ГОСТ Р 56498—2015
b
) строго суженный набор интерфейсов (вплоть до минимально необходимого, например,
использование ограниченного набора функций/адресов);
c) строгие меры управления доступом (например, применение специальной схемы привилегий,
блокирование несанкционированных изменений, намеренный отказ от служб контрмер).
П р и м е ч а н и е — Для сети или сегментов сети, связанных с приложениями эксплуатационной безопас
ности. в соответствии с МЭК 61508 (МЭК 61511). особое внимание следует уделять соответствию приложений мони
торинга излучений требованиям действующего местного законодательства и приложений контроля качества дей
ствующим в промышленности соглашениям, таким, как GAMP 0. В этом случае эта сеть или сегмент сети могут
считаться сетью с высокой безопасностью.
При иерархической структуре сегментов каждый подчиненный сегмент вследствие сегментации
получаетдополнительную защиту и «эшелонированную оборону», так какзащищенная граница каждой
подчиненной сети представляет собой дополнительную линию обороны.
П р и м е ч а н и е 1 — Сеть, расположенная снаружи сегмента, даже если она находится внутри 1CN. может
рассматриваться как «ненадежная с исключениями» по отношению к типам трафика сети и объемам, а также наме
рениям и возможностям пользователей.
Успешная дополнительная защита на пути атаки снаружи на внутреннюю сеть не состоит только
из одной обороны границы, она также предполагает обнаружение и реагирование.
На рисунке 7 приведен пример принципа эшелонированной обороны, которую обеспечивает
иерархическая сегментация. Показано, например, что угрозы из интернета пресекаются на границе
внешней сети организации. Однако, политика безопасности ICS считает эту внешнюю сеть организа
ции ненадежной и требует также пресечения угроз и на границе ICN.
Если атака не будет пресечена на границе ICN, атакующий может преодолеть дальнейшие меры,
принятые на отдельных устройствах и серверах, а также на границе критичной автоматизации и сетей,
управляемых в поле. Благодаря сочетанию ступенчатого подхода с другими соответствующими мера-
’ EN
Внешняя
общедоступная сеть,
например. Интернет
Доступ
Угрозы
При и е ч а н и е -
Присутствие персонала
важнодля обеспечения
безопасности, но на
рисунке не показано
EN Внешняя сеть
организации например.
____
>
интрасеть
Л
рсмышленмая
ISN
Пульты управления^
сетьугртпеннп ,
Рисунок 7 — Эшелонированная оборона за счет использования сегментации
16