В июле специалисты по безопасности разобрали червь Stuxnet и его архитектура ломает привычные допущения о защите промышленных систем. Это не очередной троян, ворующий пароли. Stuxnet ищет конкретное программное обеспечение Siemens SIMATIC WinCC и Step7, через которое операторы управляют программируемыми логическими контроллерами (ПЛК) на заводах, в энергетике и на транспорте. Цель червя – не данные, а физический процесс. Для российской промышленности и госсектора это сигнал: воздушный зазор больше не гарантирует безопасность.

Почему прежняя модель защиты не работает

Долгие годы АСУ ТП считали защищёнными по умолчанию. Логика простая: технологическая сеть изолирована от интернета, протоколы проприетарные, оборудование специфическое, а значит злоумышленнику негде закрепиться. Stuxnet опровергает каждый пункт.

Червь распространяется через USB-носители, эксплуатируя уязвимость обработки ярлыков LNK в Windows (MS10-046). Достаточно открыть заражённую флешку и код выполняется без запуска файла вручную. Так зараза перепрыгивает воздушный зазор: подрядчик приносит ноутбук или накопитель на объект, и изолированная сеть перестаёт быть изолированной.

Дальше Stuxnet ведёт себя избирательно. Он проверяет конфигурацию ПЛК и активируется только при совпадении с заданным профилем. На чужих машинах он спит, маскируясь и не выдавая себя. Это не массовая эпидемия ради статистики, а точечный инструмент против конкретного класса объектов.

Что это значит для промышленных заказчиков

Главный вывод – периметр сместился. Угроза приходит не из внешнего канала, а вместе с легитимным носителем и легитимным инженерным ПО. Подход к защите АСУ ТП придётся пересобирать по нескольким направлениям.

  • Сегментация сети. Технологический контур нужно отделять от офисного межсетевыми экранами с контролем промышленных протоколов, а не одним номинальным VLAN.
  • Контроль съёмных носителей. Политики USB, белые списки приложений и проверка подрядного оборудования на входе перестают быть формальностью.
  • Мониторинг аномалий процесса. Если вредонос вмешивается в работу ПЛК, его выдают отклонения в телеметрии, а не сигнатуры антивируса. Нужны системы, которые видят норму технологического процесса.
  • Управление обновлениями. Патч MS10-046 на промышленных рабочих станциях нельзя откладывать на квартал – а именно так часто и происходит из-за требований сертификации оборудования.

Отдельная проблема – диагностика. Stuxnet использовал украденные цифровые подписи реальных производителей, поэтому драйверы выглядели доверенными. Значит, проверка целостности и репутации компонентов должна идти глубже, чем доверие к валидной подписи.

Архитектура защиты, а не точечные заплатки

Stuxnet показывает, что безопасность промышленной системы – это свойство всей архитектуры, а не функция одного антивируса на рабочем месте оператора. Мы в Onepoint выстраиваем защиту АСУ ТП как многоуровневую модель: разделение контуров, шлюзы между ними, контроль доступа, журналирование действий и мониторинг технологического трафика и инцидентов информационной безопасности.

Та же логика управляемой инфраструктуры работает и в смежных задачах. Когда мы разбирали запуск OpenStack, речь шла о контроле над собственной облачной средой вместо чёрного ящика вендора. А переход бизнеса на новые платформы – от мобильных решений на Android до веб-клиентов – расширяет поверхность атаки и требует закладывать безопасность в проект с первого дня, а не латать готовую систему.

Вывод

Stuxnet закрыл эпоху наивной веры в изоляцию. Промышленным предприятиям и госструктурам стоит провести аудит технологических сетей уже сейчас: проверить сегментацию, политики съёмных носителей и порядок обновлений. Готовность к атаке на физический процесс – это не разовый проект, а постоянная дисциплина. Чем раньше выстроить её основу, тем меньше стоить ликвидация последствий.