Энергетика является сама по себе критической инфраструктурой с одной стороны, а с другой стороны любая другая инфраструктура имеющая статус критической в той или иной мере, сегодня, зависит от нее напрямую. Чтобы остановить поезд, необязательно разбирать пути или взрывать мосты, достаточно обесточить несколько тяговых подстанций или даже не напрягаться так сильно, а просто повлиять на ряд параметров качества электроэнергии. Причём последний вариант ещё и очень сложно будет диагностировать теми средствами, которые транспортники используют сегодня.
С приходом рыночных отношений, в Энергетику пришли новые технологии. Крайне консервативная отрасль, последние 10 лет находится в стадии серьёзных преобразований. В эксплуатации находятся современные подстанции, построенные на микропроцессорных защитах последнего поколения (по западным стандартам) и подстанции, использующие силовые трансформаторы выпуска 30-х годов прошлого века, вывезенные из оккупированной Германии в 1945 году с релейной защитой 60-х годов. По разным оценкам, от 60 до 80 процентов оборудования нуждается в замене или модернизации. Давайте представим себе ситуацию, что такая модернизация осуществилась, все настроено, работает, диспетчера максимально используют вновь открывшееся возможности, автоматика обеспечивает снижение эксплуатационных затрат, резко уменьшается количество отключений. Это одна сторона медали, при этом новое оборудование требует квалифицированного обслуживания, обеспечивает наблюдаемость через публичные сети, работают с использованием международных стандартов. Мы фактически окажемся (в ряде случаев, уже оказались) полностью открытыми и незащищенными в терминах информационной безопасности. Во всем мире активно формируется целая отрасль «Информационная безопасность критических инфраструктур». Пишутся статьи, проходят конференции, выпускаются обучающие симуляторы, рынок наводняют сериями продуктов, которые позиционируют себя в этой отрасли. Попробуем проанализировать эту ситуацию с разных точек зрения и выстроить собственную стратегию безопасности.
Государство. Чиновники в любой цивилизованной стране прекрасно понимают, опасность возникновения техногенных проблем, в первую очередь, с точки зрения «социальных взрывов», хотя финансовые, оборонные и политические риски также очень важны. Правда сама по себе угроза атаки на инфраструктуру настолько глобальна, что часто формируется ошибочное мнение, что тут мы точно защищены, есть отчётность, ответственные должностные лица и т.д.
Корпорации и бизнес. Мы инвестируем в повышение эффективности бизнес-процессов. Вложенные деньги должны приносить экономический эффект. Расчет убытков от потенциальных атак на инфраструктуру это очень интересно, но это только расчёт. В реальной жизни, вероятность такого сценария не нулевая, но попробуйте меня убедить, что это касается нашей компании.
Технологи. Перечень задач и приоритеты сформулированы чётко, да, вокруг много факторов, которые могут потенциально влиять на решение наших задач, но они второстепенны, никто приоритеты не менял, а для того чтобы разбираться в новой области нужны время и ресурсы.
Крупные технологические вендоры. Мы гарантируем работоспособность наших комплексов «под ключ», при надлежащем уровне эксплуатации. Чтобы его обеспечить, нам нужны удаленные каналы для диагностики установленного оборудования конкретным узким специалистом, который территориально может находится в Италии, Австралии или США. Мы занимаемся вопросами информационной безопасности, готовы обеспечить кодирование трафика по супералгоритму, который не поддаётся дешифровке (если изначально не известен код). Мы разрабатываем (покупаем на рынке готовые решения) класса фаервол, обеспечивающих контроль трафика по логическим правилам, но только в информационном режиме, то есть мы не готовы взять на себя ответственность за принятие решения.
Специалисты и разработчики решений по информационной безопасности. Новое направление, с банками разобрались, почему бы не использовать свой опыт и наработки для другой отрасли. Безопасность — она везде одинаковая, сейчас подучим матчасть и только держись. И тут пару лет был ступор, выяснилось, что технологи говорят на своём языке, тема информационной безопасности для них не так очевидна, как для банков, много непонятных устройств и протоколов. Чтобы преодолеть барьер движение продолжилось в двух направлениях. Первое, эвристический анализ. Поставим устройство и будем слушать, что происходит, за конкретный период времени (от 2-х месяцев до полугода), все запишем, проанализируем и вуаля, вот вам «нормальный» режим работы, не нужны никакие технологи, мы готовы к работе, теперь любое «возмущение» в сети можно сравнить с «нормальной» моделью и вынести вердикт. Смешно? Конечно смешно, технологические системы управления сами по себе средства безопасности. Они работают по событию и чем не стандартней (опасней) ситуация, тем более нестандартным будет реакция системы.
Второй, более продвинутый. Это средства моделирования технологической среды, систем управления и (ВНИМАНИЕ) схем атак на системы управления. Выпускаются на рынок продукты (например: www.cybati.org, www.skybox.com ), проводятся, так называемые Hack days, на YouTube целая серия роликов с разбором уязвимостей технологических протоколов и методов их использования. То есть под видом развития компетенций, на рынок выбрасывается информация, которая по своей сути стимулирует бесконечный процесс выявления уязвимостей и средств защиты от их использования.
Школьники и студенты. Скучно, игры надоели, вот вчера знакомый открыл доступ к каким-то библиотекам, говорил что если найти в сети IP управляющего устройства, то можно попробовать отключить свет в целом микрорайоне, а вдруг получится?..
Интересная складывается картина, не правда ли? Чтобы найти выход, предлагаю взглянуть на ситуацию под другим углом. Большая часть стандартов и технологий к нам приходит из-за рубежа. Включаясь в гонку технологий, мы оказываемся заведомо в роли отстающих, так как закрыв одну проблему, мы получаем новую версию с десятком других. Остановить прогресс, в свою очередь, тоже нельзя. Выход напрашивается сам собой, но он скорее, как обычно в этой области, скорее технологический, чем информационный. Первым делом, чётко разделить информационные потоки на двунаправленные и однонаправленные. Причём не по принципу «мы так привыкли», а жёстко исходя из производственной необходимости и в соответствии с нормативно-техническими документами. Двунаправленные потоки формируют оперативный контур управления, однонаправленные контур мониторинга. Контур мониторинга достаточно просто отделить от оперативного контура, имеющимися на российском рынке программно-техническими средствами физического разделения сетей с поддержкой широкого спектра технологических протоколов (например: www.onewaynetw.ru ). Сюда же относятся задачи организации удаленного доступа для сервисных компаний и вендоров. Даже если регламентом обслуживания предусмотрена изменение конфигураций или другие удаленные операции на объекте, задача может быть решена через стандартную процедуру Заявок, имеющуюся на любом технологическом предприятии. Оборудование выводится из работы, включается полноценный канал на заранее оговорённое время, проводятся работы, канал отключается, выполняется тестирование внесённых изменений, оборудование вводится в работу. Неудобно? Но, я ещё раз повторюсь — это не ИТ.
Оперативный контур управления. Самый ответственный сегмент, задача обеспечить его работоспособность в соответствии с заранее предопределёнными алгоритмами при любых внешних и внутренних воздействиях. На рынке появилось несколько решений, анализирующих алгоритмы работы защит и систем управления на соответствие заранее заданным правилам (например: www.secmatters.com), напомню технологическое управление регламентировано очень детально. Но по понятной причине, эти системы работают исключительно в «пассивном» режиме. Причина в том, что система управления обеспечивает функциональную работоспособность технологии, а ИТ анализатор отвечает только за формальное соответствие правил. Польза пассивного режима в обеспечении «отсева» на ранних стадиях целого набора угроз и ошибок, включая эксплуатационные. Но при этом понятно, что такое решение не убережёт от продуманного направленного воздействия на объект, когда время исчисляется десятками миллисекунд. Одним из выходов, в этом случае, может быть использование таких систем в виде своеобразного АВР, получил информацию о несоответствии работы оборудования в основной системе управления, переключился на вторую(резервную) систему управления, которая также протестирована технологами и стоит в горячем резерве, при этом нормально отключена от информационной сети. Далее опять процедура Заявки, анализ проблем основного контура и т. д., но технологическая надёжность обеспечена.
Безусловно первый вопрос будет в стоимости такого решения. Я уверен, что это в любом случае будет дешевле, чем участие в постоянной гонке наращивания технологий защиты-нападения и обеспечит результат на ближайшие 15-20 лет, а не на два-три года, до очередной смены технологического цикла в ИТ.
Чтобы это стало реальностью, необходимо, обеспечить несколько факторов:
1. Государство должно более детально формализовать требования к разделению сетей, имеющих отношение к критической инфраструктуре (аналог — действующего в США стандарта NERC)
2. Условием привлечения заемного финансирования бизнеса и корпораций должно стать страхование рисков от кибератак (мировая практика)
3. Технологам нужна площадка по обсуждению направлений развития средств технологического управления и информационной безопасности критических инфраструктур (пример конференция SGTech)
4. Качество предоставления услуг потребителям должно стать определяющим при формировании тарифов на энергоносители.
Задача систематизировать работу и перейти от пустых споров и жалоб на отсутствие понимания, к планомерному построению реальной модели угроз и комплексу мер (методических, организационных, технологических и информационных) по защите критически важных объектов от умышленных и непредумышленных кибератак. Такая работа в первую очередь будет интересна самим технологам, так как позволит навести порядок с действующими решениями, выявить слабые места, и обосновать развитие современных систем управления. Руководители смогут эффективно использовать реальные инструменты (например: www.wck-grc.com) управления рисками компаний, а банки получат дополнительные гарантии надежности вложений. Государство решит социальную задачу, в части улучшения качества оказываемых услуг населению и задачу повышения энергобезопасности страны в целом.
С приходом рыночных отношений, в Энергетику пришли новые технологии. Крайне консервативная отрасль, последние 10 лет находится в стадии серьёзных преобразований. В эксплуатации находятся современные подстанции, построенные на микропроцессорных защитах последнего поколения (по западным стандартам) и подстанции, использующие силовые трансформаторы выпуска 30-х годов прошлого века, вывезенные из оккупированной Германии в 1945 году с релейной защитой 60-х годов. По разным оценкам, от 60 до 80 процентов оборудования нуждается в замене или модернизации. Давайте представим себе ситуацию, что такая модернизация осуществилась, все настроено, работает, диспетчера максимально используют вновь открывшееся возможности, автоматика обеспечивает снижение эксплуатационных затрат, резко уменьшается количество отключений. Это одна сторона медали, при этом новое оборудование требует квалифицированного обслуживания, обеспечивает наблюдаемость через публичные сети, работают с использованием международных стандартов. Мы фактически окажемся (в ряде случаев, уже оказались) полностью открытыми и незащищенными в терминах информационной безопасности. Во всем мире активно формируется целая отрасль «Информационная безопасность критических инфраструктур». Пишутся статьи, проходят конференции, выпускаются обучающие симуляторы, рынок наводняют сериями продуктов, которые позиционируют себя в этой отрасли. Попробуем проанализировать эту ситуацию с разных точек зрения и выстроить собственную стратегию безопасности.
Государство. Чиновники в любой цивилизованной стране прекрасно понимают, опасность возникновения техногенных проблем, в первую очередь, с точки зрения «социальных взрывов», хотя финансовые, оборонные и политические риски также очень важны. Правда сама по себе угроза атаки на инфраструктуру настолько глобальна, что часто формируется ошибочное мнение, что тут мы точно защищены, есть отчётность, ответственные должностные лица и т.д.
Корпорации и бизнес. Мы инвестируем в повышение эффективности бизнес-процессов. Вложенные деньги должны приносить экономический эффект. Расчет убытков от потенциальных атак на инфраструктуру это очень интересно, но это только расчёт. В реальной жизни, вероятность такого сценария не нулевая, но попробуйте меня убедить, что это касается нашей компании.
Технологи. Перечень задач и приоритеты сформулированы чётко, да, вокруг много факторов, которые могут потенциально влиять на решение наших задач, но они второстепенны, никто приоритеты не менял, а для того чтобы разбираться в новой области нужны время и ресурсы.
Крупные технологические вендоры. Мы гарантируем работоспособность наших комплексов «под ключ», при надлежащем уровне эксплуатации. Чтобы его обеспечить, нам нужны удаленные каналы для диагностики установленного оборудования конкретным узким специалистом, который территориально может находится в Италии, Австралии или США. Мы занимаемся вопросами информационной безопасности, готовы обеспечить кодирование трафика по супералгоритму, который не поддаётся дешифровке (если изначально не известен код). Мы разрабатываем (покупаем на рынке готовые решения) класса фаервол, обеспечивающих контроль трафика по логическим правилам, но только в информационном режиме, то есть мы не готовы взять на себя ответственность за принятие решения.
Специалисты и разработчики решений по информационной безопасности. Новое направление, с банками разобрались, почему бы не использовать свой опыт и наработки для другой отрасли. Безопасность — она везде одинаковая, сейчас подучим матчасть и только держись. И тут пару лет был ступор, выяснилось, что технологи говорят на своём языке, тема информационной безопасности для них не так очевидна, как для банков, много непонятных устройств и протоколов. Чтобы преодолеть барьер движение продолжилось в двух направлениях. Первое, эвристический анализ. Поставим устройство и будем слушать, что происходит, за конкретный период времени (от 2-х месяцев до полугода), все запишем, проанализируем и вуаля, вот вам «нормальный» режим работы, не нужны никакие технологи, мы готовы к работе, теперь любое «возмущение» в сети можно сравнить с «нормальной» моделью и вынести вердикт. Смешно? Конечно смешно, технологические системы управления сами по себе средства безопасности. Они работают по событию и чем не стандартней (опасней) ситуация, тем более нестандартным будет реакция системы.
Второй, более продвинутый. Это средства моделирования технологической среды, систем управления и (ВНИМАНИЕ) схем атак на системы управления. Выпускаются на рынок продукты (например: www.cybati.org, www.skybox.com ), проводятся, так называемые Hack days, на YouTube целая серия роликов с разбором уязвимостей технологических протоколов и методов их использования. То есть под видом развития компетенций, на рынок выбрасывается информация, которая по своей сути стимулирует бесконечный процесс выявления уязвимостей и средств защиты от их использования.
Школьники и студенты. Скучно, игры надоели, вот вчера знакомый открыл доступ к каким-то библиотекам, говорил что если найти в сети IP управляющего устройства, то можно попробовать отключить свет в целом микрорайоне, а вдруг получится?..
Интересная складывается картина, не правда ли? Чтобы найти выход, предлагаю взглянуть на ситуацию под другим углом. Большая часть стандартов и технологий к нам приходит из-за рубежа. Включаясь в гонку технологий, мы оказываемся заведомо в роли отстающих, так как закрыв одну проблему, мы получаем новую версию с десятком других. Остановить прогресс, в свою очередь, тоже нельзя. Выход напрашивается сам собой, но он скорее, как обычно в этой области, скорее технологический, чем информационный. Первым делом, чётко разделить информационные потоки на двунаправленные и однонаправленные. Причём не по принципу «мы так привыкли», а жёстко исходя из производственной необходимости и в соответствии с нормативно-техническими документами. Двунаправленные потоки формируют оперативный контур управления, однонаправленные контур мониторинга. Контур мониторинга достаточно просто отделить от оперативного контура, имеющимися на российском рынке программно-техническими средствами физического разделения сетей с поддержкой широкого спектра технологических протоколов (например: www.onewaynetw.ru ). Сюда же относятся задачи организации удаленного доступа для сервисных компаний и вендоров. Даже если регламентом обслуживания предусмотрена изменение конфигураций или другие удаленные операции на объекте, задача может быть решена через стандартную процедуру Заявок, имеющуюся на любом технологическом предприятии. Оборудование выводится из работы, включается полноценный канал на заранее оговорённое время, проводятся работы, канал отключается, выполняется тестирование внесённых изменений, оборудование вводится в работу. Неудобно? Но, я ещё раз повторюсь — это не ИТ.
Оперативный контур управления. Самый ответственный сегмент, задача обеспечить его работоспособность в соответствии с заранее предопределёнными алгоритмами при любых внешних и внутренних воздействиях. На рынке появилось несколько решений, анализирующих алгоритмы работы защит и систем управления на соответствие заранее заданным правилам (например: www.secmatters.com), напомню технологическое управление регламентировано очень детально. Но по понятной причине, эти системы работают исключительно в «пассивном» режиме. Причина в том, что система управления обеспечивает функциональную работоспособность технологии, а ИТ анализатор отвечает только за формальное соответствие правил. Польза пассивного режима в обеспечении «отсева» на ранних стадиях целого набора угроз и ошибок, включая эксплуатационные. Но при этом понятно, что такое решение не убережёт от продуманного направленного воздействия на объект, когда время исчисляется десятками миллисекунд. Одним из выходов, в этом случае, может быть использование таких систем в виде своеобразного АВР, получил информацию о несоответствии работы оборудования в основной системе управления, переключился на вторую(резервную) систему управления, которая также протестирована технологами и стоит в горячем резерве, при этом нормально отключена от информационной сети. Далее опять процедура Заявки, анализ проблем основного контура и т. д., но технологическая надёжность обеспечена.
Безусловно первый вопрос будет в стоимости такого решения. Я уверен, что это в любом случае будет дешевле, чем участие в постоянной гонке наращивания технологий защиты-нападения и обеспечит результат на ближайшие 15-20 лет, а не на два-три года, до очередной смены технологического цикла в ИТ.
Чтобы это стало реальностью, необходимо, обеспечить несколько факторов:
1. Государство должно более детально формализовать требования к разделению сетей, имеющих отношение к критической инфраструктуре (аналог — действующего в США стандарта NERC)
2. Условием привлечения заемного финансирования бизнеса и корпораций должно стать страхование рисков от кибератак (мировая практика)
3. Технологам нужна площадка по обсуждению направлений развития средств технологического управления и информационной безопасности критических инфраструктур (пример конференция SGTech)
4. Качество предоставления услуг потребителям должно стать определяющим при формировании тарифов на энергоносители.
Задача систематизировать работу и перейти от пустых споров и жалоб на отсутствие понимания, к планомерному построению реальной модели угроз и комплексу мер (методических, организационных, технологических и информационных) по защите критически важных объектов от умышленных и непредумышленных кибератак. Такая работа в первую очередь будет интересна самим технологам, так как позволит навести порядок с действующими решениями, выявить слабые места, и обосновать развитие современных систем управления. Руководители смогут эффективно использовать реальные инструменты (например: www.wck-grc.com) управления рисками компаний, а банки получат дополнительные гарантии надежности вложений. Государство решит социальную задачу, в части улучшения качества оказываемых услуг населению и задачу повышения энергобезопасности страны в целом.
Yak52
Очень важная тема затронута. Только она требует нормальной статьи, а не тезисов к презентации.