Модератор: kirillio
Шутим, да? Почитайте:scadastrangelove писал(а): > Термин "регуляторы", в данном контексте - конечно жесть.
http://www.punjabigraphics.com/images/1 ... google.gif
https://www.google.ru/search?q=регуляторы+ИБ
Да кто ж спорит? И сапоги шить, и пироги печь дело хорошее. Беда только, когда один спец не за своё хватается...Василий Иванович писал(а):Вообще, они за хорошее дело взялись.
А сейчас там в команде кто? ;)Василий Иванович писал(а):Им надо было просто в команду одного инженера взять, чтобы помог яблоки от груш отличать.
Добро бы в элементы SCADA у ребят попадали реальные составляющие системы, они же ухищряются включать туда утилиты для компиляции проектов в панели оператора и пакеты для программирования контоллеров.Василий Иванович писал(а): А то в плане уязвимостей что скада, что браузер, что любой другой сетевой софт - одно и то же.
Так-то они озабочены безопасностью АСУТП в целом. Насколько я понял из слухов, стухнет залазил в контроллеры через Степ7. Так что все правомерно, просто надо вывески немного сменить.Ryzhij писал(а):Добро бы в элементы SCADA у ребят попадали реальные составляющие системы, они же ухищряются включать туда утилиты для компиляции проектов в панели оператора и пакеты для программирования контоллеров.
У них как я понял принцип такой - что связывается с контроллером - то скада. Им нужно было заменить слово "скада" словом "промышленный софт". По большому счету последствие-то одно - залив левого кода в контроллер, а через какую задницу залив ведется - оно не столь важно.Ryzhij писал(а):Добро бы в элементы SCADA у ребят попадали реальные составляющие системы, они же ухищряются включать туда утилиты для компиляции проектов в панели оператора и пакеты для программирования контоллеров.
Так можно и ассемблер или пакет С++ в элементы SCADA-системы записать.. А отчего нет?
Есть мнение, что исходный вопрос полон сарказма и относится к риторическим, на что как бы намекает комментарийПапа ответил на вопрос? Нет, папа не ответил на вопрос. Зато папа пошутил.
. Или я не прав?Боюсь в багажник пихать начнет ОРС
Можно цитату из этого форума, которая цитата их откуда-то?Скажите, Сергей, а Step7 - это СКАДА?
Могу слегка понять сарказм в части АСУ ТП (SCADA). Ни как не могу приучить наших техписов не заменять некоторые символы без согласования. В исходнике было АСУ ТП/SCADA. Понятно, что SCADA это один из компонентов ICS, но к сожалению в умах многих людей из ИТ и ИБ SCADA=ICS и если не вставлять эту аббревиатуру, гуглиться будет плохо :)3. ВОСТРЕБОВАННОСТЬ ЭЛЕМЕНТОВ СИСТЕМ АСУ ТП (SCADA) В РОССИИ
...
- STEP 7 — разработка систем автоматизации на основе PLC (около 22,05%);
PS. Что касается инженерных пакетов, но они с точки зрения архитектуры ИБ и моделирования угроз очень сходны с SCADA/HMI. Например когда "драконили" TIA Portal, огромное количество уязвимостей пересекается с WinCC и WinCC Flexible, посколько большое количество кода повторно используется. Ну это понятно, если в IDE входит например SQL Server, запускаемый "из коробки" то IDE будет наследовать проблемы ИБ в SQL.На основании этих данных можно приблизительно оценить доли различных производителей на рынке программных и аппаратных составляющих систем АСУ ТП1.
Согласно полученным данным, наиболее востребованными являются специалисты, имеющие навыки работы с решениями компании Siemens. Из шести самых распространенных продуктов четыре относятся к семейству Siemens SIMATIC:
- STEP 7 — разработка систем автоматизации на основе ПЛК (около 22,05%);
- WinCC и WinCC Flexible — создание человеко-машинного интерфейса (18,11% и 3,94% соответственно);
- SIMATIC PCS 7 — построение комплексных систем автоматизации (7,87%).
В пятерку лидеров также входят InTouch HMI компании Wonderware с долей в 12,6% и пакет ПО Genesis от Iconics (5,51%).
А можно я процитирую отчет?В случае с использованием косвенных данных с hh.ru не было даже намёка на попытку оценить степень корреляции количества заявок на специалистов на этом специфическом ресурсе с распространённостью уже внедрённых систем различных типов в России.
И еще хотелось бы попросить привести, дабы учесть в будущемМы получили представление о степени востребованности специалистов, обладающих опытом работы с той или иной системой, технологией, протоколом или программным продуктом. На основании этих данных можно приблизительно оценить доли различных производителей на рынке программных и аппаратных составляющих систем АСУ ТП
Полный текст исследования http://www.ptsecurity.ru/download/SCADA ... ussian.pdf.Грубейшие фактические ошибки и путаница в терминологии
Нет, это я троллю на счет профессиональной терминологии в области ИБ, которой тоже надо владеть перед тем как ;) В обшем ответный мяч :)Шутим, да? Почитайте:
http://ru.wikipedia.org/wiki/%D0%A0%D0% ... 0%BE%D1%80
Вот как можно еще вести какую-то дискуссию. Вопрос ко всем: я где-то тут отвечал вопросом на вопрос?.scadastrangelove писал(а):Можно цитату из этого форума, которая цитата их откуда-то?Скажите, Сергей, а Step7 - это СКАДА?
Прочитай пожалуйста перевод доклада и не пользуйся слухами.Михайло писал(а):Насколько я понял из слухов, стухнет залазил в контроллеры через Степ7. Так что все правомерно, просто надо вывески немного сменить.
Боюсь, не совсем понимаю ваш праведный гнев.Вот как можно еще вести какую-то дискуссию. Вопрос ко всем: я где-то тут отвечал вопросом на вопрос?.... да вот тут правильная редакция
Было бы великолепно, если бы были указаны конкретные ляпы и недочеты.Но вот что бывает когда за неё берутся те кто про неё лишь что-то где-то слышал - мы видим.
:)scadastrangelove писал(а):В целом "абсолютной защиты" не бывает. Вообще. Но можно ощутимо поднять ее стоимость.
Если мне, как разработчику системы, понадобится закладка, то она сработает как мне нужно.scadastrangelove писал(а):Что касается StuxNet, то это действительно была заточенная под конкретный объект атака, причем атака многоходовая. Проект (и документация) изначально "вытягивался" для разбора различными методами, потом создавался "атакующий" модуль на основании этой информации. Т.е. то, что отловилось в конце, это уже "последний" релиз.
Если мне, как отвественному за безопасность системы будет важен разработчик как источник угрозы, то я с простого. Разработчик будет кровью подписываться под каждой строчкой/ЭЦП при каждом коммите, а его детород... отвественность будет закреплена соотвествующим документом. Не панацея, но в случая инцидента и forensic вполне пригодиться ;)Если мне, как разработчику системы, понадобится закладка, то она сработает как мне нужно.
Для Вас уже нет ))) Это будет после События )))scadastrangelove писал(а): Разработчик будет кровью подписываться под каждой строчкой/ЭЦП при каждом коммите, а его детород... отвественность будет закреплена соотвествующим документом. Не панацея, но в случая инцидента и forensic вполне пригодиться ;)
А на мой! На мой вопрос не ответили! Чем винсиси со степом от PCS7 отличаются!! Это тоже техписы зловредные накосячили?scadastrangelove писал(а): 1. Вроде ответил :
- STEP 7 — разработка систем автоматизации на основе ПЛК (около 22,05%);
2. Указал первоисточник, чтобы использовали его, а не перепечатки.
Было бы великолепно, если бы были указаны конкретные ляпы и недочеты.
Спасибо!
Вот хотел попинать ногами за "регуляторы", а тут и без меня уже... :Dscadastrangelove писал(а):Нет, это я троллю на счет профессиональной терминологии в области ИБ, которой тоже надо владеть перед тем как ;) В обшем ответный мяч :)Шутим, да? Почитайте:
http://ru.wikipedia.org/wiki/%D0%A0%D0% ... 0%BE%D1%80
А вы в курсе, что на подавляющем большинстве операторских станций в пределах АСУТП нет антивирусов? А знаете, почему? (Сразу скажу: "деньги" - ответ неверный, "лень" и "расп..дяйство" - тоже).scadastrangelove писал(а):В целом "абсолютной защиты" не бывает. Вообще. Но можно ощутимо поднять ее стоимость. В настоящее время то, что мы видим - достаточно "низковисящие фрукты" для любого парня с метасплойтом. Кроме превентивных есть детективные и коррективные средства защиты, которые позволяют обнаружить атаку и минимизировать последствия.
Да ведь целый топик у нас, на хабре и еще наверняка в десятке мест в интернете только этому и посвящены. Перечислено предостаточно. Так что на здоровье. ;)scadastrangelove писал(а):Было бы великолепно, если бы были указаны конкретные ляпы и недочеты.
Спасибо!
