ГОСТ Р МЭК 62443-2-1—2015
Базовая архитектура МЭК 62443Архитектура управления (логическая/физимеская)
Рисунок А.8 — Соответствие между базовой архитектурой и примером сегментированной
архитектуры
А.3.3.4.2.2 Зона управления
Для систем промышленной автоматики и контроля с низким уровнем риска может быть необходимым при
менение сегментации сети в качестве контрмеры, что потребует создания отдельной зоны управления. Однако для
систем со средним или высоким уровнем риска сегментация сети является контрмерой, обеспечивающей очень
значительное снижение риска.
Общепринятой передовой практикой является использование барьерного устройства, например, брандмау
эра. для управления передачей данных по кабелю, соединяющему зону управления с бизнес-зоной, как показано
на рисунке А.8.
Общепринятые стратегии фильтрования с помощью барьерных устройств:
a) базовая конфигурация барьерного устройства должна отклонять любую передачу данных по умолчанию
и разрешать передачу данных в качестве исключения только для выполнения критических потребностей бизнеса.
Это применяется как к периодической интерактивной связи пользователя по кабелю, так и к непрерывной межза
дачной связи между устройствами в этих двух зонах. По возможности передача данных должна фильтроваться
портами и сервисами между согласованными парами IPдля устройств, передающих данные по кабелям;
b
) порты и сервисы, часто используемые вкачестве векторов атаки, недолжны открываться через барьерное
устройство. Если сервис необходим в соответствии с экономическим обоснованием, необходимо использовать
дополнительные контрмеры для компенсации риска. Например, входной http, который является обычным векто
ром атаки, может быть необходим для выполнения важной функции бизнеса. Дополнительные компенсирующие
контрмеры, например, блокирование входных скриптов и использование прокси-сервера http, помогут уменьшить
риск при открытии этого порта и сервиса с высоким уровнем риска;
c) чем меньше количество портов и сервисов, открываемых через барьерное устройство, тем лучше. Техно
логий передачиданных, которые требуют большого количества открываемых портов, необходимо избегать.
Барьерное устройство может служить хорошим автоматизированным инструментом выполнения практиче
ских методов обеспечения безопасности в зоне управления, например, задерживания входящих электронных со
общений и передачи данных в/из Интернета.
72