SCADA security

[metaclass]

Улучшатели.

Кому-то в жопе шыло свербит "улучшить безопасность" там, где лучше вообще ничего не трогать без 100500 обоснований и проверок.

А потом, блядь, антивирусы на серверах БД стоят, или "у нас каждый день удаляются профили пользователей и восстанавливаются из копии".

Comments

[inhate.livejournal.com]

>>> Кому-то в жопе шыло свербит "улучшить безопасность" там, где лучше вообще ничего не трогать без 100500 обоснований и проверок.

Гм, а бывают ли автоматизаторы, которые на этапе разработки и внедрения думают о безопастности? Хрен бы с ним, с антивирусом. Они свои поделия хотя бы тестируют на совместимость со свежими критическими апдейтами венды?

[metaclass.livejournal.com]

Подозреваю, что нет. Весьма бессмысленное и нерентабельное занятие - тестировать систему против неограниченного множества будущих проблем. Проще сделать ее теоретически устойчивой, а краевые случаи прописать в договоре - типа "если вы пускаете админов с биполярным аффективным расстройством ставить апдейты на mission-critical системы - вы снимаетесь с гарантии и платите поставщику за восстановление системы в случае чего".

Я лично предпочитаю методику "не зависеть ни от чего", что очень сильно спасает в случае апдейтов и вообще взаимодействия со сторонним софтом. А то у меня пару раз наблюдались спецэффекты связанные с использованием системных криптоалгоритмов - прога не работала при наличии клиент-банка на системе. Пришлось нахер выкинуть и использовать third-party либу.

Ключевой аспект тут - теоретически обоснованная независимость от всего.

[inhate.livejournal.com]

Ну требование "на компьютера должна стоять ОС и наша программа" я еще как-то могу понять. Но вот запрет на установку системных обновлений - за это надо карать анально.
Непонятно, почему все производители прикладного ПО проверяют свои поделия на совместимость с новыми заебами M$, а автоматізаторы тут какие-то особенные, и считают себя в праве класть хуй.

[metaclass.livejournal.com]

Потому что проверить совместимость с заебами-обновлениями невозможно по причине несчетности множества этих заебов.
От глюков в обычном прикладном софте конвеер производительностью 100 баксов прибыли в секунду раком не встанет, периметр взаимодействия оного софта с системой обычно меньше, чем у типичной системы автоматизации и проверить это дело проще. И то, проверяют это дело только если клиентов более тысяч штук - тогда выгоднее проверить заранее. А до того - проще разбираться по факту.

Т.е., установка системных обновлений не на десктопно-юзеровских машинах - это чисто религиозный фанатизм админов. Этого делать без санкции обслуживающей организации нельзя, защитится от известных векторов атаки проще другими способами.

[inhate.livejournal.com]

Т.е. по факту, поставщики систем автоматизации несмотря на крайне антигуманный ценник таких решений фактически ответсвенности за безопастность и работоспособность своих поделий не несут.
Сгрызли черви венду, конвеер встал - сами виноваты, вирусов развели. Поставился апдейт на венду - перестал работать какой-нибудь вуду-костыль основаный на недокументированом поведении системы на десктопе разработчика - опять сами виноваты.
Не понимаю, почему при таком низком качестве сервиса это стоит ТАКИХ денег.

[metaclass.livejournal.com]

Потому что это работает достаточно надежно, независимо от вирусов и апдейтов, а разработчики в случае необходимости приедут это чинить в любое время дня и ночи.
Суть в том, что при настолько безумной предметной области, ужасных ТЗ и прочих заморочках свои баги и фичи отлечить и оттестировать требует достаточно много ресурсов, не хватало еще c чужими бороться.

[fas-tm.livejournal.com]

К примеру в автоматизации телевещания, после установки и настройки софта, все апдейты и прочая байда, как вообщем и линк во внешний мир отключается нафиг. Снимается образ системы и ее конфигурации. Установка апдейтов - только по указанию производителя софта. Самодеятельность карается анально. Стоимости годовой поддержки стоят десятки/сотни тысяч ойро.
Объясняется это тем, что часто система безопасности усложняет работу итак нехренового клубка червей и жаб.

[inhate.livejournal.com]

Проще всего конечно сказать "у нас тут серпентариум, поддерживатей тепературный режим и ничгео не трогайте руками". Но это тупая отрслвая отмазка. Скажем, обработка данных кредитных карточек - тоже весьма запутаная и геморроная тема, однако за непропатченый софт, политику firewall отличную от DROP и т.п. там принято карать анально. Потому что уже утерлись кровавыми соплями...

[fas-tm.livejournal.com]

я просто привел пример :)
Из трех зарубежных производителей с которыми имел дело, все работали вышеописанным способом. Некоторые часть серверов привозили своей сборки(прописано в условиях поставки и контракте).
Их можно понять тоже. Неизвестно что нахреновертил "русский Ваня", а разбираться очень долго и муторно. А штрафы за простой, и суды после таких вот внедрений - обычное дело.
Все прикрывают свои задницы как могут.