Кибербезопасность датчиков и контроллеров: чек-лист до подключения к городской сети

Даже «читающий» датчик — часть сети и источник данных, которым доверяют при принятии решений. Его можно подменить и заставить передавать ложные показания, например заниженное давление или температуру, что исказит реакцию операторов и автоматики. Кроме того, скомпрометированный датчик часто используют как точку для продвижения по сети или как вход, из которого изучают инфраструктуру. Поэтому такой датчик требует как минимум уникальной идентификации, смены заводских паролей, шифрования канала и попадания в журналы мониторинга, даже если он не может управлять физическим процессом.

VLAN логически разбивает сеть, но сам по себе не решает, кому и какой трафик разрешён: при неправильной настройке и ошибках маршрутизации возможен обход. Модель зон и каналов (zones and conduits) из IEC 62443 дополняет сегментацию политикой: зона — это набор устройств с одинаковыми требованиями к защите, а канал — контролируемая точка соединения между зонами, где явно заданы правила доступа и передаваемые потоки. На практике это означает не только VLAN-разделение, но и межсетевые экраны с белыми списками, минимальные привилегии и отдельные пути управления, а не полагание на один тег виртуальной сети.

Если протокол не поддерживает шифрование и аутентификацию (типично для устаревших Modbus, Profibus и подобных), устройство нельзя выводить напрямую в общую сеть или интернет. Держите его в изолированном сегменте с минимальным числом собеседников, ограничьте доступ строгими правилами межсетевого экрана и пропускайте трафик через шлюз, который понимает протокол и умеет проверять допустимые команды и адреса. Весь трафик к современным серверам и системам мониторинга шифруйте уже на шлюзе. Помните, что это компенсирующая мера: само устройство остаётся уязвимым к подмене, поэтому дополнительно включите журналирование и сигналы на аномалии.

Устройство без поддержки обновлений нельзя считать безопасным надолго. Если замена невозможна сразу, введите компенсирующие меры: поместите его в отдельный строго ограниченный сегмент без выхода в интернет, сведите к минимуму собеседников по сети, включите шифрование на шлюзе и усиленное журналирование с сигналами на аномальную активность. Зафиксируйте это как временный риск в оценке рисков, назначьте ответственного и запланируйте замену устройства до окончания срока поддержки, внеся его в план закупок. Чем дольше работает неподдерживаемое устройство, тем важнее ограничить его доступ и контролировать трафик.

При закупке контроллера уточняйте не только цену и функции. Спросите, поддерживает ли устройство уникальные учётные данные на каждое изделие, сертификаты и многофакторную аутентификацию, имеет ли оно защищённый механизм обновления прошивки с проверкой подписи, умеет ли шифровать каналы и вести журнал событий безопасности. Узнайте, кто и как принимает сообщения об уязвимостях, какова заявленная длительность поддержки и что происходит при снятии модели с производства. Попросите письменные подтверждения и занесите требования в договор — именно эти условия определяют, насколько дорого обойдётся защита устройства после подключения.

Да, принципы сохраняются и для одного устройства, но масштаб мер пропорционален риску. Даже одиночный датчик следует внести в опись, сменить заводской пароль, включить шифрование канала, ограничить его доступ правилами межсетевого экрана и настроить запись событий. Для малого объёма процесс согласования можно упростить — например, типовым шаблоном вместо полной оценки рисков, — но нельзя пропускать шаги идентификации, смены учётных данных и сегментации. Важно, чтобы одиночное подключение не нарушало общую политику: одно устройство, подключённое «по-быстрому», может стать слабым звеном для всей сети.