Проєктування захищеної мережевої інфраструктури для віддаленого управління промисловим об'єктом

Abstract

У першому розділі здійснено комплексний аналіз особливостей ієрархічної побудови промислових мереж АСУ ТП на основі еталонної моделі Purdue та досліджено специфіку технологій SCADA/PLC. Розглянуто класифікацію кіберзагроз і вразливостей при організації віддаленого доступу до критичної інфраструктури (перехоплення трафіку, MITM, DDoS-атаки та цільове шкідливе ПЗ). Виконано системний порівняльний аналіз технологій віддаленого підключення (VPN, SSH, RDP) за критеріями безпеки та продуктивності, обґрунтовано вибір протоколу IPsec для захисту транзитного промислового трафіку. У другому розділі розроблено логічну та фізичну топологію системи захищеного віддаленого управління промисловим об'єктом, яка поєднує керуючий сегмент офісу, WAN-мережу провайдера та виконавчий сегмент цеху. Обґрунтовано вибір апаратного забезпечення (маршрутизатори Cisco ISR 1941/2911 з апаратним прискоренням шифрування, керовані комутатори Cisco Catalyst 2960 та промисловий IoT-шлюз). Визначено політику безпеки та криптографічні стандарти захисту інформації: асиметричну схему Діффі-Хеллмана для першої фази ISAKMP, симетричне кодування за військовим стандартом AES-256, контроль цілісності HMAC-SHA та автентифікацію через Pre-shared Keys. Спроєктовано безконфліктний план IP-адресації та сегментацію мережі на віртуальні домени VLAN із налаштуванням правил міжсегментного контролю доступу (ACL). У третьому розділі реалізовано розроблену мережеву архітектуру в середовищі імітаційного моделювання Cisco Packet Tracer. Описано процес конфігурування мережевих інтерфейсів прикордонних пристроїв через інтерфейс командного рядка (CLI) операційної системи Cisco IOS та налаштування статичної маршрутизації. Здійснено запуск фізичного рівня та проведено верифікацію логічної зв'язності мережі між робочою станцією оператора та IoT-шлюзом цехуза допомогою службового протоколу ICMP з аналізом таблиць маршрутизації. У четвертому розділі розгорнуто та практично досліджено захищене тунельне з'єднання Site-to-Site IPsec VPN (параметри шифрування ESP-AES-256 та HMAC-SHA-1) з термінацією на прикордонних маршрутизаторах за допомогою механізму Crypto Map та перевіркою статусу тунелю (show crypto ipsec sa). Проведено експериментальну оцінку ефективності створеної системи: визначено обчислювані накладні витрати на шифрування трафіку (збільшення мережевої затримки RTT з 12 до 18–20 мс) та на заголовок пакета (~15%).