Sigurnost na informacii vo sistemi za nadzor na energija: tehnologii i aplikacii
Системите за надзор на енергијата извршуваат основни задачи како реално време мониторинг на мрежата, дијагностика на грешки и оптимизација на операцијата. Нивната безбедност директно влијае на стабилноста и надежноста на системите за енергија. Со дубокото применување на технологии како облакот (cloud computing), Интернет на работни (IoT) и големи податоци во индустријата за енергија, информатичките ризици за системите за надзор на енергијата се постепено зголемуваат.
Овие системи се соочуваат со многу предизвици, вклучувајќи напредни персистентни претставувања (APT), напади на откажување на служба (DoS) и инфекции со malware. Традиционалните архитектури за безбедност се оселеджуваат на једнослойни стратегии за одбрана, кои се тешко да бидат ефективни против комплексни методи на напад. Необходимо е да се прифати архитектура на длабока одбрана и да се подобрат капацитетите на системот за одбијање на напади преку многослојни механизми за безбедност.
1. Состав и функции на системите за надзор на енергијата
Системот за надзор на енергијата е целостна платформа за управување со автоматизација на енергијата, главно користена за реално време мониторинг, контрола и оптимизација на оперативната состојба на системите за енергија. Системот типично се состои од центар за надзор, уреди за собирање и пренесување на податоци, интелигентни терминали, комуникациони мрежи и апликативски софтвер. Центарот за надзор, како главен хаб, е одговорен за процесирање на огромни количини на податоци за енергија, анализа на оперативната состојба и извршување на команди за контрола.
Уредите за собирање на податоци, како Remote Terminal Units (RTUs) и Intelligent Electronic Devices (IEDs), добиваат клучни параметри како стрuja, напон и фреквенција преку сензори и интерфејси за комуникација, и пренесуваат податоците до главниот контролен систем. Комуникационите мрежи типично користат протоколи како IEC 61850, DNP3 и Modbus за осигурување на ефикасноста и надежноста на пренесувањето на податоци.
Апликацијата софтвер вклучува функции како управување на диспечери, прогноза на наглас, проценка на состојба и дијагностика на грешки, поддршка на оптимизација на работа на мрежата и рано определување на нередовни состојби. Современи системи за надзор на енергијата широко прифаќаат технологии како облакот, ивица на пресметување и вештачка интелигенција (AI) за подобрување на капацитетите за обработка на податоци и ефикасноста на одлуки. Системот вклучува диспечери на енергија, контрола на опрема и анализа на податоци, и неговата безбедност директно се однесува на стабилноста на мрежата и националната енергетска безбедност.
2. Систем за заштита на информацијата на системите за надзор на енергијата
2.1 Стратегија за заштита на мрежата
Стратегијата за заштита на мрежата за системите за надзор на енергијата треба да изгради систем на длабока одбрана од повеќе нивоа, вклучувајќи физичка изолација, безбедност на протоколите, мониторинг на трафик и активна одбрана, за ефективно справување со ризици од злонамерни напади и кражба на податоци. Прво, во однос на мрежната архитектура на системите за надзор на енергијата, треба да се прифати стратегија за зонирање на мрежата за да се изолира физички или логички контролната мрежа, управувачката мрежа и канцелариска мрежа за намалување на површината за напад, и треба да се користи технологија за едносмерен пренос на податоци за да се осигура дека клучните сигнални команди не можат да се менат.
Второ, за безбедноста на комуникациски протоколи, треба да се користат технологии за шифрирање на тунели (како TLS 1.3) за заштита на безбедноста на пренесувањето на податоци за критични протоколи како IEC 61850 и DNP3, и треба да се воведе MACsec (IEEE 802.1AE) за да се даде шифрирање на слојот на врска, спречувајќи напади на човек-во-средина и кражба на податоци. Во однос на мониторингот на трафик, треба да се испорача систем за детекција на аномален трафик базиран на AI (AI-IDS), користејќи алгоритми за длабоко учење за анализа на карактеристики на пакети и детекција на аномални понашања, подобрувајќи точноста на детекцијата над 99%.
Исто така, во комбинација со систем за заштита од DDoS, преку механизми за ограничување на темпот и автоматско превземање, може да се намали влијанието на нападите со трафик на диспечерските центрови за енергија. Наконто, во однос на активната одбрана, може да се прифати Архитектура на нулта доверба (ZTA) за непрекинува аутентификација и контрола на пристап за сите трафикови, спречувајќи ширењето на интерни претставувања, со тоа подобрувајќи мрежната безбедност на системите за надзор на енергијата.
2.2 Аутентификација на идентитет и контрола на пристап
Системот за аутентификација на идентитет и контрола на пристап на системите за надзор на енергијата мора да осигура легитимноста на корисниците, уредите и апликациите, спречувајќи неауторизиран пристап и злоупотреба со привилегии. Од една страна, во однос на аутентификацијата на идентитет, треба да се прифати механизам за аутентификација на цифрови сертификати базиран на Инфраструктура на јавни клучеви (PKI), доделувајќи уникални идентификатори на идентитет на технички персонал, компоненти на SCADA системот и интелигентни терминални уреди.
Преку двоствариот аутентификационен фактор (2FA), еднократни лозинки (OTP) и технологии за биометриска идентификација (како отпечатоци на прсти или препознавање на радница), може да се подобри безбедноста на верификацијата на идентитет. Во случаи на далечен пристап, може да се прифати протоколот FIDO2 за поддршка на аутентификација без лозинка, намалувајќи ризикот од кражба на учетни податоци. Од друга страна, во однос на контролата на пристап, треба да се имплементира комбиниран механизам на контрола на пристап според ролите (RBAC) и контрола на пристап според атрибути (ABAC) за да се осигура дека корисничките привилегии строго се поклопуваат со нивните одговорности, спречувајќи неауторизиран пристап.
На пример, техничкиот персонал за поддршка на подстанциите може да има пристап само до одредена опрема, додека диспечерите се ограничуваат на мониторинг на податоци и издажување на команди. За да се дополнително префинета стратегијата за пристап, може да се прифатат механизми за динамичка регулирање на привилегии, прилагодувајќи привилегии во реално време според моделите на корисничко понашање и променливи на околина (како географска локација, тип на уред итн.). Треба да се користи систем за аудит на пристап (SIEM) за да се запишуваат сите барања за пристап и да се комбинираат техники на машинско учење за анализа на аномални пристапи, подобрувајќи капацитетот за детекција на интерни безбедносни претставувања, осигурувајќи сигурно и стабилно функционирање на системите за надзор на енергијата.
2.3 Безбедност на податоци и технологии за шифрирање
Безбедноста на податоци на системите за надзор на енергијата вклучува фази како складирање, пренесување, процесирање и резервно копирање на податоци. Мора да се прифатат алгоритми за шифрирање со висока јачина и механизми за контрола на пристап за да се осигура конфиденцијалноста, целоста и достапноста на податоците.
Прво, во фазата на складирање на податоци, треба да се користи AES-256 за шифрирање на чувствителни податоци на мир, и треба да се комбинира Shamir's Secret Sharing (SSS) за да се раздели и складираат клучеви, спречувајќи јавување на податоци на една точка. Второ, во процесот на пренесување на податоци, треба да се користи протоколот TLS 1.3 за да се изврши end-to-end шифрирање на комуникацијата помеѓу SCADA системите и интелигентните терминали, и треба да се прифати Elliptic Curve Cryptography (ECC) за да се подобри ефикасноста на шифрирањето и да се намали потрошувачкиот ресурс.
Наконто, за да се осигура целоста на податоците, треба да се користи функцијата за хеш SHA-512 за да се генерираат вредности за хеш, и треба да се комбинира HMAC за верификација на податоци за да се спречат напади со промена. За безбедноста на складирањето на податоци, може да се примени технологија за непроменливо складирање на логови базирана на блокчейн, користејќи умни договори за автоматско применување на контрола на пристап и подобрување на поверливоста на податоците. Во однос на резервното копирање, треба да се прифати стратегијата 3-2-1: складирање на најмалку три копии на податоци, на две различни медиуми, со една копија складирана во центар за поправка на катастрофи, за да се подобри капацитетот за вратување на податоци и да се осигура дека системот за енергија може брзо да се враќа во нормална работа после напад.
2.4 Безбедносен мониторинг и детекција на инвазија
Безбедносниот мониторинг и детекцијата на инвазија се ключни компоненти на системот за одбрана на системите за надзор на енергијата, идентификувајќи злонамерни напади преку анализа на мрежниот трафик и логовите на системот во реално време, подобрувајќи безбедноста на мрежата.
Прво, на мрежното ниво, треба да се испорача систем за детекција на инвазија (IDS) базиран на Deep Packet Inspection (DPI), комбиниран со модели за анализa на аномалии на трафик (како K-Means класификација или LSTM рекурзивни невронски мрежи), за да се детектираат напади како DDoS и отровање на податоци, контролирајќи процентот на лажни позитивни под 5%.
Второ, на нивото на мониторинг на безбедноста на хостовите, треба да се прифати систем за детекција и одговор на крајната точка (EDR) базиран на анализa на понашање, користејќи User and Entity Behavior Analytics (UEBA) за да се анализираат моделите на понашање на корисници и уреди, детектирајќи аномални логинови, злоупотреба со привилегии и имплантација на malware.
Наконто, за SCADA системите, може да се воведе технологија за детекција на аномалии на индустриски протоколи, користејќи Finite State Machines (FSM) за да се анализира легитимноста на командите од протоколи како Modbus и IEC 104, спречувајќи напади со злоупотреба на протоколи. Во однос на аудит на логови и корелационна анализа, треба да се прифати систем за управување со информација и настани за безбедност (SIEM) за да се агрегираат податоци за логови и да се изврши реално време анализа преку ELK архитектура, подобрувајќи капацитетите за визуелизација на безбедноста.
2.5 Емергентен одговор и управување со безбедносни инциденти
Емергентниот одговор и управувањето со безбедносни инциденти на системите за надзор на енергијата треба да ги покрие идентификација на претставувања, обработка на инциденти, анализа на проследливост и механизми за поправка, за да се намали влијанието на безбедносните инциденти на функционирањето на системот за енергија. Прво, во фазата на идентификација на претставувања, на база на SOAR платформа, треба да се автоматски анализираат настани за тревога, и да се оценат типови на напади, комбинирајќи информација за претставувања, подобрувајќи точноста на класификација на настани.
Второ, во фазата на обработка на инциденти, треба да се прифати механизам за одговор со нивоа, класифицирајќи безбедносни инциденти во нивоа I до IV, и да се применат соодветни мерки според нивото на инцидент, како изолација на инфицирани терминали, блокирање на злонамерни IP адреси, или превземање на резервни контролни центри. За напредни персистентни претставувања (APT), може да се прифати стратегија за активна одбрана базирана на тргачи на претставувања, користејќи YARA правила за да се детектираат скриени backdoors и да се подобри процентот на детекција на напади. Наконто, во фазата на анализа на проследливост, преку ретроспектива на настани и анализа на докази, комбинирајќи го графот на Cyber Kill Chain, треба да се реконструира патеката на напад, идентификувајќи тактики, техники и процедури (TTPs) на нападачите, давајќи основа за последователно јачање на безбедноста.
3. Примена на кључни технологии за информатичка безбедност
3.1 Решение за проследливост на енергетски податоци базирано на блокчейн
Технологијата на блокчейн, со своите карактеристики на децентрализација, непроменливост и проследливост, нуди решение за висока повеќето за проследливост на податоци за системите за надзор на енергијата. Во управувањето со енергетски податоци, целоста и повеќето на податоците се клучни проблеми. Традиционалните централизирани бази на податоци имаат ризици од јавување на податоци на една точка и промена. Блокчейнот користи технологија на распределена водичка за да осигура безбедноста на складирањето на податоци.
Прво, на слојот за складирање на податоци, се користат хеш ланци за шифрирање и складирање на податоци за надзор на енергијата, со секој податок генерирајќи јединствена вредност за хеш поврзана со претходниот блок, осигурувајќи временска согласност и непроменливост на податоците. Второ, на слојот за споделување на податоци, се користи архитектура на консорциумска ланка, поставувајќи центрови за диспечери, подстанции и регулаторни органи како членови на консорциум, верификувајќи автентичноста на податоците преку механизми за консензус на толеранција на бискави грешки, осигурувајќи дека податоците можат да се менат само од авторизирани членови, подобрувајќи безбедноста на податоците.
Наконто, во однос на контролата на пристап до податоци, се комбинира механизам за управување со привилегии базиран на умни договори, дефинирајќи правила за пристап за да се осигура дека корисничките привилегии се ограничуваат со политики, спречувајќи неауторизиран пристап до податоци. На пример, преку испорачување на умни договори преку фреймворкот Hyperledger Fabric, техничкиот персонал е ограничен до прашања за оперативната состојба на опремата, додека регулаторните органи можат да пристапат до целосни историски податоци, осигурувајќи приватност и спазвање на податоците.
3.2 Заштита на информацијата за системите за енергија во околини на 5G и ивица на пресметување
Интегрираната примената на 5G и ивица на пресметување во системите за надзор на енергијата подобрува ефикасноста на обработување на податоци и капацитетот за реално време одговор, но исто така внесува нови предизвици за информатичката безбедност. Прво, во однос на безбедноста на комуникацијата, бидејќи мрежите 5G користат архитектура на мрежно исечување, потребни се независни политики за безбедност за различни услуги за трафик за да се спречат напади преку исечување.
Треба да се прифати технологија за end-to-end шифрирање (E2EE), комбинирана со Елиптички кривици Дигитален потпис Алгоритам (ECDSA), за да се осигура дека податоците за диспечерирање на енергијата не се менат или краднат при пренесување. Второ, во однос на безбедноста на ивица на пресметување, треба да се деплоира Trusted Execution Environment (TEE), како Intel SGX или ARM TrustZone, за да се безбедно изолираат ивицни точки и да се спречат злонамерни кодови да интрузираат во критична контролна логика.
Треба да се прифати механизам за децентрализирана аутентификација на идентитет (DID), управувајќи привилегии за пристап на ивицните уреди преку децентрализирани идентификатори (Decentralized Identifier) за да се намали ризикот од кражба на учетни податоци. Наконто, за проблемот со ивицните уреди кои се чувствителни на физички напади, треба да се прифати технологија за Hardware Root of Trust (RoT) за да се изврши дистанционско проверка на целост на фирменото програмски обеспечение, осигурувајќи дека уредите не биле злонамерно менати.
4. Заклучок
Технологиите за информатичка безбедност во системите за надзор на енергијата играат важна улога во осигурување на стабилна работа на мрежата и спречување на кибер напади. Конструирајќи многослојен систем за заштита и прифатувајќи кључни технологии како блокчейн, 5G, ивица на пресметување и алгоритми за шифрирање, може да се подобри безбедноста на податоците, капацитетите за мрежна одбрана и точноста на контролата на пристап.
Комбинирајќи ги интелигентните системи за надзор и механизми за емергентен одговор, може да се постигне реално време детекција на претставувања и брз одговор, намалувајќи безбедносните ризици. Со развојот на дигитализација и интелигенција на мрежата, технологиите за информатичка безбедност ќе продолжат да се развиваат за да се спречат все повеќе комплексни методи на кибер напади, осигурувајќи дека системите за надзор на енергијата работат безбедно, стабилно и ефикасно во долг рок.
