 |
UDV Group: в АСУ ТП атака может идти без вредоносного файла
Российский разработчик решений в области киберустойчивости UDV Group рассказал, почему в промышленных сетях сигнатурной защиты уже недостаточно. В авторской статье для Anti-Malware пресейл-инженер UDV Group Иван Бурмистров объяснил, как злоумышленники используют легитимные учетные записи, штатные протоколы и инструменты администрирования, чтобы действовать в АСУ ТП без явного вредоносного ПО.
Не каждая кибератака на промышленную инфраструктуру начинается с вредоносного файла. В ряде сценариев злоумышленнику достаточно получить легитимную учетную запись, использовать разрешенный канал удаленного доступа и выполнить команды, которые формально похожи на штатную работу инженера или подрядчика. Такой подход называют Living-off-the-Land: атакующий действует средствами, уже присутствующими в инфраструктуре.
Для АСУ ТП этот сценарий особенно опасен. В промышленной сети отдельная команда может повлиять не только на ИТ-сервис, но и на физический процесс: остановить двигатель, изменить параметры, перезагрузить контроллер или нарушить производственный цикл. Поэтому риск возникает не только из-за самого инструмента, а из-за контекста его применения: кто выполняет действие, откуда, в какое время и к какому оборудованию обращается.
«В промышленной сети недостаточно искать вредоносный файл. Атакующий может использовать штатные протоколы, удаленное администрирование, инженерные станции и легитимные учетные записи. Для средств защиты такая активность может выглядеть разрешенной, но в контексте конкретного процесса она становится опасной», - отметил Иван Бурмистров, пресейл-инженер UDV Group.
Чаще всего первичная точка входа находится не в самой АСУ ТП, а в корпоративной ИТ-среде. Это может быть фишинговое письмо, украденный пароль, открытый сервис удаленного доступа, скомпрометированная учетная запись подрядчика или поставщика. После этого злоумышленник ищет путь к технологическому сегменту через слабую сегментацию, общие учетные данные, постоянные удаленные доступы или инженерные станции, связанные сразу с несколькими зонами.
В UDV Group отмечают, что классическая сигнатурная защита хорошо распознает известные вредоносные файлы, хеши и типовые индикаторы компрометации, но хуже работает там, где атака внешне похожа на штатное действие. Если пользователь с законными правами отправляет команду на оборудование, сигнатура видит разрешенный пакет. Она не оценивает, должен ли этот пользователь выполнять такую операцию ночью, работал ли он раньше с этим контроллером и соответствует ли команда нормальному профилю технологического обмена.
Дополнительное ограничение связано с самой промышленной инфраструктурой. На старые ОС и специализированное оборудование не всегда можно установить современные агенты защиты. ПЛК обычно не допускают установки внешнего ПО, а вмешательство в их прошивку может нарушить гарантию или сделать поведение оборудования непредсказуемым. При этом производство часто нельзя остановить ради установки защиты или перезагрузки критичных узлов.
В таких условиях защитная логика должна смещаться от поиска файла к анализу поведения и отклонений от нормы. Для этого промышленным предприятиям нужна видимость сети: понимание того, какие устройства взаимодействуют между собой, какие протоколы используются, какие команды передаются и является ли такая активность штатной для конкретного участка.
Ключевую роль в таком подходе играют решения класса NTA для OT-сред. Они работают пассивно, на зеркалированном трафике, не устанавливают агенты на контроллеры и не создают дополнительную нагрузку на критичные узлы. При этом NTA позволяет видеть содержание технологического обмена: чтение, запись, запуск, остановку, перезагрузку или изменение параметров.
«Ценность появляется там, где отдельные действия связываются в контекст. Инженерная станция впервые обратилась к незнакомому контроллеру, в сегменте появились команды записи или остановки, подрядчик вышел за пределы своей зоны ответственности. Каждое действие может быть формально легитимным, но вместе они показывают отклонение, которое нельзя игнорировать», - пояснил Иван Бурмистров.
NTA не заменяет базовую управляемость промышленной сети. Чтобы сигнал был полезен, его нужно сравнивать с картой активов, перечнем разрешенных подключений, зонами ответственности пользователей, данными о конфигурациях, известными уязвимостями и нормальным профилем технологического обмена. Без этого даже точное событие остается вопросом: это штатная работа инженера, ошибка подрядчика, эксплуатация уязвимости или часть атаки.
UDV Group рекомендует промышленным предприятиям начинать с базовой карты сети: какие устройства работают в технологическом контуре, за что они отвечают, какие IP-адреса им соответствуют и кто является владельцем сегмента. Следующий шаг - контроль удаленных подключений, инвентаризация технических учетных записей, отзыв лишних доступов, MFA для удаленного доступа и подключение подрядчиков только по времени и заявке.
Отдельное значение имеет фиксация изменений в ПЛК и инженерных станциях: кто и когда отправлял команды, соответствует ли рабочая версия проекта эталону, какие конфигурации были изменены. Это позволяет не только обнаруживать подозрительную активность, но и восстанавливать цепочку событий при инциденте.
В UDV Group подчеркивают, что сигнатурная защита остается важным элементом кибербезопасности, но в промышленных сетях она не закрывает весь спектр угроз. Когда злоумышленник действует через разрешенные инструменты и легитимные учетные записи, решающими становятся контекст, история взаимодействий и понимание технологического процесса. Именно они позволяют отличить штатную работу инженера от атаки, выполненной его учетными данными.
Контактное лицо: UDV Group
Компания: UDV Group
Добавлен: 12:14, 05.09.2026
Количество просмотров: 996
Страна: Россия
| Обновленный модуль «ИНКА.НСИ» внесен в реестр российского ПО, Инка, 23:44, 21.10.2026, Россия188 |  |
| Компания «ИНКА 4.0» внесла в реестр отечественного программного обеспечения обновленную версию модуля «ИНКА.НСИ». Решение предназначено для ведения и контроля корпоративной нормативно-справочной информации, на которую опираются информационные системы предприятий. |
| «Инвитро» повысила устойчивость цифровых сервисов благодаря observability платформе GMONIT, GMONIT, 23:41, 21.10.2026, Россия191 |
| Медицинская компания «Инвитро» внедрила observability платформу GMONIT для централизованного мониторинга критически важных приложений, баз данных и инфраструктуры. Решение направлено на повышение устойчивости цифровых сервисов, ускорение выявления и устранения инцидентов, а также обеспечение выполнения SLA (Service Level Agreement) с клиентами — медицинскими учреждениями и больницами. |
| 1Событие для малого бизнеса, 1С-Рарус, 23:26, 21.10.2026, Россия183 |
| 1Событие для малого бизнеса. Выставочный комплекс «Тимирязев Центр», г. Москва, ул. Верхняя аллея, д. 6, стр. 1. 27 ноября 2026, с 10:00 до 19:00 |
| DLBI: атаки на корпоративную почту выросли в 2,5 раза, Data Leakage & Breach Intelligence, 23:11, 21.10.2026, Россия192 |
| По данным российского сервиса разведки уязвимостей и утечек данных DLBI, число атак на корпоративные почтовые системы в России в III квартале выросло в 2,5 раза по сравнению со II кварталом этого года. Также взломщики атакуют личные почтовые аккаунты на бесплатных платформах. |
| «Телфин» интегрировал «ВКонтакте» с amoCRM и «Битрикс24», Телфин, 23:01, 21.10.2026, Россия100 |
| Провайдер коммуникационных сервисов «Телфин» объединил социальную сеть «ВКонтакте» с ведущими CRM-платформами в России amoCRM и «Битрикс24» с помощью виджета Whatcrm. Интеграция решений позволяет превратить мессенджер из канала общения в полноценный инструмент продаж. |
|
|
