Детальная информация

Целью работы является повышение уровня защищенности и устойчивости информационно-телекоммуникационных систем (ИТС) объектов критической информационной инфраструктуры к внешним преднамеренным электромагнитным атакам за счет разработки и внедрения автоматизированного алгоритма локализации источников воздействия. Объектом исследования являются информационно-телекоммуникационные системы объектов критической информационной инфраструктуры с распределенной кабельной и проводной сетевой инфраструктурой. Задачи, решаемые в ходе исследования: 1. Провести комплексный системный анализ существующих угроз в области преднамеренных электромагнитных воздействий на КИИ, классифицировать типы внешних электромагнитных атак и механизмы их проникновения в ИТС через распределенные кабельные сети. 2. Проанализировать действующую нормативно-правовую базу РФ (ФЗ-187, стандарты ГОСТ Р, требования ФСТЭК России № 235 и № 239) для формирования базиса технических условий аттестации систем и контроля защищенности распределенных систем. 3. Провести критический обзор современных активных и пассивных технологических решений в области защиты ИТС от ПЭМИН и внешних импульсных воздействий, выявив ограничения их применения в географически распределенных контурах крупных ИТ- и промышленных компаний в условиях импортозамещения. 4. Разработать математическую модель наводок во внешних распределенных кабельных сетях, позволяющую формализовать зависимость между пространственно-временными характеристиками падающего электромагнитного поля и параметрами наведенных токов и напряжений в проводниках. 5. Спроектировать и программно реализовать автоматизированный алгоритм локализации источника электромагнитной атаки, основанный на анализе разности времени прихода (TDOA) и амплитудно-частотных характеристик наведенных импульсов в географически распределенных узлах кабельной сети 6. Разработать методику автоматизированного анализа устойчивости ИТС, связывающую появление CRC-ошибок в сетевом трафике с параметрами фиксируемых электромагнитных наводок, для автоматического отсечения ложных срабатываний (False Positive), вызванных индустриальными помехами 7. Сконструировать испытательный стенд-симулятор для проведения экспериментальных исследований, провести серию натурных или имитационных испытаний разработанных алгоритмов и оценить эффективность снижения влияния человеческого фактора на скорость и точность локализации инцидентов ИБ 8. Разработать практические рекомендации по интеграции созданного программно-алгоритмического комплекса в архитектуру SOC-центров географически распределенных ИТ-компаний (на примере контура ГК «Газпром нефть»). В ходе работы была исследована архитектура, уязвимости и пассивные методы защиты распределенной инфраструктуры КИИ к внешним силовым электромагнитным импульсам. Были проанализированы современные исследования в области обеспечения киберустойчивости физического и логического слоев автоматизированных систем управления в условиях целенаправленных воздействий. В результате работы было разработано средство автоматического обнаружения и координатно-временной локализации инцидентов электромагнитного воздействия, была продемонстрирована эффективность средства. Был сделан вывод, что классические системы мониторинга ИБ (класса SIEM) слепы к физическим атакам без интеграции специализированных кросс-слойных моделей. Полученные результаты могут быть использованы в качестве основы для проектирования комплексных систем непрерывного автоматического аудита КИИ предприятий. Для достижения данных результатов была разработана программа на языке высокого уровня Python 3.11 с использованием специализированных библиотек математического анализа и цифровой обработки сигналов NumPy, SciPy и Pandas, реализующая технологию координатно-временного TDOA-анализа наведенных импульсов, а также алгоритмы цифровой фильтрации шумов для мониторинга и фиксирования состояния радиоэлектронной обстановки распределенного объекта. В качестве программного обеспечения логического уровня контроля использовались API-интерфейсы отечественной SIEM-системы MaxPatrol SIEM и распределенные программные агенты. Хранение, структурирование и оперативная обработка временных рядов (метрики наводок и CRC-ошибок) осуществлялись в реляционной базе данных PostgreSQL 15 и специализированной СУБД для временных рядов TimescaleDB. Обмен данными между сенсорными узлами и центральным сервером SOC-центра был организован на базе брокера сообщений Apache Kafka, развернутого в отказоустойчивом частном облаке организации под управлением платформы контейнеризации Docker и оркестратора Kubernetes.

The purpose of the study is to increase the level of security and stability of information and telecommunication systems (ITS) of critical information infrastructure objects against external intentional electromagnetic attacks by developing and implementing an automated algorithm for localizing impact sources. The object of the work is information and telecommunication systems of critical information infrastructure objects with distributed cable and wire network infrastructure. The research set the following goals: 1. To conduct a comprehensive systemic analysis of existing threats in the field of intentional electromagnetic impacts on CII, classify types of external electromagnetic attacks, and determine the mechanisms of their penetration into ITS through distributed cable networks. 2. To analyze the current regulatory framework of the Russian Federation (including Federal Law No. 187-FZ, GOST R standards, and FSTEC of Russia orders No. 235 and No. 239) to form a technical baseline for system certification and security control of distributed systems. 3. To perform a critical review of modern active and passive technological solutions in the field of ITS protection against intentional electromagnetic emissions and external impulse impacts, identifying limitations of their application within geographically distributed environments of large IT and industrial companies under import substitution conditions. 4. To develop a mathematical model of induced noise in external distributed cable networks, allowing to formalize the dependency between spatial-temporal characteristics of the incident electromagnetic field and parameters of induced currents and voltages in conductors. 5. To design and implement a software-based automated algorithm for localizing the source of an electromagnetic attack, based on time difference of arrival (TDOA) analysis and amplitude-frequency characteristics of induced impulses in geographically distributed nodes of a cable network. 6. To develop a methodology for automated ITS stability analysis that links the occurrence of CRC errors in network traffic with the parameters of recorded electromagnetic noise to automatically filter out false positives caused by industrial interference. 7. To construct a simulation testbed for experimental research, conduct a series of field or simulation tests of the developed algorithms, and evaluate the effectiveness of reducing human factor impact on the speed and accuracy of information security incident localization. 8. To develop practical recommendations for integrating the created software and algorithmic complex into the architecture of SOC centers of geographically distributed IT companies (using the environment of "Gazprom Neft" Group of Companies as an example). During the work, the architecture, vulnerabilities, and passive protection methods of distributed CII infrastructure against high-power electromagnetic pulses were studied. Modern studies in ensuring the cyber-resilience of physical and logical layers of automated control systems under intentional impacts were analyzed. As a result of the work, a tool for automatic detection and spatial-temporal localization of electromagnetic impact incidents was developed, and its efficiency was demonstrated. It was concluded that traditional information security monitoring systems (SIEM class) are blind to physical attacks without the integration of specialized cross-layer models. The obtained results can be used as a basis for designing comprehensive systems for continuous automatic auditing of corporate CII. To achieve these results, a program was developed in the high-level language Python 3.11 using specialized mathematical analysis and digital signal processing libraries NumPy, SciPy, and Pandas. This program implements coordinate-time TDOA analysis technology for induced pulses, alongside digital noise filtering algorithms to monitor and record the state of the electromagnetic environment of a distributed object. As logical-layer control software, the API interfaces of the domestic SIEM system MaxPatrol SIEM and distributed software agents were utilized. Storage, structuring, and rapid processing of time-series data (induced noise metrics and CRC errors) were carried out using the PostgreSQL 15 relational database and the specialized time-series DBMS TimescaleDB. Data exchange between sensor nodes and the central server of the SOC center was organized based on the Apache Kafka message broker, deployed in a fault-tolerant private cloud environment managed by the Docker containerization platform and the Kubernetes orchestrator.