Система VNC в промышленности – универсальный инструмент удалённого доступа

В промышленной автоматизации удалённый доступ к оборудованию давно перестал быть чем-то уникальным и превратился в реальную потребность. Инженерам нужно оперативно диагностировать неполадки, наблюдателям – контролировать ход процессов, а производителям оборудования – сокращать расходы на выездные сервисные визиты.

Одним из самых распространённых инструментов для решения задач удалённого управления является система VNC (Virtual Network Computing), которая за десятилетия своего существования стала одним из стандартов в индустриальной среде.

Что такое VNC

VNC представляет собой систему на протоколе RFB, которая передаёт изображение рабочего стола удалённого устройства и позволяет управлять им с помощью мыши и клавиатуры, а также через устройства на Android и iOS. Её ключевым преимуществом является платформонезависимость: VNC работает на любых операционных системах – от Windows и Linux до встраиваемых платформ, на которых построены современные панели оператора. Это означает, что один и тот же VNC-клиент может подключаться к панелям любых производителей без необходимости устанавливать проприетарное ПО для каждого вендора.

В современных панелях HMI производители встраивают VNC-серверы непосредственно в прошивку своих устройств, и такая повсеместная поддержка делает VNC естественным выбором для удалённого мониторинга и диагностики. Справедливо это и для панелей оператора OTP210 от Optimus Drive.

Почему VNC пользуется популярностью

Инженеры активно используют VNC, так как эта система предлагает возможности, которые сложно или дорого получить иными способами.

Прежде всего, отметим экономическую эффективность решения. Открытые реализации VNC – TightVNC, TigerVNC, UltraVNC – доступны бесплатно. Для малых проектов, тестирования или работы с унаследованными системами это зачастую единственный разумный вариант. Даже коммерческие версии, такие как RealVNC Connect, обходятся значительно дешевле альтернативных решений.

Помимо этого специалистов привлекает простота развёртывания. VNC-сервер уже встроен в большинство промышленных панелей, его не нужно устанавливать и настраивать отдельно. Для инженера, которому нужно срочно получить доступ к удалённой панели, активация встроенного VNC-сервера занимает минуты против нескольких дней согласования и внедрения проприетарного решения.

Кроме того, VNC позволяет удобно организовать коллективную работу: несколько наблюдателей могут одновременно видеть экран панели, что полезно при проведении обучения или совместной диагностики. В отличие от, к примеру, стандартного протокола RDP для Windows, ограниченного одной активной сессией, VNC даёт администратору возможность гибко настраивать количество одновременных подключений.

Наконец, VNC не зависит от облачной инфраструктуры, а работает напрямую по TCP/IP. Это означает, что она способна функционировать в изолированных промышленных сетях, где нет доступа в общий интернет, и не создаёт зависимости от сторонних облачных сервисов.

Подводные камни универсальности

Необходимо помнить, что простота и доступность VNC имеют оборотную сторону, с которой приходится считаться. Базовый протокол передаёт весь трафик (включая пароли и команды управления) в незашифрованном виде. Это означает, что злоумышленник, получивший доступ к сети, может перехватывать и анализировать пакеты, восстанавливая учётные данные и наблюдая за действиями оператора. Кроме того, стандартная аутентификация VNC часто ограничивается простым паролем до 8 символов, который может быть подобран методом перебора.

Данная проблема имеет глобальный масштаб. По данным исследований американской компании Forescout Technologies, в интернете доступно около 1,6 миллиона VNC-серверов, причём почти 60 000 из них не требуют аутентификации вообще. Среди них обнаружено 670 систем, которые предоставляют прямой доступ к интерфейсам, управляющим реальными производственными процессами. Коллеги-исследователи с платформы Cyble выявили более 8 000 VNC-узлов без пароля, включая множество HMI- и SCADA-систем. В одном из случаев открытый доступ вёл к панели управления насосами на удалённой SCADA-системе производственного предприятия.

Уязвимости VNC регулярно фиксируются в официальных базах данных. Об этом официально предупреждают многие мировые производители, включая Siemens, Weintek, Omron, B&R и другие. Особую тревогу вызывают случаи использования жёстко закодированных паролей в VNC-серверах, которые невозможно изменить.

Для взлома злоумышленники применяют простые, но эффективные методы сканирования интернета в поисках открытых VNC-портов с последующим перебором паролей или использованием стандартных учётных данных, оставленных производителем по умолчанию. Получив доступ к HMI-панели, можно менять уставки и параметры оборудования, отключать механизмы сигнализации, менять пароли администраторов.

Поэтому крайне важно обеспечить безопасное использование VNC, о чём речь пойдёт ниже.

Практика безопасного использования VNC

Главный вопрос состоит не в том, нужно ли вообще использовать VNC, а в том, как использовать его правильно. Мировой опыт в сфере кибербезопасности позволяет сформулировать несколько ключевых принципов безопасного применения VNC в промышленной среде.

Первый и самый важный из них: VNC-серверы никогда не должны быть доступны напрямую из интернета. Если требуется удалённый доступ, он должен осуществляться через VPN-туннель или защищённый шлюз с многофакторной аутентификацией. Это закрывает основную уязвимость – возможность сканирования и атак из глобальной сети.

Второй принцип: после интеграции пароли по умолчанию должны быть немедленно заменены на сложные и уникальные. Использование стандартных учётных данных является одной из главных причин успешного взлома промышленной сети. Если позволяет панель оператора, желательно включить шифрование VNC-трафика для дополнительной защиты.

Третий принцип: VNC следует отключать, когда он не используется. Включать удалённый доступ имеет смысл только на время выполнения конкретных задач.

Четвёртый принцип: промышленная сеть должна быть сегментирована согласно стандартам IEC 62443. Промышленные системы автоматизации и управления должны быть изолированы от бизнес-сетей и тем более – от интернета. Даже если VNC-сервер скомпрометирован, нарушитель не должен получить доступ к другим критическим системам.

Пятый принцип: необходимо вести логирование всех сессий удалённого доступа и регулярно мониторить сетевой трафик на предмет подозрительной активности – сканирования, попыток перебора паролей, необычных подключений и т.д.

Заключение

Промышленный VNC – это живой, активно использующийся пример инструмента с двойственной природой. С одной стороны, он предоставляет инженерам и операторам невероятно удобный и экономичный способ удалённого доступа к HMI-панелям, который поддерживают практически все производители оборудования. С другой – его базовая реализация скрывает в себе серьёзные уязвимости, которые уже неоднократно использовались для реальных атак на критическую инфраструктуру.

Необходимо особо выделить, что VNC-системы не являются небезопасными по своей сути. Небезопасным является их неправильное использование. В изолированной промышленной сети, с сильными паролями, через VPN-туннель и при регулярном мониторинге VNC остаётся отличным рабочим инструментом.

Безопасность в промышленной автоматизации – это непрерывный процесс, требующий постоянного внимания, регулярных обновлений и осознанного подхода к каждому инструменту, включая такой привычный и, казалось бы, простой, как VNC.