Алексей Петрухин: «Если систему нельзя обновить, ее нужно изолировать»
Почему промышленность до сих пор считается одной из самых уязвимых сфер для кибератак?
Я думаю, потому что на большинстве промышленных предприятий есть множество уязвимых мест, закрыть/защитить которые одни не могут в силу слабых функций ИБ, другие — из-за отсутствия финансирования. Вектор атаки очень широк, ведь это не только офисные рабочие станции, почтовые сервисы и информационные системы, но еще производство, системы АСУТП, промышленное оборудование, контроллеры, серверы, и все это может быть устаревшим, с массой необновляемых систем, к которым имеют доступ какие-нибудь подрядчики, интеграторы. В таком состоянии все это живет в компаниях годами, иногда десятилетиями.
В офисной ИТ-инфраструктуре можно сравнительно быстро применить обновления операционных систем, драйверов, компонентов, программного обеспечения. антивируса, внедрить EDR. В промышленном сегменте так не всегда. Там любое изменение может означать остановку производственной линии, риск сбоя технологического процесса, приводящего к браку и, как следствие, большие финансовые потери. Поэтому безопасность часто отодвигается на второй план: главное, чтобы производство не остановилось.
В чем, на ваш взгляд, главная проблема с точки зрения организации ИТ и ИБ на заводах?
Как я уже отметил, многие предприятия не вкладываются в ИТ и информационную безопасность системно. Не потому, что все безответственные, а потому что ИТ и ИБ часто воспринимаются как расходная статья. Руководство не всегда видит прямой экономический эффект: печь или вибрационный пресс приносят деньги, цех выпускает продукцию, а безопасник или айтишник вроде бы только просит денег и что-то запрещает и усложняет.
Я неоднократно сталкивался с проблемой, когда штат ИТ и ИБ держат на минимуме. Люди работают на грани, на их плечах поддержка пользователей, обслуживание серверов, сети, 1С, телефонии, видеонаблюдение, СКУД и прочие вспомогательные системы. В режиме постоянного форсажа даже сильные специалисты начинают ошибаться. Не потому, что не знают, не хотят или не умеют, а потому что физически не успевают все контролировать и не могут уделить задаче должного количества времени.
Какие проблемы, по вашему мнению, чаще всего возникают из-за перегруженности ИТ-службы?
Тут есть самая типичная история: для пилотного проекта развернули новый сервер с более простыми административными паролями (для подрядчиков), открыли наружу порты, дали подрядчику доступ, настроили временные правила VPN, развернули сервис. Проект закончился, а временное решение так и осталось. Про виртуальный сервер забыли, не обновляют, не производят периодическую смену паролей.
И таких «временных» вещей с течением времени становится много. Где-то забытый незакрытый RDP, где-то тестовая VM без обновлений, где-то старый сервер, который не вывели из эксплуатации, где-то коммутаторы с дефолтными логинами-паролями — этого достаточно, чтобы зловред зацепился за инфраструктуру и начал ее разрабатывать.
В моей практике частый сценарий, когда админы не знают, что за сервер у них имеется, кто заказчик сервиса и вообще, используется ли он. Особенно опасно, когда такие артефакты остаются между корпоративным сегментом и сегментом АСУТП. Формально сегментация сетей выполнена, а по факту такие забытые и временные дыры приводят к нежелательным последствиям.
Я, по своему опыту, взял за правило регулярно выполнять инвентаризацию всех сетевых и серверных ресурсов, информационных систем, а также совместно со службой информационной безопасности проводим заказные пентесты своей инфраструктуры.
Почему нельзя просто поставить современные средства защиты, такие как EDR, XDR, KICS, SIEM, — и закрыть вопрос?
Потому что предприятие должно быть готово к таким решениям. Нужна зрелость процессов: инвентаризация активов, матрицы доступов, регламенты, должны быть закреплены ответственные, внедрены системы мониторинга, описаны процессы реагирования на инциденты ИТ и ИБ.
Купить EDR или SIEM — это же не панацея, не магия. Помимо их внедрения и настройки, требуется сопровождать эти системы, разбирать, анализировать события, обновлять правила корреляции, реагировать на инциденты. Если на весь завод из 500–600 пользователей работает в ИТ четыре человека и один в ИБ, они просто утонут в событиях.
То же самое с решениями класса KICS for Networks, KICS for Nodes, KUMA и похожими системами. Это правильный путь, но он требует людей, процессов и бюджетов. Без этого дорогие средства защиты лишь иллюзия защиты, которая установлена, но не дает ожидаемого эффекта. Это равнозначно забору, в котором отсутствие лишь одной секции перечеркивает весь смысл его существования.
Насколько серьезна проблема устаревших систем в АСУ ТП?
Очень серьезна. Я бывал на множестве различных заводов. В тяжелой промышленности до сих пор можно встретить системы на Windows XP, Windows Server 2003, старые SCADA-серверы, древние самописные АРМ операторов, ПО без поддержки производителя. Иногда это оборудование работает 15–20 лет и больше. Я сталкивался с задачами поиска б/у компьютеров и комплектующих 90-х готов, потому что жизненно важные системы работают на таком «железе» и нет возможности перевести их на современное «железо» без колоссальных инвестиционных проектов.
Что делать с такими старыми АСУ ТП-системами?
Я придерживаюсь позиции, что, если систему нельзя обновить, ее нужно изолировать и жестко контролировать доступ. Мне кажется, это базовый принцип. Устаревшие АРМ- и SCADA-серверы не должны иметь доступа в Интернет и даже к остальным сегментам АСУТП-сети. Их нужно помещать либо в отдельные сегменты с ограничением сетевых потоков и применением сертифицированных межсетевых экранов, либо полностью отключать от сети.
Почему бизнес иногда сам просит «упростить безопасность»?
Потому что безопасность почти всегда создает то самое неприятное трение. Двухфакторная аутентификация, отдельные учетные записи для разных задач, запрет подключения внешних носителей, согласование доступов, ограничения между сегментами — все это правильно, но пользователям, а зачастую именно топ-менеджерам, и производству часто просто неудобно.
Тут возникает конфликт: ИБ закручивает безопасность, производственники жалуются на дополнительно затрачиваемое время на простые операции, мол, «так мы не успеваем работать». Если руководство смотрит только на оперативную эффективность, оно может принять решение не в пользу безопасности. Нужно понимать, что компромиссы приводят к кратному увеличению рисков.
Почему территориальная распределенность усиливает риски?
У промышленных компаний часто несколько площадок: производство, склады, удаленные цеха, офисы, дата-центры, филиалы — все эти объекты обычно имеют выделенный доступ в Интернет, связаны между собой VPN-каналами, радиомостами, арендованными каналами связи.
Чем больше таких площадок, тем дороже и сложнее выдерживать единые стандарты подключений, обеспечивать своевременное обновление. Где-то установлен современный NGFW, где-то на маленькой площадке обычный маршрутизатор, где-то вообще роутер десятилетней давности. Управление таким разрозненным парком становится достаточно сложным. Да и поле атаки существенно расширяется — это каждая отдельно взятая площадка.
Атакующему не обязательно ломать центральный офис: иногда проще зайти через самый слабый удаленный объект, а дальше двигаться по сети.
Почему атака на промышленное предприятие опаснее, чем обычный офисный инцидент?
Тут очевидно: в офисе атака часто заканчивается утечкой данных, порчей информации за выкуп, прерыванием деятельности компании, приводящим к финансовым потерям. Да, это плохо, но это все моральный/финансовый вред.
На производстве атака может привести к тяжелым последствиям: выход из строя дорогостоящего оборудования, нарушение технологического процесса с порчей конечного товара, но страшнее риск для жизни и здоровья людей и окружающей среды.
С чего, по вашему мнению, предприятиям стоит начинать, если бюджет мал?
Я скажу так: не обязательно, даже не стоит начинать с каких-то дорогих решений. Сначала нужно навести порядок в том, что имеется. Наверняка у 99% компаний есть средства защиты базового уровня — это антивирусы, антиспам системы, брандмауэры. Уже с таким набором можно выстроить достаточно эффективную базовую систему для противодействия атакам.
Первое — инвентаризация и составление схем: какие серверы и системы, рабочие станции, АРМ, контроллеры, сетевые устройства имеются, кому, в каком количестве, какого типа предоставлен удаленный доступ, схема сети. Проверка внешнего периметра: какое оборудование используется, какие версии прошивок, какие сервисы опубликованы, какие порты открыты, какие VPN используются и т. д.
Второе — развернуть и настроить систему сбора логов с операционных систем компьютеров и серверов, с сетевого оборудования, развернуть систему SIEM, пусть даже OpenSource (например, WAZUH). Тщательно продумать и настроить типы собираемых событий. Забегая вперед, отмечу, что можно внедрить ИИ-агентов, мониторящих логи, что будет заменять на этом этапе развития SOC.
Третье — разработать план реагирования на инциденты, определить группы реагирования и последовательность действий служб ИТ и ИБ. Провести обучение основам обнаружения вторжений, возможно, провести киберучения.
Немаловажную роль играет образованность и подготовленность конечных пользователей. Рекомендуется регулярно проводить обучение, информирование и тестирование пользователей о методах фишинга, правилах реагирования в случае подозрения на мошенничество. В этом также помогают Opensource-системы, например, Moodle.
Далее разработать регламенты и привести к ним процессы установки обновлений там, где они возможны, резервное копирование, матрицы доступа и контроль прав административных учетных записей, регламент и процесс инвентаризации правил межсетевых экранов.
И только после этого можно идти в EDR, XDR, коммерческие SIEM, KICS для промышленных сетей и другие зрелые инструменты. Это все нужно, но такие системы нельзя устанавливать, если полностью отсутствует порядок.
Можно ли сказать, что главная проблема не в технологиях, а в управлении?
Да, во многом именно так. Технологии есть. Средства защиты есть. Методики есть. Но если за этим некому следить (ИТ- и ИБ-службы перегружены), высшее руководство не понимает/не хочет понимать всей серьезности рисков, а производственники привыкли решать вопросы «по-быстрому», то даже хорошие технологии не спасут.
Кибербезопасность промышленного предприятия должна начинаться с управленческого решения: признать, что в современном мире ИТ и ИБ — это не вспомогательная функция, а основа устойчивости и стабильности производства.
Каков главный вывод для руководителей промышленных предприятий?
Не стоит ждать, когда что-то случится. После инцидента все равно придется тратить деньги, только уже в большем количестве и в авральном режиме — с простоем, нервами, репутационными рисками.
Гораздо дешевле заранее сформировать достаточный для нормального функционирования штат ИТ/ИБ-сотрудников, понять, где слабые места и постепенно закрывать эти риски.
Сейчас промышленность — это один из основных векторов атаки в РФ. Ее атакуют с целью остановить основные циклы производства стратегически важных изделий, зная, что далеко не все предприятия обновили свою техническую базу.
Опубликовано 31.08.2026
