Платформа для защиты промышленности от киберугроз PT Industrial Cybersecurity Suite (PT ICS) получила первый пакет экспертизы для выявления атак на автоматизированные системы управления на базе программируемых логических контроллеров (ПЛК) семейства Siemens Simatic S7. Также в экспертный пакет вошли правила, позволяющие обнаружить Energetic Bear, Industroyer, Triton и другое вредоносное ПО, в том числе неизвестное, нацеленное на промышленные системы. Новый пакет доступен пользователям продуктов Positive Technologies в рамках лицензии для защиты индустриального сегмента.
Согласно исследованию Positive Technologies, в первом квартале 2022 года промышленные предприятия заняли третье место среди наиболее атакуемых российских учреждений, обогнав СМИ, организации из сферы услуг, IT, науки и образования. Тенденция сохраняется на протяжении нескольких лет. Для того чтобы кардинально изменить уровень защищенности промышленных предприятий, нужны подходы, обеспечивающие комплексную защиту инфраструктуры компаний в индустриальном сегменте, начиная от сетевых узлов и заканчивая технологическими устройствами.
Платформа PT ICS объединяет ключевые продукты Positive Technologies (MaxPatrol SIEM, MaxPatrol VM, PT ISIM, PT Sandbox и агенты PT XDR), которые дополнены необходимой экспертизой в выявлении киберугроз, специфичных для технологического сегмента: за счет новых возможностей и агентов платформа эффективно обнаруживает действия хакеров и обеспечивает комплексную защиту всего предприятия.
В первом пакете экспертизы PT ICS содержатся 24 правила корреляции для системы мониторинга событий ИБ MaxPatrol SIEM, позволяющие обнаружить атаки на промышленные автоматизированные системы управления на базе ПЛК семейства Siemens Simatic S7. В частности, они помогают выявлять действия злоумышленников в среде разработки ПО для систем автоматизации Totally Integrated Automation Portal (TIA Portal), в программном обеспечении для создания и обслуживания систем автоматизации Simatic Step 7 и в ПО для создания человеко-машинного интерфейса Simatic WinCC (SCADA-система). Например, правила обнаруживают:
- Изменение параметров сети в ПЛК. С помощью этого злоумышленник способен прервать связь контроллеров с устройствами и рабочими станциями в сети, что, в свою очередь, может нарушить технологический процесс и привести к ложному срабатыванию средств противоаварийной защиты или возникновению аварийной ситуации.
- Изменения в системном каталоге TIA Portal. Таким способом атакующий может нарушить работу ПО или внедрить в него вредоносный код, который будет передан ПЛК при загрузке аппаратной конфигурации. Из-за этого может нарушиться технологический процесс, и случится авария.
- Удаленное управление рабочей или инженерной станцией (сервером). Это событие ИБ, как правило, свидетельствует об активности злоумышленников в инфраструктуре АСУ ТП.
MaxPatrol SIEM соотносит каждое вредоносное действие с техниками из матрицы MITRE ATT&CK, которые используются злоумышленниками для первоначального доступа в систему (initial access), воздействия (impact) и управления командным центром (command and control).
Загруженный пакет также содержит экспертизу в области обнаружения вредоносного ПО. Песочница для риск-ориентированной защиты PT Sandbox теперь динамически выявляет применение в атаках зловредов Energetic Bear, Industroyer, Industroyer2 и Triton, а также других вредоносных программ, взаимодействующих с контроллерами. Кроме того, PT Sandbox проводит поведенческий анализ образцов, обнаруженных в файлах и ссылках из почты, трафика, общих сетевых папок и конечных узлов АСУ ТП, и по специфической активности определяет вредоносное ПО, нацеленное на компоненты SCADA.
Специалисты Positive Technologies разработали правила детектирования, которые помогают песочнице статически выявлять попытки сканирования портов, использующихся промышленными ПЛК от более чем 50 зарубежных и отечественных производителей (CIP, ELCOM, IOSYS, Modbus и PhoenixHW). Такая активность может указывать на то, что вредоносное ПО исследует инфраструктуру, чтобы найти ПЛК или SCADA-системы и осуществить деструктивные действия с ними. Специализированные правила обнаружения в составе пакета экспертизы позволяют детектировать в том числе и ранее неизвестное ВПО, заточенное под сегмент АСУ ТП.
«Расширив существующие лицензии для поддержки промышленного сегмента, специалисты по ИБ продолжат работать со знакомыми и понятными инструментами, дополненными технологической экспертизой. Это позволит компаниям снизить затраты на внедрение новых систем кибербезопасности и интеграцию сторонних решений, а также повысить эффективность работы служб ИБ, — комментирует Роман Краснов, руководитель направления кибербезопасности промышленных предприятий Positive Technologies. — PT ICS будет регулярно получать пакеты экспертизы и обогащаться новыми возможностями, правилами корреляций, транспортами к уникальным устройствам и прикладному ПО, встречающимся только в технологических сегментах промышленных предприятий. Таким образом, у компаний есть возможность на одной платформе и в едином продуктовом портфеле построить единый SOC, равнозначно работающий как с корпоративной, так и технологической инфраструктурой».
Следующие пакеты экспертизы PT ICS будут включены в такие продукты, входящие в состав платформы, как MaxPatrol VM, MaxPatrol SIEM, PT ISIM и PT XDR.