Проблема обеспечения информационной безопасности автоматизированных систем управления

Развитие информационных технологий, появление интегрированных информационных систем и существенное усложнение их структуры и архитектуры способствовало возникновению множественных угроз по нарушению информационной безопасности, реализация которых со стороны злоумышленника может привести к катастрофическим последствиям.

За 2008-2010 гг. в различных элементах информационных систем, составляющих программно-аппаратную базу многочисленных ИИСУП, обнаружены разнообразные уязвимости, способные привести к нарушению корректной работы производственного, технологического или финансовоучетного процессов, и реализации угроз несанкционированного доступа к информации, обрабатываемой в:

  • • системах диспетчерского управления и сбора данных;
  • • отдельных интерфейсах управления объектами автоматизации;
  • • элементах телеметрических и телемеханических подсистем;
  • • прикладных приложениях для анализа производственных и технологических данных;
  • • системах оперативного производственного планирования и управления.

Одной из причин низкого уровня защищенности большинства элементов ИИСУП является использование традиционных информационных технологий, что говорит о существенной доступности эксплуатации уязвимостей по открытым источникам (подтверждается наличием афишированного способа эксплуатации в виде «эксплоита» или Proof-of-Concept). В табл. 2.1 представлены типовые эффекты реализации угроз несанкционированного доступа на элементы ИИСУП [16].

Подавляющее большинство известных общественности уязвимостей обнаружены в 2008-2010 гг., а наибольший рост появления сводок о безопасности компонентов ИИСУП зафиксирован в период с марта по сентябрь 2008 года (табл. 2.2).

Дополнительным источником об инцидентах, связанных с информационной безопасностью в информационных системах являются специализированные базы данных учета инцидентов такого рода в секторе критически важных инфраструктур зарубежных государств [17]:

  • RISI (The Repository of Industrial Security Incidents);
  • ISID (Industrial Security Incident Database).

Практически все инциденты нарушения информационной безопасности связаны со сбоями в работе автоматизированных систем управления критически важных объектов, нарушение функционирования которых приводит к потере управления, разрушению инфраструктуры, необратимому негативному изменению в экономике страны либо административно- территориальной единицы. На территории США и Канады выделено около 2300 подобных объектов, в Германии - более 650, Франции - около 500, Японии - до 700. При этом отмечается, что они обладают относительно низкой защищенностью и имеют большое количество уязвимых точек «несанкционированного доступа», воздействие на которые может привести к параличу жизнедеятельности государства [18].

Таблица 2.1

Типовые воздействия от реализации угроз несанкционированного доступа на элементы информационных систем управления

Объект

Назначение объекта

Эффект от реализации угрозы

Система диспетчеризации технологических процессов

Диспетчерское управление и сбор данных

Нарушение технологического процесса, появление аварийной ситуации. Возможность кражи проектов технологических процессов, используемых на объекте, внедрения заклаок в контроллеры.

Сервер FEP {Front-End Processor) системы диспетчеризации

Управление телеметрической подсистемой (связь и управление разнесенных между собой удаленных терминалов)

Раскрытие сетевой топологии элементов телеметрической подсистемы для последующего воздействия

Сервер

Historian

Реализация функций высокопроизводительной базы данных, обеспечивающей эффективное взаимодействие между корпоративным и производственным уровнем

Раскрытие данных о ходе технологического процесса, структуре и пользователях автоматизированной системы, в которых находятся участники производственной и корпоративной зон

Приложения для анализа производственных данных

Обработка информации, хранящейся в базе данных сервера Historian или альтернативного серверного программного обеспечения, может содержать средства разработки

Раскрытие данных о ходе производственного и технологического процессов, структуре автоматизированной системы и составе пользователей. Распространение злонамеренного кода под client-side уровень (прикладные программные клиенты, интернет-браузеры)

Приложения системы оперативного управления производством {MES)

Контроль состояния и распределения ресурсов, анализ эффективности, управление людскими ресурсами, управление качеством

Раскрытие данных о ходе технологического процесса, структуре и пользователях автоматизированной системы, в которых находятся участники производственной и корпоративной зон. Влияние на материально-экономическую составляющую предприятия

Человеко-

машинный

интерфейс

(ЯМУ)

Взаимодействие оператора со средой диспетчеризации технологического процесса (SCADA), сторонними устройствами, имеющие терминалы HMI

Управление технологическим процессом и функционированием отдельного контроллера, накопление информации об операторах системы SCADA путем внедрения закладок, воздействие на client- side уровень

Удаленный терминал 0RTU)

Дистанционное управление объектом, контроль модулей ввода/вывода в системах сбора и обработки данных (эксплуатация во взрывоопасной атмосфере, управление модулями ввода/вывода с полевой проводкой)

Раскрытие сетевой топологии элементов телеметрической подсистемы для последующего воздействия (блокировка каналов связи, изменение сетевых настроек устройств, несанкционированное обновление прошивки с внедренным злонамеренным кодом). Модификация данных об отказах и аварийных ситуациях

Инциденты информационной безопасности

Таблица 2.2

Объект

Инцидент

Дата

Блок 2 ядерной электростанции «Hatch» (штат Джорджия, США)

Внештатное аварийное выключение на 48 часов после установки обновления программного обеспечения

7 марта 2008 г.

Корпорация Tennessee Valley Authority (США)

Обнаружено более 2000 уязвимостей разной степени критичности. Выявлены сегменты производственной сети, подключенные к Интернету, множественные уязвимости прикладного ПО, отсутствие обновлений безопасности, ошибки в проектировании архитектуры сети

Май 2008 г.

Центр полетного планирования Федерального управления гражданской авиации (США)

Диспетчерские трех десятков американских аэропортов выведены из строя в результате компьютерного сбоя в центре полетного планирования

26 августа 2008 г.

Газодобывающие компании США (Marathon Oil, ExxonMobil, ConocoPhillips)

Силовыми структурами США зафиксированы многочисленные проникновения в информационные системы ведущих газодобывающих компаний

Май 2008 г.

Немецкие железные дороги

Компьютерный сбой привел к остановке работы системы бронирования и продажи билетов, диспетчеризация движения поездов осуществлялась «ручным» образом

14 января 2009 г.

Электроэнергетическая сеть США

Силовыми структурами США зафиксировано проникновение в электроэнергетическую сеть и размещение в ней программных закладок, направленных на внештатный останов ее функциональных элементов и нарушение корректной работы

Апрель 2009 г.

Энергетическая компания Lower Colorado River Authority (США)

Специалистами LCRA зафиксировано свыше 4 800 попыток получения доступа к их компьютерной системе. В настоящее время LCRA обслуживает более 1 миллиона людей в штате Техас

5 апреля 2010 г.

Для формализации подходов к решению задач обеспечения информационной безопасности критически важных объектов разрабатываются как корпоративные, так и национальные стандарты и нормативнотехнические документы. Разработчиками международных регламентирующих документов являются такие организации, как Институт инженеров электротехники и электроники (Institute of Electrical and Electronics

Engineers, IEEE), Международная организация по стандартизации {International Organization for Standardization, ISO), Международная электротехническая комиссия {International Electrotechnical Commission, IEC).

Среди международных регламентирующих документов следует отметить [19, 20]:

  • 1 .IEEE 1402. IEEE Guide for Electric Power Substation Physical and Electronic Security. Стандарт носит общий характер и определяет основные подходы к планированию, проектированию, строительству и эксплуатации электрических подстанций. Не содержит детальных спецификаций по обеспечению информационной безопасности.
  • 2. IEEE 1686. IEEE Standard for Substation Intelligent Electronic Devices {IED) Cyber Security Capabilities. Стандарт описывает спецификации, которые необходимо выполнить для оценки защищенности интеллектуальных электронных устройств. Документ дает возможность оценить функции обеспечения безопасности как уже примененных устройств, так и тех, которые планируется использовать.
  • 3. IEEE РИМ. Trial Use Standard for a Cryptographic Protocol for Cyber Security of Substation Serial Links. Документ разработан на базе отраслевого стандарта AGA 12-2 «Retrofit Link Encryption for Asynchronous Serial Communications» и описывает механизм шифрования для асинхронного последовательного канала связи.
  • 4. ISO 27019. Information security management guidelines for process control systems used in the energy utility industry on the basis of ISO/IEC 27002. Стандарт находится в стадии разработки. Основным его назначением будет детализация общих требований ISO НЕС 27002 для предприятий энергетической отрасли, которые эксплуатируют системы реального времени. Планируется, что стандарт будет содержать требования к системам безопасности расширенной измерительной инфраструктуры {Advanced Metering Infrastructure, AMI) и соответствующие профили безопасности.
  • 5. IEC TR 62210. Power system control and associated communications. Data and communication security. Документ является техническим отчетом, акцентирующим внимание на механизмах защиты коммуникационных протоколов, которые применяются в сетях управления электрических систем. Также в документе приведены примеры уязвимости систем и возможные пути их блокирования. Особое внимание уделено отсутствию механизмов аутентификации устройств.
  • 6. IEC 61784-4. Digital data communications for measurement and control - Profiles for secure communications in industrial networks. Стандарт описывает возможные угрозы и порядок анализа последствий их реализации, требования к системам безопасности связи, порядок осуществления удаленного доступа посредством модема, а также устанавливает профили безопасности управляющего центра, корпоративной сети, сети высшего уровня управляющего центра, удаленного управления с помощью сетей Интернет или интранет.
  • 7. IEC 62443. Security for industrial process measurement and control Network and system security. Данный стандарт разработан на базе отраслевых стандартов ANSI!ISA 99 и состоит из следующих частей:
    • IEC/TS 62443-1-1. Industrial communication networks - Network and system security - Part 1-1: Terminology;
    • IEC/TR 62443-3-1. Industrial communication networks - Network and system security - Part 3-1: Security technologies for industrial automation and control systems;
    • IEC/PAS 62443-3. Security for industrial process measurement and control - Network and system security.

Разрабатывается четвертая часть IEC 62443-4-1, которая будет описывать требования к поставщикам оборудования и решений.

Стандарт IEC 62443 определяет:

  • • основные понятия и термины, которые связаны с безопасностью производства и системой управления;
  • • практические рекомендации по составлению планов, направленных на обеспечение безопасности;
  • • конкретные требования к безопасности производства и системам управления с учетом специфики промышленных сетей;
  • • жизненный цикл программного обеспечения защиты систем управления, а также планирования промышленного производства
  • 8. IEC 62351. Data and Communication Security. Стандарт рассматривает вопросы информационной безопасности подсистем управления энергосистемами. Также документ говорит о необходимости модернизации ряда стандартов, определенных IEC ТС 57, для обеспечения безопасности коммуникационных протоколов. В частности, речь идет о стандартах, описывающих коммуникационные сети энергосистем: IEC 60870-5, /?С 60870-6, IEC 61850, IEC 61970, IEC 61968. В стандарте вводится базовое понятие «конечной безопасности», под которым понимается защита информации во всем тракте передачи, от пункта создания до пункта использования. С опорой на это понятие определяются механизмы улучшения безопасности коммуникационных профилей.

Среди национальных отраслевых стандартов следует отметить разработки таких организаций, как Национальный институт стандартов и технологий (National Institute of Standards and Technology, NIST, США), Международная ассоциация автоматизации (International Society of Automation, ISA, США), Американская газовая ассоциация (American Gas Association,

AGA, США), Североамериканская корпорация по надежности в электроэнергетике (North American Electric Reliability Corporation, NERC, США):

  • 1. ISA-99. Отраслевой стандарт описывает подходы к обеспечению информационной безопасности системы производства и управления производством. Стандарт опубликован как ANSI/ISA-99 в 2007 г., в 2010 г. переиздан как ANSI/ISA-62443. Стоит отметить, что на базе ANSI/ISA-62443 разработан стандарт IEC 62443, поэтому ISA-99 полностью вошел в IEC 62443 и развивается как ANSI/ISA и IEC.
  • 2. AGA 12. Пакет документов, который предлагает практические решения, связанные с защитой SCADA-систем. Акцент делается на обеспечении конфиденциальности связи как механизма авторизации пользователя. Документы раскрывают механизмы шифрования асинхронных последовательных протоколов, защиты сетевых систем и защиты встроенных компонент SCAD А. Учитывая, что документ направлен на описание защиты SCADA в целом, его можно использовать в различных сферах деятельности.
  • 3. NERC CIP. Cyber Security. Комплекс документов, состоящий из 11 нормативных актов, регламентирующих вопросы обеспечения безопасности в SCADA и в других критически важных объектах информационной инфраструктуры электросистем. В документации определяются минимальные требования, необходимые для обеспечения соответствия и надежности электросистем. Стандарт описывает практически все уровни обеспечения безопасности от физической охраны до защиты систем управления. В то же время необходимо отметить, что степень детализации этих требований довольно низкая, а сами требования носят декларативный характер.
  • 4. NIST SP800-53. Security and Privacy Controls for Federal Information Systems and Organizations. Документ регламентирует обеспечение безопасности систем управления типа SCADA федеральных информационных систем и ориентирован на широкую аудиторию - от разработчиков до поставщиков услуг. В стандарте дано подробное описание профилей безопасности и механизмов их обеспечения.
  • 5. NIST SP800-82. Guide to Industrial Control Systems Security. Стандарт дает рекомендации по обеспечению безопасности систем промышленного управления (ICS), в том числе SCADA, а также распределенных систем управления (DCS). В документе содержится обзор ICS и их стандартных топологий, определяются типовые угрозы и уязвимости. Стандарт также предоставляет рекомендации по контрмерам угрозам безопасности. Документ состоит из нескольких разделов, которые содержат:
    • • обзор SCADA и других ICS, а также обоснование необходимости обеспечения их безопасности;
    • • отличия между ICS и информационно-телекоммуникационными системами;
  • • угрозы, уязвимости и инциденты;
  • • процесс разработки и внедрения программного обеспечения ICS;
  • • рекомендации по интеграции механизмов обеспечения безопасности в сетевых архитектурах ICS;
  • • выводы по управлению, оперативным и техническим средствам контроля, которые описаны в NIST 5Р800-53, а также указания о том, как эти средства обеспечения безопасности применяются в ICS.

Из нормативных документов следует отметить:

  • 1. Нормативные документы Российской Федерации:
    • • Система признаков критически важных объектов и критериев отнесения функционирующих в их составе информационно-телекоммуникационных систем к числу защищаемых от деструктивных информационных воздействий, утверждена Советом Безопасности РФ 08.11.2005 г.
    • • Общие требования по обеспечению безопасности информации в ключевых системах информационной инфраструктуры, утверждены ФСТЭК России 18.05.2007 г.
    • • Методика определения актуальных угроз безопасности информации в ключевых системах информационной инфраструктуры, утверждена ФСТЭК России 18.05.2007 г.
    • • Базовая модель угроз безопасности информации в ключевых системах информационной инфраструктуры, утверждена ФСТЭК России 18.05.2007 г.
    • • Рекомендации по обеспечению безопасности информации в ключевых системах информационной инфраструктуры, утверждены ФСТЭК России 19.11.2007 г.
    • • Положение о Реестре ключевых систем информационной инфраструктуры, утверждено приказом ФСТЭК России 04.03.2009 г.
  • 2. Регламентирующие документы США:
    • • Указ № 13636 «О мерах по укреплению кибербезопасности критических инфраструктур» (Executive Order - Improving Critical Infrastructure Cybersecurity).
    • • Директива № 21 от 12.02.2013 «Об обеспечении безопасности и устойчивости критических инфраструктур» (Presidential Policy Directive 21- Critical Infrastructure Security and Resilience).

Нормативные документы, затрагивающие вопросы информационной безопасности, принятые в РФ, обладают рядом серьезных недостатков, важнейшим из которых является рекомендательный характер требований ФСТЭК при одновременном отсутствии обязательных для исполнения законодательных актов, что затрудняет полноценное внедрение мер информационной безопасности в ИИСУП [20].

 
Посмотреть оригинал
< Пред   СОДЕРЖАНИЕ   ОРИГИНАЛ     След >