{"id":92390,"date":"2020-08-26T19:42:10","date_gmt":"2020-08-26T17:42:10","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-my-postroili-virtualnuyu-infrastrukturu-dlya-kiberuchenij-promyshlennyh-predpriyatij"},"modified":"2020-08-26T19:42:10","modified_gmt":"2020-08-26T17:42:10","slug":"kak-my-postroili-virtualnuyu-infrastrukturu-dlya-kiberuchenij-promyshlennyh-predpriyatij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/kak-my-postroili-virtualnuyu-infrastrukturu-dlya-kiberuchenij-promyshlennyh-predpriyatij","title":{"rendered":"Jak jsme vybudovali virtu\u00e1ln\u00ed infrastrukturu pro kybernetick\u00e1 cvi\u010den\u00ed pr\u016fmyslov\u00fdch podnik\u016f","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Jak
\n
\nLetos jsme zah\u00e1jili velk\u00fd projekt na vytvo\u0159en\u00ed kyberpolygonu \u2013 prostoru pro kybernetick\u00e9 cvi\u010den\u00ed firem z r\u016fzn\u00fdch odv\u011btv\u00ed. K tomu je t\u0159eba vytvo\u0159it virtu\u00e1ln\u00ed infrastruktury, \"identick\u00e9 k re\u00e1ln\u00fdm\" \u2013 aby kop\u00edrovaly typovou vnit\u0159n\u00ed strukturu banky, energetick\u00e9 spole\u010dnosti atd., a to nejen v \u010d\u00e1sti firemn\u00edho segmentu s\u00edt\u011b. O bankovn\u00edch a dal\u0161\u00edch infrastruktur\u00e1ch kyberpolygonu se brzy pod\u011bl\u00edme, dnes se v\u0161ak zam\u011b\u0159\u00edme na to, jak jsme tuto \u00falohu \u0159e\u0161ili pro technologick\u00fd segment pr\u016fmyslov\u00e9ho podniku.
\n<\/a><\/noindex>
\nSamoz\u0159ejm\u011b, t\u00e9ma kybernetick\u00fdch cvi\u010den\u00ed a kyberpolygonu nevzniklo v\u010dera. Na Z\u00e1pad\u011b u\u017e dlouho existuje \u0159ada konkuren\u010dn\u00edch nab\u00eddek, r\u016fzn\u00fdch p\u0159\u00edstup\u016f k kybernetick\u00fdm cvi\u010den\u00edm, a samoz\u0159ejm\u011b tak\u00e9 nejlep\u0161\u00ed praxe. \"Dobrou prax\u00ed\" slu\u017eeb informa\u010dn\u00ed bezpe\u010dnosti je periodicky prov\u011b\u0159ovat p\u0159ipravenost k odra\u017een\u00ed kybernetick\u00fdch \u00fatok\u016f v praxi. Pro Rusko je to zat\u00edm nov\u00e9 t\u00e9ma: ano, existuje mal\u00e1 nab\u00eddka, kter\u00e1 vznikla p\u0159ed n\u011bkolika lety, ale popt\u00e1vka, zejm\u00e9na v pr\u016fmyslov\u00fdch odv\u011btv\u00edch, se teprve nyn\u00ed za\u010d\u00edn\u00e1 pomalu formovat. Domn\u00edv\u00e1me se, \u017ee jsou k tomu t\u0159i hlavn\u00ed d\u016fvody \u2013 tedy i probl\u00e9my, kter\u00e9 se ji\u017e staly dost z\u0159ejm\u00fdmi.<\/p>\n

Sv\u011bt se m\u011bn\u00ed p\u0159\u00edli\u0161 rychle<\/b><\/p>\n

Je\u0161t\u011b p\u0159ed 10 lety \u00fato\u010dili hacke\u0159i p\u0159ev\u00e1\u017en\u011b na organizace, odkud mohli rychle z\u00edskat pen\u00edze. Pro pr\u016fmysl byla tato hrozba m\u00e9n\u011b relevantn\u00ed. Dnes vid\u00edme, \u017ee jejich z\u00e1jem se obrac\u00ed i na infrastruktury st\u00e1tn\u00edch organizac\u00ed, energetick\u00fdch a pr\u016fmyslov\u00fdch podnik\u016f. Zde se \u010dast\u011bji setk\u00e1v\u00e1me s pokusy o \u0161pion\u00e1\u017e, kr\u00e1de\u017e dat pro r\u016fzn\u00e9 \u00fa\u010dely (konkuren\u010dn\u00ed vyzv\u011bda\u010dstv\u00ed, vyd\u00edr\u00e1n\u00ed) a tak\u00e9 s pokusy o zaji\u0161t\u011bn\u00ed p\u0159\u00edstupov\u00fdch bod\u016f v infrastruktu\u0159e pro pozd\u011bj\u0161\u00ed prodej zainteresovan\u00fdm stran\u00e1m. A i b\u011b\u017en\u00e9 ransomware, jako je WannaCry, zas\u00e1hly mnoh\u00e9 takov\u00e9 objekty po cel\u00e9m sv\u011bt\u011b. Sou\u010dasn\u00e9 skute\u010dnosti tedy vy\u017eaduj\u00ed, aby se specialist\u00e9 v oblasti informa\u010dn\u00ed bezpe\u010dnosti zab\u00fdvali t\u011bmito riziky a vytv\u00e1\u0159eli nov\u00e9 procesy. Zvl\u00e1\u0161t\u011b je t\u0159eba pravideln\u011b zvy\u0161ovat kvalifikaci a cvi\u010dit praktick\u00e9 dovednosti. Person\u00e1l na v\u0161ech \u00farovn\u00edch operativn\u00edho \u0159\u00edzen\u00ed pr\u016fmyslov\u00fdch objekt\u016f by m\u011bl m\u00edt jasn\u00e9 pov\u011bdom\u00ed o tom, jak\u00e9 kroky podniknout v p\u0159\u00edpad\u011b kybernetick\u00e9ho \u00fatoku. Prov\u00e1d\u011bt kybernetick\u00e1 cvi\u010den\u00ed na vlastn\u00ed infrastruktu\u0159e? Omlouv\u00e1m se, rizika jasn\u011b p\u0159evy\u0161uj\u00ed mo\u017en\u00e9 p\u0159\u00ednosy. <\/p>\n

Nerozum\u011bn\u00ed re\u00e1ln\u00fdm schopnostem \u00fato\u010dn\u00edk\u016f p\u0159i prolomen\u00ed A\u0421U TP a IIoT syst\u00e9m\u016f<\/b><\/p>\n

Tento probl\u00e9m existuje na v\u0161ech \u00farovn\u00edch organizac\u00ed: ani ne v\u0161ichni specialist\u00e9 ch\u00e1pou, co se s jejich syst\u00e9mem m\u016f\u017ee v\u016fbec st\u00e1t, jak\u00e9 postoje k \u00fatoku na n\u011bj existuj\u00ed. Co teprve mluvit o veden\u00ed.<\/p>\n

Bezpe\u010dnostn\u00ed specialist\u00e9 \u010dasto poukazuj\u00ed na \"vzduchovou mezeru\", kter\u00e1 \u00fadajn\u011b br\u00e1n\u00ed \u00fato\u010dn\u00edkovi proniknout d\u00e1l do firemn\u00ed s\u00edt\u011b, ale praxe ukazuje, \u017ee v 90 % organizac\u00ed existuje spojen\u00ed mezi firemn\u00edm a technologick\u00fdm segmentem. P\u0159itom samotn\u00e9 prvky v\u00fdstavby a spr\u00e1vy technologick\u00fdch s\u00edt\u00ed tak\u00e9 \u010dasto obsahuj\u00ed zranitelnosti, co\u017e jsme nap\u0159\u00edklad vid\u011bli p\u0159i zkoum\u00e1n\u00ed za\u0159\u00edzen\u00ed. MOXA<\/a><\/noindex> a Schneider Electric<\/a><\/noindex>.<\/p>\n

Je obt\u00ed\u017en\u00e9 vybudovat adekv\u00e1tn\u00ed model hrozeb.<\/b><\/p>\n

V posledn\u00edch letech se neust\u00e1le zvy\u0161uje slo\u017eitost informa\u010dn\u00edch a automatizovan\u00fdch syst\u00e9m\u016f a doch\u00e1z\u00ed k p\u0159echodu na kyberfyzi\u010dt\u00ed syst\u00e9my, kter\u00e9 p\u0159edpokl\u00e1daj\u00ed integraci v\u00fdpo\u010detn\u00edch zdroj\u016f a fyzick\u00e9ho vybaven\u00ed. Syst\u00e9my se st\u00e1vaj\u00ed natolik slo\u017eit\u00fdmi, \u017ee analytick\u00fdmi metodami nelze p\u0159edpov\u011bd\u011bt v\u0161echny n\u00e1sledky kybernetick\u00fdch \u00fatok\u016f. T\u00fdk\u00e1 se to nejen ekonomick\u00fdch \u0161kod pro organizaci, ale i hodnocen\u00ed d\u016fsledk\u016f, kter\u00e9 jsou srozumiteln\u00e9 pro technologick\u00e9 pracovn\u00edky a pro obor \u2013 nap\u0159\u00edklad nedod\u00e1n\u00ed elektrick\u00e9 energie nebo jin\u00e9ho druhu produktu, pokud mluv\u00edme o ropn\u00e9m a plyn\u00e1rensk\u00e9m pr\u016fmyslu \u010di petrochemii. A jak v takov\u00e9 situaci stanovit priority? <\/p>\n

Tohle v\u0161echno, podle na\u0161eho n\u00e1zoru, se stalo p\u0159edpokladem pro vznik konceptu kybernetick\u00fdch cvi\u010den\u00ed a kybernetick\u00fdch polygon\u016f v Rusku. <\/p>\n

Jak je uspo\u0159\u00e1d\u00e1no technologick\u00e9 segment kybernetick\u00e9ho polygonu<\/h3>\n

\nKybernetick\u00fd polygon je komplex virtu\u00e1ln\u00edch infrastruktur, kter\u00e9 napodobuj\u00ed typick\u00e9 struktury podnik\u016f r\u016fzn\u00fdch odv\u011btv\u00ed. Umo\u017e\u0148uje \u00abcvi\u010dit na ko\u010dk\u00e1ch\u00bb \u2013 osvojit si praktick\u00e9 dovednosti specialist\u016f bez rizika, \u017ee by n\u011bco nevy\u0161lo podle pl\u00e1nu a kybernetick\u00e1 cvi\u010den\u00ed by zp\u016fsobila \u0161kody re\u00e1ln\u00e9 podnikatelsk\u00e9 \u010dinnosti. Velk\u00e9 spole\u010dnosti v oblasti informa\u010dn\u00ed bezpe\u010dnosti za\u010d\u00ednaj\u00ed rozv\u00edjet tento sm\u011br a podobn\u00e1 kybernetick\u00e1 cvi\u010den\u00ed ve form\u00e1tu her lze nap\u0159\u00edklad vid\u011bt na Positive Hack Days. <\/p>\n

Standardn\u00ed sch\u00e9ma s\u00ed\u0165ov\u00e9 infrastruktury podm\u00edn\u011bn\u00e9ho velk\u00e9ho podniku nebo korporace je dostate\u010dn\u011b standardn\u00ed soubor server\u016f, pracovn\u00edch po\u010d\u00edta\u010d\u016f a r\u016fzn\u00fdch s\u00ed\u0165ov\u00fdch za\u0159\u00edzen\u00ed s typov\u00fdm souborem podnikov\u00fdch aplikac\u00ed a syst\u00e9m\u016f informa\u010dn\u00ed bezpe\u010dnosti. Odv\u011btvov\u00fd kybernetick\u00fd polygon je to sam\u00e9 plus v\u00e1\u017en\u00e1 specifika, kter\u00e1 v\u00fdrazn\u011b zt\u011b\u017euj\u00ed virtu\u00e1ln\u00ed model. <\/p>\n

Jak jsme p\u0159ibl\u00ed\u017eili kybernetick\u00fd polygon realit\u011b <\/h3>\n

\nKonceptu\u00e1ln\u011b vzhled pr\u016fmyslov\u00e9 \u010d\u00e1sti kybernetick\u00e9ho polygonu z\u00e1vis\u00ed na vybran\u00e9m zp\u016fsobu modelov\u00e1n\u00ed slo\u017eit\u00e9ho kyberfyzi\u010dt\u00edho syst\u00e9mu. Existuj\u00ed t\u0159i hlavn\u00ed p\u0159\u00edstupy k modelov\u00e1n\u00ed: <\/p>\n

\"Jak
\n
\nKa\u017ed\u00fd z t\u011bchto p\u0159\u00edstup\u016f m\u00e1 sv\u00e9 v\u00fdhody a nev\u00fdhody. V r\u016fzn\u00fdch p\u0159\u00edpadech, v z\u00e1vislosti na kone\u010dn\u00e9m c\u00edli a existuj\u00edc\u00edch omezen\u00edch, mohou b\u00fdt v\u0161echny t\u0159i v\u00fd\u0161e uveden\u00e9 zp\u016fsoby modelov\u00e1n\u00ed aplikov\u00e1ny. Pro zformov\u00e1n\u00ed volby t\u011bchto zp\u016fsob\u016f jsme sestavili n\u00e1sleduj\u00edc\u00ed algoritmus: <\/p>\n

\"Jak
\n
\nV\u00fdhody a nev\u00fdhody r\u016fzn\u00fdch metod modelov\u00e1n\u00ed lze zn\u00e1zornit pomoc\u00ed diagramu, kde osy y p\u0159edstavuj\u00ed rozsah oblast\u00ed v\u00fdzkumu (tj. flexibilitu navrhovan\u00e9ho modelovac\u00edho n\u00e1stroje) a osy x p\u0159edstavuj\u00ed p\u0159esnost modelov\u00e1n\u00ed (m\u00edru shody s re\u00e1ln\u00fdm syst\u00e9mem). Vznik\u00e1 prakticky Gartner\u016fv \u010dtverec:<\/p>\n

\"Jak
\n
\nOptim\u00e1ln\u00ed pom\u011br p\u0159esnosti a flexibility modelov\u00e1n\u00ed p\u0159edstavuje tzv. polonatur\u00e1ln\u00ed modelov\u00e1n\u00ed (hardware-in-the-loop, HIL). V r\u00e1mci tohoto p\u0159\u00edstupu je kybernetick\u00fd fyzick\u00fd syst\u00e9m \u010d\u00e1ste\u010dn\u011b modelov\u00e1n pomoc\u00ed skute\u010dn\u00e9ho vybaven\u00ed a \u010d\u00e1ste\u010dn\u011b pomoc\u00ed matematick\u00fdch model\u016f. Nap\u0159\u00edklad elektrick\u00e1 rozvodna m\u016f\u017ee b\u00fdt reprezentov\u00e1na skute\u010dn\u00fdmi mikroprocesorov\u00fdmi za\u0159\u00edzen\u00edmi (termin\u00e1ly rel\u00e9ov\u00e9 ochrany), servery automatizovan\u00fdch \u0159\u00eddic\u00edch syst\u00e9m\u016f a dal\u0161\u00edm sekund\u00e1rn\u00edm vybaven\u00edm, zat\u00edmco fyzik\u00e1ln\u00ed procesy prob\u00edhaj\u00edc\u00ed v elektrick\u00e9 s\u00edti jsou realizov\u00e1ny pomoc\u00ed po\u010d\u00edta\u010dov\u00e9ho modelu. Dob\u0159e, metodu modelov\u00e1n\u00ed jsme ur\u010dili. Nyn\u00ed bylo t\u0159eba vyvinout architekturu kyberpolygonu. Aby kybernetick\u00e1 cvi\u010den\u00ed byla skute\u010dn\u011b u\u017eite\u010dn\u00e1, mus\u00ed b\u00fdt v\u0161echny vazby re\u00e1ln\u00e9ho slo\u017eit\u00e9ho kybernetick\u00e9ho fyzick\u00e9ho syst\u00e9mu co nejp\u0159esn\u011bji reprodukov\u00e1ny na polygonu. Proto na\u0161e, stejn\u011b jako v re\u00e1ln\u00e9m \u017eivot\u011b, technologick\u00e1 \u010d\u00e1st kyberpolygonu sest\u00e1v\u00e1 z n\u011bkolika vz\u00e1jemn\u011b interaguj\u00edc\u00edch \u00farovn\u00ed. P\u0159ipom\u00edn\u00e1m, \u017ee typov\u00e1 infrastruktura pr\u016fmyslov\u00fdch s\u00edt\u00ed zahrnuje nejni\u017e\u0161\u00ed \u00farove\u0148, kter\u00e1 se ozna\u010duje jako tzv. \u201eprvn\u00ed za\u0159\u00edzen\u00ed\u201c \u2014 to je optick\u00e9 vl\u00e1kno, elektrick\u00e1 s\u00ed\u0165 nebo n\u011bco jin\u00e9ho \u2014 v z\u00e1vislosti na odv\u011btv\u00ed. Vym\u011b\u0148uje si data a je \u0159\u00edzena specializovan\u00fdmi pr\u016fmyslov\u00fdmi kontrol\u00e9ry, kter\u00e9 jsou \u0159\u00edzeny SCADA syst\u00e9my. <\/p>\n

Za\u010dali jsme vytv\u00e1\u0159en\u00ed pr\u016fmyslov\u00e9 \u010d\u00e1sti kyberpolygonu z energetick\u00e9ho segmentu, kter\u00fd je pro n\u00e1s nyn\u00ed prioritou (v pl\u00e1nu je tak\u00e9 ropn\u00fd a chemick\u00fd pr\u016fmysl).<\/p>\n

Je z\u0159ejm\u00e9, \u017ee \u00farove\u0148 prim\u00e1rn\u00edho za\u0159\u00edzen\u00ed nelze realizovat prost\u0159ednictv\u00edm fyzick\u00e9ho modelov\u00e1n\u00ed pomoc\u00ed skute\u010dn\u00fdch objekt\u016f. Proto jsme v prvn\u00ed f\u00e1zi vyvinuli matematick\u00fd model energetick\u00e9ho objektu a p\u0159ilehl\u00e9 \u010d\u00e1sti energetick\u00e9ho syst\u00e9mu. Tento model zahrnuje ve\u0161ker\u00e9 silov\u00e9 vybaven\u00ed stanic \u2013 elektrick\u00e1 veden\u00ed, transform\u00e1tory a tak d\u00e1le, a je vypracov\u00e1n ve specializovan\u00e9m softwarov\u00e9m bal\u00ed\u010dku RSCAD. T\u00edmto zp\u016fsobem vytvo\u0159en\u00fd model m\u016f\u017ee b\u00fdt zpracov\u00e1v\u00e1n v\u00fdpo\u010detn\u00edm komplexem re\u00e1ln\u00e9ho \u010dasu \u2013 jeho hlavn\u00ed v\u00fdhodou je, \u017ee \u010das procesu v re\u00e1ln\u00e9m syst\u00e9mu a \u010das procesu v modelu jsou naprosto identick\u00e9 \u2013 to znamen\u00e1, \u017ee pokud v re\u00e1ln\u00e9 s\u00edti trv\u00e1 zkratu dv\u011b sekundy, bude se tak dlouho modelovat i v RSCAD. Z\u00edsk\u00e1v\u00e1me \u201e\u017eivou\u201c \u010d\u00e1st elektroenergetick\u00e9ho syst\u00e9mu, kter\u00e1 funguje podle v\u0161ech fyzik\u00e1ln\u00edch z\u00e1kon\u016f a dokonce reaguje na vn\u011bj\u0161\u00ed vlivy (nap\u0159\u00edklad aktivaci rel\u00e9 a automatizace, odpojov\u00e1n\u00ed vyp\u00edna\u010d\u016f atd.). Interakce s extern\u00edmi za\u0159\u00edzen\u00edmi se poda\u0159ilo dos\u00e1hnout pomoc\u00ed specializovan\u00fdch konfigurovateln\u00fdch komunika\u010dn\u00edch rozhran\u00ed, kter\u00e1 umo\u017e\u0148uj\u00ed matematick\u00e9mu modelu interagovat s \u00farovn\u00ed \u0159\u00eddic\u00edch jednotek a \u00farovn\u00ed automatizovan\u00fdch syst\u00e9m\u016f.<\/p>\n

\u00darovn\u011b \u0159\u00eddic\u00edch jednotek a automatizovan\u00fdch syst\u00e9m\u016f \u0159\u00edzen\u00ed energetick\u00e9ho objektu ji\u017e lze vytv\u00e1\u0159et pomoc\u00ed skute\u010dn\u00e9ho pr\u016fmyslov\u00e9ho vybaven\u00ed (i kdy\u017e, v p\u0159\u00edpad\u011b pot\u0159eby, m\u016f\u017eeme tak\u00e9 pou\u017e\u00edt virtu\u00e1ln\u00ed modely). Na t\u011bchto dvou \u00farovn\u00edch se nach\u00e1zej\u00ed, p\u0159\u00edslu\u0161n\u011b, \u0159\u00eddic\u00ed jednotky a prost\u0159edky automatizace (RZA, PMU, USPD, po\u010d\u00edtadla) a automatizovan\u00e9 syst\u00e9my \u0159\u00edzen\u00ed (SCADA, OIK, AIIISKUE). Fyzick\u00e9 modelov\u00e1n\u00ed umo\u017e\u0148uje v\u00fdrazn\u011b zv\u00fd\u0161it realistickost modelu a t\u00edm i samotn\u00fdch kybernetick\u00fdch cvi\u010den\u00ed, proto\u017ee t\u00fdmy budou interagovat s re\u00e1ln\u00fdm pr\u016fmyslov\u00fdm vybaven\u00edm, kter\u00e9 m\u00e1 sv\u00e9 specifick\u00e9 vlastnosti, chyby a zranitelnosti. <\/p>\n

Ve t\u0159et\u00ed f\u00e1zi jsme realizovali interakci matematick\u00e9 a fyzick\u00e9 \u010d\u00e1sti modelu pomoc\u00ed specializovan\u00fdch hardwarov\u00fdch a softwarov\u00fdch rozhran\u00ed a zesilova\u010d\u016f sign\u00e1lu. <\/p>\n

V\u00fdsledn\u00e1 infrastruktura vypad\u00e1 p\u0159ibli\u017en\u011b takto:<\/p>\n

\"Jak
\n
\nVe\u0161ker\u00e9 za\u0159\u00edzen\u00ed polygonu spolu interaguje stejn\u011b jako v re\u00e1ln\u00e9m kyberfyzik\u00e1ln\u00edm syst\u00e9mu. Pokud to podrobn\u011bji uvedeme, p\u0159i konstrukci tohoto modelu jsme pou\u017eili n\u00e1sleduj\u00edc\u00ed za\u0159\u00edzen\u00ed a v\u00fdpo\u010detn\u00ed prost\u0159edky: <\/p>\n