CC BY
44
Использование тестовых информационно-
технических воздействий для аудита защищенности информационных систем железнодорожного транспорта
Г. Е. Смирнов ООО «Корпорация «Интел групп» Санкт-Петербург, Россия science.cybersec@yandex. т
Аннотация. Рассмотрены основные информационные и автоматизированные системы железнодорожного транспорта (ЖТ). Показано, что эти системы являются объектами критической информационной инфраструктуры. В соответствии с законодательством Российской Федерации такие объекты должны быть подключены к центрам Государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА), которые осуществляют аудит состояния их информационной безопасности (ИБ). Показано, что существующие центры ГосСОПКА, осуществляющие аудит состояния ИБ информационных систем ЖТ не предусматривают такой функциональности, как оценку защищенности информационных систем тестовыми информационно-техническими воздействиями (ИТВ), аналогичными ИТВ, которые прогнозируются к применению злоумышленниками. Обоснована целесообразность применения такой разновидности аудита, а также предложен вариант совершенствования типовой архитектуры центра ГосСОПКА за счет включения в его состав автоматизированного комплекса тестирования защищенности информационных систем ЖТ. Представлены предложения по составу и порядку функционирования такого автоматизированного комплекса тестирования.
Ключевые слова: информационная безопасность, аудит, тестирование, информационно-техническое воздействие, критическая информационная инфраструктура,
железнодорожный транспорт.
Введение
В 2017 году в России принят федеральный закон №187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» [1]. Данный закон устанавливает перечень объектов, относящихся к критической информационной инфраструктуре (КИИ) РФ, а также обязует владельцев объектов КИИ разработать комплекс мер, направленных на обеспечение их информационной безопасности (ИБ). При этом к КИИ отнесен и железнодорожный транспорт (ЖТ), в связи с чем актуальным является формирование новых предложений по повышению полноты аудита ИБ информационных систем (ИС) ЖТ как объекта КИИ.
д.т.н. С. И. Макаренко Санкт-Петербургский Федеральный исследовательский центр Российской академии наук, Санкт-Петербургский государственный электротехнический университет «ЛЭТИ» имени В. И. Ульянова (Ленина) Санкт-Петербург, Россия mak-serg@yandex. т
Целью статьи является обоснование такого перспективного направления аудита ИБ, как тестирование ИС ЖТ тестовыми информационными-техническими воздействиями (ИТВ), которые соответствуют предполагаемым ИТВ злоумышленника. Такое тестирование, по замыслу авторов, дополнит стандартные мероприятия аудита ИС ЖТ и повысит полноту оценки ИБ. При этом отметим, что стандартные мероприятия аудита ИС ЖТ, как правило, не включают практические элементы проверки состояния ИБ и проводятся путем проверки соответствия спецификациям и требованиям руководящих документов по обеспечению ИБ.
Анализ ИС ЖТ как объекта критической
информационной инфраструктуры и задач обеспечения ее защищенности
Анализ работ по составу, структуре и функционированию ИС ЖТ [2-4], а также работ по оценке ИБ ИС ЖТ [5-8], показывает следующее. Вопросами обеспечения ИБ ИС ЖТ занимаются следующие отечественные специалисты: Ада-дуров С. Е., Диасамидзе С. В., Корниенко А. А., Сидак А. А., Котенко И. В., Саенко И. Б., Чечулин А. А., Чернов А. В., Бутакова М. А., а также другие ученые. В их работах рассмотрены нижеуказанные особенности ИС ЖТ, значимые для обеспечения их ИБ как объекта КИИ РФ.
ИС ЖТ относится к классу больших корпоративных систем и предназначена для решения как информационных задач, так и задач управления отраслью. Главная цель применения ИС ЖТ состоит в информационном обеспечении технологических процессов и автоматизации принятия решений в сфере ЖТ в интересах достижения максимальной эффективности его работы в условиях рыночной экономики.
ИС ЖТ представляется в виде двухуровневой структуры. Первый уровень — обеспечивающий, представлен информационной средой и инфраструктурой информатизации, второй уровень — прикладной, реализуется путем использования информационных технологий (ИТ), объединенных в ИТ-комплексы, решающих конкретные задачи управления и автоматизации функций ЖТ.
Исследование выполнено в рамках госбюджетной темы НИР СПИИРАН № 0073-2019-0004.
Информационная среда — информация, реализованная в системе баз данных (БД), которая обеспечивает функционирование объектов, органов управления и отдельных пользователей ЖТ. Информационная среда формирует единое информационное пространство (ЕИП), в котором все абоненты и пользователи ЖТ обеспечены необходимой им информацией.
Инфраструктура информатизации ЖТ включает в себя:
1) главный вычислительный центр (ГВЦ) ЖТ, объединяющий и поддерживающий БД для проведения общесетевой маркетинговой, финансовой и экономической деятельности и управления перевозочным процессом;
2) информационно-вычислительные центры (ИВЦ) ЖТ на дорогах, реализующие комплексы информационных услуг для управлений и отделений дорог;
3) сети связи и телекоммуникаций, устройства автоматического съема информации с подвижного состава, вычислительное оборудование, обеспечивающее выполнение операций формирования, сбора, передачи, хранения, обработки и представления информации.
Отдельные ИТ, обеспечивающие автоматизацию основных функций ЖТ, составляют ИТ-комплексы:
1) управление перевозочным процессом;
2) управление маркетингом, экономикой и финансами;
3) управление инфраструктурой ЖТ;
4) управление непроизводственной сферой.
Рассмотрим эти комплексы более подробно.
1. ИТ-комплекс управления перевозочным процессом обеспечивает информационное сопровождение в области грузовых и пассажирских перевозок. Основными функциями по управлению грузовыми перевозками являются организация поездо- и грузопотоков на сети, диспетчерское управление поездной работой, управление локомотивными и вагонными парками, грузовой и коммерческой работой, обслуживание грузовой клиентуры, разработка графика движения поездов, норм эксплуатационной работы, планирование перевозок и прочее. Основными функциями по управлению пассажирскими перевозками являются организация обслуживания пассажиров и информационно-справочный сервис, планирование пассажирских перевозок в международном и внутридорожном сообщении, управление нормативами, тарифами внутренних и международных перевозок, организация эксплуатации и ремонта парка пассажирских вагонов, управление багажными и почтовыми перевозками, организация билетно-кассовых операций и др. В рамках этого ИТ-комплекса функционируют:
- автоматизированная система оперативного управления перевозками (АСОУП) — основной элемент ИТ-комплекса управления перевозочным процессом;
- система резервирования и продажи билетов («Экспресс-2»);
- единые центры диспетчерского управления (ЕЦДУ);
- система учета, контроля дислокации, анализа использования и регулирования вагонного парка (ДИСПАРК);
- автоматизированная система контроля за использованием и продвижением контейнеров (ДИСКОН);
- автоматизированная система фирменного транспортного обслуживания (АКС ФТО);
- автоматизированные системы управления сортировочными (АСУ СС) и грузовыми (АСУ ГС) станциями и контейнерными пунктами (АСУ КП);
- автоматизированная система централизованной подготовки и оформления перевозочных документов (ЭТРАН);
- сетевая интегрированная Российская информационно-управляющая система (СИРИУС) и др.
2. ИТ-комплекс управления маркетингом, экономикой и финансами охватывает финансовую деятельность, бухгалтерский учет, маркетинговую деятельность и тарифную политику, управление развитием отрасли ЖТ, технической политикой и научно-исследовательскими и опытно-конструкторскими работами, нормативно-правовую работу, управление эксплуатационными расходами и др. ИТ этого комплекса ориентированы на формирование заказов, увеличение доходов, укрепление конъюнктурного положения за счет сохранения и увеличения доли ЖТ на транспортном рынке страны, на стабильное обеспечение денежных и платежных ресурсов, минимизацию затрат, на совершенствование экономической работы и инвестиционной политики. В рамках комплекса функционируют и внедряются ИТ управления финансовой деятельностью, ресурсами, способы расчетов за грузовые перевозки, взаиморасчетов за пользование вагонами и др. Основу этого ИТ-комплекса составляет единый комплекс автоматизированной системы управления финансовой деятельностью (ЕК АСУФР).
3. ИТ-комплекс управления инфраструктурой ЖТ представлен базовыми информационными технологиями, охватывающими управление эксплуатационной работой пассажирского хозяйства, хозяйств пути и сооружений, информатизации и связи, хозяйства энергоснабжения, локомотивного и вагонного хозяйств, управление проектированием и капитальным строительством объектов инфраструктуры, управление ремонтно-восстановительными работами и работами в чрезвычайных условиях, управление промышленностью ЖТ, материально-техническим снабжением и т. д. В составе этого ИТ-комплекса функционируют различные автоматизированные системы управления технологическими процессами (АСУ ТП): управления путевым хозяйством, устройствами энергоснабжения, сигнализации, средствами информатизации и связи.
4. ИТ-комплекс информационных технологий управления непроизводственной сферой железнодорожного транспорта представляет собой совокупность функций, обеспечивающих управление персоналом, учебными заведениями, жилищно-коммунальным хозяйством, рабочим снабжением, здравоохранением.
Основными факторами, актуализирующими значимость вопросов обеспечения ИБ применительно к ИС ЖД, являются следующие [7]:
- интеграция в единые ИТ-комплексы подавляющего числа критических функций, связанных с управлением движением поездов и жизнедеятельности ЖТ;
- постоянное усложнение программного обеспечения (ПО) и оборудования, используемых в ИТ-комплексах управления ЖТ.
- существующая практика удаленной настройки и технического обслуживания элементов ИС ЖТ, осуществле-
ния разработчиками и поставщиками оборудования, входящего в состав элементов информационной инфраструктуры железнодорожного транспорта.
- интенсивное совершенствование потенциальными злоумышленниками средств и способов информационно-технического воздействия (ИТВ), методов социальной инженерии для нанесения ущерба, а также участившиеся попытки их применения в противоправных целях и конкурентной борьбе.
- риск сокрытия попыток или фактов нарушения штатного функционирования ИС ЖТ со стороны эксплуатирующих подразделений.
- временное вынужденное привлечение к созданию элементов ИТ-комплексов ЖТ, в том числе АСО УП и различных АСУ ТП, производителей и поставщиков программно-аппаратных средств обработки, хранения и передачи информации и применение неконтролируемых программно-аппаратных решений.
Помимо вышеуказанных факторов, отметим следующее. ЖТ является одним из ключевых элементов транспортной инфраструктуры РФ, обеспечивая до 88 % грузооборота страны (для сравнения: доля автомобильного транспорта составляет 4 %, а водного - 8 %) [2]. В связи с этим ЖТ является одной из основных целей для профессиональных нарушителей — сил информационных операций («кибервойска») недружественных стран, при ведении информационного противоборства. В связи с этим, при обострении геополитической обстановки в мире, информационная инфраструктура и ИС ЖТ РФ могут оказаться объектом воздействия не только непрофессиональных нарушителей, но и профессиональных действий кибервойск [8].
В рамках формирования нормативно-методической базы обеспечения ИБ ИС ЖТ российскими специалистами в 2015 г. в инициативном порядке были разработаны и представлены на рассмотрение в международную рабочую группу COLPOFER (международная организация, созданная в 1981 году, объединяющая службы безопасности европейских железных дорог и подразделения полиции на ЖТ) два проекта нормативных документов (НМД) [7]:
- НМД-1: «Основные положения защиты информационной инфраструктуры железнодорожного транспорта от компьютерных атак» («Guidelines for protection of railway transport information infrastructure against cyber attacks»);
- НМД-2: «Основные положения порядка использования сил и средств предупреждения и обнаружения компьютерных атак на информационную инфраструктуру железных дорог» («Guidelines for using forces and tools to prevent and detect computer attacks against rail information infrastructure»).
НМД-1 является базовым рекомендательным документом, определяющим направления работ по созданию системы защиты ИС ЖТ от компьютерных атак и общие меры по их предупреждению, обнаружению, анализу и ликвидации последствий. В документе представлены исходные данные и основные направления решения указанных задач [7]:
- дана общая характеристика ИИ ЖТ, идентифицированы основные элементы ИИ ЖТ, подверженные компьютерным атакам, проведена типизация возможных компьютерных атак на элементы ИС ЖТ;
- определены основные принципы защиты ИС ЖТ от компьютерных атак;
- представлен облик системы защиты ИС ЖТ от компьютерных атак;
- определены этапы создания системы защиты ИС ЖТ от компьютерных атак и определены мероприятия по поддержке защищенности на требуемом уровне.
В НМД-2 раскрываются [7] :
- привлекаемые силы и средства, необходимые для защиты ИС ЖТ от компьютерных атак, порядок и основные принципы их использования;
- способы обнаружения и предупреждения компьютерных атак, характерные для элементов ИС ЖТ, с использованием таких компонентов, как ложные информационные системы и ресурсы, а также с использованием «традиционных» систем и средств защиты ИС от компьютерных атак;
- порядок использования дополнительных компонентов для обнаружения и предупреждения компьютерных атак.
Наличие подобных руководящих документов значительно упрощает аудит ИБ ИС ЖТ как объекта КИИ и формирует систему показателей оценки ИБ, объектов мониторинга, а также предполагаемые действия нарушителя.
Дальнейшее развитие НМД в области ИБ ЖТ произошло в 2017 г., когда в России был принят закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» [1]. Данный закон отнес ЖТ к КИИ и обязал разработать комплекс мер, направленных на обеспечение ИБ ИС ЖТ, а для аудита эффективности этих мер подключить ИС ЖТ к соответствующим центрам Государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА).
Анализ системы аудита защищенности ИС ЖТ в рамках системы ГосСОПКА
Для реализации аудита состояния ИБ и защиты КИИ в РФ с начала 2010-х годов были начаты работы по созданию системы ГосСОПКА, основанной на централизованном использовании взаимоувязанных систем обнаружения вторжений IDS (Intrusion Detection System), систем предотвращения вторжений IPS (Intrusion Prevention System), систем предотвращения утечек конфиденциальных данных DLP (Data Leak Prevention), а также систем управления инцидентами информационной безопасности SIEM (Security Information and Event Management).
В составе ГосСОПКА создается система государственных и частных центров, которые обслуживают субъекты КИИ. Такой центр берет на себя часть функций безопасности, необходимых для противодействия ИТВ на ИС субъектов КИИ. К таким функциям, как правило, относятся:
- выявление и анализ уязвимостей, обслуживаемых ИС, координация действий по устранению выявленных уязви-мостей;
- анализ событий, регистрируемых компонентами обслуживаемых ИС и средств их защиты, для поиска признаков ИТВ, направленных на эти системы;
- координация действий по реагированию на обнаруженный ИТВ; а если атака привела к инциденту — по ликвидации последствий такого инцидента;
- расследование инцидентов и ретроспективный анализ ИТВ, которые не удалось предотвратить;
- информирование персонала обслуживаемых ИТВ, проведение киберучений.
Для выполнения вышеуказанных функций центры ГосСОПКА тесно интегрируются с защищаемыми ИС — они получают полные инвентаризационные данные ИС, контролируют их защищенность и анализируют события, регистрируемые их средствами защиты. При этом данные центры не заменяют собой собственные системы защиты ИС, так как владельцы объектов КИИ должны обеспечивать их ИБ самостоятельно, а центр ГосСОПКА своей деятельностью лишь компенсирует возможные ошибки.
В работе [9] проведен анализ роли ГосСОПКА в нормативных документах о безопасности КИИ. Показано, что владельцы значимых объектов КИИ обязаны выполнять требования ФСТЭК РФ по обеспечению безопасности этих объектов (ч. 3 ст. 9 ФЗ-187) и создавать системы защиты этих объектов (ст. 10 ФЗ-187). В соответствии с требованиями ФСТЭК (Приказ ФСТЭК России № 239 от 25.12.2017 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры РФ») в системе защиты должны быть реализованы базовые меры, многие из которых непосредственно направлены на противодействие ИТВ злоумышленников [10]:
- инвентаризация компонентов информационных систем и анализ их уязвимостей;
- контроль и анализ сетевого трафика;
- мониторинг безопасности;
- антивирусная защита;
- предотвращение вторжений;
- реагирование на инциденты и т.п.
При этом владелец имеет право самостоятельно решать, как именно будут реализованы эти меры защиты (ч. 1 ст. 9 ФЗ-187). Более того, эти меры защиты являются всего лишь базовыми, то есть необходимыми, но не достаточными для обеспечения безопасности объекта КИИ. В соответствии с существующими процедурами, владелец объекта КИИ должен самостоятельно провести анализ угроз, актуальных для объекта, самостоятельно определить, как должны быть реализованы базовые меры защиты, а если их окажется недостаточно для защиты от угроз — самостоятельно усилить базовые меры защиты или разработать дополнительные [9]. В таких условиях именно аудит ИБ является тем основным инструментом, который позволяет оценить уровень угроз для объекта КИИ и уровень его защищенности.
Ядром центра ГосСОПКА является SIEM-система (рис. 1). Именно на нее возлагаются основные задачи по аудиту ИБ — сбору данных о событиях в ИС ЖТ, их анализу и выявлению инцидентов. Вопросам повышения эффективности SEIM-систем при аудите состояния ИБ посвящены работы [11-16]. В них показано, что основными перспективными направлениями совершенствования SEIM-систем аудита ИБ ИС ЖТ являются:
- повышение полноты и своевременности сбора данных о событиях в элементах и подсистемах ИС ЖТ;
- повышение интеллектуальности обработки данных о событиях в элементах и подсистемах ИС ЖТ, в том числе
за счет использования технологий многомерного корреляционного анализа и технологий искусственного интеллекта;
- формирование положительной обратной связи в системе за счет своевременного обнаружения ИТВ и оперативного формирования сценариев защиты от него;
- моделирование действий злоумышленников с автоматической генерацией на основе результатов моделирования как высоковероятных сценариев действий злоумышленников, так и адекватных и эффективных сценариев защиты;
- повышение интеллектуальности человеко-машинного интерфейса системы в части адаптации визуализации представления информации о событиях в системе по отношению к системе зрительного восприятия человека-оператора с целью повышения информативности и эргономич-ности системы.
Вместе с тем вышеуказанные направления повышения эффективности SIEM-систем в составе центров ГосСОПКА не устраняют один из главных, по мнению авторов, недостатков этих систем — центры ГосСОПКА по своему принципу функционирования ориентированы на сбор данных об уже произошедших инцидентах ИБ, а также на сбор доказательств для оперативного исследования этих инцидентов.
Такая ориентированность центров ГосСОПКА на фиксирование инцидентов постфактум обусловлена общими недостатками существующих подходов к аудиту состояния ИБ ИС.
Проведенный анализ современных теоретических подходов в области аудита ИБ, представленный в работах [17, 18], показал, что задачей аудита является проверка и оценивание ИС на соответствие критериям, которые определяют требования к уровню ИБ. В настоящее время в теории аудита ИБ сложилась ситуация, при которой большинство работ в этой области ориентировано на исследование экспертного аудита и оценки соответствия преимущественно на основе моделей анализа рисков, либо на основе анализа стандартов ИБ. При этом тестирование и, в особенности, тестирование специальными ИТВ, является недостаточно изученной областью аудита. Имеются отдельные работы, например [19-21], которые посвящены такому типу тестирования как «тест на проникновение», однако данные работы носят в большей степени практический, нежели теоретический характер.
Как показано в [17, 18], тестирование является более гибким инструментом аудита чем, например, мероприятия оценки соответствия, так как его проведение не ограничено рамками действующих стандартов и регламентов. Это позволяет выбирать более широкий диапазон средств и способов тестирования, а также быть более избирательным в направлении достижения цели аудита. Например, проводить тестовое исследование ИС КИИ к угрозам и выявлять уязвимости, еще не описанные в базах угроз и уязвимостей. При тестировании ИС КИИ целесообразно сформировать и придерживаться системного подхода к проведению тестирования специальными средствами и способами ИТВ. При этом такое тестирование необходимо рассматривать как основную форму контроля устойчивости объектов КИИ к целенаправленным ИТВ сил информационных операций недружественных стран [8].
1п(е11есШа1 Technologies оп ТгатроН,. 2020. N0 3
Информационно-технические воздействия
_сг
По виду
Одиночные
Групповые
По характеру поражающих свойств
Высокоточные
Комплексные
По типу
I
Перехват
Несанкционированный доступ
Разрушающие
I Манипулирующие I
Блокирующие
Отвлекающие
По цели использования
Атакующие
По ориентированности на свойства информационной безопасности
Нарушение конфиденциальности информации
Нарушения целостности информации
Нарушения доступности информации
г~
Психологические воздействия на пользователей информационной системы
Обеспечивающие
Оборонительные
Разведка
Техническая разведка
Компьютерная разведка 1—| в телекоммуникационной части информационного пространства
Разведка на основе открытых источников в семантической части информационного пространства
Воздействия для преодоления систем защиты
Выявляющие
Блокирующие
Контр-атакующие
Отвлекающие
( "
Отвлекающие — на ложные информационные ресурсы
V_^
Противодействие обеспечивающим воздействиям
Комбинированные
X
По способу реализации
Алгоритмические
Программные
Аппаратные
I
Физические
_I
Электромагнитные
Радиоэлектронные
Электрические
^ Оптико-электронные
Оптические
Акустические
Гидро-акустические
Радиационные
Биологические
На основе новых и других физических принципов
Рис. 1. Классификация ИТВ, предназначенных для тестирования объектов КИИ
Обобщая вышесказанное, можно сделать вывод о том, что функционал существующих центров ГосСОПКА, предназначенных для аудита ИБ ИС ЖТ, не позволяет реализовать превентивный практический аудит состояния ИБ этих ИС к воздействию прогнозируемых ИТВ нарушителей. Способом устранения этого недостатка является, во-первых, разработка теоретических основ тестирования ИС КИИ тестовыми ИТВ с целью практического аудита состояния их ИС, во-вторых, внесение в состав центров ГосСОПКА автоматизированного комплекса оценки тестирования ИС КИИ.
Предложения по использованию тестовых
информационно-технических воздействий для
аудита защищенности ИС ЖТ Тестирование — проверка выполнения требований к системе при помощи наблюдения за ее работой в конечном наборе специально выбранных ситуаций [18].
Отдельное мероприятие по исследованию системы или способ изучения процессов ее функционирования называется тестом [18].
Тестовое ИТВ — воздействие на информационный ресурс, информационную систему, информационную инфраструктуру, на технические средства или на программы, решающие задачи получения, передачи, обработки, хранения
Пассивные
и воспроизведения информации с целью выявить уязвимости объекта на которое производится воздействие [18].
Общая классификация мероприятий, способов и средств тестирования, используемых при аудите ИБ, представлена на рисунке 1.
В настоящее время сложился подход к тестированию, когда подавляющая часть процессов оценивания безопасности системы основывается на анализе соответствия формальным требованиям по ИБ, а также путем тестирования на основе моделей. Вместе с тем, требования по ИБ, как правило, формулируется по итогам анализа инцидентов, что приводит к тому, что они регулярно отстают от современных возможностей и практики действий нарушителей.
Работы [22-24], посвященные вопросам экспериментального тестирования реальных ИС, рассматривают такие способы и сценарии исключительно как «тестирование на проникновение» или как «инструментальный аудит», при этом проведение такого типа аудита в отечественной практике не регламентируется каким-либо системным или хотя бы общетеоретическим подходом. В некоторых отечественных работах по тестированию на проникновение акцент делается на необходимости выявления наиболее «зрелищных» уязвимостей или тех уязвимостей, устранение которых принесет максимальные экономические выгоды компании, выполняющей аудит.
Вместе с тем прослеживается устойчивая тенденция к наращиванию доли тестов, которые проводятся в форме
экспериментальных исследований реального объекта или его прототипа. Особенно это характерно при тестировании ПО. Как правило, для этого используются виртуальные машины, на которых осуществляется контролируемое выполнение тестируемого ПО. Развитие такого подхода к тестированию, что привело к разработке так называемых кибер-полигонов, которые виртуализируют как аппаратное, так и ПО распределенной ИС и позволяют отработать защиту от различных известных ИТВ. Сейчас это направление активно развивается.
Анализ [25, 26] зарубежных и отечественных методик тестирования на проникновение (OSSTMM, ISSAF, OWASP, PTES, NIST SP 800-115, BSI, PETA, методика от Positive Technology, методика от Digital Security), показывает, что они содержат достаточно развитые методические приемы проведения аудита ИБ, но не содержат исчерпывающего обоснования параметров и критериев выбора тестовых ИТВ, особенно применительно к тестированию объектов КИИ.
Обобщая вышесказанное, можно сделать следующие выводы:
1. Для повышения полноты и адекватности аудита состояния ИБ ИС к прогнозируемым ИТВ злоумышленников, целесообразно включить в состав соответствующих центров ГосСОПКА автоматизированные комплексы тестирования защищенности объекта КИИ, что показано на рисунке 2.
ПРОЦЕССЫ (ФУНКЦИИ)
Анализ данных о событиях безопасности (мониторинг)
Информационные ресурсы (ИР)
Анализ угроз безопасности информации
Обнаружение компьютерных атак
^ АРМ
¡^СЕРВЕРЬ <Р
КОННЕКТОРЫ SIEM
% сзи <0
Щ тко <Р
Копия трафика
Сводная, статистическая и детальная информация о состоянии защищенности ИР
- ViPNet IDS . _ _ . / Сведения \
- Secret Net Studio { о6 атаках )
- Континент ДА
, WAF - SolidWall WAF
1 AntiDDOS — Inoventica invGuard
Взаимодействие с НКЦКИ НКЦКИ
ЯА
ЦЕНТР МОНИТОРИНГА ГОССОПКА
цсод
Центр сбора обработки данных
ПРОЦЕССЫ (ФУНКЦИИ)
Прием сообщений о возможных инцидентах от пользователей ИР
ЦУИ
Центр управления инцидентами
Информация об уязвимостях
Сведения об ИР (состав СВТ, ПО, параметры ПО)
Данные об инцидентах, защищенности ИР
Средства антивирусной защиты и обнаружение целевых атак
— Kaspersky Security Center
— Kaspersky Endpoint Security
— Dr. Web Enterprise Security Suite
— Kaspersky Anti Targeted Attack
— Kaspersky Secure Mail Gateway
Повышение квалификации персонала ИР
!
Регистрация инцидентов ?
Формирование группы
реагирования ?
Контроль процессов расследования инцидентов
Т
Управление инцидентами
Средства анализа защищенности (САЗ)
> САЗ RedCheck
Автоматизированный комплекс тестирования защищенности объекта КИИ
Документация
Техническое задание
Модель угроз безопасности информации
Проектная документация
Эксплуатационная документация
Организационно-распорядительная документация
Выявление уязвимостей ИР
Инвентаризация ИР
ПЕРСОНАЛ
• Л •
А* А
А А
Обучение
Пользователи ИР
а^а Персонал Центра мониторинга ГосСОПКА
(оператор, аналитик, специалист, руководитель)
Поддержка
Рис. 2. Предлагаемая модернизация типовой архитектуры центра ГосСОПКА на основе добавления автоматизированного комплекса тестирования защищенности объекта КИИ
2. Целесообразно провести научно-теоретические исследования в интересах формирования методик выбора тестовых ИТВ с учетом особенностей ИС, подвергающейся тестированию, полноты тестирования, и затрат ресурсов на него.
Внесение в состав центра ГосСОПКА автоматизированного комплекса тестирования защищенности позволит решить одну из основных задач обеспечения защищенности ИС КИИ — задачу превентивного аудита, когда уязвимость ИС к определенному типу ИТВ будет обнаруживаться до того, как это ИТВ будет использовано злоумышленниками.
Автоматизированный комплекс тестирования защищенности ИС КИИ должен включать следующие основные программные модули (рис. 3):
- базу данных ИТВ, которые потенциально могут быть реализованы злоумышленниками против конкретного ИС КИИ;
- базу сценариев проведения конкретных ИТВ;
- программный модуль, обеспечивающий автоматизированное формирование модели оценки защищенности объекта КИИ на основе данных, вводимых операторами центра ГосСОПКА;
- программный модуль, обеспечивающий автоматический расчет и формирование множества тестового набора ИТВ, оптимизированного по критерию «полнота тестирования/стоимость тестирования».
- программный модуль, обеспечивающий автоматизированное формирование множества ИТВ для тестирования ИС КИИ на основе данных, вводимых операторами центра ГосСОПКА.
г
1
Модель угроз
Расчет и формирование множества ИТВ для тестирования объекта КИИ
Требования по ИБ
Показатели безопасности
Расчет и формирование множества путей тестирования, ранжированного по показателю «эффективность / стоимость»
Процесс тестирования
Успешно реализованные ИТВ
Выявленные
уязвимости
Потенциально предотвращенный ущерб
т о о о
о. х >• ^
т ш
ГО
^ 3
х ^
■г 3
о 8
Рекомендации по комплексу мер направленных на повышение уровня защищенности объекта КИИ
Совершенствование ■ системы защиты на объекте КИИ
Рис. 3. Схема функционирования автоматизированного комплекса тестирования защищенности ИС КИИ
Вышеуказанные модули на практике позволяют обеспечить превентивный аудит состояния ИБ ИС КИИ центром ГосСОПКА путем его тестирования выбранными ИТВ и заблаговременное принятие мер по повышению уровня защищенности ИС КИИ до того, как злоумышленники смогут причинить ей невосполнимый критический ущерб. Именно такое превентивное обеспечение ИБ ИС и необходимо ЖТ, что также подтверждается выводами других ученых в работах [10, 27] в области обеспечения ИБ ИС ЖТ как объекта КИИ.
Заключение
В статье рассмотрены ИС ЖТ. Обоснована необходимость обеспечения их защиты как объекта КИИ, а также проведен краткий анализ нормативных документов, регла-
ментирующих обеспечение ИБ информационной инфраструктуры ЖТ. Показано, что существующие способы аудита состояния ИБ ИС ЖТ осуществляются соответствующими центрами системы ГосСОПКА. При этом существующая архитектура центров ГосСОПКА не предусматривает такой функциональности, как практический аудит ИБ ИС тестовыми ИТВ, аналогичными ИТВ, которые прогнозируются к применению злоумышленниками. Обоснована целесообразность применения такого аудита, а также предложен вариант совершенствования типовой архитектуры центра ГосСОПКА на основе включения в его состав автоматизированного комплекса тестирования защищенности ИС КИИ. Представлены предложения по составу и порядку функционирования такого автоматизированного комплекса тестирования.
Литература
1. О безопасности критической информационной инфраструктуры Российской Федерации: федеральный закон от 26.07.2017 № 187-ФЗ.
2. Исаков О. А. Вопросы совершенствования АСУ железнодорожного транспорта. — Саарбрюккен: Lambert Academic Publishing, 2012. — 224 с.
3. Санькова Г. В. Информационные технологии в перевозочном процессе: Учебное пособие / Г. В. Санькова, Т. А. Одуденко; Министерство транспорта Российской Федерации; ФГБОУ ВПО ДВГУПС. — Хабаровск: Изд-во ДВГУПС, 2012. — 111 с.
4. Информационные системы железнодорожного транспорта: Рабочая программа и задание на контрольную работу с методическими указаниями для студентов специальности 230101 «Вычислительные машины, комплексы, системы и сети (ЭВМ)» / сост. Г. В. Самме. — М.: РГОТУПС, 2008. — 30 с.
5. Котенко И. В. Анализ защищенности инфраструктуры железнодорожного транспорта на основе аналитического моделирования / И. В. Котенко, А. А. Чечулин, Д. С. Левшун // Защита информации. Инсайд. 2017. № 6 (78). С. 48-57.
6. Определение уровня безопасности значимых объектов критической информационной инфраструктуры железнодорожного транспорта / А. П. Глухов, В. В. Василенко, А. А. Си-дак [и др.] // Двойные технологии. 2020. № 1 (90). С. 84-88.
7. Международная кибербезопасность на железнодорожном транспорте: методологические подходы и нормативная методическая база / С. Е. Ададуров, С. В. Диа-самидзе, А. А. Корниенко, А. А. Сидак // Вестник научно-исследовательского института железнодорожного транспорта (Вестник ВНИИЖТ). 2015. № 6. С. 9-15.
8. Макаренко С. И. Информационное оружие в технической сфере: терминология, классификация, примеры // Системы управления, связи и безопасности. 2016. № 3. С. 292-376. DOI: 10.24411/2410-9916-2016-10311.
9. Кузнецов Д. ГосСОПКА: что такое, зачем нужна и как устроена. — 02.04.2019 // Anti-Malware.
URL: http://www.anti-malware.ru/analytics/Technology_Analysis/ gossopka-what-is-it-how-it-works (дата обращения 25.11.2019).
10. О безопасности критической информационной инфраструктуры / С. Е. Ададуров, А. П. Глухов, А. А. Корниенко, Е. И. Белова // Автоматика, связь, информатика. 2020. № 4. С. 2-4. DOI: 10.34649/AT.2020.4.4.001.
11. Котенко И. В. Об архитектуре многоуровневой интеллектуальной системы обеспечения информационной безопасности автоматизированных систем на железнодорожном транспорте / И. В. Котенко, И. Б. Саенко // Методы и технические средства обеспечения безопасности информации: Материалы 23-й научно-технической конференции (Санкт-Петербург, 30 июня—03 июля 2014 г.). — СПб.: Изд-во Политехнического ун-та, 2014. — С. 97-98.
12. Котенко И. В. Предложения по созданию многоуровневой интеллектуальной системы обеспечения информационной безопасности автоматизированных систем на железнодорожном транспорте / И. В. Котенко, И. Б. Саенко // Вестник Ростовского государственного университета путей сообщения. 2013. № 3 (51). С. 69-79.
13. Построение многоуровневой интеллектуальной системы обеспечения информационной безопасности для автоматизированных систем железнодорожного транспорта /
И. В. Котенко, И. Б. Саенко, А. В. Чернов, М. А. Бутакова // Труды СПИИРАН. 2013. № 7 (30). С. 7-25.
14. Kotenko I. Intelligent Security Analysis of Railway Transport Infrastructure Components on the Base of Analytical Modeling / I. Kotenko, A. Chechulin, M. Bulgakov // Proceedings of the Second International Scientific Conference «Intelligent Information Technologies for Industry» (IITI'17) (Varna, 14-16 September 2017), Vol. 2 / A. Abraham, S. Kovalev, et al. (eds) // Advances in Intelligent Systems and Computing, Vol. 680. Pp. 178-188. DOI: 10.1007/978-3-319-68324-9_20.
15. Чернов А. В. Методы распределенных рассуждений в интеллектуальных системах ситуационной осведомленности об инцидентах в критической информационной инфраструктуре / А. В. Чернов, М. А. Бутакова, В. Д. Ве-рескун // Сборник докладов XXI Международной конференция по мягким вычислениям и измерениям (SCM'2018) (Санкт-Петербург, 23-25 мая 2018 г.). — СПб.: Изд-во СПбГЭТУ «ЛЭТИ», 2018. — Т. 1. — С. 618-621.
16. Управление безопасностью кибер-физических систем на основе оперативного ситуационного информирования об инцидентах / М. А. Бутакова, А. В. Чернов, П. С. Шевчук, С. М. Ковалев // Труды Ростовского государственного университета путей сообщения. 2016. № 5. С. 14-16.
17. Макаренко С. И. Аудит информационной безопасности: основные этапы, концептуальные основы, классификация мероприятий // Системы управления, связи и безопасности. 2018. № 1. С. 1-29.
DOI: 10.24411/2410-9916-2018-10101.
18. Макаренко С. И. Аудит безопасности критической инфраструктуры специальными информационными воздействиями: Монография. — СПб.: Наукоемкие технологии, 2018. — 122 с.
19. Скабцов Н. Аудит безопасности информационных систем. — СПб.: Питер, 2018. — 272 с. — (Библиотека программиста).
20. Penetration Testing. Procedures and Methodologies. — USA: Cource Techology: EC-Council Press, 2010. — 256 p.
21. Metasploit. The Penetration Tester's Guide / D. Kennedy, J. O'Gorman, D. Kearns, M. Aharoni. — San Francisco: No Starch Press, 2011. — 328 p.
22. Cardwell K. Building Virtual Pentesting Labs for Advanced Penetration Testing. Second Revised Edition. — Birmingham: Packt Publishing Ltd., 2016. — 524 p.
23. Makan K. Penetration Testing with the Bash shell. — Birmingham: Packt Publishing Ltd., 2014. — 150 p.
24. Baloch R. Ethical Hacking and Penetration Testing Guide. — CRC Press: Auerbach Publications, 2017. — 531 p.
25. Богораз А. Г. Сравнительный анализ методик оценки межсетевых экранов / А. Г. Богораз, О. Ю. Пескова // Интернет и современное общество: Сборник научных статей. Труды XVI Всероссийской объединенной научной конференции (IMS'2013) (Санкт-Петербург, 9-11 октября 2013 г.). — СПб.: НИУ ИТМО, 2013. — С. 202-209.
26. Klima T. PETA: Methodology of Information Systems Security Penetration Testing // Acta Informatica Pragensia. 2016. Vol. 5, No. 2. Pp. 98-117. DOI: 10.18267/j.aip.88.
27. Методологические аспекты упреждающего управления информационной безопасностью железнодорожного транспорта / А. П. Глухов, Д. Н. Бирюков, В. В. Василенко [и др.] // Двойные технологии. 2019. № 3 (88). С. 86-92.
The Use of Test Information and Technical Impacts for Security Audit of Information Systems
of Railway Transport
G. E. Smimov Intel Group Corporation LLC
Saint Petersburg, Russia [email protected]
Abstract. The article discusses the main information and automated systems of railway transport (RT). It is shown that these systems are objects of a critical information infrastructure. In accordance with the legislation of the Russian Federation, such facilities must be connected to the centers of the State system for detection, prevention and elimination of the consequences of computer attacks (SSDPECCA), which audit the state of their information security (IS). It is shown that the existing GosSOPKA centers that audit the state of information security of information systems of RT do not provide for such functionality as an assessment of the security of information systems by test information and technical impacts (ITI), similar to ITV, which are predicted for use by intruders. The expediency of using this kind of audit has been substantiated, and a variant of improving the standard architecture of the SSDPECCA center has been proposed by including an automated complex for testing the security of information systems of the RT into its composition. Proposals are presented on the composition and procedure for the operation of such an automated testing complex.
Keywords: information security, audit, testing, information technology impact, critical information infrastructure, rail transport.
References
1. On the Security of the Critical Information Infrastructure of the Russian Federation: Federal Law from July 26, 2017 No. 187-FZ [O bezopasnosti kriticheskoy informatsionnoy in-frastruktuiy Rossiyskoy Federatsii: federal'nyy zakon ot 26.07.2017 № 187-FZ].
2. Isakov O. A. Questions of improving the automated control system of railway transport [Voprosy sovershenstvovaniya ASU zheleznodorozhnogo transporta], Saarbrücken, Lambert Academic Publishing, 2012, 224 p.
3. Sankova G. V., Odudenko T. A. Information technologies in the transportation process: Study Guide [Infor-matsionnyye tekhnologii v perevozochnom protsesse: Uchebnoe posobie], Khabarovsk, Far Eastern State Transport University, 2012, 111 p.
4. Summe G. V. Information systems of railway transport: Work program and test task with methodological instructions [Informatsionnye sistemy zheleznodorozhnogo transporta: Rabochaya programma i zadanie na kontrol'nuyu rabotu s metodicheskimi ukazaniyami], Moscow, Russian State Open Technical University of Railway Transport, 2008, 30 p.
Grand PhD S. I. Makarenko Saint Petersburg Federal Research Center of the Russian Academy of Sciences Saint Petersburg Electrotechnical University 'LETI' Saint Petersburg, Russia [email protected]
5. Kotenko I. V., Chechulin A. A., Levshun D. S. Security Analysis of Railway Transport Infrastructure on the Base of Analytical Modeling [Analiz zashchishchennosti infrastruktury zheleznodorozhnogo transporta na osnove analiticheskogo modelirovaniya], Zasita informacii. Inside. [Zashchita infor-matsii. Insayd], 2017, No. 6 (78), Pp. 48-57.
6. Gluhov A. P., Vasilenko V. V., Sidak A. A., et al. Determination of The Security Level of Significative Objects of Critical Information Infrastructure of Railway Transport [Opredele-nie urovnya bezopasnosti znachimykh ob''ektov kriticheskoy informatsionnoy infrastruktury zheleznodorozhnogo transporta], Dual technology [Dvoynyye tekhnologii], 2020, No. 1 (90), Pp. 84-88.
7. Adadurov S. E., Diasamidze S. V., Kornienko A. A., Sidak A. A. International Cybersecurity on Railway Transport: Methodological Approaches and Normal Procedural Framework [Mezhdunarodnaya kiberbezopasnost' na zheleznodorozh-nom transporte: metodologicheskie podkhody i normativnaya metodicheskaya baza], VNIIZHT Scientific Journal [Vestnik nauchno-issledovatel'skogo instituta zheleznodorozhnogo transporta (Vestnik VNIIZhT)], 2015, No. 6, Pp. 9-15.
8. Makarenko S. I. Information Weapon in Technical Area — Terminology, Classification and Examples [Informatsion-noe oruzhie v tekhnicheskoy sfere: terminologiya, klassi-fikatsiya, primery], Systems of Control, Communication and Security [Sistemy upravleniya, svyazi i bezopasnosti], 2016, No. 3, Pp. 292-376. DOI: 10.24411/2410-9916-2016-10311.
9. Kuznetsov D. GosSOPKA: what is, why is it needed and how is it arranged [GosSOPKA: chto takoye, zachem nuzhna i kak ustroyena], Anti-Malware. Published at April 02, 2019. Available at: http://www.anti-malware.ru/analytics/ Technology_Analysis/gossopka-what-is-it-how-it-works (accessed 25 Nov 2019).
10. Adadurov S. E., Glukhov A. P., Kornienko A. A., Be-lova E. I. Principles of Railway Transport Critical Information Infrastructure Security Supporting [O bezopasnosti kritich-eskoy informatsionnoy infrastruktury], Automation, Communication, and Informatics [Avtomatika, svyaz', informatika], 2020, No. 4, Pp. 2-4. DOI: 10.34649/AT.2020.4.4.001.
11. Kotenko I. V., Saenko I. B. On the Architecture of a Multilevel Intelligent Information Security System for Automated Systems in Railway Transport [Ob arkhitekture mnog-ourovnevoy intellektual'noy sistemy obespecheniya infor-matsionnoy bezopasnosti avtomatizirovannykh sistem na
zheleznodorozhnom transporte], Methods and technical means of information security: Proceedings of the XXIII Scientific and Technical Conference [Metody i tekhnicheskie sredstva obespecheniya bezopasnosti informatsii: Materialy XXIII nauchno-tekhnicheskoy konferentsii], St. Petersburg, June 30 — July 03, 2014), St. Petersburg, Peter the Great St. Petersburg Polytechnic University, 2014, Pp. 97-98.
12. Kotenko I. V., Saenko I. B. Proposals on Creation of a Multi-Level Intelligent Information Security System of Automated Systems on Railway Transport [Predlozheniya po soz-daniyu mnogourovnevoy intellektual'noy sistemy obespecheniya informatsionnoy bezopasnosti avtomatizirovannykh sis-tem na zheleznodorozhnom transporte], Vestnik RGUPS [Vest-nik Rostovskogo gosudarstvennogo universiteta putey soob-shcheniya], 2013, No. 3 (51), Pp. 69-79.
13. Kotenko I. V., Saenko I. B., Chernov A. V., Butakova M. A. The Construction of a Multi-Level Intelligent Information Security System for Automated Systems of Railway Transport [Postroenie mnogourovnevoy intellektual'noy sistemy obespecheniya informatsionnoy bezopasnosti dlya avtomatizirovannykh sistem zheleznodorozhnogo transporta], SPIIRAS Proceedings [Trudy SPIIRAN], 2013, No. 7 (30), Pp. 7-25.
14. Kotenko I., Chechulin A., Bulgakov M. Intelligent Security Analysis of Railway Transport Infrastructure Components on the Base of Analytical Modeling. In: Abraham A., Ko-valev S., et al. (eds) Proceedings of the Second International Scientific Conference «Intelligent Information Technologies for Industry» (IITI'17), Varna, September 14-16, 2017). Vol. 2. Advances in Intelligent Systems and Computing, Vol. 680. Pp. 178-188. DOI: 10.1007/978-3-319-68324-9_20.
15. Chernov A. V., Butakova M. A., Vereskun V. D. Methods of Distributed Reasoning for Intelligent Systems of Situa-tional Awareness About Incidents in Critical Information Infrastructure [Metody raspredelennykh rassuzhdeniy v intel-lektual'nykh sistemakh situatsionnoy osvedomlennosti ob intsi-dentakh v kriticheskoy informatsionnoy infrastrukture], Collection of Reports of the XXI International Conference on Soft Computing and Measurement (SCM'2018) [Sbornik dokladov XXIMezhdunarodnoy konferentsiya po myagkim vychisleniyam i izmereniyam (SCM*2018)], St. Petersburg, May 23-25, 2018, Saint Petersburg, Saint Petersburg Electrotechnical University "LETI", 2018, Vol. 1, Pp. 618-621.
16. Butakova M. A., Chernov A. V., Shevchuk P. S., Ko-valev S. M. Cyber-Physical Systems Security Management Based on Operational Situational Incidents Information [Up-ravlenie bezopasnost'yu kiber-fizicheskikh sistem na osnove operativnogo situatsionnogo informirovaniya ob intsidentakh], Proceedings of the Rostov State Transport University [Trudy
Rostovskogo gosudarstvennogo universiteta putey soob-shcheniya], 2016, No. 5, Pp. 14-16.
17. Makarenko S. I. Audit of Information Security — the Main Stages, Conceptual Framework, Classification of Types [Audit informatsionnoy bezopasnosti: osnovnye etapy, kontseptual'nye osnovy, klassifikatsiya meropriyatiy], Systems of Control, Communication and Security [Sistemy upravleniya, svyazi i bezopasnosti], 2018, No. 1, Pp. 1-29.
DOI: 10.24411/2410-9916-2018-10101.
18. Makarenko S. I. Security audit of critical infrastructure with special information impacts: Monography [Audit bezopasnosti kriticheskoy infrastruktury spetsial'nymi infor-matsionnymi vozdeystviyami: Monografiya], Saint Petersburg, Naukoemkie tekhnologii Publishers, 2018, 122 p.
19. Skabtsov N. Audit of information systems security [Audit bezopasnosti informatsionnykh sistem], Saint Petersburg, Piter Publishing House, 2018, 272 p.
20. Penetration Testing. Procedures and Methodologies. USA, Cource Techology, EC-Council Press, 2010, 256 p.
21. Kennedy D., O'Gorman J., Kearns D., Aharoni M. Metasploit. The Penetration Tester's Guide. San Francisco, No Starch Press, 2011, 328 p.
22. Cardwell K. Building Virtual Pentesting Labs for Advanced Penetration Testing. Second Revised Edition. Birmingham, Packt Publishing Ltd., 2016, 524 p.
23. Makan K. Penetration Testing with the Bash shell. Birmingham, Packt Publishing Ltd., 2014, 150 p.
24. Baloch R. Ethical Hacking and Penetration Testing Guide. CRC Press, Auerbach Publications, 2017, 531 p.
25. Bogoraz A. G., Peskova O. Yu. Comparative Analysis of Methods for Evaluating Firewalls [Sravnitel'nyy analiz metodik otsenki mezhsetevykh ekranov], Internet and Modern Society: Proceedings of the XVI All-Russian Joint Scientific Conference (IMS'2013) [Internet i sovremennoe obshchestvo: Sbornik nauchnykh statey. Trudy XVI Vserossiyskoy ob"edinennoy nauchnoy konferentsii (IMSS2013)], Saint Petersburg, October 9-11, 2013, Saint Petersburg, ITMO University, 2013, Pp. 202-209.
26. Klima T. PETA: Methodology of Information Systems Security Penetration Testing, Acta Informatica Pragensia, 2016, Vol. 5, No. 2, Pp. 98-117. DOI: 10.18267/j.aip.88.
27. Glukhov A. P., Biryukov D. N., Vasilenko V. V., et al. Methodological Aspects of Proactive Management of Railroad Transport Information Security [Metodologicheskie aspekty uprezhdayushchego upravleniya informatsionnoy bezopas-nost'yu zheleznodorozhnogo transporta], Dual technology [Dvoynyye tekhnologii], 2019, No. 3 (88), Pp. 86-92.
