W tym roku rozpoczęliśmy duży projekt budowy cyberpoligonu – miejsca do ćwiczeń cybernetycznych dla firm z różnych branż. W tym celu musimy stworzyć wirtualne infrastruktury, „identyczne jak rzeczywiste” – aby powtarzały typową wewnętrzną strukturę banku, firmy energetycznej itd., przy czym nie tylko w zakresie korporacyjnego segmentu sieci. Wkrótce opowiemy o infrastruktury bankowej i innych w cyberpoligonie, a dziś – o tym, jak rozwiązaliśmy ten problem w kontekście technologicznego segmentu przemysłowego przedsiębiorstwa.
Oczywiście tematyka ćwiczeń cybernetycznych i cyberpoligonów nie pojawiła się wczoraj. Na Zachodzie od dość dawna istnieje krąg konkurencyjnych ofert, różnych podejść do ćwiczeń cybernetycznych oraz po prostu najlepsze praktyki. „Dobre praktyki” w służbie bezpieczeństwa IT – okresowe ćwiczenie gotowości do odbicia cyberataków w praktyce. Dla Rosji jest to wciąż nowy temat: tak, istnieje niewielka oferta, która pojawiła się kilka lat temu, ale popyt, szczególnie w branżach przemysłowych, zaczyna powoli się formować dopiero teraz. Uważamy, że są trzy główne powody – a zarazem problemy, które już stały się bardzo oczywiste.
Świat zmienia się zbyt szybko
Jeszcze 10 lat temu hakerzy atakowali głównie te organizacje, z których mogli szybko wyprowadzić pieniądze. Dla przemysłu to zagrożenie było mniej istotne. Obecnie widzimy, że przedmiotem ich zainteresowania stają się także infrastruktury organizacji rządowych, przedsiębiorstw energetycznych i przemysłowych. Tutaj częściej mamy do czynienia z próbami szpiegostwa, kradzieżą danych w różnych celach (wywiad konkurencyjny, szantaż), a także uzyskiwaniem punktów obecności w infrastrukturze, aby następnie sprzedać je zainteresowanym stronom. Nawet banalne ransomware, takie jak WannaCry, zaatakowały wiele podobnych obiektów na całym świecie. Dlatego współczesne realia wymagają od specjalistów ds. bezpieczeństwa uwzględnienia tych ryzyk i formowania nowych procesów bezpieczeństwa informacji. W szczególności regularnego podnoszenia kwalifikacji oraz doskonalenia praktycznych umiejętności. Personel na wszystkich poziomach zarządzania operacyjnego obiektami przemysłowymi musi mieć jasne zrozumienie, jakie działania podjąć w przypadku cyberataku. Jednak przeprowadzanie ćwiczeń cybernetycznych na własnej infrastrukturze – wybaczcie, ryzyko wyraźnie przewyższa możliwe korzyści.
Nieporozumienie dotyczące rzeczywistych możliwości przestępców w zakresie włamania do systemów SCADA i IIoT
Problem ten istnieje na wszystkich poziomach organizacji: nawet nie wszyscy specjaliści rozumieją, co może się wydarzyć z ich systemem, jakie są na niego wektory ataku. Co dopiero mówić o kierownictwie.
Specjaliści ds. bezpieczeństwa często odwołują się do "powietrznej przegrody", która rzekomo nie pozwoli przestępcy przejść dalej niż do sieci korporacyjnej, ale praktyka pokazuje, że w 90% organizacji istnieje połączenie między segmentem korporacyjnym a technologicznym. Przy tym same elementy budowy i zarządzania sieciami technologicznymi również często mają luki, co mogliśmy zobaczyć badając sprzęt i .
Trudno jest zbudować odpowiedni model zagrożeń
W ostatnich latach proces komplikacji systemów informacyjnych i zautomatyzowanych, a także przejście do systemów cyberfizycznych, które zakładają integrację zasobów obliczeniowych i sprzętu fizycznego, trwał nieprzerwanie. Systemy stają się na tyle skomplikowane, że przewidzenie wszystkich konsekwencji cyberataków za pomocą metod analitycznych jest po prostu niemożliwe. Mowa tutaj nie tylko o szkodach ekonomicznych dla organizacji, ale także o ocenie skutków, które są zrozumiałe dla technologa i dla branży – na przykład, niedostarczona energia elektryczna lub inny rodzaj produktu, jeśli mówimy o sektorze naftowym lub petrochemicznym. Jak w takiej sytuacji ustalić priorytety?
Właściwie, to wszystko, naszym zdaniem, stało się przesłanką do powstania koncepcji ćwiczeń cybernetycznych i cyberpoligonów w Rosji.
Jak zorganizowany jest segment technologiczny cyberpoligonu
Cyberpoligon to kompleks wirtualnych infrastruktur, które powtarzają standardowe infrastruktury przedsiębiorstw z różnych branż. Pozwala to na 'trening na kotach' – rozwijanie praktycznych umiejętności specjalistów bez ryzyka, że coś nie pójdzie zgodnie z planem, a ćwiczenia cybernetyczne zaszkodzą działalności rzeczywistego przedsiębiorstwa. Duże firmy zajmujące się bezpieczeństwem informacji zaczynają rozwijać ten kierunek, a ciekawe ćwiczenia cybernetyczne w formacie gry można zobaczyć na przykład na Positive Hack Days.
Standardowy schemat infrastruktury sieciowej hipotetycznego dużego przedsiębiorstwa lub korporacji to dość standardowy zestaw serwerów, komputerów roboczych i różnych urządzeń sieciowych z typowym zestawem oprogramowania korporacyjnego i systemów zabezpieczeń informacji. Branżowy cyberpoligon to to samo, plus poważna specyfika, znacznie komplikująca model wirtualny.
Jak przybliżyliśmy cyberpoligon do rzeczywistości
Konceptualnie wygląd przemysłowej części cyberpoligonu zależy od wybranej metody modelowania skomplikowanego systemu cyberfizycznego. Istnieją trzy podstawowe podejścia do modelowania:
Każde z tych podejść ma swoje zalety i wady. W różnych przypadkach, w zależności od ostatecznego celu i dostępnych ograniczeń, mogą być stosowane wszystkie trzy wymienione wyżej sposoby modelowania. Aby sformalizować wybór tych metod, opracowaliśmy następujący algorytm:
Zalety i wady różnych metod modelowania można przedstawić w formie diagramu, gdzie oś Y reprezentuje zakres obszarów badań (tj. elastyczność proponowanego narzędzia modelowania), a oś X - dokładność modelowania (stopień zgodności z rzeczywistym systemem). W ten sposób powstaje praktycznie kwadrat Garta.
Zatem optymalnym pod względem proporcji dokładności i elastyczności modelowania jest tzw. modelowanie półnaturalne (hardware-in-the-loop, HIL). W ramach tego podejścia system cyberfizyczny jest częściowo modelowany przy użyciu rzeczywistego sprzętu, a częściowo - za pomocą modeli matematycznych. Przykładowo, stacja energetyczna może być przedstawiona jako rzeczywiste urządzenia mikroprocesorowe (terminali ochrony przekaźnikowej), serwery zautomatyzowanych systemów zarządzania oraz innym sprzętem wtórnym, a same procesy fizyczne zachodzące w sieci energetycznej - realizowane są przy użyciu modelu komputerowego. Dobrze, mamy określoną metodę modelowania. Następnie konieczne było opracowanie architektury cyberpoligonu. Aby szkolenia cybernetyczne były naprawdę użyteczne, wszystkie powiązania rzeczywistego skomplikowanego systemu cyberfizycznego muszą być jak najdokładniej odtworzone na poligonie. Dlatego u nas, tak jak w prawdziwym życiu, technologiczna część cyberpoligonu składa się z kilku współdziałających ze sobą poziomów. Przypomnę, że typowa infrastruktura sieci przemysłowych obejmuje najniższy poziom, do którego należy tzw. „sprzęt podstawowy” - to światłowód, sieć elektryczna lub coś innego - w zależności od branży. Wymienia on dane i jest zarządzany przez specjalistyczne kontrolery przemysłowe, a te z kolei przez systemy SCADA.
Rozpoczęliśmy tworzenie przemysłowej części cyberpoligonu od segmentu energetycznego, który obecnie jest dla nas priorytetem (w planach - przemysł naftowy i chemiczny).
Oczywiste jest, że poziom primarnego sprzętu nie może zostać zrealizowany poprzez modelowanie rzeczywiste z użyciem obiektów fizycznych. Dlatego na pierwszym etapie opracowaliśmy model matematyczny obiektu energetycznego i przylegającego obszaru systemu energetycznego. Model ten obejmuje wszystkie urządzenia zasilające stacji elektrycznych – linie przesyłowe, transformatory i tak dalej, i jest realizowany w specjalnym pakiecie oprogramowania RSCAD. Stworzony w ten sposób model może być przetwarzany przez rzeczywisty kompleks obliczeniowy – jego główną cechą jest to, że czas procesu w rzeczywistym systemie i czas procesu w modelu są absolutnie identyczne – to znaczy, jeśli w rzeczywistej sieci zwarcie trwa dwie sekundy, dokładnie tyle samo będzie modelowane w RSCAD). Otrzymujemy „żywy” fragment systemu elektroenergetycznego, działający zgodnie ze wszystkimi prawami fizyki i reagujący nawet na zewnętrzne wpływy (na przykład, wyzwolenia terminali ochrony relacyjnej i automatyki, wyłączanie wyłączników itd.). Interakcję z zewnętrznymi urządzeniami udało się osiągnąć dzięki specjalizowanym konfigurowalnym interfejsom komunikacyjnym, które pozwalają modelowi matematycznemu współpracować z poziomem kontrolerów i poziomem zautomatyzowanych systemów.
Natomiast same poziomy kontrolerów i zautomatyzowanych systemów zarządzania obiektem energetycznym można tworzyć za pomocą rzeczywistego przemysłowego sprzętu (choć, w razie potrzeby, możemy również używać modeli wirtualnych). Na tych dwóch poziomach znajdują się odpowiednio kontrolery i środki automatyzacji (RZA, PMU, USPD, liczniki) oraz zautomatyzowane systemy zarządzania (SCADA, OIK, AIIISKUE). Modelowanie rzeczywiste pozwala znacznie zwiększyć realizm modelu i tym samym samych ćwiczeń cybernetycznych, ponieważ zespoły będą współdziałały z rzeczywistym przemysłowym sprzętem, który ma swoje szczegóły, błędy i podatności.
Na trzecim etapie zrealizowaliśmy interakcję matematycznej i fizycznej części modelu za pomocą wyspecjalizowanych interfejsów sprzętowych i programowych oraz wzmacniaczy sygnałowych.
W rezultacie infrastruktura wygląda mniej więcej tak:
Całe wyposażenie poligonu działa razem tak, jak w rzeczywistej systemie cyberfizycznym. Mówiąc bardziej szczegółowo, w budowie tego modelu wykorzystaliśmy następujące urządzenia i zasoby obliczeniowe:
- Kompleks obliczeniowy RTDS do przeprowadzania obliczeń „w czasie rzeczywistym”;
- Zautomatyzowane stanowisko pracy (AZP) operatora z zainstalowanym oprogramowaniem do modelowania procesu technologicznego i podstawowego wyposażenia stacji elektrycznych;
- Szafy z wyposażeniem telekomunikacyjnym, terminalami RZA oraz sprzętem systemu automatyki przemysłowej;
- Szafy wzmacniaczy, przeznaczone do wzmacniania analogowych sygnałów z płytki cyfrowo-analogowego przetwornika symulatora RTDS. Każda szafa wzmacniaczy zawiera różnorodny zestaw bloków wzmacniających, używanych do formowania sygnałów wejściowych prądu i napięcia dla badanych terminali RZA. Sygnały wejściowe są wzmacniane do poziomu, który jest wymagany do normalnej pracy terminali RZA.
To nie jest jedyne możliwe rozwiązanie, ale naszym zdaniem jest ono optymalne do przeprowadzania ćwiczeń cybernetycznych, ponieważ odzwierciedla rzeczywistą architekturę absolutnej większości nowoczesnych stacji, a dodatkowo można je dostosować w maksymalny sposób, by dokładnie odtworzyć pewne cechy konkretnego obiektu.
Na zakończenie
Poligon cybernetyczny to ogromny projekt, a przed nami jeszcze wiele pracy. Z jednej strony uczymy się od naszych zachodnich kolegów, z drugiej – wiele musimy robić, opierając się na własnym doświadczeniu w pracy z rosyjskimi przedsiębiorstwami przemysłowymi, ponieważ specyfika różni się nie tylko w różnych branżach, ale także w różnych krajach. To złożony i interesujący temat.
Jednak jesteśmy przekonani, że w Rosji osiągnęliśmy to, co nazywa się „poziomem dojrzałości”, kiedy przemysł zaczyna rozumieć potrzebę ćwiczeń cybernetycznych. To oznacza, że wkrótce branża rozwinie swoje najlepsze praktyki, a poziom zabezpieczeń, mam nadzieję, wzrośnie.
Autorzy
Oleg Archangielski, główny analityk metodyczny projektu „Przemysłowy poligon cybernetyczny”.
Dmitrij Sjutow, główny inżynier projektu „Przemysłowy poligon cybernetyczny”;
Andrzej Kuzniecow, kierownik projektu "Przemysłowy Cyberpoligon", zastępca kierownika Laboratorium Cyberbezpieczeństwa APU TP w zakresie produkcji
Źródło: habr.com
