今年我們啟動了一個大型項目，創建一個網路訓練場——為各行業的公司提供網路演習的平台。 為此，有必要創建「與自然基礎設施相同」的虛擬基礎設施，以便它們複製銀行、能源公司等的典型內部結構，而不僅僅是在網路的企業部分方面。 稍後我們將討論網路範圍的銀行和其他基礎設施，今天我們將討論如何解決與工業企業的技術部分相關的這個問題。
當然，網路演習和網路訓練場的話題並不是昨天才出現的。 在西方，長期以來形成了一系列相互競爭的提案、不同的網路演習方法以及最佳實踐。 資訊安全服務的「好形式」是定期在實踐中練習抵禦網路攻擊的準備狀態。 對俄羅斯來說，這仍然是一個新話題：是的，供應量很小，而且幾年前就出現了，但需求，特別是工業部門的需求，現在才開始逐漸形成。 我們認為這主要有三個原因──它們也是已經變得非常明顯的問題。
世界變化太快
就在10年前，駭客主要攻擊那些可以快速提取資金的組織。 對工業界來說，這種威脅不太重要。 現在我們看到政府機構、能源和工業企業的基礎設施也正在成為他們感興趣的主題。 在這裡，我們更經常處理間諜活動、出於各種目的（競爭情報、勒索）的資料竊取，以及獲取基礎設施中的存在點以進一步出售給有興趣的同志。 好吧，即使是像 WannaCry 這樣平庸的加密器也已經在世界各地捕獲了相當多的類似物件。 因此，現代現實要求資訊安全專家考慮這些風險並創建新的資訊安全流程。 特別是要定期提升自己的資質，練習實務技能。 工業設施運作調度控制的各級人員必須清楚了解在發生網路攻擊時應採取的行動。 但在自己的基礎設施上進行網路演習 - 抱歉，風險顯然超過了可能的好處。
缺乏對攻擊者攻擊過程控制系統和工業物聯網系統的真實能力的了解
這個問題存在於各個層級的組織中：甚至並非所有專家都了解他們的系統會發生什麼，以及可以針對哪些攻擊向量。 對於領導階層我們能說什麼？
安全專家經常訴諸“氣隙”，據說這不會讓攻擊者超越企業網絡，但實踐表明，在 90% 的組織中，企業和技術部門之間存在聯繫。 同時，建構和管理技術網路的要素也經常存在漏洞，我們在檢查設備時尤其發現了這一點 и .
建立足夠的威脅模型很困難
近年來，資訊和自動化系統的複雜性不斷增加，並向涉及計算資源和實體設備整合的資訊物理系統過渡。 系統變得如此複雜，以至於根本不可能使用分析方法來預測網路攻擊的所有後果。 我們不僅談論對組織的經濟損害，而且還評估技術人員和行業可以理解的後果 - 例如，如果我們談論的是石油和天然氣，則電力供應不足或其他類型的產品或石化產品。 在這種情況下如何決定優先順序？
實際上，我們認為，這一切都成為俄羅斯網路演習和網路訓練場概念出現的先決條件。
網路靶場的技術部分如何運作
網路測試場是虛擬基礎設施的綜合體，複製了各行業企業的典型基礎設施。 它可以讓你「在貓身上練習」——練習專家的實用技能，而不用擔心事情不會按計劃進行，而網路練習會損害真實企業的活動。 大型網路安全公司開始開發這一領域，您可以以遊戲形式觀看類似的網路演習，例如在 Positive Hack Days 上。
大型企業或公司的典型網路基礎設施圖是一組相當標準的伺服器、工作電腦和各種網路設備，以及一組標準的公司軟體和資訊安全系統。 產業網路測試場都是一樣的，加上一些嚴重的細節，讓虛擬模型變得非常複雜。
我們如何讓網路靶場更接近現實
從概念上講，網路測試站點工業部分的外觀取決於所選的複雜網路物理系統建模方法。 建模主要有以下三種方法：
這些方法中的每一種都有其自身的優點和缺點。 在不同的情況下，根據最終目標和現有的限制，上述三種建模方法都可以使用。 為了形式化這些方法的選擇，我們編譯了以下演算法：
不同建模方法的優缺點可以用圖表的形式表示，其中 y 軸是研究領域的覆蓋範圍（即所提出的建模工具的靈活性），x 軸是準確性模擬的程度（與真實系統的對應程度）。 結果幾乎是一個 Gartner 正方形：
因此，建模的準確性和靈活性之間的最佳平衡就是所謂的半自然建模（硬體在環，HIL）。 在這種方法中，網路物理系統部分使用真實設備建模，部分使用數學模型。 例如，變電站可以用真實的微處理器設備（繼電器保護終端）、自動化控制系統的伺服器和其他二次設備來表示，並且電網中發生的物理過程本身是使用電腦模型來實現的。 好的，我們已經決定了建模方法。 此後，有必要開發網路靶場的架構。 為了使網路演習真正有用，必須在測試站點上盡可能準確地重新創建真正複雜的網路物理系統的所有互連。 因此，在我國，就像在現實生活中一樣，網路靶場的技術部分由幾個相互作用的層面組成。 讓我提醒您，典型的工業網路基礎設施包括最底層，其中包括所謂的「主要設備」——光纖、電氣網路或其他設備，具體取決於產業。 它交換資料並由專門的工業控制器控制，而這些控制器又由 SCADA 系統控制。
我們開始從能源領域創建網路站點的工業部分，這是現在我們的首要任務（石油、天然氣和化學工業都在我們的計劃中）。
可見，一次裝備的水平並不能透過實物的全尺寸建模來實現。 因此，在第一階段，我們建立了電力設施和電力系統相鄰部分的數學模型。 該模型包括變電站的所有電力設備—電力線、變壓器等，並在特殊的RSCAD軟體包中執行。 以這種方式創建的模型可以由即時計算複合體進行處理 - 其主要特點是真實系統中的處理時間和模型中的處理時間絕對相同 - 也就是說，如果在真實系統中發生短路網路持續兩秒，在RSCAD 中將模擬完全相同的時間）。 我們得到電力系統的「即時」部分，根據所有物理定律運行，甚至響應外部影響（例如，繼電器保護和自動化終端的啟動、開關跳閘等）。 與外部設備的互動是使用專門的可自訂通訊介面實現的，允許數學模型與控制器層級和自動化系統層級進行互動。
但是電力設施的控制器和自動化控制系統的等級可以使用真實的工業設備來創建（儘管，如果需要，我們也可以使用虛擬模型）。 在這兩個層次上，分別設有控制器和自動化設備（繼電器保護和自動化、PMU、USPD、儀表）和自動化控制系統（SCADA、OIK、AIISKUE）。 全面建模可以顯著提高模型的真實性，從而提高網路演習本身的真實性，因為團隊將與真實的工業設備進行交互，而真實的工業設備有其自身的特徵、錯誤和漏洞。
在第三階段，我們使用專門的硬體和軟體介面以及訊號放大器實現了模型的數學和物理部分的交互作用。
結果，基礎設施看起來像這樣：
所有測試站點設備之間的互動方式與真實的網路實體系統中的方式相同。 更具體地說，在建立這個模型時，我們使用了以下設備和計算工具：
- 計算複雜的 RTDS 以進行「即時」計算；
- 操作員的自動化工作站（AWS），安裝有軟體，用於對變電站的流程和主要設備進行建模；
- 裝有通訊設備、繼電器保護和自動化終端、自動化製程控制設備的機櫃；
- 放大器櫃設計用於放大來自 RTDS 模擬器數模轉換器板的類比訊號。 每個放大器櫃包含一組不同的放大模組，用於為所研究的繼電器保護端子產生電流和電壓輸入訊號。 輸入訊號放大到繼電器保護端子正常運作所需的電平。
這不是唯一可能的解決方案，但我們認為，它是進行網路演習的最佳選擇，因為它反映了絕大多數現代變電站的真實架構，同時它可以進行定制，以便重新創建盡可能準確地描述特定物體的某些特徵。
總之
網路靶場是一項浩大的工程，未來還有大量工作要做。 一方面，我們學習西方同事的經驗，另一方面，我們必須根據我們與俄羅斯工業企業具體合作的經驗做很多事情，因為不僅不同的行業，而且不同的國家都有其特殊性。 這是一個既複雜又有趣的話題。
儘管如此，我們相信，當業界也了解網路演習的必要性時，我們俄羅斯已經達到了通常所說的「成熟度」。 這意味著很快該行業將擁有自己的最佳實踐，我們有望加強我們的安全水平。
作者
奧列格·阿爾漢格爾斯基（Oleg Arkhangelsky），工業網路測試場計畫的首席分析師和方法學家。
Dmitry Syutov，工業網路測試場專案總工程師；
安德烈·庫茲涅佐夫（Andrey Kuznetsov），「工業網路測試場」計畫負責人、生產自動化製程控制系統網路安全實驗室副主任
來源： www.habr.com