Безопасность промышленных систем: защита АСУ ТП и SCADA в 2026

Промышленные системы управления (АСУ ТП, SCADA, DCS, PLC) десятилетиями проектировались с приоритетом надёжности и доступности, а не безопасности. В 2026 году ситуация достигла критической точки: количество кибератак на промышленный сектор выросло на 87% (ICS-CERT), а средний ущерб от остановки производства составляет $8,5 млн в час (Dragos). Атаки перестали быть гипотетическими — Stuxnet, Triton, Industroyer2 и PIPEDREAM показали, что злоумышленники целенаправленно изучают и атакуют промышленные протоколы. В этом материале разбираем архитектуру угроз, векторы атак и стратегию эшелонированной защиты промышленных систем в 2026 году.

Ландшафт угроз промышленных систем — 2026

Промышленный интернет вещей (IIoT) и конвергенция IT/OT стёрли воздушный зазор (air gap), который десятилетиями был главной защитой АСУ ТП. Сегодня 78% промышленных предприятий имеют как минимум одно прямое IP-соединение между корпоративной сетью и OT-средой (Ponemon Institute). Злоумышленники используют эту связность: начальная атака через фишинг в корпоративной сети → lateral movement → компрометация инженерной станции → манипуляция PLC.

Цепочка убийства промышленной атаки (ICS Kill Chain)

1. Разведка (Reconnaissance) — изучение публичной документации, Shodan-сканирование промышленных протоколов (Modbus TCP :502, DNP3 :20000, Ethernet/IP :44818), LinkedIn-профили инженеров
2. Проникновение (Initial Access) — фишинг на инженеров, уязвимости VPN-шлюзов, скомпрометированные подрядчики с удалённым доступом
3. IT→OT Pivot — прыжок с корпоративной сети на DMZ/инженерную станцию через RDP, общие файловые серверы или скомпрометированные jump-хосты
4. Закрепление и разведка OT — изучение топологии сети, промышленных протоколов, тегов PLC, HMI-экранов. Установка RAT с поддержкой Modbus/DNP3
5. Атака на физический процесс — изменение уставок PLC, подмена данных телеметрии, отключение защитных блокировок, физическое разрушение оборудования

Уязвимости промышленных протоколов

Промышленные протоколы (Modbus, DNP3, Profinet, EtherNet/IP, OPC UA) разрабатывались без встроенных механизмов безопасности — ни аутентификации, ни шифрования, ни контроля целостности. Любой, кто достиг OT-сети, может читать и писать в контроллеры.

Modbus TCP — главная цель

• Нет аутентификации — любой Modbus-запрос принимается контроллером. Злоумышленник может прочитать coil/register или записать произвольные значения
• Function Code 6 (Write Single Register) — изменение одного регистра может открыть клапан, отключить насос или изменить уставку давления
• Function Code 15 (Write Multiple Coils) — массовое переключение дискретных выходов = физическое разрушение
• Modbus TCP :502 — открыт на Shodan у ~85 000 устройств по всему миру (по состоянию на июнь 2026)

OPC UA — светлая сторона

OPC UA (Unified Architecture) — единственный промышленный протокол со встроенной безопасностью: аутентификация (x.509 сертификаты), шифрование (AES-256), аудит и ролевая модель доступа. Однако внедрение OPC UA остаётся на уровне 34% предприятий — большинство до сих пор используют OPC Classic (DCOM) без какой-либо защиты.

Модель Пердью и сегментация OT-сети

Модель Пердью (Purdue Enterprise Reference Architecture) — стандарт сегментации промышленных сетей, принятый ISA-99/IEC 62443. Она разделяет сеть на 6 уровней (0–5) и определяет правила межзонального взаимодействия.

Уровни модели Пердью

Правила межзонального файрвола

• Уровни 0-2: ТОЛЬКО промышленные протоколы (Modbus/DNP3/Profinet) между собой. Никакого IP-трафика к уровню 3 без явного разрешения
• Уровень 3 (DMZ): входящие соединения из IT-сети запрещены. Серверы Historian и jump-хосты инициируют соединения наружу сами (reverse proxy)
• Уровень 4-5: стандартные корпоративные правила. Доступ к OT-сети ТОЛЬКО через DMZ jump-host с MFA и записью сессий

Мониторинг OT-сети и детектирование аномалий

Традиционные IT-системы мониторинга (IDS/IPS, SIEM) не понимают промышленные протоколы. Modbus-запрос Function Code 6 на запись в регистр управления клапаном выглядит для них как легитимный TCP-трафик. Нужны специализированные OT-решения с deep packet inspection промышленных протоколов.

OT-specific инструменты

• Nozomi Networks Guardian — пассивный DPI промышленных протоколов (Modbus, DNP3, IEC 61850, Profinet), детектирование аномальных команд, asset discovery
• Dragos Platform — threat intelligence для OT, ICS Kill Chain mapping, интеграция с SOAR
• Claroty — защита удалённого доступа к OT, запись и аудит сессий инженеров, детектирование аномалий в Modbus
• Microsoft Defender for IoT — агентный и безагентный мониторинг, интеграция с Sentinel

Что мониторить

1. Аномальные Modbus-команды: Function Code 6/15 на регистры, которые обычно только читаются (Write-to-Read register)
2. Новые устройства в OT-сети (Raspberry Pi, ноутбук подрядчика)
3. Firmware changes на PLC — любое изменение прошивки = критический алерт
4. Изменения логики PLC (ladder logic download) — признак целенаправленной атаки
5. Сканирование промышленных протоколов — reconnaissance перед атакой

Стандарт IEC 62443 — дорожная карта безопасности АСУ ТП

IEC 62443 — международный стандарт кибербезопасности промышленных систем. В отличие от ISO 27001 (универсальный), он специально разработан для промышленных сред и учитывает специфику АСУ ТП: приоритет доступности, длинные циклы обновления (PLC не перезагружают годами), ограниченные вычислительные ресурсы.

Ключевые части стандарта

• IEC 62443-2-1: создание программы кибербезопасности для промышленного предприятия (CSMS — Cyber Security Management System)
• IEC 62443-3-2: зональная модель и каналы связи (conduits) — на основе модели Пердью
• IEC 62443-3-3: технические требования к системам — 7 foundational requirements (FR1-FR7): идентификация, контроль использования, целостность данных, конфиденциальность, ограниченный поток данных, своевременное реагирование, доступность ресурсов
• IEC 62443-4-2: требования к компонентам (PLC, RTU, HMI) — вендоры должны встраивать безопасность на уровне железа

Практический итог: начните с сегментации по модели Пердью (зоны + conduits), разверните OT-мониторинг с DPI промышленных протоколов, внедрите процедуру управления удалённым доступом подрядчиков (VPN + MFA + jump-host + запись сессий), составьте IR Playbook для OT-инцидентов и — главное — проводите совместные учения IT и OT команд. Безопасность промышленных систем — это не только технология, но и культура взаимодействия между инженерами и безопасниками.

📚 Читайте также

• Ransomware 2026: новые тактики вымогателей и методы защиты
• Zero Trust Architecture: практическое внедрение в корпоративной сети
• Supply Chain Attacks: защита от атак на цепочку поставок
• Безопасность контейнеров и Kubernetes: защита облачной инфраструктуры
• AI-атаки в 2026: как ИИ меняет угрозы и защиту

📖 Термины

Атака на цепочку поставок · Zero Trust · Ransomware · Микросегментация · XDR

🔗 Источники

• CISA — Industrial Control Systems Security
• Dragos — ICS Cybersecurity Year in Review 2026
• Nozomi Networks — OT/IoT Security Research
• ISA/IEC 62443 Standards Series
• MITRE ATT&CK for ICS