In diesem Jahr haben wir ein großes Projekt zur Schaffung eines Cyberpolygons gestartet – einer Plattform für Cyberübungen von Unternehmen verschiedener Branchen. Dafür müssen virtuelle Infrastrukturen geschaffen werden, die "naturidentisch" sind – um die typische interne Struktur einer Bank, eines Energiedienstleisters usw. zu replizieren, und zwar nicht nur im Bereich des Unternehmensnetzwerks. Später werden wir über die Banking- und andere Infrastrukturen des Cyberpolygons berichten, heute jedoch darüber, wie wir diese Aufgabe im technologischen Segment eines Industrieunternehmens angegangen sind.
Natürlich ist das Thema Cyberübungen und Cyberpolygonen nicht neu. Im Westen hat sich bereits seit einiger Zeit ein Kreis konkurrierender Angebote und verschiedener Ansätze zu Cyberübungen sowie einfach bessere Praktiken herausgebildet. "Guter Stil" im Bereich der Informationssicherheit bedeutet, regelmäßig die Bereitschaft zur Abwehr von Cyberangriffen in der Praxis zu üben. Für Russland ist dies jedoch bisher ein neues Thema: Ja, es gibt ein kleines Angebot, das vor einigen Jahren entstanden ist, aber die Nachfrage, insbesondere in den industriellen Sektoren, hat sich erst in letzter Zeit allmählich herausgebildet. Wir glauben, dass es dafür drei Hauptgründe gibt – das sind auch Probleme, die bereits ziemlich offensichtlich geworden sind.
Die Welt verändert sich zu schnell
Vor 10 Jahren griffen Hacker hauptsächlich Organisationen an, von denen sie schnell Geld abheben konnten. Für die Industrie war diese Bedrohung weniger relevant. Heute sehen wir, dass nun auch Infrastrukturen staatlicher Organisationen, Energie- und Industrieunternehmen ins Visier geraten. Hier haben wir es häufiger mit Versuchen von Spionage, Datendiebstahl zu verschiedenen Zwecken (Wettbewerbsrecherche, Erpressung) sowie dem Erlangen von Zugriffsstellen in der Infrastruktur für den späteren Verkauf an interessierte Partner zu tun. Ja, selbst banale Ransomware wie WannaCry hat viele solcher Objekte weltweit getroffen. Daher erfordern die aktuellen Gegebenheiten von IT-Sicherheitsspezialisten, diese Risiken zu berücksichtigen und neue Prozesse für die Informationssicherheit zu entwickeln. Insbesondere ist es notwendig, regelmäßig Schulungen durchzuführen und praktisch relevante Fähigkeiten zu trainieren. Das Personal auf allen Ebenen der operativen und betriebswirtschaftlichen Steuerung von Industrieanlagen muss ein klares Verständnis dafür haben, welche Maßnahmen im Falle eines Cyberangriffs zu ergreifen sind. Aber Cyberübungen in der eigenen Infrastruktur durchzuführen – lassen Sie es, die Risiken überwiegen eindeutig den potenziellen Nutzen.
Missverständnis über die realen Möglichkeiten von Angreifern beim Hacken von SPS- und IIoT-Systemen
Dieses Problem besteht auf allen Ebenen der Organisationen: Selbst nicht alle Fachleute verstehen, was mit ihrem System überhaupt geschehen kann und welche Angriffsvektoren existieren. Was soll man da von der Führung sagen.
Sicherheitsexperten berufen sich oft auf „Luftspalte“, die angeblich verhindern sollen, dass ein Angreifer weiter als bis zum Unternehmensnetz gelangt, aber die Praxis zeigt, dass 90 % der Organisationen eine Verbindung zwischen dem Unternehmens- und dem Technologiebereich haben. Darüber hinaus haben die Elemente des Aufbaus und der Verwaltung technologischer Netzwerke auch häufig Schwachstellen, wie wir insbesondere bei der Untersuchung von Geräten gesehen haben. und .
Es ist schwierig, ein adäquates Bedrohungsmodell zu erstellen.
In den letzten Jahren ist der Prozess der Komplexität von Informations- und automatisierten Systemen sowie der Übergang zu cyberphysischen Systemen, die die Integration von Rechenressourcen und physischer Ausrüstung beinhalten, kontinuierlich im Gange. Die Systeme werden so komplex, dass es mit analytischen Methoden einfach unmöglich ist, alle Folgen von Cyberangriffen vorherzusagen. Es geht nicht nur um wirtschaftliche Schäden für die Organisation, sondern auch um die Bewertung der Folgen, die für Technologen und die Branche verständlich sind – zum Beispiel der nicht verbrachte Strom oder eine andere Art von Produkt, wenn wir von Öl und Gas oder von der petrochemischen Industrie sprechen. Und wie setzt man in einer solchen Situation Prioritäten?
Das ist eigentlich alles, was unserer Meinung nach zu den Voraussetzungen für das Entstehen des Konzepts der Cyberübungen und Cyberpolygone in Russland geführt hat.
Wie der technologische Bereich des Cyberpolygons strukturiert ist
Ein Cyberpolygon ist ein Komplex virtueller Infrastrukturen, die typische Infrastrukturen von Unternehmen verschiedener Branchen nachahmen. Es ermöglicht es, praktisch zu üben – die praktischen Fähigkeiten von Fachleuten ohne Risiken zu trainieren, dass etwas schiefgeht und die Cyberübungen dem Betrieb eines echten Unternehmens schaden. Große Unternehmen im Bereich der Informationssicherheit beginnen, in diesem Bereich tätig zu werden, und einen solchen Cyberübung im Spiel-Format kann man beispielsweise bei den Positive Hack Days sehen.
Das typische Schema der Netzwerkstruktur eines hypothetischen großen Unternehmens oder Konzerns ist ein recht standardmäßiges Set von Servern, Arbeitscomputern und verschiedenen Netzwerkgeräten mit einem ebenfalls typischen Set an Unternehmenssoftware und Systemen zur Informationssicherheit. Ein branchenspezifisches Cyberpolygon umfasst das Gleiche plus eine ernsthafte Spezifikation, die das virtuelle Modell erheblich kompliziert.
Wie wir das Cyberpolygon der Realität angenähert haben
Konzeptionell hängt das Erscheinungsbild des industriellen Teils des Cyberpolygons von der gewählten Methode zur Modellierung eines komplexen cyber-physikalischen Systems ab. Es gibt drei Hauptansätze zur Modellierung:
Jeder dieser Ansätze hat seine eigenen Vorzüge und Nachteile. In verschiedenen Fällen, je nach dem Endziel und den vorhandenen Einschränkungen, können alle drei oben genannten Modellierungsmethoden angewendet werden. Um die Auswahl dieser Methoden zu formalisieren, haben wir den folgenden Algorithmus erstellt:
Die Vor- und Nachteile verschiedener Modellierungsmethoden können in Form eines Diagramms dargestellt werden, wobei die Ordinate den Umfang der Forschungsgebiete (d.h. die Flexibilität des vorgeschlagenen Modellierungsinstruments) und die Abszisse die Genauigkeit der Modellierung (der Grad der Übereinstimmung mit dem tatsächlichen System) darstellt. Es ergibt sich praktisch ein Gartner-Quadrat:
Somit ist die optimale Kombination aus Genauigkeit und Flexibilität der Modellierung die sogenannte halbphysische Modellierung (hardware-in-the-loop, HIL). Im Rahmen dieses Ansatzes wird ein cyber-physisches System teilweise mit realer Hardware und teilweise mit mathematischen Modellen modelliert. Beispielsweise kann ein elektrisches Umspannwerk mit realen Mikroprozessorgeräten (Relais-Schutz-Terminals), Servern von automatisierten Regulierungssystemen und anderer Sekundärausrüstung dargestellt werden, während die physikalischen Prozesse, die im elektrischen Netz ablaufen, durch ein Computer-Modell realisiert werden. Okay, die Modellierungsmethode ist festgelegt. Danach musste die Architektur des Cyber-Polygons entwickelt werden. Damit die Cyber-Übungen tatsächlich nützlich sind, müssen alle Wechselbeziehungen des realen komplexen cyber-physikalischen Systems so genau wie möglich auf dem Polygon rekonstruiert werden. Daher besteht die technologische Komponente des Cyber-Polygons, wie im echten Leben, aus mehreren miteinander interagierenden Ebenen. Ich möchte daran erinnern, dass die typische Infrastruktur industrieller Netzwerke die unterste Ebene umfasst, die die sogenannte „Primärausrüstung“ umfasst – dies ist Glasfaser, das elektrische Netzwerk oder etwas anderes – in Abhängigkeit von der Branche. Diese kommuniziert mit spezialisierten Industriecontrollern und wird von ihnen gesteuert, während diese wiederum von SCADA-Systemen verwaltet werden.
Wir haben mit der Schaffung des industriellen Teils des Cyber-Polygons im Energiebereich begonnen, der für uns derzeit Priorität hat (geplant sind die Öl- und Gasindustrie sowie die chemische Industrie).
Es ist offensichtlich, dass der Grad der Primärausrüstung nicht durch physische Modellierung mit realen Objekten realisiert werden kann. Daher haben wir in der ersten Phase ein mathematisches Modell des Energieobjekts und des angrenzenden Bereichs des Energiesystems entwickelt. Dieses Modell umfasst sämtliche Energieanlagen der Umspannwerke – Übertragungsleitungen, Transformatoren und so weiter, und wird in der speziellen Software RSCAD realisiert. Das auf diese Weise entstandene Modell kann von einem Echtzeit-Rechenkomplex verarbeitet werden – seine Hauptfunktion besteht darin, dass die Prozesszeit im realen System und die Prozesszeit im Modell absolut identisch sind – das heißt, wenn im realen Netz ein Kurzschluss zwei Sekunden dauert, wird er in RSCAD genau so modelliert. Wir erhalten einen „lebendigen“ Abschnitt des elektrische Energiesystems, das entsprechend allen physikalischen Gesetzen funktioniert und sogar auf externe Einflüsse reagiert (zum Beispiel auf das Auslösen von Relais- und Automatisierungsschutz, das Abschalten von Schaltern usw.). Interaktionen mit externen Geräten konnten durch spezialisierte, konfigurierbare Kommunikationsschnittstellen erreicht werden, die dem mathematischen Modell ermöglichen, mit der Ebene der Controller und der Ebene der automatisierten Systeme zu interagieren.
Die Ebenen der Controller und der automatisierten Steuerungssysteme des Energieobjekts können jedoch mithilfe von echtem industriellen Equipment erstellt werden (obwohl wir bei Bedarf auch virtuelle Modelle verwenden können). Auf diesen beiden Ebenen befinden sich entsprechend die Controller und Automatisierungsmittel (RZA, PMU, USPD, Zähler) und automatisierte Steuerungssysteme (SCADA, OIK, AIISKUe). Physische Modellierung ermöglicht eine signifikante Steigerung der Realitätsnähe des Modells und damit der Cyber-Übungen, da die Teams mit echtem industriellen Equipment interagieren, das seine Eigenheiten, Bugs und Schwachstellen hat.
In der dritten Phase haben wir die Interaktion zwischen den mathematischen und physischen Teilen des Modells mithilfe spezialisierter Hardware- und Software-Schnittstellen sowie Signalverstärkern realisiert.
Insgesamt sieht die Infrastruktur ungefähr so aus:
Die gesamte Ausrüstung des Cyberpolygon interagiert miteinander wie in einem realen cyber-physikalischen System. Konkret haben wir beim Aufbau dieses Modells folgende Geräte und Rechenmittel verwendet:
- Der Rechenkomplex RTDS zur Durchführung von Berechnungen in "Echtzeit";
- Der automatisierte Arbeitsplatz (AWP) des Operators mit installierter Software zur Modellierung technologischer Prozesse und der primären Ausrüstung von elektrischen Umspannwerken;
- Schränke mit Kommunikationsausstattung, Terminals für den Schutzbereich, und Ausrüstung für das automatisierte Steuerungssystem;
- Verstärkerschränke, die zur Verstärkung analoger Signale von der Digital-Analog-Wandlerplatine des RTDS-Simulators bestimmt sind. Jeder Verstärkerschrank enthält verschiedene Verstärkungsblöcke, die zur Bildung der Eingangssignale von Strom und Spannung für die untersuchten Schutzterminals verwendet werden. Die Eingangssignale werden auf das Niveau verstärkt, das für den normalen Betrieb der Schutzterminals erforderlich ist.
Das ist nicht die einzige mögliche Lösung, aber unserer Meinung nach ist sie optimal für die Durchführung von Cyberübungen, da sie die reale Architektur der überwiegenden Mehrheit der modernen Umspannwerke widerspiegelt und dabei anpassbar ist, um spezifische Merkmale eines bestimmten Objekts so genau wie möglich nachzubilden.
Abschließend
Das Cyberpolygon ist ein riesiges Projekt, und es liegt noch viel Arbeit vor uns. Einerseits studieren wir die Erfahrungen westlicher Kollegen, andererseits müssen wir vieles basierend auf unserer eigenen Erfahrung mit russischen Industrieunternehmen tun, da die Spezifikationen nicht nur bei verschiedenen Branchen, sondern auch in verschiedenen Ländern unterschiedlich sind. Das ist ein komplexes und interessantes Thema.
Dennoch sind wir überzeugt, dass wir in Russland das erreicht haben, was man gemeinhin als "Reifegrad" bezeichnet, bei dem auch die Industrie das Bedürfnis nach Cyberübungen erkennt. Das bedeutet, dass bald auch in der Branche eigene Best Practices entwickelt werden und wir hoffentlich ein höheres Maß an Sicherheit erreichen.
Autoren
Oleg Archangelskiy, führender Analyst und Methodologe des Projekts "Industrielles Cyberpolygon".
Dmitry Syutov, leitender Ingenieur des Projekts "Industrielles Cyberpolygon";
Andrei Kusnezow, Projektleiter des "Industrie-Cyberpolygons", stellvertretender Leiter des Labors für Cybersicherheit der AASU TP für die Produktion
Quelle: habr.com
