Незрелая безопасность SCADA

Тут недавно Алексей по своему обыкновению негодовал за незрелость и непонимаение. Имею мнение.

О какой защите бизнес-уровня можно говорить, когда в настоящее время безопасность SCADA находится на том же уровне зрелости, что Интернет-безопасность 10 лет назад. Базовые средства и механизмы защиты еще не внедрены. Сами системы с точки зрения Application Security не выдерживают никакой критики. Приведу пример из жизни.

Предположим, вы решили построить систему управления фродом на бензоколонках.

Для владельцев АЗС и для фрод со стороны персонала заправок является серьезной проблемой, расплачиваться за которую приходится, как это не печально автомобилистам. Низкая степень безопасности систем автоматизации, рабочих мест кассиров, топливораздаточных колонок, контроллеров сопряжения, платежных терминалов приводит к тому, что мошенники начинают использовать в своих целях не тривиальные трюки с «недоливом», а вполне высокотехнологичные приемы. В ход идут манипуляции с пластиковыми карточками бонусных программ, изменение прошивок контроллеров и изменения данных в таблицах СУБД, хранящих информацию о соответствии между купленным и фактически отпущенным топливом.

И вы ставите супер-мега средство сохранения дохода. Но!

Учитывая, что в большинстве случаев база хранится на том же рабочем месте кассира, которые работает с правами администратора, а пароль на контроллер, управляющий ТРК == admin/admin, до вашей системы просто не будет доходить достоверная информация. И все ее красота будет просто бесполезна.

Собственно к чему это я. Всему свое время. Сейчас индустрия безопасности АСУ ТП проходит первые шаги. Внедряет и адаптирует базовые средства защиты. Ведь без них в остальном смысла нет.

PS. Недавно Siemens разразился новыми патчами и уведомлениями для своей SCADA/HMI WinCC и PLC S7. Будет большей. Подробнее тут: http://scadastrangelove.blogspot.com/search/label/Releases

PPS. В ближайшее время буду выступать на тему безопасности SCADA на Infosecurity в Москве и Power Of Community в Сеуле.