Quest'anno abbiamo avviato un grande progetto per la creazione di un cyberpolygon: un'area per esercitazioni informatiche per aziende di diversi settori. Per questo è necessario creare infrastrutture virtuali, "identiche a quelle reali" — affinché riproducano la struttura interna tipica di una banca, di un'azienda energetica, ecc., non solo per quanto riguarda il segmento aziendale della rete. Parleremo più avanti delle infrastrutture bancarie e di altre all'interno del cyberpolygon, mentre oggi ci concentriamo su come abbiamo affrontato questa sfida nel segmento tecnologico di un'industria.
Certo, il tema delle esercitazioni informatiche e dei cyberpolygon non è emerso ieri. In Occidente si è già formato da tempo un insieme di offerte concorrenti, diversi approcci alle esercitazioni informatiche, oltre alle migliori pratiche. "Il buon tono" dei servizi di sicurezza informatica consiste nel testare periodicamente la preparazione per respingere gli attacchi informatici nella pratica. Per la Russia, invece, è ancora un tema nuovo: sì, esiste una piccola offerta, emersa qualche anno fa, ma la domanda, soprattutto nei settori industriali, sta cominciando a formarsi solo ora. Riteniamo che ci siano tre motivi principali — sono anche problemi, che sono già diventati piuttosto evidenti.
Il mondo cambia troppo rapidamente
Dieci anni fa, gli hacker attaccavano principalmente quelle organizzazioni da cui potevano prelevare rapidamente denaro. Per l'industria, questa minaccia era meno rilevante. Ora vediamo che i loro interessi si stanno spostando verso le infrastrutture delle organizzazioni governative, delle aziende energetiche e industriali. Qui ci troviamo più spesso di fronte a tentativi di spionaggio, furti di dati per vari scopi (intelligence competitiva, estorsione), nonché alla creazione di punti di presenza nell'infrastruttura per una successiva vendita a soggetti interessati. Inoltre, anche i banali ransomware come WannaCry hanno colpito numerosi obiettivi simili in tutto il mondo. Pertanto, le attuali realtà richiedono agli specialisti di sicurezza informatica di considerare questi rischi e di sviluppare nuovi processi di sicurezza informatica. In particolare, è essenziale aggiornare regolarmente le proprie competenze e praticare competenze pratiche specifiche. Il personale a tutti i livelli della gestione operativa e delle comunicazioni nei siti industriali deve avere una chiara comprensione delle azioni da intraprendere in caso di attacco informatico. Tuttavia, condurre esercitazioni informatiche sulla propria infrastruttura è decisamente sconsigliato, poiché i rischi superano chiaramente i potenziali benefici.
Incomprensione delle reali capacità degli attaccanti nel compromettere i sistemi di automazione e IIoT
Questo problema esiste a tutti i livelli delle organizzazioni: non tutti gli specialisti capiscono ciò che potrebbe accadere al loro sistema e quali sono i vettori di attacco contro di esso. Figuriamoci poi i dirigenti.
I professionisti della sicurezza fanno spesso riferimento al "gap di sicurezza", che presumibilmente impedirebbe agli attaccanti di oltrepassare la rete aziendale, ma la pratica dimostra che nel 90% delle organizzazioni esiste una connessione tra il segmento aziendale e quello tecnologico. Inoltre, gli stessi elementi di costruzione e gestione delle reti tecnologiche presentano spesso vulnerabilità, come abbiamo visto, investigando l'attrezzatura. e .
È difficile costruire un modello di minaccia adeguato
Negli ultimi anni, è in atto un continuo processo di complessità dei sistemi informativi e automatizzati, nonché la transizione verso i sistemi ciberfisici che implicano l'integrazione delle risorse computazionali e dell'hardware fisico. I sistemi stanno diventando così complessi che è semplicemente impossibile prevedere tutte le conseguenze degli attacchi informatici con metodi analitici. Si tratta non solo del danno economico per l'organizzazione, ma anche della valutazione delle conseguenze comprensibili per il tecnologo e per il settore: ad esempio, la mancanza di energia elettrica o di altri tipi di prodotti, se parliamo di petrolio e gas o della chimica del petrolio. E come stabilire le priorità in una situazione del genere?
In effetti, tutto questo, a nostro avviso, è stato il presupposto per la nascita del concetto di cyber training e cyber polygon in Russia.
Come è strutturato il segmento tecnologico del cyberpolygon
Il cyberpolygon è un insieme di infrastrutture virtuali che riproducono le infrastrutture standard delle imprese di diversi settori. Permette di "allenarsi su gatti" – di esercitare le competenze pratiche degli specialisti senza il rischio che qualcosa vada storto e le esercitazioni informatiche arrecano danni alle attività di un'impresa reale. Grandi aziende nel campo della sicurezza informatica stanno iniziando a sviluppare questa direzione, e si possono osservare esercitazioni informatiche simili in formato ludico, ad esempio, durante i Positive Hack Days.
Uno schema standard dell'infrastruttura di rete di una grande impresa o corporazione condizionale è un insieme piuttosto standard di server, computer di lavoro e vari dispositivi di rete con un set standard di software aziendale e sistemi di sicurezza informatica. Il cyberpolygon settoriale è tutto questo più una seria specificità, che complica notevolmente il modello virtuale.
Come abbiamo avvicinato il cyberpolygon alla realtà
Concettualmente, l'aspetto della parte industriale del cyberpolygon dipende dal metodo scelto per la modellazione di un sistema ciberfisico complesso. Ci sono tre approcci principali alla modellazione:
Ognuno di questi approcci ha i suoi vantaggi e svantaggi. In diversi casi, a seconda dell'obiettivo finale e delle limitazioni esistenti, possono essere applicati tutti e tre i metodi di modellazione sopra indicati. Per formalizzare la scelta di questi metodi, abbiamo composto il seguente algoritmo:
I pro e i contro dei diversi metodi di modellazione possono essere presentati sotto forma di diagramma, dove l'asse delle ordinate rappresenta la copertura delle aree di ricerca (cioè la flessibilità dello strumento di modellazione proposto), e l'asse delle ascisse rappresenta la precisione della modellazione (il grado di conformità al sistema reale). Si ottiene praticamente un quadrato di Gartner:
Pertanto, il metodo ottimale in termini di rapporto tra precisione e flessibilità della modellazione è quello che si chiama modellazione semi-naturale (hardware-in-the-loop, HIL). Nell'ambito di questo approccio, il sistema ciberfisico è parzialmente modellato attraverso attrezzature reali e parzialmente attraverso modelli matematici. Ad esempio, una sottostazione elettrica può essere rappresentata da dispositivi microprocessore reali (terminali di protezione relè), server di sistemi di controllo automatizzati e altre attrezzature secondarie, mentre i processi fisici che avvengono nella rete elettrica sono realizzati mediante un modello computazionale. D'accordo, abbiamo deciso il metodo di modellazione. Dopo di che bisognava sviluppare l'architettura del ciberpoligono. Affinché le esercitazioni cibernetiche siano davvero utili, tutte le interrelazioni del complesso sistema ciberfisico reale devono essere ricreate nel modo più preciso possibile nel poligono. Pertanto, noi, come nella vita reale, la parte tecnologica del ciberpoligono consiste in diversi livelli interconnessi. Ricordo che l'infrastruttura tipica delle reti industriali comprende il livello più basso, che comprende il cosiddetto "equipaggiamento primario" — fibra ottica, rete elettrica o qualcos'altro — a seconda del settore. Questo scambia dati ed è gestito da controller industriali specializzati, i quali, a loro volta, da sistemi SCADA.
Abbiamo iniziato a creare la parte industriale del ciberpoligono con il segmento energetico, che ora è la nostra priorità (in programma ci sono il settore petrolifero e del gas e l'industria chimica).
È evidente che il livello dell'attrezzatura primaria non può essere realizzato attraverso la modellazione fisica utilizzando oggetti reali. Pertanto, nella prima fase, abbiamo sviluppato un modello matematico dell'energia e della sezione adiacente del sistema energetico. Questo modello include tutte le attrezzature di potenza delle sottostazioni – linee elettriche, trasformatori e così via, ed è realizzato in un'apposita suite software RSCAD. Il modello creato in questo modo può essere elaborato da un complesso di calcolo in tempo reale – il suo principale punto di forza è che il tempo del processo nel sistema reale e il tempo del processo nel modello sono assolutamente identici – cioè, se nel network reale un cortocircuito dura due secondi, esattamente lo stesso tempo sarà simulato in RSCAD). Otteniamo una sezione “viva” del sistema energetico, funzionante secondo tutte le leggi della fisica e che reagisce anche a fattori esterni (ad esempio, attivazioni di terminali di protezione relè e automazione, disattivazione di interruttori, ecc.). L'interazione con dispositivi esterni è stata ottenuta mediante interfacce di comunicazione specializzate e configurabili, che consentono al modello matematico di interagire con il livello dei controllori e il livello dei sistemi automatizzati.
I livelli stessi dei controllori e dei sistemi di automazione che gestiscono l'oggetto energetico possono essere creati utilizzando attrezzature industriali reali (anche se, se necessario, possiamo utilizzare anche modelli virtuali). A questi due livelli si trovano, rispettivamente, controllori e mezzi di automazione (RZA, PMU, USP, contatori) e sistemi automatizzati di gestione (SCADA, OIK, AIISKUÉ). La modellazione fisica consente di aumentare notevolmente il realismo del modello e, di conseguenza, delle esercitazioni cyber, poiché i team interagiranno con attrezzature industriali reali, che hanno le proprie caratteristiche, bug e vulnerabilità.
Nella terza fase, abbiamo implementato l'interazione tra la parte matematica e quella fisica del modello utilizzando interfacce hardware e software specializzate e amplificatori di segnale.
Alla fine, l'infrastruttura appare più o meno così:
Tutte le attrezzature del poligono interagiscono tra loro proprio come in un sistema ciberfisico reale. Per essere più specifici, nella costruzione di questo modello abbiamo utilizzato le seguenti attrezzature e risorse informatiche:
- Complesso computazionale RTDS per calcoli in «tempo reale»;
- Posto di lavoro automatizzato (ARM) per l'operatore con software installato per la modellazione del processo tecnologico e delle attrezzature primarie delle sottostazioni elettriche;
- Armadi con attrezzature di comunicazione, terminali RZA e attrezzature di automazione dei processi tecnologici;
- Armadi amplificatori progettati per amplificare segnali analogici provenienti dalla scheda di conversione da digitale a analogico del simulatore RTDS. Ogni armadio amplificatori contiene un'ampia varietà di moduli di amplificazione, utilizzati per formare segnali di ingresso di corrente e tensione per i terminali RZA oggetto di studio. I segnali di ingresso vengono amplificati a un livello necessario per il normale funzionamento dei terminali RZA.
Questa non è l'unica soluzione possibile, ma a nostro avviso è ottimale per la conduzione di esercitazioni cibernetiche, poiché riflette la reale architettura della maggior parte delle moderne sottostazioni e può essere personalizzata in modo da ricreare al meglio alcune caratteristiche di un oggetto specifico.
In conclusione
Il ciberpoligono è un grande progetto e c'è ancora molto lavoro da fare. Da un lato, studiamo l'esperienza dei colleghi occidentali, dall'altro, dobbiamo fare molto basandoci sulla nostra esperienza con le industrie russe, poiché ci sono specificità non solo tra diversi settori ma anche tra diversi paesi. È un tema complesso e interessante.
Tuttavia, siamo convinti che in Russia abbiamo raggiunto quello che si suole chiamare un «livello di maturità», in cui anche l'industria inizia a comprendere la necessità di esercitazioni cibernetiche. Questo significa che presto anche il settore avrà le proprie migliori pratiche e, si spera, si rafforzerà il nostro livello di protezione.
Autori
Oleg Archangelsky, analista metodologico senior del progetto «Ciberpoligono Industriale».
Dmitry Syutov, ingegnere capo del progetto «Ciberpoligono Industriale»;
Andrei Kuznecov, responsabile del progetto «Poligono Cibernetico Industriale», vicecapo del Laboratorio di Cybersecurity dell'Automazione dei Sistemi di Controllo per la produzione
Fonte: habr.com
