SCADA security

[metaclass]

Улучшатели.

Кому-то в жопе шыло свербит "улучшить безопасность" там, где лучше вообще ничего не трогать без 100500 обоснований и проверок.

А потом, блядь, антивирусы на серверах БД стоят, или "у нас каждый день удаляются профили пользователей и восстанавливаются из копии".

Comments

[berezovsky.livejournal.com]

дьявол носит SCADA
доброе утро, да

[litvin-v.livejournal.com]

А вторая идея интересная. Моя паранойя уже хочет такое внедрить.

[metaclass.livejournal.com]

Как минимум, придется бэкапы некоторых папок делать, ибо микрософт советует хранить юзеровскую локальную информацию, типа настроек, в его профиле.

[b00ter.livejournal.com]

Рэбе, любую здравую идею можно довести до абсурда, Вам-то этого не знать... :) От этого она здравой быть не перестает.

[d4s.livejournal.com]

так 1 раз бэкап с настройками, которые по мнению админа нужны сделать. а все остальное - фтопку ежедневно/ежезагрузочно. не ?

[metaclass.livejournal.com]

Первый сценарий:
Поставили новый софт, настроили, админ асоциален и участвовать отказался.
На следующий день настройки к херам слетают.

Второй сценарий:
Софт должен закачивать на сервер файлы размером до 100 мб (аудиозаписи), это делается в фоновом режиме, с докачкой, временно не докачанные файлы хранятся локально. Вечером пользователь записал диктант, закрыл прогу, не докачав и ушел. Утром приходит - диктанта нет.

В общем, подобная паранойя оно хорошо в меру и требует дополнительных усилий со всех сторон. А польза от нее этого не оправдывает.

[inhate.livejournal.com]

>>> Кому-то в жопе шыло свербит "улучшить безопасность" там, где лучше вообще ничего не трогать без 100500 обоснований и проверок.

Гм, а бывают ли автоматизаторы, которые на этапе разработки и внедрения думают о безопастности? Хрен бы с ним, с антивирусом. Они свои поделия хотя бы тестируют на совместимость со свежими критическими апдейтами венды?

[metaclass.livejournal.com]

Подозреваю, что нет. Весьма бессмысленное и нерентабельное занятие - тестировать систему против неограниченного множества будущих проблем. Проще сделать ее теоретически устойчивой, а краевые случаи прописать в договоре - типа "если вы пускаете админов с биполярным аффективным расстройством ставить апдейты на mission-critical системы - вы снимаетесь с гарантии и платите поставщику за восстановление системы в случае чего".

Я лично предпочитаю методику "не зависеть ни от чего", что очень сильно спасает в случае апдейтов и вообще взаимодействия со сторонним софтом. А то у меня пару раз наблюдались спецэффекты связанные с использованием системных криптоалгоритмов - прога не работала при наличии клиент-банка на системе. Пришлось нахер выкинуть и использовать third-party либу.

Ключевой аспект тут - теоретически обоснованная независимость от всего.

[fas-tm.livejournal.com]

К примеру в автоматизации телевещания, после установки и настройки софта, все апдейты и прочая байда, как вообщем и линк во внешний мир отключается нафиг. Снимается образ системы и ее конфигурации. Установка апдейтов - только по указанию производителя софта. Самодеятельность карается анально. Стоимости годовой поддержки стоят десятки/сотни тысяч ойро.
Объясняется это тем, что часто система безопасности усложняет работу итак нехренового клубка червей и жаб.

[inhate.livejournal.com]

Ну требование "на компьютера должна стоять ОС и наша программа" я еще как-то могу понять. Но вот запрет на установку системных обновлений - за это надо карать анально.
Непонятно, почему все производители прикладного ПО проверяют свои поделия на совместимость с новыми заебами M$, а автоматізаторы тут какие-то особенные, и считают себя в праве класть хуй.

[metaclass.livejournal.com]

Потому что проверить совместимость с заебами-обновлениями невозможно по причине несчетности множества этих заебов.
От глюков в обычном прикладном софте конвеер производительностью 100 баксов прибыли в секунду раком не встанет, периметр взаимодействия оного софта с системой обычно меньше, чем у типичной системы автоматизации и проверить это дело проще. И то, проверяют это дело только если клиентов более тысяч штук - тогда выгоднее проверить заранее. А до того - проще разбираться по факту.

Т.е., установка системных обновлений не на десктопно-юзеровских машинах - это чисто религиозный фанатизм админов. Этого делать без санкции обслуживающей организации нельзя, защитится от известных векторов атаки проще другими способами.

[inhate.livejournal.com]

Т.е. по факту, поставщики систем автоматизации несмотря на крайне антигуманный ценник таких решений фактически ответсвенности за безопастность и работоспособность своих поделий не несут.
Сгрызли черви венду, конвеер встал - сами виноваты, вирусов развели. Поставился апдейт на венду - перестал работать какой-нибудь вуду-костыль основаный на недокументированом поведении системы на десктопе разработчика - опять сами виноваты.
Не понимаю, почему при таком низком качестве сервиса это стоит ТАКИХ денег.

[inhate.livejournal.com]

Проще всего конечно сказать "у нас тут серпентариум, поддерживатей тепературный режим и ничгео не трогайте руками". Но это тупая отрслвая отмазка. Скажем, обработка данных кредитных карточек - тоже весьма запутаная и геморроная тема, однако за непропатченый софт, политику firewall отличную от DROP и т.п. там принято карать анально. Потому что уже утерлись кровавыми соплями...

[metaclass.livejournal.com]

Потому что это работает достаточно надежно, независимо от вирусов и апдейтов, а разработчики в случае необходимости приедут это чинить в любое время дня и ночи.
Суть в том, что при настолько безумной предметной области, ужасных ТЗ и прочих заморочках свои баги и фичи отлечить и оттестировать требует достаточно много ресурсов, не хватало еще c чужими бороться.

[fas-tm.livejournal.com]

я просто привел пример :)
Из трех зарубежных производителей с которыми имел дело, все работали вышеописанным способом. Некоторые часть серверов привозили своей сборки(прописано в условиях поставки и контракте).
Их можно понять тоже. Неизвестно что нахреновертил "русский Ваня", а разбираться очень долго и муторно. А штрафы за простой, и суды после таких вот внедрений - обычное дело.
Все прикрывают свои задницы как могут.

[nicka-startcev.livejournal.com]

Завирусованный осцилограф с виндой внутре и рассылающий спам - я видел.

Запретами запретов апдейтов это может и лечится, но стопудово лечится избеганием M$ в любых хоть сколько-нибудь критичных местах.

[alll]

> админ асоциален и участвовать отказался

Это уже из разряда "админ взял шотган и превратил все сервера в решето". То-есть вполне может случитья, но не является штатной ситуацией.

[medvedd.livejournal.com]

Тогда надо убивать эксплуатационный персонал, который вставляет флешки в осцилограф на ВинХП и смотрит по нему кино. Одновременно занося вирусы,ога. И потом его лечить как-то надо.