Цифровое предприятие: предугадываем угрозы, предотвращаем катастрофы

Мир Интернета вещей и до его экспоненциального роста сталкивался с такими атаками, как Mirai и Reaper. К примеру, червь Mirai в свое время распространился через облачные сервисы на сотни тысяч устройств. Результатом его атак с использованием зараженных ресурсов стало отключение интернет‑инфраструктуры африканской республики Либерия.

Однако потребители точек доступа, видеокамер, контроллеров по-прежнему уделяют безопасности недостаточно внимания: используют стандартные пароли, не обновляют с должной регулярностью прошивки. Совместите это с простотой взлома и уже упоминавшимся повсеместным распространением IIoT-устройств — и получите не самые радужные перспективы.

Один из возможных негативных сценариев ― заражение части оборудования в офисе компании или на предприятии и его последующее использование злоумышленниками. Решения, способные предотвратить подобные угрозы, крайне востребованы. К таким продуктам можно отнести разработанную нами систему мониторинга устройств, выявляющую аномалии поведения оборудования. Система базируется на технологиях машинного обучения и решает ключевую задачу мониторинга IIoT — анализирует множество вариантов функционирования оборудования, причем разных классов. Решение определяет и фиксирует его эталонное поведение и контролирует отклонения от нормы.

В случае классического мониторинга существуют ограничения, касающиеся используемых типов устройств. Предзаданные правила работы системы ограничивают набор определяемого оборудования: есть правило ― определим устройство, нет правила ― устройство неизвестно. Машинное обучение находит решение. Чтобы определить оборудование и его поведение, ML-система анализирует пакеты сетевого трафика: его запросы и ответы. Как правило, для обучения модели достаточно «прослушивания» IIoT-устройств предприятия в течение нескольких месяцев.

Для каждого устройства в системе формируется набор статистических и функциональных признаков. Статистические признаки — это средние скорость и размер пакетов, интенсивность установления соединений и др. Функциональные правила описывают изменение поведения устройства (последовательность изменения какого-либо параметра во времени, характер сетевого взаимодействия и т.д.). Совокупность признаков определяет класс устройства.

Приведем примеры функциональных признаков:

• Последовательность сигналов.
• Установление того, что устройство, работавшее в дискретном режиме, стало отправлять поток сетевых данных.
• Маршруты сетевых соединений устройства. Пример ИБ-угрозы: широковещательные запросы с видеопанели явно подозрительны и могут говорить о попытке распространения вируса.
• Зависимость изменения объема трафика от времени. Помните шляпу из «Маленького принца» Экзюпери? Казалось бы, при чем здесь она? А дело в том, что наша система строит диаграмму изменения объема трафика устройства (входящего или исходящего) по времени: от небольших значений во время простоя и до реальной нагрузки в течение рабочей смены. На диаграмму скользящего среднего (рис. 1) накладываются легитимные колебания показателя объема трафика. На рис. 2 можно увидеть, как это выглядит в нашей системе.

Работа системы в боевом режиме

После проведения обучения система переводится в режим «обнаружение». Данные промышленных устройств анализируются на соответствие эталонному поведению в режиме реального времени.

При возникновении нештатной ситуации (флуктуация в трафике, выход за пределы допустимых колебаний, подозрительное поведение устройства и пр.) система фиксирует аномалию и сообщает об этом оператору. Незамедлительно принимаются меры для устранения выявленного отклонения — например, оборудование перемещают в карантин (отключают от сети).

Отметим, что при изменении какого-либо технологического процесса на предприятии доработка системы не требуется. Достаточно переобучить математические модели в новом сетевом окружении и заново перевести решение в режим эксплуатации. Не нужно перестраивать систему мониторинга и при изменении, к примеру, таблиц маршрутизации. Система работает с копией трафика, не вмешиваясь в производственные процессы предприятия.