Базовые топологии scada-систем

Топология	Особенности	Комментарии
Point-to-Point (точка-к-точке)	Связь между двумя станциями Станции могут быть соединены посредством: кабелей, ВОЛС или средств общего пользования типа выделенных телефонных линий или цифровых каналов; временных соединений, таких как телефонный или УКВ– вызов, радио– или спутниковая передача	Предназначена для одноранговой связи между удаленной станцией и главной станцией на месте управления. Каждая станция может инициализировать связь, посылать запросы и управлять другой в режимах дуплексной и полудуплексной связи
Point-to-Multipoint (многоточечная связь). Связь трех и более удаленных станций с мастер-станцией	. Станции могут быть соединены посредством: средств общего пользования типа выделенных телефонных линий или цифровых каналов; атмосферных соединений типа РРЛ, радиоудлинителей, GSM или спутниковых линий связи	Выделенные линии и цифровые каналы обеспечивают четырехпроводное соединение point-to-multi point. Четырехпроводная связь – одна пара проводов для передачи и одна пара для приема.

Окончание табл. 7.5

Топология	Особенности	Комментарии
Multipoint-to-Multipoint Радиомодемные соединения трех и более станций	Любая станция может инициализировать связь с любой другой станцией	Специальная радиомодемная топология, которая обеспечивает одноранговую сеть станций

7.8. Защита от вирусов и несанкционированного доступа

7.8.1. Общие понятия о компьютерных вирусах и методах сетевой защиты

Компьютерный вирус – программа, обладающая в большинстве вариантов способностью к самовоспроизведению и способная в той или иной степени нарушить работу программируемого прибора (сети приборов). Вирусы условно различаются по ряду признаков, приведенных на рис. 7.15. Сетевые вирусы внедряются в компьютерные сети, файловые – в исполняемые модули (например, *.сом и *.еxe), загрузочные – в загрузочный сектор диска. Резидентный вирус перехватывает обращения ОС к объектам, хранящимся в памяти, и внедряется в них; нерезидентный – действует только на активные файлы. Опасность вирусов определяется их способностью к созданию необратимых последствий – от потери (искажения) текущих данных до уничтожения файлов и программ. Простейшие вирусы – паразитические, изменяющие содержимое файлов и секторов диска. Репликаторы (черви), используя адреса, распространяются по сетям. Труднее всего обнаружить стелс-вирусы (невидимки), мутанты (постоянно меняющиеся, полиморфные) и квазивирусы (маскированные под полезную программу).

С целью обнаружения, защиты и удаления вирусов разрабатываются и постоянно обновляются специальные программы (Kaspersky Antivirus, Norton AntiVirus, Doctor Web и др.). Для профилактики заражения рекомендуется использовать лицензионное ПО, загружать обновленные антивирусные программы, ограничивать доступ посторонних лиц к компьютерам и сетевому оборудованию. Любая машина, в которой обнаружен вирус, должна исключаться из АСКУЭ.

Р и с. 7.15. Классификация компьютерных вирусов

Причины ограничения доступа к компьютерам и сетям заключаются в возможности заражения вирусами и искажения данных, в конфиденциальности информации энергоучета и финансового сопровождения, в необходимости определения степени ответственности и качества работы операторов.

В настоящее время широко используется стандарт OSA (Open Securing Architecture), на котором основаны выбор, проектирование и интеграция продуктов, обеспечивающих защиту и контроль открытой сети ПК, серверов и больших ЭВМ [137-140]. Стандарт предусматривает достижение шести целей: отсутствие ограничений на информационные потоки; мгновенная автоматическая защита файла после его создания; защищенность данных на любом этапе транспортировки и хранения; централизованное администрирование под управлением офицера безопасности; интегрированность и универсальность (адаптированность к любому типу сети); модульность (иерархичность) защиты. Основные функции OSA: идентификация и аутентификация; защита файлов; администрирование; ведение контроля; создание приложений, оснащенных средствами безопасности.

Идентификация и аутентификация (IA) заключаются в запросе у включающегося в работу пользователя многоуровневого идентификатора и пароля. Уровни идентификации в соответствии со стандартом доступа CSO (Common Sign-on) подразделяются на нижний (ПК), средний (узел) и верхний (главный сервер). Пароль (password) может представлять комбинацию символов, сигнатуру (параметры отпечатка пальца), физический ключ (USB-ключ, ключ-идентификатор или смарт-карта), биометрический ключ (например, распознавание росписи) и др. Наиболее эффективна комбинация пароля и идентификатора путем реализации прямой и обратной связи клиента с сервером.

C целью защиты файла в него вводится гриф (label), в котором присутствует информация о владельце файла и о правах доступа других пользователей. Гриф и содержимое файла шифруются известным для этих пользователей способом.

Шифрование предполагает внутреннюю аутентификацию (секретная цифровая подпись исполнителя), криптографическое преобразование информации с открытым или секретным ключом. Цифровая подпись – определенный набор символов. Например, протокол цифровой подписи DSS (Digital Signature Standart) имеет длину 1024 бит. Алгоритмы шифрования разделяются на собственно шифры (ciphers) и коды (codes). Шифры работают с отдельными битами, байтами, символами. Коды оперируют лингвистическими элементами (слоги, слова, фразы).

Применяемые алгоритмы шифрования должны соответствовать определенным требованиям:

• необходимо обеспечить высокий уровень защиты данных против дешифрования и возможной модификации;

• защищенность информации должна основываться только на знании ключа и не зависеть от того, известен алгоритм или нет (правило Киркхоффа);

• малое изменение исходного текста или ключа должно приводить к значительному изменению шифрованного текста (эффект "обвала");

• область значений ключа должна исключать возможность дешифрования данных путем перебора значений ключа;

• следует обеспечить экономичность реализации алгоритма при достаточном быстродействии;

• стоимость дешифрования данных без знания ключа должна превышать стоимость данных.

Различаются симметричные (с единым секретным ключом, single-key) и асимметричные (с открытым ключом, public-key) алгоритмы. Среди симмметричных алгоритмов шифрования получили распространение: потоковые (на основе генератора псевдослучайных чисел, с одноразовым ключом), блочные (шифры перестановки, замены, моно– и полиалфавитные), составные (DES, Lucipher, FEAL-1, ГОСТ 28147-89). Ассиметричные алгоритмы – DH (Diffie, Hellman), RSA (Rivest, ShamirAdleman), ElGamal. Секретный ключ требует обязательного наличия ключа у отправителя и получателя информации. Открытый ключ известен всем пользователям сети. Сочетание личного секретного и общего открытого ключей дает возможность беспрепятственного движения в сети открытой и конфиденциальной информации. При этом личный ключ исполняет роль аутентификатора. Пример такого сочетания – криптосистема RSA, для взламывания текущего значения 400-битового ключа которой требуется 10 лет работы современного суперкомпьютера.

Администрирование предполагает централизованное управление (Central Site Administration – CSA), осуществляемое по жестким правилам офицером безопасности самостоятельно или с помощью доверенных лиц. Для управления и координации действий при регистрации и работы пользователей в сети создается центральное хранилище рабочей и служебной (связанной с безопасностью) информации. Функция ведения контроля предназначена для оценки действенности системы защиты. Контроль предполагает протоколирование критических событий (определяются разработчиком и заказчиком системы), накопление информации для аудита, предупреждение об опасности в реальном времени, простые инструменты входа офицера в систему для реализации принятых решений.