Kỳ 4: Phát hiện các cuộc xâm nhập vào mạng truyền thông trạm biến áp
Làm thế nào để áp dụng an ninh mạng trong IEC 61850 Station Bus?
Tác giả: Andreas Klien, OMICRON electronics GmbH, Cộng hòa Áo Đăng trên tạp chí PAC World, số tháng 3 năm 2019
Giới thiệu
Cần nhiều lớp để đảm bảo an ninh mạng cho các trạm biến áp (TBA). Việc mã hóa cho phép xác thực các thiết bị, nhưng không tránh được mọi cuộc tấn công bằng phương pháp này. Tường lửa và cách ly vật lý (air gaps) có thể tránh khỏi các kênh xâm nhập từ xa hiện hữu, hoặc các máy tính bảo trì nối trực tiếp với các IED hay station bus. Do vậy, cần có các biện pháp để phát hiện các mối đe dọa trong TBA, cho phép phản ứng nhanh và giảm thiểu thiệt hại. Bài báo này mô tả các yêu cầu về an ninh mạng trong TBA theo IEC 61850 và các cách thức khác nhau để phát hiện các cuộc xâm nhập vào mạng truyền thông. Tiếp đó, sẽ là một phương pháp đặc biệt được phát triển cho IEC 61850 station bus và process bus.Các hướng tấn công của TBA
Chúng ta hãy định nghĩa tất công mạng trong trạm là 1 sự kiện, khi nó thay đổi, giảm thiểu hoặc vô hiệu một dịch vụ của ít nhất một thiết bị bảo vệ, tự động hóa hoặc điều khiển trong TBA. Quan sát trên Hình 1, một TBA điển hình có thể bị tấn công qua tất cả các con đường được đánh số. Tin tặc có thể xâm nhập từ kết nối với trung tâm điều khiển (1), như đã xảy ra trong một trong những cuộc tấn công mạng ở Ukraine, khi firmware của các thiết bị gateway bị sửa đổi (gây ra sự hư hỏng).
Hình 1: Các hướng tấn công vào mạng truyền thông TBA
An ninh mạng và IEC 61850
Câu hỏi thường được đặt ra về an ninh mạng trong TBA kỹ thuật số là “Điều gì sẽ xảy ra nếu một tin tặc gửi lệnh cắt (GOOSE) vào station bus – làm thế nào để tránh điều đó?”. Trong trường hợp này, chúng ta không nên tập trung vào cách tin tặc có tiếp cận vật lý tới mạng truyền thông trạm. Tình huống xảy ra cũng có thể qua các cách khác như: một máy tính để cài đặt, cấu hình hoặc thí nghiệm bị nhiễm độc nối với station bus, hoặc thậm chí một IED bị nhiễm độc có có thể bắt đầu phát GOOSE. Trong trường hợp này, trạng thái và số thứ tự trong bản tin GOOSE thường được hiểu như là các “cơ chế bảo mật” của GOOSE. Tuy nhiên, trong năm 2019, các cách này chỉ được gọi là “cơ chế an toàn”, vì bất kỳ kẻ tấn công nào cũng có thể đọc được trạng thái và số thứ hiện tại để phát các giá trị thích hợp. Tin tặc có thể giả mạo cả các địa chỉ MAC nguồn của gói tin GOOSE. IED nhận GOOSE không có lựa chọn nào khác ngoài việc đáp ứng với bản tin GOOSE nhận được đầu tiên có địa chỉ MAC chính xác và trạng thái, số thứ tự đúng. Điều tương tự có thể xảy ra với bộ đếm mẫu trong Sampled Values. Biện pháp khả thi duy nhất để tránh cách cuộc tấn công xâm nhập kiểu này là đảm bảo tính xác thực và nguyên vẹn của bản tin sử dụng mã xác thực tại cuối của bản tin GOOSE, được chuẩn hóa bởi IEC 62351-6. Với biện pháp này, IED gửi sẽ được nhận biết rõ ràng và sẽ không thể can thiệp trái phép vào nội dung bản tin GOOSE. Lưu ý là không cần phải mã hóa bản tin để ứng dụng tính năng này. Để duy trì và xác thực key cho mỗi IED, bộ quản lý key cần phải đặt trong TBA. Hiện nay, cơ chế bảo mật GOOSE chưa được sử dụng phổ biến nhưng sẽ được áp dụng nhiều trong các TBA kỹ thuật số. Tương tự, nó cũng được áp dụng cho MMS và kiểm soát truy cập dựa trên vai trò (role-based).Mã hóa
Hình 2: Cấu trúc TBA được trang bị IDS
Bảo vệ toàn diện
Hầu hết các TBA IEC 61850 được xây dựng đến thời điểm này chưa thực hiện theo IEC 62351. Ngay cả trong các TBA sử dụng mã xác thực GOOSE và MMS, các thiết bị đã nhiễm độc trong mạng vẫn có thể ảnh hưởng cho các thiết bị khác hoặc làm ảnh hưởng đến hoạt động của hệ thống truyền thông. Do đó, phần lớn các tổ chức an ninh mạng khuyến cáo sử dụng Hệ thống phát hiện xâm nhập “Intrusion Detection Systems” (IDS), một thuật ngữ quen thuộc trong các hệ thống IT, để phát hiện các mối đe dọa và các hành vi trái phép trên mạng. Các IDS như thế này, tương tự như Station Guard của OMICRON, hiện nay trở nên phổ biến hơn trong lĩnh vực hệ thống điện.Các yêu cầu với hệ thống IDS trong TBA
Trong TBA IEC 61850, một IDS được kết nối như Hình 2. Các cổng ánh xạ (Mirror port) trên tất cả các switch liên quan sẽ chuyển tiếp một bản sao chép của tất cả lưu lượng mạng tới IDS. IDS sẽ kiểm tra tất cả lưu lượng truyền qua các switch này. Để có phân tích lưu lượng quan trọng nhất giữa gateway và các IED, thiết bị IDS cần được nối với switch sát với gateway và các tất cả các điểm xâm nhập trọng yếu vào mạng truyền thông. Các switch ở các ngăn lộ thường không cần phải quan tâm do chỉ các thông tin đa hướng (GOOSE, Sampled Values) xuất phát từ đây. Để có thể phân tích được mọi thông tin liên kết (unicast) trong các nhánh mạng, mọi switch cần phải ánh xạ đến IDS, việc này thường không khả thi nếu sử dụng các switch được tích hợp trong IED. Tuy nhiên, IDS của các hệ thống IT cổ điển không phù hợp với môi trường TBA. Khi mà hệ thống an ninh IT truyền thống ứng dụng cho các máy chủ hiệu năng cao với hàng triệu kết nối tại cùng thời điểm thì hệ thống an ninh mạng trong TBA phải làm việc với các thiết bị với năng lực xử lý hạn chế, hệ thống vận hành chuyên biệt, đáp ứng thời gian thực cùng với các giao thức dự phòng chuyên biệt. Ví dụ, một cuộc tấn công phá hủy dịch vụ (denial-of-service) nhằm vào dịch vụ của IED thường chỉ cần đến chục kết nối, như là 10 gói tin Ethernet, là đã thành công. Đơn giản bởi vì các kịch bản phá hủy dịch vụ không được tính đến trong quá khứ khi các thiết bị và giao thức được phát triển. Hơn nữa, chỉ có số lượng nhỏ các cuộc tấn công mạng vào TBA được biết đến, mỗi cuộc tấn công như vậy có thể gây ra các hậu quả nghiêm trọng. Do đó IDS cho TBA cần có khả năng phát hiện các cuộc tấn công mà không cần phải hiểu biết trước cuộc tấn công đó sẽ như thế nào, đây chính là việc của Station Guard thực hiện. Đây là phương pháp rất khác với bộ quét virus, cùng với danh sách nhận dạng virus để tìm kiếm.Các hệ thống dựa trên khả năng tự học
Để có khả năng phát hiện các cuộc tấn công không biết trước, rất nhiều nhà sản xuất sử dụng phương pháp “learning-phase”. Các hệ thống này theo dõi về tần suất và thời gian các nhận biết giao thức đã biết để học hành vi bình thường trong hệ thống. Sau khi hoàn thành “giai đoạn học”, nếu một trong các dấu hiệu nhận biết vượt đáng kể khỏi dải kỳ vọng thì sẽ phát ra cảnh báo. Điều này dễ dẫn đến các cảnh báo sai được cho mọi vấn đề không xảy ra trong “learning phase”, ví dụ như bảo vệ tác động, đóng cắt bất thường hoặc các thao tác tự động, hoặc thí nghiệm và bảo dưỡng định kỳ. Vì các hệ thống này không hiểu về bản chất giao thức, các thông tin cảnh báo được hiểu dưới góc độ chi tiết kỹ thuật của giao thức. Do đó, các cảnh báo chỉ có thể được kiểm chứng bởi kỹ sư thành thạo về giao thức IEC 61850 và nắm rõ về an ninh mạng. Kỹ sư đánh giá cảnh báo cũng phải hiểu tình trạng vận hành để xác nhận các sự kiện IEC 61850 liên quan đến hành vi cho phép. Do vậy, khi có quá nhiều cảnh báo trong TBA, thường dẫn đến các cảnh báo bị bỏ qua mà không được xem xét, hoặc thậm chí IDS sẽ bị tắt.Phương pháp
Hình 3: StationGuard nhập file SCL của TBA để tạo mô hình hệ thống hoàn chỉnh
Giám sát an ninh theo chức năng
Về bản chất, giám sát chủ động chi tiết là sản phẩm phát hiện các đe dọa an ninh trên mạng. Với mức độ kiểm soát chi tiết, không chỉ phát hiện được các đe dọa an ninh mạng như các gói tin bất thường hay các hoạt động điều khiển trái phép, mà cả những lỗi truyền thông, như các vấn đề về đồng bộ thời gian, và hệ quả tương ứng là lỗi thiết bị. Nếu sơ đồ một sợi đã nắm được bởi hệ thống, và các giá trị đo có thể thấy trong truyền thông MMS (hoặc thậm chí qua Sampled Values), khả năng để kiểm soát là vô hạn.
Hình 4: Lắp đặt thí điểm tại TBA 110kV thuộc CKW
Cùng phát triển với các kỹ sư PAC
Các nghiên cứu về phương pháp này được bắt đầu từ năm 2011. Từ khái niệm này, việc giám sát chức năng 24/7 của SV, GOOSE và đồng bộ thời gian PTP, đã được thực hiện trong một thiết bị phân tích kiểu lai (hybrid) (OMICRON DANEO 400) từ năm 2015. OMICRON thực hiện cùng với đơn vị vận hành phát điện và phân phối điện Thụy Sỹ CKW. Họ hiểu rõ các nhược điểm của các hệ thống IDS thương mại hiện có và đang tìm kiếm một giải pháp phù hợp hơn với các TBA và một trong các yêu cầu là phải thân thiện với các kỹ sư điều khiển, tự động hóa và bảo vệ. Việc này dẫn đến sự hợp tác giữa các kỹ sư PAC của CKW và nhóm phát triển giải pháp của OMICRON. Có nhiều điều thú vị về cách thức họ lên kế hoạch để phát hiện xâm nhập, khi đây là một phần trong thiết kế an ninh mạng TBA tương lai của họ. Cùng thời điểm đó, cùng với thông tin phản hồi từ các đơn vị điện lực trên thế giới, cũng như việc vận hành thí điểm tại 1 số nơi đã giúp ích chúng tôi trong quá trình phát triển. Trong năm 2018, một trong những nơi được thí điểm là TBA 110kV của CKW được lắp đặt và chạy thử đến nay. Hình 4 thể hiện việc phần cứng di động loại MBX1 được sử dụng ở phía dưới của bức hình. Trong hệ thống này, tất cả lưu lượng thông tin từ switch lõi (core) được gửi bản sao đến StationGuard. Điều này đảm bảo giám sát mọi thông tin từ gateway tới và từ tất cả IED. Vì truyền thông GOOSE dưới dạng tin đa hướng, và bởi vì lắp đặt mạng cho phép thực hiện, tất cả các bản tin GOOSE từ các IED ở các ngăn lộ trong TBA cũng sẽ được giám sát bởi StationGuard.Hiển thị các cảnh báo
Hình 6: Test PC thực hiện lệnh điều khiển trái phép một máy cắt
Hình 5: Hiển thị cảnh báo dạng đồ họa thay vì dưới dạng danh sách sự kiện
Chế độ bảo dưỡng
Hình 7: Kích hoạt chế độ bảo dưỡng cho ngăn Q01
Cấu hình
Như đã đề cập trước đó, phương pháp này không cần đến learning-phase. Việc theo dõi phát hiện được thực hiện ngay từ khi thiết bị được bật nguồn và không được phép tắt đi vì lý do an ninh. Cho tới trước khi SCD file của TBA được tải vào, tất cả các IED được phát hiện và hiển thị là thiết bị không biết trước (unknown devices). Ngay khi SCD file được tải vào, các IED sẽ được nhận biết (known devices) và hiển thị, và cấu trúc TBA sẽ được ghép vào sơ đồ “zero-line” (sơ đồ một sợi không nối dây), tương tự như trong phần mềm StationScout. Cấu hình có thể được chuẩn bị từ văn phòng và sau đó cài đặt tại hiện trường, lần lượt từng thiết bị và rất nhanh chóng. Nếu có những IED chưa được cấu hình vào file SCD (điều này thường xảy ra), các IED này có thể được nhập (imported) thêm vào từng thiết bị một. Khi quá trình import đã hoàn tất, người thí nghiệm có thể thêm vào với vai trò như máy tính thí nghiệm “Test PC” hay máy tính cấu hình “Engineering PC”… vào bất kỳ unknown devices nào còn trống.Điều gì sẽ xảy ra nếu xuất hiện một cảnh báo
Điều quan trọng cần lưu ý là StationGuard làm việc thuần túy thụ động, nếu một hoạt động trái phép xảy ra nó sẽ kích hoạt một cảnh báo. Cảnh báo này sẽ được truyền tới Gateway/ RTU và trung tâm điều khiển hoặc một hệ thống độc lập thu thập cảnh báo về an ninh – được biết đến là hệ thống quản lý các hoạt động sự cố về an ninh (Security Incident Event Management – SIEM). StationGuard không thực sự chủ động phản ứng hay tương tác trong TBA. Nhưng nó cho phép phản ứng nhanh, chả hạn, cách ly một thiết bị nghi vấn từ mạng trước khi bất kỳ hư hại nào có thể xảy ra. Tùy thuộc vào lựa chọn phiên bản phần cứng, có thể nối trực tiếp các đầu ra nhị phân cấu hình được tới RTU. Trong trường hợp này, các tín hiệu cảnh báo đưa ra không cần mạng truyền thông và các cảnh báo có thể được tích hợp vào các tín hiệu SCADA truyền thống như bất kỳ tín hiệu nối dây cứng nào khác trong TBA.An ninh mạng của bản thân IDS
Hình 9: Mặt sau của StationGuard 19” – phiên bản RBX1
Hình 8: Mặt trước của StationGuard 19” – phiên bản RBX1