今年，我们启动了一个大型项目，以创建一个网络培训基地-一个为来自各个行业的公司提供网络培训的平台。为此，有必要创建“与自然完全相同”的虚拟基础架构，以便它们重复银行，能源公司等的典型内部结构，而不仅仅是在企业网络部分。再过一会儿，我们将讨论网络垃圾填埋场的银行业务和其他基础设施，今天，我们将讨论如何解决与工业企业的技术部门有关的问题。
当然，网络练习和网络多边形的主题昨天没有出现。在西方，很长一段时间以来，形成了一系列相互竞争的提案，各种网络培训方法以及简单的最佳实践。信息安全服务的“良好形式”是定期实践准备，以在实践中击退网络攻击。对于俄罗斯来说，这仍然是一个新话题：是的，供应很少，几年前就出现了，但是需求，尤其是工业领域的需求，才刚刚开始逐渐形成。我们认为，这主要有三个原因-它们是已经非常明显的问题。
世界变化太快
甚至在10年前，黑客主要攻击那些可以迅速从中提款的组织。对于行业来说，这种威胁的意义不大。现在我们看到，国家组织，能源和工业企业的基础设施也正在成为他们关注的主题。在这里，我们经常进行间谍活动，出于各种目的（竞争情报，勒索）盗窃数据的尝试，以及在基础设施中获取存在点以进一步出售给感兴趣的同志。好吧，即使是像WannaCry这样的琐碎勒索软件也已经在世界范围内吸引了许多类似的对象。因此，现代现实要求信息安全专家考虑这些风险并形成新的信息安全流程。特别是要定期提高自己的资格并练习实用技能。工业设施运营和调度管理的各个级别的人员必须清楚地了解在发生网络攻击时应采取的措施。但是要在您自己的基础架构上进行网络培训-谢谢，风险显然大于可能带来的好处。
对攻击者破解ICS和IIoT系统的真正能力缺乏了解
这个问题在组织的各个级别都存在：甚至不是所有专家都了解他们的系统会发生什么，什么是攻击的媒介。关于领导力我们能说些什么。
安全人员通常会诉诸“空隙”，据说这种空隙不会使攻击者超越公司网络，但实践表明，在90％的组织中，公司和技术部门之间存在联系。同时，建立和管理工业网络的要素通常也存在漏洞，尤其是在检查MOXA和Schneider Electric设备时发现的漏洞。
建立适当的威胁模型很困难
近年来，信息和自动化系统的复杂化一直持续不断，并且向计算机物理系统过渡的过程涉及计算资源和物理设备的集成。系统变得如此复杂，以至于无法使用分析方法预测网络攻击的全部后果。我们不仅在谈论对组织的经济损害，而且还在谈论评估技术人员和行业可以理解的后果-例如，如果我们谈论的是石油和天然气或石化产品，则电力短缺或其他类型的产品。在这种情况下如何确定优先级？
实际上，我们认为，所有这些已成为俄罗斯网络培训和网络多边形概念出现的先决条件。
网络多边形的技术部分如何运作
网络多边形是虚拟基础架构的复合体，可复制各个行业中企业的典型基础架构。它使您可以“训练猫”-锻炼专家的实践技能，而不会出毛病，而网络培训会损害实际企业的活动。大型信息安全公司正在开始开发此领域，您可以以游戏格式查看此类网络培训，例如在“积极黑客日”。
对于常规的大型企业或公司，典型的网络基础结构方案是一组相当标准的服务器，工作计算机和各种网络设备，以及一组典型的公司软件和信息安全系统。行业网络多边形完全相同，加上严重的细节使虚拟模型复杂化。
我们如何使网络多边形更加接近现实
从概念上讲，网络多边形工业部分的外观取决于为复杂的网络物理系统建模的所选方法。有三种主要的建模方法：
这些方法各有其优点和缺点。在不同情况下，根据最终目标和现有约束，可以应用上述三种建模方法。为了使这些方法的选择形式化，我们编译了以下算法：
可以以图表的形式表示不同建模方法的优缺点，其中纵坐标是研究领域的覆盖范围（即所提出的建模工具的灵活性），而横坐标是精度。建模（与实际系统的对应程度）。结果几乎是一个Gartner广场：
因此，就仿真精度和灵活性之比而言，所谓的硬件在环（HIL）仿真是最佳的。在这种方法的框架内，网络物理系统部分使用真实设备建模，部分使用数学模型建模。例如，变电站可以由真实的微处理器设备（继电器保护终端），自动控制系统的服务器和其他辅助设备表示，并且可以使用计算机模型来实现在电网中发生的物理过程。好的，我们已经决定了建模方法。之后，有必要开发网络多边形的体系结构。为了使网络培训真正有用，必须在测试现场尽可能准确地重新创建实际复杂的网络物理系统的所有互连。因此，在我们国家，就像在现实生活中一样，网络多边形的技术部分由多个相互作用的层次组成。让我提醒您，一个典型的工业网络基础结构包括最低级别，所谓的“主要设备”属于最低级别-根据行业，这是光纤，电网还是其他东西。它交换数据并由专业的工业控制器控制，而工业控制器又是SCADA系统。一个典型的工业网络基础设施包括最低级别，所谓的“主要设备”属于最低级别，取决于行业，这是光纤，电网或其他东西。它交换数据并由专业的工业控制器控制，而工业控制器又是SCADA系统。一个典型的工业网络基础设施包括最低级别，所谓的“主要设备”属于最低级别，取决于行业，这是光纤，电网或其他东西。它交换数据并由专业的工业控制器控制，而工业控制器又是SCADA系统。
我们从能源领域开始创建网络polgon的工业部分，现在这对我们来说是一个优先事项（计划包括石油，天然气和化学工业）。
显然，不能通过使用真实对象进行全面建模来实现一级设备的级别。因此，在第一阶段，我们开发了电力设施和电力系统相邻部分的数学模型。该模型包括变电站的所有电力设备-电力线，变压器等，并通过特殊的RSCAD软件包执行。以这种方式创建的模型可以由实时计算系统处理-它的主要特征是真实系统中的处理时间与模型中的处理时间是完全相同的-也就是说，如果在真实网络中短路持续2秒钟，则模拟量将完全相同在RSCAD中）。我们得到了电力系统的“实时”部分，根据所有物理定律运行，甚至对外部影响做出反应（例如，启动继电保护和自动化端子，断开开关等）。使用专用的自定义通信接口可以实现与外部设备的交互，该接口允许数学模型与控制器级别和自动化系统级别进行交互。
但是，可以使用实际的工业设备来创建电力设施的控制器和自动控制系统的最高层（尽管必要时，我们也可以使用虚拟模型）。在这两个级别上，分别有控制器和自动化设备（继电器保护和自动化设备，PMU，USPD，仪表）和自动化控制系统（SCADA，OIC，AIISKUE）。全面建模可以极大地提高模型的真实性，并因此可以进行网络演练，因为团队将与具有自己的特征，漏洞和漏洞的实际工业设备进行交互。
在第三阶段，我们使用专用的硬件和软件接口以及信号放大器来实现模型的数学和物理部分的交互。
结果，基础架构看起来像这样：
垃圾填埋场的所有设备都以与实际的网络物理系统相同的方式相互交互。更具体地说，在构建此模型时，我们使用了以下设备和计算设施：
- 计算复杂的RTDS，以“实时”执行计算；
- 运营商的自动化工作站（AWS），带有已安装的软件，用于对变电站的工艺过程和主要设备进行建模；
- 配有通讯设备，继电保护和自动化终端以及APCS设备的机柜；
- 放大器机柜设计用于放大RTDS模拟器的数模转换器板的模拟信号。每个放大器机柜包含一组不同的放大单元，用于为所研究的继电器保护端子生成电流和电压输入信号。输入信号被放大到继电器端子正常工作所需的电平。
这不是唯一可能的解决方案，但在我们看来，这是进行网络演练的最佳选择，因为它反映了绝大多数现代变电站的真实架构，同时可以对其进行定制以准确地重建特定对象的某些功能。
最后
网络垃圾填埋是一个巨大的项目，仍然有很多工作要做。一方面，我们研究西方同事的经验，另一方面，我们必须依靠与俄罗斯工业企业合作的经验做很多事情，因为不仅不同的行业，而且不同的国家都有其特定的特点。这是一个既复杂又有趣的话题。
尽管如此，我们坚信，当俄罗斯航空业也了解网络培训的必要性时，我们已经达到了他们所说的“成熟度”。这意味着该行业很快将拥有自己的最佳实践，我们希望加强安全级别。
作者
奥列格·阿尔汉格尔斯克，首席分析师和工业网络多边形项目的方法论。
工业网络多边形项目首席工程师Dmitry Syutov;
工业网络多边形项目负责人，生产中的ICS网络安全实验室副负责人Andrey Kuznetsov