산업용 사이버 훈련을 위한 가상 인프라를 구축한 방법

올해 우리는 다양한 산업 분야의 기업을 위한 사이버 훈련 플랫폼인 사이버 훈련장을 만들기 위한 대규모 프로젝트를 시작했습니다. 이를 위해서는 네트워크의 기업 부문뿐만 아니라 은행, 에너지 회사 등의 일반적인 내부 구조를 복제할 수 있도록 "자연 인프라와 동일한" 가상 인프라를 생성해야 합니다. . 조금 후에 우리는 사이버 범위의 은행 및 기타 인프라에 대해 이야기하고 오늘은 산업 기업의 기술 부문과 관련하여 이 문제를 어떻게 해결했는지에 대해 이야기하겠습니다.

물론 어제 사이버훈련, 사이버훈련장 얘기가 나온 건 아니다. 서구에서는 경쟁적인 제안, 사이버 훈련에 대한 다양한 접근 방식, 단순한 모범 사례가 오랫동안 형성되었습니다. 정보 보안 서비스의 "좋은 형태"는 실제로 사이버 공격에 대응할 준비를 주기적으로 연습하는 것입니다. 러시아의 경우 이는 여전히 새로운 주제입니다. 예, 공급이 적고 몇 년 전에 발생했지만 수요, 특히 산업 부문에서는 이제서야 점차적으로 형성되기 시작했습니다. 우리는 이에 대한 세 가지 주요 이유가 있다고 믿습니다. 이는 이미 매우 명백해진 문제이기도 합니다.

세상이 너무 빨리 변하고 있어요

불과 10년 전만 해도 해커들은 신속하게 돈을 인출할 수 있는 조직을 주로 공격했습니다. 업계에서는 이 위협의 관련성이 낮았습니다. 이제 우리는 정부 기관, 에너지 및 산업 기업의 인프라도 관심의 대상이 되고 있음을 알 수 있습니다. 여기서 우리는 간첩 시도, 다양한 목적(경쟁 정보, 협박)을 위한 데이터 절도, 관심 있는 동료에게 추가 판매를 위해 인프라 내 존재 지점 확보 등을 더 자주 다루고 있습니다. 글쎄, WannaCry와 같은 평범한 암호화 프로그램조차도 전 세계적으로 유사한 개체를 꽤 많이 포착했습니다. 따라서 현대 현실에서는 정보 보안 전문가가 이러한 위험을 고려하고 새로운 정보 보안 프로세스를 만들 것을 요구합니다. 특히, 정기적으로 자격을 향상시키고 실용적인 기술을 연습하십시오. 산업 시설의 모든 수준의 운영 파견 통제 담당자는 사이버 공격이 발생할 경우 어떤 조치를 취해야 하는지 명확하게 이해해야 합니다. 그러나 자체 인프라에서 사이버 훈련을 수행하려면 죄송합니다. 위험이 가능한 이점보다 분명히 더 큽니다.

프로세스 제어 시스템 및 IIoT 시스템을 해킹하는 공격자의 실제 능력에 대한 이해 부족

이 문제는 조직의 모든 수준에 존재합니다. 모든 전문가조차도 시스템에 어떤 일이 일어날 수 있는지, 시스템에 대해 어떤 공격 벡터를 사용할 수 있는지 이해하지 못합니다. 리더십에 대해 무엇을 말할 수 있습니까?

보안 전문가들은 공격자가 기업 네트워크 이상으로 접근하는 것을 허용하지 않는 "에어 갭"에 호소하는 경우가 많지만, 실제로는 90%의 조직에서 기업과 기술 부문 사이에 연결이 있는 것으로 나타났습니다. 동시에 기술 네트워크를 구축하고 관리하는 요소 자체에도 취약점이 있는 경우가 많으며, 특히 장비를 조사할 때 이러한 취약점이 발견되었습니다. 뜸쑥 и 슈나이더 일렉트릭.

적절한 위협 모델을 구축하기가 어렵습니다.

최근 몇 년 동안 정보 및 자동화 시스템의 복잡성이 증가하고 컴퓨팅 자원과 물리적 장비의 통합을 수반하는 사이버-물리 시스템으로의 전환이 지속적으로 진행되었습니다. 시스템이 너무 복잡해지고 있어 분석 방법을 사용하여 사이버 공격의 모든 결과를 예측하는 것이 불가능합니다. 우리는 조직에 대한 경제적 피해뿐만 아니라 기술자와 업계가 이해할 수 있는 결과(예: 석유 및 가스에 대해 이야기하는 경우 전기 공급 부족 또는 다른 유형의 제품)를 평가하는 것에 대해서도 이야기하고 있습니다. 아니면 석유화학제품. 이런 상황에서 우선순위를 어떻게 정해야 할까요?

실제로 우리 의견으로는이 모든 것이 러시아의 사이버 훈련 및 사이버 훈련장 개념 출현의 전제 조건이되었습니다.

사이버 범위의 기술 부문이 작동하는 방식

사이버 테스트 장은 다양한 산업 분야의 기업의 일반적인 인프라를 복제한 가상 인프라의 복합체입니다. 이를 통해 "고양이 연습"을 할 수 있습니다. 계획대로 진행되지 않고 사이버 연습이 실제 기업의 활동에 해를 끼칠 위험 없이 전문가의 실용적인 기술을 연습할 수 있습니다. 대규모 사이버 보안 회사가 이 영역을 개발하기 시작했으며, 예를 들어 Positive Hack Days에서 게임 형식으로 유사한 사이버 훈련을 시청할 수 있습니다.

대기업이나 회사의 일반적인 네트워크 인프라 다이어그램은 회사 소프트웨어 및 정보 보안 시스템의 표준 세트를 갖춘 상당히 표준적인 서버, 업무용 컴퓨터 및 다양한 네트워크 장치 세트입니다. 업계 사이버 테스트 그라운드는 모두 동일하며 가상 모델을 극적으로 복잡하게 만드는 심각한 세부 사항도 있습니다.

사이버 범위를 현실에 더 가깝게 만든 방법

개념적으로 사이버 테스트 사이트의 산업 부분의 모습은 복잡한 사이버 물리 시스템을 모델링하기 위해 선택한 방법에 따라 달라집니다. 모델링에는 세 가지 주요 접근 방식이 있습니다.

이러한 각 접근 방식에는 고유한 장점과 단점이 있습니다. 다른 경우에는 최종 목표와 기존 제한 사항에 따라 위의 세 가지 모델링 방법을 모두 사용할 수 있습니다. 이러한 방법의 선택을 공식화하기 위해 다음 알고리즘을 컴파일했습니다.

다양한 모델링 방법의 장단점은 다이어그램 형태로 표현될 수 있습니다. 여기서 y축은 연구 영역의 범위(즉, 제안된 모델링 도구의 유연성)이고 x축은 정확도입니다. 시뮬레이션의 정도(실제 시스템과의 일치 정도) 거의 Gartner 광장으로 밝혀졌습니다.

따라서 모델링의 정확성과 유연성 사이의 최적의 균형은 소위 반자연적 모델링(HIL)입니다. 이 접근 방식 내에서 사이버 물리 시스템은 부분적으로는 실제 장비를 사용하여 모델링되고 부분적으로는 수학적 모델을 사용하여 모델링됩니다. 예를 들어, 전기 변전소는 실제 마이크로프로세서 장치(계전기 보호 단자), 자동화 제어 시스템의 서버 및 기타 보조 장비로 표현될 수 있으며, 전기 네트워크에서 발생하는 물리적 프로세스 자체는 컴퓨터 모델을 사용하여 구현됩니다. 좋습니다. 모델링 방법을 결정했습니다. 그 후에는 사이버 범위의 아키텍처를 개발할 필요가 있었습니다. 사이버 훈련이 실제로 유용하려면 실제 복잡한 사이버 물리 시스템의 모든 상호 연결이 시험장에서 최대한 정확하게 재현되어야 합니다. 따라서 우리나라에서는 실제 생활과 마찬가지로 사이버 범위의 기술 부분이 여러 상호 작용 수준으로 구성됩니다. 일반적인 산업 네트워크 인프라에는 소위 "주요 장비"를 포함하는 가장 낮은 수준이 포함된다는 점을 상기시켜 드리겠습니다. 이는 산업에 따라 광섬유, 전기 네트워크 또는 기타 다른 것입니다. 이는 데이터를 교환하고 특수 산업용 컨트롤러와 SCADA 시스템에 의해 제어됩니다.

우리는 현재 우리의 우선순위인 에너지 부문에서 사이버 사이트의 산업 부분을 만들기 시작했습니다(석유, 가스, 화학 산업이 우리 계획에 있음).

실제 객체를 이용한 본격적인 모델링으로는 기본 장비 수준을 구현할 수 없음은 당연합니다. 따라서 첫 번째 단계에서 우리는 전력 시설과 전력 시스템의 인접 부분에 대한 수학적 모델을 개발했습니다. 이 모델에는 변전소의 모든 전력 장비(전력선, 변압기 등)가 포함되며 특수 RSCAD 소프트웨어 패키지에서 실행됩니다. 이러한 방식으로 생성된 모델은 실시간 컴퓨팅 컴플렉스에서 처리할 수 있습니다. 주요 특징은 실제 시스템의 처리 시간과 모델의 처리 시간이 완전히 동일하다는 것입니다. 네트워크는 XNUMX초 동안 지속되므로 RSCAD에서 정확히 동일한 시간 동안 시뮬레이션됩니다. 우리는 모든 물리 법칙에 따라 작동하고 심지어 외부 영향(예: 릴레이 보호 및 자동화 단자 활성화, 스위치 트립 등)에도 대응하는 전력 시스템의 "실시간" 섹션을 얻습니다. 외부 장치와의 상호 작용은 특수한 맞춤형 통신 인터페이스를 사용하여 달성되었으며, 이를 통해 수학적 모델이 컨트롤러 수준 및 자동화 시스템 수준과 상호 작용할 수 있습니다.

그러나 전력 시설의 컨트롤러 및 자동화 제어 시스템 수준은 실제 산업 장비를 사용하여 생성할 수 있습니다(필요한 경우 가상 모델을 사용할 수도 있음). 이 두 수준에는 각각 컨트롤러와 자동화 장비(계전기 보호, PMU, USPD, 미터)와 자동화 제어 시스템(SCADA, OIK, AIISKUE)이 있습니다. 전체 규모 모델링은 팀이 고유한 특성, 버그 및 취약점을 가지고 있는 실제 산업 장비와 상호 작용하기 때문에 모델의 현실성을 크게 높이고 이에 따라 사이버 훈련 자체를 향상시킬 수 있습니다.

세 번째 단계에서는 특수 하드웨어 및 소프트웨어 인터페이스와 신호 증폭기를 사용하여 모델의 수학적, 물리적 부분의 상호 작용을 구현했습니다.

결과적으로 인프라는 다음과 같습니다.

모든 테스트 사이트 장비는 실제 사이버 물리 시스템에서와 동일한 방식으로 서로 상호 작용합니다. 보다 구체적으로, 이 모델을 구축할 때 우리는 다음 장비와 컴퓨팅 도구를 사용했습니다.

• "실시간"으로 계산을 수행하기 위한 복잡한 RTDS 계산
• 변전소의 기술 프로세스 및 기본 장비를 모델링하기 위한 소프트웨어가 설치된 운영자의 자동화된 워크스테이션(AWS)
• 통신 장비, 계전기 보호 및 자동화 터미널, 자동화된 공정 제어 장비를 갖춘 캐비닛;
• RTDS 시뮬레이터의 디지털-아날로그 변환기 보드에서 아날로그 신호를 증폭하도록 설계된 증폭기 캐비닛입니다. 각 증폭기 캐비닛에는 연구 중인 릴레이 보호 단자에 대한 전류 및 전압 입력 신호를 생성하는 데 사용되는 다양한 증폭 블록 세트가 포함되어 있습니다. 입력 신호는 계전기 보호 단자의 정상적인 작동에 필요한 수준으로 증폭됩니다.

이것이 가능한 유일한 해결책은 아니지만, 우리 의견으로는 대부분의 현대 변전소의 실제 아키텍처를 반영하고 동시에 다음과 같이 사용자 정의할 수 있기 때문에 사이버 훈련을 수행하는 데 최적입니다. 특정 개체의 일부 특징을 가능한 정확하게 정확하게 표시합니다.

결론적으로

사이버 영역은 거대한 프로젝트이며 앞으로 해야 할 일이 아직 많이 남아 있습니다. 한편으로 우리는 서방 동료들의 경험을 연구하는 반면, 다른 산업 분야뿐만 아니라 국가마다 세부 사항이 있기 때문에 특별히 러시아 산업 기업과 협력한 경험을 바탕으로 많은 일을 해야 합니다. 이것은 복잡하고 흥미로운 주제입니다.
그럼에도 불구하고 우리는 업계가 사이버 훈련의 필요성을 이해하는 러시아의 소위 "성숙 수준"에 도달했다고 확신합니다. 이는 곧 업계가 자체 모범 사례를 갖게 될 것이며 보안 수준을 강화할 수 있기를 바랍니다.

저자

Industrial Cyber ​​​​Test Site 프로젝트의 수석 분석가이자 방법론자인 Oleg Arkhangelsky.
Industrial Cyber ​​​​Test Site 프로젝트의 수석 엔지니어 Dmitry Syutov;
Andrey Kuznetsov, "산업 사이버 테스트 사이트" 프로젝트 책임자, 생산용 자동화 공정 제어 시스템 사이버 보안 연구소 부국장

출처 : habr.com