Протоколы без защиты: АСУ ТП и IoT

Промышленные сети создавались для управления, а не для безопасности. Modbus появился в 1979 году как способ связать контроллер и панель оператора по последовательной линии; когда его перенесли на TCP, добавился заголовок, но не аутентификация. MQTT создавался для телеметрии через узкие каналы и тоже не предполагал враждебной среды.

Результат — сети, где команда «записать регистр» не требует пароля, где брокер принимает сообщения от любого клиента, а датчик нельзя отличить от поддельного. Воздушный зазор, которым такие сети часто оправдывают, ломается об инженерный ноутбук, USB-накопитель и подрядчика с удалённым доступом.

Тема 03 основной программы разбирала физический уровень, тема 04 — Ethernet, тема 20 — беспроводные технологии для IoT. Здесь эти сети рассматриваются как протоколы без защиты. Границы: криптография — тема 17 основной программы, веб-интерфейсы SCADA — только упоминанием.

Тень базового курса: функциональность как единственное требование

В основной программе протоколы разбирались по назначению: Modbus передаёт регистры, DNP3 — телеметрию, MQTT — сообщения. Ни один из них не предусматривает проверки того, кто отправил команду.

Это не ошибка проектирования, а контекст: сети были физически изолированы, оборудование — от проверенных поставщиков, а доступ — у инженеров в цеху. Когда тот же протокол оказался в общей сети предприятия, контекст исчез, а протокол остался.

Modbus TCP

Формат и функции

Modbus TCP состоит из заголовка MBAP (идентификатор транзакции, протокол, длина, адрес устройства) и PDU с кодом функции и данными ¹. Основные функции: чтение регистров (0x03, 0x04), запись одного регистра (0x06), запись нескольких (0x10), чтение дискретных входов (0x02).

from pymodbus.client import ModbusTcpClient

c = ModbusTcpClient("192.0.2.50", port=502)
c.connect()
print(c.read_holding_registers(0, count=4, slave=1))
c.write_register(10, 1234, slave=1)
print(c.read_holding_registers(10, count=1, slave=1))
c.close()

Ни в одном запросе нет учётных данных. Сервер не проверяет, имеет ли клиент право писать; он проверяет только, что функция известна и адрес существует.

Запись и остановка

Запись в регистр управления может изменить уставку, включить насос или остановить линию. В учебной среде это безопасно, потому что ПЛК эмулирован; в реальной — это физическое действие.

# остановка: запись в регистр управления
c.write_register(0, 0, slave=1)

Именно поэтому в АСУ ТП защита строится не на протоколе, а на периметре: межсетевой экран, однонаправленный шлюз, зоны и кондуиты.

Другие промышленные протоколы

S7comm, DNP3, BACnet

S7comm — проприетарный протокол Siemens для S7-контроллеров; позволяет читать и писать память, а в некоторых конфигурациях — загружать блоки программы. DNP3 используется в энергетике: телеметрия, команды управления, события. BACnet — в автоматизации зданий: отопление, вентиляция, доступ.

nmap -p 102,502,20000,47808 --script modbus-discover 192.0.2.50

Порт 102 — S7comm, 502 — Modbus, 20000 — DNP3, 47808 — BACnet. Обнаружение этих портов в сети предприятия — признак того, что сегментация не работает.

MQTT и IoT

Брокер, топики, подписка

MQTT — публикация/подписка через брокер ⁴; для ограниченных устройств существует CoAP ⁵. Клиент публикует сообщение в топик, подписчики получают его. Аутентификация опциональна: брокер может разрешить анонимных клиентов, и тогда любой, кто знает адрес, читает и пишет.

mosquitto_sub -h 192.0.2.60 -t '#' -v
mosquitto_pub -h 192.0.2.60 -t 'plant/line1/setpoint' -m '0'

Первый подписывается на всё дерево топиков и видит телеметрию; второй публикует команду. Если брокер не требует пароля и не ограничивает ACL, это работает без всякой уязвимости.

Отсутствие шифрования по умолчанию

MQTT поверх TCP без TLS передаёт всё открытым текстом, включая учётные данные, если они есть. TLS добавляется конфигурацией, но по умолчанию его нет. То же с WebSocket-транспортом.

Радио IoT

Zigbee и LoRaWAN

Zigbee использует сетевой ключ ⁶, который при подключении нового устройства передаётся в открытом виде (в режиме стандартного сопряжения). Перехватив обмен, ключ можно восстановить. LoRaWAN использует AES-ключи, но присоединение устройства (join) и роуминг создают окна.

# перехват Zigbee требует SDR или специализированного сниффера

Джамминг и спуфинг датчиков — атаки на физическом уровне, которые не лечатся протоколом: если датчик не аутентифицирован, поддельные показания неотличимы от настоящих.

BACnet и умный дом

BACnet/IP работает поверх UDP 47808 и не аутентифицирует команды. В умном здании это означает, что климат, освещение и доступ можно переключать из сети. IoT-устройства вроде лампочек и камер часто имеют слабые пароли и открытые порты, и именно они становятся точкой входа в сегмент.

Air gap как миф

Инженерный ноутбук и USB

Физическая изоляция работает, пока никто не подключает к ней носитель. Инженерный ноутбук, который ходит между цехом и офисом, — мост; USB-накопитель — второй; обновление прошивки — третий.

# проверка, какие устройства видны из сегмента АСУ
nmap -sn 192.0.2.0/24

Подрядчик и удалённый доступ

Подрядчик часто получает удалённый доступ «на время работ» и оставляет его навсегда. Точка доступа в АСУ через VPN — типичная конфигурация, которая обходит все зоны и кондуиты.

Сегментация и обнаружение

Зоны и кондуиты

Практические рекомендации по защите АСУ собраны в NIST SP 800-82 ³. IEC 62443 предлагает делить сеть на зоны по критичности и соединять их кондуитами с контролем трафика ². Практически это означает: АСУ не видит офис, офис не видит АСУ, а между ними — шлюз с правилами по протоколам и адресам.

nft add table inet ics
nft add chain inet ics forward '{ type filter hook forward priority 0; policy drop; }'
nft add rule inet ics forward ip saddr 192.0.2.0/24 ip daddr 192.0.2.50 tcp dport 502 accept

Пассивный мониторинг

В АСУ опасно сканировать: лишний пакет может остановить старое оборудование. Поэтому мониторинг пассивный: зеркало порта, разбор Modbus-функций, базовые линии «кто с кем говорит».

tshark -i eth1 -f "tcp port 502" -T fields -e ip.src -e ip.dst -e modbus.func_code

Обнаружение

Числа: цикл управления и цена ошибки

Modbus-запрос на запись одного регистра занимает 12 байт полезной нагрузки; при RTT 10 мс и скорости 10 Мбит/с цикл «команда — подтверждение» укладывается в десятки миллисекунд. Для ПЛК, который опрашивает датчики каждые 100 мс, это незаметно; для контура безопасности, где решение принимается за миллисекунды, — нет.

запрос:  MBAP 7 + PDU 5 = 12 байт
ответ:   MBAP 7 + PDU 5 = 12 байт
RTT 10 мс + передача < 1 мс

Именно поэтому команды записи в АСУ проверяются не только по адресу, но и по функции, времени и последовательности: одиночная запись в регистр уставки в 3 часа ночи — аномалия, даже если адрес разрешён.

Второе число — стоимость простоя. Остановка линии на час может стоить больше, чем весь ИТ-бюджет сегмента; поэтому в АСУ предпочитают пассивный мониторинг и ручное реагирование, а активные сканы и автоматическую блокировку применяют осторожно.

Итоги темы

Промышленные протоколы не защищают команды, потому что создавались для изолированной среды. Modbus и MQTT дают читать и писать без пароля; Zigbee и LoRaWAN защищают канал, но не отменяют физических атак.

Воздушный зазор — не свойство сети, а организационная мера, которая ломается о носитель и подрядчика. Защита строится на зонах и кондуитах, пассивном мониторинге и контроле доступа к сегменту.

На этом апокрифы заканчиваются. Следующий шаг — собрать приёмы в одну операцию и посмотреть, как она выглядит для защитника.

Литература

1. Modbus Organization. Modbus Application Protocol Specification V1.1b3. — 2012. https://modbus.org/specs.php
2. ISA/IEC 62443. Security for Industrial Automation and Control Systems. — ISA/IEC 62443 series.
3. Stouffer K., Pease M., Tang C., et al. Guide to Operational Technology (OT) Security. — NIST Special Publication 800-82 Rev. 3, 2023. https://doi.org/10.6028/NIST.SP.800-82r3
4. Banks A., Briggs E., Borgendale K., Gupta R. MQTT Version 3.1.1. — OASIS Standard, 2014. https://docs.oasis-open.org/mqtt/mqtt/v3.1.1/
5. Shelby Z., Hartke K., Bormann C. The Constrained Application Protocol (CoAP). — RFC 7252, IETF, 2014. https://www.rfc-editor.org/rfc/rfc7252
6. Zigbee Alliance. Zigbee Specification. — 2015.

Дополнительные материалы

Вопросы для самопроверки

1. Почему промышленные протоколы проектировались без аутентификации?
2. Какие функции Modbus только читают, а какие меняют состояние?
3. Что общего у Modbus, DNP3 и BACnet с точки зрения доверия?
4. Почему MQTT-брокер без ACL опаснее открытого порта?
5. Как Zigbee передаёт сетевой ключ и что это меняет?
6. Почему LoRaWAN защищает канал, но не отменяет спуфинг датчика?
7. Что ломает air gap на практике?
8. Зачем нужны зоны и кондуиты, если уже есть межсетевой экран?
9. Почему в АСУ нельзя сканировать сеть так же, как в офисе?
10. Какие признаки указывают на компрометацию IoT-устройства?
11. Что даёт подпись MQTT и где она не помогает?
12. Почему обновление прошивки — одновременно защита и риск?

Глоссарий темы

ПЛК — программируемый логический контроллер.

Modbus TCP — протокол обмена регистрами поверх TCP/502.

MBAP — заголовок Modbus-приложения.

DNP3 — протокол телеметрии в энергетике.

BACnet — протокол автоматизации зданий.

MQTT — протокол публикации/подписки для телеметрии.

Брокер — сервер, принимающий и раздающий сообщения MQTT.

Зона — группа активов с общими требованиями безопасности.

Кондуит — контролируемое соединение между зонами.

Air gap — физическая изоляция сети от внешних.

Шпаргалка по инструментам

Что почитать и посмотреть

• Modbus Application Protocol Specification — точный формат PDU и функций.
• IEC 62443 — модель зон и кондуитов; читается как архитектурный документ.
• NIST SP 800-82 Rev. 3 — обзор угроз и мер для АСУ.
• MQTT 3.1.1 — формат сообщений, топики, уровни QoS.
• RFC 7252 — CoAP: альтернатива MQTT для ограниченных устройств.
• Zigbee Specification — уровни, ключи, сопряжение.

Углубление

QoS и доставка. MQTT QoS 0 не гарантирует доставку, QoS 1 и 2 гарантируют, но добавляют служебный обмен. Для команд управления это важно: потерянная команда или дубликат могут быть опаснее, чем отсутствие связи.

Modbus поверх TLS. Существует Modbus Security (TLS), но он требует поддержки на обеих сторонах и редко включается на старом оборудовании. Поэтому на практике защита остаётся сетевой.

Датчики и доверие. Если показания датчика не подписаны, система управления не может отличить реальное значение от поддельного. Решение — перекрёстная проверка нескольких источников и физические инварианты (например, температура не может измениться мгновенно).

Обновления. Прошивка ПЛК обновляется редко и часто вручную. Это создаёт окно, в котором известная уязвимость остаётся незакрытой; компенсирующая мера — сегментация и мониторинг, а не ожидание патча.

Лабораторная работа 11. Умный завод, глупая защита

• Раздел курса: апокриф 11 «Протоколы без защиты: АСУ ТП и IoT»

Введение

Работа собирает уменьшенную копию производственного сегмента: эмулятор ПЛК с регистрами, панель оператора, MQTT-брокер с датчиками и «умную лампочку» с веб-интерфейсом. Сначала показывается, что команды не требуют аутентификации, затем — как одна IoT-точка открывает путь к управлению.

Эмуляторы выбраны сознательно: реальный ПЛК не нужен, а поведение протокола воспроизводится точно. Все значения регистров и топиков — учебные.

Цель работы

После выполнения работы получится:

• поднять эмулятор Modbus-ПЛК и прочитать/записать регистры без пароля;
• разобрать Modbus-обмен по полям и объяснить, где должна была бы быть аутентификация;
• подписаться на все MQTT-топики и инъецировать ложные показания;
• разобрать запись Zigbee-сопряжения и объяснить, как передаётся ключ;
• пройти от IoT-устройства к сегменту управления;
• настроить зоны и кондуиты правилами nftables;
• построить пассивный детектор записи в ПЛК;
• найти и исправить ошибку в правиле фильтрации.

Теоретический минимум

Разделы теории «Modbus TCP», «MQTT и IoT», «Радио IoT», «Air gap как миф», «Сегментация и обнаружение».

Перечень оснащения

Уровень воспроизводимости: 2 — контейнеры и эмуляторы ПЛК; 0 — разбор записанного захвата.

Linux с python3, pymodbus, mosquitto, mosquitto-clients, nftables, tshark, nmap. Эмулятор ПЛК — Python-скрипт, брокер — mosquitto. Для Zigbee — записанный захват и tshark; реальный сниффер не требуется.

Порядок выполнения работы

unshare -rnm --propagation private bash
mount -t tmpfs none /run
mkdir -p /run/netns

Часть 1. Эмулятор ПЛК

Задание

Поднять Modbus-сервер с четырьмя регистрами:

from pymodbus.server import StartTcpServer
from pymodbus.datastore import ModbusSequentialDataBlock, ModbusSlaveContext, ModbusServerContext

store = ModbusSlaveContext(hr=ModbusSequentialDataBlock(0, [0, 0, 100, 1]))
context = ModbusServerContext(slaves=store, single=True)
StartTcpServer(context=context, address=("192.0.2.50", 502))

Прочитать и записать:

from pymodbus.client import ModbusTcpClient
c = ModbusTcpClient("192.0.2.50", port=502); c.connect()
print(c.read_holding_registers(0, count=4, slave=1))
c.write_register(2, 999, slave=1)
print(c.read_holding_registers(2, count=1, slave=1))

Что должно получиться

Регистр изменился, пароль не запрашивался. Объяснить, какие поля Modbus-запроса могли бы нести аутентификацию и почему их нет.

Часть 2. Разбор обмена

Задание

Снять трафик и разобрать функцию и адрес:

tshark -i eth0 -f "tcp port 502" -a duration:10 -w modbus.pcap &
# выполнить чтение и запись
tshark -r modbus.pcap -Y modbus -T fields -e ip.src -e ip.dst -e modbus.func_code -e modbus.reference_num -e modbus.word_cnt

Что должно получиться

Таблица «источник — функция — адрес — значение». Объяснить, почему запись 0x10 в неожиданный адрес — признак атаки, а не ошибки.

Часть 3. MQTT без аутентификации

Задание

Поднять брокер, разрешающий анонимных клиентов:

mosquitto -c /tmp/mosquitto.conf &

listener 1883
allow_anonymous true

Подписаться на всё и опубликовать ложное значение:

mosquitto_sub -h 192.0.2.60 -t '#' -v &
mosquitto_pub -h 192.0.2.60 -t 'plant/line1/temperature' -m '999'

Что должно получиться

Подписчик видит все топики, включая служебные; ложное значение принято. Объяснить, что меняет включение аутентификации и ACL по топикам.

Часть 4. Zigbee-сопряжение

Задание

Разобрать записанный захват сопряжения и найти передачу ключа:

tshark -r zigbee-join.pcapng -Y "zbee_nwk" -T fields -e zbee_nwk.src -e zbee_nwk.dst -e zbee_nwk.cmd.id
tshark -r zigbee-join.pcapng -Y "zbee_aps" -V | grep -i "key"

Что должно получиться

Найден обмен, в котором передаётся сетевой ключ; объяснить, почему стандартное сопряжение не защищает ключ и что меняет install code.

Часть 5. От лампочки к ПЛК

Задание

Поднять «умную лампочку» с веб-интерфейсом и паролем по умолчанию, затем проверить, что из её сегмента виден ПЛК:

curl -s http://192.0.2.70/ | head
nmap -p 502 192.0.2.50

Что должно получиться

Лампочка доступна, ПЛК виден из её сегмента. Объяснить, почему IoT-устройство становится точкой опоры и какая сегментация это ломает.

Часть 6. Зоны и кондуиты

Задание

Разрешить панели оператора Modbus целиком и запретить весь Modbus из офисного сегмента — это зонирование по адресам и портам:

nft add table inet ics
nft add chain inet ics forward '{ type filter hook forward priority 0; policy drop; }'
nft add rule inet ics forward ip saddr 192.0.2.20 ip daddr 192.0.2.50 tcp dport 502 accept
nft add rule inet ics forward ip saddr 192.0.2.0/24 ip daddr 192.0.2.50 tcp dport 502 drop

Проверить из офисного сегмента и с панели.

Что должно получиться

Панель работает, офис блокирован. Правило не различает чтение и запись: nftables смотрит на IP-адреса, порты и флаги TCP, но не разбирает поле функции Modbus — оно лежит в полезной нагрузке, за TCP-заголовком. Поэтому «разрешить только чтение» таким правилом невозможно, и это не дефект конфигурации, а граница статического фильтра.

Контроль по функции появляется только там, где есть разбор прикладного протокола: DPI-сенсор (Suricata с парсером Modbus и правилом на modbus.function), промышленный межсетевой экран или пассивный детектор из части 7. Сформулировать, что именно добавляет каждый из них и почему одного адресного правила недостаточно.

Часть 7. Пассивный детектор

Задание

Написать скрипт, который по tshark помечает записи в ПЛК из неожиданных адресов:

tshark -r modbus.pcap -Y "modbus.func_code == 6 || modbus.func_code == 16" \
  -T fields -e ip.src -e ip.dst -e modbus.reference_num | sort -u

Сравнить с белым списком «кто имеет право писать».

Что должно получиться

Список записей с адресами; записи из офиса помечены. Объяснить, почему пассивный детектор безопаснее активного сканирования в АСУ.

Часть 8. Найти и исправить ошибку

Задание

Правило должно блокировать запись из офиса, но блокирует весь Modbus:

nft add rule inet ics forward ip saddr 192.0.2.0/24 tcp dport 502 drop

Найти причину: правило не различает направление и стоит раньше разрешающего, а функцию не различает в принципе. Исправить порядок, добавить исключение для панели и записать, почему фильтрация по функции потребовала бы другого инструмента.

Что должно получиться

Работающая конфигурация, в которой панель читает и пишет, офис не пишет, а чтение из офиса при необходимости разрешено отдельным правилом.

Журнал работы

Контрольные вопросы

1. Почему Modbus не предусматривает аутентификации и что это означает на практике?
2. Какие функции Modbus меняют состояние ПЛК?
3. Чем опасен анонимный MQTT-брокер?
4. Почему подписка на # считается признаком атаки?
5. Как передаётся сетевой ключ Zigbee при стандартном сопряжении?
6. Почему air gap ломается об инженерный ноутбук?
7. Что такое зоны и кондуиты по IEC 62443?
8. Почему в АСУ предпочитают пассивный мониторинг активному?
9. Как отличить легитимную запись в ПЛК от аномальной?
10. Почему IoT-устройство с паролем по умолчанию — точка входа в сегмент?
11. Какие порты промышленных протоколов нужно искать в первую очередь?
12. Что даёт подпись сообщений MQTT и чего она не даёт?

Уборка

pkill -f "pymodbus"
pkill mosquitto
pkill tshark
nft delete table inet ics 2>/dev/null
rm -f modbus.pcap /tmp/mosquitto.conf