Столица является лидером внедрения IoT-технологий
Торопясь как можно быстрее «выстрелить» на рынке из нового IoT-устройства, многие производители забывают о безопасности. И зря. Ведь убытки от хакерского интереса к таким устройствам могут быть многомиллионными. Особенно, если речь идет о несколько другой аббревиатуре — IioT, промышленном интернете вещей. Речь не обязательно о заводах и фабриках. Речь — о системах промышленной автоматизации: электробудках с надписями «Не влезай — убьет», шлагбаумах на переездах, метрополитене, светофорах и так далее. Речь даже о банальных дронах, которые все хотят привлечь к доставке еды и интернет-заказов. Как доказал в начале мая участникам конференции Cyber Security Weekend 2019 13-летний подросток Рубен Пол, взломать такую штуку — дело 10 минут. Немного времени может понадобиться и для вскрытия более серьезных вещей. — Злоумышленник может спокойно внести какие-то правки в технологический процесс, остановить его, запустить заново, — говорит руководитель группы исследований уязвимостей систем промышленной автоматизации и интернета вещей Лаборатории Касперского Владимир Дащенко. — Например, завод по производству алюминия. Грубо говоря, это куча электроэнергии и ванны, в которых идет электролиз. Одна такая ванна стоит от 1 до 10 миллионов долларов или евро. На заводе этих ванн может быть тысяча, и все работают по единому принципу, на одних и тех же протоколах и контроллерах. То есть уязвимость на одном из этапов технологического процесса «клонируется» на всю череду ванн. Алюминий производится при температуре от 950 градусов, и в случае, если температура упадет где-то до 300, мы получим замечательный алюминиевый кирпич, а ванну можно просто выкинуть… Казалось бы, бизнес должен понимать, что стоит на кону, но многие предпочитают думать, что «само рассосется». — Знаю таких «страусов», — вздыхает Дащенко. — В 2015-м у одного из промышленных вендоров мы нашли одну малюсенькую уязвимость, которая затронула все программные продукты. Мне сказали, что устранят ее через месяц, потом через три, потом через полгода, год… Последней датой назывался 2019 год. Даже и не знаю, что там сейчас. Но зачем вообще подключать к интернету такие важные технологические процессы? Можно ведь сделать автономную систему с одним управляющим компьютером? — В идеальном мире это так, — говорит Дащенко. — Но мы видели массу примеров, когда оператор от скуки подключал промышленный компьютер через смартфон к интернету и выходил проверить почту. Был случай, когда в двух цехах, полностью изолированных даже от корпоративной сети, соединили друг с другом компьютеры и, когда им было скучно, играли в «стрелялки» цех на цех. Можно установить компьютер в бронированный ящик, но человеческий фактор все равно возьмет свое. По статистике прошлого года, в интернете промышленным компьютерам чаще всего угрожали зараженные вебстраницы (15,9 процента), зловредные скрипты и перенаправления (8,7 процента), компьютерные черви (6,36 процента) и вебмайнеры (6,35 процента). А наиболее уязвимой частью автоматизированных систем управления было инженерное программное обеспечение. По той же статистике, в странах с низким уровнем ВВП системы промышленной автоматизации атакуются чаще — злоумышленники легче преодолевают несколько «бастионов» защиты корпоративной сети, чтобы проникнуть в святая святых. Так что вывод очевиден: бдить, пока не вырос ВВП. ПРЯМАЯ РЕЧЬ Александр Вураско, ведущий аналитик компании «Интерсекьюрити»: — Oтрасль динамично развивается, и цикл жизни устройств интернета вещей небольшой. Не так давно мне понадобился 4-й айфон, но когда я его достал из ящика, понял, что на него уже вообще ничего нельзя поставить из современных программ. И обновить его уже нельзя. Цикл жизни устройств интернета вещей такой же. Скорее всего, через 3–5 лет, когда произойдет их замена, вопросам безопасности производители будут уделять больше внимания. Сейчас все немного об этом забывают, потом спохватываются, начинают залатывать дыры… К сожалению, в нынешних условиях это уже недопустимо.
