Открылся музей криптографии в Москве

Совершенно уникальный музей открылся в Москве. У меня получилось его посетить 21 декабря 2021 года. Адрес сайта https://cryptography-museum.ru/ Адрес фактический Ботаническая ул. 25, с. 4. На такси лучше ввести адрес Академика Комарова 1Г

Чувствуется, что все сделано с любовью. Дизайнеры очень постарались. Фантазия неимоверная: много реально работающих стендов. Есть даже стенды, где работает распознавание речи. И авторы смогли продемонстрировать посетителям и азы криптографии и историю этой науки и даже найти множество реальных устройств, которые использовались и в России и в мире.

Музей занимает целое трехэтажное здание и демонстрации есть даже в подвале. Я провел полных полтора часа и реально даже устал, уверен что не все удалось даже посмотреть. Так что рекомендую заказать экскурсовода, чтобы не просто читать все подряд, а сфокусироваться на основных историях из мира криптографии. 

Множество стендов объясняющих азы криптографии подойдет школьникам. Я помню как в 6 классе мы увлекались шифром простой замены и писали друг другу записки на основе готовых таблиц замены и, думаю, что школьникам зайдет информация об их разновидностях.

Оформление просто чудесное. 

Есть возможность интерактива, где можно слушать запись, смотреть видео, нажимать самому на различные кнопки и отвечать на вопросы. 

Комната, где показаны основные алгоритмы шифрования. В ней по-моему просто сделать фотографию уже приобщиться к миру криптографии. Ну, собственно, это я и сделал.

Есть и юмор, вот, например, книжки где можно вспомнить свой пароль )

Непонятное для меня рабочее место. Без экскурсовода не разобрался. 

На входе задаемся простыми вопросами и затем ищем ответ!

Множество оборудования было рассекречено и показано на публике впервые.

И также есть комнаты, где показана информаци об основных столпах науки об информации: Шеннон, Котельников и другие.

Приведены реальные примеры шифрблокнотов, секретных кодов из реальной практики.

Пример реальной комнанты для связи с США.

Приведены основные постулаты криптографии

И конечно самые частые персоны этой науки Алиса и Боб получили свою стену и там важно остановиться и обдумать информацию.

Настоящая шифровальная машина Энигма 

Описание различных подходов к шифрованию

Демонстрация как работает шифровальная машина механическая - движущаяся!

И даже схема алгоритмов фейсбука наличествует на стене

Остальное смотрите в музее! Советую!

Чем отличается XDR от SIEM+Sysmon

На прошедшей недавно конференции SOC Forum активно обсуждались новинки на рынке: SOAR, XDR, MDR. Я выбирал что принести нового: Autonomous Digital Experience Monitoring  или External Attack Surface Management и выбрал EASM. Об этом напишу позже.

Я вдруг осознал на лекциях, что многие заказчики воспринимают новые технологии, лишь как переименование старых. Например, сейчас попробуйте сами ответить на вопрос: чем XDR отличается от SIEM?

И на конференции как раз прозвучал такой вопрос: а если я поставлю Sysmon и буду отправлять логи sysmon и NGFW в SIEM,  то получу ли я такой же функционал как в XDR?

Если отвечать коротко, то основное различие простое: XDR блокирует атаки, а SIEM+Sysmon детектирует. И это самое важное. Также давайте рассмотрим подробнее и другие аспекты.

Для начала приведу часть вопросов, которые задаю заказчикам и они мне про функционалу XDR )

Функционал

У вас есть шифрование дисков?

У вас защищаются флешки?

Сколько у вас консолей управления защитой рабочих станций?

Можете определить имеющиеся уязвимости на Windows, MacOS, Linux?

Можете делать форенсику удаленно?

Поддерживаете ipv6?

Блокируете эксплойты для Linux?

Отправляете файлы в песочницу?

Можете ли вы собрать в единую цепочку события от хостов и сетевых устройств?

Получаете события от сторонних источников?

Инциденты связаны с базой TI?

Containment

Как вы изолируете Windows, MacOS, Linux?

Куда вы шлете команды на блокировку на NGFW или на хосты?

Можете ли вы найти в своей сети устройство, на котором нет агента? Как?

Можете ли вы хранить данные больше 6 месяцев? Среднее время обнаружения инцидента 300 дней. Это 10 месяцев.

Можно редактировать IoA? BIOC?

UEBA есть на основе событий NGFW?

Инвентаризация есть: пользователей, групп, дисков, сервисов, драйверов, автозапуска, демонов, точек монтирования?

Инциденты можно забрать по API?

Умеете запускать скрипт на питоне на всех операционках?

До появления XDR, на все эти вопросы можно было ответить имея в наличии несколько разных систем: SOAR, TIP, SIEM, EPP, сканер безопасности, правильно настроенные системы защиты операционных систем. В общем это все решить можно в комплексе. Если у вас только SIEM+Sysmon - вряд ли вы решите перечисленные выше задачи.

С появлением XDR у вас появился единый интерфейс, в котором вы можете ответить на все эти вопросы и быстро расследовать инциденты, заблокировать распространение угроз. И тут уже нужно констатировать, что XDR продукты сильно сложнее: в них интегрированы агенты, которые защищают хосты, в них работают все ранее известные техники защиты и добавлены поведенческие техники. Причем, если в SIEM поведенческие техники и индикаторы поведения вы отрабатываете отдельно от хоста, то в XDR они работают на каждом хосте, даже когда он отключен от системы управления. И именно на этом основаны техники своевременного предотвращения распространения шифровальщиков, руткитов и другого вредоносного кода.

Пример behaviour indicator of compromise правил внутри Cortex XDR

Итак, какие проблемы вашей службы безопасности призваны решить решения XDR?

1. Слишком много событий => вы упускаете из виду атаки или вы не успеваете их расследовать.

2. Слишком много утилит безопасности => аналитику не хватает экспертизы пользоваться всеми сразу, чтобы понять что же явилось причиной возникшей проблемы.

Зачем переходят на XDR:

Автоматически создавать и расследовать инцидент: для этого требуется собирать не только события безопасности, но и обычные события: создание процессов, файлов, соединения через NGFW. В SIEM тоже можно начать отправлять вообще все события на хостах и в сети. Но готов ли ваш SIEM и его движок корреляции? Сколько событий в секунду он может коррелировать? (не принимать, а коррелировать).

Ускорить время расследования инцидента. Различные производители показывают фантастические результаты: почти мгновенно аналитик SOС получает готовый расследованный инцидент в виде картинки следующих друг за другом событий: root cause analysis.

Сгруппировать поток событий в один инцидент автоматически и показать только самые важные автоматически. Надо отдать должное SIEM - это в них тоже заложено. Но сравнить как это сделано в SIEM и как это сделано в XDR - очень советую.

Схема объединения событий с хоста и из сети в событие XDR.

Отличие SSL инспекции от SSL расшифрования

Иногда ко мне на встречи приходят заказчики, которые впечатлены тестами NSS Labs или просто datasheet поставщиков, которые им показали как быстро они расшифровывают SSL в своем устройстве класса все-в-одном. Причем глаза заказчиков горят, потому что они на каком-то основании думают, что это SSL расшифрование это SSL инспекция. 

В словах расшифрование и инспекция как минимум разные буквы. Так же как и в словах decryption и inspection. Почему же люди считают, что это одно и тоже? Давайте разберемся.

SSL инспекция работает в режиме proxy

Для начала приведу схему как идет поток ваших данных внутри NGFW к разным модулям. Внутри устройства SSL Decrypt используется два раза. Сначала, чтобы установить соединение и подтвердить доверие между клиентом и NGFW. И второй раз, чтобы установить соединение и установить доверие между NGFW и сервером. То есть любой NGFW выполняет расшифрование как прозрачный SSL proxy. Существуют на рынке и обычные прокси, которые тоже расшифровывают SSL, но они это делают только для HTTPS трафика. А NGFW расширяет функциональность и SSL Decrypt работает обычно для любого трафика на основе TLS.

Если возникло непонимание чем отличается SSL и TLS, то еще одна картинка ниже. Далее по тексту буду использовать слово SSL как более часто употребляемое, хотя конечно технически у вас в сети уже давно TLS 1.2 и TLS 1.3. TLS 1.1 и ранее уже не рекомендуется использовать в своей сети, как небезопасные версии.               

SSL инспекция в вашей сети

Зачем нужно расшифрование HTTPS, POP3S, IMAPS, SMTPS, FTPS и в принципе любого протокола, который сегодня основан на TLS 1.2 и TLS 1.3, но по-старинке мы используем название SSL. Для того, чтобы после расшифрования анализировать открытый трафик вашими средствами безопасности. В NGFW встроены такие модули безопасности как URL категоризация, cистема предотвращения атак (IPS), антивирус, песочница,  блокировка файлов по типам, DLP, Threat Intelligence, Machine Learning, DNS Security. Если трафик зашифрован, то очевидно, что эти системы работают неполноценно. Поэтому NGFW сегодня выполняет функцию SSL расшифрования. И вот SSL расшифрование + включенные модули безопасности - является SSL инспекцией.

Иногда функцию SSL расшифрования выполняет внешний балансировщик, например F5, A10, Radware, то да, это верно, они занимаются только SSL Decrypt.
А если функция расшифрования выполняется одновременно на NGFW и одновременно в нем включены модули защиты, то тогда, это SSL Inspection.

И вот эта путаница приводит к неверному выбору модели устройства. Дело в том, что разница в производительности одного и того же устройства с включенным функционалом threat protection и с выключенным - в 10 раз. Даже распознавание приложений убивает иногда устройство, что уж тут говорить про антивирус, с его миллионами сигнатур.

Причем производительность вычислительного устройств зависит от алгоритмов шифрования и обмена ключами: RSA, ECDHE, AES, DES, и от длины ключей 2 Кб или 1 Кб, 56 байт или 256 байт.  А еще производительность SSL/TLS зависит от того обращаемся ли мы к базе CRL для проверки не был ли сертификат отозван, часто это протокол OCSP. А еще производительность зависит от такого параметра как session reuse, это когда новое SSL соединение использует старый ключ от прошлого SSL соединения, что экономит процессорное время.

Внутри SSL может быть любое приложение. Даже веб трафик сегодня идет по QUIC, HTTPS и по HTTP/2 - это разные протоколы, там по-разному надо анализировать трафик и файлы в нем. Что уж говорить про такие протоколы на базе SSL как SMTPS, где файлы еще надо из BASE64 выковыривать.

URL категоризация 

Зачем нужна URL категоризация во время SSL инспекции? Потому что часть URL вы не имеете права расшифровывать даже банально по законодательству: личные страницы банков, медицинские карты, госуслуги. GDPR и закон о персональных данных не дремлют. И также вы будете исключать из расшифрования множество сайтов, который против расшифрования в принципе: все системы обновления, например, Microsoft Update не разрешит себя расшифровать, все вебинары, например, Zoom и Webex не разрешат себя расшифровать.. и в общем-то 50% трафика вы не сможете расшифровать в своей сети, потому что SSL pinning и проверка клиентских сертификатов не дремлют тоже. Также как и другие нюансы.

Вывод

Резюмируя: если вам говорят, что производитель очень быстрый на SSL Inspection, то, опыт показывает, что он точно выключил всю безопасность и измерил производительность с SSL Decrypt только. Причем это не какая-то вероятность, а именно 100% ситуация. Потому что всегда, когда ко мне приходили люди и счастливо говорили "ой какой он быстрый" то я показывал пальцем в документ этого же поставщика, где черным по белому написано: мы выключили контроль приложений, URL фильтрацию, анализ файлов любым способом, антивирус, песочницу и измерили скорость. Ну, молодцы. Только зачем сбивать с толку людей, что это скорость SSL инспекции?

И кстати, самый важный параметр для Вас не SSL throughput, а SSL new transaction per second. Смотрите в него. Ведь самое долгое в TLS - установить соединение и проверить доверие, а не передать трафик. Также как, самое долгое в поездке за границу - получить визу. Это тема отдельной статьи.

Попросите предоставить вам производительность именно с всеми включенными функциями анализа. Ведь запускать вхолостую SSL Decrypt вы не будете - вы явно будуте анализировать трафик после расшифрования. В противном случае вы покупаете устройство греть трафик в ЦОД.

Если посмотреть тесты NSS labs - там обычно измеряется только скорость с HTTPS Decrypt c включенным IPS. Это явно не весь функционал NGFW. Также я видел еще результаты публичных тестов, что когда тестируют SSL трафик, но расшифровывают только 50% а 50% просто пропускают и считают сколько пропустили. Также интересные результаты показывает NetSecOpen, где была включить попытка все модули. Но некоторые их результаты не бьются с реальными тестами, в которых участвовал я сам, поэтому к NetSecOpen надо отнестись внимательно, но осторожно. Ведь в тестах участвует две стороны: тот кто настраивает тестовый стенд и тот кто настраивает устройство. И у тех и у других сотни настроек, которые можно включить и включить. А какие были включены и выключены - там не описаны.
 

Избегайте эффекта освещенной улицы (streetlight effect)

Однажды полицейский увидел стоящего на коленях пьяного мужчину под светом фонаря. Он подошел

- Что вы тут делаете?

- Ищу кошелек.

Долго ищут вместе...

- Вы точно его потеряли тут?

- Нет, в парке, но это то место, где мне хоть что-то видно.

Как часто вы исследуя какую-то проблему осознаете, сколько реально информации вам доступно для исследования? 5% или 20% от потенциально возможной?

Как часто вам кажется, что вы просмотрели все возможные варианты или что вы ищете именно там?

Мир часто не дает достаточной информации и мы должны принимать решение по части картинки, но это неверно - ищите как осветить остальную часть улицы и ищите там. То же самое касается информационной безопасности - задавайте себе вопрос: вся ли информация вам доступна?

https://en.wikipedia.org/wiki/Streetlight_effect

Почему у многих нет Zero Trust?

Часто вижу как красиво начинают писать правила межсетевого экрана: тщательно для каждого ресурса (принтера, камеры, сервера, подсети, категории URL) прописывают доступы конкретным людям (знают про identity control) и конкретным приложениям (знают про application control) и затем все остальное запрещают - так именно и выглядит Zero Trust - разрешить только нужное и точно известное и остальное запретить. Но когда долистываю до правила номер 500, вдруг обнаруживаю правило permit any to any. То есть, очевидно, что первые 100 ресурсов нормально защищены как положено, а остальные 10000 - уже было либо лень, либо был выбран неудачный продукт, где сложно больше 500 правил писать, либо был какой-то аврал и временно разрешили всему остальному все, либо оставили на потом... и забыли.. И неважно какой у вас NGFW: Palo Alto Networks, Fortinet, Check Point... Важно была ли у вас цель настроить их правильно? ) 

В итоге менеджеры думают, что удачно потратили миллион долларов на самую лучшую защиту от лидера Gartner... а администраторы NGFW просто не успевают его настроить нормально - ведь на это реально нужно _несколько лет_ а администраторы за эти годы еще и поменялись.. и вот поэтому вот так вот все..

И да, есть те, кто понимает эти тонкости и начинаются покупки AlgoSec, SkyBox, Tuffin для проверки и оптимизации политик.. Запускаются утилиты под названием Best Practice Assessment, заказываются аудиты и пентесты и даже нанимают себе Red Team.. Но я уверен, что если прийти в вашу компанию, то правила выглядят у вас где-то также... никакого Zero Trust ) спорим? )

Осторожно! "Фальшивое свидание"

Схема развода "Фальшивое свидание": Красотку звали Анна: "Я в тиндере всего день, не привыкла общаться в интернете и тем более знакомиться 🙂 Я больше за живое общение. Но у меня щас неделя сильно загружена… Завтра, правда, немного времени найдется, иду на спектакль в 8 вечера, если хочешь — можем сходить вместе!" Чтобы пойти на свидание, нужно было купить билет — Анна сама скинула ссылку на сайт театра. 

Но горькая правда в том, что никакого первого свидания в партере не будет, деньги, перечисленные за билет, украдут, а Анна больше не выйдет на связь.

Group-IB обнаружила более 700 доменов фейковых сайтов театров, стендап-шоу, ресторанов, кинотеатров, которые мошенники используют для кражи денег под видом приглашения на свидание. За последние три года схему Fake Date (фальшивое свидание — с англ.) взяли на вооружение два десятка преступных групп — выручка одной из них за год составила более 18 миллионов рублей при более чем 7000 транзакций. 

Первые массовые случаи использования в России схемы Fake Date с приглашением на лжесвидания специалисты Group-IB фиксировали еще в 2018 году, после обращений обманутых пользователей.

Тогда в соцсетях или на сайте знакомств симпатичная девушка приглашала кавалера в "антикино" — кинотеатр с отдельными романтическими залами для двоих — и просила купить два билета на сайте.

Но это только верхушка айсберга. В ходе исследования аналитики обнаружили связи доменных имен фишинговых сайтов из схемы Fake Date с ресурсами из популярной схемы «Курьер» (или «Мамонт»), нацеленной на кражу денег и данных банковских карт пользователей с помощью фейковых сайтов популярных курьерских служб и маркетплейсов. 

Любопытно, что схема Fake Date практически полностью переняла у «Мамонта» иерархию, техническую базу, модель функционирования и даже сленг («мамонтом» на языке мошенников называют жертву).

Похищенные деньги поступают на карты или кошельки админов, которые выплачивают воркерам процент от каждой транзакции (от 70% до 85%). Когда жертва оплачивает возврат, часть суммы получает прозвонщик из технической поддержки. Чтобы присоединиться к команде, как и в случае с "Мамонтом", необходимо пройти небольшое, достаточно формальное собеседование.

Подробнее в статье Group-IB.

Почему Palo Alto Networks NGFW лучшее решение для защиты КИИ/ICS/SCADA

Нельзя защищать то, что вы не видите. Визуализация, обнаружение действий сотрудников, обнаружение ненужного трафика, снижение поверхности атаки, защита от атак, обнаружение неизвестного вредоносного кода, корреляция событий, Machine Learning, поведенческие аномалии - это все делает одно устройство компании Palo Alto Networks. Почему заказчики выбирают NGFW для защиты сети ICS/SCADA.

• Лучшая реализация движка определения приложений IoT, IIoT, ICS, SCADA. Вы переходите на новый уровень визуализации своей собственной сети: от пакетов к приложениям.
• Легкость добавления собственных сигнатур приложений. Например, для IEC 104, ICCP, DNP3, BACnet, OPC, GTP протоколов вы можете добавить собственные детекторы активности и реакции.
• Прозрачная интеграция в существующую топологию без изменения сетевых потоков и маршрутизации на основе прозрачного подключения Virtual Wire или на SPAN.
• Прозрачное подключение с добавлением сегментации используя VLAN Insertion.
• Успешные инсталляции в 150 странах мира у 85000 заказчиков.
• Лидер Gartner в номинации Лучший межсетевой экран
• Лидер Forrester в номинации Лучшая реализация Zero Trust
• Лидер индустрии использующий Machine Learning для обнаружения вредоносного кода
• Поддержка NIST CyberSecurity Framework
• Готовые схемы архитектуры защиты для ICS/SCADA
• Работа со всеми мировыми производителями ICS/SCADA по управлению приложениями и защите от уязвимостей. 
• Лучшее качество защиты и отсутствие методик обхода по тестам NSS Labs и Cyberratings.

Полный список поддерживаемых приложений в брошюре по APP-ID для ICS/SCADA
и на портале applipedia.paloaltonetworks.com

Подробнее в брошюре по вариантам архитектуры защиты ICS/SCADA

Список протоколов верный на октябрь 2021 года (постоянно расширяется) Современная версия на портале applipedia.paloaltonetworks.com

104 APCI KNXNET/IP ABB Network Manager Matrikon-tunneller ABB-RP570 Mitsubishi-melsec ADDP MMS-ICS BACnet Modbus CC-Link MQTT CIP EtherNet IP MTConnect CN/IP (CEA-852) Net-C-X COAP Niagara-Fox Cygnet SCADA Oasys-scada DLMS / COSEM / IEC 62056 Omron-fins DNP3 OPC-DA Elcom 90 OPC UA Emerson-Delta-V OSIsoft PI Systems Ethercat Ovation Ether-S-Bus Profinet ETHER-S-I/O (esio) R-GOOSE Fanuc-focas ROC Fisher-ROC Rockwell FactoryTalk Foundation Fieldbus RTCM (GPS/IP) GE EGD RTPS GE-Eterra-isd Schneider OASyS GE-Eterra-SCADA Schneider Wonderware Suitelink GE-Historian Schweitzer Engineering SEL Fast Messaging GE iFIX Siemens FactoryLink HDLC-OVER-TCP Siemens Profinet IO Honeywell Matrikon OPC Tunneller Siemens-P2 IEEE-c37.118- Synchrophasor Siemens S7 IRIG-106 Siemens S7-Comm-Plus ICCP (IEC 60870-6 / TASE.2) Suitelink IEC 60870-5-104 Twincat IEC-61850 Advance Messaging Queuing Protocol (AMQP) RabbitMQ General Packet Radio Service (GPRS) Signal System 7 (SS7) modbus-base modbus-encapsulated-transport modbus-mask-write-register modbus-read-coils modbus-read-discrete-inputs modbus-read-fifo-queue modbus-read-file-record modbus-read-holding-registers modbus-read-input-registers modbus-read-write-register modbus-write-file-record modbus-write-multiple-coils modbus-write-multiple-registers modbus-write-single-coil modbus-write-single-register cip-ethernet-ip-base cip-ethernet-ip-list-identity cip-ethernet-ip-reg-session cip-ethernet-ip-send-rr-data cip-ethernet-ip-send-unit-data dlms-base dlms-get-request (functional) dlms-get-response (functional) dlms-init-req-high-level-auth (functional) dlms-init-req-low-level-auth (functional) dlms-init-req-no-auth (functional) dlms-init-response (functional) dlms-set-request (functional) dlms-set-response (functional) dnp3-abort-file dnp3-assign-class dnp3-authenticate-file dnp3-base dnp3-close-file dnp3-cold-restart dnp3-confirm dnp3-delay-measurement dnp3-delete-file dnp3-direct-operate dnp3-direct-operate-no-resp dnp3-disable-unsolicited dnp3-enable-unsolicited dnp3-freeze dnp3-freeze-at-time dnp3-freeze-at-time-no-resp dnp3-freeze-clear dnp3-freeze-clear-no-resp dnp3-freeze-no-resp dnp3-get-file-information dnp3-initialize-application dnp3-initialize-data dnp3-open-file dnp3-operate dnp3-read dnp3-record-current-time dnp3-save-configuration dnp3-select dnp3-start-application dnp3-stop-application dnp3-unsolicited-message dnp3-warm-restart dnp3-write dlms-base dlms-get-request (functional) dlms-get-response (functional) dlms-init-req-high-level-auth (functional) dlms-init-req-low-level-auth (functional) dlms-init-req-no-auth (functional) dlms-init-response (functional) dlms-set-request (functional) dlms-set-response (functional) cn-ip-acknowledge cn-ip-base cn-ip-channel-membership cn-ip-channel-membership-req cn-ip-channel-routing cn-ip-channel-routing-req cn-ip-data-packet cn-ip-device-config-req cn-ip-device-configuration cn-ip-device-registration cn-ip-heartbeat-req cn-ip-segment cn-ip-send-list cn-ip-send-list-req 104apci-supervisory 104apci-unnumbered 104apci-unnumbered-startdt-act 104apci-unnumbered-startdt-con 104apci-unnumbered-stopdt-act 104apci-unnumbered-stopdt-con 104apci-unnumbered-test-act 104apci-unnumbered-test-con 104asdu-file-transfer 104asdu-file-transfer-type120 104asdu-file-transfer-type121 104asdu-file-transfer-type122 104asdu-file-transfer-type123 104asdu-file-transfer-type125 104asdu-file-transfer-type126 104asdu-file-transfer-type127 104asdu-param-control 104asdu-param-control-type110 104asdu-param-control-type111 104asdu-param-control-type112 104asdu-param-control-type113 104asdu-process-control 104asdu-process-control-type45 104asdu-process-control-type46 104asdu-process-control-type47 104asdu-process-control-type48 104asdu-process-control-type49 104asdu-process-control-type50 104asdu-process-control-type51 104asdu-process-control-type58 104asdu-process-control-type59 104asdu-process-control-type60 104asdu-process-control-type61 104asdu-process-control-type62 104asdu-process-control-type63 104asdu-process-control-type70 104asdu-process-monitor 104asdu-process-monitor-type1 104asdu-process-monitor-type10 104asdu-process-monitor-type11 104asdu-process-monitor-type12 104asdu-process-monitor-type13 104asdu-process-monitor-type14 104asdu-process-monitor-type15 104asdu-process-monitor-type16 104asdu-process-monitor-type17 104asdu-process-monitor-type18 104asdu-process-monitor-type19 104asdu-process-monitor-type2 104asdu-process-monitor-type20 104asdu-process-monitor-type21 104asdu-process-monitor-type3 104asdu-process-monitor-type30 104asdu-process-monitor-type31 104asdu-process-monitor-type32 104asdu-process-monitor-type33 104asdu-process-monitor-type34 104asdu-process-monitor-type35 104asdu-process-monitor-type36 104asdu-process-monitor-type37 104asdu-process-monitor-type38 104asdu-process-monitor-type39 104asdu-process-monitor-type4 104asdu-process-monitor-type40 104asdu-process-monitor-type5 104asdu-process-monitor-type6 104asdu-process-monitor-type7 104asdu-process-monitor-type8 104asdu-process-monitor-type9 104asdu-system-control 104asdu-system-control-type100 104asdu-system-control-type101 104asdu-system-control-type102 104asdu-system-control-type103 104asdu-system-control-type104 104asdu-system-control-type105 104asdu-system-control-type106 104asdu-system-control-type107 104asdu-system-monitor 104asdu-system-monitor-type64 iec-60870-5-104-base mms-ics-ack-event-notification mms-ics-additional-service mms-ics-alter-event-cond-monit mms-ics-alter-event-enroll mms-ics-base mms-ics-cancel mms-ics-conclude mms-ics-create-journal mms-ics-create-prog-invocations mms-ics-create-prog-invocation mms-ics-define-event-action mms-ics-define-event-condition mms-ics-define-event-enroll mms-ics-delete-domain mms-ics-delete-event-action mms-ics-delete-event-condition mms-ics-delete-event-enroll mms-ics-delete-journal mms-ics-delete-prog-invocation mms-ics-download-segment mms-ics-eventnotification mms-ics-file-close mms-ics-file-delete mms-ics-file-directory mms-ics-file-open mms-ics-file-read mms-ics-file-rename mms-ics-get-alarm-enroll-sum mms-ics-get-alarm-summary mms-ics-get-capability-list mms-ics-get-domain-attribute mms-ics-get-event-action-attr mms-ics-get-event-cond-attr mms-ics-get-event-enroll-attr mms-ics-get-prog-invo-attr mms-ics-informationreport mms-ics-initial-download-seq mms-ics-initialize-journal mms-ics-initiate-upload-seq mms-ics-kill mms-ics-load-domain-content mms-ics-obtain-file mms-ics-read-journal mms-ics-rep-event-action-stat mms-ics-rep-event-enroll-stat mms-ics-report-event-cond-stat mms-ics-report-journal-status mms-ics-report-pool-sema-stat mms-ics-report-sema-entry-stat mms-ics-request-domain-download mms-ics-request-domain-upload mms-ics-reset mms-ics-resume mms-ics-start mms-ics-stop mms-ics-store-domain-content mms-ics-terminate-download-seq mms-ics-terminate-upload-seq mms-ics-trigger-event mms-ics-unsolicitedstatus mms-ics-upload-segment mms-ics-write-journal iccp-base iccp-define-named-type iccp-define-named-variable iccp-define-named-variable-list iccp-define-scattered-access iccp-define-semaphore iccp-delete-named-type iccp-delete-named-variable-list iccp-write iccp-delete-semaphore iccp-delete-variable-access iccp-download-segment iccp-get-name-list iccp-get-named-type-attr iccp-get-scattered-access-attr iccp-get-variable-access-attr iccp-identity iccp-initiate-download-seq iccp-initiate-upload-seq iccp-input iccp-read iccp-relinquish-control iccp-rename iccp-report-pool-sem-status iccp-report-sem-entry-status iccp-report-semaphore-status iccp-status iccp-take-control iccp-terminate-download-seq IEC-61850 IEC-61850-base IEC-61850-delete-named-var-list IEC-61850-getatadir siemens-s7-comm-plus-base siemens-s7-comm-plus-create-ob siemens-s7-comm-plus-delete-ob siemens-s7-comm-plus-download siemens-s7-comm-plus-end-seq siemens-s7-comm-plus-explore siemens-s7-comm-plus-explore siemens-s7-comm-plus-get-mtvar siemens-s7-comm-plus-get-mtvar siemens-s7-comm-plus-get-vsstr siemens-s7-comm-plus-get-vsstr siemens-s7-comm-plus-run-cpu siemens-s7-comm-plus-set-mtvar siemens-s7-comm-plus-set-mtvar siemens-s7-comm-plus-set-time siemens-s7-comm-plus-set-var siemens-s7-comm-plus-set-var siemens-s7-comm-plus-stop-cpu siemens-s7-comm-plus-upload c37.118-cmd-frame-data-tx-off c37.118-cmd-frame-data-tx-on c37.118-cmd-frame-extended-frm c37.118-cmd-frame-send-cfg-1 c37.118-cmd-frame-send-cfg-2 c37.118-cmd-frame-send-hdr-frm c37.118-command-frame c37.118-configuration-frame-1 c37.118-configuration-frame-2 c37.118-data-frame c37.118-header-frame ieee-c37.118-synchrophasor-base siemens-s7-base siemens-s7-check-password-set siemens-s7-controller siemens-s7-download-program siemens-s7-read siemens-s7-set-clock siemens-s7-setup-communication siemens-s7-start siemens-s7-stop siemens-s7-upload-program siemens-s7-warm-restart siemens-s7-write bacnet-abort bacnet-ack-alarm bacnet-add-list-element bacnet-atomic-read-file bacnet-atomic-write-file bacnet-authenticate bacnet-base bacnet-complex-ack bacnet-confirmed-cov-notify bacnet-confirmed-event-notify bacnet-confirmed-private-xfer bacnet-confirmed-text-message bacnet-create-object bacnet-delete-object bacnet-device-comm-control bacnet-error bacnet-error-ack-alarm bacnet-error-add-list-element bacnet-error-atomic-read-file bacnet-error-atomic-write-file bacnet-error-conf-cov-notify bacnet-error-conf-event-notif bacnet-error-conf-private-trf bacnet-error-conf-text-mssg bacnet-error-delete-object bacnet-error-device-comm-cntrl bacnet-error-get-alarm-summary bacnet-error-get-enrollment-sum bacnet-error-get-event-info bacnet-error-life-safety-oper bacnet-error-read-property bacnet-error-read-property-cond bacnet-error-read-property-mul bacnet-error-read-range bacnet-error-reinitialize-dev bacnet-error-remove-list-elem bacnet-error-request-key bacnet-error-subscribe-cov bacnet-error-subscribe-cov-prop bacnet-error-vt-data bacnet-error-vt-open bacnet-error-write-prop-mult bacnet-get-alarm-summary bacnet-get-enrollment-summary bacnet-get-event-information bacnet-i-am bacnet-i-have bacnet-life-safety-operation bacnet-read-prop-conditional bacnet-read-prop-multiple bacnet-read-property bacnet-read-range bacnet-reinitialize-device bacnet-reject bacnet-remove-list-element bacnet-request-key bacnet-segment-ack bacnet-simple-ack bacnet-subscribe-cov bacnet-subscribe-cov-property bacnet-time-synchronization bacnet-unconfirmed-cov-notif bacnet-unconfirmed-event-notif bacnet-unconfirmed-private-txfr bacnet-unconfirmed-text-message bacnet-utc-time-synchronization bacnet-vt-close bacnet-vt-data bacnet-vt-open bacnet-who-has bacnet-who-has-access-credent bacnet-who-has-access-door bacnet-who-has-access-point bacnet-who-has-access-right bacnet-who-has-access-user bacnet-who-has-access-zone bacnet-who-has-accumulator bacnet-who-has-analog-input bacnet-who-has-analog-output bacnet-who-has-analog-value bacnet-who-has-averaging bacnet-who-has-binary-input bacnet-who-has-binary-output bacnet-who-has-binary-value bacnet-who-has-bitstring-value bacnet-who-has-calendar bacnet-who-has-command bacnet-who-has-cred-data-input bacnet-who-has-date-pattern-val bacnet-who-has-date-value bacnet-who-has-device bacnet-who-has-event-enrollment bacnet-who-has-event-log bacnet-who-has-global-group bacnet-who-has-group bacnet-who-has-integer-value bacnet-who-has-large-analog-val bacnet-who-has-life-safety-pt bacnet-who-has-life-safety-zone bacnet-who-has-multi-state-in bacnet-who-has-multi-state-out bacnet-who-has-multi-state-val bacnet-who-has-network-security bacnet-who-has-notification-cls bacnet-who-has-octatestring-val bacnet-who-has-pulse-converter bacnet-who-has-schedule bacnet-who-has-structured-view bacnet-who-has-time-pattern-val bacnet-who-has-time-value bacnet-who-has-trend-log bacnet-who-has-trend-log-mul bacnet-who-is bacnet-write-prop-multiple bacnet-write-property bacnet-who-has-time-value bacnet-who-has-trend-log-mul addp-base addp-dhcp-network-config-req (functional) addp-dhcp-network-config-resp (functional) addp-discovery-request (functional) addp-discovery-response (functional) addp-reboot-request (functional) addp-reboot-response (functional) addp-static-network-config-req (functional) addp-static-network-config-resp (functional) knxnet-ip-base knxnet-ip-configuration-request (functional) knxnet-ip-connect-request (functional) knxnet-ip-connection-state-req (functional) knxnet-ip-description-request (functional) knxnet-ip-disconnect-request (functional) knxnet-ip-search-request (functional) knxnet-ip-tunnelling-request (functional) coap-base coap-delete-request (functional) coap-get-request (functional) coap-post-request (functional) coap-put-request (functional) opc-ua-acknowledge (functional) opc-ua-activate-session-req (functional) opc-ua-add-nodes-req (functional) opc-ua-add-references-req (functional) opc-ua-browse-next-req (functional) opc-ua-browse-req (functional) opc-ua-call-method-req (functional) opc-ua-call-req (functional) opc-ua-cancel-req (functional) opc-ua-close (functional) opc-ua-close-secure-channel-req (functional) opc-ua-close-session-req (functional) opc-ua-create-session-req (functional) opc-ua-create-subscription-req (functional) opc-ua-delete-nodes-req (functional) opc-ua-delete-references-req (functional) opc-ua-delete-subscriptions-req (functional) opc-ua-error (functional) opc-ua-find-server-req (functional) opc-ua-get-endpoints-req (functional) opc-ua-hello (functional) opc-ua-history-read-req (functional) opc-ua-history-update-req (functional) opc-ua-open (functional) opc-ua-open-secure-channel-req (functional) opc-ua-publish-req (functional) opc-ua-query-first-req (functional) opc-ua-query-next-req (functional) opc-ua-read-req (functional) opc-ua-register-nodes-req (functional) opc-ua-register-servers-req (functional) opc-ua-republish-req (functional) opc-ua-set-monitoring-mode-req (functional) opc-ua-set-publishing-mode-req (functional) opc-ua-set-triggering-req (functional) opc-ua-unregister-node-req (functional) opc-ua-write-req (functional) gtp-base gtp-prime gtp-u gtpv0 gtpv1-c gtpv2-c ss7-map-ggsn-callingparty ss7-map-siwf-callingparty ss7-mapsgsn-callingparty ss7-map-hlr-callingparty ss7-map-vlr-callingparty ss7-map-msc-callingparty ss7-map-eir-callingparty ss7-map-gsmscf-callingparty ss7-map-gmlc-callingparty ss7-map-siwf-callingparty ss7-map-sgsn-callingparty ss7-map-ggsn-callingparty ss7-map-css-callingparty ethercat-base ethercat-device-protocol ethercat-mailbox-data ethercat-process-data ge-srtp-base ge-srtp-change-cpu-privilege (functional) ge-srtp-change-cpu-privilege (functional) ge-srtp-get-control-program (functional) ge-srtp-get-controller-info (functional) ge-srtp-get-fault-table (functional) ge-srtp-get-plc-time (functional) ge-srtp-plc-short-status-req (functional) ge-srtp-program-load (functional) ge-srtp-program-store (functional) ge-srtp-programmer-logon (functional) ge-srtp-read-program-mem (functional) ge-srtp-read-sys-mem (functional) ge-srtp-read-task-mem (functional) ge-srtp-set-control-id (functional) ge-srtp-set-plc (functional) ge-srtp-set-plc-time (functional) ge-srtp-toggle-force-sys-mem (functional) ge-srtp-write-program-blk-mem (functional) ge-srtp-write-sys-mem (functional) ge-srtp-write-task-mem (functional) tristation-base tristation-connect-req (functional) tristation-connect-rsp (functional) tristation-disconnect-req (functional) tristation-get-cp-status-req (functional) tristation-get-cp-status-rsp (functional) tristation-run-program (functional) umas umas-base umas-init-comm umas-plc-reservation-take umas-plc-reservation-release umas-memory-block-read umas-memory-block-write umas-variables-read umas-variables-write umas-coils-registers-read umas-coils-registers-write umas-initialize-upload umas-upload-block umas-initialize-download umas-download-block umas-sd-backup-make umas-sd-backup-restore umas-sd-backup-remove umas-plc-start umas-plc-stop umas-repeat-request umas-monitor-bits-read umas-monitor-bits-write umas-monitor-words-read umas-monitor-words-write umas-io-object-write umas-read-id 

Подробная схема в брошюре по VLAN Insertion для ICS/SCADA

Пример компании защитившей свою сеть решением Palo Alto Networks