بررسی امنیت و قابلیت اطمینان در سیستم های
اسکادا(SCADA)
مقدمه ای بر اتوماسیون
اسکادا چیست ؟
عناصر یک سیستم اسکادا
نسل های مختلف سیستم های اسکادا
ضرورت توجه به امنیت سیستم های اسکادا
ایمن سازی سیستم های اسکادا
استاکس نت و سیستم های اسکادا
Demo
سرفصل
اتوماسیون : استفاده از سیستم های کنترلی و فناوری های اطلاعات به منظور کاهش نیاز انسان به کار در محیط تولید کالا و بالا بردن قابلیت اطمینان در خدمات است.
اتوماسیون و مکانیزاسیون : اتوماسیون مرحله ای فراتر از مکانیزاسیون است .
مکانیزاسیون : استفاده از ماشین آلات در مقابل نیروی عضلانی
اتوماسیون : استفاده از سیستم های کنترلی و فناوری اطلاعات به منظور انجام فعالیت ها با درگیری فکری و ذهنی کمتر .
تاثیر اتوماسیون در صنایع مختلف و زندگی انسان امروزی
مقدمه ای بر اتوماسیون
مزایای اتوماسیون
جایگزین شدن با نیروی انسانی در فعالیت هایی که حاوی کارهای سخت و یا یکنواخت وخسته کننده است .
جایگزین شدن با نیروی انسانی در محیط های خطرناک ( نظیر آتش ، آتشفشان ، تاسیسات انرژی هسته ای و … )
انجام کارهایی که خارج از قدرت انسان است ( اندازه ، وزن ، استقامت ، سرعت )
صرفه جویی اقتصادی ، کاهش هزینه های سربار تولید و خدمات ، افزایش بهره وری و …
معایب اتوماسیون
محدودیت فناوری : فناوری های موجود امکان اتوماسیون تمامی فعالیت ها را نمی دهد
هزینه های پیاده سازی غیرقابل پیش بینی . هزینه تحقیق و توسعه جهت اتوماسیون یک فرآیند می تواند از خود اتوماسیون بیشتر باشد .
سرمایه گذاری مالی بالا در شروع کار
مقدمه ای بر اتوماسیون
اتوماسیون سیستم ها نیازمند سیستم هایی جهت مدیریت فرآیندها است
مدیریت یک فرآیند ، مستلزم تامین داده مورد نیاز آن و اثرگذاری نتایج حاصل از فرآیند بر روی سیستم است .
برای ثبت ، جمع آوری و پردازش داده در یک سیستم کنترلی از روش های مختلفی تاکنون استفاده شده است .
آنالوگ
ثبت داده توسط دستگاه های آنالوگ
جمع آوری داده توسط نیروی انسانی
پردازش آفلاین توسط نیروی انسانی و یا ماشین هایی با توان اندک
اثرگذاری نتایج حاصل از پردازش توسط نیروی انسانی
مقدمه ای بر اتوماسیون
دیجیتال
ثبت داده توسط دستگاه های الکترونیکی
جمع آوری داده بطور اتوماتیک ( با استفاده از مکانیزم های مختلف ارتباطی )
پردازش آنلاین محلی و یا متمرکز توسط دستگاه های پردازش اطلاعات
اثرگذاری نتایج حاصل از پردازش به صورت آنی و بدون تاخیر
امروزه به سیستم های کنترل دیجیتالی ، معمولا” SCADA گفته می شود.(Supervisory Control And Data Acquisition )
سیستم های کنترل دیجیتالی به منزله مغز کنترل و مانیتورینگ سیستم های زیرساخت حیاتی نظیر شبکه های انتقال و توزیع برق ، پالایشگاه ها ، شبکه های آب ، کنترل ترافیک و … می باشند .
مقدمه ای بر اتوماسیون
یک سیستم کنترلی ساده
مقدمه
با توجه به نقش برجسته سیستم های اسکادا در کنترل و مانیتورینگ زیرساخت های حیاتی و صنایع مهم یک کشور ، پرداختن به ایمن سازی آنها به یک باید و اولویت ملی مهم تبدیل شده است چراکه :
سیستم های کنترل دیجیتالی با هدف حداکثر بازدهی و کارآیی مطلوب طراحی شده اند و به امنیت آنها توجه جدی نشده است . ( نیاز امروز با توجه به واقعیت های موجود )
در اغلب سیستم های کنترل دیجیتالی ، به محیط عملیاتی بطور کامل اعتماد می شود و با فرض وجود یک محیط ایمن و قابل اطمینان ، فعالیت ها انجام می شود .
ارتباط تنگاتنگ سیستم های اسکادا با سایر سیستم های موجود در یک سازمان ، ضرورت توجه به امنیت آنها را مضاعف کرده است ( مهم ترین مزیت ← بیشترین خطر)
سیستم های کنترل نظارتی از حالت standalone به سمت معماری مبتنی بر شبکه حرکت کرده اند
سخت افزار و نرم افزار استفاده شده در سیستم ها از طراحی و پیاده سازی کاملا" سفارشی به سمت استانداردهای سخت افزاری و پلت فرم های نرم افزاری سوق پیدا کرده اند.
مقدمه ای بر اتوماسیون
مقدمه ای بر اتوماسیون
گرچه این مزایا ، دستاوردهای مثبتی خصوصا" از بعد هزینه را به دنبال داشته است ولی باعث شده است که سیستم های کنترل صنعتی ایزوله که دارای سخت افزار و نرم افزار کاملا" اختصاصی خود بودند درمقابل تهدیدات خارجی ( شبکه اینترنت ) و یا داخلی ( پرسنل سازمان ) ، آسیب پذیر گردند.
حملات با استفاده از مزایای نقاط آسیب پذیر موجود در پلت فرم های استاندارد نظیر ویندوز و کامپیوترهای شخصی ( تطبیق یافته با سیستم های کنترل نظارتی ) ، صورت می پذیرد.
اسکادا چیست ؟
سیستم های اسکادا با هدف کنترل نظارتی ، مدیریت و مانیتورینگ فرآیندها طراحی شده اند . جهت نیل به اهداف فوق لازم است داده بلادرنگ ، جمع آوری و آنالیز گردد.
گسترش استفاده از سیستم های اسکادا به اندازه ای است که هم اینک اغلب زیرساخت های حیاتی و مهم یک کشور به آنها وابسته شده اند .
امروزه سیستم های اسکادا به دلیل قابلیتهای اطمینان بالا در پیاده سازی دارای جایگاهی بسیار مهم در بسیاری از صنایع هستند.
صنایع آلومینیوم سازی ، خودروسازی ، پتروشیمی ، فولاد ، غذایی
تاسیسات هسته ای ، شبکه های توزیع نفت و گاز ، شبکه های توزیع آب
مخابراتی و …
اسکادا چیست ؟
دامنه استفاده از قابلیت های سیستم های اسکادا بسیار گسترده می باشد از تعویض یک لامپ گرفته تا کنترل پردازش های بسیار پیچیده :
کنترل دیگ بخار
جمع آوری داده مرتبط با دیگ بخار
کنترل درجه حرارت دیگ بخار
کنترل دیگ بخار و توربین
سیستم حمل و نقل و بارگیری نفت
مانیتوریتگ درجه حرارت یاتاقان ها
کنترل کوره
کنترل مخازن
و …
عناصر سیستم اسکادا
اجزاء یک سیستم اسکادا :
دستگاه اندازه گیری : قادر به تشخیص شرایطی نظیر PH ، درجه حرارت ، سطح فشار ، نرخ انتقال آب و …می باشند .
تجهیزات عملیاتی نظیر پمپ ، شیر ، تسمه نقاله که می توان آنها را توسط محرک ها کنترل کرد .
پردازنده های محلی که می توانند با ابزارآلات دستگاه های اندازه گیری ارتباط برقرار نمایند .پردازنده های محلی قادربه انجام تمام ویا بخشی از وظایف زیر می باشند :
جمع آوری داده دستگاه اندازه گیری
فعال و یا غیرفعال کردن تجهیزات عملیاتی بر اساس منطق برنامه نویسی شده داخلی و یا به کمک دستورات از راه دور که توسط انسان و یا کامپیوتر صادر شده است
ترجمه پروتکل ها بگونه ای که کنترل کننده های مختلف ، وسایل اندازه گیری و تجهیزات بتوانند با یکدیگر ارتباط برقرار نمایند
شناسایی شرایط هشدار
عناصر سیستم اسکادا
اجزاء یک سیستم اسکادا :
به پردازشگرهای محلی اسامی مختلفی اطلاق می شود نظیر :
PLC ( Programmable Logic Controller )
RTU ( Remote Terminal Controller )
IED ( Intelligent Electronic Device )
PAC ( Process Automation Controller )
یک پردازنده محلی ممکن است مسئولیت ده ها داده ورودی از دستگاه های اندازه گیری را داشته باشد و خروجی تجهیزات عملیاتی را نیز تامین نماید.
ارتباطات با برد کم : بین پردازنده های محلی و دستگاه های اندازه گیری و تجهیزات عملیاتی . به کمک ارتباطات فوق، سیگنال های آنالوگ و یا گسسته با استفاده از خصایص الکتریکی نظیر ولتاژ .و جریان حمل می شوند.
کامپیوترهای میزبان که به عنوان نقطه مرکزی مانیتورینگ و کنترل رفتار سیستم عمل می نمایند
عناصر سیستم اسکادا
اجزاء یک سیستم اسکادا :
کامپیوترهای میزبان …
از طریق کامپیوتر میزبان یک اپراتور انسانی می تواند فرآیندها را مدیریت کرده ، هشدارهای ارسالی را دریافت ، داده ارسالی را بازبینی و در صورت لزوم کنترل های لازم را فعال نماید .
در برخی حالات کامپیوتر میزبان دارای منطق برنامه ریزی شده درون خود است تا بتواند کنترل پردازنده های محلی را انجام دهد.
در برخی حالات دیگر کامپیوتر میزبان صرفا" یک واسط بین اپراتور انسانی و پردازنده های محلی است .
ذخیره داده در بانک اطلاعات و تولید گزارشات از جمله وظایف دیگر کامپیوتر میزبان است
کامپیوتر میزبان ممکن است به عنوان یک (MTU ) برگرفته شده از Master Terminal Unit ( ، سرویس دهنده SCADA و یا یک کامپیوتر شخصی ( PC ) به همراه نرم افزار (HMI ) برگرفته شده از Human Machine Interface باشد .
عناصر سیستم اسکادا
اجزاء یک سیستم اسکادا :
ارتباطات با برد بالا بین پردازنده های محلی و کامپیوترهای میزبان . این ارتباطات معمولا" می تواند شامل کیلومترها مسافت با استفاده از روش هایی نظیر خطوط اختصاصی تلفن ، ماهواره و یا ماکرویو باشد .
اسکادا ، صرفا" یک نمونه از پیاده سازی سیستم های کنترل فرآیند یا PCS است سیستم های کنترل شده توزیع شده ( DCS ) ، یک نمونه دیگر در این زمینه است.
سیستم های اسکادا معمولا" در یک محدوده جغرافیایی به شعاع چندین کیلومتر توزیع و مستقر می شوند و در برخی موارد دارای توابع کنترلی برنامه ریزی شده در کامپیوتر میزبان مرکزی می باشند . در حالی که سیستم های DCS معمولا" در یک تاسیسات بزرگ توزیع و مستقر می گردند و پردازنده های محلی منطق کنترل را ارایه می نمایند .
سیستم های اسکادا اغلب با سیستم های بزرگ دیگر نظیر سیستم های مدیریت انرژی ( EMS ) ، سیستم های مدیریت توزیع شده (DMS ) و نظایر آن ، مرتبط می گردند.
عناصر سیستم اسکادا
یک شبکه نمونه اسکادا :
عناصر سیستم اسکادا
برخی تجهیزات نمونه
نسل های سیستم اسکادا
سه نسل مختلف :
نسل اول : یکپارچه.
نسل دوم : توزیع شده
نسل سوم : شبکه ای
ویژگی های نسل اول :
اولین مرتبه ای که سیستم های اسکادا ارائه گردیدند ، عملیات و پردازش به صورت متمرکز بر روی سیستم های mainframe انجام می شد . شبکه ای وجود نداشت و هر سیستم متمرکز به صورت انفرادی کار می کرد .
شبکه های WAN پیاده سازی شده مفهوم امروزی را نداشت و هدف آن برقراری ارتباط با ترمینال های راه دور (RTU ) بود . علاوه بر این پروتکل های WAN امروزی در آن زمان شناخته شده نبودند .
نسل های سیستم اسکادا
ویژگی های نسل اول :
پروتکل های ارتباطی استفاده شده در شبکه های اسکادا توسط تولید کنندگان تجهیزات RTU پیاده سازی می گردید و اغلب اختصاصی بودند . علاوه بر این ، پروتکل ها عموما" خیلی ضعیف و با قابلیت های محدود بودند.
اتصال به ایستگاه اصلی اسکادا از طرف تولیدکنندگان محدود می گردید . اتصال به ایستگاه اصلی معمولا" در سطح bus و از طریق یک آداپتور اختصاصی صورت می گرفت .
افزونگی شامل یک سیستم اولیه و یک سیستم ثانویه بود که در سطح bus به یکدیگر متصل می شوند .
نسل های سیستم اسکادا
نسل اول
نسل های سیستم اسکادا
ویژگی های نسل دوم :
کوچک سازی در نسل دوم سیستم های اسکادا در دستور کار قرار گرفت و از فناوری شبکه های محلی ( LAN ) برای توزیع پردازش بین چندین سیستم استفاده گردید.
چندین ایستگاه که هر یک دارای یک وظیفه خاص بودند به شبکه محلی متصل شده و اطلاعات را به صورت بلادرنگ به اشتراک می گذاشتند. این ایستگاه ها معمولا" کامپیوترهای کوچکی بودند که بمراتب کوچک تر و ارزان قیمت تر نسبت به پردازنده های نسل اول می باشند .
برخی از ایستگاه های توزیع شده به عنوان پردازنده های ارتباطی عمل می نمایند در وهله اول با دستگاه هایی نظیر RTU ارتباط برقرار می نمایند . برخی رابط HMI را برای اپراتور سیستم ارایه می نمایند و برخی دیگر به عنوان پردازنده های محاسباتی و یا سرویس دهندگان بانک اطلاعاتی عمل می نمایند .
شبکه ای که ایستگاه ها را به یکدیگر متصل می نماید بر اساس پروتکل های LAN بود و نمی توانست به محدوده و یا قدرتی خارج از محدودیت های محیط های محلی برسد
نسل های سیستم اسکادا
ویژگی های نسل دوم :
توزیع وظایف سیستم اسکادا بین چندین سیستم ، توان پردازشی بیشتری را برای سیستم نسبت به زمانی که تمامی توان پردازش در یک سیستم پردازنده متمرکز بود ، فراهم می نماید .
برخی از پروتکل های LAN دارای یک ماهیت اختصاصی بودند که تولید کنندگان آنها را به عنوان پروتکل های اختصاصی جهت شبکه خود طراحی کرده بودند . این باعث می شد که یک تولید کننده بتواند پروتکل LAN مربوط به خود جهت ترافیک بلادرنگ بهینه سازی نماید ولی دارای این محدودیت است که نمی تواند با شبکه محلی اسکادا سایر تولید کنندگان ارتباط برقرار نماید .
بهبود وضعیت افزونگی و قابلیت اطمینان به سیستم
همانند نسل اول ، سیستم های نسل دوم محدود به سخت افزار ، نرم افزار و دستگاه های جانبی ارایه شده و یا حداقل انتخاب شده توسط تولید کننده بودند.
نسل های سیستم اسکادا
نسل دوم
نسل های سیستم اسکادا
ویژگی های نسل سوم :
نسل فعلی سیستم های اسکادا شباهت زیادی با نسل دوم دارد با این تفاوت عمده که از یک معماری باز در مقابل یک محیط اختصاصی و کنترل شده توسط تولید کننده ، استفاده می گردد.
همچنان چندین سیستم های شبکه ای وجود دارد و وظایف ایستگاه اصلی به اشتراک گذاشته می شود
همچنان از RTU استفاده می گردد که از پروتکل های اختصاصی تولید کننده استفاده می نمایند .
اصلاح عمده در نسل سوم : استفاده از معماری سیستم باز و استانداردهای باز ( امکان ارتباط و بکارگیری محصولات تولید شده توسط سایر تولید کنندگان فراهم گردید )
یکی از مهمترین تغییرات در نسل سوم، استفاده از پروتکل های WAN نظیر IP جهت ارتباط بین ایستگاه اصلی و تجهیزات ارتباطی بود .
هم اینک تولید کنندگان، محصولات RTU خود را بگونه ای می سازند که می تواند با ایستگاه اصلی و با استفاده از اتصالات اترنت ارتباط برقرار نمایند .
نسل های سیستم اسکادا
نسل سوم
پروتکل های اسکادا
در ابتدای ارایه سیستم های اسکادا ، استانداردهای ارتباطی اندکی وجود داشت و همین موضوع باعث شده بود که هر یک از تولید کنند گان تجهیزات خود را با پروتکل اختصاصی خود تولید نمایند .
پس از مدتی تعداد پروتکل تقریبا” به 150 تا 200 رسید.
تعداد زیاد پروتکل ها به همراه ماهیت اختصاصی آنها ، باعث ایجاد یک سطح خاصی از امنیت شده بود ( امنیت با ایجاد ابهام )
به موازات این که صنعت اسکادا رشد کرد و تولید کنندگان خود را با استانداردهای باز تطبیق دادند ، مجموع پروتکل های متداول اسکادا به تعداد کمتری کاهش یافت که برخی از آنها عبارتند از :
MODBUS Ethernet/IP PROFIBUS ControlNet InfiNET HART
UCA Fieldbus Distributed Network Protocol (DNP) Utility Communications Architecture (UCA) Inter-Control Center Communications Protocol (ICCP) Telecontrol Application Service Element (TASE)
ضرورت توجه به امنیت سیستم های اسکادا
از سال 2000 میلادی به بعد حجم حملاتی که متوجه سیستم های اسکادا شده است روند رو به فزاینده ای را گرفته است . بین 2000 تا 3000
سیستم های دیجیتال اسکادا اولیه با هدف حداکثر کارآیی طراحی شده بودند
در آغاز اسکادا در یک شبکه بسته فعالیت می کرد و خطاهای طبیعی مرتبط با پروتکل های شبکه ای موجود نبود.
اکثر نمونه های نصب شده از سیستم های اسکادا هم اینک از پروتکل هایی استفاده می نمایند که ذاتا" غیرایمن هستتند و یا توسط تولید کنندگان محصولات اسکادا به خوبی پیاده سازی نشده اند . این وضعیت سیستم های اسکادا را غیرایمن می سازد
نباید تعجب کنیم که اگر با بکارگیری یک برنامه ساده پویش پورت در یک شبکه اسکادا ، تمامی شبکه دچارمشکل شود چراکه نحوه برخورد با خطاء به خوبی پیاده سازی نشده است .
به منظور نیل به تمامی مزایای بکارگیری یک سیستم اسکادا ، لازم است ارتباطات بین شبکه ای به شبکه بزرگ سازمانی ایجاد گردد تا داده پردازش شده بلادرنگ به سیستم های back end ارسال گردند . در این ارتباطات بین شبکه ای ، یک لینک ارتباطی ضعیف در امنیت سیستم های اسکادا ظهور می کند .
ضرورت توجه به امنیت سیستم های اسکادا
اولین مرحله ، در شناخت خطرات مرتبط با اسکادا در دنیای دیجیتال امروز ، پذیرش این واقعیت است که سیستم های اسکادا به منظور کار در یک محیط بسته طراحی شده اند .
با این که اغلب سازمان ها ادعا می نمایند که سیستم اسکادا آنها به شبکه آنها متصل نمی باشد . تخمین زده می شود که بین 80 تا 90 درصد سیستم های اسکادا به شبکه های بزرگ سازمان مربوط به خود متصل هستند . همین وضعیت باعث شده است که مهاجمان بتوانند حملات خود را متوجه سیستم های اسکادا نمایند .
ضعف های سطح بالا که امروزه در سیستم های اسکادا یافت می شود شامل موارد ذیل است :
نیاز به هیچگونه تاییدیه ندارند
نیاز به هیچگونه مجوزی برای انجام کار ندارند .
از رمزنگاری استفاده نمی نمایند
بطرز مناسبی با خطا و اتفاقات غیرقابل پیش بینی برخورد نمی نمایند
ضرورت توجه به امنیت سیستم های اسکادا
ضعف های سطح بالا باعث ایجاد پتناسیل های مختلفی جهت حملات می شود :
بازرسی و کنکاش در داده
انجام عملیات دلخواه بر روی داده
از کار انداختن سرویس ها
جعل آدرس ها
پاسخ های ناخواسته
سرقت session
تغییر لاگ ها ی داده
کنترل غیرمجاز
ضرورت توجه به امنیت سیستم های اسکادا
در صورت بروز حملات شاهد نتایج فاجعه آمیزی خواهیم بود :
تغییر اطلاعات موجود بر روی صفحه نمایش HMI که می تواند اپراتور سیستم اسکادا را به اشتباه انداخته و عملیات اصلاحی نادرستی را انجام دهد
کسب مجوز به یک فرد تا کنترل سیستم اسکادا را به دست گیرد .
ایجاد اختلال در فرآیندی که تحت کنترل سیستم اسکادا است .
جعل آدرس ها
پاسخ های ناخواسته
سرقت session
تغییر لاگ ها ی داده
کنترل غیرمجاز
افشاء غیرمجاز داده های حساس و مهم
تغییرات غیرمجاز و انجام عملیات داخواه بر روی داده های حساس و مهم
دستیابی غیرمجاز به لاگ های ممیزی و انجام تغییرات در لاگ های ممیزی
ضرورت توجه به امنیت سیستم های اسکادا
برخی اهداف مهاجمین :
دستابی به سیستم اسکادا
دستیابی به ایستگاه اصلی سیستم اسکادا
به خطر افتادن RTU و یا PLCs محلی
به خطر افتادن ایستگاه اصلی کنترل اسکادا
به دست آوردن رمز عبور سیستم اسکادا از طریق ایستگاه کنترل اصلی
دستیابی به RTU و یا PLCs محلی
جعل RTU و ارسال داده غلط به ایستگاه اصلی کنترل
جعل ایستگاه اصلی و ارسال داده غلط برای RTU
از کار انداختن ایستگاه اصلی کنترل
ازکارانداختن RTU کنترلی محلی
تغییر برنامه کنترلی RTU
ضرورت توجه به امنیت سیستم های اسکادا
اکثر عناصر سیستم های اسکادا خصوصا" PLC محلی و یا کنترل کننده ها مجبور هستند در یک محیط کاملا" بلادرنگ و یا نزدیک به بلادرنگ فعالیت نمایند . بنابراین ، نمی توانند تاخیر را تحمل نمایند که توسط برخی نرم افزارهای امنیتی ایجاد می گردد
همچنین عناصر سیستم های اسکادا معمولا" دارای حافظه اضافه ای نمی باشند که بتوان با استناد به آنها برنامه های بزرگ (نظیر برنامه های مانیتورینگ امنیتی ) را اجرا کرد.
علاوه بر این ، سیستم های اسکادا با سیستم های مرتبط با فناوری اطلاعات سازمان گره خورده اند که دارای خصایص امنیتی و اعتماد پذیری مختص به خود می باشند
مجموعه ای از کنترل های امنیتی مرتبط با فناوری اطلاعات را می توان در رابطه با سیستم های اسکادا نیز اعمال کرد
مهمترین عناصر خطرناک برای سیستم های اسکادا
اتصالات به شبکه های اضافه و احتمالا" آسیب پذیر
استفاده از پلت فرم های استاندارد سخت افزاری با نقاط آسیب پذیر شناخته شده
استفاده از نرم افزارهای استاندارد با نقاط آسیب پذیر شناخته شده
سایر نقاط آسیب پذیر انصالات راه دور
نیاز به دریافت داده به صورت بلادرنگ در مقابل کنترل های امنیت اطلاعات که با ماهیت ایجاد تاخیر
ایمن سازی سیستم های اسکادا
توصیه اول : شناسایی تمامی اتصالات به شبکه اسکادا
ارزیابی ضرورت وجود هر اتصال به شبکه اسکادا ، آنالیز تهدیدات مرتبط با آنان و نحوه حفاظت هر یک از شبکه ها
انواع اتصالات شبکه ای :
شبکه های محلی و WAN شامل شبکه سازمانی
اینترنت
دستگاه های شبکه بی سیم شامل لینک های ماهواره ای
اتصالات مودم و یا Dial up
اتصالات به شرکاء تجاری ، فروشندگان و یا نهادهای نظارتی
ایمن سازی سیستم های اسکادا
توصیه دوم : قطع اتصالات غیرضروری به شبکه اسکادا
حتی المقدور سعی نمایید شبکه اسکادا از سایر شبکه ها مجزاء گردد .
هر اتصال به شبکه دیگر می تواند تهدیدات امنیتی مختص به خود را به دنبال داشته باشد خصوصا" اگر اتصال ایجاد شده دریچه ای رو به اینترنت نیز گشوده باشد .
ایزوله کردن شبکه اسکادا یکی از اهداف اولیه در جهت تامین یک سطح حفاظتی قابل قبول است .
توصیه سوم : ارزیابی و تقویت امنیت هر اتصال باقیمانده به شبکه اسکادا
اجرای تست نفوذ و آنالیز نقاط آسیب پذیر هر یک از اتصالات باقیمانده به شبکه اسکادا .
تحلیل نتایج حاصل از تست نفوذ به همراه فرآیند های مدیریت تهدیدات به منظور پیاده سازی یک استراتژی حفاظتی مستحکم
پیاده سازی فایروال ، سیستم های تسخیص مزاحمین و سایر ابزارهای موجود در هر نقطه تماس شبکه اسکادا با سایر شبکه ها
پیکربندی قوانین فایروال بگونه ای که امکان دستیابی به شبکه اسکادا مدیریت یافته باشد .
ایمن سازی سیستم های اسکادا
توصیه چهارم : حذف و یا غیرفعال سرویس های غیرضروری بر روی شبکه اسکادا
سیستم عامل موجود بر روی سرویس دهندگان کنترلی اسکادا ( تجاری و یا کد باز) می تواند جذابیت های خاصی را برای مهاجمان از طریق سرویس های شبکه ای پیش فرض ایجاد نماید
حتی المقدور سعی گردد سرویس های استفاده نشده حذف و یا غیرفعال گردند ( خصوصا" در مواردی که شبکه اسکادا با سایر شبکه ها مرتبط می گردد ) .
مطالعه و بکارگیری توصیه های امنیتی در خصوص ایمن سازی سیستم عامل
مشاوره با ارایه دهندگان اسکادا در زمان حذف و یا غیرفعال کردن یک سرویس و شناسایی ایمن ترین پیکربندی
ایمن سازی سیستم های اسکادا
توصیه پنجم : عدم استناد به پروتکل های اختصاصی جهت حفاظت سیستم
برخی سیستم های اسکادا از پروتکل های اختصاصی و منحصربفرد برای ارتباط با دستگاه های اندازه گیری ، پردازنده های محلی و سرویس دهندگان استفاده می نمایند .
اغلب استناد به ایمن سازی سیستم های اسکادا ، محدود به ایمن سازی این پروتکل ها می گردد . واقعیت این است که مبهم بودن این پروتکل ها صرفا” می تواند امنیت اندکی را به ارمغان آورد .
هرگز به پروتکل های اختصاصی و یا پیکربندی پیش فرض استناد نکنید .
از ارایه دهندگان سیستم های اسکادا تقاضاء نمایید سیستم را فاقد هرگونه back door و یا اینترفیس های مازاد ( نظیر اینترفیس ارایه هنده به سیستم شما ) تحویل دهد . ارایه دهند ، مسئولیت ایمن بودن سیستم را می بایست بپذیرد .
ایمن سازی سیستم های اسکادا
توصیه ششم : پیاده سازی ویژگی های امنیتی ارایه شده توسط تولید کنندگان دستگاه ها و یا سیستم ها
اکثر سیستم های قدیمی اسکادا ( اکثر سیستم هایی که هم اینک از آنها استفاده می شود ) ، دارای هیچگونه ویژگی امنیتی نمی باشند .
مالکین سیستم های اسکادا می بایست به فروشندگان اصرار ورزند که ویژگی های امنیتی را به شکل Patch و یا بسته های ارتقاء ارایه نمایند .
تعدادی از سیستم های جدید اسکادا با برخی ویژگی های پایه امنیتی ارایه می گردند ولی اغلب این ویژگی ها به منظور نصب آسان ، غیرفعال می گردند .
هر دستگاه اسکادا را بررسی نمایید تا مشخص گردد که آیا دستگاه دارای ویژگی های امنیتی می باشد .
تنظیمات پیش فرض هر دستگاه بگونه ای انجام شده است که بیشترین قابلیت استفاده و کم ترین امنیت را داشته باشند . تمامی ویژگی های امنیتی موجود در هر دستگاه می بایست با حداکثر سطح امنیتی تنظیم گردد .
ایمن سازی سیستم های اسکادا
توصیه هفتم : ایجاد یک کنترل قدرتمند بر روی هر رسانه ای که به عنوان یک Backdoor درون شبکه اسکادا رفتار می نماید
جایی که backdoor و یا اتصالات ارایه دهندگان سیستم های اسکادا وجود دارد ، می بایست از یک سیستم تایید هویت مستحکم برای حصول اطمینان از یک ارتباط ایمن استفاده گردد .
معمولا" از مودم ، ارتباطات بی سیم و یا خطوط اختصاصی برای برقراری ارتباط و انجام خدمات پشتیبانی استفاده می گردد . این وضعیت می تواند یک نقطه آسیب پذیر با پتانسیل بسیار بالا را درون یک شبکه اسکادا ایجاد نماید .
به منظور کاهش این گونه تهدیدات ، دستیابی ورودی را غیرفعال نمایید و آن را با یک نوع خاص از سیستم callback جایگزین نمایید .
ایمن سازی سیستم های اسکادا
توصیه هشتم : پیاده سازی سیستم های تشخیص مزاحمین داخلی و خارجی و مانیتورینگ شبانه روزی وقایع
به منظور پاسخ گویی موثر به حملات ، لازم است یک استراتژی تشخیص مزاحمین که شامل هشدار به مدیران شبکه در خصوص فعالیت های مخرب از منابع داخلی و یا خارجی است ، پیاده سازی گردد
سیستم تشخیص مزاحمین لازم است به صورت شبانه روزی باشد و به سیستم های اطلاع رسانی نظیر پیام کوتاه و یا pager نیز مرتبط گردد
رویه های پاسخ به وقایع می بایست پیش بینی گردد تا در صورت بروز حملات بتوان پاسخ لازم را در کوتاهترین زمان داد.
فعال کردن لاگ بر روی تمامی سیستم ها و ممیزی لاگ ها بطور روزانه
ایمن سازی سیستم های اسکادا
توصیه نهم : ممیزی فنی دستگاه ها و شبکه اسکادا و هر شبکه متصل شده به منظور شناسایی اثرات امنیتی
ممیزی فنی از دستگاه ها و شبکه اسکادا
به منظور ممیزی فنی می توان از مجموعه ای از ابزارهای کدباز و یا تجاری به منظور شناسایی نقاط آسیب پذیر ، سطح patching ، سرویس های فعال دستگاه ها و شبکه اسکادا استفاده کرد .
استفاده از این ابزارها مشکل مسائل سیستماتیک را حل نخواهد کرد ولی می تواند باعث حذف " مسیرهایی با حداقل مقاومت " گردد که یک مهاجم می تواند از آنها در جهت منافع خود بهره برداری نماید.
آنالیز نقاط آسیب پذیر شناسایی شده و انجام اقدامات ضروری در جهت برطرف کردن آنها
تست مجدد سیستم ها پس از انجام اصلاحات جهت حصول اطمینان از رفع مشکل نقاط آسیب پذیر
ایمن سازی سیستم های اسکادا
توصیه دهم : ممیزی امنیت فیزیکی و ارزیابی تمامی سایت های راه دور متصل شده به شبکه اسکادا به منظور بررسی وضعیت امنیتی آنها
هر نقطه ای که دارای یک اتصال به شبکه اسکادا می باشد ، می تواند یک هدف باشد خصوصا" سایت های راه دور
ممیزی امنیت فیزیکی در هر نقطه تماس با شبکه اسکادا
شناسایی و ارزیابی هر گونه منبع اطلاعاتی شامل تلفن ، شبکه کامپیوتری راه دور ، کابل های فیبرنوری ، لینک های رادیویی ، ترمینال های کامپیوتری ، دستگاه های نقطه تماس شبکه های بی سیم
ایمن سازی سیستم های اسکادا
توصیه یازدهم : ایجاد "گروه موسوم به قرمز" جهت شناسایی و بررسی سناریوهای حملات احتمالی
ایجاد یک گروه به منظور شناسایی سناریوهای مختلف حملات احتمالی و بررسی نقاط آسیب پذیر سیستم
استفاده از مجموعه ای از نیروهای کارشناس که در خصوص امنیت اطلاعات ، سیستم های اسکادا ، سیستم های فیزیکی و کنترل های امنیتی دارای بینش لازم می باشند
بررسی ریسک نفوذ و اثربخشی کدهای مخرب
در اختیار قرار دادن نتایج مطالعات انجام یافته توسط گروه فوق به گروه مدیریت تهدیدات به منظور اتخاذ استراتژی لازم جهت مقابله با تهدیدات
ایمن سازی سیستم های اسکادا
توصیه دوازدهم : تعریف شفاف وظایف ، مسئولیت ها ، ممیزی ها ، مدیریت ها و کاربران
کارکنان سازمان لازم است شناخت مناسبی نسبت به نقش خود در خصوص ایمن سازی اطلاعات داشته باشند . این کار از طریق تعریف دقیق و شفاف وظایف و مسئولیت ها صورت می پذیرد
به کارکنان کلیدی سازمان می بایست مجوز لازم جهت انجام وظایف خود خصوصا" در موارد ممیزی داده شود .
یک ساختار سازمانی در خصوص ایمن سازی زیرساخت فناوری اطلاعات در سازمان ایجاد گردد . چگونه وقوع یک حادثه امنیتی تشخیص داده می شود و وظایف هر فرد چیست ؟
ایمن سازی سیستم های اسکادا
توصیه سیزدهم : مستندسازی معماری شبکه و شناسایی سیستم هائی که دارای وظایف حیاتی هستند و یا شامل اطلاعات حساسی می باشند که نیازمند یک سطح اضافه از حفاظت می باشند
توصیه چهاردهم : ایجاد فرآیند مدیریت خطرات ( مستمر و سخت )
توصیه پانزدهم : ایجاد یک استراتژی حفاظت شبکه بر اساس اصول دفاع در عمق
توصیه شانزدهم : تدوین یک برنامه جامع امنیتی در سازمان شامل رویه ها ، سیاست های امنیتی ، مسئولیت ها و …
ایمن سازی سیستم های اسکادا
توصیه هفدهم : مدیریت پیکربندی تجهیزات سخت افزاری و نرم افزاری
توصیه هجدهم : انجام ارزیابی امنیتی بطور ادواری
توصیه نوزدهم : ایجاد یک برنامه جامع جهت برخورد مناسب با شرایط بحرانی ( برگرداندن سریع سیستم ها به سرویس ها ، عدم حذف و یا از دست دادن داده و … )
توصیه بیستم : ایجاد سیاست ها ، آموزش ، افزایش دانش و آگاهی کارکنان در خصوص امنیت
استاکس نت و سیستم اسکادا
استاکس نت ، سیستم های کنترل صنعتی را هدف قرار داده است .
استاکس نت به دنبال یک PLC خاص می گردد .
S7 – 300
S7 – 400
هر PLC می بایست قبل از استفاده ، برنامه ریزی گردد .
پیکربندی در محلی با نام SDB (System Data Blocks ) ذخیره می گردند .
استاکس نت SDB را بررسی کرده و به دنبال یک بایت خاص و در یک مکان بخصوص است
ادامه … !
ایمن سازی
سیستم های اسکادا
یک اولویت و ضرورت ملی است
The End