Сканирование активов АСУ ТП: как найти забытые Windows-узлы безопасно

🔍 Почему забытые Windows-узлы опасны для АСУ ТП

Карта активов задаёт основу промышленной безопасности. Нельзя защитить узел, которого нет в учёте.

В АСУ ТП современные решения соседствуют с устаревшими ПЛК и SCADA. На одном объекте встречаются системы разных поколений. Часть оборудования работает давно и редко меняется.

Слепые зоны появляются по разным причинам. Станцию добавляет подрядчик, сервер переводят в другой сегмент, а временный ноутбук остаётся после работ. Реестр не получает обновление.

Забытый Windows-узел может быть операторской станцией, инженерным компьютером или сервером. Он также может связывать технологический сегмент с корпоративной сетью. Такой маршрут часто не отражён в документации.

Промышленная среда требует особой осторожности. Сбой здесь затрагивает не только данные. Он может нарушить работу технологического процесса.

Начните с простого действия: назначьте владельца перечня активов и зафиксируйте дату его последней проверки.

📌 Что именно считать забытым активом

Забытый актив — это не только неизвестный IP-адрес. Это любой узел, который фактически работает, но отсутствует в актуальном перечне.

К этой группе относятся рабочие станции операторов, инженерные станции и серверы диспетчерского управления. В неё также входят архивы, серверы виртуализации, терминальные серверы и временные ноутбуки подрядчиков.

Windows-узел может числиться в домене, но давно не использоваться. Возможна и обратная ситуация: компьютер работает в технологическом сегменте без доменной записи.

Наличие имени в Active Directory ещё не доказывает, что станция доступна сейчас. Host Discovery (обнаружение живых узлов) видит только ответы в момент проверки.

Выключенный ночью сервер не отвечает. Узел за фильтрующим маршрутизатором также может остаться невидимым. Неизвестный сегмент не попадает в область поиска.

Для каждого найденного узла нужны базовые поля. Запишите адрес, имя, MAC-адрес, сегмент, роль, владельца и состояние учёта.

Прямо сейчас выделите в реестре отдельный статус «найден, но не подтверждён». Он помогает не потерять новые записи во время сверки.

🧭 С каких данных начинать инвентаризацию

Безопасная инвентаризация использует несколько источников. Сканирование становится только одной частью этой работы.

Начните с журналов DHCP и DNS. Они показывают выдачу адресов и соответствие имён. Сверьте эти данные с таблицами коммутации.

Таблицы MAC-адресов помогают увидеть активность внутри сегмента. ARP-запрос считается самым надёжным способом обнаружения в пределах одного локального сегмента.

Проверьте данные маршрутизаторов и межсетевых экранов. Они показывают фактические направления соединений. Документация показывает только запланированные маршруты.

Отдельно изучите Active Directory. Каталог помогает собрать список компьютеров домена. Но он не описывает всю недоменную технику.

Полезны данные систем управления конфигурациями, резервных копий и удалённого доступа. Журналы средств мониторинга также показывают узлы, которые обращаются к сервисам.

• Соберите адресные пространства всех технологических сегментов.
• Выгрузите записи DHCP, DNS и Active Directory.
• Получите таблицы MAC-адресов с коммутаторов.
• Сверьте маршруты на межсетевых экранах и маршрутизаторах.
• Добавьте данные мониторинга, резервных копий и удалённого доступа.

Не объединяйте записи только по имени. Имя может измениться, а адрес может перейти другому устройству.

Сейчас создайте единую таблицу сопоставления. Для каждой записи укажите источник и время последнего наблюдения.

🛠️ Как работает безопасное обнаружение узлов

Host Discovery отвечает на базовый вопрос: жив ли узел. Он помогает очертить границы дальнейшей работы.

ICMP ping отправляет запрос и ждёт ответа. UDP ping использует пустой UDP-пакет. Ответ ICMP port unreachable показывает закрытый порт.

TCP ping пытается установить соединение с портом. Успешное соединение указывает на доступный сервис. ARP ping работает внутри локального сегмента.

Эти методы дают разный объём данных. Они показывают факт ответа, доступные порты и примерные признаки операционной системы.

Однако обнаружение не заменяет аудит. Оно не даёт точности проверки с учётной записью. Оно также не показывает узлы, которые молчат в момент запуска.

В АСУ ТП нельзя без разрешения запускать широкие TCP- и UDP-проверки. Нельзя сразу включать агрессивное определение версий.

Пилот запускают на одном согласованном сегменте. В него включают только разрешённые адреса. Результаты сравнивают с сетевыми журналами.

Практический шаг на сегодня: составьте короткий профиль обнаружения с узким диапазоном адресов и заранее определённым временем работы.

⚙️ Как отличить Windows-узел от другой техники

После обнаружения нужно понять, что именно отвечает. Один адрес ещё не говорит о роли устройства.

Признаки Windows можно искать в уже имеющихся журналах и телеметрии. Подойдут данные Active Directory, системы мониторинга и записи удалённого доступа.

Для Windows-активов применяют три механизма удалённого подключения: RPC, WMI и Remote Engine на базе WinRM. Выбор механизма влияет на состав результатов.

WMI не собирает сведения из раздела «Службы безопасности». Для этой задачи используют RPC или Remote Engine.

Инструкции из раздела «Запуск процессов» нельзя выполнять через Remote Executor. Для них применяют RPC и WMI.

Голый RPC также не считается универсальным решением. Для полного набора механизмов его дополняют WMI.

Эти особенности важны при проверке забытых станций. Неподходящий метод даёт неполную картину. Неполная картина создаёт ложное ощущение контроля.

Источник или метод	Что он показывает	Ограничение
Active Directory	Список компьютеров домена	Не включает всю недоменную технику
ARP и таблицы MAC	Активность внутри сегмента	Не описывает роль узла
Host Discovery	Ответ узла и доступность портов	Видит только ответившие адреса
Аудит Windows	Данные внутри узла	Требует согласованного доступа

Сверяйте признаки между источниками. Не объявляйте узел Windows только по одному сетевому ответу.

Прямо сейчас добавьте в таблицу поле «основание классификации». Записывайте туда конкретный журнал, каталог или результат разрешённой проверки.

🧪 Как проводить аудит Windows без лишнего риска

Аудит отличается от обнаружения. Он подключается к узлу с учётной записью и собирает данные изнутри.

Такой подход помогает проверить версию Windows, роль компьютера и состояние обновлений. Он также показывает службы и защитные средства.

В промышленной сети аудит запускают только после согласования. Ответственные за технологический процесс должны знать время и область работ.

Проверку начинают в период минимального риска. Сначала выбирают один узел. Затем проверяют, не меняется ли его состояние во время сбора данных.

Нельзя применять общую учётную запись без контроля. Нельзя проверять учётные данные наугад. Доступ ограничивают конкретными узлами и задачами.

Активное сканирование может повлиять на контроллеры, операторские станции, шлюзы и исторические серверы. Поэтому ПЛК не включают в обычный активный сканер.

План работ должен содержать окно запуска, список адресов и ответственного наблюдателя. Нужен и порядок остановки процесса при необычной нагрузке.

Практический совет: проведите ограниченный пилот на одной Windows-станции и сравните результат с данными владельца системы.

🧩 Как сверять найденные узлы с владельцами систем

Техническая запись не заменяет подтверждение владельца. Только владелец может объяснить назначение станции и допустимый маршрут.

Сначала определите роль узла. Он может обслуживать операторов, инженеров, SCADA, архив или виртуализацию.

Затем проверьте фактический маршрут до корпоративной сети. Сравните его с правилами межсетевого экрана и проектной схемой.

Для каждого узла уточните версию Windows и дату последнего обновления. Зафиксируйте наличие защитных средств. Отдельно отметьте недоменную технику.

Временные ноутбуки подрядчиков требуют отдельной записи. Их появление часто связано с ремонтом или настройкой. После завершения работ доступ и оборудование должны исчезнуть из технологического сегмента.

Не удаляйте неизвестный актив сразу. Сначала подтвердите его роль и владельца. Резкое отключение может остановить нужный сервис.

1. Назначьте владельца каждому найденному узлу.
2. Подтвердите роль и технологическую функцию.
3. Сверьте имя, адрес, MAC-адрес и сегмент.
4. Проверьте маршрут до корпоративной сети.
5. Зафиксируйте решение: оставить, изолировать, обновить или вывести из эксплуатации.

Так инвентаризация превращается в рабочий процесс. Каждая запись получает решение, срок и ответственного.

Сделайте сегодня выборку из пяти неизвестных узлов и проведите такую сверку вручную.

🛡️ Как учитывать устаревшие версии Windows

Версия операционной системы влияет на риск забытого узла. Особенно важны дата окончания поддержки и возможность получать исправления.

Windows 10 находится в статусе End of Support с 14 октября 2025 года. Официально поддерживается Windows 11.

Для Windows 10 действует программа расширенных обновлений безопасности. Её стоимость составляет 61 доллар за одно устройство в период 2025–2026 годов.

В период 2026–2027 годов стоимость составляет 122 доллара. В период 2027–2028 годов она возрастает до 244 долларов.

Программа включает только обновления безопасности. Если организация подключается не в первый период, она оплачивает предыдущие периоды.

Поддержка Windows Server 2016 прекращается 12 января 2027 года. Это важно учитывать при проверке серверов SCADA, архивов и виртуализации.

Старый узел не означает, что его можно немедленно отключить. В АСУ ТП сначала оценивают роль, зависимости и возможное влияние замены.

Не переносите сведения о версии из старого реестра. Подтверждайте их текущими данными аудита или доверенной системой управления конфигурациями.

Прямо сейчас отсортируйте перечень по версии Windows и выделите узлы без даты последнего обновления.

📊 Как оценить качество полученной карты

Хорошая карта активов показывает не только количество адресов. Она объясняет, какие узлы отвечают, кому принадлежат и зачем нужны.

Сравните результаты разных источников. Запись из DHCP должна находить подтверждение в таблице MAC или журналах мониторинга.

Проверьте расхождения с Active Directory. Отдельно рассмотрите компьютер, который есть в домене, но не отвечает. Также изучите отвечающий узел без доменной записи.

Оцените полноту описания ролей. Запись «Windows-компьютер» недостаточна для АСУ ТП. Нужны функция, сегмент, владелец и маршрут.

Проверьте время наблюдения. Host Discovery отражает только момент запуска. Поэтому одно сканирование не доказывает отсутствие узла.

Повторяйте безопасное обнаружение по согласованному графику. Дополняйте его пассивными данными и ручной сверкой.

• У каждой записи есть уникальный идентификатор и адрес.
• Указан источник обнаружения и время последнего наблюдения.
• Определены роль, владелец и технологический сегмент.
• Проверена версия Windows и дата обновления.
• Описан фактический маршрут до корпоративной сети.
• Зафиксировано решение по неизвестному или устаревшему узлу.

Если хотя бы одного поля нет, запись нельзя считать завершённой. Она остаётся кандидатом на повторную проверку.

Практический шаг: добавьте в реестр автоматическую отметку «данные устарели», если источник давно не сообщал об узле.

✅ Итоговый порядок работ для промышленной сети

Поиск забытых Windows-узлов начинается с границ. Сначала перечислите технологические подсети и известные маршруты.

Затем соберите пассивные данные. Используйте DHCP, DNS, таблицы коммутации, маршрутизаторы, межсетевые экраны, Active Directory и мониторинг.

После этого сопоставьте MAC-адреса, имена и адреса. Выделите узлы без владельца, без роли и без подтверждённого маршрута.

Следующий этап — безопасное обнаружение. Оно проходит в согласованное окно и ограничивается нужным сегментом.

Полный аудит Windows запускают только для разрешённых узлов. Перед ним определяют механизм подключения и набор собираемых данных.

После аудита проверяют версию, обновления, защитные средства и роль. Затем владелец подтверждает результат.

ПЛК и другую потенциально чувствительную технику не включают в активные проверки без специального решения. Для неё используют доступные пассивные источники.

1. Согласуйте работу с ответственными за технологический процесс.
2. Выберите период минимального риска.
3. Проведите пилот на одном сегменте.
4. Соберите ответы и пассивные сетевые данные.
5. Найдите Windows-узлы без записи или владельца.
6. Подтвердите роль, версию, обновления и маршруты.
7. Назначьте решение и срок повторной проверки.

Такой процесс снижает число слепых зон без риска для производства. Он также отделяет обычную инвентаризацию от проверки уязвимостей.

Начните с одного технологического сегмента и не расширяйте область, пока владелец не подтвердит результат.

📚 Читайте также

• Как построить open source стек мониторинга промышленной инфраструктуры
• Атаки на ЧПУ-станки: защита промышленного оборудования от хакеров в 2026
• Контейнеры в OT: Как гарантировать целостность промышленных образов и систем
• Закрепление в Windows через WMI-подписки: техника и детект
• Восемь 0-day против Microsoft: разбор кампании Nightmare Eclipse

📖 Термины

Fingerprinting · Ics Security · Plc · Scada · Автоматизированное сканирование

🔗 Источники

• Агент, скан или что-то еще: как сканировать все, что есть в инфраструктуре(2026-08-24 ✓)
• Как строить сканирование активов в MaxPatrol VM. Ч.2 — Windows-активы(2026-08-24 ✓)
• Управление ИТ-активами в АСУ ТП: базовые задачи промышленной кибербезопасности(2026-08-24 ✓)