SIEM для промышленных предприятий и АСУ ТП: специфика выбора

Промышленная инфраструктура с SCADA и АСУ ТП живёт по другим правилам, чем корпоративная ИТ-сеть: там недопустимы простои, а протоколы связи отличаются от привычных для офисных систем. Разбираем, чем SIEM для промышленного сегмента должна отличаться от обычной корпоративной платформы.

Краткий вывод: SIEM для промышленной инфраструктуры должна поддерживать специализированные протоколы SCADA, покрывать матрицу MITRE ICS отдельно от MITRE Enterprise и гарантировать отказоустойчивость мониторинга без влияния на технологический процесс.

Чем промышленная инфраструктура отличается от корпоративной ИТ

Системы АСУ ТП управляют физическими процессами — от энергетики до химического производства, и любой сбой или задержка в передаче данных может привести не просто к утечке информации, а к остановке или повреждению физического оборудования. Это требует иного подхода к мониторингу, чем в обычной офисной сети.

Требования к SIEM для промышленного сегмента

• Поддержка специализированных протоколов SCADA и промышленных шин передачи данных.
• Покрытие матрицы MITRE ICS, описывающей техники атак специфично для промышленных систем управления, отдельно от общей матрицы MITRE Enterprise.
• Пассивный мониторинг сетевого трафика без активного взаимодействия с оборудованием АСУ ТП, чтобы не создавать риск нарушения технологического процесса.
• Отказоустойчивая архитектура, которая не становится единой точкой отказа для критичной инфраструктуры.

Ankey SIEM NG как пример специализации на промышленном сегменте

Среди российских решений Ankey SIEM NG выделяется поддержкой более 240 источников, включая SCADA и АСУ ТП, и покрытием сразу трёх матриц — MITRE Enterprise, MITRE ICS и БДУ ФСТЭК. Это позволяет использовать единую платформу для мониторинга и офисной ИТ-инфраструктуры, и промышленного сегмента.

Особенности внедрения SIEM на промышленных объектах

• Поэтапное подключение источников с обязательным тестированием на непроизводственном сегменте перед внедрением на действующем оборудовании.
• Согласование мониторинга с инженерами АСУ ТП, а не только с ИБ-командой — требуется совместная экспертиза.
• Учёт требований к сертификации ФСТЭК и, при необходимости, Минобороны РФ для значимых объектов КИИ в промышленности.

Часто задаваемые вопросы

Можно ли использовать обычную корпоративную SIEM для мониторинга АСУ ТП?

Технически можно, но без поддержки специализированных протоколов и покрытия MITRE ICS система не сможет надёжно детектировать атаки, характерные именно для промышленных сред.

Требует ли мониторинг АСУ ТП остановки производственного процесса при внедрении?

Нет, при правильном пассивном подходе к мониторингу сетевого трафика внедрение не влияет на непрерывность технологического процесса.

Нужен ли отдельный SIEM для промышленного сегмента, если уже есть корпоративная SIEM?

Не обязательно отдельная система, но обязательна поддержка промышленных протоколов и матрицы MITRE ICS в используемом решении.

Изучите SIEM-платформы с поддержкой промышленной инфраструктуры в каталоге platforms.su перед выбором решения для АСУ ТП.