Наконец-то! Свершилось! Свееееершииииилоооооось! -ось-ось-ось-ось-ось… — ответило наше ручное офисное эхо.
Я долго ждал дня, когда на моём столе появится первый коммерческий, массово доступный прибор на нашей собственной безопасной операционной системе. Вот он, красавец. Сетевой роутерпроизводства компании Крафтвей.
Эта красивая чёрная коробочка — не что иное как защищённый коммутатор уровня L3 с нашей ОСью внутри. И это первая серийная железка в коммерческой продаже! На подходе ещё много чего, а дальше будет и ещё, и ещё больше разных безопасных «вещей интернета», также известных как IoT. Потому что наша операционка оказалась весьма подходящей для подобных проектов, где нужна небольшая, оптимизированная и безопасная платформа.
Если кратко, то у этой операционки есть несколько особенностей.
Во-первых, микроядерная архитектура, в результате чего мы под конкретные требования можем собирать «из кубиков» различные модификации системы. Во-вторых, встроенная система безопасности, контролирующая поведение приложений и модулей операционной системы. Чтобы хакнуть эту платформу надо поломать криптографическую подпись, что до наступления эпохиквантовых компьютеров является весьма недешёвым занятием. И в-третьих, всё сделано с нуля. Всё популярные ОСи не заточены на безопасность и поэтому проще и надёжнее сделать всё заново, по-правильному. Что мы и сделали.
И, по совпадению, сегодня мы отмечаем день рождения этой самой операционки!
Самая первая встреча по этому проекту состоялась ровно 14 лет назад! Нет, не подумайте, что всё это время мы кропотливо кодили и тестировали. За такое время при достаточных ресурсах можно вообще любой проект по нескольку раз нарисовать и многократно переделать.
Первые несколько лет ни одной строчки кода написано не было. Мы периодически встречались, обсуждали технические детали, архитектуру, рисовали красивые картинки на больших листах бумаги. Потом собирали команду — медленно, поскольку специалистов по операционкам не так и много. Короче, дело двигалось неторопливо, но уверенно. И сегодня мы не просто отмечаем очередной бёздник, а с первым коммерческим девайсом в руках!
11-е ноября — очень легко запомнить, ведь это 11-11 :) День рождения большого и трудного проекта. В компании он так и остался известен как одиннадцать-одиннадцать или 11-11 в честь даты дня рождения.
14 лет — это серьёзный возраст для любого проекта. Время оглянуться назад. Вспомнить былое — как в самом начале мы спорили об архитектуре и базовых параметрах будущей ОСи, как чувствовали себя немного алхимиками, с циркулем искавшими квадратуру круга.
Вопрос, на который мы искали ответ, был такой: а как вообще построить операционную систему, которую принципиально невозможно взломать? Возможно ли это на практике? А вокруг всей этой алхимии народ удивлялся — а что это мы там такое задумали? Решили заделать неломаемую платформу и порушить наш антивирусный бизнес-кормилец?
Да, нас часто спрашивали — зачем она вообще нужна, такая операционная система?
Сегодня поговорим о будущем. О мрачном будущем массированных кибератак на атомные электростанции, системы управления энергоснабжением и транспортом, финансовые и телекоммуникационные системы и в целом то, что мы называем критически важными объектами. Если проще – о сценарии, показанном в четвертом «Крепком Орешке», когда атака на объекты инфраструктуры повергает в хаос чуть ли не всю страну.
Увы, решить проблему уязвимости промышленных систем методами Джона Макклейна не получится. Но мы работаем и над технологиями, а конкретно – над защищенной операционной системой, предназначенной именно для критически важных информационных систем (Industrial Control Systems, ICS). Слухов об этом проекте в сети появилось достаточно и поэтому мы решили немного приоткрыть завесу тайны и рассказать, что же на самом деле происходит. 
Но сначала – немного о том, как мы докатились до такой жизни, и зачем собственно нужна такая «ось»?
Беззащитность индустриальных систем
У промышленных информационных систем и обычных, скажем, офисных компьютерных сетей, несмотря на их кажущееся сходство, совершенно разные приоритеты в плане безопасности и функционирования. В обычных компаниях важнее всего конфиденциальность информации. Например, если на корпоративном файловом сервере обнаружили троян, проще отключить зараженную систему от сети и потом уже разбираться с проблемой. В промышленной информационной системе так сделать не получится, так как здесь самый высокий приоритет имеет сохранение работоспособности. На заводе любой ценой, и в первую очередь, обеспечивается непрерывность производства, а уж после этого думают о защите.
К чему это приводит? К тому, что чаще всего софт на работающем объекте обновляется только после тщательной проверки, а иногда и не обновляется вовсе, оставаясь неизменным десятки лет. Обновление ПО может быть и прямо запрещено политикой безопасности на конкретном предприятии. Но даже если возможность обновить софт и залатать дыры есть, это не всегда помогает. Дело в том, что производители такого специализированного ПО мало заинтересованы в постоянных исследованиях исходного кода и латании дыр. Как показывает практика, на этом обычно стараются сэкономить, выпуская «заплатки», только если в сети уже обнаружен и действует некий эксплойт. Если честно, это высказывание верно не только для специализированного, но и для обычного ПО, но сегодня мы говорим именно о промышленном софте.
Дальше проблема заключается вот в чем: уязвимость управляющего ПО, программируемых контроллеров, промышленных сетей связи приводит к тому, что у оператора условной промышленной системы на самом деле нет средств получения заведомо правдивой информации о её работе! Теоретически возможна ситуация, когда, допустим, атакуется система распределения электроэнергии, в результате чего где-то на отдалённом объекте происходит авария. Контролёр или оператор об этом даже не подозревают: атакующие выводят на их компьютеры заведомо ложную информацию.
Звучит знакомо? Ничего удивительного - за примерами далеко ходить не надо. Оригинальный способ, который, по сути, был самым настоящим киберсаботажем и заключался в прямой атаке на систему SCADA, случился в 2000 году в Австралии. Работник контрактной компании, работавший над системой контроля очистительной системы Maroochy Shire Council в ходе 46(!) атак делал так, что насосы не работали вообще или работали не так, как надо. Никто не мог понять, что происходит - коммуникация внутри системы была нарушена. Только спустя месяцы компании и властям удалось разобраться, что произошло. Оказывается парень очень хотел получить работу в очистительной компании, а в результате затопил нечистотами огромную территорию штата Квинсленд.
На самом деле таких примеров достаточно – просто большинство из них остаются за рамками статей в СМИ. Пострадавшие компании вполне резонно стараются не придавать дела огласке. О многих инцидентах не догадываются даже они сами. Вот недавно в промышленных роутерах RuggedCom была обнаружена «дыра», которая позволяла простому пользователю запросто повысить свои привилегии до администратора и получить контроль над устройством. Кто, когда, как и где ей смог воспользоваться – можно только догадываться. Для саморазвития ещё рекомендую почитать про успешные атаки на ICS
Давайте подумаем, кому ещё кроме шантажиста-работника доступны исходные коды управляющего ПО, контроллеров, операционной системы и всего прочего? Правильно, «компетентным органам», иными словами – государственным структурам. Именно тем, которые одним своим отделом сертифицируют ПО для работы в критически важных системах, а другим – разрабатывают (с относительно недавних пор) кибероружие для атаки систем противника. Примеры: Stuxnet и последовавшие за нимDuqu, Flame и Gauss – проекты настолько сложные, что возможны только при технической и финансовой поддержке очень мощных субъектов. И не важно, кто кому угрожает в настоящий момент, важно то, что такие кибервооружения разрабатываются и применяются. Пусть не всеми странами и не против всех, но будучи открытым этот «ящик Пандоры» уже не закроешь: вооружаться для атаки на ключевые объекты противника рано или поздно станут все. Самая большая угроза исходит не от обычной кибершпаны и даже не от организованного кибер-криминала, а от создателей кибероружия.
Вооружаясь, компании и государства не забывают и о защите. Причем защищаться, в принципе, они начали уже давно, вопрос в том, как они это делают? Реально используемых методов – два. Первое – изоляция критически важных объектов: отключение их от Интернета или физическая изоляция от внешнего мира каким-то другим способом. Однако, как показывает практика, если оператор на объекте захочет в ночную смену посмотреть на управляющем ПК фильмы с зараженной флэшки – его ничто не остановит (у нас есть работающие способы блокирования таких попыток, но сейчас не об этом). Второе – секретность. Коллективные и масштабные попытки закрыть все и вся. Разработчики ICS-систем держат в тайне исходные коды, владельцы заводов и объектов инфраструктуры ставят гриф «секретно» на характеристики информационных систем, типы используемого ПО и прочее. Увы, забывая при этом, что информация об уязвимостях в большинстве популярных систем SCADA есть в открытом доступе в сети. Копаем глубже: уже несколько лет существует открытый поисковик SHODAN, заточенный в том числе и на поиск уязвимых промышленных систем (в том числе SCADA-систем), чьи хозяева додумались подключить их к Интернету.
Параллельно специалисты компаний держат на вооружении и традиционные методы защиты заведомо уязвимого софта и операционной системы: и в том, и в другом случае безопасность можно повысить путём контроля как над программами, так и над действиями операторов. Но стопроцентную гарантию защищённости такие методы не обеспечивают, опять же в силу заведомой дырявости того, что предполагается контролировать. А в случае с критически важными узлами гарантия должна быть. Вопрос – на что именно?
Конечно, было бы идеально взять и переписать весь «промышленный» софт. С учётом наработанных техник безопасной разработки и новых реалий кибер-атак. Увы, это долгий титанический труд, сопряжённый с огромными вложениями в тестирование и отладку, которые всё равно не гарантируют достаточно устойчивую работу системы.
Но есть вполне реализуемая альтернатива - защищённая операционная система, на которой как раз и будут «крутиться» ICS-системы, которую можно встроить в существующую инфраструктуру, контролирующую «здоровье» существующих систем игарантирующую получение достоверной информации.
Сначала отвечу на самый очевидный вопрос: как у нас получится создать защищённую ОСь, если это не получилось ни у Microsoft, ни у Apple, ни у опенсорсного комьюнити? Все просто. Во-первых, наша система – узкоспециализированная, она разрабатывается для решения конкретной задачи, и не предназначена для игры в Half-Life, редактирования видео или общения в соцсетях. Во-вторых, мы работаем над методом написания ПО, которое в принципе (by design) не будет способно выполнять незаявленную в нем функциональность. Этот момент – самый важный: невозможность выполнения стороннего кода, взлома системы или программ в нашем проекте – это вещь доказываемая и проверяемая.
Подробнее о системе, требованиях к ней и предпосылках к ее разработке вы можете прочитать в здесь. Я же в заключение хочу предвосхитить множество вопросов от коллег, партнёров, СМИ и просто заинтересованных людей. Разработка по-настоящему безопасной среды – проект сложный, практически невыполнимый без активной работы с потенциальными заказчиками. Множество деталей этого проекта мы сейчас не можем раскрыть как раз по причине такого сотрудничества. О чём-то не хотим рассказывать, чтобы технологии не перехватили конкуренты. А кое-что останется в закрытом доступе только для заказчиков навсегда по соображениям защиты от кибер-терроризма. Но как только возможность появится – мы расскажем что сможем о проекте подробнее. http://e-kaspersky.livejournal.com/126484.html
Киберугрозы для критической инфраструктуры, телекома и прочих жизненно важных систем тогда казались научной фантастикой. Никто вокруг, кроме нас, параноиков (а также самых продвинутых хакеров, кибершпионов и кибервояк), не думали о том, что информационная безопасность может напрямую влиять на физическую безопасность. И что буквально все цифровые системы вокруг можно взломать.
Ведь начали мы задолго до Stuxnet, и даже до кинофильма «Крепкий орешек-4», в котором злодеи играючи взламывали и разламывали гражданскую и не только инфраструктуру. Но время шло, и уровень понимания угроз постепенно, но явственно повышался. Сперва о фундаментальной проблеме безопасности критической инфраструктуры заговорили на профильных конференциях, промышленных и IT. Потом, постепенно, тема начала проникать в воображение Голливуда (см. вышеупомянутое кино Кр.Орешек-4, а после него и многие другие, например «Скайфол»), внимания становилось всё больше, и, наконец, буквально год-полтора назад тема кибербезопасности стала одной из главных на разных международных саммитах и встречах первых лиц ведущих государств.
У нас же всё это время в цехах кипела работа, ковали нашего огромного человекоподобного робота.
Мы понимали, что ОСь должна иметь много разных приложений.
Во-первых, это создание на её основе безопасных систем промышленной автоматизации, устойчивых к взлому. Об этой проблематике можно почитать здесь. Во-вторых, это создание защищённых embedded-устройств, включая те самые маршрутизаторы и «вещи интернета». Кстати, недавняя DDoS-атака на DNS-провайдера Dyn, завалившая на время такие сайты как Amazon.com и Твиттер была организована ботнетом, который заражал «умные» (а на самом деле не очень) устройства, типа камер наружного наблюдения и домашних роутеров. Между прочим, атака выдала умопомрачительные 1,2 терабит в секунду — крупнейший DDoS в истории. И недавний DDoS на российские банки, оказывается, тоже был с использованием IoT.
В общем, защищать и IoT, и, конечно, критическую инфраструктуру (промышленность, транспорт, телеком и т. д.) от IT-угроз надо. Но лучше их построить с самого начала таким образом, чтобы, как ни бейся, а взломать их было невозможно. Это и есть фундаментальная цель нашего большого проекта.
Кстати, уже очень скоро ждите ещё новостей и подробностей про разработку безопасной операционной системы.
А пока, ура! За ОСь! Уже есть первые железки, дальше всё будет ещё круче!
e_kaspersky
Сделано у Нас
Свежие комментарии