مقدمه
سیستم های کنترل‌صنعتی در بسیاری از زیرساخت‌های حیاتی کاربرد دارند و برای مدیریت، هدایت و تنظیم فرآیندهای صنعتی مکانیزه‌شده از آن‌ها استفاده می‌شود. عملیات مربوط به این سیستم ها با‌استفاده از اجزاء مختلف ازجمله حسگرها و فعال‌کننده‌ها، کنترل‌گرها، سیستم‌های نظارت محلی، سیستم‌های مدیریتی و سیستم‌های کسب‌و‌کار انجام می‌شود. همین موضوع باعث شده تا سیستم‌های مذکور به یکی از محبوب‌ترین اهداف مهاجمان‌سایبری بدل شوند. از سوی‌دیگر، برخی مشخصه‌های کلیدی سیستم‌های ICS موجب می‌شود تا به‌طور ذاتی، امن‌سازی آن‌ها نسبت به محیط‌های IT چالش‌برانگیزتر باشد. در ادامه برخی از مهم‌ترین چالش‌های امنیتی در حوزه سیستم‌های کنترل‌صنعتی و راهکارهای پیشگیری از/ مقابله با آن‌ها را بررسی می‌کنیم.
1. فقدان دفاع مبتنی‌بر شناخت تهدیدهای سایبری و ارزیابی ریسک‌های امنیتی
سازمان‌های اندکی برای حل چالش‌های امنیتی، بر شناخت تهدیدهای این حوزه و استفاده از مدل‌ها و به‌روش‌های ارائه‌شده تمرکز می‌کنند. از سوی‌دیگر، کنترل‌های امنیتی تعبیه‌شده به‌طور مداوم مورد ارزیابی قرار نمی‌گیرند. درنتیجه گاهی این کنترل‌ها در برابر نفوذهای انجام‌شده، شکست می‌خورند که تاثیرات‌منفی قابل‌توجهی در محیط فناوری‌عملیات و سیستم‌های کنترل‌صنعتی ایجاد می‌کند.
برای شناخت تهدیدهای‌سایبری مرتبط با سیستم‌های کنترل‌صنعتی و پیشگیری از/ مقابله با آن‌ها استفاده از چارچوب‌هایی مانند MITRE ATT&CK for ICS و یا D3FEND مفيد خواهد بود و به سازمان‌های صنعتی کمک می‌کند تا با شناخت انواع حملات امنیتی و طرز عمل آن‌ها، تصمیم‌های آگاهانه‌تری برای کاهش‌ریسک نفوذ مهاجمان‌سایبری به محیط ICS اتخاذ نمایند. همچنین با شناخت فازهای مختلف این حملات، شانس تشخیص حرکات‌عرضی آن‌ها پس از ورود اولیه به محیط ICS، افزایش می‌یابد.
همچنین جهت کاهش خسارت‌های ناشی از بروز حوادث امنیتی، لازم است یک چارچوب مدیریت‌ریسک برای شناسایی تهدیدها و آسیب‌پذیری‌های امنیتی متناظر با دارایی‌های اطلاعاتی به‌کار گرفته شود تا به‌این‌ترتیب مخاطرات مرتبط با این دارایی‌ها ارزیابی شوند و در مرحله‌بعد برای کاهش مخاطراتی که فراتر از سطح پذیرش‌ریسک قرار می‌گیرند، کنترل‌های مناسب، طراحی و پیاده‌سازی شوند. نکته قابل‌توجه در طراحی این کنترل‌ها، یکپارچگی و همسویی آن‌ها باسیاست‌های مدیریتی/عملیاتی در سازمان‌های صنعتی است به‌نحوی‌که خود، موجب ایجاد مخاطره امنیتی نگردند.
2. تهدیدهای امنیتی مرتبط با دسترسی از راه‌دور به محیط ICS
در کنار مزایای دسترسی از راه‌دور برای بازبینی، به‌روزرسانی و مدیریت سیستم‌های ICS، این نوع اتصال، همواره یک عامل مهم در موفقیت برخی از حملات بزرگ سایبری در سال‌های اخیر بوده است که ازجمله این حملات، می‌توان به کمپین Dragonfly در سال 2014، حمله به شبکه برق اوکراین در سال 2015 و حمله به سیستم آب‌رسانی شهر Oldsmar در سال 2021 اشاره نمود.
منظور از دسترسی از راه‌دور، اتصال از اینترنت و یا شبکه کسب‌و‌کار سازمان به محیط فناوری‌عملیات و سیستم‌های کنترل‌صنعتی است. این اتصال‌ها، دسترسی به دستگاه‌هایی را امکان‌پذیر می‌سازد که در مدل معماری مرجع Purdue، در سطح 3 و پایین‌تر از آن قرار می‌گیرند.
در حالت ایده‌آل، دسترسی از راه‌دور به محیط ICS باید با گذر از شبکه DMZ که بین بخش‌های IT و OT قرار می‌گیرد، انجام شود. به‌روش‌های موجود در این زمینه، به‌کارگیری چندین DMZ متشکل از سرورهایی که در محل اتصال سطح 3 و 4 از مدل Purdue قرار می‌گیرند را توصیه می‌نمایند که هر یک از آن‌ها برای ارائه یک سرویس خاص، اختصاص داده می‌شوند.
همچنین باید هرجا که امکان دارد، اتصال از راه‌دور تکنسین‌ها از مسیر DMZهایی انجام شود که محیط IT (برای نمونه شبکه کسب‌و‌کار سازمان) را به محیط OT متصل می‌کنند. این ترکیب، بالاترین حد از visibility را برای راهبران‌شبکه‌و‌سیستم‌ها و متخصصان‌امنیت فراهم می‌کند و موجب پایش بهینه، ثبت فعالیت‌ها، احرازهویت وکنترل‌دسترسی کاربرانی می‌شود که از راه‌دور به محیط OT دسترسی پیدا می‌کنند.
اتصال از راه دور برای کارکنان محیط OT، باید در دو مرحله مجزا انجام شود: یک اتصال VPN به ICS DMZ و در مرحله‌بعد، یک اتصال دیگر با‌استفاده از یک اتصال از راه¬دور امن و از طریق یک jump host (یا jump server) برای دسترسی مبتنی‌بر نقش و به‌دقت‌کنترل‌شده، به سیستم‌های OT.
3. نرم‌افزارهای آسیب‌پذیر و خطاهای مرتبط با سخت‌افزار
نرم‌افزارهای مرتبط با ICS و واسط بین انسان و ماشین در برابر بسیاری از حملات‌سایبری مانند SQL Injection، Command Injection،Cross-site Scripting attack و دست‌کاری پارامترهای تبادل‌شده بین کلاینت و سرور آسیب‌پذیرند.
بهره‌برداری از آسیب‌پذیری‌های موجود در کدمنبع برنامه‌های تحت‌وب که بر روی سرورهای متصل به LAN اجرا می‌شوند نیز می‌تواند امکان نفوذ مهاجمان به محیط ICS را فراهم نماید.
برای کاهش مخاطرات ناشی از آسیب‌پذیری‌های مذکور، لازم است امنیت در کلیه مراحل تولید و توسعه سیستم‌های کنترل‌صنعتی ازجمله تولید امن کد نرمافزار، مدیریت آسیب‌پذیری‌ها، اعمال وصله‌های امنیتی، مدیریت¬لاگ و استفاده از شاخص‌هایی برای ارزیابی امنیتی سيستم¬ها و تشخیص نفوذهای احتمالی به آن¬ها، مورد‌توجه قرار گیرد.
برای پیشگیری از حملات Command Injection و دست‌کاری پارامترهای تبادل‌شده، لازم است از مکانیزم‌های اعتبارسنجی ورودی استفاده شود تا داده‌های نامعتبر که جزو ترافیک معمول و تأییدشده سیستم نیستند، تشخیص داده شوند.
استفاده از پروتکل‌های رمزنگاری به‌منظور امن‌سازی ارتباط بین سیستم‌ها، در پیشگیری از حملات SQL injections و CSS مؤثر خواهد بود و از دستیابی مهاجمان‌سایبری به اطلاعات‌هویتی و رمزهای عبور از طریق نرمافزار جلوگیری می‌کند.
از سوی‌دیگر، مشکلات مرتبط با اجزاء سخت‌افزاری مانند اختلال در برق، عملکرد نامناسب درایو hard disk که موجب عدم‌دسترسی به اطلاعات ذخیره‌شده در آن می‌شود، توقف ناگهانی سیستم و قطع‌شدن کابل، می‌تواند منجر به بروز خطا در حین اجرای نرمافزار شود و درنتیجه عملیات تا زمان بازنشانی سیستم و یا اصلاح خطای مذکور، متوقف خواهد شد. برای پیشگیری از این مخاطرات، می‌بایست رویه‌های امنیت فیزیکی و محیطی، مطابق با استانداردهای امنیتی در محیط فناوری‌عملیات و سیستم‌های کنترل‌صنعتی پیاده‌سازی شود.
4. تهدیدهای ناشی از برون‌سپاری خدمات پشتیبانی‌از سیستم‌های کنترل‌صنعتی
با افزایش برون‌سپاری خدمات پشتیبانی‌از سیستم‌های کنترل‌صنعتی و ازآنجاکه مشتری، بر زیرساخت و سیستم‌های شرکت ارائه‌دهنده خدمات، کنترل مستقیم ندارد؛ مخاطرات ناشی از نفوذ به محیط ICS از طریق شرکت‌های پیمانکار نیز افزایش‌یافته است. در این حملات، عوامل تهدید با خنثی‌نمودن مکانیزم‌های‌امنیتی در شرکت پیمانکار، به محیط امن (trust zone) تعریف‌شده بین شرکت‌پیمانکار و مشتری نفوذ می‌کنند. مهاجمان برای حمله به سازمان‌های صنعتی از طریق نفوذ به شرکت‌پیمانکار، از روش‌های مختلفی نظیر Network pivoting، spear phishing، نصب نرم‌افزارهای مخرب و یا سرقت گواهی‌دیجیتال و اطلاعات‌هویتی استفاده می‌کنند. برای پیشگیری از چنین مخاطراتی لازم است که سازمان‌های صنعتی از نحوه اتصال پیمانکاران خود به شبکه‌سازمان و همچنین نیازمندی‌های ایشان برای انجام وظایفشان آگاه باشند. این¬که اشخاص‌ثالث، چه زمانی، از کجا، چگونه و با چه میزان سطح¬دسترسی به شبکه‌سازمان متصل می¬¬شوند، بسیار مهم است. از سوی-دیگر، به‌موازات آموزش و آگاهی‌رسانی امنیتی کارکنان‌سازمان، می‌بایست به پیمانکاران نیز درباره تهدیدهای‌امنیتی، رفتار هوشمندانه در برابر این تهدیدها و نحوه گزارش موارد مشکوک امنیتی به مراجع مرتبط، آگاهی‌رسانی شود.
5. حمله انکار سرویس
یکی از مهم‌ترین تهدیدهای مرتبط با سیستم‌های کنترل‌صنعتی، حمله انکار سرویس است که می‌تواند از طریق حمله به اتصالات بی‌سیم (باسیم) – و ایجاد وقفه در ارتباطات بین اجزاء ICS – و یا از طریق حمله مستقیم به اجزاء ICS – برای‌مثال، انجام یک port scan سنگین برروی PLC – انجام شود.
برای پیشگیری از این حملات، لازم است کنترل‌های امنیتی مناسب جهت محدودنمودن دسترسی به سیستم‌ها و پیاده‌سازی احرازهویت چندعامله، اعتبارسنجی مبدأ و پایش مستمر ترافیک شبکه، طراحی و اجرا شود. وصله‌های امنیتی باید به‌طور منظم برروی سیستم‌های ICS اعمال شوند. همچنین برای مقابله با این حملات، باید برای کلیه اجزای سیستم، طرح بازیابی از حادثه تدوین‌شده باشد تا در صورت بروز چنین حملاتی، خسارات ناشی از حادثه امنیتی به حداقل برسد.
منابع و مراجع
Introduction to ICS Security(Part 1,2,3) SANS May 14, 2021 •
Guide to Industrial Control Systems (ICS) Security NIST Special Publication 800-82 Revision 2 •
TOP 10 Critical Infrastructure And SCADA/ICS Cybersecurity Vulnerabilities And Threats Check Point June 2020 •
Biggest threats to ICS/SCADA systems INFOSEC April 28, 2020 •
Supply Chain Threats to Industrial Control: Third-Party Compromise DRAGOS 05.22.18 •
3 Common Attack Vectors for Industrial Control Systems Automation World Oct 21st, 2021 •
بدون دیدگاه