7 мая оператор крупнейшего топливного трубопровода США Colonial Pipeline остановил прокачку после атаки шифровальщика. Компания снабжает почти половину Восточного побережья бензином, дизелем и авиатопливом. Атаку приписывают группе DarkSide, работающей по модели ransomware-as-a-service. Остановка показала простую вещь: компрометация ИТ-контура напрямую бьёт по физическим процессам, даже если сами АСУ ТП не зашифрованы. Оператор отключил производственные системы превентивно – потому что не мог гарантировать их изоляцию от заражённой корпоративной сети.

Это сценарий, который должен разбирать каждый владелец критической инфраструктуры в России. КИИ у нас регулируется 187-ФЗ, и требования регулятора по сегментации, мониторингу и реагированию – не формальность, а ровно та защита, которой не хватило в этом инциденте.

Где рвётся цепочка

Шифровальщики редко начинают с промышленного оборудования. Точка входа – корпоративная почта, уязвимый VPN, скомпрометированный аккаунт подрядчика. Дальше злоумышленник движется по плоской сети к ценным активам. В случае Colonial роковой оказалась не глубина проникновения, а отсутствие уверенности в границе между ИТ и ОТ. Когда вы не знаете, где проходит периметр, вы вынуждены гасить всё.

Отсюда первый урок: сегментация – не диаграмма в документации, а проверяемое техническое состояние. Сети ИТ и АСУ ТП должны быть физически или логически разделены, межсетевые экраны настроены на принцип минимальных привилегий, а удалённый доступ – только через контролируемые шлюзы с многофакторной аутентификацией. Single sign-on без второго фактора в 2021 году – приглашение к взлому.

Резервные копии решают исход

DarkSide применяет двойное вымогательство: данные шифруют и одновременно выгружают, угрожая публикацией. Против шифрования работает дисциплина бэкапов, против утечки – шифрование данных на стороне хранения и контроль исходящего трафика.

Резервные копии спасают только если они изолированы. Бэкап, доступный из той же сети, шифровальщик уничтожит вместе с продуктивом. Нужна офлайн- или immutable-копия, регулярные тесты восстановления и понятный RTO. Архитектура тоже снижает риск: разнесение функций по изолированным сервисам ограничивает радиус поражения – мы разбирали этот подход в материале про микросервисную архитектуру для e-commerce. Те же принципы границ и изоляции работают и в промышленном контуре.

Мониторинг важнее реакции постфактум

Colonial узнал об атаке, когда системы уже были зашифрованы. Это провал детектирования, а не только защиты. Поведенческий мониторинг ловит аномалии до того, как сработает полезная нагрузка: всплеск обращений к файловым серверам, нетипичные сетевые соединения, массовое переименование файлов. Те же методы анализа поведения, что лежат в основе рекомендательных систем, в безопасности выявляют отклонения от нормального профиля.

Для российских компаний есть и экономический аргумент: затраты на ИБ-инфраструктуру и разработку защищённых решений частично покрывают налоговые льготы для ИТ-отрасли. Безопасность перестаёт быть чистой статьёй расходов.

Защита критической инфраструктуры выстраивается слоями: сегментация сетей, мониторинг и план реагирования превращают разрозненные меры в проверяемый контур, который выдерживает сценарий вроде Colonial.

Вывод

Инцидент с Colonial Pipeline – не про экзотическую угрозу, а про базовую гигиену, которой пренебрегли. Сегментируйте сети, изолируйте резервные копии, внедрите многофакторную аутентификацию и поведенческий мониторинг, отрепетируйте сценарий восстановления. Эти меры дешевле любого простоя. Платить выкуп – худшая из стратегий: она финансирует следующую атаку и не гарантирует возврат данных.