Как изградихме виртуална инфраструктура за индустриално кибер обучение

Тази година започнахме голям проект за създаване на кибер полигон – платформа за кибер учения за компании от различни индустрии. За целта е необходимо да се създадат виртуални инфраструктури, които са „идентични на естествените“ – така че да копират типичната вътрешна структура на банка, енергийна компания и др., а не само по отношение на корпоративния сегмент на мрежата. . Малко по-късно ще говорим за банковата и други инфраструктури от кибер гамата, а днес ще говорим за това как решихме този проблем по отношение на технологичния сегмент на индустриално предприятие.

Разбира се, темата за кибер ученията и кибер полигоните не възникна вчера. На Запад отдавна се формира кръг от конкуриращи се предложения, различни подходи към кибер ученията и просто най-добри практики. „Добрата форма” на службата за информационна сигурност е периодично да отработва на практика готовността си за отблъскване на кибератаки. За Русия това все още е нова тема: да, има малко предлагане и то се появи преди няколко години, но търсенето, особено в индустриалните сектори, започна постепенно да се формира едва сега. Смятаме, че има три основни причини за това – те също са проблеми, които вече са станали много очевидни.

Светът се променя твърде бързо

Само преди 10 години хакерите атакуваха главно онези организации, от които можеха бързо да теглят пари. За индустрията тази заплаха беше по-малко релевантна. Сега виждаме, че обект на техен интерес става и инфраструктурата на държавните организации, енергийните и индустриални предприятия. Тук по-често се занимаваме с опити за шпионаж, кражба на данни за различни цели (конкурентно разузнаване, изнудване), както и получаване на точки на присъствие в инфраструктурата за по-нататъшна продажба на заинтересовани другари. Е, дори банални криптори като WannaCry са хванали доста подобни обекти по света. Ето защо съвременните реалности изискват от специалистите по информационна сигурност да отчитат тези рискове и да създават нови процеси за информационна сигурност. По-специално, редовно подобрявайте квалификацията си и практикувайте практически умения. Персоналът на всички нива на оперативен диспечерски контрол на индустриални съоръжения трябва да има ясно разбиране какви действия да предприеме в случай на кибератака. Но да провеждате киберучения върху собствената си инфраструктура - съжалявам, рисковете явно надвишават възможните ползи.

Липса на разбиране на реалните възможности на нападателите да хакнат системи за контрол на процеси и системи за IIoT

Този проблем съществува на всички нива на организацията: дори не всички специалисти разбират какво може да се случи с тяхната система, какви вектори на атака са налични срещу нея. Какво можем да кажем за ръководството?

Експертите по сигурността често апелират към „въздушната междина“, която уж няма да позволи на нападателя да стигне по-далеч от корпоративната мрежа, но практиката показва, че в 90% от организациите има връзка между корпоративния и технологичния сегмент. В същото време самите елементи на изграждане и управление на технологични мрежи също често имат уязвимости, които ние, по-специално, видяхме при изследване на оборудването мокса и Schneider Electric.

Трудно е да се изгради адекватен модел на заплаха

През последните години се наблюдава постоянен процес на нарастваща сложност на информационните и автоматизираните системи, както и преход към киберфизични системи, които включват интегриране на изчислителни ресурси и физическо оборудване. Системите стават толкова сложни, че е просто невъзможно да се предвидят всички последствия от кибератаките с помощта на аналитични методи. Говорим не само за икономически щети за организацията, но и за оценка на последствията, които са разбираеми за технолога и за индустрията - недостиг на електроенергия, например, или друг вид продукт, ако говорим за нефт и газ или нефтохимикали. И как да си поставим приоритетите в такава ситуация?

Всъщност всичко това, според нас, стана предпоставка за появата на концепцията за кибер учения и кибер полигони в Русия.

Как работи технологичният сегмент на кибер гамата

Кибер полигонът е комплекс от виртуални инфраструктури, които възпроизвеждат типични инфраструктури на предприятия в различни индустрии. Тя ви позволява да „практикувате върху котки“ - да практикувате практическите умения на специалисти, без риск нещо да не върви по план и киберупражненията ще навредят на дейностите на истинско предприятие. Големите компании за киберсигурност започват да развиват тази област и можете да гледате подобни киберупражнения във формат на игра, например на Positive Hack Days.

Типична диаграма на мрежова инфраструктура за голямо предприятие или корпорация е сравнително стандартен набор от сървъри, работни компютри и различни мрежови устройства със стандартен набор от корпоративен софтуер и системи за информационна сигурност. Индустриалната кибер полигон е една и съща, плюс сериозни специфики, които драстично усложняват виртуалния модел.

Как доближихме кибер гамата до реалността

Концептуално облика на индустриалната част на кибер полигона зависи от избрания метод за моделиране на сложна киберфизическа система. Има три основни подхода към моделирането:

Всеки от тези подходи има своите предимства и недостатъци. В различни случаи, в зависимост от крайната цел и съществуващите ограничения, могат да се използват и трите метода за моделиране по-горе. За да формализираме избора на тези методи, сме съставили следния алгоритъм:

Плюсовете и минусите на различните методи за моделиране могат да бъдат представени под формата на диаграма, където оста y е покритието на областите на изследване (т.е. гъвкавостта на предложения инструмент за моделиране), а оста x е точността на симулацията (степента на съответствие с реалната система). Оказва се почти квадрат на Gartner:

По този начин оптималният баланс между точност и гъвкавост на моделирането е така нареченото полуестествено моделиране (hardware-in-the-loop, HIL). В рамките на този подход киберфизическата система се моделира отчасти с помощта на реално оборудване и отчасти с помощта на математически модели. Например, електрическа подстанция може да бъде представена от реални микропроцесорни устройства (терминали за релейна защита), сървъри на автоматизирани системи за управление и друго вторично оборудване, а самите физически процеси, протичащи в електрическата мрежа, се изпълняват с помощта на компютърен модел. Добре, избрахме метода на моделиране. След това беше необходимо да се разработи архитектурата на кибер гамата. За да бъдат киберученията наистина полезни, всички взаимовръзки на една реална сложна киберфизическа система трябва да бъдат пресъздадени възможно най-точно на тестовата площадка. Следователно у нас, както и в реалния живот, технологичната част на киберобхвата се състои от няколко взаимодействащи си нива. Позволете ми да ви напомня, че типичната индустриална мрежова инфраструктура включва най-ниското ниво, което включва така нареченото „първично оборудване“ - това е оптично влакно, електрическа мрежа или нещо друго, в зависимост от индустрията. Той обменя данни и се управлява от специализирани индустриални контролери, а тези от своя страна от SCADA системи.

Започнахме да създаваме индустриалната част на киберсайта от енергийния сегмент, който сега е наш приоритет (в плановете ни са нефтената и газовата и химическата промишленост).

Очевидно е, че нивото на първично оборудване не може да се реализира чрез пълномащабно моделиране с използване на реални обекти. Затова на първия етап разработихме математически модел на енергийното съоръжение и прилежащия участък от електроенергийната система. Този модел включва цялото енергийно оборудване на подстанции – електропроводи, трансформатори и др., и се изпълнява в специален софтуерен пакет RSCAD. Създаденият по този начин модел може да се обработва от изчислителен комплекс в реално време - основната му характеристика е, че времето на процеса в реалната система и времето на процеса в модела са абсолютно идентични - т.е., ако късо съединение в реален мрежа продължава две секунди, тя ще бъде симулирана точно толкова време в RSCAD). Получаваме „жива“ част от електрическата система, функционираща по всички закони на физиката и дори реагираща на външни влияния (например задействане на клеми за релейна защита и автоматизация, задействане на превключватели и др.). Взаимодействието с външни устройства беше постигнато с помощта на специализирани персонализирани комуникационни интерфейси, позволяващи на математическия модел да взаимодейства с нивото на контролерите и нивото на автоматизираните системи.

Но нивата на контролери и автоматизирани системи за управление на енергийно съоръжение могат да бъдат създадени с помощта на реално индустриално оборудване (въпреки че, ако е необходимо, можем да използваме и виртуални модели). На тези две нива има съответно контролери и оборудване за автоматизация (релейна защита, PMU, USPD, измервателни уреди) и автоматизирани системи за управление (SCADA, OIK, AIISKUE). Пълномащабното моделиране може значително да увеличи реализма на модела и съответно на самите киберучения, тъй като екипите ще взаимодействат с реално индустриално оборудване, което има свои собствени характеристики, грешки и уязвимости.

На третия етап реализирахме взаимодействието на математическата и физическата част на модела с помощта на специализирани хардуерни и софтуерни интерфейси и усилватели на сигнала.

В резултат на това инфраструктурата изглежда така:

Цялото оборудване на тестовата площадка взаимодейства едно с друго по същия начин, както в реална киберфизическа система. По-конкретно, при изграждането на този модел използвахме следното оборудване и изчислителни инструменти:

• Изчислителен комплекс RTDS за извършване на изчисления в “реално време”;
• Автоматизирано работно място (АРМ) на оператор с инсталиран софтуер за моделиране на технологичния процес и основно оборудване на електрически подстанции;
• Шкафове с комуникационно оборудване, терминали за релейна защита и автоматика, както и оборудване за автоматизирано управление на процесите;
• Усилвателни шкафове, предназначени да усилват аналогови сигнали от цифрово-аналоговата преобразувателна платка на RTDS симулатора. Всеки усилвателен шкаф съдържа различен набор от усилващи блокове, използвани за генериране на входни сигнали за ток и напрежение за изследваните клеми за релейна защита. Входните сигнали се усилват до нивото, необходимо за нормална работа на клемите за релейна защита.

Това не е единственото възможно решение, но според нас е оптимално за провеждане на киберучения, тъй като отразява реалната архитектура на по-голямата част от съвременните подстанции и в същото време може да бъде персонализирано така, че да пресъздаде като възможно най-точно някои характеристики на конкретен обект.

В заключение

Кибер гамата е огромен проект и предстои още много работа. От една страна, ние изучаваме опита на нашите западни колеги, от друга страна, трябва да направим много въз основа на нашия опит в работата конкретно с руски промишлени предприятия, тъй като не само различните индустрии, но и различните страни имат специфика. Това е едновременно сложна и интересна тема.
Въпреки това, ние сме убедени, че ние в Русия сме достигнали това, което обикновено се нарича „ниво на зрялост“, когато индустрията също разбира необходимостта от киберучения. Това означава, че скоро индустрията ще има свои собствени най-добри практики и се надяваме да подобрим нивото си на сигурност.

Автори

Олег Архангелски, водещ анализатор и методолог на проекта Industrial Cyber ​​​​Test Site.
Дмитрий Сютов, главен инженер на проекта Industrial Cyber ​​​​Test Site;
Андрей Кузнецов, ръководител на проекта „Индустриална кибернетична тестова площадка“, заместник-ръководител на лабораторията за киберсигурност на автоматизираните системи за управление на процесите за производство

Източник: www.habr.com