Warstwa detekcji
Pierwszym elementem była obserwacja ruchu i zachowania systemów sterowania. W typowych środowiskach przemysłowych wiele działań powtarza się według przewidywalnych schematów. To pozwala szukać anomalii: nietypowych poleceń, niespodziewanych ścieżek komunikacji, podejrzanych zmian częstotliwości ruchu albo komunikatów, które nie pasują do normalnej pracy instalacji.
W odróżnieniu od zwykłych systemów biurowych, w SCADA nie zawsze można agresywnie blokować ruch lub natychmiast odcinać urządzenia. Dlatego detekcja musiała być ostrożna, świadoma kontekstu i powiązana z oceną ryzyka operacyjnego.
Predykcja ryzyka
Jednym z najważniejszych elementów koncepcji był zintegrowany predyktor ryzyka online. Jego zadaniem było łączenie danych z infrastruktury, warstwy telekomunikacyjnej, detektorów cyberataków oraz modeli zależności pomiędzy usługami. Operator miał otrzymać informację nie tylko o tym, że coś się wydarzyło, lecz także o tym, jakie funkcje mogą zostać osłabione w najbliższym czasie.
Takie podejście pozwala myśleć o cyberbezpieczeństwie jako o procesie zarządzania ryzykiem. Alarm techniczny staje się częścią większej odpowiedzi: czy infrastruktura może nadal działać, który obszar wymaga osłony, gdzie możliwy jest efekt kaskadowy i jak ograniczyć utratę jakości usług.
Inteligencja w urządzeniach polowych
CockpitCI badał również możliwość wyposażenia wybranych elementów terenowych w dodatkową warstwę oprogramowania. Jej zadaniem nie było pełne autonomiczne sterowanie infrastrukturą, lecz lokalna identyfikacja sytuacji krytycznych i ograniczona reakcja tam, gdzie utrata komunikacji z centrum mogłaby być szczególnie niebezpieczna.
To ważne rozróżnienie. Projekt nie zakładał oddania kontroli urządzeniom polowym bez nadzoru. Chodziło o mechanizmy ochronne, które pomagają utrzymać bezpieczeństwo wtedy, gdy kanał komunikacji jest zakłócony albo gdy centrum sterowania otrzymuje niewiarygodne dane.
Reakcja i łagodna degradacja
W infrastrukturze krytycznej wyłączenie wszystkiego nie zawsze jest najlepszą odpowiedzią. Czasem korzystniejsze jest utrzymanie części usług, ograniczenie zakresu pracy, izolacja konkretnego obszaru lub przejście w tryb bezpieczny. CockpitCI rozwijał właśnie tę logikę: lepsze rozumienie tego, ile infrastruktury może nadal działać, a które elementy wymagają natychmiastowej ochrony.