Безопасность критических инфраструктур. Международные аспекты

© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 1/139
Безопасность
критических
инфраструктур
Алексей Лукацкий
Бизнес-консультант по безопасности, Cisco

Атака на Газпром
 1982 – ЦРУ встроила
логическую бомбу в АСУ
ТП, украденную
советскими шпионами, и
используемую на
газопроводе СССР
 Один из первых примеров
применения кибервойн и
атак на критические
инфраструктуры в
противодействии
государств

Отказ на Taum Sauk (США)
 Гидроаккумулирующая
электростанция Taum
Sauk
 АСУ ТП зафиксировала
некорректный уровень воды
 Насосы продолжали работать
 Дамба переполнилась и размылась

Взрыв нефтяной цистерны в
Бансфилде (США)
 Измерение
уровня топлива
«зависло»
 Измерительная
система
показала
аномалию
 Закачка
продолжалась
 Цистерна
переполнилась
 Резервная система безопасности отказала

Взрыв трубы в Вашингтоне (США)

Червь на атомной электростанции
(США)

…и его последствия

Взлом иных типов CI (США)

И еще пару примеров
Хакеры получили несанкционированный доступ к
компьютерным системам водоочистных сооружений в
Харрисбурге, шт. Пенсильвания, в начале октября
2006 года. Ноутбук сотрудника была взломан через
Интернет, затем он использовался как точка входа для
доступа к административным системам и установки
вирусов, троянских и шпионских программ.
Хакеры получили несанкционированный доступ к
компьютерным системам водоочистных сооружений в
Харрисбурге, шт. Пенсильвания, в начале октября
2006 года. Ноутбук сотрудника была взломан через
Интернет, затем он использовался как точка входа для
доступа к административным системам и установки
вирусов, троянских и шпионских программ.
На конференции Federal Executive Leadership
Conference в Вильямсбурге, штат Вирджиния,
представитель спецслужбы подтвердил
200 представителям правительства и
промышленности, что злоумышленники вторгались в
системы нескольких организаций, составляющих
национальную инфраструктуру, и требовали выкуп,
угрожая отключить системы. Поставщики
коммунальных услуг в США не подтверждали и не
отрицали факты подобного шантажа.
На конференции Federal Executive Leadership
Conference в Вильямсбурге, штат Вирджиния,
представитель спецслужбы подтвердил
200 представителям правительства и
промышленности, что злоумышленники вторгались в
системы нескольких организаций, составляющих
национальную инфраструктуру, и требовали выкуп,
угрожая отключить системы. Поставщики
коммунальных услуг в США не подтверждали и не
отрицали факты подобного шантажа.

Вирус AF/91
 Вирус AF/91 создан и внедрен
в чип принтера, установленный
на одном из критически важных
объектов Ирака
 В 1991-м году, во время
операция «Буря в пустыне»
данный вирус должен был
вывести из строя систему управления ПВО Ирака
 Согласно одним источникам
система управления был разрушена в результате
авианалета и вирус так и не был приведен в
исполнение. Согласно другим источникам данная
история – это миф

Операция «Лунный лабиринт»
 С марта 1998 года и в течение
около двух лет компьютеры
Пентагона, НАСА, министерства
энергетики, университетов и
частных компаний,
занимающиеся исследованиями
в области атомного вооружения,
подвергались атакам
 Украдены десятки тысяч файлов
о системе дислокации войск,
новейших вооружениях
 Источник атак был
зафиксирован в России

Операция «Титановый дождь»
 Начиная с 2003 года и в
течение нескольких лет
компьютеры в США
подвергались
скоординированным атакам
 В результате компьютерного
шпионажа пострадали такие
компании как Lockheed
Martin, Sandia National
Laboratories, Redstone
Arsenal, НАСА
 Источник атак зафиксирован
в Китае

Операция «Аврора»
 Атака началась в
середине 2009 года и
продолжалась до декабря
2009 года
 Пострадали Google,
Adobe Systems, Juniper
Networks Rackspace,
Yahoo, Symantec,
Northrop Grumman,
Morgan Stanley
 Цель – получение доступа к исходным кодам ПО
атакованных компаний
 Источник атаки зафиксирован в Китае

GhostNet
 В марте 2009 года была
обнаружена сеть
компьютеров посольств,
министерств иностранных
дел, государственных
учреждений, политических
партий и экономических
организаций в 103 странах
мира
 Цель - шпионаж
 Источника атаки зафиксирован в Китае
(деятельность китайских правительственных
структур так и не подтверждена)

Операция «Сад»
 В сентябре 2007 года
израильские ВВС нанесли
авиаудар по ядерным
объектам в Сирии
 Системы ПВО Сирии были
выведены из строя с
помощью технологий,
аналогичных американской
компьютерной программе
Suter
 Факт не подтвержден –
только оценки экспертов по
косвенным данным

Система Suter
 Компьютерная программа Suter
разработана компанией BAE
Systems по заказу секретного
подразделения ВВС США Big
Safari, которое сфокусировано на
выводе из строя систем ПВО
противника
 Встроена в беспилотные
самолеты
 Три поколения системы – от
контроля над тем, что видит оператор ПВО, до взятия
под контроль систем ПВО
 Использовалась в Иране и Афганистане

Червь Stuxnet
 В июле 2010 года эксперты
обнаружили на ряде иранских
атомных электростанций червя
для систем АСУ ТП
 Предполагается, что
заражение произошло еще в
июне 2009 года
 Первый червь, заражающий
программируемые контролеры
(PLC)
 Подвержены АСУ ТП Siemens
Страна % АЭС
Иран 58,85%
Индонезия 18,22%
Индия 8,31%
Азербайджан 2,57%
США 1,56%

Что объединяет
все эти примеры?

“Ничто так не мешает прогрессу знания,
как расплывчатость терминологии.”
Томас Рейд, шотландский философ
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialPresentation_ID

Термины и определения
 Критически важный объект – объект, оказывающий
существенное влияние на национальную
безопасность РФ, прекращение или нарушения
деятельности которого приводит к чрезвычайной
ситуации или к значительным негативным
последствиям для обороны, безопасности,
международных отношений, экономики, другой
сферы хозяйства или инфраструктуры страны, либо
для жизнедеятельности населения, проживающего
на соответствующей территории, на длительный
период времени

Термины и определения
 Ключевая (критически важная) система
информационной инфраструктуры –
информационно-управляющая или информационно-
телекоммуникационная система, которая
осуществляет управление критически важным
объектом (процессом), или информационное
обеспечение таким объектом (процессом), или
официальное информирование граждан и в
результате деструктивных действий на которую
может сложиться чрезвычайная ситуация или будут
нарушены выполняемые системой функции
управления со значительными негативными
последствиями

Разница подходов России и всего
мира
 «Система признаков критически важных объектов и
критериев отнесения функционирующих в их составе
информационно-телекоммуникационных систем к
числу защищаемых от деструктивных
информационных воздействий»
Документ Секретаря Совета Безопасности от 08.11.2005
 Распоряжение Правительства от 23.03.2006 №411-рс
«Перечень критически важных объектов Российской
Федерации»
 Международная и российская терминология не всегда
соответствуют друг другу
Критическая инфраструктура – критический объект / ключевая
система
Кибербезопасность – Информационная безопасность

Инфраструктура
 Собирательный термин «инфраструктура» охватывает
людей, организации, процессы, продукты, услуги и
информационные потоки, а также технические и
структурные сооружения и конструкции, которые в
индивидуальном порядке или в составе сети,
включены в обеспечение функционирования
общества, экономики и государства
The Federal Council’s Basic Strategy for Critical Infrastructure
Protection, Швейцария
 3 уровня инфраструктуры
Сектора
Под-сектора
Индивидуальные объекты/элементы

Критическая…. что?
 Каждое государство имеет свой список инфраструктур,
классифицируемых как критические
Сектор Инфраструктура Система

Что такое критичная инфраструктура?
 Критическая инфраструктура – инфраструктура,
нарушение, отказ или разрушение которой, могло
бы оказать серьезное влияние на здоровье
населения, общественные и политические дела,
окружающую среду, безопасность и социально-
экономическое благополучие
The Federal Council’s Basic Strategy for Critical Infrastructure
Protection, Швейцария

Единого термина не существует
 Термин «критичная инфраструктура» не имеет
устоявшегося толкования и каждое государство
привносит в него свой смысл и свою специфику

Что определяет критичность?
 Влияние на другие сектора экономики (зависимость)
 Влияние на население
 Влияние на экономику
 Влияние на национальную безопасность
 3 критерия критичности
Критическое количество
Критическое время (скорость, длительность…)
Критическое качество

Зависимость инфраструктур

Зависимость: бóльшая детализация

Безопасность и
здоровье
населения
Отключение
клиентов
Длительность
отключений
Стабильность
электропитания
Удар по
генерирующим
мощностям
Очень
серьезные
последствия
Многочисленные
смерти и травмы
250,000 >
клиентов
Месяцы Основные линии
электропередачи
>10,000 Mw put
offline
Серьезные
Вероятные
смерти или
серьезные
травмы
100,000 >
клиентов
Недели Ограниченные
нарушения между
местами
>1,000 Mw put
offline
Слабые
Неопасные для
жизни травмы
Тысячи
клиентов
Дни Временные
«островки»
>100 Mw put
offline
Незначитель
ные
Ни один из
вариантов
Сотни
клиентов
Часы Нет воздействия Допустимое
отключение
Категории последствий
Тяжестьпоследствий
Влияние на население и экономику

Формы потерь
• Простои
• Ухудшение психологического климатаПродуктивностьПродуктивность
• Расследование инцидента
• PR-активностьРеагированиеРеагирование
• Замена оборудования
• Повторный ввод информацииЗаменаЗамена
• Судебные издержки, досудебное урегулирование
• Приостановление деятельностиШтрафыШтрафы
• Ноу-хау, государственная, коммерческая тайна
• Отток клиентов, обгон со стороны конкурентаКонкурентыКонкуренты
• Гудвил
• Снижение капитализации, курса акцийРепутацияРепутация

Ключевые системы образуются
 Государственной автоматизированной системой «Выборы»
 Системами органов государственной власти
 Автоматизированными системами управления войсками и оружием
 Спутниковыми системами, используемыми для обеспечения органов управления и в специальных целях
 Системами органов управления правоохранительных структур
 Средствами и системами телерадиовещания и другими системами информирования населения
 Общегосударственными кадастрами и базами данных справочной информации
 Магистральными сетями связи общего пользования и сетями связи общего пользования на участках, не
имеющих резервных или альтернативных видов связи
 Программно-техническими комплексами центров управления сетей связи
 Системами финансово-кредитной и банковской деятельности - расчетно-кассовые системы, системы
электронных платежей, информационные системы сбора обязательных платежей в бюджет,
информационные системы учета и распределения бюджетных поступлений и расходов
 Системами управления добычей и транспортировкой нефти, нефтепродуктов и газа
 Системами управления водоснабжением, водонапорным и гидротехническим оборудованием
 Системами управления энергоснабжением
 Системами управления транспортом
 Системами управления потенциально опасными объектами
 Системами предупреждения и ликвидации чрезвычайных ситуаций
 Географическими и навигационными системами
 И другими системами, влияющими на национальную безопасность страны

Что такое критическая
инфраструктура?

Критические инфраструктуры Японии

Критические инфраструктуры
Швейцарии (от 31 в 2009 к 28 в 2011)

Как определить критическую (важную)
систему?
В Японии «инфраструктура» –
критическая, а «система» - важная

Элементы инфраструктуры
 Физические
 Функциональные
Организационные процессы
Законы и нормативные требования
Качество
 Людские
Персонал
Команды реагирования и восстановления

Опасности для
критических

Категории опасностей
 Природные опасности
Наводнения, землетрясения, ураганы, молнии и т.п.
 Технические опасности
 Социальные опасности
Войны, вооруженные нападения, диверсии, эпидемии и т.п.
 Опасности, связанные с укладом жизни
Злоупотребление наркотиками, алкоголь, сектантство и т.п.
 ГОСТ Р 51901.1-2002 «Менеджмент риска. Анализ
риска технологических систем»

Что такое угроза?
 Потенциальная причина инцидента, который может
нанести ущерб системе или организации
ГОСТ Р ИСО/МЭК 13355-1:2006, ГОСТ Р ИСО/МЭК 27002
 Совокупность условий и факторов, создающих
потенциальную или реально существующую
опасность нарушения безопасности информации
ГОСТ 50.1.056-2005
 Возможная причина нежелательного инцидента,
который может закончиться ущербом для системы
или организации
ISOIEC 13355-1:2004, ГОСТ Р ИСО/МЭК 27002

Угрозы CI (японская версия)
 Угроза – любой фактор, который может привести
нарушению работоспособности ИТ
Япония

Угрозы CI (версия US NERC)
 Террористическая атака на инфраструктуру
электроэнергетики, которая получает широкое
распространение, долгосрочные перебои в подаче
электроэнергии, которые наносят вред жизни и
здоровью человека, влекут экономические
последствия, наносят вред другим гражданским,
военным и промышленным объектам
Физические атаки
Кибератаки
Отключение / нарушение работы CI
Получение контроля над CI

Угрозы становятся как никогда
изощреннее
ШпионажШпионаж РазрушениеРазрушениеМанипуляцияМанипуляция
Script
Kiddies
Группы
хактивистов
Организованная
преступность
Спец
службы

Триада угроз
Военно-политическиеВоенно-политические
ЭкономическиеЭкономические
ТеррористическиеТеррористические
 На
международном
уровне принято
выделять триаду
угроз
 Угрозы могут
пересекаться
между собой и
входить сразу в
несколько
категорий

Эволюция угроз
 До 2000: внутренние угрозы
 2000—2005: ВПО – в основном, черви
 2006—2008: взлом ради выгоды
 2008+: кибервойны?
20% Случайные20% Случайные
5% Прочие5% Прочие
31% Внешние31% Внешние
31% Случайные31% Случайные
38% Внутренние38% Внутренние
Типы инцидентов (1982—2000) Типы инцидентов (2001—2003)
5% Внутренние5% Внутренние
70% Внешние70% Внешние

Насколько велики риски?
 Сведения публикуются о менее чем 1% (0,25%) инцидентов
Возможен ущерб репутации и снижение котировок акций
 Риск = вероятность угрозы X возможные последствия
 Выбираемые цели характеризуются бóльшим ущербом,
чем легкодоступные цели
79% Случайность79% Случайность
21% Саботаж21% Саботаж
12% Случайность12% Случайность
4% Саботаж4% Саботаж
8% Прочее8% Прочее
8% Взлом8% Взлом
68% ВПО68% ВПО
Источник: Eric Byres, BCIT
Ущерб < 100 000 долл. США Ущерб > 100 000 долл. США

Зарубежные покупки Китаем активов
ТЭК и кибератаки на них
Framework for LNG deal with Russia
LNG deal with Uzbekistan
LNG deal with Australia
LNG deal with Australia
LNG deal with France
Finalization of South Pars Phase 11 with
Iran
LNG deal with QatarGas
LNG deal with Shell
LNG deal with Exxon
Shale gas deal with Chesapeake Energy in Texas
Aggressive bidding on multiple Iraqi oil fields at
auction
Purchase of major stake in a second Kazakh oil company
China-Taiwan trade deal for petrochemicals
Purchase of Rumaila oil field, Iraq, at auction
McKay River and Dover oil sands deal with Athabasca, Canada
Development of Iran’s Masjed Soleyman oil
field
Oil development deal with Afghanistan
Purchase of major stake in Kazakh oil company
2012201120102009 20132008
Shady RAT (
U.S. natural
gas
wholesaler)
Night Dragon
(Kazakhstan, Taiwan,
Greece, U.S.)

 В 50% случаев использовались подключения сети PCN
к корпоративной сети
 В 17% случаев использовались подключения сети PCN
к Интернету
Источник: Eric Byres, BCIT
Векторы атак
3% Беспроводные сети3% Беспроводные сети
7% Сети VPN7% Сети VPN
7% Модем для коммутируемых линий7% Модем для коммутируемых линий
7% Телекоммуникационная сеть7% Телекоммуникационная сеть
10% Доверенное подключение
сторонних систем
(Включая зараженные ноутбуки,
рост продолжается)
10% Доверенное подключение
сторонних систем
(Включая зараженные ноутбуки,
рост продолжается)
17% Непосредственно Интернет17% Непосредственно Интернет
49% Корпоративная сеть49% Корпоративная сеть

Удаленный доступ к CI – это не шутка

Это не теория!
 В 2001 году австралийский хакер был
приговорен к 2 годам тюремного заключения
за свою атаку на систему управления
канализацией в Брисбене, которая привела
к сбросу 1 млн литров нечистот на
территории отеля Hyatt Regency Resort
 Витек Боден, сотрудник компании,
установившей компьютеры, запустил атаку в
качестве мести за то, что его не
восстановили на работе после увольнения
 Боден использовал ноутбук,
радиооборудование и программные
средства для проникновения в систему
управления канализацией и
перепрограммирования насосов.
Он был признан виновным в 46 случаях
взлома

Новые угрозы для CI/M2M: уровень 1
 Часто самописные
(проприетарные) решения, не
базирующиеся на сложных или
универсальных микросхемах и
чипах
Низкая цена, быстрый выход на рынок
(за счет меньшего функционала)
 Низкое энергопотребеление
 Миниатюризация
 Отсутствие специалистов по
безопасности
ИТ ≠ безопасность
Микро-
контроллер
GSM-
модуль
SIM
RS-232
USB
ISO
7816

 Помимо защиты самого M2M-устройства требуется
обеспечить защиты передаваемых данных и
получаемых команд на всем протяжении пути

Угрозы беспроводным соединениям
 Данные передаются в открытом виде (SMS) или
шифруются очень слабым алгоритмом (A5 в GSM)
 Возможно создание фальшивых базовых станций

 «Железо» и ПО содержит
закладки
 Контрафактное ПО и
«железо»
 Инсталляция ПО и
«железа» с уязвимостями

Нарушители

Угрозы критичным инфраструктурам
связаны не с деньгами
 Основные типы нарушителей – террористы,
государства, конкуренты
У каждого из них своя мотивация

Деньги – не единственный мотиватор
 Отсутствие желания заработать не означает
отсутствие атак
Хакерские группировки Anonymous и Lulzsec, американцы
Меннинг и Сноуден демонстрируют это в полной мере
Кибер-
террористы
Кибер-
воины
Хактивисты Писатели
malware
Старая
школа
Фрикеры Самураи Script
kiddies
Warez
D00dz
Сложность
+ + + + +
Эго
+ + + +
Шпионаж
+ +
Идеология
+ + + + +
Шалость
+ + +
Деньги
+ + + + +
Месть
+ + + +
Источник: Furnell, S. M

Как определить потенциал нападения?
 ГОСТ Р ИСО/МЭК 18045 (ISOIEC 18045) «Методы и
средства обеспечения безопасности. Методология
оценки безопасности информационных технологий»
определяет в Приложении А (А.8.1) потенциал
нападения, зависящий от
Мотивации нарушителя
Компетентности нарушителя
Ресурсов нарушителя

Вычисление потенциала нападения
 2 аспекта - идентификация и использование
Время, затрачиваемое на идентификацию уязвимости
Техническая компетентность специалиста
Знание проекта и функционирования атакуемой системы
Доступ к атакуемой системе
Аппаратное обеспечение/ПО или другое оборудование,
требуемое для анализа
 Эти факторы не всегда независимы друг от друга и
могут время от времени заменять друг друга
Компетентность  время, доступные ресурсы  время

Вычисление потенциала нападения

Как защищать
критичные
инфраструктуры?

Что делают многие государства
 Разработка нормативной базы
 Наличие координирующего органа
 Обмен информацией об угрозах и лучших практиках
 Развитие государственно-частного партнерства
 Подготовка квалифицированных кадров в области CI
 Регулярная оценка эффективности принятых мер,
разработка метрик и индикаторов
 Разработка планов реагирования на инциденты
 Регулярный пересмотр нормативных документов
 Инициация трансграничного взаимодействия

Обзоры существующих подходов
 Уровень проработанности темы защиты
критических инфраструктур зависит от того,
насколько государство сталкивалось с актуальными
угрозами в данной области
А также от желания доминировать в данной сфере

 Австралия
 Корея
 Япония
 Канада
 Нидерланды
 Великобритания
 США

 Оценка выполнения
государствами Евросоюза
European европейской
программы по защите
критических инфраструктур
Programme for Critical
Infrastructure Protection
(EPCIP), 2004
 Оценка деятельности
European Public-Private
Partnership for Resilience
(EP3R) и European
Information-Sharing and Alert
System (EISAS)

 Обзор методов оценки
рисков для критичных
 Рассматриваются
европейские и
международные подходы
21 подход

4 столпа стратегии защиты

Начинать с повышения
осведомленности

И регулярно поддерживать ее уровень
 С 2002 по 2012 год в мире
прошло 85 кибер-учений
Участвовало 84 государства
71% всех учений прошел в
период 2010-2012

От стратегии защиты CI к лучшим
практикам и стандартам
В России такой документ должен появиться только в 2014-м году

Стандартизация

Интеграция лучших стандартов по ИБ
в критические инфраструктуры
 В мае 2006 года в рамках
Chemical Sector Cyber
Security Program советом
по ИТ химической
индустрии (Chemical
Information Technology
Council, ChemITC) в рамках
американского совета
химической индустрии были
предложены рекомендации
по информационной
безопасности в основу
которых легли стандарты
ISOIEC 17799 и ISA-TR99

И это не единственный пример
 ISA SP99
 NERC CIP
 Guidance for Addressing Cyber Security in the Chemical
Industry
 NIST PCSRF Security Capabilities Profile for Industrial
Control Systems
 IEC 61784-4
 Cisco SAFE for PCN
 КСИИ ФСТЭК
 Стандарты Газпрома

И еще
 IEEE 1402 «IEEE Guide for Electric Power Substation
Physical and Electronic Security»
 IEC 62210 «Initial Report from IEC TC 57 ad-hoc WG06
on Data and Communication Security»
 IEC 62351 «Data and Communication Security»
 FERC Security Standards for Electric Market Participants
(SSEMP)
 American Petroleum Institute (API) 1164 «SCADA
Security»
 Security Guidelines for the Natural Gas Industry

И еще
 API Security Guidelines for
the Petroleum Industry
 API Security Vulnerability
Assessment Methodology for
the Petroleum and
Petrochemical Industries
 American Gas Association
(AGA) 12 Cryptographic
Protection of SCADA
Communications (4 части)
 NIST SP800-82 «Guide to
Industrial Control Systems
(ICS) Security»

Но проще почитать NIST SP800-82
 Общим руководством
по защите АСУ ТП и
выбору
необходимого
стандарта является
руководство NIST
SP800-82
Выпущен в июне 2011
года

Как разработать свой стандарт по ИБ
критической инфраструктуры?
 Специально для
разработки
отраслевых
стандартов
существует набор
рекомендаций,
которые должны
включаться (не
забываться) при
создании
собственного набора
требований по
безопасности АСУ ТП

Рекомендации ENISA

Субсидиарная ответственность и
управление рисками
 Критические инфраструктуры очень часто
находятся в частных руках
Например, в Швейцарии до 80%
 Нести ответственность за принятие мер и
инвестиции в защиту должны все – и государство
(за свои инфраструктуры) и бизнес (за свои)
А готов ли бизнес вкладываться в то, что не приносит
прибыли?
Риски Безусловная
обязанность

Мы знаем от кого
и от чего
защищаться! Но
как?!

Взаимосвязь терминов
Источник: ГОСТ Р ИСО/МЭК 15408-1-2002

Принципы защиты
 Управление рисками
 Принятие во внимание всех опасностей без
расстановки приоритетов
Природные, технические, социальные…
 Устойчивость
Нельзя защититься навсегда и от всего → инфраструктура
должна быть устойчивой сама по себе
 Пропорциональность
Защитные меры должны быть пропорциональны оценке
рисков и целям защиты, включая экономическую
целесообразность
 Субсудиарная ответственность

Компоненты технической
устойчивости
 Надежность (прочность) системы в целом
 Наличие избыточных элементов
 Способность к мобилизации усилий
 Скорость оказания помощи
 Способность справляться с кризисными ситуациями
 “4R” устойчивости
Redundancy, Robustness, Resources, Rapidity

Компоненты социальной
устойчивости
 “4E” устойчивости
Engagement, Education, Empowerment, Encouragement
 Вовлечение в процесс устранения последствий
 Обучение основам защиты критичных
 Расширение полномочий в случае необходимости
 Поощрение за участие в процессе защиты
критичной инфраструктуры

Средства защиты отстают → нужны
компенсационные меры
Возможности злоумышленников
Возможности защиты
Окно
уязвимости

Пока нет средств защиты, пусть
инфраструктура защищает сама себя
Безопасность
как опция
Безопасность как
свойство системы
 Высокая сложность
 Высокая стоимость интеграции
 Риски ИБ не исключены
 Низкая надежность
 Высокая сложность
 Высокая стоимость интеграции
 Риски ИБ не исключены
 Низкая надежность
 Сниженная сложность
 Простота развертывания и управления
 Эффективное исключение рисков ИБ
 Низкие показатели TCO
 Сниженная сложность
 Простота развертывания и управления
 Эффективное исключение рисков ИБ
 Низкие показатели TCO

Почему для CI нет защиты?

Безопасность CI vs ИТ-безопасность
Вопросы ИБ Традиционные ИТ Критические инфраструктуры
Антивирус Широкое применение / общая
практика
Сложно реализовать / на
практике применяется редко
Жизненный цикл технологий 3-5 лет До 20 лет и выше
Аутсорсинг Широкое применение / общая
практика
Редко используется
Установка патчей Регулярно / по расписанию Долго и редко
Управление изменениями Регулярно / по расписанию Наследуемые системы
(плохая реализация
требования ИБ)
Контент, критичный ко
времени
Задержки принимаются Критично
Доступность Задержки принимаются 24 х 7 х 365 (непрерывно)
Повышение осведомленности Организовано неплохо Обычно слабо в вопросах ИБ
Аудит ИБ Планируется и реализуется
третьей стороной
Время от времени (после
сбоев)
Физическая безопасность Безопасности Очень неплохо, но часто
удаленно и автоматизировано

И специалистов по ИБ критических
инфраструктур почти нет!
ИТ-специалисты
ИБ-специалисты Специалисты
АСУ ТП
Специалисты по ИБ АСУ ТП

Меры защиты
 Предотвращение
Зонирование и т.п.
 Подготовка
Планирование непрерывности бизнеса
 Вмешательство
Системы тревоги, физическая защита, персонал,
управление в кризисной ситуации
 Восстановление
Временное восстановление работы инфраструктуры
 Реконструкция
Полная реконструкция

Почему нет универсальных подходов
к защите?
 Множество используемых протоколов, технологий,
процессов, компонентов…

Термин один (Machine-to-Machine,
M2M), а технологии разные
 GPS ГЛОНАСС Галилео Beidu
 Видеонаблюдение
 Медицинские датчики
 ЖКХ
 Логистика и транспорт (тахографы)
 Автомобили (умные дороги)
 Электроэнергетика (Smart Grid)
 Метео- и климатические датчики
 «Умный» дом
 Продажи и оплата

Домашняя электроэнергетика
 Электроэнергетика уже
сейчас относится к
критичным
инфраструктурам
Но не домашняя
 Информация об
использовании и
расчеты за услуги
 Удаленное управление
бытовой техникой и
оборудованием
 ИБ практически
отсутствует

Домашняя АСУ ТП
Cisco Home Energy
Controller (CGH-100)
• Экран Touch screen
• Поддержка WiFi / Ethernet
• Smart Energy Profile certified
Zigbee interface
• Управление из облака

Домашняя АСУ ТП
Использование Термостат Как экономить?
Реакция на потребности Счет Контроль техники

Автомобили
 «Умное» управление
движением
автомобилей
Выстраивание
маршрутов
 Контроль состояния
автомобиля
 Информация об
использовании и
расчеты за услуги

Домашняя медицина
 Сбор и передача
очень чувствительной
информации
Персональные данные
 Информация о
состоянии здоровья
 Принимаются очень
критические решения
о медицинском
вмешательстве

Три уровня нейтрализующих мер
• Механизмы,
традиционные для не-
ИТ/ИБ активностей
БазовыйБазовый
• Начальные тактические
мероприятия,
обеспечивающие
реализацию
управляемых защитных
функций на базе ИБ-
активностей
СреднийСредний • ИБ-активности,
поддерживающие и
расширяющие базовый
и средний уровень и
могущие потребовать
дополнительной
экспертизы
РасширенныйРасширенный

Что включать в договора с
вендорами?
 Cyber Security
Procurement Language
for Control Systems
 Документ (145 стр.)
аккумулирует
принципы ИБ, которые
должны учитываться
при разработке и
приобретении АСУ ТП
и сервисов с ней
связанных
 Это рекомендация –
не стандарт

Обязательная
сертификация по
требованиям
безопасности

Сертификация
 Smart Metering Gateway Protection Profile
German Federal Ministry of Economics and Technology (BMWi)
и Federal Office for Information Security (BSI)
Базируется на «Общих критериях» (Common Criteria)
Шлюз ограничивает взаимодействие между устройствами
NAN, HAN и WAN
 Основная цель
Защита данных в AMI
Обеспечение privacy
Разделение сетей

Защита Smart Grid: разница подходов
Германия
• Фокус на защите
данных, privacy
• Сертификация
оборудования
США
• Фокус на
критические
инфраструктуры
(терроризм,
саботаж)
• Минимум
регулирования,
«дружественность
к рынку»
Россия
• Отсутствие
фокуса и
непонимание
специфики
• Жесткое
регулирование
вопросов ИБ при
отсутствие
наказания за
неисполнение

Пример 1: Подход
Японии

План действий v1 и v2
 Первый план действий по ИБ
критических инфраструктур в
Японии был утвержден
13.12.2005
 Активное партнерство
государства и бизнеса
 10 критических
 Основная задача –
минимизация последствий от
нарушения
функционирования ИТ в
критических инфраструктурах

Вовлеченность разных структур
 Секретариат правительства
 Министерства, связанные с критичными
инфраструктурами
Financial Services Agency, Ministry of Public Management,
Home Affairs, Posts and Telecommunications, Ministry of
Health, Labour and Welfare, Ministry of Economy, Trade and
Industry, and Ministry of Land, Infrastructure and Transport
 Министерства, связанные с информационной
безопасностью
National Police Agency, Ministry of Internal Affairs and
Communications, Ministry of Economy, Trade and Industry and
Ministry of Defense), law enforcement ministries (National
Police Agency, Fire and Disaster Management Agency, Japan
Coast Guard, Ministry of Defense

 Другие связанные агентства
National Police Agency Cyberforce, NICT, AIST, IPA, Telecom-
ISAC Japan, JPCERT/CC и т.д.
 Провайдеры критических инфраструктур,
CEPTOARs и CEPTOAR Council

Обмен информацией (CEPTOAR)

Швейцарии

Регулярное обследование
 4 опасных сценария
Землетрясение
Пандемия гриппа
Нарушение электропитания
Отказ информационной
 Разработана базовая
стратегия защиты
 www.infraprotection.ch

Базовая стратегия защиты
 Цель – снизить вероятность
возникновения и (или)
развития ущерба,
происходящего по причине
разрушения, отказа или
уничтожения критической
национального уровня и
минимизация времени
простоя

Германии

Стратегия и план ее реализации

Дополнительные руководства

Чеклисты для самопроверки и пример
оценки рисков

Австралии

Также обмениваются информацией
 Создана и
функционирует Trusted
Information Sharing
Network (TISN) for Critical
Infrastructure Resilience
2003 год
 Государственно-частное
партнерство

От безопасности к устойчивости
 Стратегия описывает
подход австралийского
правительства по
расширению устойчивости
критичных инфраструктур от
всех угроз

Кибер-учения
 Регулярные учения
«кибер-шторм»
 США, Австралия, Канада,
Новая Зеландия
 Отработка совместных
действий в случае
кибератак на критичные

Компьютерное моделирование угроз
 Программа Critical
Infrastructure Protection
Modelling and Analysis
(CIPMA) Program – одна из
ключевых инициатив
австралийского
правительства по защите
критичных инфраструктур
 CIPMA использует
множество различных
источников данных для
моделирования и
симуляции поведения
критичных инфраструктур

США

US Control Systems Security Program
 Создание системы национального масштаба для
координации усилий государства и частного бизнеса
с целью снижения уязвимости и реагирования на
угрозы, связанные с системами управления
технологическими процессами, связанными с
национальной критической инфраструктурой

Обмен информацией через Industry
Sector Advisory Committee (ISAC)
 Получение данных об инцидентах
 Взаимодействие с National Infrastructure Protection
Center (NIPC)
 Связь с другими ISAC
 Распространение лучших практик и извлеченных
уроков
 Взаимодействие с другими секторами экономики
 Участие в киберучениях

Это дает свой эффект

США используя стратегию «мягкой
силы», думают об «умной силе»
Игнорирование
Противодействие
Поддержка
Избегание
Заманивание
Интеграция
Сотрудничество
Осьмягкойсилы

Одна из последних инициатив
 Исполняя распоряжение
Президента США EO13636 по
улучшению
кибербезопасности критичных
инфраструктур NIST запустил
процедуру разработки
архитектуры снижения рисков
критичным инфраструктурам
 Набор лучших практик,
стандартов и руководств
 Публичный процесс
Завершение работ осенью 2013
года

России

Как регулируется ИБ в КВО?

Безопасность ТЭК
 21 июля 2011 года Президент РФ подписал
Федеральный Закон «О безопасности объектов
топливно-энергетического комплекса», а также
Федеральный закон «О внесении изменений в
отдельные законодательные акты Российской
Федерации в части обеспечения безопасности
объектов топливно-энергетического комплекса»
 Статья 11 «Обеспечение безопасности
информационных систем объектов топливно-
энергетического комплекса»
Требования и состав комплекса защитных мер пока не
определены

Мнение Минэнерго
 Три Постановления Правительства от 5 мая 2012 года
№ 458 «Об утверждении Правил по обеспечению
безопасности и антитеррористической защищенности
объектов топливно-энергетического комплекса»
№ 459 «Об утверждении Положения об исходных данных для
проведения категорирования объекта топливно-
энергетического комплекса, порядке его проведения и
критериях категорирования»
№ 460 «Об утверждении Правил актуализации паспорта
безопасности объекта топливно-энергетического комплекса»
 Позиция Минэнерго - т.к. в ст.11 ФЗ-256 «О
безопасности объектов ТЭК» нет требования
разработать Постановление Правительства, то и
требования по защите можно использовать текущие

Безопасность критически важных
объектов
 Основные направления государственной политики в
области обеспечения безопасности
автоматизированных систем управления
производственными и технологическими процессами
критически важных объектов инфраструктуры
Российской Федерации
4 июля 2012 года
 Включают
Требования к разработчикам АСУ ТП
Единая гос.система обнаружения и предотвращения атак
Промышленная и научно-техническая политика,
фундаментальная и прикладная наука и повышение
квалификации кадров

А что дальше?..
 28.12.2012 – встреча Президента с офицерами,
назначенными на высшие командные должности
Говорит о защите стратегической инфраструктуры
 29.12.2012 - Указ Президента №1711 об изменении
состава Межведомственной комиссии Совета
Безопасности РФ по информационной безопасности
Добавление в комиссию представителей стратегических КВО

Указ Президента 31с
 15.01.2013 - Указ Президента №31с «О создании
государственной системы обнаружения,
предупреждения и ликвидации последствий
компьютерных атак на информационные ресурсы РФ»
Создание данной системы, разработка методики обнаружения
атак, обмен информацией между госорганами об инцидентах
ИБ, оценка степени защищенности критической
информационной инфраструктуры

И еще немного слов
 5.07.2013 – Заседание Совета Безопасности РФ
 Президент Путин говорит о
Милитаризации киберпространства
Инструментах «мягкой силы»
Наращивании потенциала подразделений ФСБ, ФСО, МО и
МВД, отвечающих за безопасность стратегических объектов
Необходимости уметь парировать информационные атаки на
стратегические и критически важные объекты
Создании системы перспективных военных исследований
Военном планировании

Заключение

CI – это только часть задачи
управления ИКТ
IC Fabrication IC Design Operating Systems Information Assurance Cryptography
Network Infrastructure Administration Application Software and Administration
Routers, Switches, Fiber, Wireless, Other PCs, Servers, Laptops, Cell Phones, PDAs
Economic & Business Activity Military And Intelligence SystemsInternational Dialogues
Information Processes, Social Networking
Research Communities IA, Certification, Accreditation International Standards
Physical Network Connectivity Enterprise ITCritical Infrastructures Consumer IT
Diplomacy Treaties Agreements AlliancesNorms IGOs NGOs Industry
Supply Chain
Cyberspace
Knowledge Formation Political DiscourseValue System Dynamics
Governance
Technological Level Network, Computer, Crypto, ID Mgt. Standards Universal Principles

Что нужно делать?
 Изменение менталитета
 Координация усилий на международном уровне
 Гармонизация законодательства
 Сдвиг фокуса от защиты к устойчивости и готовности
 Построение долгосрочной стратегии с учетом
будущих изменений в технологиях и их применении
 Подготовка квалифицированных кадров в области CI

Безопасность критических инфраструктур. Международные аспекты

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Destaque

Destaque (20)

Semelhante a Безопасность критических инфраструктур. Международные аспекты

Semelhante a Безопасность критических инфраструктур. Международные аспекты (20)

Mais de Aleksey Lukatskiy

Mais de Aleksey Lukatskiy (20)

Безопасность критических инфраструктур. Международные аспекты