Este ano, iniciamos um grande projeto para criar um ciberpolígono – um espaço para exercícios cibernéticos de empresas de diversos setores. Para isso, precisamos criar infraestruturas virtuais "idênticas às naturais" – que reflitam a estrutura interna típica de um banco, de uma empresa de energia, etc., e isso não apenas na parte do segmento corporativo da rede. Em breve, falaremos sobre as infraestruturas bancária e outras do ciberpolígono, e hoje – sobre como resolvemos essa tarefa em relação ao segmento tecnológico de uma empresa industrial.
Claro, o tema de exercícios cibernéticos e ciberpolígonos não surgiu ontem. No Ocidente, já faz tempo que existe um círculo de propostas concorrentes, diferentes abordagens para exercícios cibernéticos e também as melhores práticas. "É de bom tom" para os serviços de segurança da informação treinar periodicamente a prontidão para repelir ataques cibernéticos na prática. Para a Rússia, no entanto, esse ainda é um tema novo: sim, existe uma pequena oferta, que surgiu há alguns anos, mas a demanda, especialmente nas indústrias, começou a se formar apenas agora. Acreditamos que há três razões principais – que são também problemas, que já se tornaram bastante evidentes.
O mundo está mudando muito rápido
Há 10 anos, os hackers atacavam principalmente organizações de onde podiam retirar dinheiro rapidamente. Para a indústria, essa ameaça era menos relevante. Agora, vemos que as infraestruturas de organizações governamentais, empresas de energia e indústrias estão se tornando o foco de seu interesse. Aqui, frequentemente lidamos com tentativas de espionagem, roubo de dados para diversas finalidades (inteligência competitiva, chantagem), além da obtenção de pontos de presença nas infraestruturas para futura venda a colegas interessados. Até mesmo simples ransomware como o WannaCry impactou muitas dessas entidades ao redor do mundo. Portanto, as realidades modernas exigem que os especialistas em segurança da informação considerem esses riscos e desenvolvam novos processos de segurança cibernética. Em particular, devem continuamente aprimorar suas habilidades e praticar habilidades práticas. O pessoal em todos os níveis de gestão operacional de objetos industriais deve ter uma compreensão clara das ações a serem tomadas em caso de um ciberataque. No entanto, realizar exercícios cibernéticos em sua própria infraestrutura - por favor, demita, os riscos claramente superam o possível benefício.
Falta de compreensão das reais capacidades dos invasores em quebrar sistemas de controle industrial e sistemas IIoT
Esse problema existe em todos os níveis das organizações: nem todos os especialistas entendem o que pode acontecer com seu sistema, quais são os vetores de ataque em potencial. O que dizer da gerência.
Os profissionais de segurança frequentemente apelam para o "espaço aéreo", que supostamente impediria o invasor de ir além da rede corporativa, mas a prática mostra que 90% das organizações possuem conexão entre o segmento corporativo e o tecnológico. Além disso, os próprios elementos de construção e gerenciamento de redes tecnológicas também costumam ter vulnerabilidades, como vimos, por exemplo, ao investigar o equipamento. e .
É difícil construir um modelo adequado de ameaças.
Nos últimos anos, o processo de complexificação dos sistemas de informação e automatizados tem sido constante, assim como a transição para sistemas ciberfísicos, que pressupõem a integração de recursos computacionais e equipamentos físicos. Os sistemas estão se tornando tão complexos que é praticamente impossível prever todas as consequências de ciberataques apenas por meio de métodos analíticos. Isso envolve não apenas o dano econômico para a organização, mas também a avaliação das consequências que são compreensíveis para os técnicos e para a indústria — a perda de energia elétrica, por exemplo, ou outro tipo de produto, se falamos de petróleo e gás ou petroquímica. E como estabelecer prioridades em tal situação?
De fato, isso tudo, na nossa perspectiva, tornou-se a base para o surgimento do conceito de exercícios cibernéticos e ciberpolígonos na Rússia.
Como é organizado o segmento tecnológico do ciberpolígono
O ciberpolígono é um conjunto de infraestruturas virtuais que replicam as infraestruturas típicas de empresas de várias indústrias. Ele permite "treinar em situações simuladas" — desenvolver habilidades práticas para os especialistas sem o risco de que algo saia do plano e os exercícios cibernéticos comprometam as atividades de uma empresa real. Grandes empresas de segurança da informação estão começando a desenvolver essa área, e é possível observar exercícios cibernéticos dessa natureza em formato de jogo, por exemplo, no Positive Hack Days.
O esquema típico da infraestrutura de rede de uma grande empresa ou corporação é um conjunto bastante padrão de servidores, computadores de trabalho e vários dispositivos de rede, com um conjunto padrão de software corporativo e sistemas de segurança da informação. O ciberpolígono setorial é exatamente a mesma coisa, mas com uma especificidade séria, que complica drasticamente o modelo virtual.
Como aproximamos o ciberpolígono da realidade
Conceitualmente, a aparência da parte industrial do ciberpolígono depende do método escolhido para modelar um complexo sistema ciberfísico. Existem três abordagens principais para a modelagem:
Cada uma dessas abordagens possui suas vantagens e desvantagens. Em diferentes casos, dependendo do objetivo final e das restrições existentes, todas as três abordagens mencionadas acima podem ser aplicadas. Para formalizar a escolha dessas abordagens, elaboramos o seguinte algoritmo:
Os prós e contras de diferentes métodos de modelagem podem ser apresentados em um diagrama, onde o eixo vertical representa a abrangência das áreas de pesquisa (ou seja, a flexibilidade da ferramenta de modelagem proposta), e o eixo horizontal representa a precisão da modelagem (o grau de correspondência com o sistema real). O resultado é praticamente o quadrado de Gartner:
Assim, o método mais otimizado em termos de precisão e flexibilidade de modelagem é o chamado modelo semi-real (hardware-in-the-loop, HIL). Nesse tipo de abordagem, o sistema ciberfísico é parcialmente modelado com hardware real e parcialmente com modelos matemáticos. Por exemplo, uma subestação elétrica pode ser representada por dispositivos microprocessadores reais (terminais de proteção relé), servidores de sistemas de controle automatizados e outros equipamentos secundários, enquanto os processos físicos que ocorrem na rede elétrica são realizados por meio de um modelo computacional. Ok, agora que definimos o método de modelagem. Depois disso, era necessário desenvolver a arquitetura do ciberpolígono. Para que os ciberexercícios sejam realmente úteis, todas as relações da complexa rede ciberfísica real precisam ser recriadas com a máxima precisão no polígono. Portanto, assim como na vida real, a parte tecnológica do ciberpolígono consiste em vários níveis interagindo entre si. Lembro que a infraestrutura típica das redes industriais inclui o nível mais baixo, que compreende o chamado "equipamento primário" — seja fibra óptica, rede elétrica ou algo mais — dependendo do setor. Este troca dados e é gerido por controladores industriais especializados, que, por sua vez, são geridos por sistemas SCADA.
Começamos a criação da parte industrial do ciberpolígono com o segmento energético, que atualmente é a nossa prioridade (planejamos expandir para a indústria de petróleo, gás e química).
É evidente que o nível do equipamento primário não pode ser realizado por meio de modelagem física com objetos reais. Portanto, na primeira etapa, desenvolvemos um modelo matemático de uma unidade de energia e da área adjacente do sistema energético. Este modelo inclui todo o equipamento de potência das subestações - linhas de transmissão, transformadores, e assim por diante, e é realizado em um complexo de software especializado chamado RSCAD. O modelo criado dessa forma pode ser processado por um complexo computacional em tempo real - a principal característica é que o tempo do processo no sistema real e o tempo do processo no modelo são absolutamente idênticos - ou seja, se um curto-circuito na rede real dura dois segundos, será exatamente esse tempo que será modelado no RSCAD. Obtemos uma seção "viva" do sistema de energia elétrica, funcionando de acordo com todas as leis da física e até reagindo a influências externas (por exemplo, atuações de terminais de proteção relé e automação, desligamento de disjuntores, etc.). As interações com dispositivos externos foram alcançadas por meio de interfaces de comunicação especializadas e configuráveis, permitindo que o modelo matemático interaja com o nível de controladores e o nível de sistemas automatizados.
Os níveis de controladores e sistemas automatizados de gerenciamento da unidade de energia podem ser criados com equipamento industrial real (embora, se necessário, também possamos usar modelos virtuais). Nesses dois níveis, encontram-se, respectivamente, controladores e meios de automação (RZA, PMU, USPD, contadores) e sistemas automatizados de controle (SCADA, OIK, AIISKUÉ). A modelagem física permite aumentar significativamente a realismo do modelo e, consequentemente, dos próprios exercícios cibernéticos, uma vez que as equipes interagirão com equipamento industrial real, que possui suas particularidades, falhas e vulnerabilidades.
Na terceira etapa, implementamos a interação entre as partes matemática e física do modelo por meio de interfaces de hardware e software especializadas e amplificadores de sinal.
No final, a infraestrutura se parece aproximadamente com isto:
Todo o equipamento do polígono interage entre si da mesma forma que em um sistema ciberfísico real. Para ser mais específico, ao construir este modelo, utilizamos o seguinte equipamento e meios computacionais:
- Complexo computacional RTDS para realizar cálculos em 'tempo real';
- Posto de trabalho automatizado (PWA) do operador com software instalado para simulação do processo tecnológico e equipamentos primários de subestações elétricas;
- Gabinetes com equipamentos de comunicação, terminais de proteção e automação, e equipamentos de controle de processos;
- Gabinetes de amplificadores destinados a aumentar sinais analógicos da placa de conversão digital-analógica do simulador RTDS. Cada gabinete de amplificadores contém um conjunto diferente de módulos de amplificação usados para formar os sinais de entrada de corrente e tensão para os terminais de proteção e automação em teste. Os sinais de entrada são amplificados para o nível necessário para o funcionamento normal dos terminais de proteção e automação.
Esta não é a única solução possível, mas, em nossa opinião, é a mais otimizada para a realização de exercícios cibernéticos, pois reflete a arquitetura real da absoluta maioria das subestações modernas, e pode ser personalizada para recriar com máxima precisão algumas características de um objeto específico.
Para concluir
O ciberpolígono é um grande projeto, e temos muito trabalho pela frente. Por um lado, estudamos a experiência de colegas ocidentais; por outro, muito do que fazemos é baseado na nossa experiência com empresas industriais russas, pois a especificidade existe não apenas entre diferentes setores, mas também entre diferentes países. É um tema complexo e interessante.
No entanto, estamos convencidos de que na Rússia alcançamos o que se costuma chamar de "nível de maturidade", quando a indústria começa a compreender a necessidade de exercícios cibernéticos. Isso significa que em breve o setor terá suas melhores práticas, e espero que consigamos nos fortalecer em termos de proteção.
Autores
Oleg Arkhangelsky, analista e metodólogo líder do projeto 'Ciberpolígono Industrial'.
Dmitry Syutov, engenheiro-chefe do projeto 'Ciberpolígono Industrial';
Andrei Kuznetsov, responsável pelo projeto "Polígono Cibernético Industrial", vice-chefe do Laboratório de Cibersegurança de Sistemas de Controle e Automação na produção
Fonte: habr.com
