W tym roku rozpoczęliśmy duży projekt stworzenia poligonu cybernetycznego – platformy do ćwiczeń cybernetycznych dla firm z różnych branż. W tym celu konieczne jest stworzenie infrastruktur wirtualnych „identycznych z naturalnymi” – tak, aby odwzorowywały typową strukturę wewnętrzną banku, przedsiębiorstwa energetycznego itp., a nie tylko w ujęciu korporacyjnego segmentu sieci . Nieco później porozmawiamy o bankowości i innej infrastrukturze zasięgu cybernetycznego, a dzisiaj porozmawiamy o tym, jak rozwiązaliśmy ten problem w odniesieniu do segmentu technologicznego przedsiębiorstwa przemysłowego.
Oczywiście temat cyberćwiczeń i poligonów cybernetycznych nie pojawił się wczoraj. Na Zachodzie od dawna ukształtował się krąg konkurencyjnych propozycji, różnych podejść do ćwiczeń cybernetycznych i po prostu najlepszych praktyk. „Dobrą formą” służby bezpieczeństwa informacji jest okresowe ćwiczenie jej gotowości do odparcia cyberataków w praktyce. Dla Rosji jest to wciąż nowy temat: tak, istnieje niewielka podaż, która pojawiła się kilka lat temu, ale popyt, szczególnie w sektorach przemysłowych, zaczął się stopniowo kształtować dopiero teraz. Uważamy, że są tego trzy główne przyczyny – są to również problemy, które stały się już bardzo oczywiste.
Świat zmienia się zbyt szybko
Jeszcze 10 lat temu hakerzy atakowali głównie te organizacje, z których mogli szybko wypłacić pieniądze. W przypadku przemysłu zagrożenie to było mniej istotne. Teraz widzimy, że przedmiotem ich zainteresowania staje się także infrastruktura organizacji rządowych, przedsiębiorstw energetycznych i przemysłowych. Tutaj coraz częściej mamy do czynienia z próbami szpiegostwa, kradzieżą danych do różnych celów (wywiad konkurencyjny, szantaż), a także pozyskiwaniem punktów obecności w infrastrukturze w celu dalszej sprzedaży zainteresowanym towarzyszom. Cóż, nawet banalne programy szyfrujące, takie jak WannaCry, przechwyciły sporo podobnych obiektów na całym świecie. Dlatego współczesne realia wymagają od specjalistów ds. bezpieczeństwa informacji uwzględnienia tych zagrożeń i stworzenia nowych procesów bezpieczeństwa informacji. W szczególności regularnie podnoś swoje kwalifikacje i ćwicz umiejętności praktyczne. Personel na wszystkich poziomach operacyjnej kontroli dyspozytorskiej obiektów przemysłowych musi dobrze wiedzieć, jakie działania podjąć w przypadku cyberataku. Ale prowadzenie ćwiczeń cybernetycznych na własnej infrastrukturze - niestety, ryzyko wyraźnie przewyższa możliwe korzyści.
Brak zrozumienia rzeczywistych możliwości atakujących w zakresie włamywania się do systemów sterowania procesami i systemów IIoT
Problem ten występuje na wszystkich poziomach organizacji: nawet nie wszyscy specjaliści rozumieją, co może stać się z ich systemem, jakie wektory ataku są na niego dostępne. Co możemy powiedzieć o przywództwie?
Eksperci ds. bezpieczeństwa często odwołują się do „luki powietrznej”, która rzekomo nie pozwoli atakującemu przedostać się dalej niż sieć korporacyjna, ale praktyka pokazuje, że w 90% organizacji istnieje połączenie pomiędzy segmentem korporacyjnym i technologicznym. Jednocześnie same elementy budowy i zarządzania sieciami technologicznymi również często mają luki, co szczególnie dostrzegliśmy podczas badania sprzętu и .
Trudno jest zbudować adekwatny model zagrożenia
W ostatnich latach następuje ciągły proces wzrostu złożoności systemów informatycznych i zautomatyzowanych, a także przechodzenia do systemów cyberfizycznych, które polegają na integracji zasobów obliczeniowych i sprzętu fizycznego. Systemy stają się tak złożone, że niemożliwe jest przewidzenie wszystkich konsekwencji cyberataków za pomocą metod analitycznych. Mówimy nie tylko o szkodach ekonomicznych dla organizacji, ale także o ocenie konsekwencji zrozumiałych dla technologa i przemysłu - na przykład niedoborów energii elektrycznej lub innego rodzaju produktu, jeśli mówimy o ropie i gazie lub petrochemikaliów. A jak w takiej sytuacji ustalić priorytety?
W rzeczywistości wszystko to, naszym zdaniem, stało się przesłanką pojawienia się koncepcji cyberćwiczeń i cyberpoligonów szkoleniowych w Rosji.
Jak działa segment technologiczny zakresu cyber
Poligon cybernetyczny to zespół infrastruktur wirtualnych, które replikują typową infrastrukturę przedsiębiorstw z różnych branż. Pozwala „ćwiczyć na kotach” – ćwiczyć praktyczne umiejętności specjalistów bez ryzyka, że coś nie pójdzie zgodnie z planem, a cyber ćwiczenia zaszkodzą działalności prawdziwego przedsiębiorstwa. Duże firmy zajmujące się cyberbezpieczeństwem zaczynają rozwijać ten obszar, a podobne ćwiczenia cybernetyczne w formie gry można obejrzeć np. na Positive Hack Days.
Typowy schemat infrastruktury sieciowej dla dużego przedsiębiorstwa lub korporacji to dość standardowy zestaw serwerów, komputerów roboczych i różnych urządzeń sieciowych ze standardowym zestawem korporacyjnego oprogramowania i systemów bezpieczeństwa informacji. Branżowy poligon do testów cybernetycznych jest taki sam, plus poważne specyfikacje, które dramatycznie komplikują model wirtualny.
Jak przybliżyliśmy zasięg cyber do rzeczywistości
Koncepcyjnie wygląd części przemysłowej miejsca testów cybernetycznych zależy od wybranej metody modelowania złożonego systemu cyberfizycznego. Istnieją trzy główne podejścia do modelowania:
Każde z tych podejść ma swoje zalety i wady. W różnych przypadkach, w zależności od docelowego celu i istniejących ograniczeń, można zastosować wszystkie trzy powyższe metody modelowania. Aby sformalizować wybór tych metod, opracowaliśmy następujący algorytm:
Plusy i minusy różnych metod modelowania można przedstawić w formie diagramu, gdzie oś y to pokrycie obszarów badań (tj. elastyczność proponowanego narzędzia modelowania), a oś x to dokładność symulacji (stopień zgodności z systemem rzeczywistym). Okazuje się, że jest to prawie kwadrat Gartnera:
Zatem optymalną równowagą pomiędzy dokładnością i elastycznością modelowania jest tzw. modelowanie półnaturalne (hardware-in-the-loop, HIL). W ramach tego podejścia system cyberfizyczny jest częściowo modelowany przy użyciu rzeczywistego sprzętu, a częściowo przy użyciu modeli matematycznych. Na przykład podstacja elektryczna może być reprezentowana przez rzeczywiste urządzenia mikroprocesorowe (zaciski zabezpieczające przekaźnika), serwery zautomatyzowanych systemów sterowania i inny sprzęt wtórny, a same procesy fizyczne zachodzące w sieci elektrycznej są realizowane za pomocą modelu komputerowego. OK, zdecydowaliśmy się na metodę modelowania. Następnie konieczne było opracowanie architektury zasięgu cybernetycznego. Aby ćwiczenia cybernetyczne były naprawdę przydatne, wszystkie połączenia naprawdę złożonego systemu cyberfizycznego muszą zostać odtworzone możliwie najdokładniej na miejscu testowym. Dlatego w naszym kraju, podobnie jak w prawdziwym życiu, część technologiczna zasięgu cyber składa się z kilku oddziałujących na siebie poziomów. Przypomnę, że typowa infrastruktura sieci przemysłowej obejmuje najniższy poziom, na który składają się tzw. „urządzenia podstawowe” – jest to światłowód, sieć elektryczna lub coś innego, w zależności od branży. Wymienia dane i jest sterowany przez wyspecjalizowane sterowniki przemysłowe, a te z kolei przez systemy SCADA.
Tworzenie przemysłowej części cyberstrony rozpoczęliśmy od segmentu energetycznego, który jest obecnie naszym priorytetem (w planach mamy branżę naftowo-gazową i chemiczną).
Oczywistym jest, że poziomu podstawowego wyposażenia nie da się zrealizować poprzez modelowanie w pełnej skali z wykorzystaniem rzeczywistych obiektów. Dlatego w pierwszym etapie opracowaliśmy model matematyczny obiektu elektroenergetycznego i przyległej do niego części systemu elektroenergetycznego. Model ten obejmuje całe wyposażenie elektroenergetyczne podstacji - linie energetyczne, transformatory itp. i jest wykonywany w specjalnym pakiecie oprogramowania RSCAD. Powstały w ten sposób model może być przetwarzany przez kompleks obliczeniowy czasu rzeczywistego – jego główną cechą jest to, że czas procesu w systemie rzeczywistym i czas procesu w modelu są absolutnie identyczne – tzn. jeżeli zwarcie w układzie rzeczywistym sieć trwa dwie sekundy, będzie symulowana dokładnie przez taki sam czas w RSCAD). Otrzymujemy „pod napięciem” sekcję systemu elektroenergetycznego, działającą zgodnie ze wszystkimi prawami fizyki, a nawet reagującą na wpływy zewnętrzne (na przykład aktywację zabezpieczeń przekaźników i zacisków automatyki, wyzwalanie przełączników itp.). Interakcję z urządzeniami zewnętrznymi osiągnięto za pomocą specjalizowanych, konfigurowalnych interfejsów komunikacyjnych, pozwalających na interakcję modelu matematycznego z poziomem sterowników i poziomem systemów zautomatyzowanych.
Natomiast poziomy sterowników i układów automatycznego sterowania obiektu elektroenergetycznego można stworzyć wykorzystując rzeczywiste urządzenia przemysłowe (choć w razie potrzeby możemy wykorzystać także modele wirtualne). Na tych dwóch poziomach znajdują się odpowiednio sterowniki i urządzenia automatyki (zabezpieczenia przekaźnikowe, PMU, USPD, liczniki) oraz zautomatyzowane systemy sterowania (SCADA, OIK, AIISKUE). Modelowanie na pełną skalę może znacznie zwiększyć realizm modelu, a co za tym idzie, same ćwiczenia cybernetyczne, ponieważ zespoły będą wchodzić w interakcję z prawdziwym sprzętem przemysłowym, który ma swoje własne cechy, błędy i słabe punkty.
W trzecim etapie zaimplementowaliśmy interakcję części matematycznej i fizycznej modelu, wykorzystując specjalistyczne interfejsy sprzętowe i programowe oraz wzmacniacze sygnału.
W rezultacie infrastruktura wygląda mniej więcej tak:
Wszystkie urządzenia miejsca testowego współdziałają ze sobą w taki sam sposób, jak w prawdziwym systemie cyberfizycznym. Dokładniej, budując ten model wykorzystaliśmy następujący sprzęt i narzędzia obliczeniowe:
- Obliczanie złożonych RTDS do przeprowadzania obliczeń w „czasie rzeczywistym”;
- Zautomatyzowane stanowisko pracy (AWS) operatora z zainstalowanym oprogramowaniem do modelowania procesu technologicznego i wyposażenia podstawowego stacji elektroenergetycznych;
- Szafy ze sprzętem komunikacyjnym, zabezpieczeniami przekaźników i terminalami automatyki oraz sprzętem do automatycznego sterowania procesami;
- Szafy wzmacniające przeznaczone do wzmacniania sygnałów analogowych z płytki przetwornika cyfrowo-analogowego symulatora RTDS. Każda szafa wzmacniacza zawiera inny zestaw bloków wzmacniających służących do generowania sygnałów wejściowych prądowych i napięciowych dla badanych zacisków zabezpieczających przekaźniki. Sygnały wejściowe są wzmacniane do poziomu wymaganego do normalnej pracy zacisków zabezpieczających przekaźnika.
Nie jest to jedyne możliwe rozwiązanie, ale naszym zdaniem jest optymalne do prowadzenia ćwiczeń cybernetycznych, ponieważ odzwierciedla rzeczywistą architekturę zdecydowanej większości współczesnych stacji elektroenergetycznych, a jednocześnie można je dostosować tak, aby odtworzyć jak możliwie najdokładniej niektóre cechy konkretnego obiektu.
Na zakończenie
Cyberzasięg to ogromny projekt i przed nim jeszcze dużo pracy. Z jednej strony badamy doświadczenia naszych zachodnich kolegów, z drugiej strony musimy wiele zrobić, opierając się na naszym doświadczeniu we współpracy z rosyjskimi przedsiębiorstwami przemysłowymi, ponieważ nie tylko różne branże, ale także różne kraje mają specyfikę. Jest to temat zarówno złożony, jak i interesujący.
Niemniej jednak jesteśmy przekonani, że osiągnęliśmy w Rosji tzw. „poziom dojrzałości”, w którym przemysł również rozumie potrzebę ćwiczeń cybernetycznych. Oznacza to, że wkrótce branża będzie miała swoje własne najlepsze praktyki, a my, miejmy nadzieję, wzmocnimy nasz poziom bezpieczeństwa.
Autorzy
Oleg Arkhangelsky, wiodący analityk i metodolog projektu Industrial Cyber Test Site.
Dmitry Syutov, główny inżynier projektu Industrial Cyber Test Site;
Andrey Kuznetsov, kierownik projektu „Industrial Cyber Test Site”, zastępca kierownika Laboratorium Cyberbezpieczeństwa zautomatyzowanych systemów kontroli procesów produkcyjnych
Źródło: www.habr.com