Цифровизация электроэнергетической отрасли является одной из приоритетных задач по цифровизации энергетики России [1]. Существуют два подхода к решению поставленной задачи: «Концепция. Цифровая трансформация 2030» от ПАО «Россети» [2] и «Цифровой переход в электроэнергетике России» от Национальной технологической инициативы Энерджинет [3]. Обе концепции декларируют использование информационно-коммуникационных технологий как основу коренного изменения в работе отраслевых компаний. Однако положительные стороны цифровизации могут быть нивелированы растущими рисками нарушения устойчивости работы объектов электроэнергетики вследствие кибератак.
Обозначенная проблема была изучена экспертами «Лаборатории кибербезопасности АСУ ТП» «Ростелеком-Солар» в рамках инициативной научно-исследовательской работы «Анализ нарушений работоспособности объектов электроэнергетики в результате деструктивных воздействий компьютерных атак» [4].
Методология исследования
Основная задача настоящего исследования – формирование инструментария для моделирования сценариев кибератак, вызывающих последствия на физическом уровне. Для анализа был взят перечень аварий из постановления Правительства Российской Федерации [5]. Область исследования [4] была ограничена рассмотрением электроустановок переменного и постоянного тока и воздействующих на них систем управления и защиты.
Следующим этапом было исследование технологических причин каждой аварии.
Архитектуры объектов электроэнергетики, в частности цифровых подстанций (ЦПС), в НИР [4] были взяты из стандарта организации ПАО «Россети» [6]. Полученная информация используется для выполнения следующего этапа исследования – рассмотрения воздействия вторичных подсистем на первичное оборудование, для чего устанавливается взаимосвязь управляющих воздействий подсистем и технологических нарушений.
После анализа отраслевой специфики электроэнергетики исследование НИР [4] переходит к рассмотрению классических для области информационной безопасности вопросов, в частности к моделированию угроз и нарушителя (МУиН). Для решения этой задачи были использованы материалы «Методики определения угроз безопасности информации в информационных системах» [7] и приказа ФСТЭК России № 236 [8].
На основе методики [7] было проведено исследование модели нарушителя кибербезопасности объекта электроэнергетики и сделан вывод, что нарушитель может быть как внутренним, так и внешним, ему достаточно обладать средним потенциалом, чтобы создать реальную угрозу нарушения работы технологического объекта.
В исследовании кибератаки были классифицированы по типам компьютерных инцидентов, возникающих на компонентах подсистем, соответствующих типизации из приказа [8]. В рамках НИР [4] принимается, что создание этих инцидентов является локальной целью нарушителя. Такое допущение требуется для формирования взаимосвязи кибератак и компонентов вторичных подсистем, на которые они могут быть направлены. По сути, в НИР [4] синтезирована информация, необходимая для исследования сценариев кибератак с физическими последствиями.
Результаты НИР
На последнем этапе НИР [4] используется информация, полученная на предыдущих этапах, для демонстрации исследования сценариев кибератак. В итоге рассмотрено около десяти различных сценариев, которые, по мнению авторов исследования, могут иметь место в реальной ситуации. Пример одного из возможных сценариев приведен в таблице. Стоит отметить, что для полноты сценария в таблицу добавлены дополнительные данные из НИР [4].
Таблица. Пример исследования сценария кибератаки на объект электроэнергетики
| Тип кибератаки | Компонент подсистемы | Подсистема | Результат воздействия на вторичные подсистемы | Технологическое нарушение | Авария |
| Модификация (подмена) данных | Сеть, GOOSE – протокол | Технологическая сеть «шина процесса» | Компрометация ОБР + |
Устойчивое КЗ на ошиновке (с отказом РЗ) | Повреждение силового трансформатора (автотрансформатора) мощностью 10 МВА и более |
| Несанкци-онированный доступ
|
АРМ РЗА | РЗА | переконфи-гурирование терминалов РЗ + |
||
| АРМ ОП | АСУ ТП | отправка команды на замыкание ЗН |
В НИР [4] показано, как реализация угроз информационной безопасности во вторичных системах может приводить к авариям (реализации угроз кибербезопасности объекта электроэнергетики). Наиболее значимым практическим результатом авторы считают возможность сделать следующий вывод: нарушение устойчивости функционирования объектов электроэнергетики с высоким уровнем цифровизации вторичных систем вследствие воздействия на них кибератак возможно.
По результатам исследования было установлено, что к наиболее ответственным с точки зрения защиты от кибератак относятся следующие вторичные системы:
- система релейной защиты и автоматики (РЗА);
- автоматизированная система управления технологическим процессом (АСУ ТП);
- система специального автоматического управления и регулирования (САУ, САР);
Релейная защита выполняет функции ликвидации и локализации повреждений оборудования технологических объектов, отключая поврежденное оборудование от сети. Автоматика разделена на противоаварийную и режимную. Противоаварийная автоматика является системой, которая необходима для предотвращения системных аварий, а режимная автоматика направлена на поддержание нормального функционирования электрической сети.
АСУ ТП необходима для выполнения функций автоматизированного управления объектом, повышения наблюдаемости его состояния. Также АСУ ТП дает возможность удаленного оперативного управления из центров управления сетями (ЦУС) или диспетчерских центров (ДЦ).
САУ и САР используются для управления динамическим оборудованием, которое осуществляет регулирование электрических параметров электросетей.
Перечисленные системы нуждаются в наиболее надежной защите – как наложенными средствами защиты информации для систем в целом, так и механизмами безопасности, встроенными в интеллектуальные электронные устройства (ИЭУ), которые составляют эти системы. РЗА, АСУ ТП, САУ имеют возможность оказывать непосредственное влияние на работу технологического объекта, а деструктивные воздействия, направленные на эти системы, могут привести к массовым отключениям потребителей, повреждению силового оборудования, выходу электрических параметров за допустимые пределы и т. д., что, в свою очередь, может повлиять на надежность электроснабжения потребителей и системную надежность Единой энергосистемы России в целом.
В настоящее время проводятся исследования по созданию базы знаний для экспертной системы по оценке влияния деструктивных воздействий компьютерных атак на объекты электроэнергетики. Предполагается, что база знаний будет воспроизведена с помощью семантических технологий и представлена онтологической моделью. Онтология, лежащая в основе базы знаний, позволит установить семантические связи между техниками, тактиками злоумышленников и авариями объекта электроэнергетики, которые могут произойти вследствие кибератак.
