Автоматизация индустриальных производств, объектов энергетики, нефтегазового сектора и транспортной инфраструктуры на базе автоматизированных систем управления технологическими процессами (АСУ ТП) превратила промышленную кибербезопасность в важнейшее направление экспертно-криминалистической деятельности. Судебная компьютерно-техническая экспертиза АСУ ТП и технологических систем сталкивается с необходимостью исследования специализированного проприетарного оборудования: программируемых логических контроллеров (ПЛК / PLC), модулей удаленного ввода-вывода (RIO), панелей оператора (HMI), скада-серверов (SCADA), промышленных коммутаторов и специфических сетевых протоколов (Modbus, Profibus, Profinet, DNP3, IEC 60870-5-104, OPC UA). В отличие от стандартных IT-систем, где приоритетом является конфиденциальность данных, в технологических сетях главной задачей выступает непрерывность процессов и физическая безопасность объекта. Профессиональная компьютерно-техническая экспертиза позволяет провести глубокий анализ исполнительного кода ПЛК, расследовать факты несанкционированного изменения уставок технологического процесса и определить истинные причины техногенных аварий и поломок оборудования.

Объекты исследования при проведении экспертизы АСУ ТП и промышленного оборудования

Центральным объектом, который изучает компьютерно-техническая экспертиза технологических систем, являются программируемые логические контроллеры (Siemens S7, Schneider Electric Modicon, Allen-Bradley, ОВЕН), управляющие микропрограммы, байт-код прошивок, логика управляющих программ на языках стандарта МЭК 61131-3 (ST, LD, FBD, IL, CFC), а также файлы конфигураций промышленных сетевых модулей. Экспертной оценке подвергаются базы данных Historian, хранящие технологические тренды за длительные периоды, файлы проектов SCADA-систем (WinCC, InTouch, MasterSCADA) и графические мнемосхемы операторов.

Вторым важнейшим классом объектов выступают дампы энергонезависимой памяти ПЛК (SRAM, NVRAM, SD/MMC карт памяти), логи промышленных шлюзов и межсетевых экранов (Phoenix Contact, Hirschmann, Moxa), а также трассировки технологического сетевого трафика в форматах PCAP. Компьютерно-техническая экспертиза также анализирует сопутствующие объекты: физические модули расширения, барьеры искрозащиты, датчики и исполнительные механизмы, логи серверов точного времени (NTP/PTP) и журналы действий операторов технологических смен (Audit Trail).

Практические проблемы отсутствия шифрования, проприетарных протоколов и рисков остановки производства

Основная сложность, с которой сталкивается компьютерно-техническая экспертиза при исследовании промышленных систем, заключается в архитектурной уязвимости большинства устаревших промышленных протоколов связи. Подавляющее большинство протоколов передачи данных в АСУ ТП не использует аутентификацию, шифрование и проверку целостности сообщений. Команда на изменение режима работы насоса или открытие клапана, переданная по протоколу Modbus TCP, выглядит абсолютно идентично как при отправке со штатной панелью оператора, так и при внедрении извне скомпрометированным устройством.

Вторая серьезная проблема связана с абсолютной недопустимостью остановки непрерывных технологических процессов для снятия образов памяти или проведения агрессивных тестов. Компьютерно-техническая экспертиза вынуждена работать в условиях жестких ограничений, применяя методы пассивного съема данных с зеркалируемых портов промышленных коммутаторов, либо исследовать резервные копии и изъятые блоки контроллеров на специализированных стендах-эмуляторах без воздействия на действующее производство.

Задачи эксперта при расследовании техногенных аварий, фальсификации технологических трендов и закладок в ПЛК

В ходе проведения изысканий перед специалистом ставится комплекс задач по установлению причин выхода технологических параметров за пределы допустимых норм, обнаружению фактов несанкционированного изменения управляющих программ контроллеров и фиксации следов внешнего кибервоздействия. Компьютерно-техническая экспертиза решает задачу выявления вредоносного программного обеспечения, специально разработанного для поражения индустриальных систем (типа Stuxnet, CrashOverride/Industroyer, Triton/TRISIS), способного блокировать системы противоаварийной защиты (ПАЗ / SIS).

Специалист обязался установить факт умышленной фальсификации показателей выработки или расхода сырья путем корректировки коэффициентов в скада-серверах, расследовать случаи удаленного блокирования промышленных линий через скомпрометированные каналы технологического обслуживания (VPN/GPRS-модемы) и проверить соответствие установленного ПО проектной документации. Компьютерно-техническая экспертиза решает задачи по разделению ответственности между разработчиком АСУ ТП, системным интегратором, поставщиком оборудования и эксплуатирующим персоналом при возникновении чрезвычайных ситуаций.

Методика безагентского съема данных, анализа программ на языках МЭК 61131-3 и декодирования протоколов

Методологический аппарат, применяемый при исследовании промышленных управляющих систем, базируется на комбинации анализа бинарных образов памяти контроллеров, пассивного разбора специфических сетевых пакетов и сравнения исходных текстов управляющих программ. Компьютерно-техническая экспертиза полностью исключает использование стандартных сканеров уязвимостей в технологических сетях во избежание зависания сетевых стеков старых ПЛК.

Для анализа управляющей логики эксперт задействует специализированные среды разработки (STEP 7, TIA Portal, Unity Pro, CoDeSys). Компьютерно-техническая экспертиза выполняет декомпиляцию исполнительного кода, загруженного из памяти ПЛК, и осуществляет поблочное сравнение (Block Compare) с эталонным проектом, переданным заказчиком или генеральным проектировщиком. Анализ сетевого трафика производится с использованием специализированных диссекторов промышленных протоколов для выявления нештатных команд чтения/записи регистров (Function Code) и переполнений буфера контроллеров.

Типичные ошибки инженеров КИПиА и администраторов при возникновении промышленных инцидентов

При возникновении сбоя в работе технологической линии или аварийной остановке оборудования персоналы КИПиА совершают стандартную ошибку: они немедленно загружают в контроллер резервную копию проекта (Project Download) или заново перезапускают ПЛК по питанию. Подобные действия приводят к окончательному уничтожению содержимого оперативной памяти ПЛК, затиранию внутренних флагов ошибок, сбросу стека вызовов и невозможности установить, какие именно блоки памяти были модифицированы в момент сбоя.

Вторым частым промахом является очистка или перезапись логов Historian-сервера в попытках вручную сгладить аномальные графики или восстановить отображение мнемосхем. В результате таких действий компьютерно-техническая экспертиза теряет возможность восстановить точную хронологию изменения физических параметров (давления, температуры, расхода) за секунды до аварии.

Ограничения самостоятельного анализа технологических логов и графиков без экспертизы

Предоставление в суд распечаток графиков из SCADA-системы или внутренних журналов аварий не обладает необходимой доказательной силой. Графические мнемосхемы и таблицы алармов формируются программным обеспечением верхнего уровня и легко поддаются ручной корректировке или фальсификации при наличии прав администратора SCADA.

Без проведения профильного исследования невозможно доказательно подтвердить, соответствовали ли данные на экране оператора реальным физическим сигналам на входах контроллера, или же скада-сервер отображал сфальсифицированные значения из-за работы вредоносного скрипта. Компьютерно-техническая экспертиза обеспечивает формирование целостной доказательной цепочки, объединяющей физические сигналы, логику ПЛК и события на верхнем уровне управления.

Практический кейс №1: Расследование причин аварийного разрушения турбины на гидроэлектростанции

На гидроэлектростанции произошло разрушение гидроагрегата в результате резкого превышения допустимых оборотов (разнос турбины) и несрабатывания системы аварийного перекрытия затворов. Страховая компания отказала в выплате возмещения в размере пятисот миллионов рублей, ссылаясь на умышленный вывод из строя защиты персоналом станции. Владелец станции утверждал, что произошел внезапный аппаратный сбой оборудования автоматики поставщика.

Арбитражный суд назначил проведение комплексной судебной компьютерно-технической экспертизы АСУ ТП гидроэлектростанции. Специалисты Федерации судебных экспертов провели изъятие карт памяти управляющих контроллеров ПЛК противоаварийной защиты, а также выгрузили бинарные файлы базы данных Historian.

В ходе проведения исследования эксперты провели поблочное сравнение исполняемого кода ПЛК с утвержденным регламентом. Компьютерно-техническая экспертиза зафиксировала, что за три дня до аварии в логику контроллера были внесены изменения: время задержки срабатывания алгоритма сброса защитного затвора было искусственно увеличено с 2 до 120 секунд. Эксперты довели, что изменения были внесены сервисной службой подрядчика при проведении плановых наладочных работ без согласования с главным инженером. На основании заключения экспертов суд взыскал сумму ущерба с подрядной организации.

Практический кейс №2: Выявление факта несанкционированного изменения алгоритма дозирования на химическом комбинате

На химическом комбинате был зафиксирован массовый брак выпускаемой продукции — химических реагентов для фармацевтической отрасли. Ущерб превысил восемьдесят миллионов рублей. Завод предъявил иск к разработчику АСУ ТП, обвиняя его в поставке некорректного программного обеспечения. Разработчик заявлял, что ПО соответствовало ТЗ, а брак возник из-за некачественного сырья или неграмотных действий операторов цеха.

Следователем была назначена судебно-компьютерно-техническая экспертиза промышленного контроллера дозирования и SCADA-сервера. Специалисты Федерации судебных экспертов вычитали дамп памяти ПЛК Siemens S7-1500 и провели декомпиляцию блоков STL/ST.

В ходе исследования компьютерно-техническая экспертиза установила, что в коде ПЛК содержался незадокументированный алгоритм, который при подаче специфического управляющего сигнала с внешней панели оператора изменял коэффициенты математической формулы соотношения компонентов. Эксперты доказали, что данная функция была заложена разработчиком на этапе написания кода и отсутствовала в согласованном техническом задании. Заключение экспертов стало решающим доказательством вины разработчика в арбитражном процессе.

Практический кейс №3: Определение причин падения давления в магистральном трубопроводе при споре с оператором связи

На участке магистрального нефтепровода произошла автоматическая остановка перекачивающих станций из-за ложного срабатывания системы обнаружения утечек. Убытки от простоя составили шестьдесят миллионов рублей. Оператор трубопровода обвинил провайдера технологической связи в систематической потере пакетов и высокой задержке в канале передачи данных между контроллерами. Провайдер утверждал, что канал связи работа без сбоев, а остановка произошла из-за неисправности датчиков давления.

Арбитражный суд назначил проведение компьютерно-технической экспертизы промышленных сетевых шлюзов и телекоммуникационного оборудования. Специалисты Федерации судебных экспертов провели анализ сетевых дампов PCAP, снятых на интерфейсах промышленных маршрутизаторов.

Исследование показало, что ложное срабатывание возникло из-за рассинхронизации таймштампов в протоколе IEC 60870-5-104. Компьютерно-техническая экспертиза зафиксировала, что из-за некорректной настройки сервера NTP на стороне провайдера телемеханики, телеметрические пакеты поступали на главный контроллер с искаженными временными метками, что алгоритм защиты воспринимал как гидроудар и мгновенно перекрывал задвижки. Эксперты полностью подтвердили вину оператора связи в возникновении инцидента.

Процессуальное значение экспертного заключения при исследовании АСУ ТП и промышленного оборудования

Результаты проведения компьютерно-технической экспертизы автоматизированных систем управления технологическими процессами дают суду процессуально закрепленную и научно обоснованную доказательственную базу при исследовании сложнейших промышленных аварий и технических споров. Способность экспертов работать с низкоуровневым кодом контроллеров, промышленными протоколами и базами технологических трендов позволяет перевести физические явления и бинарные дампы в ясную категорию правовых фактов.

Экспертное заключение, подготовленное квалифицированными специалистами, превращает результаты анализа кодов МЭК 61131-3, сетевых дампов и конфигураций ПЛК в допустимые судебные доказательства. Это исключает возможность списания аварий на «человеческий фактор» или «необъяснимые техники накладки» и обеспечивает надежную защиту прав и законных интересов участников процесса.

Обращение в Федерация судебных экспертов

Исследование промышленных контроллеров, анализ скада-систем, аудит кода МЭК 61131-3 и расследование техногенных инцидентов на производстве требуют привлечения экспертной организации, обладающей специализированным стендовым оборудованием, лицензионным софтом и штатом аттестованных инженеров по промышленной автоматизации.

Федерация судебных экспертов оказывает полный комплекс профессиональных услуг по проведению судебных и внесудебных компьютерно-технических экспертиз АСУ ТП и промышленного оборудования:

• Извлечение, декомпиляция и исследование программного обеспечения ПЛК (Siemens, Schneider Electric, Rockwell, ОВЕН и др.).
• Анализ баз данных Historian, файлов проектов SCADA и журналов событий HMI-панелей.
• Расследование кибератак на промышленные объекты, обнаружение вредоносного ПО и закладок в технологическом коде.
• Экспертный аудит причин аварий, выходов оборудования из строя и брака продукции из-за сбоев автоматики.

Если ваше предприятие столкнулось с аварийной остановкой производства, браком продукции из-за сбоя АСУ ТП или спором с системным интегратором, доверите исследование профессионалам. Аттестованные эксперты организации Федерация судебных экспертов проведут всесторонний анализ любой сложности и подготовят безупречное экспертное заключение для защиты ваших интересов в суде. Оформить заявку на проведение экспертизы или получить предварительную консультацию вы можете на официальном сайте организации или по телефону.