Обычный Nmap без
--max-rate, который в корпоративной сети отработает за минуту и ни один IDS не моргнёт. В промышленной сети тот же скан положил Siemens S7-300 за 40 секунд. Оператор увидел пустой экран HMI, нажал аварийную остановку. Простой — 22 минуты. Это реальная история, и она отлично объясняет, почему тестирование АСУ ТП — отдельная дисциплина.🎇В чём ключевая разница?
В IT-среде приоритет — конфиденциальность данных. Упал сервер — перезагрузили, максимум потеряли логи. В OT-среде приоритет — безопасность людей и непрерывность процесса. Неправильная команда в holding register ПЛК физически меняет состояние оборудования: открывает клапан, останавливает насос, меняет скорость турбины.
Протокол Modbus TCP — стандарт де-факто для большинства промышленных установок — не имеет аутентификации вообще. Любой узел, способный отправить TCP-пакет на порт
502, может выполнить function code 0x06 (Write Single Register) — и контроллер исполнит команду без вопросов. Это не баг. Это архитектура протокола 1979 года, спроектированного для изолированных серийных шин, которые никто не планировал подключать к Ethernet.Что ломает привычную методологию:
⏺️ПЛК может зависнуть от 50 пакетов/сек — там, где сервер переварит тысячи
⏺️Оборудование живёт 15–25 лет, патчи ставят раз в месяцы или годы
⏺️EDR и антивирус — редкость, потому что real-time constraints не позволяют
⏺️Сеть часто плоская: никакой микросегментации, формальный firewall на границе с IT
По данным IBM X-Force 2025, средний разрыв между публикацией CVE и установкой патча — 29 месяцев. В OT-среде, где окно обслуживания открывается раз в полгода, этот разрыв ещё больше.
Вспомните TRITON (2017): атакующие перепрограммировали SIS-контроллер Triconex, чтобы отключить защитные механизмы перед основной атакой. Обнаружили случайно — из-за ошибки в payload, вызвавшей аварийную остановку. Industroyer (2016) использовал штатные команды промышленных протоколов для размыкания выключателей подстанций. Никаких эксплойтов — легитимные function codes в нужный момент.
Бизнес-логика атаки на SCADA проста: злоумышленник не крадёт данные — он получает контроль над физическим процессом. Для ransomware-групп это рычаг давления (остановленное производство = миллионные убытки в час). Для APT — потенциальное разрушение инфраструктуры.
В полной статье — kill chain ICS-пентеста по MITRE ATT&CK, инструменты (PLCScan, Redpoint, Metasploit ICS-модули), пассивная разведка через Shodan и практические приёмы безопасного сканирования. Читайте целиком — там всё по шагам.
➡️https://codeby.net/threads/pentest-scada-sistem-ot-modbus-razvedki-do-kontrolya-plk-v-production-srede.93891/