У гэтым годзе мы пачалі вялікі праект па стварэнні кіберпалігона – пляцоўкі для кіберучэнняў кампаній розных галін. Для гэтага трэба стварыць віртуальныя інфраструктуры, "ідэнтычныя натуральным" – каб яны паўтаралі тыпавое ўнутранае прылада банка, энергетычнай кампаніі і г.д., прычым не толькі ў частцы карпаратыўнага сегмента сеткі. Крыху пазней раскажам аб банкаўскай і іншых інфраструктурах кіберпалігона, а сёння - аб тым, як мы вырашалі гэтую задачу ў дачыненні да тэхналагічнаму сегменту прамысловага прадпрыемства.
Вядома, тэма кіберучэнняў і кіберпалігонаў узнікла не ўчора. На Захадзе ўжо дастаткова даўно сфарміравалася кола канкуруючых прапаноў, розных падыходаў да кібервучэнняў, а таксама і проста лепшыя практыкі. "Добры тон" службы ИБ – перыядычна адпрацоўваць гатоўнасць да адлюстравання кібератак на практыцы. Для Расіі ж гэта пакуль новая тэма: так, ёсць невялікая прапанова, і яна ўзнікла некалькі гадоў таму, але попыт, асабліва ў прамысловых галінах, стаў пакрысе фармавацца толькі зараз. Мы лічым, на гэта значыць тры асноўныя прычыны - яны ж праблемы, якія ўжо сталі вельмі відавочнымі.
Свет мяняецца занадта хутка
Яшчэ 10 гадоў таму хакеры атакавалі, у асноўным, тыя арганізацыі, адкуль яны маглі хутка вывесці грошы. Для прамысловасці гэтая пагроза была менш рэлевантнай. Цяпер мы бачым, што прадметам іх цікавасці становяцца і інфраструктуры дзяржаўных арганізацый, энергетычных, прамысловых прадпрыемстваў. Тут мы часцей маем справу са спробамі шпіянажу, крадзяжы дадзеных у розных мэтах (канкурэнтная разведка, шантаж), а таксама атрыманнем кропак прысутнасці ў інфраструктуры для далейшага продажу іх зацікаўленым таварышам. Ну, і нават банальныя шыфравальшчыкі тыпу WannaCry зачапілі нямала падобных аб'ектаў па ўсім свеце. Таму сучасныя рэаліі патрабуюць ад ИБ-спецыялістаў улічваць гэтыя рызыкі і фармаваць новыя працэсы інфармацыйнай бяспекі. У прыватнасці, рэгулярна падвышаць кваліфікацыю і адпрацоўваць менавіта практычныя навыкі. Персанал на ўсіх узроўнях аператыўна-дыспетчарскага кіравання прамысловымі аб'ектамі павінен мець дакладнае разуменне, якія дзеянні рабіць у выпадку кібератакі. Але праводзіць кібернавучання на ўласнай інфраструктуры - звольніце, рызыкі відавочна перавешваюць магчымую карысць.
Неразуменне рэальных магчымасцяў зламыснікаў па ўзломе АСК ТП і IIoT-сістэм
Гэтая праблема існуе на ўсіх узроўнях арганізацый: нават не ўсе адмыслоўцы разумеюць, што наогул можа адбыцца з іх сістэмай, якія ёсць вектары нападу на яе. Што ўжо казаць аб кіраўніцтве.
Бяспекі часта апелююць да «паветранага зазору», які нібыта не дазволіць зламысніку сысці далей карпаратыўнай сеткі, але практыка паказвае, што ў 90% арганізацый ёсць сувязь паміж карпаратыўным і тэхналагічным сегментам. Пры гэтым самі элементы пабудовы і кіравання тэхналагічнымі сеткамі таксама часта маюць уразлівасці, што мы, у прыватнасці, убачылі, даследуючы абсталяванне. и .
Цяжка пабудаваць адэкватную мадэль пагроз
Апошнія гады пастаянна ідзе працэс ускладнення інфармацыйных і аўтаматызаваных сістэм, а таксама пераход да кіберфізічных сістэм, якія прадугледжваюць інтэграцыю вылічальных рэсурсаў і фізічнага абсталявання. Сістэмы становяцца настолькі складанымі, што аналітычнымі метадамі прадказаць усе наступствы кібератак проста немагчыма. Гаворка ідзе не толькі аб эканамічным уроне для арганізацыі, але і аб ацэнцы наступстваў, зразумелых для тэхнолага і для галіны - недаадпуск электраэнергіі, напрыклад, або іншага віду прадукцыі, калі мы гаворым аб нафтагазе або нафтахіміі. І як у такой сітуацыі выставіць прыярытэты?
Уласна, гэта ўсё, на наш погляд, і стала перадумовамі да ўзнікнення канцэпцыі кіберучэнняў і кіберпалігонаў у Расіі.
Як уладкованы тэхналагічны сегмент кіберпалігона
Кіберпалігон - гэта комплекс віртуальных інфраструктур, якія паўтараюць тыпавыя інфраструктуры прадпрыемстваў розных галін. Ён дазваляе "патрэніравацца на котках" - адпрацаваць практычныя навыкі спецыялістаў без рызык, што нешта пойдзе не па плане, і кібернавучання нанясуць шкоду дзейнасці рэальнага прадпрыемства. Буйныя ИБ-кампаніі пачынаюць развіваць гэты кірунак, і паглядзець на падобныя кібервучанні ў гульнявым фармаце можна, напрыклад, на Positive Hack Days.
Тыпавая схема сеткавай інфраструктуры ўмоўнага буйнога прадпрыемства або карпарацыі - гэта досыць стандартны набор сервераў, працоўных кампутараў і розных сеткавых прылад з тыпавым жа наборам карпаратыўнага ПА і сістэм інфармацыйнай бяспекі. Галіновы кіберпалігон - гэта ўсё тое ж самае плюс сур'ёзная спецыфіка, рэзка ўскладняе віртуальную мадэль.
Як мы наблізілі кіберпалігон да рэальнасці
Канцэптуальна аблічча індустрыяльнай часткі кіберпалігона залежыць ад абранага метаду мадэлявання складанай кіберфізічнай сістэмы. Асноўных падыходаў да мадэлявання тры:
Кожны з гэтых падыходаў мае свае перавагі і недахопы. У розных выпадках, у залежнасці ад канчатковай мэты і наяўных абмежаванняў, могуць ужывацца ўсе тры паказаных вышэй спосабу мадэлявання. Для таго, каб фармалізаваць выбар гэтых спосабаў, мы склалі наступны алгарытм:
Плюсы і мінусы розных метадаў мадэлявання можна прадставіць у выглядзе дыяграмы, дзе вось ардынат - гэта ахоп абласцей даследавання (г.зн. гнуткасць прапанаванага інструмента мадэлявання), а вось абсцыс - дакладнасць мадэлявання (ступень адпаведнасці рэальнай сістэме). Атрымліваецца практычна квадрат Гартнера:
Такім чынам, аптымальным па суадносінах дакладнасці і гнуткасці мадэлявання з'яўляецца так званае паўнатурнае мадэляванне (hardware-in-the-loop, HIL). У рамках такога падыходу кіберфізічная сістэма часткова мадэлюецца з дапамогай рэальнага абсталявання, а часткова - з дапамогай матэматычных мадэляў. Напрыклад, электрычная падстанцыя можа быць прадстаўлена рэальнымі мікрапрацэсарнымі прыладамі (тэрміналамі рэлейнай абароны), серверамі аўтаматызаваных сістэм кіравання і іншым другасным абсталяваннем, а самі фізічныя працэсы, якія адбываюцца ў электрычнай сетцы – рэалізаваны з дапамогай кампутарнай мадэлі. Окей, з метадам мадэлявання вызначыліся. Пасля гэтага неабходна было распрацаваць архітэктуру кіберпалігона. Каб кібервучэнні былі сапраўды карысныя, усе ўзаемасувязі рэальнай складанай кіберфізічнай сістэмы павінны быць максімальна сапраўды ўзноўлены на палігоне. Таму, у нас, як і ў рэальным жыцці, тэхналагічная частка кіберпалігона складаецца з некалькіх узаемадзейнічаюць паміж сабой узроўняў. Нагадаю, што тыпавая інфраструктура прамысловых сетак уключае самы ніжні ўзровень, да якога ставіцца так званае «першаснае абсталяванне» - гэта оптавалакно, электрычная сетка або нешта яшчэ - у залежнасці ад галіны. Яно абменьваецца дадзенымі і кіруецца спецыялізаванымі прамысловымі кантролерамі, а тыя, у сваю чаргу, SCADA-сістэмамі.
Мы пачалі стварэнне прамысловай часткі кіберпалгона з энергетычнага сегмента, які для нас зараз у прыярытэце (у планах - нафтагазавая і хімічная прамысловасць).
Відавочна, што ўзровень першаснага абсталявання немагчыма рэалізаваць праз натурнае мадэляванне з выкарыстаннем рэальных аб'ектаў. Таму на першым этапе мы распрацавалі матэматычную мадэль энергааб'екта і прылеглага ўчастка энергасістэмы. Дадзеная мадэль уключае ў сябе ўсё сілавое абсталяванне падстанцый – лініі электраперадачы, трансфарматары і гэтак далей, і выконваецца ў спецыяльным праграмным комплексе RSCAD. Створаная такім чынам мадэль можа апрацоўвацца вылічальным комплексам рэальнага часу - яго асноўная фішка ў тым, што час працэсу ў рэальнай сістэме і час працэсу ў мадэлі абсалютна ідэнтычныя - гэта значыць, калі ў рэальнай сетцы кароткае замыканне доўжыцца дзве секунды, роўна столькі ж яно будзе мадэлявацца у RSCAD). Атрымліваем "жывы" ўчастак электраэнергетычнай сістэмы, які функцыянуе па ўсіх законах фізікі і нават які рэагуе на вонкавыя ўздзеянні (напрыклад, спрацоўванні тэрміналаў рэлейнай абароны і аўтаматыкі, адключэнне выключальнікаў і т.д.). Узаемадзеянні з вонкавымі прыладамі атрымалася дамагчыся з дапамогай спецыялізаваных наладжвальных інтэрфейсаў сувязі, якія дазваляюць матэматычнай мадэлі ўзаемадзейнічаць з узроўнем кантролераў і ўзроўнем аўтаматызаваных сістэм.
А вось ужо самі ўзроўні кантролераў і аўтаматызаваных сістэм кіравання энергааб'екта можна ствараць з дапамогай рэальнага прамысловага абсталявання (хоць, пры неабходнасці, мы можам таксама выкарыстоўваць віртуальныя мадэлі). На двух дадзеных узроўнях размяшчаюцца, адпаведна, кантролеры і сродкі аўтаматызацыі (РЗА, PMU, УСПД, лічыльнікі) і аўтаматызаваныя сістэмы кіравання (SCADA, АВК, АІСКУЭ). Натурнае мадэляванне дазваляе значна павысіць рэалістычнасць мадэлі і, адпаведна, саміх кіберучэнняў, паколькі каманды будуць узаемадзейнічаць з рэальным прамысловым абсталяваннем, якое мае свае асаблівасці, багі і ўразлівасці.
На трэцім этапе мы рэалізавалі ўзаемадзеянне матэматычнай і фізічнай частак мадэлі з дапамогай спецыялізаваных апаратных і праграмных інтэрфейсаў і ўзмацняльнікаў сігналу.
У выніку інфраструктура выглядае прыкладна так:
Усё абсталяванне палігона ўзаемадзейнічае паміж сабой гэтак жа, як і ў рэальнай кіберфізічнай сістэме. Калі казаць больш прадметна, то пры пабудове гэтай мадэлі мы выкарыстоўвалі наступнае абсталяванне і вылічальныя сродкі:
- Вылічальны комплекс RTDS для правядзення разліку "у рэальным часе";
- Аўтаматызаванае працоўнае месца (АРМ) аператара з усталяваным праграмным забеспячэннем для мадэлявання тэхналагічнага працэсу і першаснага абсталявання электрычных падстанцый;
- Шафы з абсталяваннем сувязі, тэрміналамі РЗА, і абсталяваннем АСК ТП;
- Шафы ўзмацняльнікаў, прызначаныя для ўзмацнення аналагавых сігналаў з платы лічба-аналагавага пераўтваральніка сімулятара RTDS. Кожная шафа ўзмацняльнікаў утрымоўвае розны набор блокаў узмацнення, выкарыстоўваных для фармавання ўваходных сігналаў току і напругі для доследных тэрміналаў РЗА. Уваходныя сігналы ўзмацняюцца да ўзроўня, патрабаванага для звычайнай працы тэрміналаў РЗА.
Гэта не адзіна магчымае рашэнне, але, на наш погляд, яно аптымальнае для правядзення кіберучэнняў, бо адлюстроўвае рэальную архітэктуру абсалютнай большасці сучасных падстанцый, і пры гэтым яе можна кастамізаваць так, каб максімальна сапраўды ўзнавіць нейкія асаблівасці пэўнага аб'екта.
У заключэнне
Кіберпалігон - велізарны праект, і наперадзе яшчэ маса працы. Мы, з аднаго боку, вывучаем досвед заходніх калегаў, з іншай - шматлікае прыходзіцца рабіць, абапіраючыся на свой досвед працы менавіта з расійскімі прамысловымі прадпрыемствамі, паколькі спецыфіка ёсць не толькі ў розных галін, але і ў розных краін. Гэта і складаная, і цікавая тэма.
Тым не менш, перакананыя, што мы ў Расіі дасягнулі таго, як прынята казаць, «узроўня сталасці», калі і ў прамысловасці ўзнікае разуменне запатрабавання ў кібервучэннях. Гэта значыць, што хутка і ў галіны з'явяцца свае лепшыя практыкі, і ўзроўнем абароненасці мы, спадзяюся, умацуемся.
Аўтары
Алег Архангельскі, вядучы аналітык-метадолаг праекта "Індустрыяльны кіберпалігон".
Дзмітрый Сютаў, галоўны інжынер праекта "Індустрыяльны кіберпалігон";
Андрэй Кузняцоў, кіраўнік праекта "Індустрыяльны кіберпалігон", намеснік кіраўніка Лабараторыі Кібербяспекі АСК ТП па вытворчасці
Крыніца: habr.com