PT ICS обрела возможность выявлять SCADA-зловредов и атаки на ПЛК Siemens

PT ICS обрела возможность выявлять SCADA-зловредов и атаки на ПЛК Siemens

PT ICS обрела возможность выявлять SCADA-зловредов и атаки на ПЛК Siemens

Платформа для защиты промышленности от киберугроз PT Industrial Cybersecurity Suite (PT ICS) получила первый пакет экспертизы для выявления атак на АСУ на базе ПЛК Siemens Simatic S7. В пакет, доступный клиентам Positive Technologies в рамках лицензии для защиты индустриального сегмента, также включены правила, позволяющие обнаружить вредоносные программы, заточенные под АСУ ТП, — в том числе неизвестные.

В I квартале промышленные предприятия, по данным ИБ-компании, заняли третье место среди наиболее атакуемых российских учреждений, обогнав СМИ, сферу услуг, ИТ, науку и образование. Тенденция сохраняется уже несколько лет; в связи с этим остро встал вопрос об обеспечении комплексной защиты инфраструктуры промышленных компаний.

Таким решением является платформа PT ICS, объединяющая ключевые продукты Positive Technologies. Инструменты, хорошо известные корпоративным клиентам компании, дополнены возможностями по выявлению угроз, специфичных для АСУ ТП.

Представленный пакет экспертизы PT ICS содержит 24 правила корреляции для MaxPatrol SIEM, которые позволяют обнаружить атаки на АСУ, полагающиеся на ПЛК Siemens семейства Simatic S7. В частности, они помогают выявить действия злоумышленников в среде разработки Totally Integrated Automation Portal (TIA Portal), Simatic Step 7 и SCADA-системах Simatic WinCC.

В итоге MaxPatrol SIEM в составе PT ICS обрел возможность отслеживать события, грозящие нарушением технологического процесса — например, такие:

  • изменение параметров сети в ПЛК,
  • изменения в системном каталоге TIA Portal,
  • удаленное управление рабочей или инженерной станцией (сервером).

Новую экспертизу получил и PT Sandbox: он теперь умеет динамически выявлять использование инструментов Energetic Bear, Industroyer, Industroyer2, Triton и других вредоносных программ, взаимодействующих с контроллерами. Продукт также проводит поведенческий анализ образцов, обнаруженных в файлах и ссылках из почты, трафика, общих сетевых папок и конечных узлов АСУ ТП, и по специфической активности определяет зловредов, нацеленных на компоненты SCADA.

Кроме того, новые правила детектирования PT Sandbox помогают статически выявлять попытки сканирования портов, используемых промышленными ПЛК более 50 зарубежных и отечественных вендоров, в том чсиле CIP, ELCOM, IOSYS, Modbus и PhoenixHW. Подобная активность может свидетельствовать о поиске ПЛК и SCADA-систем, пригодных для атаки.

«Расширив существующие лицензии для поддержки промышленного сегмента, специалисты по ИБ продолжат работать со знакомыми и понятными инструментами, дополненными технологической экспертизой, — комментирует Роман Краснов, руководитель направления кибербезопасности промышленных предприятий в Positive Technologies. — Это позволит компаниям снизить затраты на внедрение новых систем кибербезопасности и интеграцию сторонних решений, а также повысить эффективность работы служб ИБ».

По словам эксперта, функциональность PT ICS будет и впредь совершенствоваться за счет новых возможностей и агентов. Таким образом, индустриальные компании смогут на одной платформе и в едином продуктовом портфеле построить SOC, равнозначно работающий как с корпоративной, так и технологической инфраструктурой.

Согласно пресс-релизу, следующие пакеты экспертизы PT ICS будут сформированы для таких компонентов, как MaxPatrol VM, MaxPatrol SIEM, PT ISIM и PT XDR.

Фоновая служба Windows 11 может тайно съедать гигабайты ОЗУ

Microsoft снова заставила пользователей Windows 11 присматриваться к системным службам. На этот раз поводом стало изменение поведения одного из сервисов в Windows 11 24H2, 25H2 и Windows Server 2025 — теперь он запускается по умолчанию и может постоянно работать в фоне, а не только «по требованию». Это сразу вызвало опасения: не приведёт ли такой подход к лишней нагрузке на систему?

На фоне обсуждений среди участников форума Neowin всплыл старый знакомый — служба Delivery Optimization.

Один из постоянных участников форума с иронией заметил, что «хуже уже не будет, если только это не Delivery Optimization, которая иногда просто съедает всю память и сидит так ради удовольствия».

И почти сразу после этого пользователь на площадке Reddit подтвердил, что шутка не так уж далека от реальности. Он провёл собственное наблюдение за работой Delivery Optimization (DoSvc) и обнаружил, что со временем служба начинает потреблять всё больше оперативной памяти — заметно больше, чем другие системные процессы. По его словам, такая картина наблюдается уже около месяца и очень напоминает утечку памяти.

Delivery Optimization — это служба, которая отвечает за доставку обновлений Windows и приложений из Microsoft Store. Она работает по принципу P2P: компьютер может не только загружать обновления с серверов Microsoft, но и получать их от других устройств в локальной сети или даже в интернете. В теории это должно экономить трафик и ускорять обновления, но на практике сервис иногда ведёт себя слишком прожорливо.

Проблема в том, что при длительной работе Delivery Optimization может постепенно накапливать использование ОЗУ и не спешит его освобождать. Да, функцию можно ограничить или полностью отключить в настройках Центра обновления Windows, но по умолчанию она включена — и далеко не все пользователи знают, что именно она грузит систему.

На этом фоне решение Microsoft отложить внедрение ещё одной автоматической функции обновлений до 2026 года выглядит уже не таким странным. Компания прямо сослалась на отзывы пользователей и администраторов. А рекомендация иметь минимум 16 ГБ оперативной памяти для «игровых ПК» теперь звучит не как маркетинг, а как суровая необходимость.

RSS: Новости на портале Anti-Malware.ru