Сложные технологические процессы, применяемые для получения электроэнергии, должны быть непрерывны; это достигается путём использования автоматизированных систем управления технологическими процессами (АСУ ТП), а также за счёт слаженной работы различных служб предприятия и немалого количества персонала. Автоматизация приводит к тому, что генерирующие объекты энергосистемы могут быть уязвимыми с точки зрения информационной безопасности и оказываться целями кибератак. Постараемся провести объективный анализ мероприятий по обеспечению защиты АСУ ТП, которые реализуются на большинстве генерирующих объектов энергетики, таких как городская теплоэлектроцентраль (ТЭЦ).
- Введение
- Процесс обеспечения защиты АСУ ТП
- Уровень защищенности АСУ ТП теплоэлектроцентралей
- Специфика мер для защиты наиболее уязвимых мест АСУ ТП
- Выводы
Введение
Для того чтобы понять причины, по которым возникла проблематика обеспечения ИБ на теплоэлектроцентралях, следует обратиться к истории появления и эксплуатации таких объектов. Большинство ныне работающих ТЭЦ строились в советскую эпоху, и АСУ ТП реализовывались на отечественной программно-аппаратной базе. Подсистем их защиты никто не создавал, поскольку тогда безопасность обеспечивали на уровне организационно-распорядительных документов и физической изоляции АСУ ТП.
В 2000-е годы началось масштабное обновление устаревших объектов генерации. В первую очередь модернизировалось газовое оборудование, менялись устаревшие системы АСУ ТП. Однако эти процессы опять же в основном не затрагивали защиту от информационных угроз.
Появление Федерального закона №187-ФЗ от 26 июля 2017 г., предписывающего обеспечивать безопасность критической информационной инфраструктуры (КИИ), заставило субъектов энергетики пересмотреть подходы и принципы к защите подведомственных им комплексов оборудования. Нарушения работы ТЭЦ могут привести к тому, что потребители лишатся энергоресурсов, и зачастую носят межмуниципальный характер; согласно упомянутому выше закону, АСУ ТП теплоэлектроцентралей относятся к КИИ и требуют обязательной защиты.
Постановление Правительства РФ №127 и приказы ФСТЭК России №235, №239 дополняют Федеральный закон №187-ФЗ и регламентируют обеспечение информационной безопасности объектов КИИ. К сожалению, эти документы только предъявляют требования и не содержат методических указаний относительно того, как модернизировать существующие АСУ ТП в части реализации механизмов или внедрения средств защиты информации.
Процесс обеспечения защиты АСУ ТП
Перечислим работы, необходимые для обеспечения защиты АСУ ТП как объекта критической информационной инфраструктуры.
- Проведение независимого аудита систем АСУ ТП. На этом этапе выполняется анализ действующих организационных мер, политик и концепций по защите информации; документов, регламентирующих использование средств и методов защиты информации; организационной структуры обслуживающего персонала и должностных инструкций; перечня ответственных лиц и их функциональных обязанностей; действий при внештатных ситуациях; процедур восстановления работоспособности системы, учёта оборудования и программного обеспечения; механизмов отключения от рабочего контура, обмена оборудования и программного обеспечения при выводе на ремонт; регламента назначения прав доступа.
- Разработка модели угроз и модели нарушителя. В состав этого шага входят: определение перечня угроз безопасности, определение вероятности осуществления каждой из них, оценка актуальности угроз, анализ эффективности существующих и имеющихся в наличии мер и средств защиты информации, оценка возможностей физического доступа к объектам АСУ ТП, выявление возможных технических каналов утечки информации.
- Проектирование системы защиты информации.
- Внедрение средств защиты информации (ЗИ). Этот этап включает поставку технических средств ЗИ, установку и настройку средств ЗИ, предварительные испытания комплекса защиты АСУ ТП и его передачу в опытную эксплуатацию, а также передачу комплекса средств защиты информации АСУ ТП в промышленную эксплуатацию.
- Разработка организационно-распорядительных документов. Их содержание описывает отдельные меры защиты информации в АСУ, планирование мероприятий по обеспечению этой защиты, реализацию действий в нештатных (непредвиденных) ситуациях в ходе эксплуатации АСУ, информирование и обучение персонала, работающего с комплексом защиты АСУ, анализ угроз безопасности информации в АСУ и рисков от их реализации, управление (администрирование) комплекса защиты системы, выявление инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования АСУ и (или) к возникновению угроз безопасности информации, и реагирование на них, а также управление конфигурацией АСУ и её комплекса защиты, контроль (мониторинг) обеспечения уровня защищённости АСУ и борьбу с угрозами при выводе системы из эксплуатации.
Приведём наиболее распространённые меры, применяемые для защиты информации в АСУ ТП на теплоэлектроцентралях:
- АСУ ТП функционирует в изолированном контуре инфраструктуры.
- Для взаимодействия с сетью предприятия создаётся «демилитаризованная зона» (ДМЗ).
- Блокируется доступ к интерфейсам ввода-вывода.
- Ограничивается физический доступ к оборудованию.
- На рабочие места оператора АСУ ТП и администратора, дежурного смены устанавливается антивирус.
- На автоматизированные рабочие места устанавливается сканер уязвимостей (в виде агента).
- Устанавливается пароль на BIOS.
- Запрещается загрузка с альтернативных носителей.
- На базе средств операционной системы реализуется управление правами доступа пользователей.
- Права пользователей системы АСУ ТП ограничиваются встроенными средствами самой системы.
Уровень защищённости АСУ ТП теплоэлектроцентралей
Для понимания того, насколько АСУ ТП теплоэлектроцентралей защищены от информационных рисков, предлагаем рассмотреть реальные угрозы и вызовы, с которыми могут столкнуться специалисты по ИБ на таких объектах с учётом нового технологического уклада. Для этого будем использовать банк данных ФСТЭК России.
Таблица 1. Описание угроз безопасности информации, актуальных для АСУ ТП
|
№ угрозы |
Название угрозы |
Источник угрозы |
Объект воздействия |
Почему угроза актуальна |
|
006 |
Угроза внедрения кода или данных |
Внешний нарушитель с низким потенциалом |
Системное, прикладное, сетевое программное обеспечение |
Отсутствуют актуальные обновления антивируса. Отсутствует подсистема обнаружения вторжений |
|
012 |
Угроза деструктивного изменения конфигурации / среды окружения программ |
Внутренний нарушитель с низким потенциалом |
Системное, прикладное, сетевое программное обеспечение, микропрограммное обеспечение, метаданные, объекты файловой системы, реестр |
Отсутствует подсистема обнаружения вторжений |
|
022 |
Угроза избыточного выделения оперативной памяти |
Внешний или внутренний нарушитель с низким потенциалом |
Аппаратное обеспечение, системное и сетевое программное обеспечение |
Отсутствуют актуальные обновления антивируса |
|
023 |
Угроза изменения компонентов системы |
Внутренний нарушитель с низким потенциалом |
Информационная система, сервер, рабочая станция, виртуальная машина, системное и прикладное программное обеспечение, аппаратное обеспечение |
Отсутствие встроенного контроля версионности прикладного программного обеспечения. Отсутствует подсистема обнаружения вторжений |
|
030 |
Угроза использования информации идентификации / аутентификации, заданной по умолчанию |
Внешний нарушитель со средним потенциалом, внутренний нарушитель с низким потенциалом |
Средства защиты информации, системное и сетевое программное обеспечение, микропрограммное обеспечение, программно-аппаратные средства со встроенными функциями защиты |
Отсутствует подсистема доверенной загрузки |
|
086 |
Угроза несанкционированного изменения аутентификационной информации |
Внешний или внутренний нарушитель с низким потенциалом |
Системное программное обеспечение, объекты файловой системы, учётные данные пользователя, реестр |
Отсутствует подсистема доверенной загрузки |
|
089 |
Угроза несанкционированного редактирования реестра |
Внешний или внутренний нарушитель с низким потенциалом |
Реестр и системное программное обеспечение, использующее его |
Отсутствие подсистемы доверенной загрузки |
|
090 |
Угроза несанкционированного создания учётной записи пользователя |
Внешний или внутренний нарушитель с низким потенциалом |
Системное программное обеспечение |
Отсутствие подсистемы доверенной загрузки |
|
091 |
Угроза несанкционированного удаления защищаемой информации |
Внешний или внутренний нарушитель с низким потенциалом |
Метаданные, объекты файловой системы, реестр |
Отсутствуют актуальные обновления сканера уязвимостей |
|
093 |
Угроза несанкционированного управления буфером |
Внешний или внутренний нарушитель с низким потенциалом |
Системное, прикладное, сетевое программное обеспечение |
Отсутствие подсистемы доверенной загрузки |
|
100 |
Угроза обхода некорректно настроенных механизмов аутентификации |
Внешний или внутренний нарушитель с низким потенциалом |
Системное и сетевое программное обеспечение |
Отсутствует подсистема доверенной загрузки |
|
121 |
Угроза повреждения системного реестра |
Внешний или внутренний нарушитель с низким потенциалом |
Объекты файловой системы, реестр |
Отсутствует подсистема доверенной загрузки |
|
124 |
Угроза подделки записей журнала регистрации событий |
Внешний или внутренний нарушитель с низким потенциалом |
Системное программное обеспечение |
Отсутствует подсистема доверенной загрузки. Отсутствует подсистема защиты журналов прикладного программного обеспечения |
|
145 |
Угроза пропуска проверки целостности программного обеспечения |
Внешний или внутренний нарушитель с низким потенциалом |
Системное, прикладное, сетевое программное обеспечение |
Отсутствует подсистема доверенной загрузки. Отсутствует встроенная подсистема верификации компонентов прикладного программного обеспечения |
|
152 |
Угроза удаления аутентификационной информации |
Внешний или внутренний нарушитель с низким потенциалом |
Системное программное обеспечение, микропрограммное обеспечение, учётные данные пользователя |
Отсутствует подсистема доверенной загрузки
|
|
155 |
Угроза утраты вычислительных ресурсов |
Внешний или внутренний нарушитель с низким потенциалом |
Информационная система, сетевой узел, носитель информации, системное и сетевое программное обеспечение, сетевой трафик |
Отсутствует подсистема доверенной загрузки
|
|
162 |
Угроза эксплуатации цифровой подписи программного кода |
Внешний или внутренний нарушитель с низким потенциалом |
Системное и прикладное программное обеспечение |
Отсутствует подсистема доверенной загрузки. Отсутствует встроенная подсистема верификации компонентов прикладного программного обеспечения |
|
170 |
Угроза неправомерного шифрования информации |
Внешний нарушитель с низким потенциалом |
Объект файловой системы |
Отсутствуют актуальные обновления антивируса. Отсутствует подсистема обнаружения вторжений |
|
176 |
Угроза нарушения технологического / производственного процесса из-за временны́х задержек, вносимых средством защиты |
Внешний нарушитель с низким потенциалом |
Средство защиты информации |
Отсутствие тестовой зоны |
|
177 |
Угроза неподтверждённого ввода данных оператором в систему, связанную с безопасностью |
Внутренний нарушитель с низким потенциалом |
Системное, сетевое, прикладное программное обеспечение, аппаратное обеспечение |
Отсутствие контроля ввода данных на уровне прикладного программного обеспечения |
|
178 |
Угроза несанкционированного использования системных и сетевых утилит |
Внешний или внутренний нарушитель с низким потенциалом |
Системное программное обеспечение |
Отсутствует подсистема обнаружения вторжений |
|
179 |
Угроза несанкционированной модификации защищаемой информации |
Внешний или внутренний нарушитель с низким потенциалом |
Объекты файловой системы |
Отсутствует подсистема доверенной загрузки |
|
185 |
Угроза несанкционированного изменения параметров настройки средств защиты информации |
Внешний или внутренний нарушитель с низким потенциалом |
Средство защиты информации |
Отсутствует подсистема доверенной загрузки. После проведения пусконаладочных работ пароли не изменены |
|
191 |
Угроза внедрения вредоносного кода в дистрибутив программного обеспечения |
Внешний или внутренний нарушитель с низким потенциалом |
Прикладное, сетевое, системное программное обеспечение |
Отсутствие тестовой зоны |
|
192 |
Угроза использования уязвимых версий программного обеспечения |
Внешний или внутренний нарушитель с низким потенциалом |
Прикладное, сетевое, системное программное обеспечение |
Отсутствие тестовой зоны. Отсутствие обновлений прикладного программного обеспечения |
Приведённые угрозы показывают необходимость дополнять корпоративные практики следующими подсистемами защиты информации:
- Подсистема обнаружения вторжений. Её наличие необходимо для того, чтобы ограничить ущерб от действий атакующего после преодоления защищённого периметра.
- Подсистема доверенной загрузки. Отсутствие данной подсистемы позволяет эксплуатировать уязвимости операционной системы при авторизации её средствами.
- Чтобы минимизировать угрозы безопасности информации, современные механизмы автоматизации должны иметь в наличии следующие подсистемы защиты:
- Подсистема контроля версионности прикладного программного обеспечения. Отсутствие данной функциональности позволяет вредоносным программам незаметно распространяться по информационным системам, выводя из строя все узлы, используемые в АСУ ТП.
- Подсистема защиты журналов прикладного программного обеспечения. Информация о действиях пользователя в системе хранится в незащищённом виде, что позволяет легко её модифицировать.
Специфика мер для защиты наиболее уязвимых мест АСУ ТП
При проектировании или модернизации АСУ ТП необходимо создавать тестовую зону. Её отсутствие на практике может приводить к невозможности безопасно обновлять прикладное ПО и средства защиты информации. Также отсутствие тестовой зоны приводит к несвоевременному обновлению сигнатурных баз, используемых защитными решениями. Обновления производятся в периоды технологических пауз, что значительно снижает эффективность антивирусных программ и сканеров уязвимостей.
Для полноты картины приведём перечень требуемых мер для защиты наиболее уязвимых мест АСУ ТП:
|
Наименование уязвимого компонента системы |
Требуемые меры |
|
Контроллерный уровень АСУ ТП |
|
|
АРМ инженера |
|
|
«Демилитаризованная зона» (ДМЗ) |
|
|
Расчётная станция в сети предприятия |
|
|
АРМ диспетчера |
|
Наиболее распространённые ошибки и нарушения:
- Отсутствуют защищённые каналы обмена информацией между компонентами АСУ ТП на уровне системы.
- На АРМ инженера имеются административные привилегии.
- Отсутствует система однонаправленной передачи данных перед ДМЗ.
- Некорректно настроен межсетевой экран.
- Несколько АСУ ТП совмещены.
- Контур АСУ ТП совмещён с сетью предприятия.
- Отсутствует защита информационных каналов связи удалённых АРМ.
- Технологическая информация передаётся без использования защиты информационных каналов связи через интернет.
Выводы
Принятие Федерального закона №187-ФЗ и сопутствующих документов значительно ужесточило подход к обеспечению безопасности на ТЭЦ. В то же время применяемые программно-аппаратные комплексы АСУ ТП не имеют встроенных подсистем защиты информации либо оснащены подсистемой, которая неэффективна против современных угроз. Обеспечение кибербезопасности АСУ ТП сводится к использованию наложенных средств защиты информации согласно межотраслевым и внутрикорпоративным стандартам и практикам.
Отсутствие тестовых зон значительно снижает уровень защищённости АСУ ТП. Кроме того, перечень средств защиты информации, применяемых на ТЭЦ, недостаточен для обеспечения требуемого уровня безопасности АСУ ТП теплоэлектроцентралей как объектов КИИ.
Для достижения требуемого уровня защищённости АСУ ТП необходимо использовать комплексный подход к защите объекта КИИ, включающий:
- внешний аудит систем АСУ ТП,
- разработку модели угроз и модели нарушителя,
- проектирование и внедрение средств защиты информации,
- разработку организационно-распорядительных документов.
