Моделирование технологических процессов для задач ИБ АСУ ТП. Опыт PT ISIM

0:07 Колею всем добрый день, еще раз представлюсь. Меня зовут Сергей Петров, я возглавляю отдел экспертизы 5 АСИМ и расскажу про наш опыт моделирования. Тоже сказать, что, конечно, модератором респект поставили нас вместе с Андреем друг за другом. Наши доклады можно было бы прямо объединить. Или прям их смержить, не побоюсь этого слова, но тем не менее расскажу спасибо за респект. Да расскажу про наш опыт моделирования, значит, сначала. Вводный слайд, как вообще мы понимаем архитектуру АСУ ТП, как мы исходим, из чего исходим при моделировании, сходим из классики, что есть всегда. Полевой уровень сети есть технологическая сеть, есть Дмзет, должна быть Дмзет, и есть какая то корпоративная внешняя сеть соответственно со всеми. Своими правилами по изоляции, по средствам безопасности и понимаем, что полевой уровень сети по идее это устройство, которое не должны либо. Ограничено должны быть видны даже в технологической сети, то есть они доступны для ПЛК, доступны для скады, но с трафиком некоторые из них не. Общаются либо общаются косвенно, вот это вот из такой архитектуры классической. Мы исходим при построении наших моделей при моделировании.

1:40 Хотелось бы, что еще сказать. В принципе, не только информационная безопасность вообще, наверное, любая безопасность, это такой процесс, это постоянное противостояние. Постоянное противоборство атакующие злоумышленники нарушители придумывают какие то новые способы придумывают новые атаки, а защитники. Пользователи, граждане, заказчики, промышленность производства ищут способ от этого защититься и этот процесс, он бесконечной. Непрекращающейся технологии развиваются средства защиты, развиваются средства нападения. Но что важно сказать, что по практике, к сожалению, у? Нападающих и злоумышленников всегда есть, + 1 они всегда оказываются на 1 шаг впереди, всегда находится какой то вектор всегда находится. Какая то уязвимость, какой то зеродея, которого до этого раньше никто не встречал, про который не подумали, которые как то не учли они. Соответственно, эту атаку эту угрозу реализуют защитники, ее обнаруживают хорошо, если на этапе только ее внедрение распространения не. На этапе применения быстро изобретают средства противодействия, злоумышленники идут изобретать новую атаку, ищут новые уязвимости, новые.

3:04 Даже вот там, если немножко углубиться на примере тех же антивирусов и и противодействия вирусами постоянно. В свое время шла борьба по поиску новых каких то средств упаковки срез. Шифрования тела вируса, чтобы нельзя было его обнаружить тем же движком, антивирусным и целые команды сидели на распаковке. Только для того, чтобы вовремя вообще тело это доставать.

3:30 И чтобы не пропускать угрозы, вот, но в в случае с с промышленностью, в случае с критическими объектами и объектами критической инфраструктуры. Такой подход, вернее, принятие такого подхода, что у злоумышленника всегда. Он всегда на шаг впереди, может очень дорого стоить, непростительно дорого, вплоть до каких то аварий катастроф. Не дай бог, конечно, вот и в данном случае выход. Это двигаться на опережение, двигаться в параллели. Со злоумышленником, как и говорил предыдущий оратор Андрей. Это можно достичь этого, можно достичь путем создания цифровых двойников путем моделирования, что мы для этого делаем у себя в компании, мы двигаемся. Всеми возможными путями, которые только доступны 1 наше наших 2 главных уже 2 главных мероприятия. Это позитив Хак Дейс, и вот прошедшие осенью прошлого года Стэндоф на них мы моделируем инфраструктуру города.

4:40 При этом стараемся по максимуму туда включить разнородных объектов критической инфраструктуры. Это и нефтепроводы, нефтедобывающие заводы, нефтехимические. Это и железная дорога ветроэлектростанции в В общем, стараемся построить. Максимальную разнородную модель, при этом у нас, естественно, есть своя лаборатория, свой стенд. Средства сут и п дальше расскажу, почему отдельно есть срез стента, почему отдельно и проводится мероприятие и что нужно сказать, что.

5:18 Отдельно спасибо, даже, наверное, можно сказать заказчиком, которые понимают необходимость вот так вот такого моделирования. Необходимость цифровых двойников и у себя строить свои собственные полигоны, как правило, даже не для средств информационной безопасности. А для своих собственных средств средств и целей отладки каких то технологических процессов проверки и на этих стендах заказчика мы, соответственно, также работаем, получаем свой неоценимый опыт. И сейчас остановлюсь подробно на каждом из этих подходов в.

5:56 Что нам дает мероприятие, что нам дают позитив хак Дэй, что дают стендофы? В реальном времени собираются команды атакующих, которые, у которых задача атаковать город, найти вектора атаки, использовать при этом команда защитников примерно. Представляет, куда будут двигаться атакующие, оставляют какие то ловушки оставляют какие то приманки. Но тем не менее всего предусмотреть, естественно, нельзя и примера прошедших мероприятий. Также это показывают, что получаем, получаем на выходе что.

6:37 Под нагрузкой отлаживаем во 1 все наши средства и б отлаживаем, смотрим на инфраструктуру, получаем какие то новые тактики, получаем информацию о тулах, получаем информацию о цепочках атак. От атакующих повторюсь изобрести заранее все продумать все цепочки, а так невозможны и пути исследователей пути хакеров на мероприятиях. Они неисповедимы, там даже вот простой пример.

7:06 С нефтепроводом на Если не ошибаюсь, Ален Брэдли, да она Ален Брэдли по моему. Атакующие, как вы потом поняли по итогу разбора, не знали заранее, как им вообще атаковать данное оборудование. Потому что протокол закрыты от рокула, проприетарный, это проприетарная часть протокола Цип, они просто фазингом. Перебором подобрали команду, которые смогли остановить ПЛК, то есть в принципе они нам принесли сигнатуру, готовые которые можно брать, использовать и вставлять в продукт. Это вот как простой такой пример, естественно.

7:48 У мероприятия есть свои. Понятные реальные минусы, то есть инфраструктура огромная, но время жизни у нее небольшое. То есть мы не можем постоянно 24 на 7 365 дней в году поддерживать такую? Инфраструктуру держать ее в открытом виде, то есть она действует некоторое время. Только на выходе получаем очень большое количество трафика, часть из которого. Приходится отсеивать, и это данность, которая, к сожалению, есть, то есть много мусорного трафика. Приходится большие силы тратить на его просеивание, выкидывание и. Что нужно отметить все таки, что стопроцентного покрытия реальных кейсов реального оборудования реальных технологических процессов это все таки может не давать.

8:43 Просто даже банально ввиду сложности и дороговизны того же оборудования, например, взять, к примеру, ту же самую энергетику. Энергетические компании наши, они у себя строят просто полигоны размером со стадион только для отработки для проверки для трансформации. И для цифровизации своей вот, естественно, такие полностью полигоны симулировать для каждой индустрии практически невозможно, вот.

9:19 Какие объекты были на прошедшем мероприятии? Кстати, на Стэндоф была железная дорога, аэропорт был колесо обозрения, уличное освещение газораспределителя станции теплоэлектростанции, ветроустановки были. И отдельный сегмент был нефтехимический завод, там нефтедобы, нефтепровод и сам завод. Вот про атаку, на которую я как раз таки и рассказал. Это вот как раз картинка с мероприятия с объектами с поля боя.

9:53 Что касается стендов заказчиков. Стенда заказчика, вот как я пример приводил с энергетическими компаниями у нефтяных компаний. Я знаю, такие же есть стенды, как раз на картинке 1 из них мы получаем доступ к. Наиболее близкому к реальности объекту, то есть там заказчики строят настоящие прям объекты, близкие к реальности, моделирует все процессы, проходящие у них на этих объектах можно. Отрабатывать массу конфигурации, которые не отработаешь на живом объекте, пробовать слабые и сильные, пробовать сегментировать ту же самую сеть маршруты, какие то настраивать. И у таких стендов, как правило, большое время жизни несколько лет, а то и в параллель. Они существуют вместе с индустрией, постоянно развиваются из минусов, все таки не всегда. И не все вектора так можно проверить, как говорили почти все предыдущие ораторы. Оборудование дорогое кирпичить его никто не даст просто так, чтобы атаку проверить, работает. Или не работает на несколько миллионов угробить оборудование? Спасибо, никто не скажет, инфраструктура, как правило, может развиваться, то есть она, может быть, еще не готова, ну. Например, там, в сети по требованиям, заявленные протоколы с НМПи, но на инфраструктуре он, может быть, еще даже не настроен, не поддержан и проверок каких то атак по нему даже не. Провести никаких и 1 из минусов таких вот связан. Наверное, как раз таки с 1 пунктом то, что, как правило, к сожалению, проверки носят формальный характер, каких то ПМИ каких то вот.

11:38 Испытаний по методикам, по правилам, но никакой, естественно, хакер, он поэтому ПМИ двигаться не будет. У него есть своя методика, которую никто. Не знает, которая может и не быть двигается, куда у него получится, туда он двигается. Да там часть угроз, конечно, такой проверкой можно закрыть. Такими ПМИ, но все это невозможно таким методом проверить и отдельно остановлюсь на нашем полигоне Симп на нашем стенде как раз таки для. Того, чтобы иметь возможность доступа круглогодично иметь возможность моделировать атаки. Мы такой стенд у себя и сделали его, поддерживаем.

12:21 Проверяем различные гипотезы, что самое важное, самое главное, получаем доступ к трафику реальному, потому что даже делать какой то. Разбор протоколов на тех же пикапах, как было на заре, когда мы только только там начинали и разбираем протокол на пикапах или с откуда. С Интернета может быть даже из от заказчика. Там иногда просто 1 210 часть того, что может трафики ходить, подключаем реальный стенд. На том же Сименссе мы видим еще 3 или 4 вида, каких то подвидов протокола того же и с Сеньком какие то из 7 т межпроцессорный обмен. Который начинает жутко фолсить, который, по которому начинают инциденты заводиться и без поняли, что без отработки на живом железе разрабатывать продукты. Ну, сложным, тяжело и дорого, потом их поддерживать, и фолсы все сопровождать на живом объекте уже уже должен. Сказать некоторые заказчики уже у нас свои пилоты проводили из минусы. Конечно, понятно, что опять же полностью вот такую инфраструктуру. Заказчика нереально стимулировать, но и стенд надо поддерживать. Вот как ни крути, надо его вести обслуживать, вот, к примеру, вернее.

13:40 Не, к примеру, вот собственно архитектура нашего стенда. Вот у нас сеть ДМЗ, вот у нас тех сеть, где мы периодически что то меняем, ставим какие то. Новые полка ставим какие то конечные устройства простые, вот у нас доступ из внешней сети от нас самоуправления. Кстати, вот по поводу доклада Про.

14:02 Воровство видеокарты, вот это железо. Сотрудник принес на работу сам здесь обратный случай и очень кстати. Не хотели пускать долго, с ним боролись, чтобы он разрешили ему вообще. Такое у себя на столе поставить, вот это вот картинка, которая посередине. Это как раз таки он принес с собой, что то часть за свои деньги покупал, что то выбивали уже там.

14:27 Как говорится, из ресурсов имеющихся, но вот вот такой стенд есть и справа шкаф со всем нашим оборудованием. Непосредственно так, извиняюсь, скакнул. Что хотелось бы в заключении сказать, что без полноценного моделирования без? Полноценных двойников цифровых сложно или практически невозможно строить современную информационную безопасность, особенно по отношению. К критической инфраструктуре процесс, при этом он при наличии таких вот стендов модели он становится довольно простым и понятным.

15:15 Так коллеги как раз опрос сейчас запустился, просьба ответить. Есть фазы исследований, на котором ищутся какие то уязвимости, проводится отработка и поиска анализ векторов, а так непосредственно само. Моделирование, на которых проверяются те же самые гипотезы, строятся физические модели, проверяются конфигурации, опасные безопасные, которые. Уже встречались или могут встретиться? У каких то заказчиков, чтобы в будущем, например, давать какие то рекомендации, ну и вся полученная? Экспертиза она заносится в продукты, это активы заказчика, это решающая база правил и правила по обнаружению и предотвращению собственно атак.

16:09 Коллеги доклад закончил, готов ответить на вопросы Сергей. Спасибо за выступление, у меня маленькая ремарка и просьба к вам, поскольку я искренне надеюсь, что к нам подключились не только безопасники, но. Люди бизнеса для них я бы просил из первоисточника расшифровать замечательный термин кирпичить. Я подозреваю процесс проведения глубоких исследований на уязвимости до решения или оборудования, которое. Может безвозвратно его потерять, но прошу вас от автора 2 слова. Прокомментируйте, чтобы было понятно, потому что термин пришел из кибербезопасности. Естественно, в общем, то я, кстати, боюсь ошибиться, он возможно. Пришел от мобильных телефонов к нам, там они очень часто называют кирпичами и устройства, которые умерли после неудачной перепрошинки. О чем идет речь, что у нас есть оборудование, например, возьмем ПЛК?

17:12 Программирования логический контроллер, у него есть своя прошивка, где то прошивка соединена с проектом, где то она является аналогом биоса и модификация этой прошивки с целью внедрения каких то закладок с целью привнесения. Каких то уязвимостей, теми же самыми нарушителями она может быть сделана некорректно, она может быть сделана неудачно. При этом сами средства сам софт сам полка. Он позволит себя перепрошить, подменить эту прошивку вот на.

17:41 Например, неудачная подмена прошивки для некоторых полка может стоить ему жизни, потому что после этого он уходит в закрытый режим перепрошить его становится невозможно или возможно, но с выпаиванием. Микросхемы и перезаписывание уже на программаторе и впаиваем обратно. Вот что означает термин о кирпиче, у него спасибо 1. Вопрос была аудитория с учетом вашего вводного комментария, может быть, я. Попросил бы и Андрея Кузнецова на него прокомментировать. Вопрос был о том, насколько вот тема, связанная с кибер полигоном и с элементами моделирования, нуждается в потребности физической инфраструктуры. Скада, может ли она быть удаленной по отношению к Скада системе заказчика или ее надо локально устанавливать? Поэтому тогда, Сергей, ваш комментарий, потом, может быть, Андрей 2 слова скажет от себя в.

18:39 принципе, все зависит от задачи, скажем так, то есть. Например, те же самые все скады системы мы разворачиваем у себя локально на мероприятиях, они все разворачиваются там разворачивать скады системы удаленно. Мы пробовали, опыт был негативный, слишком большой поток трафика слишком. Высокие требования к задержкам и настраивать удаленную скада, с каким то оборудованием, особенно который работает на реал тайм протоколах, довольно тяжело. Скажем так, то есть по нашему опыту лучше, конечно, если все расположено локально.

Расшифровка сделана автоматически (Yandex SpeechKit) и может содержать ошибки в терминах.