ТЭЦ как объект КИИ: возможно ли обеспечить реальную информационную безопасность?

ТЭЦ как объект КИИ: возможно ли обеспечить реальную информационную безопасность?

Сложные технологические процессы, применяемые для получения электроэнергии, должны быть непрерывны; это достигается путём использования автоматизированных систем управления технологическими процессами (АСУ ТП), а также за счёт слаженной работы различных служб предприятия и немалого количества персонала. Автоматизация приводит к тому, что генерирующие объекты энергосистемы могут быть уязвимыми с точки зрения информационной безопасности и оказываться целями кибератак. Постараемся провести объективный анализ мероприятий по обеспечению защиты АСУ ТП, которые реализуются на большинстве генерирующих объектов энергетики, таких как городская теплоэлектроцентраль (ТЭЦ).

 

  1. Введение
  2. Процесс обеспечения защиты АСУ ТП
  3. Уровень защищенности АСУ ТП теплоэлектроцентралей
  4. Специфика мер для защиты наиболее уязвимых мест АСУ ТП
  5. Выводы

 

Введение

Для того чтобы понять причины, по которым возникла проблематика обеспечения ИБ на теплоэлектроцентралях, следует обратиться к истории появления и эксплуатации таких объектов. Большинство ныне работающих ТЭЦ строились в советскую эпоху, и АСУ ТП реализовывались на отечественной программно-аппаратной базе. Подсистем их защиты никто не создавал, поскольку тогда безопасность обеспечивали на уровне организационно-распорядительных документов и физической изоляции АСУ ТП.

В 2000-е годы началось масштабное обновление устаревших объектов генерации. В первую очередь модернизировалось газовое оборудование, менялись устаревшие системы АСУ ТП. Однако эти процессы опять же в основном не затрагивали защиту от информационных угроз.

Появление Федерального закона №187-ФЗ от 26 июля 2017 г., предписывающего обеспечивать безопасность критической информационной инфраструктуры (КИИ), заставило субъектов энергетики пересмотреть подходы и принципы к защите подведомственных им комплексов оборудования. Нарушения работы ТЭЦ могут привести к тому, что потребители лишатся энергоресурсов, и зачастую носят межмуниципальный характер; согласно упомянутому выше закону, АСУ ТП теплоэлектроцентралей относятся к КИИ и требуют обязательной защиты.

Постановление Правительства РФ №127 и приказы ФСТЭК России №235, №239 дополняют Федеральный закон №187-ФЗ и регламентируют обеспечение информационной безопасности объектов КИИ. К сожалению, эти документы только предъявляют требования и не содержат методических указаний относительно того, как модернизировать существующие АСУ ТП в части реализации механизмов или внедрения средств защиты информации.

 

Процесс обеспечения защиты АСУ ТП

Перечислим работы, необходимые для обеспечения защиты АСУ ТП как объекта критической информационной инфраструктуры.

  1. Проведение независимого аудита систем АСУ ТП. На этом этапе выполняется анализ действующих организационных мер, политик и концепций по защите информации; документов, регламентирующих использование средств и методов защиты информации; организационной структуры обслуживающего персонала и должностных инструкций; перечня ответственных лиц и их функциональных обязанностей; действий при внештатных ситуациях; процедур восстановления работоспособности системы, учёта оборудования и программного обеспечения; механизмов отключения от рабочего контура, обмена оборудования и программного обеспечения при выводе на ремонт; регламента назначения прав доступа.
  2. Разработка модели угроз и модели нарушителя. В состав этого шага входят: определение перечня угроз безопасности, определение вероятности осуществления каждой из них, оценка актуальности угроз, анализ эффективности существующих и имеющихся в наличии мер и средств защиты информации, оценка возможностей физического доступа к объектам АСУ ТП, выявление возможных технических каналов утечки информации.
  3. Проектирование системы защиты информации.
  4. Внедрение средств защиты информации (ЗИ). Этот этап включает поставку технических средств ЗИ, установку и настройку средств ЗИ, предварительные испытания комплекса защиты АСУ ТП и его передачу в опытную эксплуатацию, а также передачу комплекса средств защиты информации АСУ ТП в промышленную эксплуатацию.
  5. Разработка организационно-распорядительных документов. Их содержание описывает отдельные меры защиты информации в АСУ, планирование мероприятий по обеспечению этой защиты, реализацию действий в нештатных (непредвиденных) ситуациях в ходе эксплуатации АСУ, информирование и обучение персонала, работающего с комплексом защиты АСУ, анализ угроз безопасности информации в АСУ и рисков от их реализации, управление (администрирование) комплекса защиты системы, выявление инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования АСУ и (или) к возникновению угроз безопасности информации, и реагирование на них, а также управление конфигурацией АСУ и её комплекса защиты, контроль (мониторинг) обеспечения уровня защищённости АСУ и борьбу с угрозами при выводе системы из эксплуатации.

Приведём наиболее распространённые меры, применяемые для защиты информации в  АСУ ТП на теплоэлектроцентралях:

  • АСУ ТП функционирует в изолированном  контуре инфраструктуры.
  • Для взаимодействия с сетью предприятия создаётся «демилитаризованная зона» (ДМЗ).
  • Блокируется доступ к интерфейсам ввода-вывода.
  • Ограничивается физический доступ к оборудованию.
  • На рабочие места оператора АСУ ТП и администратора, дежурного смены устанавливается антивирус.
  • На автоматизированные рабочие места устанавливается сканер уязвимостей (в виде агента).
  • Устанавливается пароль на BIOS.
  • Запрещается загрузка с альтернативных носителей.
  • На базе средств операционной системы реализуется управление правами доступа пользователей.
  • Права пользователей системы АСУ ТП ограничиваются встроенными средствами самой системы.

 

Уровень защищённости АСУ ТП теплоэлектроцентралей

Для понимания того, насколько АСУ ТП теплоэлектроцентралей защищены от информационных рисков, предлагаем рассмотреть реальные угрозы и вызовы, с которыми могут столкнуться специалисты по ИБ на таких объектах с учётом нового технологического уклада. Для этого будем использовать банк данных ФСТЭК России.

 

Таблица 1. Описание угроз безопасности информации, актуальных для АСУ ТП

№ угрозы

Название угрозы

Источник угрозы

Объект воздействия

Почему угроза актуальна

006

Угроза внедрения кода или данных

Внешний нарушитель с низким потенциалом

Системное, прикладное, сетевое программное обеспечение

Отсутствуют актуальные обновления антивируса. Отсутствует подсистема обнаружения вторжений

012

Угроза деструктивного изменения конфигурации / среды окружения программ

Внутренний нарушитель с низким потенциалом

Системное, прикладное, сетевое программное обеспечение, микропрограммное обеспечение, метаданные, объекты файловой системы, реестр

Отсутствует подсистема обнаружения вторжений

022

Угроза избыточного выделения оперативной памяти

Внешний или внутренний нарушитель с низким потенциалом

Аппаратное обеспечение, системное и сетевое программное обеспечение

Отсутствуют актуальные обновления антивируса

023

Угроза изменения компонентов системы

Внутренний нарушитель с низким потенциалом

Информационная система, сервер, рабочая станция, виртуальная машина, системное и прикладное программное обеспечение, аппаратное обеспечение

Отсутствие встроенного контроля версионности прикладного программного обеспечения. Отсутствует подсистема обнаружения вторжений

030

Угроза использования информации идентификации / аутентификации, заданной по умолчанию

Внешний нарушитель со средним потенциалом, внутренний нарушитель с низким потенциалом

Средства защиты информации, системное и сетевое программное обеспечение, микропрограммное обеспечение, программно-аппаратные средства со встроенными функциями защиты

Отсутствует подсистема доверенной загрузки

086

Угроза несанкционированного изменения аутентификационной информации

Внешний или внутренний нарушитель с низким потенциалом

Системное программное обеспечение, объекты файловой системы, учётные данные пользователя, реестр

Отсутствует подсистема доверенной загрузки

089

Угроза несанкционированного редактирования реестра

Внешний или внутренний нарушитель с низким потенциалом

Реестр и системное программное обеспечение, использующее его

Отсутствие подсистемы доверенной загрузки

090

Угроза несанкционированного создания учётной записи пользователя

Внешний или внутренний нарушитель с низким потенциалом

Системное программное обеспечение

Отсутствие подсистемы доверенной загрузки

091

Угроза несанкционированного удаления защищаемой информации

Внешний или внутренний нарушитель с низким потенциалом

Метаданные, объекты файловой системы, реестр

Отсутствуют актуальные обновления сканера уязвимостей

093

Угроза несанкционированного управления буфером

Внешний или внутренний нарушитель с низким потенциалом

Системное, прикладное, сетевое программное обеспечение

Отсутствие подсистемы доверенной загрузки

100

Угроза обхода некорректно настроенных механизмов аутентификации

Внешний или внутренний нарушитель с низким потенциалом

Системное и сетевое программное обеспечение

Отсутствует подсистема доверенной загрузки

121

Угроза повреждения системного реестра

Внешний или внутренний нарушитель с низким потенциалом

Объекты файловой системы, реестр

Отсутствует подсистема доверенной загрузки

124

Угроза подделки записей журнала регистрации событий

Внешний или внутренний нарушитель с низким потенциалом

Системное программное обеспечение

Отсутствует подсистема доверенной загрузки. Отсутствует подсистема защиты журналов прикладного программного обеспечения

145

Угроза пропуска проверки целостности программного обеспечения

Внешний или внутренний нарушитель с низким потенциалом

Системное, прикладное, сетевое программное обеспечение

Отсутствует подсистема доверенной загрузки. Отсутствует встроенная подсистема верификации компонентов прикладного программного обеспечения

152

Угроза удаления аутентификационной информации

Внешний или внутренний нарушитель с низким потенциалом

Системное программное обеспечение, микропрограммное обеспечение, учётные данные пользователя

Отсутствует подсистема доверенной загрузки

 

155

Угроза утраты вычислительных ресурсов

Внешний или внутренний нарушитель с низким потенциалом

Информационная система, сетевой узел, носитель информации, системное и сетевое программное обеспечение, сетевой трафик

Отсутствует подсистема доверенной загрузки

 

162

Угроза эксплуатации цифровой подписи программного кода

Внешний или внутренний нарушитель с низким потенциалом

Системное и прикладное программное обеспечение

Отсутствует подсистема доверенной загрузки. Отсутствует встроенная подсистема верификации компонентов прикладного программного обеспечения

170

Угроза неправомерного шифрования информации

Внешний нарушитель с низким потенциалом

Объект файловой системы

Отсутствуют актуальные обновления антивируса. Отсутствует подсистема обнаружения вторжений

176

Угроза нарушения технологического / производственного процесса из-за временны́х задержек, вносимых средством защиты

Внешний нарушитель с низким потенциалом

Средство защиты информации

Отсутствие тестовой зоны

177

Угроза неподтверждённого ввода данных оператором в систему, связанную с безопасностью

Внутренний нарушитель с низким потенциалом

Системное, сетевое, прикладное программное обеспечение, аппаратное обеспечение

Отсутствие контроля ввода данных на уровне прикладного программного обеспечения

178

Угроза несанкционированного использования системных и сетевых утилит

Внешний или внутренний нарушитель с низким потенциалом

Системное программное обеспечение

Отсутствует подсистема обнаружения вторжений

179

Угроза несанкционированной модификации защищаемой информации

Внешний или внутренний нарушитель с низким потенциалом

Объекты файловой системы

Отсутствует подсистема доверенной загрузки

185

Угроза несанкционированного изменения параметров настройки средств защиты информации

Внешний или внутренний нарушитель с низким потенциалом

Средство защиты информации

Отсутствует подсистема доверенной загрузки. После проведения пусконаладочных работ пароли не изменены

191

Угроза внедрения вредоносного кода в дистрибутив программного обеспечения

Внешний или внутренний нарушитель с низким потенциалом

Прикладное, сетевое, системное программное обеспечение

Отсутствие тестовой зоны

192

Угроза использования уязвимых версий программного обеспечения

Внешний или внутренний нарушитель с низким потенциалом

Прикладное, сетевое, системное программное обеспечение

Отсутствие тестовой зоны. Отсутствие обновлений прикладного программного обеспечения

 

Приведённые угрозы показывают необходимость дополнять корпоративные практики следующими подсистемами защиты информации:

  • Подсистема обнаружения вторжений. Её наличие необходимо для того, чтобы ограничить ущерб от действий атакующего после преодоления защищённого периметра.
  • Подсистема доверенной загрузки. Отсутствие данной подсистемы позволяет эксплуатировать уязвимости операционной системы при авторизации её средствами.
  • Чтобы минимизировать угрозы безопасности информации, современные механизмы автоматизации должны иметь в наличии следующие подсистемы защиты:
    • Подсистема контроля версионности прикладного программного обеспечения. Отсутствие данной функциональности позволяет вредоносным программам незаметно распространяться по информационным системам, выводя из строя все узлы, используемые в АСУ ТП.
    • Подсистема защиты журналов прикладного программного обеспечения. Информация о действиях пользователя в системе хранится в незащищённом виде, что позволяет легко её модифицировать.

 

Специфика мер для защиты наиболее уязвимых мест АСУ ТП

При проектировании или модернизации АСУ ТП необходимо создавать тестовую зону. Её отсутствие на практике может приводить к невозможности безопасно обновлять прикладное ПО и средства защиты информации. Также отсутствие тестовой зоны приводит к несвоевременному обновлению сигнатурных баз, используемых защитными решениями. Обновления производятся в периоды технологических пауз, что значительно снижает эффективность антивирусных программ и сканеров уязвимостей.

Для полноты картины приведём перечень требуемых мер для защиты наиболее уязвимых мест АСУ ТП:

Наименование уязвимого компонента системы

Требуемые меры

Контроллерный уровень АСУ ТП

  • сегментирование сети,
  • резервирование информационных каналов,
  • реализация защищённых каналов обмена информацией между компонентами АСУ ТП.

АРМ инженера

  • подсистема доверенной загрузки,
  • актуальные обновления антивируса и сканера уязвимостей.

«Демилитаризованная зона» (ДМЗ)

  • системы однонаправленной передачи данных,
  • настройка и последующая проверка корректности работоспособности межсетевых экранов.

Расчётная станция в сети предприятия

  • подсистема доверенной загрузки,
  • актуальные обновления антивируса и сканера уязвимостей,
  • применение программно-аппаратных средств для защиты информационных каналов связи с удалёнными автоматизированными рабочими местами АСУ ТП.

АРМ диспетчера

  • применение программно-аппаратных средств для защиты информационных каналов связи с удалёнными автоматизированными рабочими местами АСУ ТП.

 

Наиболее распространённые ошибки и нарушения:

  • Отсутствуют защищённые каналы обмена информацией между компонентами АСУ ТП на уровне системы.
  • На АРМ инженера имеются административные привилегии.
  • Отсутствует система однонаправленной передачи данных перед ДМЗ.
  • Некорректно настроен межсетевой экран.
  • Несколько АСУ ТП совмещены.
  • Контур АСУ ТП совмещён с сетью предприятия.
  • Отсутствует защита информационных каналов связи удалённых АРМ.
  • Технологическая информация передаётся без использования защиты информационных каналов связи через интернет.

 

Выводы

Принятие Федерального закона №187-ФЗ и сопутствующих документов значительно ужесточило подход к обеспечению безопасности на ТЭЦ. В то же время применяемые программно-аппаратные комплексы АСУ ТП не имеют встроенных подсистем защиты информации либо оснащены подсистемой, которая неэффективна против современных угроз. Обеспечение кибербезопасности АСУ ТП сводится к использованию наложенных средств защиты информации согласно межотраслевым и внутрикорпоративным стандартам и практикам.

Отсутствие тестовых зон значительно снижает уровень защищённости АСУ ТП. Кроме того, перечень средств защиты информации, применяемых на ТЭЦ, недостаточен для обеспечения требуемого уровня безопасности АСУ ТП теплоэлектроцентралей как объектов КИИ.

Для достижения требуемого уровня защищённости АСУ ТП необходимо использовать комплексный подход к защите объекта КИИ, включающий:

  • внешний аудит систем АСУ ТП,
  • разработку модели угроз и модели нарушителя,
  • проектирование и внедрение средств защиты информации,
  • разработку организационно-распорядительных документов.
Полезные ссылки: 
Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новые статьи на Anti-Malware.ru