In diesem Jahr haben wir ein großes Projekt zur Schaffung eines Cyberpolygons gestartet – eine Plattform für Cyberübungen verschiedener Branchen. Dazu müssen virtuelle Infrastrukturen erstellt werden, die "natürlichen" entsprechen – um das typische interne Setup einer Bank, eines Energieunternehmens usw. nachzubilden, und das nicht nur im Bereich des Unternehmenssegments. Bald werden wir über die Infrastrukturen des Cyberpolygons, insbesondere im Bankensektor, berichten, aber heute möchten wir erläutern, wie wir diese Aufgabe für den Technologiesektor eines Industrieunternehmens gelöst haben.
Natürlich ist das Thema Cyberübungen und Cyber-Polygone nicht neu. Im Westen hat sich schon seit einiger Zeit ein Wettbewerb von Angeboten, verschiedenen Ansätzen zu Cyberübungen sowie Best Practices etabliert. Ein "guter Ton" im Bereich der Informationssicherheit ist es, regelmäßig die Bereitschaft zur Abwehr von Cyberangriffen in der Praxis zu üben. Für Russland ist dies hingegen noch ein neues Thema: Ja, es gibt ein kleines Angebot, das vor einigen Jahren entstanden ist, doch die Nachfrage, insbesondere in den Industriebranchen, beginnt sich erst jetzt allmählich zu entwickeln. Wir sehen dafür drei Hauptgründe – das sind die Probleme, die mittlerweile sehr offensichtlich geworden sind.
Die Welt verändert sich zu schnell.
Vor 10 Jahren richteten Hacker ihre Angriffe hauptsächlich gegen Organisationen, von denen sie schnell Geld entwenden konnten. Für die Industrie war diese Bedrohung weniger relevant. Heute beobachten wir, dass auch die Infrastrukturen staatlicher Organisationen sowie Energie- und Industriebetriebe ins Visier geraten. Hier haben wir es häufig mit Spionageversuchen, Datenstehlungen aus verschiedenen Gründen (Wettbewerbsanalyse, Erpressung) sowie dem Erlangen von Zugangspunkten in der Infrastruktur zu tun, die dann an interessierte Parteien weiterverkauft werden. Selbst die banalen Ransomware-Angriffe wie WannaCry haben zahlreiche solcher Objekte weltweit betroffen. Deshalb fordern die modernen Gegebenheiten von Sicherheitsexperten, diese Risiken zu berücksichtigen und neue Informationssicherheitsprozesse zu entwickeln. Insbesondere müssen regelmäßig Qualifikationen erhöht und praktische Fähigkeiten trainiert werden. Das Personal auf allen Ebenen des operativen Managements in Industrieanlagen muss ein klares Verständnis dafür haben, welche Maßnahmen im Falle eines Cyberangriffs zu ergreifen sind. Cyberübungen auf der eigenen Infrastruktur durchzuführen ist jedoch riskant; die Risiken überwiegen eindeutig den möglichen Nutzen.
Das Missverständnis über die tatsächlichen Möglichkeiten von Angreifern beim Hacken von SPS- und IIoT-Systemen
Dieses Problem besteht auf allen Ebenen der Organisationen: Nicht einmal alle Fachleute verstehen, was mit ihrem System tatsächlich passieren kann und welche Angriffsvektoren es gibt. Was sollen wir da von der Unternehmensführung sagen.
Sicherheitsfachleute verweisen häufig auf die "Luftspalt", der angeblich verhindern soll, dass Angreifer über das Unternehmensnetz hinauskommen, aber die Praxis zeigt, dass 90% der Organisationen eine Verbindung zwischen dem Unternehmens- und dem Technologiebereich haben. Zudem weisen die Elemente zum Aufbau und zur Verwaltung technischer Netzwerke ebenfalls häufig Schwachstellen auf, was insbesondere bei der Untersuchung von Geräten sichtbar wurde. und .
Es ist schwierig, ein adäquates Bedrohungsmodell zu erstellen.
In den letzten Jahren hat sich der Prozess der Komplexität von Informations- und Automatisierungssystemen kontinuierlich verstärkt. Dies umfasst auch den Übergang zu cyber-physischen Systemen, die eine Integration von Rechenressourcen und physischer Hardware erfordern. Die Systeme werden so komplex, dass es mit analytischen Methoden unmöglich ist, alle Folgen von Cyberangriffen vorherzusagen. Es geht nicht nur um wirtschaftliche Schäden für die Organisation, sondern auch um die Bewertung der Folgen, die für Technologen und die Branche nachvollziehbar sind – wie beispielsweise ungenutzte Energie oder andere Produktarten, wenn wir über Öl- und Gasindustrie oder Petrochemie sprechen. Wie stellt man in einer solchen Situation Prioritäten auf?
Das alles sind, unserer Meinung nach, die Voraussetzungen für die Entstehung der Konzepte von Cyberübungen und Cyberpolygongen in Russland.
Wie der technologische Bereich des Cyberpolygons aufgebaut ist
Ein Cyber-Poll ist ein Komplex virtueller Infrastrukturen, die typische Infrastrukturen von Unternehmen aus verschiedenen Branchen nachbilden. Er ermöglicht es, an Beispielen zu üben – praktische Fähigkeiten von Fachleuten zu trainieren, ohne das Risiko, dass etwas schiefgeht und die Cyber-Übungen die Aktivitäten eines echten Unternehmens beeinträchtigen. Große IT-Sicherheitsunternehmen beginnen, dieses Segment zu entwickeln, und man kann solche Cyber-Übungen beispielsweise im spielerischen Format bei den Positive Hack Days beobachten.
Ein typisches Schema der Netzwerk-Infrastruktur eines hypothetischen großen Unternehmens oder einer Corporation besteht aus einemStandardset von Servern, Arbeitsstationen und verschiedenen Netzwerkgeräten, ergänzt durch eine standardisierte Auswahl an Unternehmenssoftware und Informationssicherheitssystemen. Ein branchenspezifischer Cyber-Poll ist dasselbe, jedoch mit einer anspruchsvollen Spezialisierung, die das virtuelle Modell erheblich kompliziert.
Wie wir den Cyber-Poll der Realität näher bringen
Konzeptionell hängt das Erscheinungsbild des industriellen Teils des Cyber-Polls von der gewählten Methode zur Modellierung eines komplexen cyber-physikalischen Systems ab. Es gibt drei Hauptansätze zur Modellierung:
Jeder dieser Ansätze hat seine eigenen Vor- und Nachteile. Je nach Zielsetzung und vorhandenen Einschränkungen können alle drei zuvor genannten Modellierungsarten zur Anwendung kommen. Um die Auswahl dieser Methoden zu formalisieren, haben wir den folgenden Algorithmus erstellt:
Die Vorteile und Nachteile verschiedener Modellierungsmethoden können in einem Diagramm dargestellt werden, wobei die y-Achse den Umfang der Forschungsbereiche (d.h. die Flexibilität des angebotenen Modellierungsinstruments) und die x-Achse die Genauigkeit der Modellierung (den Grad der Übereinstimmung mit dem realen System) darstellt. Dadurch entsteht praktisch ein Gartner-Quadrat:
Das optimale Verhältnis von Genauigkeit und Flexibilität in der Modellierung wird durch die sogenannte hardware-in-the-loop (HIL) Simulation erreicht. Bei diesem Ansatz wird das cyber-physische System teilweise mit echtem Equipment und teilweise mit mathematischen Modellen modelliert. Zum Beispiel kann ein elektrisches Umspannwerk durch reale Mikroprozessorgeräte (Leitsystem-Terminals), Server für automatisierte Steuerungssysteme und andere Nebenanlagen dargestellt werden, während die physikalischen Prozesse, die im Stromnetz ablaufen, durch ein Computermodell implementiert werden. Jetzt, da wir die Modellierungsmethode festgelegt haben, muss die Architektur des Cyber-Polygons entwickelt werden. Damit die Cyber-Übungen tatsächlich nützlich sind, müssen alle Wechselbeziehungen des realen komplexen cyber-physischen Systems so genau wie möglich im Polygon nachgebildet werden. Daher besteht der technologische Teil des Cyber-Polygons, wie im echten Leben, aus mehreren miteinander interagierenden Ebenen. Ich erinnere daran, dass die typische Infrastruktur industrieller Netzwerke die unterste Ebene umfasst, die so genannte "primäre Ausrüstung" — das ist die Glasfaser, das Stromnetz oder etwas anderes — abhängig von der Branche. Diese tauscht Daten aus und wird von spezialisierten Industriecontrollern verwaltet, die ihrerseits von SCADA-Systemen gesteuert werden.
Wir haben mit der Entwicklung des industriellen Teils des Cyberpolygons im Energiesektor begonnen, der für uns derzeit Priorität hat (geplant sind die Öl- und Gasindustrie sowie die chemische Industrie).
Es ist offensichtlich, dass das Niveau der Primärausrüstung nicht durch physikalische Modellierung mit realen Objekten realisiert werden kann. Daher haben wir im ersten Schritt ein mathematisches Modell des Energiesystems und des angrenzenden Bereichs entwickelt. Dieses Modell umfasst die gesamte Ausstattung der Umspannwerke – Übertragungsleitungen, Transformatoren und so weiter, und wird in der speziellen Software RSCAD umgesetzt. Das auf diese Weise entstandene Modell kann von einem Echtzeit-Berechnungssystem verarbeitet werden – dessen Hauptmerkmal besteht darin, dass die Prozesszeit im realen System und die Prozesszeit im Modell absolut identisch sind – das heißt, wenn ein Kurzschluss im realen Netz zwei Sekunden dauert, wird er genau so lange im RSCAD modelliert. Damit erhalten wir einen „lebendigen“ Abschnitt des Energiesystems, der nach allen physikalischen Gesetzen funktioniert und sogar auf externe Einflüsse reagiert (zum Beispiel auf das Auslösen von Relais- und Automatisierungsschutz, die Ausschaltung von Schaltern usw.). Die Interaktion mit externen Geräten wurde durch spezialisierte anpassbare Kommunikationsschnittstellen erreicht, die es dem mathematischen Modell ermöglichen, mit der Ebene der Steuerungen und der automatisierten Systeme zu interagieren.
Die verschiedenen Ebenen der Controller und automatisierten Energiemanagementsysteme können mit echtem Industrieequipment erstellt werden (obwohl wir bei Bedarf auch virtuelle Modelle verwenden können). Auf diesen beiden Ebenen befinden sich entsprechend die Controller und Automatisierungsmittel (Schutz- und Automatisierungseinrichtungen, PMU, USPD, Zähler) sowie die automatisierten Managementsysteme (SCADA, OIK, AII SKUW). Die naturgetreue Modellierung erhöht die Realitätsnähe des Modells und damit auch die der Cyberübung, da die Teams mit echtem Industrieequipment interagieren, das eigene Besonderheiten, Bugs und Schwachstellen aufweist.
In der dritten Phase haben wir die Interaktion der mathematischen und physikalischen Teile des Modells mithilfe spezialisierter Hardware- und Software-Schnittstellen sowie Signalverstärkern umgesetzt.
Die Infrastruktur sieht in etwa so aus:
Die gesamte Ausrüstung des Testgeländes interagiert untereinander wie in einem realen cyber-physikalischen System. Konkret haben wir bei der Erstellung dieses Modells die folgende Hardware und Rechenressourcen verwendet:
- Rechnerverbund RTDS zur Durchführung von Berechnungen in 'Echtzeit';
- Automatisierte Arbeitsplätze (AWP) der Betreiber mit installierter Software zur Modellierung des technologischen Prozesses und der primären Ausrüstung von Umspannwerken;
- Schränke mit Kommunikationsgeräten, Schutzrelais-Terminals und SCADA-Ausrüstung;
- Verstärkerschränke, die zur Verstärkung analoger Signale von der Digital-Analog-Wandler-Platine des RTDS-Simulators gedacht sind. Jeder Verstärkerschrank enthält eine unterschiedliche Anzahl von Verstärkungsblöcken, die zur Bildung der Eingangsströme und -spannungen für die untersuchten Schutzrelais-Terminals verwendet werden. Die Eingangssignale werden auf das erforderliche Niveau verstärkt, um den normalen Betrieb der Schutzrelais-Terminals zu gewährleisten.
Dies ist nicht die einzige mögliche Lösung, aber unserer Meinung nach ist sie optimal für Cyberübungen, da sie die tatsächliche Architektur der überwiegenden Mehrheit der modernen Umspannwerke widerspiegelt und gleichzeitig so angepasst werden kann, dass spezifische Merkmale eines bestimmten Objekts möglichst genau nachgebildet werden.
Zusammenfassung
Der Cyberpoligon ist ein riesiges Projekt, und es steht noch viel Arbeit bevor. Einerseits lernen wir von den Erfahrungen unserer westlichen Kollegen, andererseits müssen wir viel auf unsere eigenen Erfahrungen mit russischen Industrieunternehmen zurückgreifen, da die Spezifika nicht nur in verschiedenen Branchen, sondern auch in verschiedenen Ländern unterschiedlich sind. Dies ist ein komplexes und spannendes Thema.
Dennoch sind wir überzeugt, dass wir in Russland das, was man als „Reifegrad“ bezeichnet, erreicht haben, in dem auch die Industrie das Bedürfnis nach Cyberübungen erkennt. Das bedeutet, dass bald auch in der Branche eigene Best Practices entstehen werden und wir hoffentlich in Bezug auf unser Sicherheitsniveau gestärkt werden.
Autoren
Oleg Archangelsky, leitender Analyst und Methodologe des Projekts „Industrieller Cyberpoligon“.
Dmitriy Syutov, Hauptingenieur des Projekts „Industrieller Cyberpoligon“;
Andrej Kuznecow, Projektleiter des „Industriellen Cyberpolygons“, stellvertretender Leiter des Labors für Cybersecurity in der Produktion.
Quelle: habr.com
