© 1995-2022 Компания «Инфосистемы Джет»
Цифровое предприятие - угрозы интернета вещей IIoT и их решение
Программное обеспечение Программное обеспечение

Какие ИБ-угрозы несет в себе IIoT.

Главная>Программное обеспечение>Цифровое предприятие: предугадываем угрозы, предотвращаем катастрофы
Программное обеспечение Тема номера

Цифровое предприятие: предугадываем угрозы, предотвращаем катастрофы

11.12.2019

Посетителей: 156

Просмотров: 159

Время просмотра: 2 мин.

Авторы

Автор
Анна Олейникова В прошлом - менеджер по развитию Центра программных решений компании «Инфосистемы Джет»

Какие ИБ-угрозы несет в себе IIoT?

 

Как ML-технологии помогают анализу данных телеметрии IIoT?

 

Чем опасен червь Mirai и как его можно остановить?

 

 

Глобальная роботизация в наших домах набирает обороты: срабатывающие по отпечатку пальца дверные замки, интеллектуальные пылесосы и холодильники, чайники с доступом через приложение, умное освещение — у любого человека есть несколько подобных устройств. И их количество непрерывно растет.

 

В бизнесе все аналогично: Industrial Internet of Things подключает к автоматизированным системам управления производством (АСУ ТП) конвейеры, плавильные домны, прокатные станы и склады, что позволяет компаниям внедрить data-driven-подход к принятию решений для максимизации прибыли и снижения затрат.

 

По прогнозу Gartner, к 2021 году число IIoT-устройств увеличится в 2 раза. Только представьте количество датчиков (точки доступа, контроллеры, датчики температуры, влажности, CO2, освещения и т.д.) и объем поступающих данных в разных отраслях промышленности — от текстильной до сталеплавильной и топливно-энергетической.

 

Как следствие, возникают цифровые предприятия, ведь IIoT дает возможность автоматического управления инфраструктурой в режиме реального времени. В скором времени в одном кабинете или цехе будет уже не 5–10 датчиков — их число может вырасти до 1000, и управлять ими можно будет через облачные сервисы. Но у каждой розы есть шипы. С одной стороны, мы переводим автоматизацию технологических процессов на новый уровень, а с другой — получаем дополнительные точки отказа. Развитие IIoT приведет к расширению модели угроз.

Мир Интернета вещей и до его экспоненциального роста сталкивался с такими атаками, как Mirai и Reaper. К примеру, червь Mirai в свое время распространился через облачные сервисы на сотни тысяч устройств. Результатом его атак с использованием зараженных ресурсов стало отключение интернет‑инфраструктуры африканской республики Либерия.

 

Однако потребители точек доступа, видеокамер, контроллеров по-прежнему уделяют безопасности недостаточно внимания: используют стандартные пароли, не обновляют с должной регулярностью прошивки. Совместите это с простотой взлома и уже упоминавшимся повсеместным распространением IIoT-устройств — и получите не самые радужные перспективы.

 

Один из возможных негативных сценариев ― заражение части оборудования в офисе компании или на предприятии и его последующее использование злоумышленниками. Решения, способные предотвратить подобные угрозы, крайне востребованы. К таким продуктам можно отнести разработанную нами систему мониторинга устройств, выявляющую аномалии поведения оборудования. Система базируется на технологиях машинного обучения и решает ключевую задачу мониторинга IIoT — анализирует множество вариантов функционирования оборудования, причем разных классов. Решение определяет и фиксирует его эталонное поведение и контролирует отклонения от нормы.

 

В случае классического мониторинга существуют ограничения, касающиеся используемых типов устройств. Предзаданные правила работы системы ограничивают набор определяемого оборудования: есть правило ― определим устройство, нет правила ― устройство неизвестно. Машинное обучение находит решение. Чтобы определить оборудование и его поведение, ML-система анализирует пакеты сетевого трафика: его запросы и ответы. Как правило, для обучения модели достаточно «прослушивания» IIoT-устройств предприятия в течение нескольких месяцев.

В случае классического мониторинга есть ограничения, касающиеся используемых типов устройств. Предзаданные правила работы ограничивают набор определяемого оборудования: есть правило — определим устройство, нет правила — устройство неизвестно.

Для каждого устройства в системе формируется набор статистических и функциональных признаков. Статистические признаки — это средние скорость и размер пакетов, интенсивность установления соединений и др. Функциональные правила описывают изменение поведения устройства (последовательность изменения какого-либо параметра во времени, характер сетевого взаимодействия и т.д.). Совокупность признаков определяет класс устройства.

 

Приведем примеры функциональных признаков:

 

  • Последовательность сигналов.
  • Установление того, что устройство, работавшее в дискретном режиме, стало отправлять поток сетевых данных.
  • Маршруты сетевых соединений устройства. Пример ИБ-угрозы: широковещательные запросы с видеопанели явно подозрительны и могут говорить о попытке распространения вируса.
  • Зависимость изменения объема трафика от времени. Помните шляпу из «Маленького принца» Экзюпери? Казалось бы, при чем здесь она? А дело в том, что наша система строит диаграмму изменения объема трафика устройства (входящего или исходящего) по времени: от небольших значений во время простоя и до реальной нагрузки в течение рабочей смены. На диаграмму скользящего среднего (рис. 1) накладываются легитимные колебания показателя объема трафика. На рис. 2 можно увидеть, как это выглядит в нашей системе.
Рисунок 1. Диаграмма скользящего среднего
Рисунок 2. «Пульс» трафика — скриншот системы

Система в том числе позволяет зафиксировать аномальный скачок исходящего объема данных, который может являться следствием утечки или использования вычислительных ресурсов злоумышленниками.

Работа системы в боевом режиме

 

После проведения обучения система переводится в режим «обнаружение». Данные промышленных устройств анализируются на соответствие эталонному поведению в режиме реального времени.

 

При возникновении нештатной ситуации (флуктуация в трафике, выход за пределы допустимых колебаний, подозрительное поведение устройства и пр.) система фиксирует аномалию и сообщает об этом оператору. Незамедлительно принимаются меры для устранения выявленного отклонения — например, оборудование перемещают в карантин (отключают от сети).

 

Отметим, что при изменении какого-либо технологического процесса на предприятии доработка системы не требуется. Достаточно переобучить математические модели в новом сетевом окружении и заново перевести решение в режим эксплуатации. Не нужно перестраивать систему мониторинга и при изменении, к примеру, таблиц маршрутизации. Система работает с копией трафика, не вмешиваясь в производственные процессы предприятия.

Выявление аномалий поведения IIoT-устройств позволяет сформировать дополнительный вектор защиты, что в итоге выводит компанию на новый уровень обеспечения ИБ.

Уведомления об обновлении тем – в вашей почте

Инновации всегда содержат в себе риски

Зачем классическому интегратору открывать представительство в Сколково

Эволюция средств защиты от атак

Первое известное мне упоминание идеи и принципов работы сигнатур для обнаружения сетевых атак датировано 1987 г.

«Самое важное — умение приземлить разработки на реальное производство»

Зачем ОМК собственный НИИ? Почему специалистов по инновациям не существует? Как перейти от точечной работы со стартапами к системной?

Индустрия 4.0. ИТ-тренды в промышленности

О состоянии цифровизации в отечественной промышленности, ее драйверах, ограничениях и перспективах мы сегодня говорим с экспертами, имеющими практический опыт решения данных вопросов. В нашем круглом столе участвуют Сергей Андронов, директор Центра сетевых решений, Антон Павленко, руководитель Дирекции вычислительных комплексов, сервиса и аутсорсинга, Илья Воронин, директор Центра проектирования вычислительных комплексов, Владимир Молодых, руководитель Дирекции по разработке и внедрению программного обеспечения, и Андрей Янкин, директор Центра информационной безопасности, компания «Инфосистемы Джет».

«Этим можно заниматься бесконечно»: переход на data-driven в «СИБУРе»

Почему не стоит создавать цифрового двойника для отдельного участка производства? Зачем нужен «спецназ» по работе с данными? Почему заводы «СИБУРа» пока не смогут работать без людей?

Решили самостоятельно внедрять IIoT? Не удивляйтесь, но вас могут посадить

Почему IIoT-проекты нужно обязательно отдавать на аутсорсинг? Что будет, если поставить оборудование, работающее на нелицензированных частотах 5? Почему IIoT — это лишь начало пути?

Спасибо!
Вы подписались на обновления наших статей
Предложить
авторский материал





    Спасибо!
    Вы подписались на обновления наших статей
    Подписаться
    на тему







      Спасибо!
      Вы подписались на обновления наших статей
      Оформить
      подписку на журнал







        Спасибо!
        Вы подписались на обновления наших статей
        Оформить
        подписку на новости







          Спасибо!
          Вы подписались на обновления наших статей
          Задать вопрос
          редактору








            Оставить заявку

            Мы всегда рады ответить на любые Ваши вопросы

            * Обязательные поля для заполнения

            Спасибо!

            Благодарим за обращение. Ваша заявка принята

            Наш специалист свяжется с Вами в течение рабочего дня