PHDays VI: нарушена работа ГЭС и затоплен город

Взломать электроподстанцию может даже школьник

На прошедшем 17-18 мая форуме по практической информационной безопасностиPositive Hack Days в рамках конкурса Critical Infrastructure Attack: Blackout, хакеры должны были атаковать модель системы электроснабжения небольшого района. В ходе соревнования удалось нарушить работу входящей в комплекс гидроэлектростанции, что привело к затоплению города.

Модель системы, подготовленная для конкурса, максимально приближена к реальности как технически, так и функционально.

Она разделена на отдельные части: генерация, передача, распределение и управление электроснабжением.

Атакующим удалось нарушить работу подстанций и гидроэлектростанции, которые отвечают за генерацию и распределение энергии.

За счет успешных атак, проведенных в ночь с 17 на 18 мая, хакеры устроили аварийную ситуацию на подстанции напряжением 500 кВ, вследствие чего произошло частичное повреждение оборудования.

Возникла необходимость в отключении генераторов на ГЭС и сбросе воды в условиях сильных паводков.

«При отключенных генераторах персоналу ГЭС придется активировать сброс лишней воды из хранилища. В условиях весенних паводков сброс воды в прилегающие водоемы может привести к затоплению расположенных поблизости населенных пунктов, - рассказывает Илья Карпов, эксперт Positive Technologies. - По легенде соревнования, рядом с ГЭС располагался небольшой город - он и был полностью затоплен.

На следующий день, после того как жизнь в городе восстанавливалась, атаки возобновлялись, и затопление повторялось».

Один из участников команды ИБ-исследователей, осуществившей взлом, объяснил, что им удалось обнаружить оборудование, отвечающее за защиту генератора, просканировав сеть ГЭС (по легенде соревнования, злоумышленникам уже удалось проникнуть на ее территорию или действовать удаленно за счет внедренного ранее оборудования).

По его словам, также был обнаружен терминал, отвечающий за защиту трансформатора, который был неоднократно атакован.

Через открытый TCP-порт 102, по которому оборудование осуществляет обмен MMS-сообщениями, с помощью стандартного MMS-клиента была отправлена команда на отключение оборудования.

По аналогичной схеме исследователям удалось захватить управление подстанцией на 500 кВ.

Взломать электроподстанцию может даже школьник.

Московский школьник довольно быстро сумел спровоцировать короткое замыкание на входящей в модель магистральной подстанции высокого напряжения, проэксплуатировав уязвимости промышленных протоколов с помощью свободно распространяемого инженерного ПО.

Он смог отключить блокировку и опустить заземляющие ножи.

Во второй день школьник повторил простую атаку с отключением оборудования защиты использовав известную уязвимость.

Все это ему удалось сделать благодаря прямому подключению к сети с технологическим оборудованием.форуме по практической информационной безопасности Positive Hack Days состоялся конкурс по взлому промышленного оборудования.

По результатам соревнования Critical Infrastructure Attack: Blackout московскому десятикласснику удалось обойти защиту промышленных протоколов и спровоцировать короткое замыкание на магистральной подстанции высокого напряжения (500 кВ).

В попытках найти способы обхода оборудования, отвечающего за защиту от аварийных ситуаций, семнадцатилетний ученик десятого класса московской школы № 1143 скачал в интернете специальное инженерное ПО и с его помощью смог проэксплуатировать уязвимости промышленных протоколов SCADA-систем Siemens и вызвать короткое замыкание электрической подстанции.

Важно отметить, что замыкание сопровождалось физическим повреждением оборудования: произошло возгорание кабелей, которое могло привести к полному выходу трансформаторов из строя.

Чем это грозит в реальной жизни

Эксперт Positive Technologies Илья Карпов отмечает, что уровень защищенности промышленных протоколов в принципе недостаточно высок.

Поэтому злоумышленник, которому тем или иным образом удастся получить физический доступ к оборудованию электрической подстанции, может нанести крайне серьезный ущерб, даже не обладая высокой квалификацией.

Выход из строя магистральной подстанции, который удалось спровоцировать юному взломщику, может не только вызвать локальный blackout, но и нарушить нормальную работу общей системы электроэнергетики или «отключить» город.

Конкурс Critical Infrastructure Attack: Blackout проводится при поддержке компаний Advantech и «ПроСофт», которые предоставили бо́льшую часть макета и систем автоматики.