Quest'anno abbiamo avviato un grande progetto per la creazione di un cyber poligono – un'area per esercitazioni informatiche di aziende di vari settori. Per questo è necessario creare infrastrutture virtuali, "identiche a quelle reali" – in modo che replicano la configurazione interna tipica di una banca, di una compagnia energetica, ecc., non solo nella parte aziendale della rete. Più avanti vi racconteremo delle infrastrutture bancarie e di altre del cyber poligono, ma oggi parleremo di come abbiamo affrontato questa sfida nel segmento tecnologico delle imprese industriali.
Certo, il tema degli esercizi di cyber sicurezza e dei poligoni cibernetici non è emerso ieri. In Occidente, c'è già da tempo un insieme di offerte concorrenti, vari approcci agli esercizi cibernetici, nonché delle migliori pratiche. «Buona prassi» per i servizi di sicurezza informatica è esercitarsi periodicamente per essere pronti a respingere attacchi cibernetici nella pratica. Per quanto riguarda la Russia, questo è ancora un tema nuovo: sì, c'è una piccola offerta, emersa qualche anno fa, ma la domanda, specialmente nei settori industriali, sta cominciando a prendere forma solo ora. Riteniamo che ci siano tre ragioni principali — problemi che sono già diventati piuttosto evidenti.
Il mondo sta cambiando troppo in fretta
Die Hacker haben vor 10 Jahren hauptsächlich Organisationen angegriffen, aus denen sie schnell Geld abheben konnten. Für die Industrie war diese Bedrohung damals weniger relevant. Heute sehen wir jedoch, dass auch die Infrastrukturen staatlicher Organisationen sowie von Energie- und Industriebetrieben ins Visier geraten. Hier haben wir es oft mit Spionageversuchen, Datendiebstahl zu tun, der verschiedene Ziele verfolgt (Wettbewerbsinformationen, Erpressung), sowie mit dem Erhalt von Einflusspunkten in der Infrastruktur, die dann an interessierte Parteien verkauft werden können. Sogar einfache Erpresser-Software wie WannaCry hat viele solcher Objekte weltweit betroffen. Daher erfordern die modernen Gegebenheiten von den IT-Sicherheitsspezialisten, diese Risiken zu berücksichtigen und neue Prozesse der Informationssicherheit zu entwickeln. Insbesondere sollten sie regelmäßig ihre Qualifikationen erhöhen und praktische Fähigkeiten trainieren. Das Personal auf allen Ebenen des operativen Managements von Industrieanlagen sollte ein klares Verständnis dafür haben, welche Maßnahmen im Falle eines Cyberangriffs zu ergreifen sind. Cyberübungen in der eigenen Infrastruktur durchzuführen – lassen Sie das, die Risiken überwiegen eindeutig den möglichen Nutzen.
La mancata comprensione delle reali capacità degli aggressori di violare i sistemi di controllo industriale e IIoT
Questo problema esiste a tutti i livelli delle organizzazioni: non tutti i professionisti comprendono cosa possa realmente accadere ai loro sistemi e quali siano i vettori di attacco disponibili. E figurarsi i dirigenti.
Gli esperti di sicurezza spesso fanno riferimento al «filtro d’aria», che dovrebbe impedire a un aggressore di oltrepassare la rete aziendale, ma la pratica dimostra che nel 90% delle organizzazioni esiste una connessione tra il segmento aziendale e tecnologico. Inoltre, gli stessi elementi di costruzione e gestione delle reti tecnologiche spesso presentano vulnerabilità, come abbiamo constatato nello studio dell'hardware. e .
È difficile costruire un modello di minaccia adeguato.
Negli ultimi anni, i sistemi informatici e automatizzati sono diventati sempre più complessi, mentre si assiste a una transizione verso sistemi ciberfisici, che implicano l'integrazione delle risorse informatiche con l'hardware fisico. I sistemi sono così complessi che è praticamente impossibile prevedere tutte le conseguenze degli attacchi informatici mediante metodi analitici. Non si tratta solo del danno economico per l'organizzazione, ma anche di valutare le conseguenze comprensibili per il tecnologo e per il settore — come la riduzione dell'erogazione di energia elettrica, per esempio, o di un'altra tipologia di prodotto, se parliamo di settore petrolifero e chimico. Come stabilire le priorità in una situazione del genere?
In effetti, queste sono diventate, a nostro avviso, le premesse per l'emergere del concetto di esercitazioni ciber e poligoni cibernetici in Russia.
Come è strutturato il segmento tecnologico del poligono cibernetico
Il cyberpoligono è un insieme di infrastrutture virtuali che replicano infrastrutture standard di aziende di vari settori. Consente di "esercitarsi su gatti" – di affinare le competenze pratiche degli specialisti senza correre il rischio che qualcosa vada storto, e le esercitazioni nel cyberspazio possano danneggiare l'attività di un'azienda reale. Le grandi aziende di sicurezza informatica stanno iniziando a sviluppare questo settore, e si possono osservare tali esercitazioni informatiche in formato ludico, ad esempio, durante i Positive Hack Days.
Uno schema standard dell'infrastruttura di rete di una grande azienda o corporation è un insieme piuttosto standard di server, computer di lavoro e vari dispositivi di rete, con un set standard di software aziendale e sistemi di sicurezza informatica. Il cyberpoligono settoriale è tutto ciò più una notevole specificità, che complica drasticamente il modello virtuale.
Come abbiamo avvicinato il cyberpoligono alla realtà
Concettualmente, l'aspetto della parte industriale del cyberpoligono dipende dal metodo scelto per la modellazione di un complesso sistema cibernetico. Ci sono tre approcci principali alla modellazione:
Ognuno di questi approcci ha i suoi vantaggi e svantaggi. A seconda del fine ultimo e delle limitazioni presenti, possono essere applicati tutti e tre i metodi di modellazione menzionati. Per formalizzare la scelta di questi metodi, abbiamo elaborato il seguente algoritmo:
I pro e i contro dei diversi metodi di modellazione possono essere rappresentati in un diagramma, dove l'asse delle ordinate indica l'ambito delle aree di ricerca (ovvero la flessibilità dello strumento di modellazione proposto), mentre l'asse delle ascisse indica la precisione della modellazione (il grado di conformità con il sistema reale). Si ottiene quasi un quadrato di Gartner:
Pertanto, la soluzione ottimale in termini di precisione e flessibilità della modellazione è quella che viene definita modellazione semi-naturale (hardware-in-the-loop, HIL). In questo approccio, il sistema ciberfisico è parzialmente simulato utilizzando attrezzature reali e parzialmente mediante modelli matematici. Ad esempio, una sottostazione elettrica può essere rappresentata da veri dispositivi microprocessori (terminali di protezione relè), server di sistemi di controllo automatizzati e altre apparecchiature secondarie, mentre i processi fisici che si verificano nella rete elettrica sono realizzati tramite un modello computerizzato. Bene, abbiamo definito il metodo di modellazione. Dopodiché, è stata necessaria la progettazione dell'architettura del ciberpoligono. Affinché le esercitazioni cibernetiche siano davvero utili, tutte le interconnessioni di un complesso sistema ciberfisico reale devono essere ricreate il più accuratamente possibile nel poligono. Pertanto, come nella vita reale, la parte tecnologica del ciberpoligono è composta da diversi livelli interagenti tra loro. Ricordo che l'infrastruttura standard delle reti industriali include il livello più basso, che consiste in ciò che viene definito «attrezzatura primaria» — fibra ottica, rete elettrica o altro — a seconda del settore. Essa scambia dati e viene gestita da controller industriali specializzati, i quali, a loro volta, sono collegati a sistemi SCADA.
Abbiamo avviato la creazione della parte industriale del cyberpolygon partendo dal segmento energetico, che per noi è attualmente prioritario (nella programma ci sono l'industria petrolifera, del gas e chimica).
È evidente che il livello di attrezzature primarie non può essere realizzato attraverso la simulazione fisica con oggetti reali. Pertanto, nella prima fase abbiamo sviluppato un modello matematico dell'impianto energetico e dell'area circostante del sistema energetico. Questo modello include tutte le apparecchiature di potenza delle sottostazioni: linee di trasmissione, trasformatori e così via, ed è realizzato in un complesso software speciale chiamato RSCAD. Il modello creato in questo modo può essere elaborato da un complesso computazionale in tempo reale: il suo principale punto di forza è che il tempo del processo nel sistema reale e il tempo del processo nel modello sono assolutamente identici; cioè, se nel reale rete un cortocircuito dura due secondi, esso sarà modellato in RSCAD esattamente per lo stesso tempo. Otteniamo una sezione “viva” del sistema energetico, che funziona secondo tutte le leggi della fisica e persino reagisce a influenze esterne (ad esempio, l'attivazione dei terminali di protezione relè e automazione, lo spegnimento degli interruttori, ecc.). L'interazione con dispositivi esterni è stata ottenuta grazie a interfacce di comunicazione specializzate e configurabili, che consentono al modello matematico di interagire con il livello dei controllori e il livello dei sistemi automatizzati.
I livelli dei controllori e dei sistemi automatizzati di gestione dell'energia possono essere creati utilizzando attrezzature industriali reali (anche se, se necessario, possiamo anche utilizzare modelli virtuali). A questi due livelli si trovano, rispettivamente, i controllori e i dispositivi di automazione (RZA, PMU, USPD, contatori) e i sistemi automatizzati di gestione (SCADA, OIK, AIISKUE). La modellazione reale consente di aumentare significativamente il realismo del modello e, di conseguenza, delle esercitazioni informatiche, poiché i team interagiranno con attrezzature industriali reali, che presentano le proprie peculiarità, bug e vulnerabilità.
Nella terza fase, abbiamo implementato l'interazione tra le parti matematica e fisica del modello attraverso interfacce hardware e software specializzate e amplificatori di segnale.
Di conseguenza, l'infrastruttura appare più o meno in questo modo:
Tutte le apparecchiature del poligono interagiscono tra loro proprio come in un reale sistema ciberfisico. Parlando in modo più specifico, nella costruzione di questo modello abbiamo utilizzato il seguente equipaggiamento e risorse di calcolo:
- Complesso di calcolo RTDS per effettuare calcoli in "tempo reale";
- Posto di lavoro automatizzato (PWA) dell'operatore con software installato per la modellizzazione del processo tecnologico e delle apparecchiature primarie delle sottostazioni elettriche;
- Armadi con apparecchiature di comunicazione, terminali RZA e apparecchiature SCADA;
- Armadi amplificatori, destinati ad amplificare i segnali analogici della scheda del convertitore digitale-analogico del simulatore RTDS. Ogni armadio amplificatore contiene un diverso set di moduli di amplificazione, utilizzati per generare segnali di ingresso di corrente e tensione per i terminali RZA in esame. I segnali di ingresso vengono amplificati fino al livello necessario per il corretto funzionamento dei terminali RZA.
Questa non è l'unica soluzione possibile, ma, a nostro avviso, è l'ottimale per l'esecuzione di esercitazioni informatiche, poiché riflette l'architettura reale della maggior parte delle moderne sottostazioni e può essere personalizzata per ricreare con la massima precisione alcune caratteristiche di un oggetto specifico.
In conclusione
Il cyberpoligono è un progetto enorme e c'è ancora molto lavoro da fare. Da un lato, studiamo l'esperienza dei colleghi occidentali, dall'altro, dobbiamo spesso basarci sulla nostra esperienza con le aziende industriali russe, poiché le specificità non appartengono solo a diversi settori, ma anche a diversi paesi. È un argomento complesso e interessante.
Tuttavia, siamo convinti che in Russia abbiamo raggiunto quello che si potrebbe definire un "livello di maturità", in cui anche l'industria inizia a comprendere la necessità di esercitazioni informatiche. Questo significa che presto anche il settore avrà le proprie migliori pratiche e, si spera, ci rafforzeremo in termini di sicurezza.
Autori
Oleg Arhangelsky, analista metodologico principale del progetto "Cyberpoligono Industriale".
Dmitry Syutov, ingegnere capo del progetto "Cyberpoligono Industriale";
Andrey Kuznetsov, project manager of the "Industrial Cyber Polygon", deputy head of the Cybersecurity Laboratory of the Automated Control System for Production
Fonte: habr.com
