Як будувати безпеку критичної інфраструктури: людина, аналітика, кіберзахист

Чому загрози на об'єктах критичної інфраструктури змінилися?

Звіти ENISA, Агентства ЄС з кібербезпеки, та міжнародних дослідників показують зростання кількості інцидентів на таких об'єктах. Причина у збільшенні загроз і в слабкостях систем безпеки на об'єктах, які раніше мало кого цікавили. Раніше говорили про несанкціонований доступ заради комерційної інформації чи фінансових збитків, або про використання пристроїв як ботів.

Тепер до цього додаються цілі виведення підприємств з ладу та збору інформації про людей і місцевість: відео, пересування транспорту чи окремих осіб. Класичні заходи безпеки лишаються потрібними, але сьогодні їх треба посилювати. Детальніше про задачу на сторінці безпеки критичної інфраструктури.

Як захиститися від людського фактора?

Головна причина зломів – людська недбалість. Хтось зберігає паролі на папірці під клавіатурою, хтось у текстовому файлі. Після фізичної окупації підприємства чи установи такі дані можна підгледіти і спокійно дослідити. Без організаційної дисципліни ці проблеми не зникають: потрібні роз'яснювальні семінари, посадові інструкції, тренування (наприклад, розсилка фальшивих листів про виграш смартфона з подальшою бесідою з тими, хто перейшов за посиланням) і навіть штрафні санкції.

Програмний продукт СТАН уміє блокувати авторизацію користувача без позначки про проходження навчання в електронній формі. Звучить непривітно, але такі заходи виправдані. На рівні програмного середовища недбалість теж треба унеможливлювати. XProtect дає змогу змінювати пароль із визначеною періодичністю, вимагати складність паролів, використовувати багатофакторну авторизацію, блокувати вхід у неробочі години та вести детальний журнал. Про платформу читайте на сторінці Milestone.

Корисно обмежувати доступ до меню, функцій, інструментів і каталогів. Чим гнучкіше софт дозволяє вирізати зайвий функціонал, тим краще. Системи відеоспостереження вміють змінювати паролі до камер автоматично, без участі адміністратора і з контрольованою складністю. Доступ до пристроїв тоді мають лише централізовані засоби, а обслуговуючий персонал його не отримує.

Як захистити людей на об'єкті?

Охорона праці, безпека співробітників, диспетчеризація й сповіщення персоналу не нові теми, зокрема й для України. Кваліфікованого співробітника у вузькій галузі знайти складно, і найближчими роками легше не стане. Тому працівників варто берегти, а виробничі травми зменшувати. Контроль зон підвищеної небезпеки й виявлення порушень техніки безпеки сьогодні вирішують ШІ-рішення. Головне знайти готовий продукт: концепт для експлуатації не підходить.

Далі потрібно подумати про сповіщення персоналу: рупори, динаміки, стробоскопи, переговорні та носимі пристрої. Axis Communications випускає пристрої сповіщення, які працюють з камерами й системами відеоспостереження.

Великі мовні моделі (LLM) і візуальні (VLM) можуть розвантажити оператора й реагувати швидше за людину. Тут легко потрапити в пастку. Рішення має бути готовим і водночас достатньо гнучким для ваших специфічних задач. Пропозицій багато, тому перед вибором переконайтеся, що у виробника вистачить людей і часу для сервісних звернень та доробок. Український виробник IncoreSoft показав, що здатен розвивати продукт роками й будувати стабільні стосунки із замовниками та партнерами. Усередині компанії теж потрібні люди, які зможуть адмініструвати систему й формулювати запити до мовної моделі так, щоб результат відповідав задачі в різних сценаріях. Це може виявитися нетривіальним завданням.

Аналітика на камері чи на сервері?

Програмне забезпечення треба купувати й обслуговувати, а разом із ним «залізо» протягом усього періоду роботи. Чим більше серверів і чим вони потужніші, тим більше потрібно електроенергії й охолодження. Ціни на серверні комплектуючі за два роки зросли, тому варто оптимізувати навантаження, але так, щоб відеоаналітика й мовні моделі не «скотилися» до порівняння пікселів.

Рішення здається очевидним: перенести обробку на борт кінцевих пристроїв. Багато виробників реалізують ШІ на камері, але характеристики треба читати уважно й тестувати. Навіть звичний LPR на борту має меншу продуктивність, ніж серверний. Сервер спокійно обробить 25 кадрів на секунду з десятьма й більше об'єктами в кожному кадрі, бортова аналітика на такому навантаженні слабша. Добросовісні виробники додають окремі процесори для аналітики, щоб у піки навантаження ресурс не йшов на шкоду якості відео.

Ризики різняться. Якщо сервер не впорався, можна додати потужність або змінити софт, це витрати, але вихід є. Якщо ж закуплено парк зі 100 камер із бортовою аналітикою, а розпізнавання облич на автовокзалі спрацьовує лише для 30% людей, доведеться міняти камери або все одно купувати серверну аналітику. Тому перед масовою закупівлею проводьте пілот. Про ШІ-аналітику читайте окремо.

Чому відновлення об'єкта дає шанс оновити безпеку?

Багато об'єктів критичної інфраструктури зазнали повного або часткового руйнування. Якщо будують нові приміщення й купують нове обладнання, це добрий момент відмовитися від застарілих принципів. Об'єкти, особливо державної власності, нерідко роками жили без змін, і підходи, що були на момент заснування, не витримують сучасних вимог.

Тому доречно замінити аналог на цифру, розподілити обчислювальні потужності й закласти безпеку зберігання та передавання даних усередині системи й назовні. Якщо Україна стане частиною ЄС, діятиме GDPR із жорсткими правилами щодо персональних даних: зберігання, передавання, експорт. Через п'ять-десять років буде прикро міняти частину системи чи всю через невідповідність стандартам.

Як поєднати системи в одну?

Цифрова інфраструктура дозволяє доповнювати одні галузеві продукти іншими. Відеоспостереження вже давно працює разом з контролем доступу. Пожежні датчики, пультова охорона, аудіосповіщення, відео й бізнес-аналітика, вагові системи, моніторинг серверів і мережі працюють у кооперації. Це ускладнює супровід великого парку ПЗ та пристроїв, але дає більшу ситуаційну обізнаність, автоматизацію й менший вплив людського фактора. Підхід описано на сторінці інтегрованих систем безпеки.

Для інтеграції виробники пропонують набори інструментів розробника, а на їхній основі вже зроблено готові плагіни та розширення, які працюють з коробки. Часто вони безкоштовні, і це аргумент на користь великої системи, наповненої даними. Є камери з бортовою аналітикою, які передають метадані у VMS, де автоматично будуються графіки з різними фільтрами.

Як захистити самі пристрої?

Камери, рупори, радари, реле, зчитувачі контролю доступу й датчики мають обчислювальну потужність на рівні офісного ноутбука. Крім даних розвідувального характеру, вони цікаві для створення ботоферм для кібератак і розподілених обчислень. Якщо камеру навантажити сторонніми задачами, їй може не вистачити ресурсу на основні, і зображення погіршиться.

Деякі виробники пропонують вбудовану роботу камери через хмару. Це зручно: не потрібні складні налаштування мережі, відео видно на телефоні за лічені хвилини. Проте камера з хмарним підключенням має вихід в інтернет, навіть якщо хмара безпечна, і це магістраль для потенційного зламу.

Професійні виробники діють інакше. У примітках до AXIS OS 12.11 і 13.0 Axis повідомляє про підтримку гібридної схеми постквантової криптографії ML-KEM для TLS 1.3. Вона захищає від атак, коли зловмисник записує трафік сьогодні, щоб розшифрувати його пізніше. Для використання функції клієнт теж має її підтримувати, наприклад у HTTPS, MQTT, RTSPS та 802.1X. Так виробник прибирає застарілі механізми й додає функції, що дозволяють пристроям безпечно працювати наступні роки. Про виробника: Axis Communications.

Відомий бренд чи амбітний стартап?

Перед відповідальними особами постає вибір: «дороге» рішення від відомого бренду чи «дешеве» від молодої компанії. Готові продукти іменитих брендів одразу дають працюючий функціонал, досвід, кваліфікований супровід і впевненість в оновленнях. Невелика команда з яскравим баченням і обмеженим бюджетом дає можливість домовитися про індивідуальну розробку. Але доробок може бути не одна й не дві, і нижча вартість на старті з часом зростає. Існує також ризик стати полігоном для тестування, з простоями та відкатами ПЗ.

Безпека – це процес, постійний і безперервний. Для критичної інфраструктури безперервність безпеки не підлягає сумніву. Тому вибір компонентів та інструментів має бути доступним постійно, а впевненість у стабільності партнерів повинна бути міцною.