05.08.2026
Промышленная кибербезопасность - 2
Архитектура нулевого доверия
Все соединения между устройствами должны быть аутентифицированы и зашифрованы.
Одной из главных тенденций, меняющих промышленную кибербезопасность, является архитектура нулевого доверия. Вы перестаёте считать что-либо безопасным только потому, что это находится внутри вашего брандмауэра. Каждое соединение между устройствами должно быть аутентифицировано и зашифровано. Когда ваш человеко-машинный интерфейс подключается к вашему ПЛК, обе стороны должны проверять, с кем они общаются.
Такой уровень проверки осуществляется с помощью сертификатов — например, проверка удостоверений личности на обоих концах разговора. Шифрование TLS с надлежащим управлением сертификатами защищает данные везде, где они передаются. Вы используете не просто пароли, которые можно угадать или украсть. Каждое устройство имеет свой собственный криптографический сертификат, подтверждающий его подлинность. Даже если кто-то перехватит ваши данные, он не сможет их прочитать или выдать себя за ваше оборудование.
Исходящие коммуникации, инициируемые на периферии сети, решают еще одну огромную проблему кибербезопасности. Вместо того чтобы внешние системы подключались к вашим сетям и контроллерам для получения данных, ваши периферийные устройства отправляют данные, когда они готовы. Вы публикуете данные через MQTT тем, кому они нужны, но никто не может получить к ним доступ и вмешаться в работу ваших систем управления. Ваше оборудование становится неуязвимым для удаленного взлома, поскольку оно не принимает входящие соединения.
Все соединения между устройствами должны быть аутентифицированы и зашифрованы.
Одной из главных тенденций, меняющих промышленную кибербезопасность, является архитектура нулевого доверия. Вы перестаёте считать что-либо безопасным только потому, что это находится внутри вашего брандмауэра. Каждое соединение между устройствами должно быть аутентифицировано и зашифровано. Когда ваш человеко-машинный интерфейс подключается к вашему ПЛК, обе стороны должны проверять, с кем они общаются.
Такой уровень проверки осуществляется с помощью сертификатов — например, проверка удостоверений личности на обоих концах разговора. Шифрование TLS с надлежащим управлением сертификатами защищает данные везде, где они передаются. Вы используете не просто пароли, которые можно угадать или украсть. Каждое устройство имеет свой собственный криптографический сертификат, подтверждающий его подлинность. Даже если кто-то перехватит ваши данные, он не сможет их прочитать или выдать себя за ваше оборудование.
Исходящие коммуникации, инициируемые на периферии сети, решают еще одну огромную проблему кибербезопасности. Вместо того чтобы внешние системы подключались к вашим сетям и контроллерам для получения данных, ваши периферийные устройства отправляют данные, когда они готовы. Вы публикуете данные через MQTT тем, кому они нужны, но никто не может получить к ним доступ и вмешаться в работу ваших систем управления. Ваше оборудование становится неуязвимым для удаленного взлома, поскольку оно не принимает входящие соединения.
Технологические решения
Вы пытаетесь защитить свой завод, не замедляя работу и не усложняя жизнь операторам и команде технического обслуживания. Но интеллектуальное производство зависит от обмена данными между системами. Архитектура с нулевым доверием и обмен данными, инициируемый на периферии сети, помогают сделать этот обмен данными более безопасным.
Концепция нулевого доверия с использованием надлежащих сертификатов означает, что вы точно знаете, что передается по вашей сети. Показания температуры из резервуара № 1? Вы знаете, что они действительно получены от датчика резервуара № 1, а не от кого-то, кто подделал данные, чтобы вызвать проблемы. Ваши операторы могут доверять тому, что видят на своих экранах, потому что каждый фрагмент данных криптографически проверен.
Передача данных непосредственно на периферии сети дает огромное преимущество: ваши системы управления продолжают работать, даже если ваша ИТ-сеть скомпрометирована. Поскольку ваши ПЛК и периферийные контроллеры передают данные только через MQTT, злоумышленники не могут получить доступ к данным, чтобы изменить заданные значения или принудительно установить выходные параметры. Когда атака программ-вымогателей достигает офиса, ваши производственные линии даже не замечают этого. Передача данных только извне имеет решающее значение — ваша MES-система получает производственные данные, не имея возможности управлять оборудованием.
Вы пытаетесь защитить свой завод, не замедляя работу и не усложняя жизнь операторам и команде технического обслуживания. Но интеллектуальное производство зависит от обмена данными между системами. Архитектура с нулевым доверием и обмен данными, инициируемый на периферии сети, помогают сделать этот обмен данными более безопасным.
Концепция нулевого доверия с использованием надлежащих сертификатов означает, что вы точно знаете, что передается по вашей сети. Показания температуры из резервуара № 1? Вы знаете, что они действительно получены от датчика резервуара № 1, а не от кого-то, кто подделал данные, чтобы вызвать проблемы. Ваши операторы могут доверять тому, что видят на своих экранах, потому что каждый фрагмент данных криптографически проверен.
Передача данных непосредственно на периферии сети дает огромное преимущество: ваши системы управления продолжают работать, даже если ваша ИТ-сеть скомпрометирована. Поскольку ваши ПЛК и периферийные контроллеры передают данные только через MQTT, злоумышленники не могут получить доступ к данным, чтобы изменить заданные значения или принудительно установить выходные параметры. Когда атака программ-вымогателей достигает офиса, ваши производственные линии даже не замечают этого. Передача данных только извне имеет решающее значение — ваша MES-система получает производственные данные, не имея возможности управлять оборудованием.
MQTT
MQTT с TLS снижает сетевой трафик и помогает защитить данные. Архитектура MQTT «публикация/подписка» устраняет помехи от опроса, которые засоряют промышленные сети. Вместо сотен клиентов, каждую секунду спрашивающих контроллер «каковы ваши значения?», устройства публикуют данные только тогда, когда значения изменяются. Это позволяет сократить сетевой трафик на 90% и более по сравнению с традиционными протоколами опроса/ответа, такими как OPC UA или Modbus/TCP.
Когда контроллер на периферии сети подключается, он публикует данные, содержащие «свидетельство о рождении», в котором определяется каждый тег, его тип данных и единицы измерения. Подписчики этих данных точно знают, что получают, и получают только то, что им нужно. Слой TLS шифрует все данные и проверяет сертификаты на обоих концах. Даже если кто-то перехватит сеть, он увидит только зашифрованный бессмысленный набор символов.
Эти технологии кибербезопасности подходят как для новых, так и для существующих производственных площадок. Для устаревшего оборудования, которое не может обрабатывать современные, защищенные от кибератак коммуникации, периферийные шлюзы создают безопасные прокси-серверы. Ваш 20-летний ПЛК обменивается данными по протоколу Modbus со шлюзом. Затем шлюз упаковывает эти данные в зашифрованные, аутентифицированные сообщения MQTT. Вы получаете современную безопасность, не затрагивая работающую логику управления.
MQTT с TLS снижает сетевой трафик и помогает защитить данные. Архитектура MQTT «публикация/подписка» устраняет помехи от опроса, которые засоряют промышленные сети. Вместо сотен клиентов, каждую секунду спрашивающих контроллер «каковы ваши значения?», устройства публикуют данные только тогда, когда значения изменяются. Это позволяет сократить сетевой трафик на 90% и более по сравнению с традиционными протоколами опроса/ответа, такими как OPC UA или Modbus/TCP.
Когда контроллер на периферии сети подключается, он публикует данные, содержащие «свидетельство о рождении», в котором определяется каждый тег, его тип данных и единицы измерения. Подписчики этих данных точно знают, что получают, и получают только то, что им нужно. Слой TLS шифрует все данные и проверяет сертификаты на обоих концах. Даже если кто-то перехватит сеть, он увидит только зашифрованный бессмысленный набор символов.
Эти технологии кибербезопасности подходят как для новых, так и для существующих производственных площадок. Для устаревшего оборудования, которое не может обрабатывать современные, защищенные от кибератак коммуникации, периферийные шлюзы создают безопасные прокси-серверы. Ваш 20-летний ПЛК обменивается данными по протоколу Modbus со шлюзом. Затем шлюз упаковывает эти данные в зашифрованные, аутентифицированные сообщения MQTT. Вы получаете современную безопасность, не затрагивая работающую логику управления.
Приложения
В зависимости от отрасли вы сталкиваетесь с различными проблемами безопасности. Вот некоторые отрасли, где современные решения в области кибербезопасности приносят наибольшую пользу.
Системы водоснабжения и водоотведения имеют множество удаленных объектов — насосные станции, насосные депо, очистные сооружения, расположенные на расстоянии нескольких километров друг от друга. Контроллеры на периферии сети с поддержкой MQTT и сотовой связью обеспечивают безопасную обработку удаленных установок. Каждый удаленный объект передает свои данные по зашифрованным каналам. Никто не сможет взломать систему через сотовую связь, поскольку устройство не принимает входящие соединения. Вы осуществляете централизованный мониторинг, при этом каждый объект остается защищенным.
В нефтегазовой отрасли необходимо защищать как системы SCADA трубопроводов, так и системы управления нефтеперерабатывающими заводами. Архитектура «нулевого доверия» здесь помогает, поскольку вы перестаёте доверять устройствам только потому, что они находятся в вашей сети OT. Каждый расходомер, каждый RTU, каждый привод регулирующего клапана должны проходить аутентификацию. Когда подрядчики привозят оборудование для технического обслуживания, оно не может взаимодействовать с вашими системами без соответствующих сертификатов.
Проекты цифровой трансформации и унифицированного пространства имен (UNS) создают новые проблемы безопасности. Вы объединяете сотни разнообразных машин — разных возрастов, марок, протоколов — в единую архитектуру данных. Периферийные устройства с MQTT на основе сертификатов становятся вашим уровнем безопасности. Каждая машина публикует данные в ваше UNS через зашифрованные каналы, в то время как устаревшее оборудование остается защищенным за периферийными шлюзами. Ваше оборудование 1990-х годов присоединяется к вашей инициативе «Индустрия 4.0» без ущерба для безопасности.
В зависимости от отрасли вы сталкиваетесь с различными проблемами безопасности. Вот некоторые отрасли, где современные решения в области кибербезопасности приносят наибольшую пользу.
Системы водоснабжения и водоотведения имеют множество удаленных объектов — насосные станции, насосные депо, очистные сооружения, расположенные на расстоянии нескольких километров друг от друга. Контроллеры на периферии сети с поддержкой MQTT и сотовой связью обеспечивают безопасную обработку удаленных установок. Каждый удаленный объект передает свои данные по зашифрованным каналам. Никто не сможет взломать систему через сотовую связь, поскольку устройство не принимает входящие соединения. Вы осуществляете централизованный мониторинг, при этом каждый объект остается защищенным.
В нефтегазовой отрасли необходимо защищать как системы SCADA трубопроводов, так и системы управления нефтеперерабатывающими заводами. Архитектура «нулевого доверия» здесь помогает, поскольку вы перестаёте доверять устройствам только потому, что они находятся в вашей сети OT. Каждый расходомер, каждый RTU, каждый привод регулирующего клапана должны проходить аутентификацию. Когда подрядчики привозят оборудование для технического обслуживания, оно не может взаимодействовать с вашими системами без соответствующих сертификатов.
Проекты цифровой трансформации и унифицированного пространства имен (UNS) создают новые проблемы безопасности. Вы объединяете сотни разнообразных машин — разных возрастов, марок, протоколов — в единую архитектуру данных. Периферийные устройства с MQTT на основе сертификатов становятся вашим уровнем безопасности. Каждая машина публикует данные в ваше UNS через зашифрованные каналы, в то время как устаревшее оборудование остается защищенным за периферийными шлюзами. Ваше оборудование 1990-х годов присоединяется к вашей инициативе «Индустрия 4.0» без ущерба для безопасности.
Инженерные задачи
Ваша главная проблема при внедрении кибербезопасности? Сломать то, что работает. Ваш 20-летний ПЛК работает безупречно. Вы не можете рисковать простоем производства, чтобы добавить функции безопасности, для которых он не был предназначен. Современные периферийные шлюзы решают эту проблему — они размещаются рядом с существующим оборудованием, отслеживая и защищая коммуникации, не затрагивая логику управления.
Устаревшее оборудование создает настоящие проблемы. Более старые устройства не поддерживают сертификаты или шифрование. Они обмениваются данными по последовательным сетям или используют Modbus/TCP и другие протоколы, не имеющие встроенной защиты. Но периферийные устройства со встроенной трансляцией протоколов могут взаимодействовать с вашим старым оборудованием и безопасно передавать данные по вашей сети, используя зашифрованную связь MQTT. Ваше устаревшее оборудование остается нетронутым, получая при этом современную защиту.
Ваша главная проблема при внедрении кибербезопасности? Сломать то, что работает. Ваш 20-летний ПЛК работает безупречно. Вы не можете рисковать простоем производства, чтобы добавить функции безопасности, для которых он не был предназначен. Современные периферийные шлюзы решают эту проблему — они размещаются рядом с существующим оборудованием, отслеживая и защищая коммуникации, не затрагивая логику управления.
Устаревшее оборудование создает настоящие проблемы. Более старые устройства не поддерживают сертификаты или шифрование. Они обмениваются данными по последовательным сетям или используют Modbus/TCP и другие протоколы, не имеющие встроенной защиты. Но периферийные устройства со встроенной трансляцией протоколов могут взаимодействовать с вашим старым оборудованием и безопасно передавать данные по вашей сети, используя зашифрованную связь MQTT. Ваше устаревшее оборудование остается нетронутым, получая при этом современную защиту.
©️ Виктор Томасевич, 2026