Кто участвует в обеспечении информационной безопасности в компании ржд

Обновлено: 05.07.2024

Российские железные дороги - своеобразное "государство в государстве" по объему решаемых задач и по месту в экономике нашей страны. О том, какое место в деятельности Департамента безопасности ОАО "РЖД" занимают вопросы информационной безопасности (ИБ), что представляет собой система обеспечения ИБ и каковы приоритетные направления в развитии системы защиты информации ОАО "РЖД", редакции журнала рассказал заместитель начальника Департамента безопасности ОАО "РЖД" Александр Петрович Глухов.

- Александр Петрович, каковы основные задачи в области ИБ, стоящие перед Департаментом безопасности в ОАО "РЖД"?

- Система обеспечения информационной безопасности (СОИБ) ОАО "РЖД" представляет собой сложную организационно-техническую систему, основными целями создания и функционирования которой являются обеспечение защиты информации, не относящейся к категории "государственная тайна", внедрение и эксплуатация технических подсистем, комплексов и средств обеспечения ИБ, обеспечение доступности соответствующих категорий информации для пользователей ОАО "РЖД", других организаций и частных лиц, управление информационной инфраструктурой, а также аудит уровня ИБ ОАО "РЖД".

Деятельность по управлению ИБ Компании направлена на обеспечение безопасности информации объектов инфраструктуры, а также на сохранение конфиденциальности, целостности и доступности информации и единства информационного пространства РЖД. В процессе управления ИБ Компании решаются следующие задачи:

выполнение требований законодательства и регулирующих государственных органов в области обеспечения ИБ;
обеспечение технологической безопасности автоматизированных систем (АС) при обработке и использовании информационных активов;
определение информационных активов, подлежащих защите;
определение категорий АС и информационных активов с целью определения приоритетов и требуемых уровней защиты информации;
построение моделей нарушителей и угроз безопасности информационных активов;
формирование требований безопасности информационных активов, предъявляемых к АС;
определение рационального баланса технических и организационных мер обеспечения безопасности информации, обрабатываемой в АС;
разработка требований к подсистемам обеспечения ИБ АС и контроль их выполнения;
обеспечение требуемого уровня ИБ;
разработка и внедрение системы управления ИБ, включая разработку нормативно-методических и организационно-распорядительных документов по управлению ИБ и разработку и внедрение инструментально-методического обеспечения мониторинга и управления ИБ;
разработка планов долгосрочного и среднесрочного развития программы ИБ ОАО "РЖД";
обеспечение взаимоувязанного по времени, целям и задачам взаимодействия структурных подразделений защиты информации ГВЦ и ИВЦ в эксплуатационном сегменте информационного обеспечения производственной деятельности ОАО "РЖД" в части реализации единой технической политики в области защиты информационных ресурсов Компании.

К основным объектам защиты информации в ОАО "РЖД" относятся:

объекты информационной инфраструктуры, включающие в себя программно-технические комплексы и систему управления единой магистральной цифровой сетью связи (ЕМЦСС);
системы управления автоматических телефонных станций общетехнологической и оперативно-технологической сетей;
программно-технические комплексы и система управления сетью передачи данных (СПД);
объекты автоматизированных систем управления и информационных систем, включающие в себя отдельные автоматизированные рабочие места (АРМ) и локальные вычислительные сети (ЛВС), серверные сегменты информационных систем и автоматизированных систем управления, программно-технические комплексы поддержания специализированных баз данных;
системы документооборота.

- Не могли Вы подробнее рассказать об основных составляющих СОИБ?

- Можно выделить три составляющие СОИБ: организационную, нормативно-правовую и техническую.

Организационная составляющая включает в себя должностных лиц и штатные подразделения обеспечения ИБ.

Среди основных направлений формирования нормативно-методической базы следует выделить разработку корпоративного стандарта управления ИБ, политик ИБ Компании, положений, руководств, регламентов, методик, профилей защиты, заданий по безопасности.

В качестве примеров нормативных актов, действующих в ОАО "РЖД", можно привести "Перечень сведений, составляющих коммерческую тайну ОАО "РЖД", "Инструкцию о порядке обращения с информацией, составляющей коммерческую тайну ОАО "РЖД", распоряжение "Об организации работ по предотвращению записи, хранения и распространения информации и программных продуктов непроизводственного характера" с "Примерным перечнем категорий информации и программных продуктов. " и "Примерным порядком организации создания корпоративных Web-сайтов, FTP-серверов, конференций. ", "Порядок подключения пользователей к информационным ресурсам ОАО "РЖД" и ряд других.

Структура технической составляющей СОИБ во многом определяется архитектурой корпоративной инфотелекоммуникационной сети ОАО "РЖД" (инфосети), которая объединяет информационные ресурсы и технические средства обработки и передачи информации центрального аппарата, железных дорог и других филиалов РЖД.

Большинство информационных систем Компании имеют клиент-серверную архитектуру, при этом в ГВЦ и в ИВЦ дорог сосредоточены базы данных и серверы приложений, а клиенты, помимо пользователей ГВЦ и ИВЦ, находятся в линейных подразделениях и на предприятиях ОАО "РЖД".

В процессе формирования технической составляющей СОИБ были реализованы и реализуются ряд базовых принципов ее построения.

Одним из важнейших принципов является функциональная интеграция специализированных программно-технических комплексов защиты с программно-техническими комплексами передачи и обработки информации, имеющими собственные встроенные средства защиты с мощной функциональностью (ОС рабочих станций и серверов, активное сетевое оборудование). Функциональная интеграция позволяет достигать высокого уровня защищенности при минимизации затрат на внедрение. В качестве положительных примеров следует упомянуть технологии контроля доступа к ресурсам сети передачи данных, информационным ресурсам системы ЭТРАН, к АСУ "Экспресс-3", ЕК АСУ ФР, к ряду АСУ дорожными центрами управления и станциями, к системе электронной коммерции. Активное совместное использование специализированных и встроенных средств защиты в совокупности с подсистемой антивирусной защиты позволяет эффективно предотвращать угрозы распространения шпионских программ и разрушающих программных средств (вирусов).

Существенное снижение затрат на внедрение СОИБ обеспечивает базовый принцип защиты инфосистем с использованием типовых комплексов технических средств защиты информации.

Еще одним базовым принципом является сегментирование сети по территориально-производственной принадлежности с разделением функций и ролей. Данный принцип подразумевает физическое или виртуальное разделение локальных вычислительных сетей и информационных ресурсов структурных единиц ОАО "РЖД" с жестким распределением прав доступа к ресурсам между персоналом.

Техническая составляющая СОИБ образуется организационно и/или функционально связанными комплексами и средствами защиты.

Важнейшими техническими компонентами инфосистемы ОАО "РЖД" являются СПД и ЕМЦСС. В настоящее время введены в действие комплекс защиты системы управления ЕМЦСС и комплекс защиты СПД магистрального и дорожного уровней, обеспечивающие регистрацию, учет и целостность ПО и обрабатываемой информации, разграничение доступа к ресурсам, аудит событий безопасности и обнаружение вторжений.

Еще одним техническим компонентом, во многом определяющим ИБ, является инфраструктура Windows-доменов и Active Directory (AD), которая дает возможность централизованного формирования и управления политиками безопасности информационных систем. Здесь же следует упомянуть и инфраструктуру открытых ключей, находящуюся в стадии формирования и предназначенную для усиленной аутентификации и авторизации доступа к информационным ресурсам функционирования VPN-каналов, а также реализации шифрования и электронной цифровой подписи при внутреннем информационном обмене.

К другим техническим компонентам СОИБ относится комплекс защиты от разрушающих программных воздействий и обновлений ПО, поддерживающий оперативную рассылку обновлений антивирусных баз и системного программного обеспечения по всей сети филиалов компании.

В настоящее время начаты работы по созданию комплекса управления безопасностью, предназначенного для категорирования информации компании, формирования требований к уровню безопасности информации в информационных и телекоммуникационных системах, мониторинга ИБ, планирования и реализации мероприятий по достижению требуемого уровня безопасности.

Работы по развитию СОИБ в совокупности обеспечивают необходимый базовый уровень ИБ ОАО "РЖД" и снижают вероятность реализации угроз.

-Назовите, пожалуйста, основные направления работ по развитию СОИБ наближайшие три года.

- Основными направлениями работ по развитию и совершенствованию системы защиты информации, не составляющей государственную тайну, на период2007-2010 гг. являются:

2. Груздева Л. М. Основы информационной безопасности: учеб. пособие/ Л.М. Груздева. - М.: Юридический институт МИИТа, 2018. - 101 с.

5. Монахов, Ю.М. Вредоносные программы в компьютерных сетях: учеб. пособие / Ю.М. Монахов, Л.М. Груздева, М.Ю. Монахов; Владим. гос. ун-т. - Владимир: Изд-во Владим. гос. ун-та, 2010. – 72 с.

В последние несколько десятилетий на российских железных дорогах активно шел процесс внедрения программно-аппаратных систем и комплексов для автоматизированного управления техническими объектами и технологическими процессами. Основными целями этого процесса были увеличение эффективности управления вследствие увеличения скорости и уменьшения удельных затрат на перевозки грузов и пассажиров, сокращение численности персонала, снижение уровня аварийности и т.д.

Информационная безопасность [2] и кибербезопасность [4] имеют важное значение в обеспечении безопасности движения в пассажирских и грузовых перевозках, реализации экономических интересов транспортной отрасли России.

Факторы информационной безопасности являются решающими при организации высокоскоростного и скоростного движения и построении интеллектуальных центров и систем управления, особенно учитывая исходящие из киберпространства угрозы потенциальные подверженности информационной инфраструктуры компьютерным атакам.

1. Хактивизм. Развитие этого явления как социального протестного движения и одновременное постепенное превращение отдельных хакеров и хакерских групп в киберпреступные сообщества.

2. Информационный терроризм. Продвижение доктрин кибервои?н и создание кибервои?ск отдельными странами и союзами, например США, Китай, НАТО.

3. Рост числа целенаправленных компьютерных атак (Stuxnet, Flame, Duqu, Gauss, Red October, NetTraveler) на системы управления технологическими процессами важных объектов (вывод из строя энергосистем, объектов ядерной промышленности, других объектов жизнеобеспечения, кражи банковских активов и т. п.) и др.

Основными направлениями обеспечения информационной? безопасности и кибербезопасности железнодорожного транспорта (ЖТ), в том числе защита его информационной? инфраструктуры (ИИ) от компьютерных атак, являются следующие:

1. Интеграция в единые комплексы автоматизированных систем, связанных с управлением движением поездов, и других автоматизированных информационных и телекоммуникационных систем (АИТС) железнодорожного транспорта.

2. Непрерывное усложнение и совершенствование программного обеспечения и оборудования, используемых в АИТС железнодорожного транспорта.

3. Внедрение практики мониторинга, технического обслуживания и удаленной настройки АИТС, а также серверного и телекоммуникационного оборудования, входящего в состав информационной инфраструктуры железнодорожного транспорта.

4. Противодействие потенциальным нарушителям, разрабатывающим методы использования информационных и телекоммуникационных технологии? для нанесения ущерба, а также попыткам применения этих методов в противоправных целях и конкурентной? борьбе.

5. Снижение количества случаев сокрытия попыток или фактического нарушения функционирования АИТС железнодорожного транспорта работниками эксплуатирующих подразделении?.

6. Снижение рисков, связанных с временным вынужденным привлечением при создании АИТС, в том числе автоматизированных систем управления технологическими процессами (АСУ ТП), представителей? сторонних фирм - производителей? и поставщиков программно-аппаратных средств обработки, хранения и передачи информации.

7. Совершенствование законодательной базы, направленной на снижение количества противоправных действий с использованием информационных и телекоммуникационных технологии?, в том числе компьютерных атак на железнодорожном транспорте.

Объектами кибератак на железнодорожных дорогах могут быть системы диспетчерской и электрической централизации, которые обеспечивают формирование безопасного маршрута движения поездов, системы защиты и регулирования энергоснабжения, а также обслуживающий персонал (диспетчеры, дежурные).

- Кибершпионаж – получение секретной или конфиденциальной информации без разрешения владельцев данной информации.

- Кибермошенничество – взлом системы с целью причинения материального или иного ущерба путем получения информации.

- Киберхалатность – кибератаки из-за человеческой непреднамеренной ошибки.

- Киберсаботаж – снижение пропускной способности и скорости перевозок вплоть до полной остановки движения железнодорожного транспорта.

- Кибердиверсии – преднамеренное создание опасных маршрутов следования.

Нарушители, злоумышленники, осуществляющие кибератаки: конкуренты, спецслужбы, организованные преступные группировки, хакеры, вооруженные силы иностранных государств (кибервойска) [1, 6]. При этом финансовая выгода для злоумышленников является важнейшим мотивом совершения кибератак (рис. 1).

Рис. 1. Статистика атак (по мотивам злоумышленников)

Рис. 2. Статистика атак (по методу атак)

Реализация требований кибербезопасности к программно-управляемым системам и комплексам, эксплуатируемым на железной дороге, имеет специфические особенности, представленные на рис. 3.

Рис. 3. Особенности требований кибербезопасности к программно-управляемым системам и комплексам, эксплуатируемым на железной дороге

В процессе проведения испытаний на кибербезопасность выявляются недостатки используемого типового и прикладного программного обеспечения (рис. 4).

Рис. 4. Недостатки используемого на железной дороге типового и прикладного программного обеспечения

Комплекс методов защиты от кибератак представлен на рис. 5.

Рис. 5. Методы противодействия кибератакам

На рис. 6 представлены методы противодействия с помощью программы импортозамещения.

Рис. 6. Методы противодействия кибератакам по программе импортозамещения

Каждая вторая крупная организация обнаруживает следы присутствия злоумышленников в своей инфраструктуре. При этом среднее время присутствия злоумышленника в инфраструктуре составляет примерно три года.

На общую статистику влияют два момента: во-первых, в информационном пространстве увеличилось число высококвалифицированных и технологически оснащенных кибергруппировок, а во-вторых, государственная политика в области информационной безопасности все больше требует от владельцев информационных инфраструктур выстраивать корректные процессы по выявлению, реагированию и локализации компьютерных инцидентов с использованием правильных технологии?.

Для обеспечения безопасности корпоративной системы необходим комплексный подход. Без учета всех компонентов функционирующей системы невозможно создать защищенную инфраструктуру. Векторы атак на корпоративные инфраструктуры компании? со стороны внешних сетей и со стороны внутреннего нарушителя основывались на эксплуатации распространенных уязвимостей и недостатков, для устранения которых, как правило, достаточно применить самые общие принципы обеспечения информационной безопасности. Необходимо особое внимание уделять строгости парольной политики, защите привилегированных учетных записей, а также защите от атак на публичные веб-приложения. Необходимо обеспечить регулярное обновление используемого ПО и установку актуальных обновлении? безопасности на автоматизированной основе.

К сожалению, но специалисты РЖД, начиная с директора по информационным технологиям, отнеслись к статье очень пренебрежительно, проигнорировав важное указание автора:

И вот, год спустя я попал в сеть РЖД даже не садясь в Сапсан.

Видимо, только этот котэ добросовестно охраняет вокзал.

Вот несколько цитат из интервью с Евгением Чаркиным:

Описав подробный сценарий действий и предположительные угрозы, он привлёк к сети РЖД внимание широкой аудитории хакеров как в России, так и из других стран. Таким образом, он спровоцировал массовые атаки на информационную систему огромной компании, от деятельности которой зависит безопасность миллионов пассажиров. С сожалением должен отметить, что массовое распространение непроверенной информации через СМИ только ухудшило ситуацию.

Если была бы возможность сообщить об уязвимости непосредственно в РЖД, то этой статьи бы не было. Но нигде контактов служб, отвечающих за ИБ, я не нашёл. Даже сотрудники РЖД, которые со мной связывались, тоже не смогли найти таких контактов.
А внимание хакеров мира к Вашей инфраструктуре должно было показать и другие тонкие места. Без такой реакции Вы бы о таких местах даже и не догадывались бы. По сути Вы получили бесплатный пентест.

Факт наличия выхода этой сети в Интернет – тема внутреннего расследования, которое сейчас ведётся в компании… С этим будет разбираться служба безопасности РЖД. А органы правопорядка, в свою очередь, дадут правовую оценку действиям автора этой публикации.

Ура. Если система Bug Bounty будет реализована, то я могу считать, что цель статьи достигнута.
Но:
1. call-центр почти бесполезен. Всё же ИТ специалисты привыкли пользоваться клавиатурой ПК. К тому же по телефону не покажешь уязвимость. Смотрите в сторону современных технологий. Например, бот в Телеграмме
2. Многие энтузиасты готовы сообщать о проблемах и бесплатно. Главное гарантируйте то, что этих энтузиастов не будут ребята в касках класть мордой в пол в 5 утра в их квартире.
3. А система материального поощрения — это всегда приятно.

Всё началось с гипотезы

В интернете очень много бесплатных прокси-серверов. Но кто в здравом уме будет открывать всем желающим выход в интернет через свой роутер? Вариантов по большому счету два: это либо взломанные устройства, либо владелец забыл отключить эту функцию.

Я запустил nmap по диапазону адресов по порту 8080. Далее из полученного результата прошёлся прокси-чеккером в поисках публичного прокси без авторизации и из положительных результатов выбрал самый близкий ко мне по пингу.

Запустил сканер через него по адресам 172.16.0.0/12 порт 8291 (mikrotik winbox). И! Я его нашёл! Без пароля!

То есть за роутером с прокси есть ещё один — Mikrotik без пароля. Гипотеза подтверждена: за прокси могут быть целые незащищённые сети.

В поисках Немо владельца системы

За интерфейсами ether1 и bridge ничего интересного не обнаружил. Найденные камеры были абсолютно не информативными.

А вот сканирование vpn, отмеченные красным на скрине выше, выдало более 20 000 устройств…
Причём более 1000 штук — микротики. Огромное количество устройств с заводскими паролями.

Вот некоторые из найденных сервисов с паролями по умолчанию:

1. Камеры наружного наблюдения — подавляющее большинство.

Даже офисы внутри

Камер, по скромным ощущениям, не менее 10 000 штук. Производители разные: beward, axis, panasonic и т.д.

2. Ip-телефоны и FreePBX сервера также большое количество.

3. IPMI серверов:

Много узлов кластера Proxmox (по поднятым сервисам и трафиком между ними.)

6. Внутренние сервисы

Различные системы управления табло на перронах :-)

Некий терминал, но внутри модифицированный дебиан.

Кстати, аптайм у него почти год:

6. Сетевое оборудование

Разумеется, много различных роутеров. Как уже сказано выше, мне больше интересны Микротики. Подавляющее большинство с последней прошивкой и пароли не пустые. Но есть без паролей и с устаревшими прошивками.

Туннели наружу подымаются легко. То есть фильтрации исходящих коннектов практически нет.
Более того огромное количество микротиков со включенным прокси, аналогично тому, при помощи которого я и попал в эту сеть… Кстати, туннели через них тоже замечательно подымаются.

Не полный кусок лога по прокси.

Такое ощущение, что интегратор, который строил сеть, специально оставил этот доступ.

И все же кто же хозяин?

Думаю, что уже все и так догадались.

Это я пробежался по верхушкам в рандомном порядке. Потратил я на это чуть больше 20 минут, чем автор статьи про Сапсан.

Это здец. Сеть просто в решето.

Причём это устройства по всей РФ.

Развёрнута профессиональная система видеонаблюдения.

Находил Кемерово, Новосибирск, Омск и т.д. По внешнему виду вокзалы сложно определить. К тому же я поездом уже лет 5 не ездил.

Как же так получилось?

Я всегда считал, что уязвимости в корпоративных сетях появляются из-за ошибок или специальных действий безграмотных сотрудников. Первое что пришло мне в голову — это некий сотрудник по разрешению СБ поднял у себя из дома VPN до рабочей сети на микротике в своей домашней сети. Но в данном случае эта моя гипотеза разбилась как только я увидел обратный резолв адреса через который я попал на этот Микротик.

То есть это один из шлюзов в мир из сети РЖД. Ну и в сеть РЖД тоже…

Получилась вот такая картина:

Вероятно, что это один из офисов РЖД, который прилинкован к основой сети через l2tp.
Я попадаю в сеть где межсетевые экраны отсутствуют как класс.
Запускаю интенсивное сканирование хостов — у меня соединение не рвётся. Значит о системах обнаружения вторжения (IDS/IPS) РЖД тоже ничего не слышал. Микротик может замечательно интегрироваться, например Suricata
Обнаружил кучу устройств без защиты. Это говорит, что службы сетевой безопасности в РЖД так же нет.
Много устройств с дефолтными паролями. То есть политики паролей тоже нет.
С Микротиков внутри сети я легко поднял туннели. То есть исходящий трафик не контролируется.
Я вижу все интерфейсы управления в одной сети с клиентскими сервисами. Админы РЖД ничего не знают о Management VLAN

У меня лично есть всего три варианта ответа на этот вопрос:

1. У Вас исходно плохая команда.

Проверку проводил тот же отдел, который и проектировал/обслуживает систему. Отрицая проблему, они или сохраняют свою работу, или преследуют иные цели.

2. Вы доверились не тому специалисту. Аудит проводил некомпетентный сотрудник.

3. Вы и так знаете о проблеме, но по каким-то неведомым причинам не можете ее публично признать и решить.

Что нужно изменить, чтобы снизить вероятность возможных последствий?

Далее чисто мой взгляд на решение данной ситуации. Он ничего общего не имеет с мировыми best practices.

Так же, сразу оговорюсь, что проблема касается только обнаруженной мною сети видеонаблюдения. В других сегментах сети РЖД, очень надеюсь, всё намного лучше.

2. Нанять крутых системных архитекторов, которые имеют богатый опыт построения больших сетей. И не факт, что это будут российские специалисты. Перед ними поставить следующие задачи:

2.1. доработать текущую инфраструктуру до безопасного состояния за минимальные средства (зачем вкладывать много денег в проект, который скоро разберут)

2.2. разработать новую полноценную инфраструктуру, отвечающую всем требованиям безопасности и план поэтапной миграции.

3. Нанять подрядчика, который будет реализовывать в жизни данные проекты и передавать на эксплуатацию сетевикам РЖД.

4. После сдачи проектов провести аудит безопасности инфраструктуры.

5. По окончанию пентестов своими силами объявить Bug Bounty

Чтобы мотивировать аудиторов и внутренних специалистов работать качественно, надо объявить лимит на количество и серьёзность уязвимостей, которые могу найти участники программы Bug Bounty. Если внешние специалисты найдут багов меньше лимита, то свои аудиторы получают премии. Если багов будет больше лимита, то штрафовать.

В дальнейшем службу внутреннего аудита информационной безопасности оставить на постоянку и премии формировать уже на основании обнаруженных багов и их устранении.

Разумеется, что схема имеет огромное количество подводных камней, которые за время написания статьи предусмотреть не возможно.

Заключение

Например, вот эти линки я уже встречал не раз на роутерах, никак не относящихся к РЖД.

Все информационные системы уязвимы априори. Когда их вскроют — зависит от интереса злоумышленников к ним, беспечности создателя и времени, которое они на это потратят.
Основой основ безопасности является ограничение доступа к системам при несанкционированном проникновении в одно устройство.

В случае с Сапасаном, чтобы через полученный VPN доступ можно было увидеть только один сервис — с которым взаимодействует пользователь системы, а не всю сеть РЖД…

Я старался достаточно жирно намекнуть на узкие места не раскрывая деталей и надеюсь, что специалисты РЖД их всё же увидят.

В обязанности Центра кибербезопасности "НИИАС" входит проверка киберзащищенности всех систем управления движением поездов, включая системы железнодорожной автоматики и телемеханики, энергоснабжения и бортовые системы, установленные на локомотивах и самоходном подвижном составе. Центр создан по распоряжению В.И. Якунина в 2013 г. в АО "НИИАС" одновременно с экспертным советом по кибербезопасности ОАО "РЖД" и наделен полномочиями головной организации в ОАО "РЖД" по вопросам кибербезопасности.

Системы обеспечения безопасности движения поездов, к которым традиционно относятся системы интервального регулирования и автоблокировки на перегонах, централизации стрелок и сигналов на станциях, диспетчерской централизации и диспетчерского контроля, горочной автоматизации и т.д., а также устройства локомотивной безопасности, с выходом приказа ФСТЭК № 31 от 14.03.2014 г. стали называть на железной дороге автоматизированными системами управления технологическими процессами (АСУТП) на железнодорожном транспорте.

Многообразие факторов обеспечения безопасности

На безопасность движения поездов влияет совокупность очень многих факторов, далеко не все из которых связаны с информацией и информационной безопасностью:

cостояние объектов инфраструктуры (путь, энергоснабжение, сети связи, железнодорожная автоматика и телемеханика);
cоблюдение участниками движения ПТЭ и инструкций;
качество (функциональная безопасность) технологических процессов организации движения;
надежность и качество аппаратуры;
качество схемных решений;
техническое содержание;
различные дестабилизирующие воздействия, например силовые воздействия (гроза);
вандализм;
возраст устройств.

Это ведет к тому, что при рассмотрении различного рода угроз, в том числе в области кибербезопасности, надо понимать, нарушение какого рода мы получим. При этом термина "кибербезопасность" в нормативной базе нет (понятие "киберзащищенность" присутствует только в трех ГОСТах, касающихся сетей связи), в ней говорится об информационной безопасности, и в этом заключается фундаментальная проблема, которая потребовала от нас разработки нормативной базы для РЖД.

Что такое опасный отказ?

Все системы обеспечения безопасности движения поездов, допущенные на эксплуатацию на инфраструктуре железных дорог, имеют документ "Доказательство безопасности", в котором приводится оценка вероятности возникновения потенциально ведущих к различного рода разрушениям опасных отказов.

Опасные отказы перечислены в Правилах технической эксплуатации (ПТЭ). К ним относятся: перевод стрелки под составом; ложная свободность участка; установление маршрута на занятый путь на станции и т.д.

Все они могут привести к столкновению поездов, ущерб от которого будет нанесен транспортной безопасности, экологической безопасности и безопасности здоровья и жизни пассажиров, а также сохранности грузов.

Угрозы безопасности в системах управления движением поездов

Вся информация, которую предполагается и требуется защищать в системах инфраструктуры и бортовых системах, имеет целый ряд особенностей (рис. 1). Однако с точки зрения четырех ключевых свойств информации (конфиденциальности, доступности, целостности и достоверности) для этих систем актуально лишь последнее. Она не конфиденциальна, и ее доступность сама по себе ничем не угрожает. При этом, если нарушается ее целостность и она не читается, правильно построенная по правилам функциональной безопасности система уходит в защитный отказ, то есть происходит отказ технических средств (отказ в обслуживании) как событие нарушения надежности.

Рис. 1. Угрозы безопасности в системах управления движением поездов

Важно отметить, что если рассматриваемая система прошла сертификацию по доказательству безопасности и получила соответствующий сертификат в железнодорожном регистре, то она физически не может попасть в опасный отказ.

Может случиться только отказ в обслуживании, то есть отказ с точки зрения надежности. Другими словами, какое бы нарушение алгоритмов работы или искажение данных ни произошло, система их проанализирует, и только если ситуация нештатная, она уйдет в защитный отказ.

Именно в этом заключается очень характерная особенность систем обеспечения безопасности движения поездов, в первую очередь железнодорожной автоматики и телемеханики. Другими словами, здесь безопасность и надежность приходят в противоречие. Далее на наглядном примере рассмотрим, в чем оно заключается.

Информационная безопасность в разрезе АСУ ТП на железнодорожном транспорте

Локомотив ориентируется на три против одного и едет дальше. несмотря на то что информация локомотиву передается ответственная, срок ее жизни – время проследования одной сигнальной точки.

Поэтому необходимо рассматривать информационную безопасность АСУ ТП не отдельно, а в совокупности с анализом рисков, возможных последствий и комплексно со всеми остальными аспектами безопасности того критически важного объекта, которым она управляет.

Отличие кибератаки от информационной атаки

Департаментом безопасности РЖД принято следующее определение кибератаки: это компьютерная атака, направленная на нарушение функциональной безопасности (с целью достижения нарушения функциональной безопасности и достижения крушения или другой аварии с последствиями). На рис. 2 представлено различие кибератаки в нашем понимании и информационной атаки.

Рис. 2. Отличие кибератаки от информационной атаки

Целью информационной атаки является изъятие (или изменение) информации, а целью кибератаки – наоборот, нарушение функциональной безопасности объекта. Другими словами, в информационной и кибератаке причина и следствие, средство и цель меняются местами. Это два разных и самостоятельных понятия. Они во многом зависимые, параллельно существующие, но не рассматривать термин "кибератака", на наш взгляд, абсолютно не оправданно.

Для преодоления этого момента Центром кибербезопасности для РЖД был разработан ряд методических документов:

Термины и определения в области кибербезопасности микропроцессорных систем управления движением поездов, локомотивами и электроснабжением.
Регламент проведения аудита состояния кибербезопасности микропроцессорных систем управления движением поездов, локомотивами и электроснабжением.
Требования по кибербезопасности микропроцессорных систем управления локомотивами.
Правила анализа уязвимостей и угроз кибербезопасности микропроцессорных систем управления движением поездов, локомотивами и электроснабжением и разработки базовых угроз на основании результатов анализа.
Требования по кибербезопасности микропроцессорных систем управления движением поездов.
Правила классификации по требованиям кибербезопасности систем управления движением поездов, локомотивами и электроснабжением.
Требования по кибербезопасности микропроцессорных систем управления электроснабжением.
Регламент подтверждения соответствия требованиям по кибербезопасности микропроцессорных систем управления движением поездов, локомотивами и электроснабжением.

При проверках киберзащищенности в РЖД также применяется следующая нормативная база по кибербезопасности (включая федеральные ГОСТы, в которых используется термин "киберзащищенность"):

СТО РЖД 02.049–2014 "автоматизированные системы управления технологическими процессами и техническими средствами железнодорожного транспорта. Требования к функциональной и информационной безопасности программного обеспечения. Порядок оценки соответствия".
ГОСТ Р 54505–2011 "безопасность функциональная. Политика, Программа обеспечения безопасности. Доказательство безопасности объектов железнодорожного транспорта".
ГОСТ Р 54505–2011 "безопасность функциональная. Управление рисками на железнодорожном транспорте".
ГОСТ Р 56205–2014, ГОСТ Р 5498–2015, ГОСТ Р МЭК 62443-2-1–2015 (части 1, 2, 3). l Приказ ФСТЭК России от 14.03.2014 г. № 31.

В регуляторном поле приоритетными видятся следующие задачи:

Необходимо ввести термин "киберзащищенность" или "кибербезопасность" в федеральную нормативную базу.
Рассматривать кибербезопасность и информационную безопасность на равных, четко понимая, что есть КВО, а есть КИИ, есть критическая информационная инфраструктура, а есть критически важные объекты.

В результате это поможет рассматривать различные системы объекта в комплексе и с учетом соответствующей отраслевой специфики.

Проверка киберзащищенности систем

Описанные нормативные документы позволяют учитывать все особенности систем обеспечения безопасности движения поездов, АСУ ТП нижнего уровня, управления инфраструктурой и бортовыми системами локомотива с целью не допустить опасного отказа и перерывов в движении поездов по причине кибератаки.

Главная угроза и самое критичное последствие, которое может произойти, – если на каком-то участке или станции движение поездов парализовано за счет того, что система централизации или автоблокировки либо локомотивная система выведена из строя и ушла в защитный отказ.

Однако, как было сказано выше, каждая система, отвечающая за безопасность движения поездов, имеет документ доказательства безопасности и проходит сертификацию на функциональную безопасность. Если она сделана качественно, то не может допустить опасного отказа. Но ее можно вывести в защитный отказ за счет кибератаки, и именно на эти моменты мы обращаем основное внимание при проверке киберзащищенности микропроцессорных систем управления. Нами исследовано более 30 локомотивных, станционных и перегонных систем. Этот процесс идет непрерывно: как только меняется элементная база или программное обеспечение, проверка проводится повторно. Разработчики и поставщики локомотивных и напольных систем, работающих на инфраструктуре железных дорог, активно участвуют в этих проверках, так как, во-первых, этого требует нормативная база РЖД (без проверок системы не допускаются для эксплуатации на железнодорожном транспорте), а во-вторых это позволяет выявить конструктивные недоработки и неочевидные уязвимости, которые успешно устраняются.

Читайте также: