Wie wir eine virtuelle Infrastruktur für industrielles Cyber-Training aufgebaut haben

In diesem Jahr haben wir ein großes Projekt zur Schaffung eines Cyber-Trainingsgeländes gestartet – einer Plattform für Cyber-Trainings für Unternehmen aus verschiedenen Branchen. Hierzu ist es notwendig, virtuelle Infrastrukturen zu schaffen, die „identisch mit den natürlichen“ sind – also die typische interne Struktur einer Bank, eines Energieunternehmens usw. nachbilden, und zwar nicht nur im Hinblick auf den Unternehmensteil des Netzwerks. Etwas später werden wir über das Bankwesen und andere Infrastrukturen des Cyber-Polygons sprechen und heute darüber, wie wir dieses Problem in Bezug auf das technologische Segment eines Industrieunternehmens gelöst haben.

Natürlich war das Thema Cyber-Übungen und Cyber-Trainingsgelände nicht erst gestern Thema. Im Westen hat sich schon seit geraumer Zeit ein Kreis konkurrierender Vorschläge, unterschiedlicher Ansätze für Cyber-Übungen und auch einfach bewährter Vorgehensweisen gebildet. Zum „guten Ton“ gehört es für den Informationssicherheitsdienst, die Bereitschaft zur Abwehr von Cyberangriffen regelmäßig in der Praxis zu trainieren. Für Russland ist dies noch ein neues Thema: Zwar gibt es ein kleines Angebot, das bereits vor mehreren Jahren entstanden ist, doch die Nachfrage, insbesondere in den Industriesektoren, hat sich gerade erst langsam herausgebildet. Aus unserer Sicht gibt es hierfür vor allem drei Gründe – und es handelt sich dabei auch um Probleme, die bereits deutlich erkennbar sind.

Die Welt verändert sich zu schnell

Noch vor 10 Jahren griffen Hacker vor allem jene Organisationen an, von denen sie schnell Geld abheben konnten. Für die Industrie war diese Bedrohung weniger relevant. Jetzt sehen wir, dass auch die Infrastruktur von Regierungsorganisationen, Energie- und Industrieunternehmen in den Fokus ihres Interesses rückt. Dabei handelt es sich häufiger um Spionageversuche, Datendiebstahl zu unterschiedlichsten Zwecken (Wettbewerbsbeobachtung, Erpressung) sowie um die Erlangung von Präsenzpunkten in der Infrastruktur zum späteren Verkauf an interessierte Mitstreiter. Nun, selbst banale Verschlüsselungsprogramme wie WannaCry haben viele ähnliche Objekte auf der ganzen Welt befallen. Daher erfordern die modernen Realitäten, dass Informationssicherheitsspezialisten diese Risiken berücksichtigen und neue Informationssicherheitsprozesse entwickeln. Bilden Sie sich insbesondere regelmäßig weiter und üben Sie praktische Fähigkeiten. Das Personal auf allen Ebenen der Betriebskontrolle von Industrieanlagen muss genau wissen, welche Maßnahmen im Falle eines Cyberangriffs zu ergreifen sind. Aber Cyber-Übungen auf der eigenen Infrastruktur durchführen – nein danke, die Risiken überwiegen eindeutig den möglichen Nutzen.

Mangelndes Verständnis der tatsächlichen Fähigkeiten von Angreifern, ICS- und IIoT-Systeme zu hacken

Dieses Problem besteht auf allen Ebenen von Organisationen: Nicht einmal alle Spezialisten verstehen, was mit ihrem System passieren kann und welche Angriffsvektoren es gibt. Was können wir über das Management sagen?

Sicherheitsexperten sprechen oft von einer „Luftlücke“, die einem Eindringling angeblich nicht erlaubt, über das Unternehmensnetzwerk hinauszugehen. Die Praxis zeigt jedoch, dass in 90 % der Organisationen eine Verbindung zwischen dem Unternehmens- und dem Technologiesegment besteht. Gleichzeitig weisen die Elemente des Aufbaus und der Verwaltung technologischer Netzwerke oft Schwachstellen auf, die wir insbesondere bei der Untersuchung der Ausrüstung festgestellt haben MOXA и Schneider Electric.

Es ist schwierig, ein angemessenes Bedrohungsmodell zu erstellen

In den letzten Jahren kam es zu einem stetigen Anstieg der Komplexität von Informations- und Automatisierungssystemen sowie zu einem Übergang zu cyber-physischen Systemen, die die Integration von Computerressourcen und physischer Ausrüstung beinhalten. Die Komplexität der Systeme nimmt zu, sodass es schlicht unmöglich ist, alle Folgen von Cyberangriffen mit analytischen Methoden vorherzusagen. Dabei geht es nicht nur um den wirtschaftlichen Schaden für das Unternehmen, sondern auch um die Bewertung der für den Techniker und die Branche nachvollziehbaren Folgen – beispielsweise Engpässe bei der Stromversorgung oder bei anderen Produkten, wenn es um Öl und Gas oder Petrochemie geht. Und wie setzt man in einer solchen Situation Prioritäten?

Tatsächlich war all dies unserer Meinung nach die Voraussetzung für die Entstehung des Konzepts von Cyber-Übungen und Cyber-Trainingsgeländen in Russland.

Wie das technologische Segment des Cyber-Polygons organisiert ist

Ein Cyber-Polygon ist ein Komplex virtueller Infrastrukturen, die typische Infrastrukturen von Unternehmen verschiedener Branchen nachbilden. Es ermöglicht Ihnen, „an Katzen zu üben“ – die praktischen Fähigkeiten von Spezialisten zu trainieren, ohne dass das Risiko besteht, dass etwas nicht nach Plan läuft und Cyber-Übungen die Aktivitäten eines realen Unternehmens beeinträchtigen. Große Unternehmen für Informationssicherheit beginnen, diese Richtung einzuschlagen, und Sie können sich ähnliche Cyber-Übungen in einem Spielformat beispielsweise bei den Positive Hack Days ansehen.

Ein typisches Netzwerkinfrastrukturschema für ein hypothetisches Großunternehmen oder einen Konzern besteht aus einem ziemlich standardmäßigen Satz von Servern, Arbeitscomputern und verschiedenen Netzwerkgeräten mit einem typischen Satz von Unternehmenssoftware und Informationssicherheitssystemen. Ein industrielles Cyber-Testgelände ist alles das Gleiche, nur dass es noch schwerwiegende Besonderheiten gibt, die das virtuelle Modell erheblich verkomplizieren.

Wie wir das Cyber-Polygon der Realität näher gebracht haben

Das konzeptionelle Erscheinungsbild des industriellen Teils des Cyber-Testgeländes hängt von der gewählten Methode zur Modellierung eines komplexen cyber-physischen Systems ab. Es gibt drei Hauptansätze zur Modellierung:

Jeder dieser Ansätze hat seine eigenen Vor- und Nachteile. In verschiedenen Fällen können, abhängig vom Endziel und den bestehenden Einschränkungen, alle drei der oben genannten Modellierungsmethoden verwendet werden. Um die Auswahl dieser Methoden zu formalisieren, haben wir den folgenden Algorithmus zusammengestellt:

Die Vor- und Nachteile verschiedener Modellierungsmethoden können in Form eines Diagramms dargestellt werden, wobei die Ordinate die Abdeckung der Forschungsbereiche (d. h. die Flexibilität des vorgeschlagenen Modellierungstools) und die Abszisse die Genauigkeit der Modellierung (der Grad der Übereinstimmung mit dem realen System) darstellt. Es stellt sich heraus, dass es sich fast um ein Gartner-Quadrat handelt:

Die optimale Lösung hinsichtlich des Verhältnisses von Genauigkeit und Flexibilität der Modellierung ist daher die sogenannte semi-natürliche Modellierung (Hardware-in-the-Loop, HIL). Bei diesem Ansatz wird das cyber-physische System teilweise mithilfe realer Geräte und teilweise mithilfe mathematischer Modelle modelliert. Beispielsweise kann ein Umspannwerk durch reale Mikroprozessorgeräte (Relaisschutzklemmen), Server automatisierter Steuerungssysteme und andere Sekundärgeräte dargestellt werden, und die im Stromnetz selbst ablaufenden physikalischen Prozesse werden mithilfe eines Computermodells implementiert. Okay, wir haben uns für die Modellierungsmethode entschieden. Anschließend galt es, die Architektur des Cyber-Testgeländes zu entwickeln. Damit Cyber-Übungen wirklich nützlich sind, müssen alle Zusammenhänge eines realen, komplexen cyber-physischen Systems auf dem Übungsgelände so genau wie möglich nachgebildet werden. Daher besteht der technologische Teil des Cyber-Testgeländes, genau wie im echten Leben, aus mehreren interagierenden Ebenen. Ich möchte Sie daran erinnern, dass die typische Infrastruktur industrieller Netzwerke die unterste Ebene umfasst, die die sogenannte „Primärausrüstung“ umfasst – das sind Glasfaserkabel, ein Stromnetz oder etwas anderes – je nach Branche. Es tauscht Daten aus und wird von spezialisierten Industriesteuerungen gesteuert, die wiederum von SCADA-Systemen gesteuert werden.

Wir haben mit dem Aufbau des industriellen Teils des Cyberpolgons mit dem Energiesegment begonnen, das für uns mittlerweile Priorität hat (unsere Pläne umfassen die Öl- und Gas- sowie die chemische Industrie).

Es ist offensichtlich, dass das Niveau der Primärausstattung nicht durch natürliche Modellierung mit realen Objekten realisiert werden kann. Daher haben wir im ersten Schritt ein mathematisches Modell der Energieanlage und des angrenzenden Abschnitts des Energiesystems entwickelt. Dieses Modell umfasst die gesamte Stromversorgungsausrüstung von Umspannwerken – Stromleitungen, Transformatoren usw. – und ist in einem speziellen Softwarepaket RSCAD implementiert. Das auf diese Weise erstellte Modell kann von einem Echtzeit-Rechenkomplex verarbeitet werden – sein Hauptmerkmal besteht darin, dass die Prozesszeit im realen System und die Prozesszeit im Modell absolut identisch sind (d. h. wenn ein Kurzschluss in einem realen Netzwerk zwei Sekunden dauert, wird er in RSCAD für genau die gleiche Zeit modelliert). Wir erhalten einen „aktiven“ Abschnitt des elektrischen Energiesystems, der gemäß allen Gesetzen der Physik funktioniert und sogar auf äußere Einflüsse reagiert (z. B. das Auslösen von Relaisschutz- und Automatisierungsklemmen, das Trennen von Schaltern usw.). Die Interaktion mit externen Geräten wurde über spezielle, anpassbare Kommunikationsschnittstellen erreicht, sodass das mathematische Modell mit der Controller-Ebene und der Ebene der automatisierten Systeme interagieren konnte.

Die Steuerungsebenen und automatisierten Kontrollsysteme des Kraftwerks können jedoch mithilfe realer Industrieanlagen erstellt werden (bei Bedarf können wir jedoch auch virtuelle Modelle verwenden). Auf diesen beiden Ebenen gibt es jeweils Steuerungen und Automatisierungsgeräte (RPA, PMU, USPD, Zähler) und automatisierte Steuerungssysteme (SCADA, OIC, AISKUE). Durch die Modellierung im Originalmaßstab lässt sich der Realismus des Modells und dementsprechend auch der Cyber-Übungen selbst deutlich steigern, da die Teams mit echter Industrieausrüstung interagieren, die ihre eigenen Eigenschaften, Fehler und Schwachstellen aufweist.

In der dritten Phase haben wir die Interaktion der mathematischen und physikalischen Teile des Modells mithilfe spezieller Hardware- und Softwareschnittstellen und Signalverstärker implementiert.

Die Infrastruktur sieht im Ergebnis etwa so aus:

Alle Geräte auf dem Testgelände interagieren auf die gleiche Weise miteinander wie in einem realen cyber-physischen System. Genauer gesagt haben wir beim Erstellen dieses Modells die folgende Ausrüstung und Rechenressourcen verwendet:

• RTDS-Rechenkomplex zur Durchführung von Berechnungen in Echtzeit;
• Automatisierter Arbeitsplatz (AWS) des Bedieners mit installierter Software zur Modellierung des technologischen Prozesses und der Primärausrüstung von Umspannwerken;
• Schränke mit Kommunikationsgeräten, Relaisschutz- und Automatisierungsklemmen sowie Geräten für automatisierte Prozessleitsysteme;
• Verstärkergehäuse zur Verstärkung analoger Signale von der Digital-Analog-Wandlerkarte des RTDS-Simulators. Jeder Verstärkerschrank enthält einen anderen Satz von Verstärkerblöcken, die zum Erzeugen von Eingangsstrom- und Spannungssignalen für die untersuchten Relaisschutz- und Automatisierungsanschlüsse verwendet werden. Eingangssignale werden auf den Pegel verstärkt, der für den normalen Betrieb der Relaisschutz- und Automatisierungsanschlüsse erforderlich ist.

Dies ist zwar nicht die einzig mögliche Lösung, aber unserer Meinung nach ist sie optimal für die Durchführung von Cyber-Übungen geeignet, da sie die tatsächliche Architektur der überwiegenden Mehrheit moderner Umspannwerke widerspiegelt und gleichzeitig angepasst werden kann, um einige Merkmale einer bestimmten Anlage möglichst genau nachzubilden.

Abschließend

Cyberpolygon ist ein riesiges Projekt und es liegt noch viel Arbeit vor uns. Einerseits studieren wir die Erfahrungen unserer westlichen Kollegen, andererseits müssen wir viel aus unseren Erfahrungen aus der Zusammenarbeit speziell mit russischen Industrieunternehmen herausholen, da es nicht nur in verschiedenen Branchen, sondern auch in verschiedenen Ländern Besonderheiten gibt. Dies ist ein komplexes und interessantes Thema.
Dennoch sind wir davon überzeugt, dass wir in Russland einen sogenannten „Reifegrad“ erreicht haben, bei dem sogar die Industrie die Notwendigkeit von Cyber-Übungen versteht. Dies bedeutet, dass die Branche bald über ihre eigenen Best Practices verfügen wird und wir, so hoffe ich, unser Sicherheitsniveau verbessern werden.

Autoren

Oleg Arkhangelsky, führender Analyst und Methodiker des Industrial Cyber ​​​​Polygon-Projekts.
Dmitry Syutov, Chefingenieur des Industrial Cyber ​​​​Polygon-Projekts;
Andrey Kuznetsov, Leiter des Industrial Cyber ​​​​Polygon-Projekts, stellvertretender Leiter des Cybersicherheitslabors des automatisierten Prozessleitsystems für die Produktion

Source: habr.com