Forescout: в половине медсетей офисные ПК и инфузионные насосы работают в одном сегменте

Исследователи Forescout выявили критическую уязвимость в инфраструктуре промышленных и медицинских объектов: неправильное разделение сети на сегменты. В 42% промсетей и 50% медсетей в одном «кармане» интернета оказываются офисные компьютеры, промышленные контроллеры и даже жизненно важное медицинское оборудование. Такой подход превращает локальную сеть в просторное поле для злоумышленников: вирус с принтера может легко перекинуться на систему управления производством или мониторингом пациентов.

Масштаб проблемы: данные исследования

Команда Forescout Research (Vedere Labs) проанализировала 47 700 сетевых сегментов и более 2,5 млн конечных устройств в организациях по всему миру. Эксперты ввели понятие «blast radius» (радиус поражения) — количество устройств, которые могут пострадать от одной атаки внутри одного сегмента.

Среднее количество устройств в одном сегменте составляет 54. Однако распределение по отраслям показывает значительные различия:

• Бизнес и промышленные сервисы: 179 устройств (максимальный риск).
• Медицина: 116 устройств.
• Нефтегазовый сектор: 72 устройства.
• Производство и госорганы: по 29 устройств.
• Финансы и торговля: по 20 устройств.
• Энергетика: 9 устройств (минимальный риск).

Чем больше разнородных устройств (от IP-камер до инфузионных насосов) находится в одной сети, тем выше вероятность горизонтального распространения атаки и масштаб ущерба при сбое.

Что именно смешивают в сетях?

В исследовании приводится пример типичного «зоопарка» устройств в одном сегменте медицинской или промышленной сети:

• Бытовые и офисные гаджеты (ИТ): ПК, серверы, системы хранения данных, смарт-ТВ, IP-камеры, принтеры.
• Промышленное оборудование (ОТ): контроллеры зданий, программируемые логические контроллеры (ПЛК), источники бесперебойного питания (ИБП).
• Медицинский IoT: глюкометры, мониторы пациентов, инфузионные насосы, системы выдачи лекарств.

Смешение этих категорий нарушает базовый принцип изоляции: если взломан офисный ноутбук, злоумышленник получает прямой доступ к критической инфраструктуре без необходимости преодолевать межсетевые экраны между отделами.

Как снизить риски: рекомендации экспертов

Для защиты от подобных угроз Forescout предлагает четыре ключевых шага:

1. Полная инвентаризация. Необходимо точно знать, какие устройства подключены к сети и где они физически расположены. Без этого невозможно выявить «слепые зоны».
2. Микросегментация. Крупные сегменты следует делить на мелкие изолированные зоны. Это ограничивает перемещение атакующего по сети: даже если один узел скомпрометирован, доступ к остальным системам будет закрыт.
3. Аналитика для проверки политик. Регулярная сверка фактического положения дел с заложенными правилами сегментации помогает находить ошибки до того, как ими воспользуются хакеры.
4. Постоянный мониторинг изменений. Новые устройства появляются постоянно. Автоматическое отслеживание подключений позволяет вовремя заметить, когда ранее изолированные системы непреднамеренно объединились в одну сеть.

Практические выводы для бизнеса

• Изоляция критичных систем: Промышленные и медицинские сети (АСУ ТП, MedIoT) должны быть физически или логически отделены от офисного интернета. Смешивание этих сред недопустимо из-за высокого потенциала ущерба.
• Контроль «хвостовых» устройств: Наибольший риск несут массовые потребительские устройства (камеры, принтеры, умные дисплеи). Их следует выносить в отдельные сегменты с минимальными правами доступа к ядру сети.
• Регулярный аудит: Статичная схема безопасности устаревает быстро. По мере подключения нового оборудования архитектура сети меняется, что может создать новые уязвимые пути для атакующих.