Привет, Хабр! Меня зовут Антон Кутепов, я руковожу центром промышленной экспертизы Positive Technologies. Мы исследуем угрозы для технологических сетей, промышленные протоколы и оборудование, разрабатываем правила обнаружения атак и закладываем эту экспертизу в PT ISIM.
Подробные разборы инцидентов на действующих предприятиях появляются редко. Публикация такой истории может раскрыть архитектуру и конфигурацию систем, которые в промышленности живут годами. Поэтому сегодня разберем учебный сценарий, воспроизведенный на Standoff – онлайн-полигоне с реальными компонентами АСУ ТП. Это не цифровая копия действующего производства со всей его эксплуатационной историей, блокировками и последствиями, но логика перемещения атакующего и работа источников телеметрии вполне характерны для промышленной инфраструктуры.
Начнем с конца
В 14:23 SCADA-сервер установки гидрокрекинга записал новое значение технологического сигнала в ПЛК. Событие произошло вне технологического окна и вызвало вопросы службы ИБ, но прежде чем делать выводы необходимо понять контекст. Источник команды — сервер АСУ ТП, получатель — контроллер, которым он и должен управлять. Соединение не похоже на эксплуатацию уязвимости, протокол стандартный, а сама операция записи предусмотрена логикой работы системы.
