Защита автоматизированных систем управления технологическими процессами в контексте Федерального закона № 187-ФЗ: анализ отечественных решений и их функциональных возможностей

1. Законодательные и нормативные требования

Требования к защите АСУ ТП определены двумя приказами ФСТЭК России:

• Приказ № 239 от 25 декабря 2017 года устанавливает требования для значимых объектов КИИ с присвоенной категорией значимости.

• Приказ № 31 от 14 марта 2014 года определяет требования для АСУ ТП на критически важных и потенциально опасных объектах без категории значимости.

Для значимых объектов КИИ первой категории требуются средства защиты информации не ниже 4-го класса (и уровень доверия не ниже 4-го), второй категории — не ниже 5-го класса (УД не ниже 5-го), третьей категории — 6-го класса (УД не ниже 6-го). Средства вычислительной техники должны быть не ниже 5-го класса для всех категорий.

2. Актуальные уязвимости АСУ ТП и их идентификация

Промышленные протоколы Modbus, OPC UA, PROFINET и IEC 104 были разработаны десятилетия назад и не предусматривали встроенную аутентификацию и шифрование. Уход с российского рынка крупных иностранных производителей, таких как Siemens, Schneider Electric и ABB, в 2022 году обострил проблему отсутствия обновлений и патчей для выявленных уязвимостей.

Критические уязвимости, актуальные на 2026 год.

2.1 CVE-2026-3869 (Schneider Modicon M580 / M580 Safety)

CVSS 4.0: 9.2. Обход аутентификации в алгоритме контроллера. Уязвимость сетевая, не требует привилегий. Затронуты все M580 с application level ниже 4.00 и M580 Safety ниже 4.20. Поскольку это safety-контроллеры, компрометация может привести к физическому ущербу.

Где применять: предприятия, где контроллеры Schneider Modicon M580 используются в контурах управления технологическими процессами — нефтепереработка, химия, металлургия, энергетика.

Почему применять: обновлённая прошивка доступна через портал поддержки Schneider Electric, однако в условиях ухода производителя с российского рынка её получение затруднено. Единственный надёжный путь — сегментация сети и контроль трафика к контроллеру на сетевом уровне. Межсетевой экран с поддержкой промышленных протоколов (Modbus TCP) способен блокировать неавторизованные запросы к контроллеру, даже если сам контроллер не может отличить легитимный запрос от атакующего. Система обнаружения вторжений с пассивным мониторингом фиксирует попытки эксплуатации и передаёт алерт в SOC.

2.2 CVE-2025-24811 (Siemens SIMATIC S7-1200)

CVSS 3.1: 7,5. Отказ в обслуживании из-за некорректного освобождения ресурса. Уязвимость в БДУ ФСТЭК: BDU:2026-00191.

Где применять: S7-1200 — один из самых массовых контроллеров Siemens на российских предприятиях: пищевая промышленность, машиностроение, водоканалы, логистика. Любой цех с автоматизацией на базе S7-1200 потенциально уязвим.

Почему применять: DoS-атака на контроллер останавливает технологический процесс. При недоступности контроллера оператор теряет управление и мониторинг, что на непрерывных производствах ведёт к браку, аварийным остановкам, а в худшем случае — к выбросам или повреждению оборудования. Защита конечной точки на самом контроллере невозможна (ресурсы контроллера ограничены), поэтому контроль должен быть на сети — перед контроллером. Сегментация через промышленный экран отсекает атакующий трафик до достижения контроллера, а антивирусная защита рабочей станции инженера предотвращает запуск эксплойта изнутри сегмента.

2.3 CVE-2023-25619 (Schneider Modicon M340/M580)

CVSS 3.1: 7,5. Отказ в обслуживании через Modbus TCP. Внесена в БДУ ФСТЭК: BDU:2023-02966. Компенсирующие меры: ограничение доступа к порту 502/TCP, сегментирование сети.

Где применять: Modicon M340 — базовый контроллер Schneider для среднего сегмента: насосные станции, вентиляция, очистные сооружения, котельные. Modbus TCP — открытый протокол без аутентификации, порт 502/TCP доступен из любой точки сети, если нет сегментации.

Почему применять: уязвимость эксплуатируется через стандартный порт Modbus. Ограничение доступа к порту 502/TCP прямо указано в рекомендациях ФСТЭК как компенсирующая мера. Промышленный межсетевой экран с глубоким анализом Modbus TCP позволяет фильтровать не только по IP и порту, но и по содержимому запроса: тип функции Modbus (read coils, write register), адрес регистра, длина запроса. Это блокирует аномальные запросы, сохраняя легитимный трафик от SCADA.

2.4 CVE-2022-31800 (Schneider Modicon M340 и устройства на базе ProConOS)

CVSS v3: 9,8. Неавторизованная удалённая загрузка вредоносной логики на устройства, работающие на ОС ProConOS / ProConOS eCLR, включая контроллеры Schneider Modicon M340.

Где применять: M340 часто конфигурируется и обновляется удалённо. Если инженерная станция и контроллер находятся в одном сегменте с другими устройствами, атакующий может без аутентификации загрузить вредоносную логику на контроллер — изменить алгоритм управления.

Почему применять: компрометация логики контроллера — худший сценарий для АСУ ТП. Атакующий не просто останавливает процесс, он меняет его: открывает задвижку, повышает температуру, отключает блокировки. Защита требует двух уровней: сегментация инженерного сегмента от остальной сети (применение МЭ) и контроль целостности конфигурации контроллера. Система обнаружения вторжений фиксирует аномальные сессии передачи конфигурационных файлов. Криптографическая защита канала между инженерной станцией и контроллером исключает перехват и подмену.

2.5 CVE-2022-29866 и CVE-2022-29864 (OPC UA .NET Standard Stack)

CVSS 3.1: 7,5. Отказ в обслуживании через неоконтролируемое потребление ресурсов: атакующий отправляет специально сформированные запросы, исчерпывающие память OPC UA-сервера. Уязвимости обнаружены командой JFrog ( Uriya Yavnieli, JFrog Security Research Team) совместно с Trend Micro Zero Day Initiative; представлены на соревнованиях Pwn2Own ICS 2022 и затрагивают OPC UA .NET Standard Stack версии 1.04.368. Уязвимость CVE-2022-29862 (бесконечный цикл в OPC UA .NET Standard) также внесена в БДУ ФСТЭК: BDU:2024-02521.

Где применять: OPC UA — современный стандарт интеграции в АСУ ТП, используется для связи SCADA с контроллерами разных производителей. Уязвимость в библиотеке .NET Standard затрагивает все приложения, построенные на этом стеке: серверы OPC UA, шлюзы, HMI. Если OPC UA-сервер «падает», оператор теряет видимость всего производства.

Почему применять: OPC UA-сервер — это «шина», связывающая разнородные устройства. Его недоступность означает потерю мониторинга не по одному, а по всем контроллерам сразу. Пассивный анализ трафика OPC UA позволяет обнаружить аномальные паттерны DoS-атаки (всплеск сессий, malformed-запросы) до того, как сервер исчерпает ресурсы. Межсетевой экран с поддержкой OPC UA может ограничить количество одновременных сессий и фильтровать malformed-пакеты.

2.6 CVE-2023-29444 и CVE-2023-29445 (PTC Kepware KEPServerEX)

Где применять: KEPServerEX — один из самых популярных OPC-серверов в России, используется как шлюз между контроллерами и SCADA на тысячах объектов. Уязвимость позволяет атакующему с правами обычного пользователя подменить DLL и получить полный контроль над сервером, а через него — доступ ко всем подключённым контроллерам.

Почему применять: KEPServerEX работает на Windows-машине в инженерном или серверном сегменте. Защита конечной точки этой машины — единственный способ блокировать DLL-подстановку: антивирус с поведенческим анализом и контроль целостности критичных директорий. Сегментация сети не помогает, если у атакующего уже есть доступ к OPC-серверу через инженерную станцию. Дополнительно — EDR-решение фиксирует попытку подмены DLL и автоматически изолирует скомпрометированную машину.

3. Ключевые отечественные средства: где, почему, что закрывают

1. Kaspersky Industrial CyberSecurity (KICS)

Сертификаты: ФСТЭК № 3907 (KICS for Nodes, до 03.04.2031, 2-й уровень доверия / УД-2), ФСТЭК № 4027 (KICS for Networks, до 25.10.2028), ФСБ СФ/СЗИ-0548 (KICS for Nodes, до 01.06.2027). Реестр отечественного ПО: № 183, № 8355, № 8356 (KICS for Nodes), № 8539 (KICS for Networks).

Где применять: предприятия с разнородным парком оборудования (Siemens, Schneider, ОВЕН, Микроконтроллерные системы). KICS for Networks поддерживает 147 сертифицированных систем от многих поставщиков АСУ ТП. KICS for Nodes ставится на Windows-машины инженерного сегмента: HMI, OPC-серверы, рабочие станции.

Почему применять: пассивный режим мониторинга (KICS for Networks) — критически важен для АСУ ТП, где активное сканирование может нарушить работу контроллера. KICS for Nodes закрывает уязвимости, эксплуатируемые через инженерные станции — DLL-подстановку (CVE-2023-29444 на KEPServerEX), malware на HMI.

Что закрывает:

• CVE-2026-3869 (M580 auth bypass): KICS for Networks детектирует неавторизованные сессии к контроллеру, KICS for Nodes блокирует запуск эксплойта на инженерной станции.

• CVE-2025-24811 (S7-1200 DoS): KICS for Networks фиксирует аномальный всплеск трафика к контроллеру, генерирует алерт в SOC.

• CVE-2023-29444 / CVE-2023-29445 (KEPServerEX DLL hijacking): KICS for Nodes — антивирусная защита и поведенческий анализ блокируют подмену DLL.

Реальные внедрения: ЕвроХим, ФосАгро, Новосталь-М, Атырауский НПЗ. Кейс «Кредо-С»: развёртывание KICS for Networks и KICS for Nodes с интеграцией в единый центр мониторинга.

2. PT ISIM (Positive Technologies)

Сертификаты: ФСТЭК № 4182 (до 08.08.2030) — СОВ уровня сети 4 класса, антивирус (профили А, Б, В), EDR — всё по 4 классу защиты, УД-4. Реестр отечественного ПО: № 3424.

Где применять: крупные промышленные предприятия с большим количеством протоколов и производителей. PT ISIM заявляет о поддержке более 130 промышленных протоколов: Modbus TCP, OPC DA/UA, МЭК-60870-5-104, МЭК-61850, протоколы Siemens, ABB, Honeywell. Особенно эффективен на энергетических объектах: электросети, подстанции, ТЭЦ — где используются протоколы МЭК-104 и МЭК-61850.

Почему применять: архитектура пассивного мониторинга через SPAN/TAP исключает влияние на технологический процесс. База индикаторов угроз PT ISTI содержит 10 000+ правил. Инвентаризация активов в реальном времени — выявляет несанкционированно подключённые устройства, rogue-контроллеры, неизвестные HMI.

Что закрывает:

• CVE-2022-29866 / CVE-2022-29864 (OPC UA DoS): PT ISIM детектирует аномальные паттерны OPC UA-сессий — всплеск соединений, malformed-запросы — и оповещает SOC до того, как сервер исчерпает ресурсы.

• CVE-2023-25619 (Modbus TCP DoS): анализ трафика Modbus TCP на уровне функции и адреса регистра — блокировка аномальных запросов через интеграцию с МЭ.

• CVE-2022-31800 (удалённая загрузка вредоносной логики): PT ISIM фиксирует аномальные сессии передачи конфигурационных файлов к контроллеру, генерирует алерт о возможной подмене логики.

• CVE-2026-3869 (M580 auth bypass): детекция неавторизованного доступа к контроллеру по поведенческим признакам.

Реальные внедрения: ОАО «НИИАС» и «Бомбардье Транспортейшн (Сигнал)» — первая в мире киберзащита микропроцессорных систем управления движением поездов. Совместимость с ПТК ARIS и RedKit SCADA от «Прософт-Системы».

3. InfoWatch ARMA Стена

Сертификаты: ФСТЭК № 4953 (до 11.07.2030) — МЭ типа «Б» и «Д» 4 класса, СОВ 4 класса, УД-4. Реестр отечественного ПО: № 5937 (InfoWatch ARMA Industrial Firewall), № 23568 (InfoWatch ARMA Стена / NGFW).

Где применять: на границе технологического сегмента и корпоративной сети, а также между подсетями АСУ ТП. Места установки: между SCADA-сетью и инженерным сегментом; между сетью контроллеров и сетью HMI; на входе в DMZ промышленной сети. Тип «Д» означает «межсетевое экранирование с фильтрацией по промышленным протоколам» — это единственный тип МЭ, который понимает не только IP-адреса, но и команды Modbus, OPC UA, IEC 104.

Почему применять: по заявлению вендора, закрывает до 90% технических мер приказа ФСТЭК № 239. Фильтрация на уровне протокола позволяет разрешить только легитимные функции (например, read-only для SCADA-мониторинга) и заблокировать write-команды из неподконтрольных сегментов.

Что закрывает:

• CVE-2023-25619 (Modbus TCP DoS на M340/M580): ARMA Стена фильтрует Modbus TCP по функции, адресу регистра и длине запроса — блокирует аномальные запросы, вызывающие DoS.

• CVE-2026-3869 (M580 auth bypass): ограничение доступа к контроллеру только с разрешённых IP, фильтрация команд по white-list функций Modbus.

• CVE-2022-31800 (удалённая загрузка вредоносной логики): блокировка трафика передачи конфигурации к контроллеру из неразрешённых сегментов, ограничение доступа только для инженерных станций в выделенном сегменте.

• CVE-2022-29866 / CVE-2022-29864 (OPC UA DoS): ограничение количества одновременных OPC UA-сессий, фильтрация malformed-пакетов.

Реальные внедрения: совместимость подтверждена с ПАК ПТК КРУГ-2000 (НПФ «КРУГ») — события безопасности передаются в SCADA со световой/звуковой сигнализацией.

4. Континент 4 (Код Безопасности) и ЗАСТАВА (РТ-Солар)

Где применять: на границе корпоративной сети и промышленного сегмента — для создания защищённого канала между удалёнными площадками и центром управления. Типовой сценарий: связь между диспетчерским центром и удалённой подстанцией / насосной станцией / котельной. Континент 4 и ЗАСТАВА поддерживают криптографическую защиту каналов по ГОСТ, что критично при передаче управляющих команд по публичным или недоверенным сетям.

Почему применять: в отличие от ARMA Стена, которая оптимизирована для фильтрации внутри промышленной сети, Континент 4 и ЗАСТАВА решают задачу защищённого транспорта. На объектах КИИ, где удалённые площадки соединены через интернет или негосударственные каналы связи, передача Modbus/IEC-104 без шифрования означает, что атакующий может перехватить и подменить команду. ГОСТ-шифрование канала исключает перехват и подмену.

Что закрывают:

• CVE-2022-31800 (удалённая загрузка вредоносной логики): ГОСТ-шифрование канала между инженерной станцией и контроллером делает перехват сессии передачи конфигурации невозможным.

• CVE-2023-25619 (Modbus TCP DoS): при передаче Modbus TCP через защищённый туннель атакующий извне не может отправить запрос к контроллеру — доступ только через криптографический туннель.

• Все уязвимости, эксплуатируемые через сетевой доступ извне промышленного сегмента: если промышленная сеть изолирована криптозащищённым МЭ, атаки из корпоративной сети или интернета не достигают контроллеров.

4. Матрица: уязвимость → средство защиты → где в архитектуре

CVE-2026-3869 (M580 auth bypass) — KICS for Networks + ARMA Стена — СОВ + МЭ тип «Д» — Сегмент контроллеров: SPAN-порт → KICS; граница сегмента → ARMA  

CVE-2025-24811 (S7-1200 DoS) — KICS for Networks + ARMA Стена — СОВ + МЭ тип «Д» — Сеть контроллеров S7-1200: фильтрация аномального трафика на L7

CVE-2023-25619 (Modbus DoS) — ARMA Стена — МЭ тип «Д» — Граница сегмента Modbus TCP: блокировка по функции и адресу регистра  

CVE-2022-31800 (удалённая загрузка логики) — ARMA Стена + Континент 4 — МЭ тип «Д» + СКЗИ — Инженерный сегмент: ограничение доступа + ГОСТ-туннель

CVE-2022-29866 / 29864 (OPC UA DoS) — PT ISIM + ARMA Стена — СОВ + МЭ тип «Д» — Серверный сегмент OPC UA: мониторинг + rate-limiting

CVE-2023-29444 / 29445 (KEPServerEX DLL) — KICS for Nodes — САВЗ — Windows-машина с KEPServerEX: защита конечной точки

5. Преимущества отечественных решений

• Сертификация ФСТЭК и ФСБ — соответствие приказам № 239 и № 31, применимость на объектах КИИ 1-й категории. Все рассмотренные решения имеют уровень доверия не ниже УД-4 (KICS for Nodes — УД-2, что выше УД-4).

• Реестр отечественного ПО — соответствие ФЗ № 325-ФЗ (вступает в силу 1 марта 2026) и Указу № 250 (запрет СЗИ из недружественных иностранных государств на объектах КИИ с 1 января 2025).

• Пассивный режим мониторинга — критически важен для АСУ ТП, где активное сканирование может нарушить работу контроллера. Приказ ФСТЭК № 31 прямо требует, чтобы средства защиты «не оказывали отрицательного влияния на штатный режим функционирования» АСУ.

• Поддержка промышленных протоколов — Modbus, OPC UA, IEC 104/61850, S7Comm и других, используемых на российских предприятиях.

• Интеграция с ГосСОПКА — передача информации о компьютерных инцидентах, обязательная по 187-ФЗ, ст. 9.

6. Вывод

Российский рынок закрыл все ключевые классы средств защиты для АСУ ТП: антивирусная защита (KICS for Nodes, PT ISIM), обнаружение вторжений (KICS for Networks, PT ISIM, InfoWatch ARMA), межсетевое экранирование промышленной сети (InfoWatch ARMA, Континент 4, ЗАСТАВА). Все решения включены в реестр отечественного ПО, имеют сертификаты ФСТЭК с уровнем доверия не ниже УД-4 и подтверждённые внедрения на российских промышленных предприятиях.

Ключевой вывод из анализа уязвимостей: ни одно средство в одиночку не закрывает все векторы. Сегментация сети (ARMA Стена) блокирует сетевые атаки к контроллерам, пассивный мониторинг (KICS for Networks, PT ISIM) детектирует аномалии в трафике, защита конечных точек (KICS for Nodes) предотвращает эксплуатацию через инженерные станции, а криптозащита каналов (Континент 4, ЗАСТАВА) исключает перехват управляющих команд. Комплекс из 2–3 решений закрывает все рассмотренные CVE и соответствует мерам приказа № 239.

Ключевой фактор выбора — совместимость с конкретной SCADA/ПЛК-инфраструктурой предприятия, которая должна проверяться на стенде до закупки.