Диссертация (Обеспечение информационной безопасности киберфизических систем на основе принципа гомеостаза), страница 5

Злоумышленники атаковали систему управлениязавода, и, по данным экспертов, целью атаки было спровоцировать взрыв [25].В марте 2018 года произошло сразу несколько крупных инцидентовкибербезопасности:завод американской авиастроительной корпорации Boeing в Норт-−Чарльстоне, штат Южная Каролина, подвергся кибератаке с применением вирусаWannaCry [26];в результате кибератаки 17 часов не работала система диспетчеризации−911вБалтиморе,США[27].Сотрудникампришлосьосуществлятьдиспетчеризацию вручную;−22 марта подключенные системы Атланты, США, по всему городубыли поражены сообщением о вымогательстве, которое блокировало ихсоответствующие файлы и требовало приблизительно 50 000 долларов США вбиткойне. По данным Reuters [28], кибератака затронула почти 30 процентовпрограмм,считающихся«критическиважными»длягорода,тоесть,контролирующих важнейшие городские службы, такие как судебная система иправоохранительные органы.Тенденция к реализации кибератак именно на технологические объектыинфраструктуры стала наблюдаться еще в 2016 году.

Это подтверждаетсяежегодным отчетом с прогнозами по информационной безопасности на 2017 год откомпании Trend Micro Incorporated, мирового лидера в разработке решений длякибербезопасности. Согласно их отчету «Новый уровень – 8 прогнозов покибербезопасности на 2017 год», в наступающем году размах и глубина атакувеличатся, при этом злоумышленники будут применять разнообразные тактики,чтобы получить максимальную выгоду в условиях изменения технологическоголандшафта [29].23Статистика, предоставленная информационным ресурсом Hackmageddon(Рисунок 1), демонстрирует также стремительный рост за последние 3 года числакибератак, реализуемых посредством ВПО [30].Рисунок 1 – Статистика по наиболее популярным средствам реализациикибератак за 2015, 2016 и 2017 годыТакая тенденция может быть объяснена появлением большого числа КФС иувеличением числа точек входа в систему для злоумышленника.1.3 Проблемы обеспечения безопасности киберфизических системТесная интеграция КФС с технологическими процессами, связанными спромышленным производством и управлением большим количеством сложныхобъектов, способных менять свое поведение, привела к необходимости созданияновой методологии обеспечения ИБ таких систем.

Данная методология должнаучитывать возможность поддержания работы КФС в условиях деструктивныхвоздействий. Вместе с тем, практика показывает нарастающий объем кибератак наКФС: в период с 2012 по 2016 годы количество инцидентов безопасности в КФСвыросло более чем в два раза и почти достигло отметки в триста инцидентов24безопасности за год, при этом более половины из них относятся к критическимотраслям жизнедеятельности, таким как энергетика, оборонная промышленность,связь, здравоохранение и транспорт [31, 32].Исходя из особенностей, характерных для КФС, сформулированыследующие проблемы безопасности:1.ПроблемасозданияметодавыявлениянарушенийИБКФС,обеспечивающего инвариантность к типу атак и способу их реализации.

Насегодняшний день для обнаружения различных типов деструктивных воздействийна КФС реализуется одновременное использование большого набора методовобнаружениянарушенийИБ,чтотребуетсущественныхвременныхивычислительных затрат. Сложность и крупномасштабность КФС затрудняютрешение задачи обнаружения нарушений ИБ, т.к. каждый компонент КФС, ккоторому можно получить доступ посредством сети Интернет, представляет длязлоумышленника потенциальную точку входа в систему за счет уязвимостейпрошивоксамихкомпонентовилиуязвимостейреализациисетевыхпромышленных протоколов взаимодействия.

Таким образом, число возможныхвекторов атак на КФС и способов реализации их атак тем больше, чем сложнеесистема. К тому же, следует учесть, что интеграция КФС с промышленностью, скритическими отраслями деятельности, делает их желанной целью для атакизлоумышленников.2.Проблема выявления современного ВПО, направленного на нарушениеИБ системы управления КФС. Существующие методы часто не могут бытьприменены ко всем типам КФС, и не всегда структура КФС такова, что она можетбыть интегрирована с любым средством защиты. При этом, следует учитывать, чтов КФС есть компоненты, задача обеспечения безопасности которых наиболеекритична.

Такими компонентами являются компоненты системы управления компьютеры и серверы, получение нелегитимного доступа к которым позволитзлоумышленнику скомпрометировать всю КФС. Для деструктивного воздействияна такие компоненты КФС злоумышленники используют не классическое ВПО,ориентированное на кражу информации пользователя, а более сложное ВПО,25обладающее способностью к скрытному (часто отложенному) функционированиюи межуровневой миграции.

Вследствие этого, современные средства защиты,работающиенавычислительныхустройствах,неспособныэффективнообнаруживать такое ВПО.3.Проблемаразвитияметодологиидинамическойзащитыдляобеспечения устойчивости функционирования КФС в условиях деструктивныхвоздействий. Существующая методология обеспечения ИБ КФС ориентирована наприменение классических средств защиты и направлена преимущественно наобнаружениеатак,однакоприэтомнерассматриваютсявозможностидинамического переконфигурирования параметров и сетевой структуры КФС дляобеспечения ее функционирования в условиях деструктивных воздействий.Переконфигурирование должно заключаться в динамическом внесении измененийв параметры и/или структуру системы, обеспечивающем адекватность уровнязащиты КФС текущим угрозам и сохранение системы в области функциональнойустойчивости.

Кроме того, необходимо разработать метод оценки безопасностисостояния КФС, основанный на ее устойчивости к деструктивным воздействиям,определитьнабормеханизмовпереконфигурирования,обеспечивающихудержание КФС в безопасном состоянии, а также возвращение в него. Кроме того,необходимо определить условия достижимости безопасности КФС в условияхдеструктивных воздействий.4.Проблема реализации динамической защиты с использованиемвозможностей современных сетевых технологий. Для реализации динамическойзащиты КФС необходимо выбрать такую среду сетевого обмена, чтобы вносимыеизменения могли быть быстро применены к текущей конфигурации и при этомминимально затрагивали работу КФС, не воздействуя на те элементы сетевойинфраструктуры, которые нетребуют изменений. Дляэтоготребуетсяиспользовать технологии, позволяющие гибко и эффективно управлять всейсетевой инфраструктурой КФС, причем программным образом.

Также важнымусловием является наличие возможности реализации собственной моделиклассификации сетевого трафика с помощью назначения правил и приоритетов26обработки различных типов трафика. Нужно иметь возможность создаватьправила, обеспечивающие отправку управляющих команд по самым быстрыммаршрутам или по маршрутам, имеющим минимальное количество транзитныхучастков.1.3.1Проблемасозданияметодавыявлениянарушенийинформационной безопасности, направленных на изменение параметров еефункционированияКФС интегрируются с различными отраслями деятельности человека:производство, энергетика, медицина, транспорт и т.д. Все это накладываетособенности на аспекты функционирования КФС: на количество и составустройств, являющихся компонентами КФС, на типы и форматы генерируемыхими данных, на используемые протоколы сетевого взаимодействия.Все это в совокупности затрудняет создание универсального решения,обеспечивающего обнаружение нарушений ИБ.

При этом, большое число аспектови различных подзадач обеспечения безопасности порождают множестворазличных методов и практических решений, ориентированных на решениеконкретной проблемы безопасности.Значительная часть современных практических решений преимущественноориентирована на обеспечение безопасности сложных промышленных АСУ ТП иКФС путем контроля доступа к конечным устройствам, другая часть – наобнаружение сбоев путем анализа сообщений от конечных устройств. Некоторыерешения ориентированы на анализ безопасности сетевой инфраструктуры.Сложность и крупномасштабность КФС требует интеграции большогочисла различных механизмов обеспечения безопасности, что практическиневозможно в связи с архитектурными различиями самих КФС, а также в связи свысокой сложностью объединения механизмов безопасности. Каждый такоймеханизм обладает своими требованиями к встраиванию в систему и ориентированна решение конкретной проблемы безопасности.

Также следует отметить, чтоинформация о состоянии КФС, полученная при интеграции большого числа27различных механизмов безопасности, не всегда полно будет полно описыватьсостояние КФС. Это связано с тем, что, поскольку современные механизмыбезопасности ориентированы на решение конкретной проблемы безопасности, онинеучитываютспецификумежкомпонентныхсвязейКФС,изаключающуюсяреализациибольшомчислепроцессовпутемкрупномасштабныхКФСфизическихвинформационного обмена между этими компонентами.Такженеобходимоучесть,чтодлязлоумышленник может найти крайне большое число точек нелегитимного входа всистему,и,еслиэтонесможетотследитьмеханизмбезопасности,ориентированный на обнаружение такого типа нарушений, то реализация данногодеструктивного воздействия и других, подобных ему, пройдет незаметно дляадминистратора безопасности, и КФС будет скомпрометирована.Альтернативой подходу к интеграции большого числа механизмовбезопасности является создание метода, который будет инвариантен к типудеструктивного воздействия и будет способен обнаруживать любые нарушениябезопасности в КФС.