ГОСТ Р МЭК 62443-2-1—2015
А.3.3.4.2.3 Демилитаризованная зона (DMZ)
В системах промышленной автоматики и контроля с высоким уровнем риска использование DM2 совместно
с зоной управления обеспечивает дополнительную возможность снижения риска между бизнес-зоной с низким
уровнем безопасности и зоной управления с высоким уровнем риска. Уровень безопасности для DMZ выше, чем у
бизнес-зоны, но ниже, чем у зоны управления. Функцией этой зоны является ликвидация или значительное сниже
ние прямой передачи данных между зоной управления и бизнес-зоной.
В DMZ должны быть расположены устройства, которые функционируют как устройства связи или буферы
между устройствами бизнес-зоны и зоны управления. Передача данных настраивается между устройством в биз
нес-зоне и DMZ. Затем устройство в DMZ передает информацию получающему устройству в зоне управления. В
идеальном случав порты и сервисы, используемые между устройством в бизнес-зоне и DMZ, отличаются от пор тов
и сервисов, используемых между устройством DMZ и конечным устройством зоны управления. Это снижает
вероятность прохождения вредоносного кода или злоумышленника по комбинированному кабелю, соединяющему
бизнес-зону с зоной управления.
Стратегии фильтрования, перечисленные вышедля зоны управления, применимы также и для DMZ. Однако
некоторые более рискованные протоколы, например, telnet, могут допускаться для облегчения управления устрой
ствами в DMZ и зонах управления.
Есть несколько случаев, в которых использование DMZ может иметь преимущества. Они включены в насто
ящий стандарт для иллюстрирования концепций безопасности. Приведенный перечень не является исчерпываю
щим или подробным перечнем способов применения DMZ:
a) минимизация количества лиц. имеющих прямойдоступ кустройствам зоны управления
Ксерверам с архивными данными часто иглеют доступ лица, находящиеся в местной сети LAN в бизнес-зо
не. Вместо того, чтобы размещать сервер с архивными данными в зоне управления и разрешать прямой доступ к
этому устройству из бизнес-зоны большому числу пользователей, уровень безопасности зоны управления можно
поддерживать на высоком уровне, разместив сервер в зоне DMZ.
b
) обеспечение более высокого уровня безопасности для важных устройств IACS
В случае сервера с архивными данными, указанном выше, одним из вариантом гложет быть размещение
сервера в местной сети LAN, где расположено большинство пользователей. Это снизит число людей, которым
требуется доступ к сети PCN. Однако, поскольку бизнес-зона является зоной с низким уровнем риска, сервер с
архивными данными будет находиться в менее надежной среде. Потенциальная угроза для сервера будет выше:
c) компенсация задержек коммутации
Зона DMZ обеспечивает дополнительную защиту для важных устройств IACS, коммутация которых прово
дится с задержкой в ожидании результатов тестов коммутационной совместимости от поставщика приложения;
d) обеспечение повышения безопасности для зоны управления путем перемещения устройств управления
на более высокий уровень безопасности
DMZ хорошо подходит для размещения таких устройств, как антивирусные серверы и серверы управления
патчами. Эти устройства могут использоваться для управления применением модулей безопасности к зоне управ
ления и устройствам DMZ с более высоким уровнем контроля, что позволяет избежать прямого соединения зоны
управления с высоким уровнем безопасности с серверами, которые могут взаимодействовать с сотнями устройств.
А.3.3.4.2.4 Зона системы безопасности
Некоторые IACS могут использовать набор блокировок безопасности, основанных на применении реле или
микропроцессоров. Для микропроцессорного логического устройства SIS могут потребоваться другие методы обе
спечения безопасности по сравнению с теми, что применяются в зоне управления. Для этой зоны необходимо
определить целевой уровень безопасности, для достижения которого реализуются соответствующие контрмеры.
А.3.3.4.2.5 Изолированная система промышленной автоматики и контроля
Риск, связанный с системой промышленной автоматики и контроля, может быть слишком велик, чтобы до
пускать какую-либо возможность угрозы со стороны внешнего агента. Обьект может принять решение об отсоеди
нении всех кабелей между зоной управления и другими зонами. Необходимо серьезно рассмотреть возможность
применения этой стратегии сетевой сегментации.
Предприятия, решающие применять подход в отношении изоляции, не избавляются автоматически от всех
рисков. Даже в этом случае может существовать большая уязвимость, которая гложет быть использована локаль но.
Для снижения рисков, оставшихся после изоляции IACS от бизнес-зоны, должны применяться соответствую щие
уровни кибер- и физической защиты.
А.3.3.4.3 Архитектура сегментации SCADA
Выше была рассмотрена сегментированная архитектура для IACS. обычно применяемой на одном работа
ющем объекте. Сегментация в равной степени может применяться и для систем типа SCADA. На рисунке А.Э по
казан возможный подход к сегментации для этого типа архитектуры. Несмотря на то. что зона DMZ и зона системы
безопасности, рассмотренные для IACS одного работающего объекта, не показаны из-за недостатка места, они
также могут применяться в архитектуре SCADA.
73