Программно-аппаратный стенд для оценки кибернетической защиты автоматизированной системы управления технологическим процессом
Authors: Иванов С.О. , Копышева Т.Н. , Никандров М.В. 
Published: February 2025

В данной статье анализируется спроектированный экспериментальный стенд промышленной автоматизации, который может быть использован для моделирования различных режимов работы автоматизированной системы управления технологическим процессом, а также для обучения учащихся навыкам эксплуатации и защиты промышленных систем. Стенд построен по трёхуровневому принципу: верхний уровень – сервер SCADA и клиенты (операторы, диспетчеры), средний уровень – программируемые логические контроллеры (IED), нижний уровень не представлен в стенде, работу датчиков и исполнительных устройств эмулирует программное обеспечение IED. На стенде можно эмулировать как нормальный режим технологического процесса, так и имитацию сбоев в технологическом процессе из-за аварии или действий злоумышленников. В статье предложены способы дополнения методов генерации сетевых атак, необходимые для анализа сетевого трафика с помощью методов машинного обучения, а также перечислены необходимые статистические признаки сетевого трафика. Спроектированный стенд позволяет гибко и с минимальными затратами эмулировать различные автоматизированные системы управления технологическим процессом, имитировать их работу в достаточной степени, чтобы генерировать данные, которые можно использовать для машинного обучения.

Introduction. Protecting the industrial network segment of an industrial enterprise with the use of machine learning methods requires collecting data on normal, emergency and abnormal modes of its operation. The paper considers experimental facility for industrial automation, which can be used to simulate various modes of operation of industrial control system (ICS), as well as to teach students how to operate and protect industrial systems. Methods. The facility is built on a three-level principle: the top level is the SCADA server and clients (operators, dispatchers), the middle level is programmable logic controllers (IEDs), the bottom level is not represented in the facility, so the software of IED emulates the operation of sensors and units. The entire network traffic of interaction between the ICS components (SCADA, dispatcher, IED) is collected and transmitted to the ML node for storage and analysis. The Hacker node is used to perform network attacks on the ICS. Results. Experimental facility allows one to emulate the normal mode of the technological process and the simulation of failures in the technological process due to an accident and an attacker. In addition to typical network attacks, there are special attacks on different levels of industrial systems. The following standard pentest tools can be used to generate attacks: scapy, ettercap, nmap, metasploit, arpspoof, etc. The paper lists the main statistical features of network traffic for analysis with the use of machine learning methods. Conclusions. The described experimental facility allows one to simulate the operation of ICS to generate data that can be used for machine learning. In addition to generating traffic, the facility can be used for students to gain experience in developing, configuring and operating ICS. Also, it can be used to improve the skills of protecting ICS from attacks, checking equipment and new software for vulnerabilities, checking compliance with requirements, security analysis, and developong new protection systems.