Механизм обеспечения информационной безопасности центрами киберзащиты промышленных предприятий

Введение

В эпоху цифровых технологий информационная безопасность становится одним из важнейших аспектов функционирования любой организации. Угрозы киберпреступности постоянно эволюционируют, становясь всё более сложными и опасными [1; 2]. Зачастую основными жертвами являются промышленные предприятия, которые играют стратегическую роль для безопасности страны.

В течение 2024 года число зафиксированных компьютерных инцидентов на критических объектах российской промышленности превысило 10 000, что оказалось сопоставимо с показателями предыдущего года; при этом прирост атак по сравнению с 2022 годом составил порядка 11 %, а годом ранее их количество утроилось по сравнению с 2021 годом [5]. Прямые убытки от приостановки производственных процессов в случае компрометации контроллеров SCADA/ICS могут исчисляться сотнями миллионов рублей в день, а косвенные потери — в виде штрафов за нарушение нормативов и утраты деловой репутации — многократно превосходят затраты на организацию службы киберзащиты. С начала 2020 года было выявлено 365 уязвимостей в системах автоматизированных системах управления технологическими процессами (АСУ ТП) от разных производителей, при этом 255 из них можно эксплуатировать удаленно [19].

Очевидно, что промышленное предприятие неизбежно сталкивается с необходимостью круглосуточного надзора за состоянием своих автоматизированных процессов и сетевой инфраструктуры. Для промышленных предприятий информационная безопасность (ИБ) — это не просто IT-гигиена, а залог выживания в современном мире [3]. Кибератаки могут нанести непоправимый ущерб, выходящий далеко за рамки финансовых потерь. Публичная информация о кибератаке может подорвать доверие клиентов и партнеров, что приведет к снижению продаж и потере инвестиций. Компрометация промышленных контроллеров может привести к остановке конвейеров, повреждению оборудования и браку продукции, что влечет за собой огромные финансовые потери и риски для здоровья и безопасности персонала.

Основная проблема состоит в том, что большинство промышленных предприятий сталкиваются с фрагментированной системой защиты: антивирусы, межсетевые экраны и базовые средства мониторинга работают изолированно, в связи с чем реакция на инциденты запаздывает, особенно при целевых атаках [15]. Проблему усугубляют недостаток квалифицированных кадров и зависимость от зарубежных решений [4].

В статье предлагается механизм формирования комплексной системы защиты промышленной инфраструктуры, которая включает в себя развитие собственных центров киберзащиты и внедрение инновационных методик раннего распознавания угроз и принятие действенных мер по повышению общей готовности предприятий к отражению кибератак. Реализация подобных механизмов позволит обеспечить стабильность, защиту и конкурентную устойчивость промышленного предприятия.

Проблемы информационной безопасности машиностроительного предприятия

Машиностроительное предприятие особенно уязвимо из-за сложных производственных цепочек, использования промышленного оборудования (SCADA/ICS) и хранения технологических секретов. Типовая ИТ-архитектура машиностроительного предприятия строится по многоуровневой модели, где каждый уровень выполняет специализированные функции [16]. ИТ-архитектура включает в себя четыре основных уровня:

1) уровень проектирования (CAD/CAM);

2) уровень управления технологическими процессами (АСУ ТП/SCADA);

3) уровень управления производством (MES);

4) уровень планирования ресурсов предприятия (ERP).

На первом уровне системы автоматизированного проектирования обеспечивают автоматизацию процесса проектирования изделий, являются важным компонентом ИТ-архитектуры машиностроительных предприятий и тесно интегрированы с другими уровнями архитектуры для обеспечения единого информационного пространства.

На втором уровне автоматизированные системы управления технологическими процессами (АСУ ТП) используются на производственных предприятиях в сфере машиностроения для управления производственным оборудованием и технологическими процессами. Системы SCADA работают на уровне 2 эталонной модели Purdue (или Purdue Enterprise Reference Architecture (PERA)) и отвечают за управление физическими процессами производственной деятельности [17]. Модель PERA структурирует промышленную сеть на иерархические уровни, обеспечивая разделение между системами операционных технологий (OT) и информационных технологий (IT) для повышения безопасности и управления данными. Основные компоненты уровня 2 эталонной модели включают в себя стенды для проведения испытаний оборудования, системы, оснащенные числовым программным управлением, АСУ ТП для кранового хозяйства, для прессов и для различных конвейерных систем.

На третьем уровне MES-системы обеспечивают связь между технологическим и бизнес уровнями управления предприятием. Архитектура MES-систем включает в себя аппаратные и программные компоненты, объединенные в единую систему для мониторинга и управления производственными процессами, а именно: серверы и базы данных, датчики и исполнительные механизмы, сканеры штрих-кодов и RFID-считыватели, программируемые логические контроллеры (ПЛК), устройства человеко-машинного интерфейса (HMI) и сетевое оборудование.

На уровне планирования ресурсов предприятия используются класс ERP-систем, которые работают на уровне 4 эталонной модели Purdue, отвечая за управление деятельностью организации, связанной с бизнесом. ERP-системы обеспечивают эффективное финансовое и материальное планирование, минимизацию уровня складских запасов и незавершенного производства, снижение затрат на каждую единицу готовой продукции и улучшение финансовых показателей деятельности предприятия.

Представим смоделированную архитектуру информационных систем типового машиностроительного предприятия (рис. 1).

Рисунок 1. Пример архитектуры информационных систем машиностроительного предприятия [16]

Такая сложная ИТ-архитектура подвержена множеству опасностей, так как многие компоненты ИТ-архитектуры могут быть под угрозой. Зачастую вектор атаки может быть непредсказуем, например, основные киберугрозы для периферийных устройств, датчиков и контроллеров включают эксплуатацию аппаратных уязвимостей и недостатков прошивки [18].

Более 60% всех киберинцидентов в промышленности с начала 2024 года связано с попытками заражения инфраструктур вредоносным ПО. Помимо массового вредоносного ПО, хакеры используют для атак на промышленные инфраструктуры специализированный вредоносный софт: Industroyer, Trisis, Nikowiper, Fuxnet и другие [20].

Слабая сегментация между ИТ и ОТ (операционными технологиями) системами позволяет хакерам переносить атаки, возникающие на ИТ-стороне, для проникновения в системы, управляющие производственными процессами. Надлежащая сегментация существует не во всех компаниях, и в этом случае даже атака обычного шифровальщика на компьютер рядового сотрудника может нанести серьёзный ущерб промышленному оборудованию. Многие IoT-устройства не имеют встроенных средств защиты, что делает их легкой мишенью для хакеров [13]. Основными угрозами также являются слабые пароли и незащищенный выход в интернет.

Производственное оборудование часто имеет срок службы до 20 лет, что означает, что многие операционные машины изначально не способны взаимодействовать c современными заводскими подразделениями. Устаревшее оборудование доцифровой эпохи может быть менее подвержено киберугрозам, но создает проблемы интеграции с современными системами.

Целями защиты на промышленных предприятиях является обеспечение непрерывности производственного процесса, защита интеллектуальной собственности и конструкторской документации, предотвращение кибератак, способных вывести из строя оборудование и соблюдение отраслевых нормативов и законов.

Актуальность функционирования центров киберзащиты на промышленных предприятиях

Наличие собственного центра киберзащиты позволит интегрировать все уровни управления — от IT‑сегмента до «полевых» контроллеров — в единую систему мониторинга и реагирования [6]. В результате становится возможным снизить «окно уязвимости»: нападают не только на классические корпоративные сети, но и на BMS‑решения (управление климатом, лифтами, энерго‑ и водоснабжением) и технологические линии, что делает возможным вылавливать подготовительные фазы атаки задолго до проявления первых сбоев в процессе производства.

Присутствие на предприятии собственного SOC‑подразделения даёт возможность развивать алгоритмы машинного обучения и поведенческого анализа, обученные именно на профиле оборудования и протоколах заказчика, что позволяет отсеивать ложные срабатывания и концентрироваться на реально опасных аномалиях, характерных для промышленных систем.

Организация внутренних процессов киберзащиты также усиливает соответствие международным и отраслевым стандартам: ГОСТ Р МЭК 62443-2-1-2015, NIST SP 800‑82, ISO 27001, ГОСТ Р ИСО/МЭК 15408-1-2012 [7; 8; 9; 10]. Благодаря наличию штатных инженерно‑технических специалистов собственный центр киберзащиты оперативно проводит аудит сетевой архитектуры, тестирование на проникновение и проверку корректности сегментации доверенных и недоверенных зон (DMZ), что существенно сокращает время подготовки к внешним инспекциям и снижает риски штрафных санкций со стороны регуляторов.

Вендор‑нейтральная инфраструктура центра киберзащиты, включающая SIEM‑платформу, IDS/IPS‑датчики и оркестрацию SOAR, играет роль «единого окна» при расследовании инцидентов и автоматизированного развёртывания исправлений. Это исключает латентное перемещение злоумышленников из корпоративной сети в OT‑зону и наоборот — классическая «цепочка» фишинг‑компрометация: латеральное распространение, а затем вывод из строя контроллера прерывается на этапе обнаружения фишингового письма или подозрительной сетевой сессии [11; 12].

Ключевые угрозы, от которых защищает центр киберзащиты промышленного предприятия: программные атаки типа программы-вымогатели (ransomware), способные мгновенно парализовать управление технологическими процессами и требовать выкуп за разблокировку контроллеров; целенаправленные кампании, нацеленные на уязвимости в протоколах ICS; DDoS‑направленные против публичных сервисов заводов и удалённых станций, нарушающие доступность данных и управляющих интерфейсов; фишинговые кампании и инсайдерские атаки, использующие украденные учётные данные для проникновения в сеть и кражи технологических секретов; уязвимости устаревших или некорректно сконфигурированных систем, оставшиеся «входными воротами» для вредоносного ПО [13; 14].

Таким образом, собственный центр киберзащиты позволяет промышленному предприятию выстроить интегрированную экосистему безопасности, ориентированную на специфику отраслевых угроз и внутренних бизнес‑процессов. В отличие от сторонних провайдеров, внутренний SOC (Security Operations Center) обеспечивает круглосуточный мониторинг, сбор и корреляцию событий в реальном времени, что сокращает среднее время реагирования (MTTR) до нормативных 5–15 минут для критических инцидентов и обеспечивает их полное устранение в пределах двух часов [21]. Внедрение SIEM и машинного обучения позволит выявлять атаки ещё на стадии подготовки. Компании получает не только защиту, но и поддержку в обучении персонала, снижении рисков и соблюдении нормативов, а также устойчивость бизнеса и конкурентное преимущество в цифровой среде [22].

На основе всего вышесказанного для обеспечения информационной безопасности на промышленном предприятии предлагается использовать алгоритм, представленный на рисунке 2.

Рисунок 2. Алгоритм обеспечения информационной безопасности предприятия «Составлено авторами»

Несмотря на наличие ряда автоматизированных инструментов, многие процессы по-прежнему выполняются вручную, что замедляет реакцию на реальные угрозы и увеличивает риск пропуска важного сигнала. К тому же, современный ландшафт угроз характеризуется увеличением числа направленных атак и ростом их технической сложности, что требует значительных усилий для их обнаружения и нейтрализации [23].

Интеграция мультиагентной системы в центры киберзащиты промышленных предприятий

Для снижения нагрузки на персонал, а в дальнейшем и уменьшение количества сотрудников, необходимых для реагирования на угрозы кибербезопасности, можно применить механизм, основанный на технологиях искусственного интеллекта [24].

Предлагается внедрить в деятельность промышленных предприятий механизм, который представляет собой гибридное решение, объединяющее человеческие компетенции экспертов-аналитиков и возможности искусственного интеллекта, обеспечивающее эффективное управление рисками и реакцией на инциденты кибербезопасности. Основная цель его применения заключается в повышении качества и скорости реакции на возникающие события, снижении нагрузки на экспертов-аналитиков и максимальном использовании возможностей автоматизации [25].

Данный механизм основан на тесном взаимодействии аналитиков SOC и искусственной интеллектуальной среды. Специалисты получают поддержку от цифровых ассистентов, обрабатывающих данные, определяющих паттерны угроз и предлагающих оптимальные решения, что повышает точность и скорость диагностики и устранения инцидентов.

Технически концепт представляет собой мультиагентную систему, то есть систему, образованную несколькими, взаимодействующими AI-агентами.

В свою очередь, AI-агент — это программное обеспечение, которое самостоятельно планирует и выполняет задачи с использованием искусственного интеллекта [26]. Схема работы представлена на рисунке 3.

Рисунок 3. Схема работы AI-агента [27]

Система основана на обучении LLM (большая языковая модель) базовой компетенции в области кибербезопасности и адаптивном дообучении, что позволяет гибко настраивать модель под специфические задачи SOC. Это обеспечивает возможность быстрого внедрения и адаптации инструмента под нужды конкретного центра безопасности. Представим (рис 4.) пример архитектуры подобной системы.

Рисунок 4. Пример архитектуры мультиагентной системы «Составлено авторами»

Механизм, предложенный авторами, способен автоматически анализировать поступающие угрозы и инициировать соответствующие процедуры реагирования, например, блокировать подозрительные соединения, изолировать пораженные узлы сети или запускать профилактические процедуры резервного копирования.

Интеллектуальная система может принимать самостоятельные решения относительно активации необходимых сценариев реагирования, исходя из уровня угрозы и особенностей конкретного инцидента, например, выбирать оптимальные стратегии блокировки входа для подозрительного пользователя или экстренное отключение устройства при обнаружении признаков компрометации. Данные сценарии возможно формировать на основе перечня, который регулярно обновляет Федеральная служба по техническому и экспортному контролю (ФСТЭК) [28].

Проведем сравнительный анализ состояния системы SOC до и после внедрения авторского механизма реагирования на инциденты информационной безопасности на промышленном предприятии (таблица 1).

Таблица 1. Преимущества от внедрения предложенного механизма

Авторский механизм позволит повысить эффективность анализа киберугроз и реагирования на инциденты информационной безопасности, что в свою очередь, позволит сократить время на разрешение высокоприоритетных инцидентах, что значительно уменьшит нагрузку на дежурных центра киберзащиты.

Экономическое влияние внедрения AI-агента проявляется, в том числе, через увеличение объема сегмента рынка средств защиты инфраструктуры. Совокупный объём российского рынка кибербезопасности может быть представлен как:

V = V_СЗИ + Vусл., где

V – объем российского рынка кибербезопасности

V_СЗИ – объем российского рынка средств защиты информации

V_усл. – объем российского рынка услуг по информационной безопасности

Декомпозиция показателя V_СЗИ включает следующие компоненты:

Vсзи = V_сзс + V_сзинф. + V_сзп + V_сзд. + V_сзп, где

V_сзс – объем российского рынка средств защиты сетей

V_сзк – объем российского рынка средств защиты «конечных точек»

V_сзинф. – объем российского рынка средств защиты инфраструктуры

V_сзп – объем российского рынка средств защиты приложений

V_сзд – объем российского рынка средств защиты данных

V_сзп – объем российского рынка средств защиты пользователей

Применение AI-агента повышает востребованность решений, предоставляемых «из коробки», и снижает зависимость от дефицитных квалифицированных кадров, что стимулирует рост рынков.

Внедрение авторского механизма в инфраструктуру центра киберзащиты предприятия позволит достичь значительного экономического эффекта за счёт оптимизации затрат, повышения скорости реагирования на инциденты и снижения совокупного ущерба от киберугроз.

Совокупный ущерб от одного инцидента информационной безопасности может быть представлен следующим образом:

U = U_p + A * U_k, где

U – экономический ущерб от инцидента, руб.

U_p – прямой экономический ущерб, руб.

A – коэффициент приведения разновременных затрат (коэффициент дисконтирования), зависящий от длительности последствий

U_k – косвенный экономический ущерб, руб.

Данная формула учитывает не только мгновенные затраты, но и последствия инцидентов, проявляющиеся с отсрочкой (например, потеря репутации или клиентов).

Общая стоимость инцидента включает разнообразные статьи затрат:

С_инц = С_обнар. + С_реаг. + С_пот. + С_реп. + С_рег. + С_вос.

С_реаг = З_ср. * N_раб. * 12, где

С_инц. – стоимость инцидента, руб.

С_обнар. – затраты на обнаружение инцидента: часы SOC-аналитиков, системы мониторинга, руб.

С_реаг – реагирование: внутренняя команда, внешние подрядчики, эксперты, расходы на персонал, руб.

З_ср. – среднемесячная заработная плата, руб.

N_раб. – среднесписочное число работников, шт.

С_пот. – потери от простоя систем, недополученная выручка, руб.

С_реп. – потери от оттока клиентов, падения акций, PR-затраты, руб.

С_рег. – штрафы, судебные издержки, обязательные уведомления регуляторам, руб.

С_вос. – расходы на восстановление, усиление защиты, обучение, аудит, руб.

При внедрении авторского механизма возможно снизить стоимость инцидента. Сокращение затрат напрямую связано с автоматизацией, которую обеспечивает AI-агент.

Еще одним ключевым параметром оценки эффективности внедрения предложенного механизма является показатель среднее время реагирования на инцидент (Mean Time to Respond, MTTR):

MTTR = T_р. / N_инц., где

T_р. – время на устранение одного инцидента, мин.

N_инц. – количество инцидентов, шт.

Сокращение среднего времени реагирования на инцидент приведёт к снижению как прямых, так и косвенных издержек, так как инциденты устраняются до момента критического ущерба.

Стоит отметить, что внедрение предложенного авторами механизма позволит снизить операционные затраты центра киберзащиты (OPEX). Годовые операционные расходы центра киберзащиты выражаются как:

OPEX = C_перс. + C_лиц. + C_инц. + C_обуч. + С_сопр.. + C_ауд., где

OPEX – ежегодные операционные издержки центра киберзащиты на обеспечение кибербезопасности, руб.

C_перс. – расходы на персонал (аналитики, инженеры, смены), руб.

C_лиц. – стоимость лицензий на SIEM, SOAR, EDR и др., руб.

C_инц. – совокупная стоимость инцидентов в год, руб.

C_обуч. – расходы на повышение квалификации, сертификация, руб.

С_сопр. – затраты на техподдержку, сопровождение решений, руб.

C_ауд. – расходы на аудит, соответствие требованиям, руб.

Снижение этих затрат является результатом уменьшения нагрузки на персонал, автоматизации процессов и повышения эффективности работы. Таким образом, за счет внедрения авторского механизма реагирования на инциденты получится увеличить как макроэкономические факторы, так и микроэкономические, за счет снижения долговой нагрузки на промышленные предприятия по содержанию и обслуживанию центра киберзащиты.

Выводы

Исследование показало, что центры киберзащиты промышленных предприятий обеспечивают постоянный контроль над состояниями информационных систем, своевременное выявление и нейтрализацию угроз, тем самым сохраняя целостность производственного процесса и защищенность чувствительных данных.

Разработанный авторами механизм реагирования на угрозы позволит значительно ускорить процессы принятия решений и уменьшить негативное воздействие инцидентов. Анализ показывает, что использование современной технологии машинного обучения и мультагентной системы открывает перспективу существенного сокращения временных и финансовых расходов, связанных с кибербезопасностью. Благодаря такой оптимизации снижается нагрузка на высококвалифицированный персонал, уменьшается количество рутинных операций и повышается точность обработки сигналов опасности.

Для промышленных предприятий данный механизм позволит развернуть собственный центр киберзащиты без значительных усилий. Нет необходимости содержать большой штат сотрудников, достаточно встроить в процессы небольшой команды высококвалифицированных специалистов новый механизм, который кратно повысит эффективность работы всего центра и обеспечит конкурентное преимущество, за счет использования передовых разработок, адаптации к технологическому контору компании, а также оптимизации внутренних процессов.

Центры киберзащиты не только выполняют защитные функции, но и способствуют устойчивому развитию и сохранению конкурентоспособности промышленных предприятий в условиях быстро меняющегося цифрового ландшафта и возрастающей интенсивности киберугроз. Использование современных средств защиты позволит обеспечить стабильность работы предприятия на многие годы вперед, в независимости от внешних условий.