 |
 |
№ 4 июль–август 2016 г.
Тема номера:
БИЗНЕС, МОБИЛЬНЫЕ ТЕХНОЛОГИИ И БЕЗОПАСНОСТЬ
|
Аудит безопасности SCADA-систем
SCADA-system Security Audit
Евгений Алексеевич Митюков,
аспирант
ФГБОУ ВПО «Пермский национальный исследовательский политехнический университет»
E. A. Mityukov,
Competitor of Scientific Degree
Perm National Research Polytechnic University
Андрей Владимирович Затонский,
доктор технических наук, профессор
A. V. Zatonsky,
Doctor of Technical Sciences, Professor
Павел Владимирович Плехов,
кандидат технических наук, доцент
Березниковский филиал ФГБОУ ВО «Пермский национальный исследовательский политехнический университет»
P. V. Plekhov,
Ph.D., Associate Professor
Berezniki branch of Perm National Research Polytechnic University
|
|
  |
В статье проведен анализ научных и производственных секторов, отражено текущее положение дел в области обеспечения ИБ на объектах РФ, не относящихся к категории критически важных. Определен перечень методов тестирования SCADA-систем на предмет всевозможных уязвимостей. Сформулирован укрупненный план тестирования SCADA-систем в локальной сети. Сделан обзор ПО, сканирующего различные диапазоны IP-адресов сети, отражающего открытые порты активных хостов, позволяющего обнаруживать и исследовать уязвимости в SCADA-системах. Проведены исследования данного ПО на тестовых объектах. На примере Siemens Simatic S7 подробно рассмотрена авторизация на web-интерфейсы контроллеров. Предложено возможное решение для устранения найденных уязвимостей.
< ... >
Ключевые слова:
SCADA-система, информационная безопасность, несанкционированный доступ, синжерство, тесты на проникновение, Siemens Simatic S7, WEB-интерфейсы, промышленные контроллеры, WinCC web Navigator; HMI Mini web on, VNC, HTTP, Basic Auth
In the article the list of the methods of testing a technology processes control system for all kinds of vulnerabilities is determined. A consolidated plan of technology processes control system testing in a local network is formulated. The review of the software aiming to scan different ranges of IP-network addresses and reflect open ports of active hosts in order to detect and investigate vulnerabilities in technology processes control systems is presented. The results of the investigations of the software on test objects are showed. The article provides detailed review of the process of authorization on controllers’ web-interfaces considering Siemens Simatic S7 as an example. Possible solutions for determined vulnerabilities are suggested.
Keywords:
SCADA-system, technology processes control system, information security, unauthorized access, penetration tests, Siemens Simatic S7, WEB-interface, industrial controllers, WinCC web Navigator; HMI Mini web on, VNC, HTTP, Basic Auth
 Полную версию статьи смотрите на страницах журнала «Защита информации. Инсайд»
Обращайтесь!!!
e-mail: magazine@inside-zi.ru
тел.: +7 (921) 958-25-50, +7 (911) 921-68-24
Предыдущая статья СОДЕРЖАНИЕ НОМЕРА Следующая статья
|
