Hur vi byggde en virtuell infrastruktur för industriell cyberutbildning

I år lanserade vi ett stort projekt för att skapa en cyberutbildningsplats – en plattform för cyberutbildning för företag från olika branscher. För att göra detta är det nödvändigt att skapa virtuella infrastrukturer som är "identiska med de naturliga" - så att de upprepar den typiska interna strukturen för en bank, ett energibolag, etc., och inte bara när det gäller företagssegmentet i nätverket. Lite senare kommer vi att prata om bank- och andra infrastrukturer i cyberpolygonen, och idag – om hur vi löste detta problem i förhållande till det tekniska segmentet av ett industriföretag.

Naturligtvis uppstod inte ämnet cyberövningar och cyberträningsplatser igår. I väst har en krets av konkurrerande förslag, olika förhållningssätt till cyberövningar, såväl som helt enkelt bästa praxis, bildats under ganska lång tid nu. ”Gott uppförande” för informationssäkerhetstjänsten är att med jämna mellanrum öva på beredskap att avvärja cyberattacker i praktiken. För Ryssland är detta fortfarande ett nytt ämne: ja, det finns ett litet utbud, och det uppstod för flera år sedan, men efterfrågan, särskilt inom industrisektorerna, har bara börjat bildas så smått. Vi tror att det finns tre huvudorsaker till detta – de är också problem som redan har blivit ganska uppenbara.

Världen förändras för snabbt

För bara 10 år sedan attackerade hackare främst de organisationer som de snabbt kunde ta ut pengar ifrån. För industrin var detta hot mindre relevant. Nu ser vi att även statliga organisationers, energi- och industriföretags infrastruktur blir föremål för deras intresse. Här har vi oftare att göra med försök till spionage, datastöld i olika syften (konkurrensunderrättelser, utpressning), samt att skaffa närvaropunkter i infrastrukturen för efterföljande försäljning till intresserade kamrater. Tja, även banala krypteringar som WannaCry har påverkat många liknande objekt runt om i världen. Därför kräver moderna verkligheter att informationssäkerhetsspecialister tar hänsyn till dessa risker och utvecklar nya informationssäkerhetsprocesser. I synnerhet förbättra dina kvalifikationer regelbundet och öva på praktiska färdigheter. Personal på alla nivåer av operativ kontroll av industrianläggningar måste ha en klar förståelse för vilka åtgärder som ska vidtas vid en cyberattack. Men att genomföra cyberövningar på din egen infrastruktur – nej tack, riskerna överväger klart de potentiella fördelarna.

Brist på förståelse för angripares verkliga förmåga att hacka ICS- och IIoT-system

Detta problem finns på alla nivåer av organisationer: inte ens alla specialister förstår vad som kan hända med deras system, vilka attackvektorer som finns. Vad kan vi säga om ledningen?

Säkerhetsproffs hänvisar ofta till "luftgapet" som förmodligen inte kommer att tillåta en inkräktare att gå utanför företagets nätverk, men praxis visar att det i 90 % av organisationerna finns ett samband mellan företags- och tekniksegmenten. Samtidigt har delarna av konstruktion och förvaltning av tekniska nätverk också ofta sårbarheter, vilket vi särskilt såg när vi undersökte utrustningen MOXA и Schneider Electric.

Det är svårt att bygga en adekvat hotmodell

Under de senaste åren har det skett en ständig process med ökande komplexitet av information och automatiserade system, samt en övergång till cyberfysiska system, som innebär integration av datorresurser och fysisk utrustning. Systemen blir så komplexa att det helt enkelt är omöjligt att förutse alla konsekvenser av cyberattacker med hjälp av analytiska metoder. Vi pratar inte bara om de ekonomiska skadorna för organisationen utan också om att bedöma vilka konsekvenser som är förståeliga för teknologen och för industrin – till exempel bristen på elförsörjning, eller annan typ av produkt, om vi pratar om olja och gas eller petrokemi. Och hur gör man prioriteringar i en sådan situation?

Faktum är att allt detta, enligt vår mening, blev förutsättningarna för framväxten av konceptet med cyberövningar och cyberträningsplatser i Ryssland.

Hur det tekniska segmentet av cyberpolygonen är organiserat

En cyberpolygon är ett komplex av virtuella infrastrukturer som replikerar typiska infrastrukturer för företag i olika branscher. Det låter dig "öva på katter" - att öva specialisters praktiska färdigheter utan risk för att något inte kommer att gå enligt plan, och cyberövningar kommer att skada verksamheten i ett riktigt företag. Stora informationssäkerhetsföretag börjar utveckla denna riktning, och du kan se liknande cyberövningar i spelformat, till exempel på Positive Hack Days.

Ett typiskt nätverksinfrastrukturschema för ett hypotetiskt stort företag eller företag är en ganska standarduppsättning servrar, arbetsdatorer och olika nätverksenheter med en typisk uppsättning företagsprogramvara och informationssäkerhetssystem. En bransch cyber testplats är alla samma plus allvarliga detaljer som i hög grad komplicerar den virtuella modellen.

Hur vi förde cyberpolygonen närmare verkligheten

Det konceptuella utseendet på den industriella delen av cybertestområdet beror på den valda metoden för att modellera ett komplext cyberfysiskt system. Det finns tre huvudsakliga metoder för modellering:

Var och en av dessa tillvägagångssätt har sina egna fördelar och nackdelar. I olika fall, beroende på det slutliga målet och befintliga begränsningar, kan alla tre ovan nämnda modelleringsmetoder användas. För att formalisera valet av dessa metoder har vi sammanställt följande algoritm:

För- och nackdelar med olika modelleringsmetoder kan presenteras i form av ett diagram, där ordinataaxeln är täckningen av forskningsområdena (d.v.s. flexibiliteten hos det föreslagna modelleringsverktyget), och abskissaxeln är noggrannheten i modelleringen (graden av överensstämmelse med det verkliga systemet). Det visar sig nästan vara ett Gartner-torg:

Således är den optimala lösningen när det gäller förhållandet mellan noggrannhet och flexibilitet i modellering den så kallade semi-natural modellering (hårdvara-i-slingan, HIL). Inom detta tillvägagångssätt modelleras det cyberfysiska systemet delvis med hjälp av verklig utrustning och delvis med matematiska modeller. Till exempel kan en elektrisk transformatorstation representeras av verkliga mikroprocessorenheter (reläskyddsterminaler), servrar för automatiserade styrsystem och annan sekundär utrustning, och de fysiska processerna som förekommer i själva det elektriska nätverket implementeras med hjälp av en datormodell. Okej, vi har bestämt oss för modelleringsmetoden. Efter detta var det nödvändigt att utveckla arkitekturen för cybertestplatsen. För att cyberövningar verkligen ska vara användbara måste alla sammankopplingar av ett riktigt komplext cyberfysiskt system återskapas så exakt som möjligt på träningsplatsen. Därför, precis som i verkligheten, består den tekniska delen av cybertestområdet av flera interagerande nivåer. Låt mig påminna dig om att den typiska infrastrukturen för industriella nätverk inkluderar den lägsta nivån, som inkluderar den så kallade "primära utrustningen" - det här är fiberoptik, ett elektriskt nätverk eller något annat - beroende på bransch. Den utbyter data och styrs av specialiserade industrikontrollanter, som i sin tur styrs av SCADA-system.

Vi började skapa den industriella delen av cyberpolgon med energisegmentet, vilket nu är en prioritet för oss (våra planer inkluderar olje- och gasindustrin och kemisk industri).

Det är uppenbart att nivån på primärutrustning inte kan realiseras genom naturlig modellering med hjälp av verkliga objekt. Därför utvecklade vi i det första skedet en matematisk modell av energianläggningen och den intilliggande delen av energisystemet. Denna modell inkluderar all kraftutrustning för transformatorstationer – kraftledningar, transformatorer etc., och är implementerad i ett speciellt mjukvarupaket RSCAD. Modellen som skapas på detta sätt kan bearbetas av ett realtidsberäkningskomplex - dess huvudsakliga egenskap är att processtiden i det verkliga systemet och processtiden i modellen är helt identiska - det vill säga om en kortslutning i ett riktigt nätverk varar i två sekunder kommer den att modelleras i RSCAD under exakt samma tid). Vi får en "live" del av det elektriska kraftsystemet, som fungerar enligt alla fysikens lagar och till och med reagerar på yttre påverkan (till exempel driften av reläskydd och automationsterminaler, frånkoppling av strömbrytare, etc.). Interaktion med externa enheter uppnåddes med hjälp av specialiserade anpassningsbara kommunikationsgränssnitt, vilket gjorde det möjligt för den matematiska modellen att interagera med kontrollnivån och den automatiserade systemnivån.

Men nivåerna av styrenheter och automatiserade styrsystem för kraftanläggningen kan skapas med hjälp av riktig industriell utrustning (även om vi vid behov också kan använda virtuella modeller). På dessa två nivåer finns regulatorer respektive automationsutrustning (RPA, PMU, USPD, mätare) och automatiserade styrsystem (SCADA, OIC, AISKUE). Fullskalig modellering möjliggör en betydande ökning av modellens realism och följaktligen själva cyberövningarna, eftersom teamen kommer att interagera med riktig industriell utrustning, som har sina egna egenskaper, buggar och sårbarheter.

I det tredje steget implementerade vi interaktionen mellan de matematiska och fysiska delarna av modellen med hjälp av specialiserade hårdvaru- och mjukvarugränssnitt och signalförstärkare.

Som ett resultat ser infrastrukturen ut ungefär så här:

All utrustning på testplatsen interagerar med varandra på samma sätt som i ett riktigt cyberfysiskt system. För att vara mer specifik, när vi konstruerade den här modellen använde vi följande utrustning och datorresurser:

• RTDS-beräkningskomplex för att utföra beräkningar i realtid;
• Automatiserad arbetsstation (AWS) för operatören med installerad programvara för modellering av den tekniska processen och primär utrustning för elektriska transformatorstationer;
• Skåp med kommunikationsutrustning, reläskydd och automationsterminaler och automatiserad processkontrollsystemutrustning;
• Förstärkarskåp utformade för att förstärka analoga signaler från RTDS-simulatorns digital-till-analog-omvandlarkort. Varje förstärkarskåp innehåller en annan uppsättning förstärkningsblock som används för att generera ingångsström- och spänningssignaler för reläskyddet och automationsterminalerna som studeras. Ingångssignaler förstärks till den nivå som krävs för normal drift av reläskyddet och automationsterminalerna.

Detta är inte den enda möjliga lösningen, men enligt vår åsikt är den optimal för att genomföra cyberövningar, eftersom den återspeglar den verkliga arkitekturen hos de allra flesta moderna transformatorstationer, och samtidigt kan den anpassas för att så exakt som möjligt återskapa vissa funktioner i en specifik anläggning.

Sammanfattningsvis

Cyberpolygon är ett enormt projekt, och det återstår fortfarande mycket arbete. Å ena sidan studerar vi erfarenheterna från våra västerländska kollegor, å andra sidan måste vi göra mycket baserat på vår erfarenhet av att arbeta specifikt med ryska industriföretag, eftersom det finns detaljer inte bara i olika branscher utan också i olika länder. Detta är ett både komplext och intressant ämne.
Ändå är vi övertygade om att vi i Ryssland har nått vad som vanligtvis kallas en "mognadsnivå" där även industrin förstår behovet av cyberövningar. Det betyder att snart kommer branschen att ha sina egna bästa praxis, och vi kommer, hoppas jag, att stärka vår säkerhetsnivå.

Författare

Oleg Arkhangelsky, ledande analytiker och metodolog för Industrial Cyber ​​​​Polygon-projektet.
Dmitry Syutov, chefsingenjör för Industrial Cyber ​​​​Polygon-projektet;
Andrey Kuznetsov, chef för Industrial Cyber ​​​​Polygon Project, biträdande chef för cybersäkerhetslaboratoriet för det automatiserade processkontrollsystemet för produktion

Källa: will.com