Операционную систему называют защищенной, если она предусматривает средства защиты от основных классов угроз. Защищенная ОС обязательно должна содержать средства разграничения доступа пользователей к своим ресурсам, а также средства проверки подлинности пользователя, начинающего работу с ОС. Кроме того, защищенная ОС должна содержать средства противодействия случайному или преднамеренному выводу ОС из строя.

Если ОС предусматривает защиту не от всех основных классов угроз, а только от некоторых, такую ОС называют частично защищенной .

Подходы к построению защищенных ОС

Существуют два основных подхода к созданию защищенных ОС - фрагментарный и комплексный. При фрагментарном подходе вначале организуется защита от одной угрозы, затем от другой и т. д. Примером фрагментарного подхода может служить ситуация, когда за основу берется незащищенная ОС (например, Vindows 98), на нее устанавливаются антивирусный пакет, система шифрования, система регистрации действий пользователей и т. д.

При применении фрагментарного подхода подсистема защиты ОС представляет собой набор разрозненных программных продуктов, как правило, от разных производителей. Эти программные средства работают независимо друг от друга, при этом практически невозможно организовать их тесное взаимодействие. Кроме того, отдельные элементы такой подсистемы защиты могут некорректно работать в присутствии друг друга, что приводит к резкому снижению надежности системы.

При комплексном подходе защитные функции вносятся в ОС на этапе проектирования архитектуры ОС и являются ее неотъемлемой частью. Отдельные элементы подсистемы защиты, созданной на основе комплексного подхода, тесно взаимодействуют друг с другом при решении различных задач, связанных с организацией защиты информации, поэтому конфликты между ее отдельными компонентами практически невозможны. Подсистема защиты, созданная на основе комплексного подхода, может быть устроена так, что при фатальных сбоях в функционировании ее ключевых элементов она вызывает крах ОС, что не позволяет злоумышленнику отключать защитные функции системы. При фрагментарном подходе такая организация подсистемы защиты невозможна.

Как правило, подсистему защиты ОС, созданную на основе комплексного подхода, проектируют так, чтобы отдельные ее элементы были заменяемы. Соответствующие программные модули могут быть заменены другими модулями.

Административные меры защиты

Программно-аппаратные средства защиты ОС обязательно должны дополняться административными мерами защиты. Без постоянной квалифицированной поддержки со стороны администратора даже надежная программно-аппаратная защита может давать сбои. Перечислим основные административные меры защиты.

• 1. Постоянный контроль корректности функционирования ОС, особенно ее подсистемы защиты. Такой контроль удобно организовать, если ОС поддерживает автоматическую регистрацию наиболее важных событий (event logging) в специальном журнале.
• 2. Организация и поддержание адекватной политики безопасности. Политика безопасности ОС должна постоянно корректироваться, оперативно реагируя на попытки злоумышленников преодолеть защиту ОС, а также на изменения в конфигурации ОС, установку и удаление прикладных программ.
• 3. Инструктирование пользователей операционной системы о необходимости соблюдения мер безопасности при работе с ОС и контроль за соблюдением этих мер.
• 4. Регулярное создание и обновление резервных копий программ и данных ОС.
• 5. Постоянный контроль изменений в конфигурационных данных и политике безопасности ОС. Информацию об этих изменениях целесообразно хранить на неэлектронных носителях информации, для того чтобы злоумышленнику, преодолевшему защиту ОС, было труднее замаскировать свои несанкционированные действия.

В конкретных ОС могут потребоваться и другие административные меры защиты информации .

Адекватная политика безопасности

Выбор и поддержание адекватной политики безопасности являются одной из наиболее важных задач администратора ОС. Если принятая в ОС политика безопасности неадекватна, то это может привести к НСД злоумышленника к ресурсам системы и к снижению надежности функционирования ОС.

Известно утверждение: чем лучше защищена ОС, тем труднее с ней работать пользователям и администраторам. Это обусловлено следующими факторами:

• система защиты не всегда способна определить, является ли некоторое действие пользователя злонамеренным. Поэтому система защиты либо не пресекает некоторые виды НСД, либо запрещает некоторые вполне легальные действия пользователей. Чем выше защищенность системы, тем шире класс тех легальных действий пользователей, которые рассматриваются подсистемой защиты как несанкционированные;
• любая система, в которой предусмотрены функции защиты информации, требует от администраторов определенных усилий, направленных на поддержание адекватной политики безопасности. Чем больше в ОС защитных функций, тем больше времени и средств нужно тратить на поддержание защиты;
• подсистема защиты ОС, как и любой другой программный пакет, потребляет аппаратные ресурсы компьютера. Чем сложнее устроены защитные функции ОС, тем больше ресурсов компьютера (процессорного времени, оперативной памяти и др.) затрачивается на поддержание функционирования подсистемы защиты и тем меньше ресурсов остается на долю прикладных программ;
• поддержание слишком жесткой политики безопасности может негативно сказаться на надежности функционирования ОС. Чрезмерно жесткая политика безопасности может привести к трудно выявляемым ошибкам и сбоям в процессе функционирования ОС и даже к ее краху .

Оптимальная адекватная политика безопасности - это такая политика безопасности, которая не только не позволяет злоумышленникам выполнять несанкционированные действия, но и не приводит к описанным выше негативным эффектам.

Адекватная политика безопасности определяется не только архитектурой ОС, но и ее конфигурацией, установленными прикладными программами и т. д. Формирование и поддержание адекватной политики безопасности ОС можно разделить на ряд этапов.

• 1. Анализ угроз. Администратор ОС рассматривает возможные угрозы безопасности данного экземпляра ОС. Среди возможных угроз выделяются наиболее опасные, защите от которых нужно уделять максимум средств.
• 2. Формирование требований к политике безопасности. Администратор определяет, какие средства и методы будут применяться для защиты от тех или иных угроз. Например, защиту от НСД к некоторому объекту ОС можно решать либо средствами разграничения доступа, либо криптографическими средствами, либо используя некоторую комбинацию этих средств.
• 3. Формальное определение политики безопасности. Администратор определяет, как конкретно должны выполняться требования, сформулированные на предыдущем этапе. Формулируются необходимые требования к конфигурации ОС, а также требования к конфигурации дополнительных пакетов защиты, если установка таких пакетов необходима. Результатом данного этапа является развернутый перечень настроек конфигурации ОС и дополнительных пакетов защиты с указанием того, в каких ситуациях, какие настройки должны быть установлены.
• 4. Претворение в жизнь политики безопасности. Задачей данного этапа является приведение конфигурации ОС и дополнительных пакетов защиты в соответствие с политикой безопасности, формально определенной на предыдущем этапе.
• 5. Поддержание и коррекция политики безопасности. В задачу администратора на данном этапе входит контроль соблюдения политики безопасности и внесение в нее необходимых изменений по мере появления изменений в функционировании ос.

Специальных стандартов защищенности ОС не существует. Для оценки защищенности ОС используются стандарты, разработанные для компьютерных систем вообще. Как правило, сертификация ОС по некоторому классу защиты сопровождается составлением требований к адекватной политике безопасности, при безусловном выполнении которой защищенность конкретного экземпляра ОС будет соответствовать требованиям соответствующего класса защиты.

Определяя адекватную политику безопасности, администратор ОС должен в первую очередь ориентироваться на защиту ОС от конкретных угроз ее безопасности .

Пока разработчики сражаются за дизайн и функциональное оснащение своих смартфонов и планшетов, пользователи задаются вопросами их безопасности. В первую очередь эта проблема беспокоит тех, кто применяет гаджеты в работе. Но и рядовые потребители не горят желанием стать жертвой злоумышленников.

Угрозы, вы откуда

Перед тем как рассматривать мобильные ОС с позиции защищенности, следует исключить из их числа BlackBerry, хотя именно она возглавляет список систем в рейтингах безопасности. Да, долгое время разработка Research In Motion (прежнее название компании) лидировала в среде бизнеса, да и сегодня находит почитателей, но ожидать реинкарнации экосистемы было бы наивно.

Остается знатная троица: Android, iOS и Windows Phone – какая же из них самая безопасная? Для начала вспомним, откуда берутся эти самые угрозы безопасности. Задача номер один любого злоумышленника - получение доступа к данным (в том числе паролям) или системным файлам. Сделать это можно двумя путями: внедрить вредоносный код через сеть (Bluetooth, NFC, Wi-Fi) или с помощью троянских программ.

Взлом руками юзера

Как правило, второй способ наиболее простой, учитывая огромное количество приложений в специализированных магазинах. Зачастую пользователь не слишком внимателен к требованиям софта, и, устанавливая его, сам того не ведая, дает право на несанкционированные действия. В лучшем случае после такой инсталляции станешь жертвой назойливой рекламы, в худшем - распрощаешься с деньгами на счету или паролями.

В этой ситуации выигрывает iOS, приложения для которой тщательно проверяются Apple перед размещением в магазине. Да и приложения Windows содержат тщательно отфильтрованный контент, что уравнивает ее возможности с iOS. Google же всего-навсего устраивает периодическое сканирование содержимого своего лабаза на предмет вирусов.

Что касается возможностей дистанционного проникновения, здесь iOS проигрывает: конкурс Mobile Pwn2Own ‘2014 показал бреши в защите на уровне браузера Safari (детали не раскрываются, но что хакерам не понадобилось много времени на доступ ко всем данным, известно доподлинно). А вот Windows Phone приятно удивила: программистам удалось добраться лишь к cookie-файлам. Android, скорее всего, тоже бы не подкачал, если б не брешь в модуле NFC – с ее помощью несложно организовать доступ ко всем ресурсам посредством Bluetooth (например, таким образом удалось синхронизировать Samsung Galaxy S5 с другим компьютером).

У кого ядро крепче

Что касается безопасности самой OС, возможности практически одинаковы: у всей троицы системная область защищена от записи, а каждое приложение запускается в собственной изолированной песочнице (sandbox) от имени непривилегированного пользователя. В такой среде потенциальный вредонос не в состоянии модифицировать не только системные данные, но и запущенные приложения. Исследования показали: за все время существования iOS в ней обнаружено более 300 уязвимостей, в Android - всего 36. Но это не критерий, ведь дыры в iOS оперативно закрываются. Windows Phone пока не имеет такой объемной статистики, но знатоки утверждают, что в этом плане она не слабее конкурентов.

С точки зрения бизнеса, самый высокий уровень безопасности надо искать не у операционной системы, а у вендора. Так, специальная разработка SAFE (Samsung For Enterprise) и надстройка KNOX показывают наивысшую защищенность, несмотря на то что базируются на Android. Словом, безусловного лидера не существует, хотя, если не вдаваться в подробности, для корпоративного сегмента предпочтения следует расставить в следующей последовательности: iOS, Windows Phone, Android. А для индивидуального использования – Android, iOS, Windows Phone.

Windows Phone демонстрирует серьезную устойчивость к взлому и прочие параметры безопасности, кроме того, неплохо вписывается в общие политики корпоративного сектора, но требуется некоторое время, чтобы получить результаты всесторонней проверки на уязвимость. Недавние расширения iOS и добро на их применение в устройствах сторонних модулей снижают рейтинг устойчивости к атакам. Android же существенно зависит от человеческого фактора, хотя нововведения ядра в версии 4.4 (SELinux) и улучшили ее взломоустойчивость. Но чего стоит стойкость системы, если вредоносное ПО, установленное пользователем по неосмотрительности, может без труда передать в руки злоумышленника самую ценную информацию?

15.04.2001 Руслан Богатырев

Еще никогда в истории реальный мир так не зависел от мира искусственного, придуманного и построенного самим человеком - Интернет не только навел мосты между странами и континентами, но и приблизил преступника к жертве. Как следствие, наметился интерес к достоверным (trusted) и защищенным (secure) операционным системам.

Безопасность компьютерных систем была и остается головной болью для тех, кому небезразлична судьба важной информации, влияющей на принятие решений, управление финансами, распределение ресурсов и т.п. Годы идут, а число желающих воспользоваться плодами чужого труда или же нанести умышленный ущерб не уменьшается, а непрерывно возрастает. Более того, благодаря возможности быстрого и широкого распространения «передового опыта» по преодолению защитных барьеров, ввиду явной беспечности многих владельцев информации и редкого соблюдения принципа неотвратимости наказания весь мир столкнулся с серьезной и жестокой болезнью. Имя ее неизвестно, но опасность ее очевидна. Она в скрытой форме поразила огромную территорию и теперь грозит перерасти в настоящую эпидемию.

Еще никогда в истории реальный мир так не зависел от мира искусственного, придуманного и построенного самим человеком. Не позаботившись должным образом об организации действенной защиты своих творений, мы во благо развития цивилизации стремимся все глубже связать информационными каналами два этих мироздания, обеспечить максимальное проникновение более несовершенного мира в менее несовершенный. Компьютерная эволюция уже преодолела три важных этапа:

• концентрацию вычислительных и информационных ресурсов (в эпоху мэйнфреймов);
• обеспечение технической доступности компьютерных мощностей для массовой аудитории (в эпоху ПК);
• ломку естественных границ пространства и времени в масштабах мировой экономики и политики (в эпоху Internet).

Единая цифровая форма представления в огромной степени облегчила решение многих практических задач, но при этом поневоле создала почву для нанесения максимального ущерба с минимальными затратами. Более того, в силу унификации информационного обмена и простоты работы с программными инструментами вред может осуществить даже неискушенный человек. Только лишь столкнувшись с проблемой СПИД, мы смогли осознать, что наш организм обладает своей многоуровневой защитой, где иммунитет играет едва ли не ключевую роль. Отсутствие в компьютерном мире подобного всепроникающего защитного барьера не в столь уж отдаленном будущем обещает принести проблемы такого масштаба, по сравнению с которыми беды, вызванные современными эпидемиями, покажутся мелкими и незначительными. Наступает время всерьез задуматься над тем, что без возведения искусственных барьеров, без создания аналогов локальной иммунной защиты для ПО дальше двигаться вперед становится все опаснее.

Когда речь заходит о проблемах информационной безопасности, прибегают обычно к простому и проверенному сценарию: сначала хорошенько запугать аудиторию цифрами и фактами, характеризующими масштабы и природу грозящей опасности, а затем приступить к основной части - к изложению рецептов чудодейственных «препаратов», устраняющих ряд упомянутых симптомов. Отдавая дань традиции, не будем чересчур далеко отходить от проторенного пути. Однако вряд ли имеет смысл лукавить: проблем здесь куда больше, чем решений. Так что в зону нашего внимания попадут в основном болевые точки компьютерных конфигураций - их операционных систем.

По данным годового отчета «2001 Computer Crime and Security Survey» Института компьютерной безопасности в Сан-Франциско и ФБР, финансовые потери от компьютерных преступлений в США за минувший год выросли на 43% с 265,6 млн. долл. до 377,8 млн. При этом 85% респондентов из 538, в основном из промышленных и государственных структур, заявили о фактах нарушения компьютерной безопасности, причем не только из-за атак злоумышленников. Почти 64% были озабочены понесенными убытками, но лишь 35% смогли оценить их в денежном выражении. Около 70% респондентов заявили, что чаще всего атакам подвергались Internet-каналы, а 31% показали, что атакам подвергались внутрикорпоративные системы. Случаи вторжения извне подтверждали 40% респондентов (в 2000 г. - 25%), а 38% фиксировали отказ в обслуживании (27% в 2000 г.). На нарушение привилегий из-за злоупотребления сотрудниками работой в Сети жаловались 91% респондентов, а 94% обнаружили в своих системах вирусы (в 2000 г. это отмечали 85%).

Даже из этих скупых цифр видна явно негативная тенденция - Internet не только возводит мосты между странами и континентами, но и приближает преступника к жертве. Перефразируя известное изречение, можно сказать, что если вы не интересуетесь киберкриминалом, очень скоро киберкриминал заинтересуется вами. Если оставить в стороне извечные вопросы разведки и промышленного шпионажа и сосредоточиться только на «бытовой» стороне дела, то одними из ведущих проблем в области информационной безопасности в минувшем году стали атаки на платежные системы, дискредитация компаний (отказ в обслуживании), производственный саботаж, вскрытие корпоративных секретов, нарушение прав интеллектуальной собственности. По оценкам отдела по науке и технологиям при Президенте США, ежегодный урон, наносимый американскому бизнесу компьютерными злоумышленниками в последние годы, достигал 100 млрд. долл. Потери от несанкционированного доступа к информации, связанной с деятельностью финансовых институтов США, составляли не менее 1 млрд. долл. в год. Таким образом, американский бизнес вплотную подошел к тому рубежу, когда своевременное и адекватное решение вопросов безопасности для него становится экономически целесообразным.

Unix в контексте безопасности

История ОС неотделима от истории и эволюции самих компьютеров. Так уж сложилось, что именно клоны Unix доминируют сегодня на рынке корпоративных систем и стали связующим звеном между миром персональных и высокопроизводительных компьютеров. К сожалению, Unix страдает серьезными недостатками, а феномен Linux , заставил по-иному взглянуть на многие проблемы, в том числе и на проблемы информационной безопасности.

Unix не имеет четкого механизма, обеспечивающего целостность пользовательских программ и файлов, не обеспечивает управление доступом для отдельного пользователя; разграничение прав ведется в рамках групп. В обычном варианте Unix не столь уж трудно стороннему человеку захватить полномочия суперпользователя. Учет и контроль действий пользователя, особенно при работе с критичными для безопасности ресурсами, также не является сильным местом обычного UNIX. Конечно, определенными усилиями по конфигурированию со стороны системного администратора некоторые изъяны можно устранить. Но, в общем, картина не выглядит обнадеживающей .

В работе сотрудников Агентства национальной безопасности США приводится подробный анализ проблем, стоящих перед существующим поколением операционных систем в плане компьютерной безопасности. Основной вывод: нужны новые специально спроектированные защищенные ОС. В частности, авторы говорят о том, что система Kerberos, протоколы SSL и IPSEC в значительной степени уязвимы в силу того, что при невозможности обеспечить наличие достоверного ПО на концах соединения защита становится иллюзорной.

Вот что сказал в своем недавнем интервью Элиас Леви (Aleph1), модератор известного списка рассылки BugTraq, посвященного проблемам компьютерной безопасности: «Я считаю, что модель безопасности в Unix чересчур упрощенная. Подход «все или ничего» оказывается никуда не годным по сравнению с принципом наименьших полномочий (least privilege)... Достоверная вычислительная база (Trusted Computing Base) никогда не предоставит всего того, что требовалось бы пользователю. С другой стороны, я нахожу, что большинство реализаций механизмов принудительного управления доступом (mandatory access control), привилегиями и т.д. слишком усложнены... В конечном итоге трудно предсказать те взаимодействия, которые приведут к появлению слабых мест. Вспомним хотя бы проблему sendmail, которая появилась в результате полномочий, внедренных в ядро Linux».

Леви призывает отказаться от практики «латания дыр» и начать строить новую ОС, изначально удовлетворяющую требованиям безопасности.

Это перекликается с наметившимся сегодня интересом к достоверным (trusted) и защищенным (secure) операционным системам. Требования к безопасности должны быть определяющими в проектировании ОС, а не вводиться как вспомогательные службы.

Критерии и ориентиры в области безопасности

Работы над критериями безопасности систем начались еще в 1967 г. и в 1970 г. появился первый отчет под названием «Security Controls for Computer Systems ». В 1983 г. Министерство обороны США выпустило «Orange Book » - книгу в оранжевой обложке под названием «Критерии оценки достоверных компьютерных систем» (Trusted Computer Systems Evaluation Criteria). Область компьютерных сетей в отношении безопасности определялась в так называемых рекомендациях X.800 - Security Architecture for Open Systems Interconnection for CCITT Applications. В «Оранжевой книге» достоверная система определяется как «система, использующая достаточные аппаратные и программные средства для обеспечения одновременной обработки информации разной степени секретности группой пользователей без нарушения прав доступа».

Выделяются два основных критерия оценивания достоверных систем:

• политика безопасности (набор правил и норм, определяющих дисциплину обработки, защиты и распространения информации, а также выбор конкретных механизмов обеспечения безопасности; это активный компонент защиты);
• гарантированность (степень доверия, которая может быть оказана конкретной реализации ОС; отражает уровень корректности механизмов безопасности; является пассивным компонентом защиты).

В соответствии с «Оранжевой книгой» выделяются три роли: системный администратор, системный оператор и администратор безопасности. Согласно требованиям TCSEC документация производителя должна включать в себя четыре важных элемента: политику безопасности; интерфейсы достоверной вычислительной базы; механизмы TCB; руководство по эффективному использованию механизмов TCB.

Вообще говоря, в область защищенных компонентов входят не только операционные системы. Так, в частности, в дополнение к «Оранжевой книге» TCSEC, регламентирующей вопросы обеспечения безопасности в ОС, существуют аналогичные документы Национального центра компьютерной безопасности США для СУБД (TDI, «Пурпурная книга ») и сетей (TNI, «Красная книга »). Так что «Оранжевая книга» - не единственный, хотя и важный документ. В США давно уже появилась целая серия документов в разноцветных обложках, получившая название «Радуга» (Rainbow Series ; www.radium.ncsc.mil/tpep/library/ rainbow). При этом, как видно из врезки, иногда под обложкой одного и того же цвета выступал разный материал.

За пределами США также появились аналоги «Оранжевой книги»: это руководящие документы Гостехкомиссии (1992 г.), а также «Критерий оценки безопасности информационных технологий» (ITSEC - Information Technology Security Evaluation Criteria, 1991), действующий в Великобритании, Германии, Франции и Нидерландах.

Конечно же, в силу необходимости унификации подходов к информационной безопасности в конце концов возникла потребность снять двойственность регулирования, которая отдельно велась в США (TCSEC) и Европе (ITSEC). На рис. 1 показано «генеалогическое древо» принятия нового международного стандарта, получившего название «Единые критерии для оценки безопасности в области информационных технологий» . Чаще всего его называют просто «Common Criteria» («Единые критерии»), определяющие международный стандарт ISO/IEC 15408, в разработке которого приняли участие Агентство национальной безопасности и Национальный институт стандартов и технологий (США), Группа по безопасности в области электроники и передачи данных (Великобритания), Федеральное агентство в области информационных технологий (Германия), Центральная служба безопасности информационных систем (Франция), Агентство национальной безопасности Нидерландов в области передачи данных, Служба безопасности в области передачи данных (Канада).

Описание Common Criteria V2.1 содержится в трех книгах:

1. Введение и общая модель (CCIMB-99-031).
2. Функциональные требования к безопасности (CCIMB-99-032).
3. Требования к гарантиям безопасности (CCIMB-99-033).

В «Единых критериях » выделяются 11 функциональных классов:

• аудит;
• криптографическая поддержка;
• передача данных;
• защита данных пользователя;
• идентификация и аутентификация;
• управление безопасностью;
• конфиденциальность;
• защита функций безопасности целевой системы;
• утилизация ресурсов;
• доступ к целевой системе;
• достоверные пути/каналы.

Внутри каждого их этих классов содержится несколько семейств, а в каждом семействе - от одного до нескольких компонентов.

Критерии, сформулированные в TCSEC, ITSEC и CCITSE, определяют разбиение компьютерных систем на 4 уровня безопасности (A, B, C, D) в зависимости от степени достоверности. Уровень A самый высокий. Далее идет уровень B (в порядке понижения безопасности здесь идут классы B3, B2, B1). Затем наиболее распространенный уровень C (классы C2 и C1). Самый нижний уровень - D (системы, которые не смогли получить аттестацию по заявленным выше классам).

Следуя компромиссу между требованиями безопасности, эффективностью системы и ее ценой, подавляющее большинство компаний стремится сегодня получить сертификат по классу C2.

Литература

1. П. Христов. Безопасность данных в ОС UNIX // «Открытые системы», 1993, № 3
2. В. Галатенко. Информационная безопасность // «Открытые системы», 1995, № 4, 1996, № 1
3. Р. Богатырев. Linux: истоки новой философии программирования // Мир ПК, 2001, No.1.
4. 2001 Computer Crime and Security Survey // Computer Security Institute, San Francisco, March 12, 2001; www.gocsi.com/prelea_000321.htm
5. Common Criteria for Information Technology Security Evaluation (CCITSE) V2.1 // 1998; www.radium.ncsc.mil/tpep/library/ccitse/ccitse.html
6 P. Loscocco et al. The Inevitability of Failure: The Flawed Assumptiom of Security in Modern Computing Environments // National Security Agency, 1998.

Руслан Богатырев

Тематика набора книг по компьютерной безопасности TCSEC в серии «Радуга»

• TCSEC (1983, 1985, «Оранжевая книга», 5200.28-STD).
• TNI, интерпретация достоверных компьютерных сетей (1987, 1990, «Красная книга», NCSC-TG-005, NCSC-TG-011).
• TDI, интерпретация достоверных СУБД (1991, «Пурпурная книга», NCSC-TG-021).
• Системы формальной верификации (1989, «Пурпурная книга», NCSC-TG-014).
• Производство достоверных систем (1992-1994, «Пурпурные книги», NCSC-TG-024).
• Защита доступа (1992, «Фиолетовая книга», NCSC-TG-028).
• Доверительное распределение (1988, «Темнолиловая книга», NCSC-TG-008).
• Создание документации (1988, «Рубиновая книга», NCSC-TG-007).
• RAMP (1995, «Розовая книга», NCSC-TG-013).
• Анализ тайных каналов (1993, «Светлорозовая книга», NCSC-TG-030).
• Тестирование безопасности (1991, «Яркооранжевая книга», NCSC-TG-023).
• Дискреционное управление доступом (1987, «Неоновая книга», NCSC-TG-003).
• Правила создания руководств пользователя (1991, «Персиковая книга», NCSC-TG-026).
• Управление конфигурациями (1988, «Янтарная книга», NCSC-TG-006).
• Требования к компьютерной безопасности (1985, «Яркожелтая книга», CSC-STD-003-85).
• Технические уточнения для требований к компьютерной безопасности (1985, «Желтая книга», CSC-STD-004-85).
• Достоверное восстановление после сбоев (1991, «Желтая книга», NCSC-TG-022).
• Написание руководств для управления достоверными средствами (1992, «Желто-зеленая книга», NCSC-TG-016).
• Комплектование данных в автоматизированных информационных системах (1991, «Бледнозеленая книга», NCSC-TG-025).
• Управление паролями (1985, «Зеленая книга», CSC-STD-002-85).
• Терминологический словарь в области компьютерной безопасности (1988, «Темнозеленая книга», NCSC-TG-004).
• Моделирование безопасности (1992, «Зеленовато-голубая книга», NCSC-TG-010).
• Компетенция администратора безопасности (1992, «Бирюзовая книга», NCSC-TG-027).
• Идентификация и аутентификация (1991, «Светлоголубая книга», NCSC-TG-017).
• Многократное использование объектов (1992, «Светлоголубая книга», NCSC-TG-018).
• Анкетирование при оценивании достоверных систем (1992, «Голубая книга», NCSC-TG-019).
• Концепции сертификации и аккредитации (1994, «Голубая книга», NCSC-TG-029).
• Оценивание достоверных продуктов (1990, «Яркоголубая книга», NCSC-TG-002).
• Интерпретация подсистем компьютерной безопасности (1988, «Небесноголубая книга», NCSC-TG-009).
• Управление достоверными средствами (1989, «Коричневая книга», NCSC-TG-015).
• Аудит в достоверных системах (1988, «Светлокоричневая книга», NCSC-TG-001).
• TRUSIX (1989, «Серебряная книга», NCSC-TG-020).

Классы безопасности компьютерных систем (TCSEC, Common Criteria)

Класс D. Минимальный уровень безопасности. В этот класс попадают системы, которые были заявлены на сертификацию, но ее не прошли. Пока в данном классе не зарегистрировано ни одной ОС.

Класс С1. Избирательная защита доступа. Предусматривает наличие достоверной вычислительной базы (TCB), выполнение требований к избирательной безопасности. Обеспечивается отделение пользователей от данных (меры по предотвращению считывания или разрушения данных, возможность защиты приватных данных). В настоящее время по этому классу сертификация не предусмотрена.

Класс C2. Управляемая защита доступа. Системы данного класса способны осуществлять более четко выделенный контроль в плане избирательной защиты доступа. Действия пользователя связываются с процедурами идентификации/аутентификации. Наделение и лишение пользователей привилегий доступа. Кроме этого, ведется аудит событий, критичных с точки зрения безопасности, выполняется изоляция ресурсов. По данному классу сертифицированы: AIX 4.3.1, OS/400 V4R4M0 with Feature Code 1920, AOS/VS II, Release 3.10, OpenVMS VAX and Alpha Version 6.1, CA-ACF2 MVS Release 6.1, NT Workstation и NT Server, Ver. 4.0, Guardian-90 w/Safeguard S00.01.

Класс B1. Маркированное обеспечение безопасности. В дополнение к требованиям класса C2 необходимо неформальное описание модели политики безопасности, маркировки данных, а также принудительного управления доступом к поименованным субъектам и объектам. По этому классу сертифицированы: CA-ACF2 MVS Release 6.1 в комплекте с CA-ACF2 MAC, UTS/MLS, Version 2.1.5+ (Amdahl), SEVMS VAX and Alpha Version 6.1, ULTRIX MLS+ Version 2.1 на платформе VAX Station 3100, CX/SX 6.2.1 (Harris Computer Systems), HP-UX BLS release 9.0.9+, Trusted IRIX/B release 4.0.5EPL, OS 1100/2200 Release SB4R7 (Unisys).

Класс B2. Структурированная защита. В этом классе систем TCB должна опираться на четко определенную и документированную формальную модель политики безопасности. Действие избирательного и принудительного управления доступом распространяется на все субъекты и объекты в системе. Выявляются тайные каналы (covert channel). TCB должна четко декомпозироваться на элементы, критичные и некритичные с точки зрения безопасности. Усиливаются механизмы аутентификации. Обеспечивается управление механизмами достоверности в виде поддержки функций системного администратора и оператора. Подразумевается наличие механизмов строгого управления конфигурацией. Система относительно устойчива к вторжению. По данному классу сертифицирована Trusted Xenix 4.0 (Trusted Information Systems).

Класс B3. Домены безопасности. TCB должна удовлетворять требованиям эталонного механизма мониторинга, который контролирует абсолютно весь доступ субъектов к объектам и при этом быть достаточно компактным, чтобы его можно было проанализировать и оттестировать. Требуется наличие администратора по безопасности. Механизмы аудита расширяются до возможностей оповещения о событиях, критичных по отношению к безопасности. Требуются процедуры восстановления системы. Система крайне устойчива к вторжению. По данному классу сертифицирована XTS-300 STOP 5.2.E (Wang Government Services).

Класс A1. Верифицированное проектирование. Данный класс систем функционально эквивалентен классу B3 в том смысле, что не требуется добавления дополнительных архитектурных особенностей или предъявления иных требований к политике безопасности. Существенное отличие состоит в том, что для гарантии корректной реализации TCB требуется наличие формальной спецификации проектирования и соответствующих методов верификации. В данном классе не зарегистрировано ни одной ОС.

ВВЕДЕНИЕ

Операционная система Linux унаследовала систему безопасности Unix, разработанную еще в 70-х годах, передовую на момент создания, но на сегодняшний день уже явно недостаточную. Каждый пользователь имеет полную свободу действий в пределах своих полномочий по принципу «все или ничего». Это приводит к тому, что для выполнения некоторых задач пользователю часто предоставляется гораздо больше прав, чем это реально необходимо. Поэтому пользователь, получивший доступ с правами системной учетной записи, может добиться практически полного контроля над системой.

В процессе работы любого приложения могут возникать различные отклонения, приводящие в итоге к его аномальному выполнению. Это могут быть как системные сбои, ошибки в программировании, так и искусственно вызванные ситуации. Хакер, обнаружив, что при определенных условиях можно повлиять на выполнение программы, естественно, попытается этим воспользоваться. Предсказать поведение программы во внештатном режиме практически нереально. Примером тому являются антивирусы, которые все время работают в «догоняющем» ритме, не обеспечивая защиту от так называемых атак нулевого дня. Однако нормальное поведение программы можно описать с помощью относительно простых правил. В результате появилось несколько проектов, реализующих концепцию упреждающей защиты.

Целью данной курсовой работы является изучение программных продуктов, направленных на укрепление безопасности операционной системы, сравнительный анализ их основных характеристик, а также подведение итогов проделанной работы и обоснование их практического применения.

ПОНЯТИЕ ЗАЩИЩЕННОЙ ОПЕРАЦИОННОЙ СИСТЕМЫ. SELINUX

Понятие защищенной операционной системы

Операционная система -- комплекс программ, обеспечивающий управление аппаратными средствами компьютера, организующий работу с файлами и выполнение прикладных программ, осуществляющий ввод и вывод данных.

Вычислить «самую безопасную ОС» не так просто, как это кажется на первый взгляд. Главный критерий, на который ориентируются пользователи, не разбирающиеся в стандартах безопасности, -- это количество выявленных уязвимостей. Однако минимум обнаруженных в системе лазеек еще не повод считать ее надежно защищенной. Говоря о безопасности, нужно учитывать целый ряд факторов, в том числе:

– осуществляется ли проверка качества исходного кода ОС;

– какие заданы стандартные настройки безопасности;

– насколько быстро и качественно выпускаются исправления;

– как устроена система распределения полномочий и многое другое.

При выборе безопасной ОС определенно должна рассматриваться операционная система Linux.

Во-первых, ОС Windows никогда не разрабатывалась непосредственно для обеспечения безопасности системы, она всегда была закрыта от внешних глаз -- весь код Windows зашифрован. В теории Windows можно подготовить для безопасного использования, но этим еще никто не занимался, так как это заняло бы огромное количество времени. Linux же, в силу своей открытости, позволяет работать с исходным кодом ОС. Уже выпущены специальные версии ОС Linux, которые являются абсолютно безопасными.

Во-вторых, технология Live CD -- Linux «умеет» очень быстро запускаться и развертываться без установки на жесткий диск. Такую безопасную ОС можно записать на оптический диск или usb-накопитель и всегда иметь при себе. «По мгновению ока» возможно получить операционную систему с готовым рабочим столом и сопутствующими приложениями для работы в интернете, в независимости от установленной основной операционной системе в компьютере, которым предстоит пользоваться.

Ядро является центральным компонентом операционной системы. Оно отвечает за управление ресурсами системы, связь между аппаратным и программным обеспечением и безопасность. Ядро играет важнейшую роль в поддержке безопасности на более высоких уровнях.

Как уже было обозначено ранее, существует ряд важных патчей ядра Linux, направленных на обеспечение защиты системы. Их существенные отличия заключаются, главным образом, в том, как они администрируемы и как интегрируются в уже имеющуюся систему. Также патчи обеспечивают контроль доступа между процессами и объектами, процессами и другими процессами, объектами и другими объектами.

Как и предполагалось ранее, в «Лаборатории Касперского» идёт работа над созданием защищённой операционной системы для промышленных систем управления. Анонс этого проекта сделал лично Евгений Касперский, генеральный директор компании, на конференции ITU Telecom World 2012 в Дубае.

В своей речи Евгений рассказал об опасностях кибероружия и о подходе компании к обеспечению защиты критически важных промышленных систем. «В долгосрочной перспективе кибероружие, несомненно, причинит вред всем: и нападающим, и жертвам, и просто сторонним наблюдателям. В отличие от традиционного вооружения, элементы кибероружия могут быть легко перепрограммированы противником. Выживание в таких условиях может гарантировать только новая, более совершенная парадигма безопасности для критически важных информационных систем», - подчеркнул Евгений Касперский.

Основные тезисы доклада Евгения Касперского.

• Традиционное вредоносное ПО уже оказывает побочное воздействие на критически важную инфраструктуру.
• Причиной таких инцидентов, как отключение энергоснабжения в США и Канаде в 2003 году, становятся сбои в работе ПО и отсутствие возможности отслеживать реальное состояние энергосистем.
• Продолжающаяся гонка кибервооружений делает проблему защиты критической инфраструктуры еще более серьезной:
  • Червь Stuxnet и троянец Duqu были обнаружены в 2010 и 2011 годах соответственно;
  • В течение 2012 года уже обнаружены вредоносные программы Gauss и Flame, а также miniFlame.
• Кибероружие универсально, оно не знает границ. Его воздействие на критически важные промышленные системы может быть разрушительным.
• Надлежащая защита уязвимых промышленных систем - приоритет номер один.

В ходе своего выступления Евгений Касперский описал основные меры, обеспечивающие защиту промышленных систем управления. Новая, надёжная система для получения достоверной информации о работе промышленного объекта должна стать первым шагом на пути к эффективной защите от кибероружия. Именно поэтому «Лаборатория Касперского» в настоящее время работает над созданием безопасной операционной системы, способной стать доверенным узлом в промышленной системе управления.

Червь Stuxnet - первый образец кибероружия, о применении которого стало известно широкой общественности. Авторы Stuxnet открыли ларец Пандоры, показав всему миру, насколько эффективными могут быть атаки на ключевые объекты инфраструктуры. Теперь даже школьнику несложно представить возможные последствия успешной деструктивной атаки на объекты энергетики, промышленности или финансовой сферы.

После обнаружения Stuxnet было найдено несколько его собратьев: Duqu, Flame и Gauss. Эти программы имеют некоторые общие черты, но их цели, функционал и время создания различаются. Если раньше государства, отстаивая свои внешнеполитические интересы, пользовались дипломатическими, экономическими и военными средствами, то теперь для выполнения определенных задач, вместо самолетов, ракет, танков или кораблей, они могут использовать специальные вредоносные программы. Ведущие мировые державы уже и необходимость защиты от враждебных действий противника в киберпространстве, и планы по наращиванию своих кибермощностей. Это порождает цепную реакцию и вынуждает остальные страны также собирать команды высокопрофессиональных программистов и хакеров для разработки специализированных киберсредств - как для защиты, так и для нападения. Гонка кибервооружений набирает обороты.

Сегодня можно говорить о том, что для сохранения суверенитета государство должно не только отстаивать социально-экономические и политические интересы, но и тщательно охранять свое информационное пространство. И теперь едва ли не на первый план выступает задача контролировать критически важные для государства информационные системы.

Анатомия атаки

Наиболее опасными мишенями кибератак являются, в первую очередь, ключевые системы информационной инфраструктуры (КСИИ), управляющие критически важными объектами: электричество, транспорт, добыча ресурсов, производственные процессы на фабриках и заводах.

Помимо промышленных объектов, существует множество организаций, для которых несанкционированный доступ к информации может стать серьёзной проблемой: банки, медицинские и военные учреждения, исследовательские институты и бизнес. Такие организации также могут стать мишенями кибератак, однако речь идёт в первую очередь о защите промышленных объектов.

Для управления объектами в КСИИ используется то или иное программное обеспечение, к сожалению не лишенное ошибок и уязвимостей. Согласно исследованию университета Карнеги-Меллона , количество ошибок в военном и промышленном программном обеспечении составляет в среднем от пяти до десяти на 1000 строк кода. Имеется в виду ПО, используемое на практике, уже прошедшее стадии тестирования и внедрения. Учитывая, что ядро операционной системы Windows содержит более 5 миллионов строк кода, а ядро Linux - 3,5 миллиона, нетрудно подсчитать количество теоретически возможных уязвимостей, которые могут применяться для осуществления кибератак.

Для проведения эффективной кибератаки нападающий, безусловно, должен хорошо понимать внутреннее устройство атакуемого объекта. Именно поэтому атаки, как правило, состоят из нескольких этапов.

На первом, разведывательном, этапе, собирается информация о внутреннем устройстве сети, используемых там оборудовании и ПО - злоумышленников интересуют их особенности и характеристики. На этом этапе часто атакуются не целевые объекты, а компании-подрядчики, осуществлявшие автоматизацию (системные интеграторы), поскольку они, как правило, менее ответственно относятся к информационной безопасности, но при этом обладают ценными данными. Кроме того, такие компании имеют возможность авторизованного доступа к целевой технологической сети, чем злоумышленники могут воспользоваться на последующих этапах атаки. На стадии сбора информации могут быть атакованы также обслуживающие компании, партнеры, поставщики оборудования.

На втором этапе собранная информация тщательно анализируется, и выбирается наиболее эффективный вектор атаки. В зависимости от этого определяется, какие именно уязвимости в программном коде нужно использовать для проникновения в систему и каким функционалом должен обладать вредоносный код, чтобы достичь нужной цели. После чего создается вредоносная программа с нужным «боекомплектом ».

После этого, если возможно, закупается программное обеспечение и оборудование, аналогичные атакуемым, и на них проводятся тестовые испытания зловреда.

И наконец, решается вопрос доставки вредоносного ПО на объект. Спектр возможностей здесь простирается от сравнительно простых методов социальной инженерии до высокотехнологичных способов проникновения через защищенные каналы связи. Как показал случай с криптоатакой на MD5 , при наличии желания, упорства и вычислительных ресурсов, можно достичь многого.

Специфика АСУТП

В сфере безопасности ключевых систем информационной инфраструктуры имеется две наиболее серьезных проблемы. Это недостатки моделей безопасности, разработанных для промышленных систем, и недостатки сред, в которых исполняются эти модели.

До последнего времени при создании моделей информационной безопасности критически важных промышленных объектов бытовало мнение, что одной лишь физической изоляции объекта достаточно для его защиты. Как правило, модель безопасности таких объектов основана на принципах «security by obscurity» (безопасность через сокрытие) и «air gap» (физическая изоляция). Однако инцидент со Stuxnet показал, что эти принципы больше не работают, а подобный подход к безопасности безнадёжно устарел.

На промышленных объектах ключевыми системами информационной инфраструктуры являются автоматизированные системы управления технологическими процессами (АСУТП), а также средства противоаварийной защиты (ПАЗ). От корректной и стабильной работы этих систем зависит безопасность всего объекта.

Для АСУТП характерна ярко выраженная программная и аппаратная неоднородность. В типовую технологическую сеть предприятия, как правило, входят серверы SCADA под управлениям Windows либо Linux, серверы СУБД (SQL Server либо Oracle), множество программируемых логических контроллеров (PLC) различных производителей, панели оператора (HMI), интеллектуальные датчики и канал связи с системами бизнес-уровня ERP. При этом, согласно результатам последних исследований DHS , в среднем технологическая сеть имеет 11 (!) точек прямого подключения к корпоративной сети.

Характеристики АСУТП обусловлены многими факторами, такими как опыт специалистов системного интегратора, осуществлявшего внедрение, их представление об экономической целесообразности методов защиты, актуальные тенденции в области автоматизации и многое другое.

В подавляющем большинстве случаев защищённость АСУТП не является основным приоритетом в работе системного интегратора. Разумеется, такие программно-аппаратные комплексы проходят сертификацию, но, как правило, она сводится к бюрократическим процедурам.

Проблема уязвимостей

Оценивая уязвимость АСУТП, необходимо учитывать длительный срок их эксплуатации - десятки лет! При этом до середины 2000-х готов даже термина «уязвимость в программном обеспечении» ещё не существовало, и такие проблемы безопасности при разработке систем просто не принимались во внимание. Большинство автоматизированных систем управления технологическими процессами, которые в настоящее время работают в промышленности, созданы без учета возможности кибератак. Например, большинство протоколов обмена данными, используемых SCADA и PLC, вообще не подразумевают никакой аутентификации и авторизации. Это приводит к тому, что любое появившееся в технологической сети устройство способно и получать, и выдавать управляющие команды на любое другое устройство.

Ещё одна серьезная проблема заключается в том, что при столь длительном жизненном цикле АСУТП обновление и установка нового ПО в системе либо запрещены нормативной документацией, либо связаны со значительными административными и технологическими трудностями. В течение многих лет обновлением ПО АСУТП практически не занимались. При этом в открытом доступе есть довольно много информации по уязвимостям контроллеров и SCADA-систем, уязвимостям ОС, СУБД и даже интеллектуальных датчиков.

Не способствуют улучшению ситуации с кибербезопасностью и компании, производящие SCADA и PLC. Архив новостей ICS-CERT достаточно наглядно иллюстрирует тот факт, что вендоры не уделяют должного внимания безопасности своих решений - как программных, так и аппаратных. Зашитые в PLC служебные логины и пароли, SSH и SSL-ключи, возможность атаки на систему путем переполнения буфера, возможность подмены компонентов системы на вредоносные и осуществления DoS и XSS атак - вот наиболее часто обнаруживаемые в них уязвимости.

Кроме того, большинство вендоров закладывают в свои программно-аппаратные комплексы средства для удалённого администрирования, однако их конфигурирование перекладывают на плечи интеграторов. Сами же интеграторы зачастую оставляют эти настройки без внимания, в результате чего АСУТП нередко доступны из интернета с заданными по умолчанию логином и паролем. Между тем, в глобальной сети существуют специализированные поисковые системы, способные обнаружить устройства, доступ к которым возможен с использованием логина и пароля по умолчанию или вовсе без них. Раздобыв эту информацию, любой желающий получает возможность осуществлять удаленное управление системой.

Исходя из вышесказанного, можно утверждать, что компоненты современных АСУТП могут оказаться взломаны, заражены, работать неправильно и привести к выходу из строя оборудования, могут неверно информировать оператора и спровоцировать его на принятие неверных решений, что, в свою очередь, может привести к аварийной ситуации.

Конечно, на каждом объекте существуют средства противоаварийной защиты (ПАЗ). Однако такие средства предназначены для предотвращения аварий, вызванных случайными факторами, и против скоординированной целевой атаки могут оказаться бесполезными.

К тому же стремление к экономической эффективности приводит к тому, что производство средств противоаварийной защиты распределяется между множеством компаний-подрядчиков. И каждая из них имеет возможность встроить скрытую функциональность на нескольких уровнях - от управляющего программного обеспечения до чипа процессора.

Исторически сложилось так, что производящие промышленное оборудование и ПО компании сосредотачивались на стабильности и отказоустойчивости своих решений. До недавнего времени такой подход был, безусловно, оправдан, однако сейчас пришла пора серьезно обратить внимание на обеспечение именно информационной безопасности, привлекая для сотрудничества и экспертизы своих продуктов специализированные компании.

Таким образом, мир оказался в ситуации, когда, с одной стороны, некоторые страны уже имеют кибероружие, а с другой - ключевые информационные системы государств открыты для нападения. В зависимости от уровня развития информационных технологий в стране и степени автоматизации конкретного промышленного объекта атаковать его может быть проще или сложнее, но кибератака возможна.

Точка доверия

В настоящее время назрела необходимость в создании решений, способных обеспечить надёжную защиту критически важных промышленных объектов и прочих объектов и организаций, чувствительных к проникновению и утечке информации. Однако как бы хорошо ни работали такие решения, использование в АСУТП уязвимых ОС и ПО не позволит производителям средств защиты гарантировать безопасность системы. А в случае с критическими объектами такие гарантии необходимы.

Рассчитывать на то, что все разработчики АСУТП срочно займутся тотальной проверкой и обновлением всего используемого ими ПО, а руководители предприятий оперативно обновят уже установленные у них решения, не приходится. А если учесть, что жизненный цикл таких систем исчисляется десятилетиями, то станет очевидно, что по эволюционному сценарию внедрение защищённых АСУТП потребует значительного количества времени.

Однако глобальное решение проблемы уязвимости - не единственно возможное решение, способное обеспечить безопасность работы промышленных объектов.

В чем опасность наличия уязвимого ПО? Уязвимости - это бреши, которые могут быть использованы для проникновения вредоносных программ. Любой компонент АСУТП может быть заражён. А заражённый компонент может осуществлять в технологической сети вредоносные действия, ведущие к катастрофе, и при этом дезинформировать оператора.

В сложившейся ситуации оператор критически важной системы вынужден управлять техпроцессами, не имея никаких гарантий того, что информация, на основе которой он принимает решения, верна. По сути это одна из ключевых проблем безопасности системы - ведь цена ошибки на такого рода объектах очень высока.

Для безопасной работы промышленного объекта оператору критически важно получать достоверную информацию и управлять производством, исходя из этой информации. Это позволит избежать ошибок управления и поможет при необходимости вовремя остановить производство, не допустив аварии.

В настоящее время не существует ОС и ПО, которые могли бы быть применены в промышленных средах и результатам работы которых мы могли бы полностью доверять. И это не оставило нам иного пути, кроме как приступить к самостоятельной разработке таких средств.

Базовым средством обеспечения безопасности является операционная система. Мы считаем, что для контроля информации, которая циркулирует в промышленной сети, в первую очередь необходимо использовать именно эту систему. Это даст гарантию, что информация корректна, достоверна и не содержит вредоносной составляющей.

Безопасная OС

Каким требованиям должна соответствовать максимально безопасная среда для контроля информационной инфраструктуры?

• ОС не может быть основана на каком-то уже существующем программном коде, поэтому должна быть написана с нуля.
• В целях гарантии безопасности она не должна содержать ошибок и уязвимостей в ядре, контролирующем остальные модули системы. Как следствие, ядро должно быть верифицировано средствами, не допускающими существования уязвимостей и кода двойного назначения.
• По той же причине ядро должно содержать критический минимум кода, а значит, максимальное возможное количество кода, включая драйверы, должно контролироваться ядром и исполняться с низким уровнем привилегий.
• Наконец, в такой среде должна присутствовать мощная и надежная система защиты, поддерживающая различные модели безопасности.

В соответствии с этим, «Лаборатория Касперского» создаёт собственную операционную систему, основной особенностью которой является принципиальная невозможность выполнения в ней незаявленной функциональности.

Только на основе такой ОС можно построить решение, позволяющее оператору не только видеть то, что реально происходит с производством, но и управлять им. Вне зависимости от производителей конкретных ОС, СУБД, SCADA и PLC, вне зависимости от степени их защищённости или наличия в них уязвимостей. Более того - вне зависимости от степени их заражённости.

Фактически речь идет об интеллектуальной системе противоаварийной защиты нового поколения. Системе защиты, учитывающей весь комплекс показателей предприятия сразу. Системе защиты, не позволяющей привести к аварии ни в результате неправильных действий оператора, ни в результате ошибок в ПО АСУТП, ни в результате кибератак. Помимо прочего, такая система сможет дополнить традиционные средства ПАЗ, что позволит отслеживать более сложные и комплексные сценарии происходящего.

Такое решение должно встраиваться в уже существующие АСУТП с целью их защиты и обеспечения достоверного мониторинга или учитываться при проектировании новых АСУТП - и в том, и в другом случае обеспечивая применение современных принципов безопасности.