генераторы ключей для небольших утилиток, а программисты в погонах, перед которыми стоит задача разрушения промышленности вероятного противника. Нас ждет очень интересное время, дамы и господа...

Роман Идов,

аналитик компании SearchInform