15.07.2014

Индустриальный сегмент АСУ ТП поверх офисной сети: возможно ли?

Всегда думал, что индустриальные и офисные сегменты должны быть физически разнесены между собой и по офисной сети ну никак не стоит передавать трафик индустриальных приложений по протоколам OPC, Modbus, DNP3 и т.п. Но тут, готовясь к тренингу по безопасности АСУ ТП, наткнулся на интересный кейс от Боинга, в котором как раз ставилась задача по интеграции двух ранее физически разнесенных сегментов.

Раньше индустриальные сегменты выделялись особо с точки зрения дизайна, требований по сходимости, надежности, отказоустойчивости и т.п. У Cisco даже есть отдельное руководство, разработанное совместно с Rockwell Automation по данной теме - свыше 600 страниц подробных инструкций и рекомендаций.


Общая суть таких дизайнов - сегментация и разделение индустриальной и офисной сети.


Но очевидно, что такое разделение несет с собой и ряд сложностей. Вот только ряд из них:

  • Управление VLAN
  • Управление конфигурацией
  • Дублирование СКС
  • Увеличение стоимости
  • Рост числа ошибок.

Вполне закономерно возникает желание передавать индустриальный трафик поверх офисной сети. Но это тоже не панацея, т.к. обычная офисная сеть предлагает меньшую, чем требуется, защищенность. Ну а про несовместимость индустриальных и офисных протоколов и говорить не приходится. Вот на таком фоне Боинг в проекте по созданию 777-го и решил все-таки снизить свои издержки и объединить две сети.

За основу была взята идея оверлейных сетей, которую сейчас активно продвигают в связи с виртуализацией сетевых функций, программируемых (SDN) сетей и т.п. Но для ее реализации мало было просто навесить метки на разные типы трафика - вопрос с совместимостью и защищенностью все равно оставался.



Тогда Боинг, пригласивший известного игрока рынка индустриальной ИБ, компанию Tofino, заказал разработку специального загружаемого модуля безопасности (LMS) для своего межсетевого экрана (Tofino Security Appliance). Продукт был разработан - получился по сути некий защитный АСУ ТП ретранслятор, в задачи которого входили:

  • передача индустриальных протоколов поверх офисной сети за счет инкапсуляции
  • изоляция АСУ ТП от офисной сети с помощью простого индустриального МСЭ
  • защита коммуникаций между ретрансляторами с помощью протокола Host Identity Protocol (HIP).



Решение (LSM) было реализовано в виде открытой архитектуры на базе open source решений. Среди планов Tofino - встроить LSM либо на уровень оконечных устройств (HMI, БД, OPC-сервера и т.п.), либо сразу на уровне контроллеров.

Вот такое интересное решение. Надо заметить, что согласно недавно зарегистрированному приказу ФСТЭК №31 такой подход возможен и у нас. Только вот решений, реализующих эту схему, у нас почти что и нет. Хотя я сторонник все-таки традиционного подхода с физическим, а не логическим разделением индустриальных и офисных сетей.

ЗЫ. Кстати, по поводу 31-го приказа мы (Cisco) проводим онлайн-семинар 24-го июля в 11 утра по московскому времени. Кому интересно, приходите

5 коммент.:

Petyhov A комментирует...
Этот комментарий был удален администратором блога.
Alexey Komarov комментирует...

Только вот решений, реализующих эту схему, у нас почти что и нет.
Это не так - те же устройства Tofino (теперь часть Belden) доступны в России и пользуются устойчивым спросом.

Алексей Лукацкий комментирует...

Алексей, решение одного вендора у одного дисти - это и есть "почти" :-)

Alexey Komarov комментирует...

"Алексей, если вы чего-то не знаете, не значит, что этого не существует в природе" (с) =)

И решение не одно и дистрибьюторов/партнёров хватает: это общая беда "классических офисных" вендоров - им кажется, что раз их решения для промышленных сетей не подходят, то и никакие другие никто не придумал =)

Алексей Лукацкий комментирует...

Советую еще раз мой disclaimer почитать. Я не ограничиваюсь только решениями компании, в которой работаю.