Upload
alexey-lukatsky
View
11.350
Download
5
Tags:
Embed Size (px)
Citation preview
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 1/139
Безопасность критических инфраструктур
Алексей Лукацкий
Бизнес-консультант по безопасности, Cisco
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 2/139
Атака на Газпром
1982 – ЦРУ встроила логическую бомбу в АСУ ТП, украденную советскими шпионами, и используемую на газопроводе СССР
Один из первых примеров применения кибервойн и атак на критические инфраструктуры в противодействии государств
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 3/139
Отказ на Taum Sauk (США)
Гидроаккумулирующая электростанция Taum Sauk
АСУ ТП зафиксировала некорректный уровень воды
Насосы продолжали работать
Дамба переполнилась и размылась
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 4/139
Взрыв нефтяной цистерны в Бансфилде (США)
Измерение уровня топлива «зависло»
Измерительная система показала аномалию
Закачка продолжалась
Цистерна переполнилась
Резервная система безопасности отказала
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 5/139
Взрыв трубы в Вашингтоне (США)
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 6/139
Взрыв трубы в Вашингтоне (США)
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 7/139
Червь на атомной электростанции (США)
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 8/139
…и его последствия
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 9/139
Взлом иных типов CI (США)
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 10/139
И еще пару примеров
Хакеры получили несанкционированный доступ к компьютерным системам водоочистных сооружений в Харрисбурге, шт. Пенсильвания, в начале октября 2006 года. Ноутбук сотрудника была взломан через Интернет, затем он использовался как точка входа для доступа к административным системам и установки вирусов, троянских и шпионских программ.
Хакеры получили несанкционированный доступ к компьютерным системам водоочистных сооружений в Харрисбурге, шт. Пенсильвания, в начале октября 2006 года. Ноутбук сотрудника была взломан через Интернет, затем он использовался как точка входа для доступа к административным системам и установки вирусов, троянских и шпионских программ.
На конференции Federal Executive Leadership Conference в Вильямсбурге, штат Вирджиния, представитель спецслужбы подтвердил 200 представителям правительства и промышленности, что злоумышленники вторгались в системы нескольких организаций, составляющих национальную инфраструктуру, и требовали выкуп, угрожая отключить системы. Поставщики коммунальных услуг в США не подтверждали и не отрицали факты подобного шантажа.
На конференции Federal Executive Leadership Conference в Вильямсбурге, штат Вирджиния, представитель спецслужбы подтвердил 200 представителям правительства и промышленности, что злоумышленники вторгались в системы нескольких организаций, составляющих национальную инфраструктуру, и требовали выкуп, угрожая отключить системы. Поставщики коммунальных услуг в США не подтверждали и не отрицали факты подобного шантажа.
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 11/139
Вирус AF/91
Вирус AF/91 создан и внедрен в чип принтера, установленный на одном из критически важных объектов Ирака
В 1991-м году, во время операция «Буря в пустыне» данный вирус должен был вывести из строя систему управления ПВО Ирака
Согласно одним источникам система управления был разрушена в результате авианалета и вирус так и не был приведен в исполнение. Согласно другим источникам данная история – это миф
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 12/139
Операция «Лунный лабиринт»
С марта 1998 года и в течение около двух лет компьютеры Пентагона, НАСА, министерства энергетики, университетов и частных компаний, занимающиеся исследованиями в области атомного вооружения, подвергались атакам
Украдены десятки тысяч файлов о системе дислокации войск, новейших вооружениях
Источник атак был зафиксирован в России
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 13/139
Операция «Титановый дождь»
Начиная с 2003 года и в течение нескольких лет компьютеры в США подвергались скоординированным атакам
В результате компьютерного шпионажа пострадали такие компании как Lockheed Martin, Sandia National Laboratories, Redstone Arsenal, НАСА
Источник атак зафиксирован в Китае
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 14/139
Операция «Аврора»
Атака началась в середине 2009 года и продолжалась до декабря 2009 года
Пострадали Google, Adobe Systems, Juniper Networks Rackspace, Yahoo, Symantec, Northrop Grumman, Morgan Stanley
Цель – получение доступа к исходным кодам ПО атакованных компаний
Источник атаки зафиксирован в Китае
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 15/139
GhostNet
В марте 2009 года была обнаружена сеть компьютеров посольств, министерств иностранных дел, государственных учреждений, политических партий и экономических организаций в 103 странах мира
Цель - шпионаж
Источника атаки зафиксирован в Китае (деятельность китайских правительственных структур так и не подтверждена)
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 16/139
Операция «Сад»
В сентябре 2007 года израильские ВВС нанесли авиаудар по ядерным объектам в Сирии
Системы ПВО Сирии были выведены из строя с помощью технологий, аналогичных американской компьютерной программе Suter
Факт не подтвержден – только оценки экспертов по косвенным данным
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 17/139
Система Suter
Компьютерная программа Suter разработана компанией BAE Systems по заказу секретного подразделения ВВС США Big Safari, которое сфокусировано на выводе из строя систем ПВО противника
Встроена в беспилотные самолеты
Три поколения системы – от контроля над тем, что видит оператор ПВО, до взятия под контроль систем ПВО
Использовалась в Иране и Афганистане
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 18/139
Червь Stuxnet
В июле 2010 года эксперты обнаружили на ряде иранских атомных электростанций червя для систем АСУ ТП
Предполагается, что заражение произошло еще в июне 2009 года
Первый червь, заражающий программируемые контролеры (PLC)
Подвержены АСУ ТП Siemens
Страна % АЭС
Иран 58,85%
Индонезия 18,22%
Индия 8,31%
Азербайджан 2,57%
США 1,56%
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 19/139
Что объединяет все эти примеры?
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 20/139
“Ничто так не мешает прогрессу знания, как расплывчатость терминологии.” Томас Рейд, шотландский философ
© 2006 Cisco Systems, Inc. All rights reserved. Cisco Confidential Presentation_ID
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 21/139
Термины и определения
Критически важный объект – объект, оказывающий существенное влияние на национальную безопасность РФ, прекращение или нарушения деятельности которого приводит к чрезвычайной ситуации или к значительным негативным последствиям для обороны, безопасности, международных отношений, экономики, другой сферы хозяйства или инфраструктуры страны, либо для жизнедеятельности населения, проживающего на соответствующей территории, на длительный период времени
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 22/139
Термины и определения
Ключевая (критически важная) система информационной инфраструктуры – информационно-управляющая или информационно-телекоммуникационная система, которая осуществляет управление критически важным объектом (процессом), или информационное обеспечение таким объектом (процессом), или официальное информирование граждан и в результате деструктивных действий на которую может сложиться чрезвычайная ситуация или будут нарушены выполняемые системой функции управления со значительными негативными последствиями
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 23/139
Разница подходов России и всего мира
«Система признаков критически важных объектов и критериев отнесения функционирующих в их составе информационно-телекоммуникационных систем к числу защищаемых от деструктивных информационных воздействий»
Документ Секретаря Совета Безопасности от 08.11.2005
Распоряжение Правительства от 23.03.2006 №411-рс «Перечень критически важных объектов Российской Федерации»
Международная и российская терминология не всегда соответствуют друг другу
Критическая инфраструктура – критический объект / ключевая система
Кибербезопасность – Информационная безопасность
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 24/139
Инфраструктура
Собирательный термин «инфраструктура» охватывает людей, организации, процессы, продукты, услуги и информационные потоки, а также технические и структурные сооружения и конструкции, которые в индивидуальном порядке или в составе сети, включены в обеспечение функционирования общества, экономики и государства
The Federal Council’s Basic Strategy for Critical Infrastructure Protection, Швейцария
3 уровня инфраструктуры
Сектора
Под-сектора
Индивидуальные объекты/элементы
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 25/139
Критическая…. что?
Каждое государство имеет свой список инфраструктур, классифицируемых как критические
Сектор Инфраструктура Система
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 26/139
Что такое критичная инфраструктура?
Критическая инфраструктура – инфраструктура, нарушение, отказ или разрушение которой, могло бы оказать серьезное влияние на здоровье населения, общественные и политические дела, окружающую среду, безопасность и социально-экономическое благополучие
The Federal Council’s Basic Strategy for Critical Infrastructure Protection, Швейцария
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 27/139
Единого термина не существует
Термин «критичная инфраструктура» не имеет устоявшегося толкования и каждое государство привносит в него свой смысл и свою специфику
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 28/139
Что определяет критичность?
Влияние на другие сектора экономики (зависимость)
Влияние на население
Влияние на экономику
Влияние на национальную безопасность
3 критерия критичности
Критическое количество
Критическое время (скорость, длительность…)
Критическое качество
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 29/139
Зависимость инфраструктур
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 30/139
Зависимость: бóльшая детализация
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 31/139
Безопасность и
здоровье
населения
Отключение
клиентов
Длительность
отключений
Стабильность
электропитания
Удар по
генерирующим
мощностям
Очень
серьезные
последствия
Многочисленные
смерти и травмы
250,000 >
клиентов
Месяцы Основные линии
электропередачи
>10,000 Mw put
offline
Серьезные
последствия
Вероятные
смерти или
серьезные
травмы
100,000 >
клиентов
Недели Ограниченные
нарушения между
местами
>1,000 Mw put
offline
Слабые
последствия
Неопасные для
жизни травмы
Тысячи
клиентов
Дни Временные
«островки»
>100 Mw put
offline
Незначитель
ные
последствия
Ни один из
вариантов
Сотни
клиентов
Часы Нет воздействия Допустимое
отключение
Категории последствий
Тяж
есть
посл
ед
ств
ий
Влияние на население и экономику
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 32/139
Формы потерь
• Простои
• Ухудшение психологического климата Продуктивность Продуктивность
• Расследование инцидента
• PR-активность Реагирование Реагирование
• Замена оборудования
• Повторный ввод информации Замена Замена
• Судебные издержки, досудебное урегулирование
• Приостановление деятельности Штрафы Штрафы
• Ноу-хау, государственная, коммерческая тайна
• Отток клиентов, обгон со стороны конкурента Конкуренты Конкуренты
• Гудвил
• Снижение капитализации, курса акций Репутация Репутация
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 33/139
Ключевые системы образуются
Государственной автоматизированной системой «Выборы»
Системами органов государственной власти
Автоматизированными системами управления войсками и оружием
Спутниковыми системами, используемыми для обеспечения органов управления и в специальных целях
Системами органов управления правоохранительных структур
Средствами и системами телерадиовещания и другими системами информирования населения
Общегосударственными кадастрами и базами данных справочной информации
Магистральными сетями связи общего пользования и сетями связи общего пользования на участках, не имеющих резервных или альтернативных видов связи
Программно-техническими комплексами центров управления сетей связи
Системами финансово-кредитной и банковской деятельности - расчетно-кассовые системы, системы электронных платежей, информационные системы сбора обязательных платежей в бюджет, информационные системы учета и распределения бюджетных поступлений и расходов
Системами управления добычей и транспортировкой нефти, нефтепродуктов и газа
Системами управления водоснабжением, водонапорным и гидротехническим оборудованием
Системами управления энергоснабжением
Системами управления транспортом
Системами управления потенциально опасными объектами
Системами предупреждения и ликвидации чрезвычайных ситуаций
Географическими и навигационными системами
И другими системами, влияющими на национальную безопасность страны
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 34/139
Что такое критическая инфраструктура?
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 35/139
Критические инфраструктуры Японии
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 36/139
Критические инфраструктуры Швейцарии (от 31 в 2009 к 28 в 2011)
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 37/139
Как определить критическую (важную) систему?
В Японии «инфраструктура» – критическая, а «система» - важная
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 38/139
Элементы инфраструктуры
Физические
Функциональные
Организационные процессы
Законы и нормативные требования
Качество
Людские
Персонал
Команды реагирования и восстановления
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 39/139
Опасности для критических инфраструктур
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 40/139
Категории опасностей
Природные опасности
Наводнения, землетрясения, ураганы, молнии и т.п.
Технические опасности
Социальные опасности
Войны, вооруженные нападения, диверсии, эпидемии и т.п.
Опасности, связанные с укладом жизни
Злоупотребление наркотиками, алкоголь, сектантство и т.п.
ГОСТ Р 51901.1-2002 «Менеджмент риска. Анализ риска технологических систем»
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 41/139
Что такое угроза?
Потенциальная причина инцидента, который может нанести ущерб системе или организации
ГОСТ Р ИСО/МЭК 13355-1:2006, ГОСТ Р ИСО/МЭК 27002
Совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации
ГОСТ 50.1.056-2005
Возможная причина нежелательного инцидента, который может закончиться ущербом для системы или организации
ISO\IEC 13355-1:2004, ГОСТ Р ИСО/МЭК 27002
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 42/139
Угрозы CI (японская версия)
Угроза – любой фактор, который может привести нарушению работоспособности ИТ
Япония
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 43/139
Угрозы CI (версия US NERC)
Террористическая атака на инфраструктуру электроэнергетики, которая получает широкое распространение, долгосрочные перебои в подаче электроэнергии, которые наносят вред жизни и здоровью человека, влекут экономические последствия, наносят вред другим гражданским, военным и промышленным объектам
Физические атаки
Кибератаки
Отключение / нарушение работы CI
Получение контроля над CI
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 44/139
Угрозы становятся как никогда изощреннее
Шпионаж Шпионаж Разрушение Разрушение Манипуляция Манипуляция
Script Kiddies
Группы хактивистов
Организованная преступность
Спец службы
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 45/139
Триада угроз
Военно-политические Военно-политические
Экономические Экономические
Террористические Террористические
На международном уровне принято выделять триаду угроз
Угрозы могут пересекаться между собой и входить сразу в несколько категорий
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 46/139
Эволюция угроз
До 2000: внутренние угрозы
2000—2005: ВПО – в основном, черви
2006—2008: взлом ради выгоды
2008+: кибервойны?
20% Случайные 20% Случайные
5% Прочие 5% Прочие
31% Внешние 31% Внешние
31% Случайные 31% Случайные
38% Внутренние 38% Внутренние
Типы инцидентов (1982—2000) Типы инцидентов (2001—2003)
5% Внутренние 5% Внутренние
70% Внешние 70% Внешние
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 47/139
Насколько велики риски?
Сведения публикуются о менее чем 1% (0,25%) инцидентов
Возможен ущерб репутации и снижение котировок акций
Риск = вероятность угрозы X возможные последствия
Выбираемые цели характеризуются бóльшим ущербом, чем легкодоступные цели
79% Случайность 79% Случайность
21% Саботаж 21% Саботаж
12% Случайность 12% Случайность
4% Саботаж 4% Саботаж
8% Прочее 8% Прочее
8% Взлом 8% Взлом
68% ВПО 68% ВПО
Источник: Eric Byres, BCIT
Ущерб < 100 000 долл. США Ущерб > 100 000 долл. США
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 48/139
Зарубежные покупки Китаем активов ТЭК и кибератаки на них
Framework for LNG deal with Russia
LNG deal with Uzbekistan
LNG deal with Australia
LNG deal with Australia
LNG deal with France
Finalization of South Pars Phase 11 with
Iran
LNG deal with QatarGas
LNG deal with QatarGas
LNG deal with QatarGas
LNG deal with Shell
LNG deal with Exxon
Shale gas deal with Chesapeake Energy in Texas
Aggressive bidding on multiple Iraqi oil fields at
auction Purchase of major stake in a second Kazakh oil company
China-Taiwan trade deal for petrochemicals
Purchase of Rumaila oil field, Iraq, at auction
McKay River and Dover oil sands deal with Athabasca, Canada
Development of Iran’s Masjed Soleyman oil
field Oil development deal with Afghanistan
Purchase of major stake in Kazakh oil company
2012 2011 2010 2009 2013 2008
Shady RAT ( U.S. natural
gas wholesaler)
Night Dragon
(Kazakhstan, Taiwan, Greece, U.S.)
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 49/139
В 50% случаев использовались подключения сети PCN к корпоративной сети
В 17% случаев использовались подключения сети PCN к Интернету
Источник: Eric Byres, BCIT
Векторы атак
3% Беспроводные сети 3% Беспроводные сети
7% Сети VPN 7% Сети VPN
7% Модем для коммутируемых линий 7% Модем для коммутируемых линий
7% Телекоммуникационная сеть 7% Телекоммуникационная сеть
10% Доверенное подключение сторонних систем
(Включая зараженные ноутбуки, рост продолжается)
10% Доверенное подключение сторонних систем
(Включая зараженные ноутбуки, рост продолжается)
17% Непосредственно Интернет 17% Непосредственно Интернет
49% Корпоративная сеть 49% Корпоративная сеть
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 50/139
Удаленный доступ к CI – это не шутка
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 51/139
Это не теория!
В 2001 году австралийский хакер был приговорен к 2 годам тюремного заключения за свою атаку на систему управления канализацией в Брисбене, которая привела к сбросу 1 млн литров нечистот на территории отеля Hyatt Regency Resort
Витек Боден, сотрудник компании, установившей компьютеры, запустил атаку в качестве мести за то, что его не восстановили на работе после увольнения
Боден использовал ноутбук, радиооборудование и программные средства для проникновения в систему управления канализацией и перепрограммирования насосов. Он был признан виновным в 46 случаях взлома
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 52/139
Новые угрозы для CI/M2M: уровень 1
Часто самописные (проприетарные) решения, не базирующиеся на сложных или универсальных микросхемах и чипах
Низкая цена, быстрый выход на рынок (за счет меньшего функционала)
Низкое энергопотребеление
Миниатюризация
Отсутствие специалистов по безопасности
ИТ ≠ безопасность
Микро- контроллер
GSM- модуль
SIM
RS-232 USB
ISO 7816
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 53/139
Новые угрозы для CI/M2M: уровень 2
Помимо защиты самого M2M-устройства требуется обеспечить защиты передаваемых данных и получаемых команд на всем протяжении пути
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 54/139
Угрозы беспроводным соединениям
Данные передаются в открытом виде (SMS) или шифруются очень слабым алгоритмом (A5 в GSM)
Возможно создание фальшивых базовых станций
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 55/139
Новые угрозы для CI/M2M: уровень 3
«Железо» и ПО содержит закладки
Контрафактное ПО и «железо»
Инсталляция ПО и «железа» с уязвимостями
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 56/139
Нарушители
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 57/139
Угрозы критичным инфраструктурам связаны не с деньгами
Основные типы нарушителей – террористы, государства, конкуренты
У каждого из них своя мотивация
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 58/139
Деньги – не единственный мотиватор
Отсутствие желания заработать не означает отсутствие атак
Хакерские группировки Anonymous и Lulzsec, американцы Меннинг и Сноуден демонстрируют это в полной мере
Кибер-
террористы
Кибер-
воины
Хактивисты Писатели
malware
Старая
школа
Фрикеры Самураи Script
kiddies
Warez
D00dz
Сложность + + + + +
Эго + + + +
Шпионаж + +
Идеология + + + + +
Шалость + + +
Деньги + + + + +
Месть + + + +
Источник: Furnell, S. M
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 59/139
Как определить потенциал нападения?
ГОСТ Р ИСО/МЭК 18045 (ISO\IEC 18045) «Методы и средства обеспечения безопасности. Методология оценки безопасности информационных технологий» определяет в Приложении А (А.8.1) потенциал нападения, зависящий от
Мотивации нарушителя
Компетентности нарушителя
Ресурсов нарушителя
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 60/139
Вычисление потенциала нападения
2 аспекта - идентификация и использование
Время, затрачиваемое на идентификацию уязвимости
Техническая компетентность специалиста
Знание проекта и функционирования атакуемой системы
Доступ к атакуемой системе
Аппаратное обеспечение/ПО или другое оборудование, требуемое для анализа
Эти факторы не всегда независимы друг от друга и могут время от времени заменять друг друга
Компетентность время, доступные ресурсы время
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 61/139
Вычисление потенциала нападения
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 62/139
Как защищать критичные инфраструктуры?
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 63/139
Что делают многие государства
Разработка нормативной базы
Наличие координирующего органа
Обмен информацией об угрозах и лучших практиках
Развитие государственно-частного партнерства
Подготовка квалифицированных кадров в области CI
Регулярная оценка эффективности принятых мер, разработка метрик и индикаторов
Разработка планов реагирования на инциденты
Регулярный пересмотр нормативных документов
Инициация трансграничного взаимодействия
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 64/139
Обзоры существующих подходов
Уровень проработанности темы защиты критических инфраструктур зависит от того, насколько государство сталкивалось с актуальными угрозами в данной области
А также от желания доминировать в данной сфере
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 65/139
Обзоры существующих подходов
Австралия
Корея
Япония
Канада
Нидерланды
Великобритания
США
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 66/139
Обзоры существующих подходов
Оценка выполнения государствами Евросоюза European европейской программы по защите критических инфраструктур
Programme for Critical Infrastructure Protection (EPCIP), 2004
Оценка деятельности European Public-Private Partnership for Resilience (EP3R) и European Information-Sharing and Alert System (EISAS)
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 67/139
Обзоры существующих подходов
Обзор методов оценки рисков для критичных инфраструктур
Рассматриваются европейские и международные подходы
21 подход
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 68/139
4 столпа стратегии защиты критических инфраструктур
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 69/139
Начинать с повышения осведомленности
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 70/139
И регулярно поддерживать ее уровень
С 2002 по 2012 год в мире прошло 85 кибер-учений
Участвовало 84 государства
71% всех учений прошел в период 2010-2012
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 71/139
От стратегии защиты CI к лучшим практикам и стандартам
В России такой документ должен появиться только в 2014-м году
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 72/139
Стандартизация
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 73/139
Интеграция лучших стандартов по ИБ в критические инфраструктуры
В мае 2006 года в рамках Chemical Sector Cyber Security Program советом по ИТ химической индустрии (Chemical Information Technology Council, ChemITC) в рамках американского совета химической индустрии были предложены рекомендации по информационной безопасности в основу которых легли стандарты ISO\IEC 17799 и ISA-TR99
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 74/139
И это не единственный пример
ISA SP99
NERC CIP
Guidance for Addressing Cyber Security in the Chemical Industry
NIST PCSRF Security Capabilities Profile for Industrial Control Systems
IEC 61784-4
Cisco SAFE for PCN
КСИИ ФСТЭК
Стандарты Газпрома
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 75/139
И еще
IEEE 1402 «IEEE Guide for Electric Power Substation Physical and Electronic Security»
IEC 62210 «Initial Report from IEC TC 57 ad-hoc WG06 on Data and Communication Security»
IEC 62351 «Data and Communication Security»
FERC Security Standards for Electric Market Participants (SSEMP)
American Petroleum Institute (API) 1164 «SCADA Security»
Security Guidelines for the Natural Gas Industry
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 76/139
И еще
API Security Guidelines for the Petroleum Industry
API Security Vulnerability Assessment Methodology for the Petroleum and Petrochemical Industries
American Gas Association (AGA) 12 Cryptographic Protection of SCADA Communications (4 части)
NIST SP800-82 «Guide to Industrial Control Systems (ICS) Security»
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 77/139
Но проще почитать NIST SP800-82
Общим руководством по защите АСУ ТП и выбору необходимого стандарта является руководство NIST SP800-82
Выпущен в июне 2011 года
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 78/139
Как разработать свой стандарт по ИБ критической инфраструктуры?
Специально для разработки отраслевых стандартов существует набор рекомендаций, которые должны включаться (не забываться) при создании собственного набора требований по безопасности АСУ ТП
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 79/139
Рекомендации ENISA
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 80/139
Субсидиарная ответственность и управление рисками
Критические инфраструктуры очень часто находятся в частных руках
Например, в Швейцарии до 80%
Нести ответственность за принятие мер и инвестиции в защиту должны все – и государство (за свои инфраструктуры) и бизнес (за свои)
А готов ли бизнес вкладываться в то, что не приносит прибыли?
Риски Безусловная обязанность
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 81/139
Мы знаем от кого и от чего защищаться! Но как?!
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 82/139
Взаимосвязь терминов
Источник: ГОСТ Р ИСО/МЭК 15408-1-2002
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 83/139
Принципы защиты
Управление рисками
Принятие во внимание всех опасностей без расстановки приоритетов
Природные, технические, социальные…
Устойчивость
Нельзя защититься навсегда и от всего → инфраструктура должна быть устойчивой сама по себе
Пропорциональность
Защитные меры должны быть пропорциональны оценке рисков и целям защиты, включая экономическую целесообразность
Субсудиарная ответственность
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 84/139
Компоненты технической устойчивости
Надежность (прочность) системы в целом
Наличие избыточных элементов
Способность к мобилизации усилий
Скорость оказания помощи
Способность справляться с кризисными ситуациями
“4R” устойчивости
Redundancy, Robustness, Resources, Rapidity
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 85/139
Компоненты социальной устойчивости
“4E” устойчивости
Engagement, Education, Empowerment, Encouragement
Вовлечение в процесс устранения последствий
Обучение основам защиты критичных инфраструктур
Расширение полномочий в случае необходимости
Поощрение за участие в процессе защиты критичной инфраструктуры
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 86/139
Средства защиты отстают → нужны компенсационные меры
Возможности злоумышленников
Возможности защиты Окно
уязвимости
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 87/139
Пока нет средств защиты, пусть инфраструктура защищает сама себя
Безопасность как опция
Безопасность как свойство системы
Высокая сложность
Высокая стоимость интеграции
Риски ИБ не исключены
Низкая надежность
Высокая сложность
Высокая стоимость интеграции
Риски ИБ не исключены
Низкая надежность
Сниженная сложность
Простота развертывания и управления
Эффективное исключение рисков ИБ
Низкие показатели TCO
Сниженная сложность
Простота развертывания и управления
Эффективное исключение рисков ИБ
Низкие показатели TCO
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 88/139
Почему для CI нет защиты?
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 89/139
Безопасность CI vs ИТ-безопасность
Вопросы ИБ Традиционные ИТ Критические инфраструктуры
Антивирус Широкое применение / общая
практика
Сложно реализовать / на
практике применяется редко
Жизненный цикл технологий 3-5 лет До 20 лет и выше
Аутсорсинг Широкое применение / общая
практика
Редко используется
Установка патчей Регулярно / по расписанию Долго и редко
Управление изменениями Регулярно / по расписанию Наследуемые системы
(плохая реализация
требования ИБ)
Контент, критичный ко
времени
Задержки принимаются Критично
Доступность Задержки принимаются 24 х 7 х 365 (непрерывно)
Повышение осведомленности Организовано неплохо Обычно слабо в вопросах ИБ
Аудит ИБ Планируется и реализуется
третьей стороной
Время от времени (после
сбоев)
Физическая безопасность Безопасности Очень неплохо, но часто
удаленно и автоматизировано
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 90/139
И специалистов по ИБ критических инфраструктур почти нет!
ИТ-специалисты
ИБ-специалисты Специалисты
АСУ ТП
Специалисты по ИБ АСУ ТП
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 91/139
Меры защиты
Предотвращение
Зонирование и т.п.
Подготовка
Планирование непрерывности бизнеса
Вмешательство
Системы тревоги, физическая защита, персонал, управление в кризисной ситуации
Восстановление
Временное восстановление работы инфраструктуры
Реконструкция
Полная реконструкция
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 92/139
Почему нет универсальных подходов к защите?
Множество используемых протоколов, технологий, процессов, компонентов…
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 93/139
Термин один (Machine-to-Machine, M2M), а технологии разные
GPS \ ГЛОНАСС \ Галилео \ Beidu
Видеонаблюдение
Медицинские датчики
ЖКХ
Логистика и транспорт (тахографы)
Автомобили (умные дороги)
Электроэнергетика (Smart Grid)
Метео- и климатические датчики
«Умный» дом
Продажи и оплата
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 94/139
Домашняя электроэнергетика
Электроэнергетика уже сейчас относится к критичным инфраструктурам
Но не домашняя
Информация об использовании и расчеты за услуги
Удаленное управление бытовой техникой и оборудованием
ИБ практически отсутствует
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 95/139
Домашняя АСУ ТП
Cisco Home Energy Controller (CGH-100)
• Экран Touch screen
• Поддержка WiFi / Ethernet
• Smart Energy Profile certified Zigbee interface
• Управление из облака
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 96/139
Домашняя АСУ ТП
Использование Термостат Как экономить?
Реакция на потребности Счет Контроль техники
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 97/139
Автомобили
«Умное» управление движением автомобилей
Выстраивание маршрутов
Контроль состояния автомобиля
Информация об использовании и расчеты за услуги
ИБ практически отсутствует
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 98/139
Домашняя медицина
Сбор и передача очень чувствительной информации
Персональные данные
Информация о состоянии здоровья
Принимаются очень критические решения о медицинском вмешательстве
ИБ практически отсутствует
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 99/139
Три уровня нейтрализующих мер
• Механизмы, традиционные для не-ИТ/ИБ активностей
Базовый Базовый
• Начальные тактические мероприятия, обеспечивающие реализацию управляемых защитных функций на базе ИБ-активностей
Средний Средний • ИБ-активности,
поддерживающие и расширяющие базовый и средний уровень и могущие потребовать дополнительной экспертизы
Расширенный Расширенный
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 100/139
Что включать в договора с вендорами?
Cyber Security Procurement Language for Control Systems
Документ (145 стр.) аккумулирует принципы ИБ, которые должны учитываться при разработке и приобретении АСУ ТП и сервисов с ней связанных
Это рекомендация – не стандарт
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 101/139
Обязательная сертификация по требованиям безопасности
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 102/139
Сертификация
Smart Metering Gateway Protection Profile
German Federal Ministry of Economics and Technology (BMWi) и Federal Office for Information Security (BSI)
Базируется на «Общих критериях» (Common Criteria)
Шлюз ограничивает взаимодействие между устройствами NAN, HAN и WAN
Основная цель
Защита данных в AMI
Обеспечение privacy
Разделение сетей
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 103/139
Защита Smart Grid: разница подходов
Германия
• Фокус на защите данных, privacy
• Сертификация оборудования
США
• Фокус на критические инфраструктуры (терроризм, саботаж)
• Минимум регулирования, «дружественность к рынку»
Россия
• Отсутствие фокуса и непонимание специфики
• Жесткое регулирование вопросов ИБ при отсутствие наказания за неисполнение
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 104/139
Пример 1: Подход Японии
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 105/139
План действий v1 и v2
Первый план действий по ИБ критических инфраструктур в Японии был утвержден 13.12.2005
Активное партнерство государства и бизнеса
10 критических инфраструктур
Основная задача – минимизация последствий от нарушения функционирования ИТ в критических инфраструктурах
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 106/139
Вовлеченность разных структур
Секретариат правительства
Министерства, связанные с критичными инфраструктурами
Financial Services Agency, Ministry of Public Management, Home Affairs, Posts and Telecommunications, Ministry of Health, Labour and Welfare, Ministry of Economy, Trade and Industry, and Ministry of Land, Infrastructure and Transport
Министерства, связанные с информационной безопасностью
National Police Agency, Ministry of Internal Affairs and Communications, Ministry of Economy, Trade and Industry and Ministry of Defense), law enforcement ministries (National Police Agency, Fire and Disaster Management Agency, Japan Coast Guard, Ministry of Defense
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 107/139
Вовлеченность разных структур
Другие связанные агентства
National Police Agency Cyberforce, NICT, AIST, IPA, Telecom-ISAC Japan, JPCERT/CC и т.д.
Провайдеры критических инфраструктур, CEPTOARs и CEPTOAR Council
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 108/139
Обмен информацией (CEPTOAR)
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 109/139
Пример 2: Подход Швейцарии
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 110/139
Регулярное обследование
4 опасных сценария
Землетрясение
Пандемия гриппа
Нарушение электропитания
Отказ информационной инфраструктуры
Разработана базовая стратегия защиты критических инфраструктур
www.infraprotection.ch
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 111/139
Базовая стратегия защиты
Цель – снизить вероятность возникновения и (или) развития ущерба, происходящего по причине разрушения, отказа или уничтожения критической инфраструктуры национального уровня и минимизация времени простоя
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 112/139
Вовлеченность разных структур
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 113/139
Пример 3: Подход Германии
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 114/139
Стратегия и план ее реализации
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 115/139
Дополнительные руководства
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 116/139
Чеклисты для самопроверки и пример оценки рисков
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 117/139
Пример 4: Подход Австралии
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 118/139
Также обмениваются информацией
Создана и функционирует Trusted Information Sharing Network (TISN) for Critical Infrastructure Resilience
2003 год
Государственно-частное партнерство
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 119/139
От безопасности к устойчивости
Стратегия описывает подход австралийского правительства по расширению устойчивости критичных инфраструктур от всех угроз
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 120/139
Кибер-учения
Регулярные учения «кибер-шторм»
США, Австралия, Канада, Новая Зеландия
Отработка совместных действий в случае кибератак на критичные инфраструктуры
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 121/139
Компьютерное моделирование угроз
Программа Critical Infrastructure Protection Modelling and Analysis (CIPMA) Program – одна из ключевых инициатив австралийского правительства по защите критичных инфраструктур
CIPMA использует множество различных источников данных для моделирования и симуляции поведения критичных инфраструктур
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 122/139
Пример 5: Подход США
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 123/139
US Control Systems Security Program
Создание системы национального масштаба для координации усилий государства и частного бизнеса с целью снижения уязвимости и реагирования на угрозы, связанные с системами управления технологическими процессами, связанными с национальной критической инфраструктурой
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 124/139
Обмен информацией через Industry Sector Advisory Committee (ISAC)
Получение данных об инцидентах
Взаимодействие с National Infrastructure Protection Center (NIPC)
Связь с другими ISAC
Распространение лучших практик и извлеченных уроков
Взаимодействие с другими секторами экономики
Участие в киберучениях
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 125/139
Это дает свой эффект
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 126/139
США используя стратегию «мягкой силы», думают об «умной силе»
Игнорирование
Противодействие
Поддержка
Избегание
Заманивание
Интеграция
Сотрудничество
Ось м
ягко
й с
ил
ы
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 127/139
Одна из последних инициатив
Исполняя распоряжение Президента США EO13636 по улучшению кибербезопасности критичных инфраструктур NIST запустил процедуру разработки архитектуры снижения рисков критичным инфраструктурам
Набор лучших практик, стандартов и руководств
Публичный процесс
Завершение работ осенью 2013 года
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 128/139
Пример 6: Подход России
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 129/139
Как регулируется ИБ в КВО?
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 130/139
Безопасность ТЭК
21 июля 2011 года Президент РФ подписал Федеральный Закон «О безопасности объектов топливно-энергетического комплекса», а также Федеральный закон «О внесении изменений в отдельные законодательные акты Российской Федерации в части обеспечения безопасности объектов топливно-энергетического комплекса»
Статья 11 «Обеспечение безопасности информационных систем объектов топливно-энергетического комплекса»
Требования и состав комплекса защитных мер пока не определены
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 131/139
Мнение Минэнерго
Три Постановления Правительства от 5 мая 2012 года
№ 458 «Об утверждении Правил по обеспечению безопасности и антитеррористической защищенности объектов топливно-энергетического комплекса»
№ 459 «Об утверждении Положения об исходных данных для проведения категорирования объекта топливно-энергетического комплекса, порядке его проведения и критериях категорирования»
№ 460 «Об утверждении Правил актуализации паспорта безопасности объекта топливно-энергетического комплекса»
Позиция Минэнерго - т.к. в ст.11 ФЗ-256 «О безопасности объектов ТЭК» нет требования разработать Постановление Правительства, то и требования по защите можно использовать текущие
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 132/139
Безопасность критически важных объектов
Основные направления государственной политики в области обеспечения безопасности автоматизированных систем управления производственными и технологическими процессами критически важных объектов инфраструктуры Российской Федерации
4 июля 2012 года
Включают
Требования к разработчикам АСУ ТП
Единая гос.система обнаружения и предотвращения атак
Промышленная и научно-техническая политика, фундаментальная и прикладная наука и повышение квалификации кадров
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 133/139
А что дальше?..
28.12.2012 – встреча Президента с офицерами, назначенными на высшие командные должности
Говорит о защите стратегической инфраструктуры
29.12.2012 - Указ Президента №1711 об изменении состава Межведомственной комиссии Совета Безопасности РФ по информационной безопасности
Добавление в комиссию представителей стратегических КВО
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 134/139
Указ Президента 31с
15.01.2013 - Указ Президента №31с «О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ»
Создание данной системы, разработка методики обнаружения атак, обмен информацией между госорганами об инцидентах ИБ, оценка степени защищенности критической информационной инфраструктуры
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 135/139
И еще немного слов
5.07.2013 – Заседание Совета Безопасности РФ
Президент Путин говорит о
Милитаризации киберпространства
Инструментах «мягкой силы»
Наращивании потенциала подразделений ФСБ, ФСО, МО и МВД, отвечающих за безопасность стратегических объектов
Необходимости уметь парировать информационные атаки на стратегические и критически важные объекты
Создании системы перспективных военных исследований
Военном планировании
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 136/139
Заключение
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 137/139
CI – это только часть задачи управления ИКТ
IC Fabrication IC Design Operating Systems Information Assurance Cryptography
Network Infrastructure Administration Application Software and Administration
Routers, Switches, Fiber, Wireless, Other PCs, Servers, Laptops, Cell Phones, PDAs
Economic & Business Activity Military And Intelligence Systems International Dialogues
Information Processes, Social Networking
Research Communities IA, Certification, Accreditation International Standards
Physical Network Connectivity Enterprise IT Critical Infrastructures Consumer IT
Diplomacy Treaties Agreements Alliances Norms IGOs NGOs Industry
Supply Chain
Cyberspace
Knowledge Formation Political Discourse Value System Dynamics
Governance Technological Level Network, Computer, Crypto, ID Mgt. Standards Universal Principles
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 138/139
Что нужно делать?
Изменение менталитета
Координация усилий на международном уровне
Гармонизация законодательства
Сдвиг фокуса от защиты к устойчивости и готовности
Построение долгосрочной стратегии с учетом будущих изменений в технологиях и их применении
Подготовка квалифицированных кадров в области CI
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Public 139/139