Ещё о вирусоделии на SIMATICах

[1500py073]

Как уже ранее поднимал вопрос, о страшном потенциальном вреде включения ПЛК в общие сети предприятий, в посте Сименс это не только ценный мех, но и... рекомендую посмотреть более подробную работу, на эту тему. Что она на немецком, это совсем не беда, гугл помогает понять детали того, что и так каждому моральному человеку ясно из общетехнических терминов, великолепных иллюстраций и здравого смысла.
https://os-s.net//thesis/MA_Maik_Brueggemann.pdf

Comments

[fixik-papus.livejournal.com]

Знаем-знаем
У нас на эту тему аж вебинары проводятся.
Уроки Stuxnet изучены и усвоены.

Кстати, банится все это просто элементарно.

Сейчас идет проработка вопроса на тему разрешения доступа к ПЛК даже из внутренней фабричной сети только при вставленном в программатор индивидуальном токене-дешифровщике.

[aterentiev.livejournal.com]

>только при вставленном в программатор индивидуальном токене-дешифровщике

а можно , если не секрет, немного о идее поподробнее?
куда собрались вставлять токен? в контроллер или в ES?

[fixik-papus.livejournal.com]

В программатор с ES и TIA
Токен разрешает обмен данным с контроллерной сеткой по Ethernet
При отсутствии таковой - общение с контроллером блокируется

(надеюсь, Вы понимаете, что контроллерная сеть это отдельная сеть, никак не пересекающаяся со всеми остальными. Air gap, да)

[aterentiev.livejournal.com]

Получается, что Terminal-сетка всегда зашифрована, я правильно понял? Но в этом случае должна быть реализация ответной части шифрователя на контроллерной стороне и привязка токена к конкретному контроллеру?
Есть некоторые сомнения в защищенности подобного соединения (раз есть софт-решение для расшифровки, то появится и хак), но уже лучше, чем ничего...

[fixik-papus.livejournal.com]

Не совсем
Это для исключения несанкционированного доступа с программатора в сеть (будь то физическое лицо или злобный червь)

[aterentiev.livejournal.com]

Ну если только так, то можно просто вытаскивать сетевой кабель. Air gap :)

[fixik-papus.livejournal.com]

И это делается штатно
Однако ж, нужно и программировать, как бы

[1500py470.livejournal.com]

А вебинары кто проводит — материнская компания, Сименс или третья фирма/инструктор по совету материнской компании/своих безопасников?

[fixik-papus.livejournal.com]

Головное подразделение айтишное свое.
А уж с кем и как они там консультируются - я не знаю.

[fixik-papus.livejournal.com]

Ах, да, первым пунктом во всех рекомендациях-инструкциях идет
"все виды и сорта web-серверов во всем оборудовании должны быть забанены на всех возможных уровнях, от собственно ПЛК до коммутаторов и гейтов сети"
Там просто невероятное количество дыр. Везде и у всех.

При необходимости телесервиса - это разрешается вручную на нужное время и делается через отдельную виртуалку и с отдельно настроенной маршрутизацией, так, чтобы внешнее подключение физически и в принципе не могло попасть во внутреннюю сеть кроме как к одному конкретному устройству.