Admin

Обеспечение информационной безопасности ИСУЖТ

Матюхин В.Г.
Галдин А.А.
Дудник С.Я.
Терещенко Е.М.
Кузнецов Н.П.

Ключевые слова:
интеллектуальная система управления, автоматизации производственных процессов, ИСУЖТ, информационная безопасность, кибербезопасность

Единая интеллектуальная система управления и автоматизации производственных процессов на железнодорожном транспорте (далее - ИСУЖТ) является многокомпонентной распределенной системой, служащей для комплексной автоматизации процессов управления перевозочным процессом и транспортной логистики ОАО «РЖД» с учетом ограничений, определяемых посредством оперативного сбора достоверной информации о состоянии инфраструктуры железнодорожного транспорта, возможностях тягового хозяйства, уровне обеспечения безопасности движения поездов.
Консолидация и обработка большого количества разнородной информации (составляющей коммерческую тайну, персональных данных сотрудников ОАО «РЖД», технологической информации) разной степени важности с учетом архитектурных решений и используемых информационных технологий требует создания эшелонированной подсистемы информационной безопасности, обеспечивающей защиту от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения и иных неправомерных действий.
Основными структурными элементами ИСУЖТ являются объектовые программно-технические комплексы, представляющие собой совокупность определенных программно-технических средств в составе объектов информатизации. Такие особенности ИСУЖТ как ее распределенность с расположением оборудования в разных структурных подразделениях Главного вычислительно центра - филиала ОАО «РЖД», охват сетевого и дорожного уровня при взаимодействии с системами ОАО «РЖД», и сама структура системы с объединением выполняемых подсистемами ИСУЖТ задач в комплексы задач, функционирующих на прикладном уровне, усложняют процесс реализации защиты объектов ИСУЖТ (включая информацию; процессы; используемые технологии; программные, аппаратные, программно-аппаратные средства). В связи с этим поэтапная реализация подсистемы информационной безопасности, где внедрение осуществляется в процессе создания ИСУЖТ и актуализируется в процессе ее жизненного цикла для закрытия уязвимостей, нейтрализации угроз безопасности информации и минимизации рисков от неправомерных действий, является наиболее эффективной.

В основе концепции разработки подсистемы информационной безопасности ИСУЖТ лежит реализация программы по импорто-замещению в соответствии с Приказом Министерства связи «Об утверждении плана по импортозамещению программного обеспечения» от 01 февраля 2015 № 96, где использование отечественных наложенных средств защиты информации (составляющих как системное, так и прикладное программное обеспечение) способно минимизировать потенциальные угрозы нелегитимного скрытого доступа к ресурсам, наличия закладок в иностранном оборудовании, лазеек в программном обеспечении. Для осуществления разработки и эксплуатации подсистем информационной безопасности на базе отечественных программных платформ в их составе желательна реализация полного стека решений, включающая в себя операционную систему, среду виртуализации и систему хранения данных.
По результатам проведения аналитической работы после информационного обследования ИСУЖТ выделено три основных направления, в совокупности составляющих эшелонированную защиту информации ИСУЖТ:

• • обеспечение защиты внешнего контура ИСУЖТ при взаимодействии с системами ОАО «РЖД»;
• • защита информации при взаимодействии ИСУЖТ с системами, путь к которым проходит через сеть передачи данных оперативнотехнологического назначения ОАО «РЖД» (далее - СПД ОТН);
• • защита внутреннего контура ИСУЖТ от угроз безопасности информации в прикладных подсистемах.

Обеспечение защиты информации ИСУЖТ при сетевом взаимодействии (защита внешнего контура) осуществляется Программнотехническим комплексом подсистемы информационной безопасности ИСУЖТ (далее - ПТК ПИБ ИСУЖТ). Основной сложностью обеспечения защиты является массивность (многокомпонентность) ИСУЖТ и большое количество систем, являющихся источниками информации. Базовыми компонентами ПТК ПИБ ИСУЖТ являются кластеры программно-аппаратных комплексов, которые объединяют в себе функционал различных средств защиты информации: межсетевых экранов, обеспечивающих фильтрацию входящих/исходящих сетевых пакетов (на сетевом уровне), служебных протоколов, служащих для диагностики и управления работой сетевых устройств, запросов на установление виртуальных соединений с учетом адресов отправителя/получателя (на транспортном уровне), запросов к прикладным сервисам с учетом прикладных адресов отправителя/полу-чателя (на прикладном уровне); систем предотвращения вторжений, использующих сигнатурные базы для обнаружения известных атак (эксплойтов) и Rate-Based сигнатуры и политики DoS для обнаружения различных аномалий; VPN на базе SSL и IPsec. В ПТК ПИБ ИСУЖТ присутствуют средства обнаружения вторжений (уровня сети), отслеживающие определенные шаблоны в трафике и, подобно антивирусному программному обеспечению, при выявлении совпадений отправляющие результаты в административный интерфейс, а также средства анализа защищенности сети и ее субъектов, которые облегчают процесс управления информационной безопасностью (далее - ИБ) и позволяют повысить его эффективность, находя актуальные уязвимости в сетевом контуре ИСУЖТ. Все события ИБ (включая инциденты ИБ, выявленные в ПТК ПИБ ИСУЖТ) консолидируются для дальнейшей корреляции в Программном комплексе по управлению ИБ в системах ОАО «РЖД» (далее - ПК УИБ).
Обеспечение безопасного взаимодействия ИСУЖТ с системами, путь к которым проходит через СПД ОТН осуществляется Программно-аппаратным комплексом подсистемы информационной безопасности узлов межсетевого взаимодействия для обеспечения многоканального взаимодействия автоматизированных систем (ПАК ПИБ УМВ М). Главная проблема заключается в том, что в СПД ОТН расположены системы организации движения поездов, к которым предъявляются самые высокие требования с точки зрения обеспечения их киберзащищенности. В связи с этим все взаимодействия с СПД ОТН должны быть подконтрольными и исключать возможность реализации атак извне (сети передачи данных общетехнологического назначения ОАО «РЖД» (далее - СПД ОбТН)).
Основной задачей создания ПАК ПИБ УМВ М является создание унифицированного решения, осуществляющего безопасное многоканальное взаимодействие между системами ОАО «РЖД», как со стороны СПД ОТН, так и со стороны СПД ОбТН, которое может применяться для разных систем.
Реализация ПАК ПИБ УМВ М включает комплексные решения на базе унифицированных средств защиты информации и разработанного программного обеспечения для межсетевого взаимодействия. ПАК ПИБ УМВ М реализует следующие функциональности:

• • виртуализации;
• • межсетевого экранирования;
• • коммутации компонентов ПАК ПИБ УМВ М;
• • анализа сетевого трафика и обнаружения вторжений;
• • защиты от несанкционированного доступа (далее - НСД);
• • мониторинга и управления;
• • взаимодействия с системами ОАО «РЖД»;
• • защищенного информационного обмена.

Функциональность виртуализации предназначена для обеспечения функционирования ПАК ПИБ УМВ М в среде, исключающей смешивание потоков данных и устраняющей возможность воздействия информационных систем друг на друга. При этом, для выполнения требований по ИБ ПАК ПИБ УМВ М, в качестве платформы виртуализации используется отечественный комплекс программ «Защищенная операционная система «СинтезМ». Функциональность виртуализации реализована на базе серверов виртуализации Huawei, функционирующих в режиме кластера, реализующих также программно-определяемую систему хранения данных высокой доступности «СинтезМ-СХД».

Выбор комплекса программ обусловлен результатами макетирования наиболее функциональных, с нашей точки зрения, защищенных отечественных операционных систем: защищенной операционной системы «Astra Linux» и комплекса программ «Защищенная операционная система «СинтезМ». При активном взаимодействии с производителями, результаты макетирования показали принципиальную пригодность обоих продуктов для решения задач по созданию подсистем информационной безопасности. Вместе с тем было установлено, что решение на базе комплекса программ «Защищенная операционная система «СинтезМ» располагает большим функционалом для решения задачи построения, масштабирования и эксплуатации систем в защищенном исполнении, а также обладает большей гибкостью и простотой управления.
Функциональность межсетевого экранирования предназначена для ограничения сетевого взаимодействия подключаемых систем с компонентами ПАК ПИБ УМВ М. Сетевое взаимодействие СПД ОТН и СПД ОбТН с ПАК ПИБ УМВ М ограничивается соответствующими серверами сопряжения. Функциональность межсетевого экранирования ПАК ПИБ УМВ М реализована на базе программно-аппаратных комплексов, функционирующих в режиме отказоустойчивого кластера «горячего» резервирования, состоящего из двух узлов, для каждого из направлений межсетевого взаимодействия.
Функциональность коммутации компонентов ПАК ПИБ УМВ М и сбора сетевого трафика предназначена для обеспечения связи компонентов ПАК ПИБ УМВ М в рамках обособленного сетевого сегмента и выполнения сбора копии сетевого трафика ПАК ПИБ УМВ М с целью ее передачи в функциональность анализа сетевого трафика и обнаружения вторжений. Функциональность коммутации компонентов ПАК ПИБ УМВ М и сбора сетевого трафика реализуется средствами стека из двух коммутаторов.
Функциональность анализа сетевого трафика и обнаружения вторжений регистрирует события ИБ, вызванные компьютерными атаками, хранит информацию об обнаруженных компьютерных атаках и передает зарегистрированные события в системы мониторинга, контроля защищенности и управления ИБ. Функциональность анализа сетевого трафика и обнаружения вторжений реализуется программно-аппаратным комплексом. Программно-аппаратный комплекс позволяет выполнять анализ сетевого трафика, и, в случае обнаружения компьютерной атаки, регистрировать событие ИБ (несколько событий ИБ) с указанием уровня критичности компьютерной атаки (решение о присвоении уровня критичности принимается в соответствии с настроенными решающими правилами).

Резервирование сетевого трафика, вызванного компьютерной атакой, выполняется администратором ИБ ПАК ПИБ УМВ М на подключенный к программно-аппаратному комплексу съемный машинный носитель информации.
Функциональность защиты от НСД предназначена для реализации мер защиты информации по предотвращению или существенному затруднению НСД к информации на серверном оборудовании ПАК ПИБ УМВ М и автоматизированном рабочем месте администратора ИБ.
Функциональность защиты от НСД реализуется унифицированным программным обеспечением, устанавливаемым на серверы и автоматизированное рабочее место администратора ИБ.
Для администрирования компонентов ПАК ПИБ УМВ М используется автоматизированное рабочее место администратора ИБ.
Функциональность мониторинга и управления предназначена для:

• • мониторинга событий на компонентах ПАК ПИБ УМВ М, в том числе вызванных компьютерными атаками;
• • установки обновлений ПО программных и программно-аппаратных средств ПАК ПИБ УМВ М;
• • установки обновлений базы разрешающих правил и автоматизированного распространения антивирусных баз;
• • администрирования программных и программно-аппаратных средств ПАК ПИБ УМВ М;
• • анализа защищенности компонентов ПАК ПИБ УМВ М;
• • выполнения резервирования и хранения информации о зарегистрированных событиях ИБ.

Функциональность мониторинга и управления реализуется сервером контроля и управления функционированием, сервером управления конфигурациями, репозиторием эталонных копий ПО, сервером резервного копирования и автоматизированным рабочим местом администратора ИБ. Мониторинг зарегистрированных в ПАК ПИБ УМВ М событий ИБ может выполняться администратором ИБ с использованием автоматизированного рабочего места администратора ИБ.
Для выполнения поставленных задач при внедрении ПАК ПИБ УМВ М на автоматизированное рабочее место администратора ИБ устанавливаются необходимые оснастки для мониторинга программных и программно-аппаратных компонентов ПАК ПИБ УМВ М.
Для выполнения анализа защищенности компонентов ПАК ПИБ УМВ М на автоматизированное рабочее место администратора ИБ устанавливается программный комплекс.

Функциональность взаимодействия с системами ОАО «РЖД» предназначена для интеграции ПАК ПИБ УМВ М с ПК УИБ и системой антивирусной защиты ОАО «РЖД».
Использование указанных выше систем ОАО «РЖД» позволяет исключить дублирование инцидентов, регистрируемых на основе событий, вызванных одной и той же проблемой. Совместный результат работы систем ОАО «РЖД» позволяет регистрировать инциденты ИБ, и проводить соответствующие мероприятия по их расследованию.
Функциональность защищенного информационного обмена ПАК ПИБ УМВ М обеспечивает функциональное разделение информационных систем (сегментов сетей) с использованием специализированных прикладных протоколов и технологии разделенного доступа с использованием виртуальных серверов очередей.
Виртуальные серверы сопряжения преобразуют входной трафик с уровня TCP/IP протокола до прикладного уровня с передачей логических пакетов через виртуальные серверы очередей. При этом для каждой подключаемой системы внутри ПАК ПИБ УМВ М выделяется отдельный контур обработки данных со своими виртуальными серверами сопряжения.
Работы по обеспечению защиты внутреннего контура ИСУЖТ от угроз безопасности информации в прикладных подсистемах осуществляются в рамках проекта «Функциональность защиты информации в прикладных подсистемах ИСУЖТ», охватывающего как внешние, так и внутренние взаимодействия ИСУЖТ с учетом реализованных подсистем информационной безопасности и реализованных мер защиты информации. Основная сложность данных работ заключается в том, что функциональные части подсистем реализуются в рамках комплексов задач ИСУЖТ, которые и выступают в качестве основных объектов защиты.

Анализ более 220 функционирующих на прикладном уровне комплексов задач ИСУЖТ привел к их группированию на базе структурных характеристик для дальнейшей дифференциации необходимых мер защиты информации для каждой группы.
В качестве системной платформы, создающей автоматизированные системы с комплексами задач диспетчерского управления, отслеживания и паспортизации объектов в ИСУЖТ, используется программный продукт «Вектор-М», являющийся отечественной разработкой с возможностью гибкой поддержки и доработки производителем по требованиям ОАО «РЖД».
Для реализации предусмотренных в правовых нормативных актах ФСТЭК России технических мер защиты информации требуется проведение сертификации специального программного обеспечения «Вектор-М» (или специально-разработанного программного обеспечения на базе «Вектор-М») по требованиям безопасности информации.
Специальное программное обеспечение «Вектор-М» (или специально-разработанное программное обеспечение на базе «Вектор-М») реализует следующие функции безопасности (механизмы защиты) от НСД:

• • идентификацию и аутентификацию пользователей;
• • управление идентификаторами, в том числе создание, присвоение, уничтожение идентификаторов;
• • управление средствами аутентификации, в том числе хранение, выдачу, инициализацию, блокирование средств аутентификации и принятие мер в случае утраты и (или) компрометации средств аутентификации;
• • управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей;
• • защиту обратной связи при вводе аутентификационной информации;
• • реализацию необходимых методов, типов и правил разграничения доступа;
• • ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе);
• • блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу;
• • сбор, запись и хранение информации о событиях ИБ в течение установленного времени хранения;
• • мониторинг (просмотр, анализ) результатов регистрации событий ИБ и реагирование на них;
• • защиту информации о событиях ИБ.

Для нейтрализации угроз от НСД планируется выполнить разработку базового программного обеспечения защиты информации комплексов задач ИСУЖТ в части ограничения числа параллельных (одновременных) сеансов доступа к ИСУЖТ с использованием одной и той же учетной записи пользователя информационной системы. Данное ПО позволит реализовать меры по защите информации комплексов задач ИСУЖТ, включая администрирование ИСУЖТ.


Впоследствии для обеспечения информационной безопасности в ИСУЖТ необходимо проводить работы по актуализации и аудиту указанных выше решений с проверкой их эффективности путем проведения аттестационных испытаний ИСУЖТ на соответствие требованиям по безопасности информации.

__________________
Телеграм-канал ЖЕЛЕЗНОДОРОЖНИК