Антивирус для АЭС

Вычислить источник вирусной атаки не всегда возможно. Фото Reuters

В 2008 году разразился скандал, который вошел в историю кибернетической безопасности. Впервые была зафиксирована вредоносная компьютерная программа, размножающаяся (реплицирующаяся) в автоматизированной системе управления технологическим процессом (АСУ ТП) ядерного объекта. Компьютерный червь STUXNET нанес серьезный урон иранской ядерной программе, поразив 1368 из 5000 центрифуг на заводе по обогащению урана и сорвав срок запуска АЭС в Бушере. STUXNET получил распространение по миру и в 2013 году был обнаружен на российской атомной электростанции.

Такова обратная сторона автоматизации: чем больше процессов мы отдаем компьютеру, тем серьезнее могут быть последствия в случае удачной кибератаки. По данным отчета американской организации ICS-CERT (Industrial Control Systems Cyber Emergency Response Team), количество атак на объекты энергетической инфраструктуры постоянно растет, и АЭС тут не составляют исключение. Основная причина этого в том, что АСУ ТП перестают быть изолированными от глобальной сети, как это было раньше, или же их изоляция становится чисто условной. Иногда систему управления технологическим процессом напрямую подключают к Интернету ради удобства мониторинга, удаленного администрирования или с иной целью. И хотя чаще этого все-таки не делают, стараясь избежать заражения системы или утечки информации, сотрудники стали приносить на работу свои устройства и сменные носители. Кстати, на Бушерскую АЭС червь попал именно так: через USB-накопитель одного из сотрудников. 

Обойтись без автоматизации современная АЭС не может. И главное даже не в том, что система управления технологическими процессами позволяет повысить производительность труда. Главное, что именно она делает работу атомной станции намного безопаснее, чем это было, скажем, 50 лет назад. Она снижает тот самый человеческий фактор, ведь компьютер, в отличие от человека, не устает, не бывает рассеянным или просто ленивым. Помогая оператору следить в полуавтоматическом режиме за сотнями показателей, подобные системы снижают риск аварий. Кроме того, они способны реагировать и принимать решение в той или иной ситуации гораздо быстрее человека. Во многих случаях, когда для своевременного реагирования время реакции не должно превышать доли секунды, человек-оператор просто не способен заменить компьютер.

Автоматизированную систему управления технологическим процессом можно разделить на три уровня. Верхний уровень представляет собой автоматизированное рабочее место и панели операторов, с установленными SCADA-системами. Средний уровень – это программируемые логические контроллеры (ПЛК), концентраторы, коммуникационные процессоры. Нижний уровень – это полевые устройства: датчики, исполнительные механизмы и т.д.

Попав на управляющие АЭС компьютеры из Интернета или с флешки, вредоносная программа идентифицирует оборудование автоматизации АЭС, выявляет управляющую программу (SCADA-систему), считывает ее, потом декомпилирует и, наконец, вносит в нее разрушительные изменения и перехватывает управление контроллерами. К чему это может привести? 

Например, в SCADA-системе Siemens, которая была установлена на АЭС в Бушере, существует важный программный компонент «Блок 35». «Блок 35» занимается мониторингом критических производственных операций, требующих реакции в пределах 100 мс.

Вмешиваясь в работу «Блока 35», вредоносная программа легко может вызвать аварийный сбой в работе, ведущий к саморазрушению станции. Она может переключить скорость вращения турбины на максимально возможные обороты, отключить систему циркуляции теплоносителя, блокировать систему безопасности станции, вывести из строя охладительные системы, генераторы электричества или обогатительные центрифуги. 

Хотя попадание вредоносной программы на личный домашний компьютер не грозит утечкой радиации, некоторые боятся заражения своего ПК так сильно, что при малейшем подозрении впадают в панику. Сбой в работе энергосистемы или системы подачи охладителя атомной станции вследствие кибератаки может привести к техногенной катастрофе целого региона. 

Наверное, любой, даже самый неумелый пользователь персонального компьютера, прочитав об опасности кибератаки на АЭС, воскликнет что-нибудь в духе «так пусть установят антивирус!». В сущности, он будет прав. Но с некоторыми оговорками. 

Вирусы и другие вредоносные программы для обычных компьютеров чаще всего «пишут» хакеры-одиночки. Для этого они сначала исследуют операционную систему и находят в ней уязвимость. Но программную часть SCADA-системы невозможно скачать в Сети, и ее не устанавливают на обычных ноутбуках. Для того чтобы написать вредоносную программу для АСУ ТП, хакерам необходимо получить в свое распоряжение полноценную SCADA-систему, также они должны знать состав, номенклатуру контроллеров станции и особенности технологических процессов, которыми они управляют. Это непросто, потому что достоверная информация имеется только в техническом описании оборудования и не подлежит разглашению. Наконец, для осуществления действительно масштабной кибератаки, ведущей к техногенной катастрофе, преступники должны очень хорошо разбираться в технологическом процессе. Для этого требуются высокопрофессиональные инженеры и технологи, которые должны иметь опыт работы с крупными АЭС. 

Очевидно, что с такой сложной задачей, как компьютерная атака на атомную станцию, не справятся хакеры-одиночки. Организация и осуществление подобных кибернетических атак по силам только специальным профессиональным группам, за которыми стоят серьезные ресурсы.

Все это означает, что обычный антивирус для защиты АЭС не подойдет, а обнаружить вирусную угрозу будет крайне сложно, поскольку она создавалась целой командой профессионалов. 

Существуют специальные комплексные продукты для защиты автоматизированных промышленных предприятий (АПК), например Modcon, продукты Cisco SAFE, NETASQ, MaxPatrol, SCADA-аудитор, Tenable Network Security.

Разработчики из НИЯУ МИФИ создали свой, российский, продукт – ЩИТ. Его особенность и преимущество, во-первых, в том, что он обеспечивает безопасность всей системы автоматизации без привязки к конкретному способу доступа нарушителя к АСУ ТП. Во-вторых, благодаря работе ЩИТа на низком уровне достигается высокая вариативность исполнения устройства, масштабируемость, а также независимость от используемого на конкретном объекте оборудования и программного обеспечения. Платы расширения для устройства защиты подбираются в зависимости от используемых на объекте каналов передачи данных, их стандартов и протоколов. ЩИТ использует уникальные алгоритмы анализа промышленных протоколов для защиты от несанкционированного доступа и действий НДВ. В том числе благодаря возможности анализа сигнального уровня промышленных протоколов ЩИТ имеет функции обнаружения несанкционированной активности для закрытых протоколов передачи данных. Кроме того, проверка правильности работы технологического процесса производится ЩИТом по сценарию поведения технологического процесса и шаблону для последовательности команды. Также имеется защита от несанкционированного изменения конфигурации и усиления критических параметров оборудования. Последнее позволяет избежать того, о чем говорилось выше: например, вредоносная программа не сможет переключить скорость вращения турбины на максимальную.

При этом надо учесть, что ЩИТ и подобные ему продукты нельзя  установить так, как устанавливают обычный антивирус на домашний компьютер: просто принести на АЭС в коробке и подключить. Каждый раз на предприятие выезжают специалисты, которые проводят диагностику всех систем здания и на основе аналитики предлагают индивидуальное решение проблемы.

В СМИ редко пишут о кибербезопасности АЭС до тех пор, пока АСУ ТП той или иной станции не оказывается заражена вредоносной программой. Будем надеяться, что качественных антивирусных продуктов для АЭС, в том числе и российского производства, будет появляться больше, и они позволят надолго исключить эту тему из информационной повестки.