Diapositiva 1
annuncio pubblicitario
Le Infrastrutture Critiche informatizzate: La necessità di modellazione Salvatore Tucci Ufficio Informatica e Telematica Presidenza del Consiglio dei Ministri Ordinario di Sistemi Per l’Elaborazione dell’Informazione Università di Roma TorVergata Infrastrutture Critiche Complesso di reti e sistemi che includono industrie, istituzioni, e strutture di distribuzione che, operando in modo sinergico, producono un flusso continuato di merci e servizi essenziali per l’organizzazione, la funzionalità e la stabilità economica di un moderno paese industrializzato e la cui distruzione o temporanea indisponibilità può indurre un impatto debilitante sull’economia, la vita quotidiana o le capacità di difesa di un paese Infrastrutture critiche informatizzate Infrastrutture critiche che utilizzano per il loro controllo, o la loro gestione o il loro esercizio una infrastruttura informatica Includendo fra le infrastrutture critiche anche le principali infrastrutture informatiche e, specificatamente, Internet Infrastrutture Critiche Circuiti bancari e finanziari Difesa Telecomunicazioni Servizi postali Energia e utilities Servizi di Informazione Industrie di base o pericolose Circuiti sanitari (health) Educazione e ricerca Amministrazioni pubbliche Filiera alimentari Trasporti e distribuzione Servizi di assistenza sociale Forniture idriche Servizi di emergenza Interdipendenza delle IC Financial Services Telecommunication Health Care Public Utilities Infrastrutture verticalistiche e indipendenti Infrastrutture che si basano su un ambiente condiviso Il Cyberspace è basato su alcune di tali infrastrutture Tipologie di interdipendenza • interdipendenza fisica • cyber-interdipendenza • interdipendenza geografica • interdipendenza logica S. Rinaldi, J. Peerenboom, e T. Kelly, “Identify, Understanding, and Analyzing Critical Infrastructure Interdependencies”', IEEE Control System Magazine, Dic. 2001. Example of Interdependencies Among Physical and Cyber Assets Within the Energy Industry Gas Pipeline Control Center Generating Plant Private Microwave Network Natural Gas Storage Facilities Public Networks Transmission Substation Compressor Station Types of failures: Distribution Substation City Gate • Cascading • Escalating • Common corridor DELAY Repair Crews Commercial Loads Industrial Loads Source Office of Critical Infrastructure Protection BLACKOUT USA Estimator failure SCADA allarms module failure Update SCADA data failure Analisi delle cause dell’errata gestione dell’evento Perché usare Modelli e Simulazioni Modellare e simulare sistemi complessi permette di : determinare le conseguenze a valle della perdita di un elemento dell’infrastruttura analizzare a fondo il comportamento a seguito di un evento estremo e raro (catastrofe naturale o terrorismo) capire come ripristinare le infrastrutture sviluppare analizzare e verificare le strategie di protezione delle infrastrutture critiche svolgere esercitazioni ed addestramento nella protezione delle infrastrutture critiche Perché usare Modelli e Simulazioni È parte integrante di un’analisi dei rischi che ha tre componenti fondamentali: 1. Valutazione della vulnerabilità di ciascun elemento dell’infrastruttura 2. Analisi delle conseguenze a valle della perdita di un elemento 3. Analisi delle minacce Il rischio R di un sistema può essere descritto come: R= PA*(1-PE)*C dove PA è la probabilità di un attacco, (1-PE) è la probabilità del successo dell’attacco C è la conseguenza dell’attacco L’Interdipendenza Interdipendenza Ctd Modello di Leontief • Il guasto di un elemento può influenzare il livello di servizio di altre infrastrutture quindi occorre: – individuare il grado di incidenza relativa fra le diverse infrastrutture – valutare le conseguenze secondarie, per cui l’impatto complessivo di un guasto è rappresentato dalla soluzione della seguente equazione: xn 1 A xn c A matrice m x m dei coefficienti di Leontieff c vettore che rappresenta un guasto indotto dall’esterno x vettore delle probabilità di non-operatività associate a __ciascun componente. Esempio grado di incidenza relativa Rete elettrica Trasporti Ospedali Telecomun. Rete elettrica 0 0.2 0 0 Trasporti 0.4 0.4 0 0.1 Ospedali 0.6 0.8 0 0.2 0 0 Telecomun. 0.1 0.2 valutare le conseguenze 1 0 1 x I A c 0 0 0 0 0 0 1 0 0 0.4 0 1 0 0 .6 0 0 1 0. 1 1 0 0. 8 0.4 0 0.1 0 0 .8 0 0 .2 0 0 .2 0 0 0 0 .2 0 Risultato dell’analisi Risolvendo il sistema si ottiene: • • • • - inoperabilità della rete elettrica 89% - inoperabilità del sistema di trasporto 46% - inoperabilità delle telecomunicazioni 98% - sistema ospedaliero COMPLETAMENTE FUORI USO!!!!!! Esempio II Le interdipendenze Le interdipendenze sono analizzate considerando sei diverse “dimensioni”: 1. Ambiente: cioè la struttura entro la quale proprietari e operatori stabiliscono finalità e obiettivi, costruiscono sistemi di valori per definire il loro business, ecc. 2. Tipi di Interdipendenza Le interdipendenze: Tipi di Interdipendenza • Fisica: se lo stato di una è dipendente dall’output materiale (fisico) dell’altra. (es. centrale elettrica a carbone e la sua rete ferroviaria di adduzione) • Cyber: se il suo stato dipende dalle informazioni trasmesse attraverso il cyberspace. • Geografica: se un evento ambientale locale può provocare cambiamenti nello stato delle altre infrastrutture. Questo accade quando le varie infrastrutture condividono lo stesso luogo fisico, • Logica: se lo stato di ognuna di loro dipende dallo stato dell’altra tramite un meccanismo che non è nessuno di quelli precedentemente esplicitati. Le interdipendenze 3. Stato operativo: Per comprendere appieno le interdipendenze tra le infrastrutture è necessario determinare, per ogni infrastruttura, da quali essa dipende sia in condizioni di normale funzionamento, sia in situazioni anomale, che durante la fase di ripristino a valle di un guasto. Le interdipendenze: 4 - Caratteristiche dell’infrastruttura In questo ambito vanno considerati elementi quali la • scala spaziale: – Parte: il componente più piccolo distinguibile in un’analisi. – Unità: un insieme di parti funzionalmente correlate (ad esempio un generatore di calore). – Sottosistema: una linea di unità (ad esempio un sistema di raffreddamento). – Infrastruttura. un insieme completo di sistemi simili. • scala temporale • fattori operativi • fattori di carattere organizzativo Le interdipendenze: 5 -Tipi di guasto Le interdipendenze tra infrastrutture possono costituire il mezzo attraverso il quale un guasto può propagarsi. In questa ottica si parla di propagazione: • a cascata: quando il malfunzionamento provoca un guasto in una seconda infrastruttura, il che comporta a sua volta l’insorgere di una anomalia in una terza e così via; • intensificante: quando il malfunzionamento in un’infrastruttura rende più gravoso un malfunzionamento, indipendente dal primo, in una seconda infrastruttura; • a causa comune: quando due o più infrastrutture subiscono danni nello stesso momento e per lo stesso motivo. Le interdipendenze: 6 - Livello di accoppiamento Il tempo di propagazione e l’intensità trasmessa di un eventuale malfunzionamento variano in funzione del grado di accoppiamento (stretto o lasco). Tali interazioni possono essere: • lineari se sono il risultato del processo di progettazione (generalmente note, visibili e generate da una sequenza prevista di operazioni) • complesse quando si concretizzano inaspettatamente a seguito di sequenze di operazioni non previste. Modellazione olografica gerarchica • La metodologia parte dal presupposto che quando si vuole modellare un sistema complesso possono emergere più modelli matematici o concettuali ognuno dei quali pone l’attenzione su un aspetto specifico e solo prendendo in considerazione un insieme di modelli si può ottenere una rappresentazione accettabilmente aderente alla realtà dell’intero sistema • è opportuno modellare ogni infrastruttura come un oggetto composto logicamente da quattro strati distinti: strategico, organizzativo, informatico e fisico Analisi simulativa Occorrono modelli in grado di fornire gli elementi quantitativi necessari per poter definire l’impatto dei diversi eventi e quindi un ordine di priorità tra le azioni da intraprendere Fallimento strumenti di predizione basati sull’analisi delle serie storiche I Modelli e strumenti simulativi forniscono una predizione del comportamento del sistema nei diversi scenari ipotizzabili complessità elevata superiore alle capacità di manipolazione degli attuali strumenti metodologici e di calcolo. Simulazione basata su agenti • I comportamenti complessi sono il risultato delle azioni e interazioni tra individui elementari autonomi (agenti) che operano sulla base di regole semplici • Il comportamento di un insieme di infrastrutture interdipendenti è modellato partendo dalla conoscenza del comportamento (locale) dei singoli componenti ed andando a studiare l’evoluzione complessiva del sistema quando queste componenti interagiscono fra loro. Gli agenti Ogni entità è caratterizzata da: • Locazione: definisce dove si trova (spazio fisico) • Capacità: esprime ciò che è in grado di fare – percezione: può modificare la sua rappresentazione interna dei dati – reazione intelligente: può adattarsi a cambiamenti dell’ambiente in cui si trova – comportamento: può modificare il suo ambiente – di cooperazione: può inoltre condividere conoscenza, informazioni e strategie comuni con altre entità – autonomia: può eseguire azioni senza l’intervento esterno • Memoria: I dati che rappresentano lo stato di un’entità e la storia delle sue esperienze Propagazione dei guasti OUT.R IN.OL OUT.OL Element dynamic Failure dynamic IN.F OUT.F IN.R Operative Leve (OL): capacità di eseguire il proprio compito (OL=100% l’elemento potrebbe erogare il massimo se richiesto. Requirements (R): cosa occorre per poter garantire OL=100%. Faults (F): il livello di guasto che affligge l’elemento per ciascuna tipologia di guasto Analisi topologica I grafi che descrivono le topologie si distinguono in base alla distribuzione del numero dei link per nodo Random Graph Distribuzione di Poisson Scale Free Graph Distribuzione con legge di potenze Analisi topologica Le strategie di difesa e di sicurezza devono essere adottate in base alla topologia delle singole infrastrutture ed alla dinamica topologica stessa. Ad esempio un grafo scale-free risulta essere: – più robusto rispetto a guasti accidentali (eventi naturali o comunque aleatori) – più vulnerabile ad attacchi mirati (potremmo dire terroristici) – riguardo la diffusione di una epidemia non evidenza il classico effetto soglia Conclusioni - 1 • Il ruolo giocato dalle infrastrutture critiche per il benessere delle nazioni è andato aumentando ma contestualmente sono aumentate le minacce naturali (estremizzazione fenomeni climatici) e dolose (terrorismo e criminose) • Per poter adottare opportune strategie per migliorare la resilience di queste infrastrutture occorre migliorare la conoscenza sul loro comportamento Conclusioni - 2 • Sono stati illustrati alcuni approcci proposti per affrontare alcuni degli aspetti connessi con la modellistica di tali sistemi • Gli strumenti metodologici e di analisi di cui disponiamo sembrano non essere adeguati per gestire la complessità Occorre lavorare ancora molto su queste tematiche: “non abbiamo neanche iniziato a porci le domande corrette per lo studio di questi sistemi”
