IEC 61850 - protokoły MMS i GOOSE w automatyce stacji elektroenergetycznych. Bezpieczeństwo i segmentacja

IEC 61850 to międzynarodowy standard komunikacji dla automatyki stacji elektroenergetycznych, opracowany przez IEC Technical Committee 57. W odróżnieniu od większości protokołów przemysłowych, IEC 61850 nie jest pojedynczym protokołem - to kompleksowy model danych i zestaw usług komunikacyjnych, które mapują się na dwa fundamentalnie różne protokoły sieciowe: MMS (Manufacturing Message Specification) działający na TCP/IP oraz GOOSE (Generic Object Oriented Substation Event) działający bezpośrednio w warstwie 2.

Ta dwoistość sprawia, że zabezpieczenie środowiska IEC 61850 wymaga jednoczesnego podejścia do ochrony ruchu IP i ruchu L2 - co jest wyzwaniem architektonicznym, z którym mierzy się każdy operator stacji.

Architektura i model komunikacji

MMS - Manufacturing Message Specification

MMS (ISO 9506) to protokół warstwy aplikacji, który IEC 61850 wykorzystuje do:

• Odczytu i zapisu wartości pomiarowych i statusów
• Konfiguracji urządzeń IED (Intelligent Electronic Device)
• Przesyłania raportów i logów zdarzeń
• Transferu plików konfiguracyjnych (SCL - Substation Configuration Language)

MMS działa na stosie TCP/IP, korzystając z portu TCP 102 (ISO-TSAP). Komunikacja jest typu klient-serwer - stacja inżynierska lub system SCADA (klient MMS) odpytuje urządzenia IED (serwery MMS).

GOOSE - Generic Object Oriented Substation Event

GOOSE to mechanizm szybkiej wymiany zdarzeń między urządzeniami IED - typowo sygnały wyzwalające (trip), blokady (interlocking) i statusy zabezpieczeń. GOOSE został zaprojektowany z myślą o czasie reakcji poniżej 4 ms (klasa P2/P3 według IEC 61850-5).

Aby osiągnąć takie czasy, GOOSE omija stos TCP/IP i działa bezpośrednio w warstwie 2 Ethernet z EtherType 0x88B8. Wiadomości GOOSE są wysyłane jako multicast - każdy IED publikuje swoje zdarzenia, a zainteresowane urządzenia subskrybują odpowiednie grupy.

SV - Sampled Values

Trzeci mechanizm komunikacji w IEC 61850 - przesyłanie cyfrowych próbek z przekładników prądowych i napięciowych (Merging Units). Podobnie jak GOOSE, działa w warstwie 2 (EtherType 0x88BA). Zastępuje analogowe połączenia miedziane między przekładnikami a zabezpieczeniami.

Parametry techniczne

Parametr	Wartość
MMS
Warstwa modelu OSI	4-7 (TCP/IP)
Port	TCP 102 (ISO-TSAP)
Model komunikacji	Klient-serwer
Uwierzytelnianie	Opcjonalne (IEC 62351-4)
Szyfrowanie	TLS (IEC 62351-3)
GOOSE
Warstwa modelu OSI	2 (Ethernet)
EtherType	0x88B8
Model komunikacji	Publish-subscribe (multicast)
Uwierzytelnianie	Brak (IEC 62351-6 definiuje HMAC, ale adopcja minimalna)
Szyfrowanie	Brak
SV (Sampled Values)
EtherType	0x88BA
Uwierzytelnianie/Szyfrowanie	Brak
Ogólne
Zastosowanie	Stacje elektroenergetyczne, podstacje
Organizacja standaryzująca	IEC TC 57

Ocena bezpieczeństwa

Bezpieczeństwo IEC 61850 wymaga oddzielnej analizy dla każdego mechanizmu komunikacji, ponieważ MMS i GOOSE mają fundamentalnie różne profile ryzyka.

MMS - zagrożenia i ochrona

MMS działa na TCP/IP, co umożliwia zastosowanie standardowych mechanizmów ochrony sieciowej. Jednak w domyślnej konfiguracji:

• Połączenie MMS na TCP 102 nie wymaga uwierzytelniania
• Klient MMS może odczytywać wartości, zmieniać ustawienia i przesyłać komendy do IED
• Atak COSMICENERGY (2023) wykorzystywał właśnie protokół MMS (poprzez IEC 60870-5-104 jako transport) do wysyłania komend sterujących do urządzeń stacyjnych

Norma IEC 62351 definiuje rozszerzenia bezpieczeństwa: TLS dla warstwy transportowej (część 3) i uwierzytelnianie MMS (część 4). Adopcja rośnie, ale wiele starszych IED nie obsługuje tych mechanizmów.

GOOSE - fundamentalny problem bezpieczeństwa

GOOSE to najbardziej wrażliwy element ekosystemu IEC 61850 z perspektywy cyberbezpieczeństwa:

• Brak uwierzytelniania - ramka GOOSE nie zawiera żadnego mechanizmu weryfikacji nadawcy. Każde urządzenie w tym samym segmencie L2 może opublikować wiadomość GOOSE podszywając się pod dowolny IED.
• Multicast - wiadomości GOOSE są rozsyłane do wszystkich urządzeń w domenie rozgłoszeniowej. Atakujący widzi pełny obraz zdarzeń w stacji.
• Krytyczne konsekwencje - fałszywa wiadomość GOOSE może wyzwolić wyłącznik, zablokować zabezpieczenie lub zmienić stan blokady - z bezpośrednimi konsekwencjami dla pracy stacji elektroenergetycznej.

IEC 62351-6 definiuje mechanizm HMAC (Message Authentication Code) dla ramek GOOSE, ale jego adopcja przez producentów IED pozostaje minimalna. Główne bariery to narzut obliczeniowy (HMAC musi zmieścić się w budżecie 4 ms) oraz brak kompatybilności wstecznej.

Segmentacja sieci IEC 61850

Architektura sieciowa stacji IEC 61850 typowo dzieli się na trzy poziomy (zgodnie z IEC 61850-3): station bus (poziom stacyjny), process bus (poziom polowy) i interfejs do centrum dyspozycyjnego. Segmentacja musi uwzględniać tę hierarchię.

Zalecenia praktyczne

1. Izolacja GOOSE w dedykowanych VLANach - to najważniejsza kontrola. Ramki GOOSE (EtherType 0x88B8) powinny być ograniczone do VLANów obejmujących wyłącznie IED, które wymieniają między sobą zdarzenia. Jeden VLAN na grupę zabezpieczeń (np. VLAN dla pola liniowego, oddzielny dla sekcji szyn).

2. Separacja station bus i process bus - ruch MMS (station bus) i ruch GOOSE/SV (process bus) powinny przechodzić przez oddzielne VLANy lub - w instalacjach o najwyższym SL - przez fizycznie oddzielne przełączniki.

3. Firewall z DPI na granicy station bus - filtrowanie MMS (TCP 102) na podstawie adresów IP i - jeśli firewall to wspiera - na podstawie typów usług MMS (np. zezwalaj na odczyt, blokuj zapis).

4. Firewall/DMZ na granicy stacja-centrum dyspozycyjne - komunikacja ze stacji do systemu SCADA/EMS powinna przechodzić przez strefę DMZ z inspekcją protokołów (IEC 60870-5-104 lub MMS).

5. Przełączniki z obsługą VLAN pruning - skonfiguruj przełączniki tak, aby ramki GOOSE/SV nie były propagowane na porty, do których nie są podłączone urządzenia będące subskrybentami. Ogranicza to powierzchnię ataku.

6. Monitoring ruchu L2 - systemy IDS rozumiejące strukturę ramek GOOSE (np. StationGuard od OMICRON, Rhebo, Nozomi) wykrywają anomalie: nowe źródła GOOSE, zmianę częstotliwości publikacji, nieoczekiwane wartości w polach danych.

7. Redundancja z PRP/HSR - protokoły redundancji (IEC 62439-3) typowe dla stacji IEC 61850 dodają złożoność sieciową. Upewnij się, że redundancja nie tworzy niekontrolowanych ścieżek komunikacji omijających segmentację.

Więcej o projektowaniu stref i korytarzy w środowiskach OT znajdziesz w artykule Segmentacja sieci OT - jak chronić systemy przemysłowe.

Podsumowanie

IEC 61850 to standard, który zrewolucjonizował komunikację w stacjach elektroenergetycznych - zastępując setki kabli miedzianych siecią Ethernet. Wprowadził jednak dwa fundamentalnie różne profile ryzyka: MMS na TCP/IP (możliwy do zabezpieczenia standardowymi środkami i rozszerzeniami IEC 62351) oraz GOOSE na warstwie 2 (praktycznie bez ochrony w większości wdrożeń). Dopóki adopcja IEC 62351-6 nie stanie się powszechna, izolacja VLAN pozostaje jedynym skutecznym mechanizmem ochrony komunikacji GOOSE.

Źródła

• IEC 61850 - Communication networks and systems for power utility automation - oficjalna norma IEC
• IEC 62351 - Power systems management and associated information exchange - Data and communications security - norma bezpieczeństwa dla IEC 61850
• CIGRE B5 - Protection and Automation - komitet techniczny ds. automatyki stacyjnej
• OMICRON StationGuard - system IDS dla stacji IEC 61850
• Hoyos, Dehus, Brown - “Exploiting the GOOSE Protocol” - demonstracja ataku na GOOSE (IEEE, 2012)
• NERC CIP Standards - wymagania bezpieczeństwa dla sektora energetycznego (Ameryka Pln.)