مقدمه

زیر ساخت‌های کنترل صنعتی که صنایع اصلی کشور را مانند کارخانه‌های تولیدی، حمل و نقل و انرژی و غیره را شامل می‌شوند به شدت به سیستم اطلاعات برای فرماندهی و کنترل‌شان وابسته‌اند. در حالی که یک وابستگی بالایی هنوز هم به سیستم‌های قدیمی کنترل صنعتی وجود دارد، سیستم‌هایی که زیر ساخت حساس دارند به تکنولوژی‌های ارتباطی جدید مهاجرت می‌کنند. در نتیجه: پروتکل‌های ارتباطی معمولی و استاندارد‌های معماری باز به جای مکانیزم‌های اختصاصی متنوع و متفاوت از سیستم‌های کنترل صنعتی استفاده می‌شوند. این جایگزینی می‌تواند اثرات مثبت و منفی داشته باشد. در جنبه مثبت این مهاجرت سبب می‌شود که صاحبان دارایی‌ها برای دسترسی به روش‌های جدید و کارامد‌تر از ارتباطات و داده‌های قوی‌تر و قابلیت همکاری و زمان سریع‌تر برای رفتن به بازار داشته باشند. از جنبه منفی قدرت دادن به کاربران سیستم کنترل با توانایی‌های محاسبات امروزه می‌تواند خطرات جدیدی را معرفی کند، آسیب‌پذیری‌های سایبری مرتبط و ریسک‌هایی ایجاد می‌شوند که زمانی که سیستم‌های کنترل صنعتی به صورت ایزوله بودند وجود نداشتند.

1. طرح‌ریزی در دفاع در عمق

به منظور این‌که به طور موثر یک حالت امنیت سیستم کنترل صنعتی را بفهمیم، یک مدل ریسک نیاز است که به طور موثر به این سیستم‌های پیچیده نگاشت شود. با توجه به تصویر بالا در برنامه‌ریزی برای امن‌سازی مبتنی بر روش دفاع در عمق تهدیدات و آسیب‌پذیری‌ها و یا به اصطلاح جامع‌تر مخاطرات در زیرساخت کنترل صنعتی تاثیراتی دو سویه بر نیروی انسانی، تکنولوژی و فرآیند‌ها می‌گذارد که با توجه به استاندارد‌ها و اقدامات متقابل که در تمامی سه مجرا موثر خواهد بوداین ساختار بهبود پیدا خواهد کرد. ریسک می‌تواند به عنوان تابعی از آسیب‌پذیری‌ها، توسط تهدیدات و عواقب آن بهتر تعریف شود. شکل زیر یک جداسازی سنتی معماری‌های شرکت‌ها و دامنه‌های کنترل را نشان می‌دهد. این معماری معانی ای را برای به اشتراک گذاری داده، گرداوری داده، تبادل نقطه به نقطه داده و دیگر عملیات کسب و کار فراهم می‌کند. امنیت با گمنامی و ابهام کلی به خوبی برای محیط‌هایی که اتصالات ارتباطی خارجی ندارند کار می‌کند. از این رو یک سازمان فقط روی امنیت فیزیکی تمرکز می‌کند.

2. ایزوله کردن سطوح مختلف بصورت مرسوم

امنیت عملیاتی سیستم‌های کنترل دارد به صورت تاریخی توسط صنعت در سطح قابل اطمینان از سیستم تعریف می‌شود تا به صورت امن و کارامد عمل کند. ایزوله کردن کلی از شبکه‌های خارجی اجازه می‌دهد که سازمان‌ها سطح امنیت ارتباطاتشان را کاهش دهند تا آن تهدید‌ها به پرسنلی که به ابزار‌ها دسترسی فیزیکی دارند وابسته شود. از این رو بیشتر ارتباطات داده در زیر ساخت اطلاعات نیازمند مجوزدهی محدود یا نظارت امنیتی می‌باشد. فرمان‌های عملیاتی، دستورات، و گردآوری داده در یک محیط بسته اتفاق می‌افتد که همه‌ی ارتباطات مطمئن هستند. در کل اگر یک فرمان یا دستور با شبکه ارسال شود در شرایطی دور از خطر به مقصد می‌رسد و با توابع مجاز اجرا می‌شود چرا که اپراتورها فقط اجازه دسترسی به سیستم را دارند. ادغام یک معماری IT جدید با یک شبکه‌ی ایزوله که ممکن است هیچ اقدامات متقابلی برای امنیت سایبری نداشته باشد یک چالش به حساب می‌آید. اگر چه اتصالات با استفاده از روتر‌ها و سوییچ‌ها معانی روشن‌تری را از اتصالات ایجاد می‌کند اما دسترسی بدون مجوز توسط یک فرد می‌تواند نتیجه اش دسترسی‌های نامحدود به سیستم‌ها باشد. شکل زیر یک معماری یکپارچه‌ای را نشان می‌دهد که اتصالاتی را از منابع خارجی نظیر سایت‌های فروشندگان، اینترنت یا شبکه‌های LAN دارد.

چالش‌های امنیتی با سیستم‌های کنترل صنعتی

با توجه به استفاده از پروتکل‌های صنعتی در بستر TCP/IP تکنولوژی‌های وابسته به آن‌ها آسیب‌پذیر می‌شوند که این آسیب‌پذیری‌ها نیاز به پایش و پویش سراسری دارند. این موضوع بر عهده سازمان امنیت IT می‌باشد که معمولا با سیاست‌های امنیتی و برنامه‌های عملیاتی اداره می‌شوند که از دارایی‌های اصلی محافظت کنند. نمونه‌ای از آسیب‌پذیری‌ها در معماری سیستم‌های باز که می‌تواند به دامنه‌های سیستم کنترل مهاجرت کنند شامل قابلیت نرم افزار‌های مخرب مانند کرم‌ها، ویروس‌ها و غیره، افزایش سطح دسترسی از طریق دستکاری کد‌ها، جمع‌آوری داده، آنالیز ترافیک پنهان و نفوذ‌های بدون مجوز یا از طریق شبکه‌ها یا اطراف محیط دفاعی می‌باشد. برای درک معانی امنیت اطلاعات و همچنین اطمینان اطلاعات در سیستم‌های کنترل صنعتی، باید تفاوت کلیدی بین معماری سنتی فناوری اطلاعات و تکنولوژی سیستم‌های کنترل صنعتی را فهمید.

از طرفی با به کار گرفتن تکنولوژی‌های امنیت IT داخل یک سیستم کنترل، ممکن نیست که امنیتی پایدار را در این زیرساخت‌ها ایجاد نمود. اگرچه سیستم‌های کنترل صنعتی مدرن اغلب از همان پروتکل‌های اساسی که در شبکه‌های کسب و کار و IT به کار گرفته شده‌اند، استفاده می‌کنند. بعضی از ناحیه‌ها مانند انرژی، حمل و نقل و شیمی، یک سری نیازمندی‌ها و الزامات حساس زمانی دارند و این الزامات باعث کاهش پذیرش‌ رهکارهای مبتنی بر امنیت شبکه‌های فناوری اطلاعات می‌شوند. به همین علت با به کار گرفتن تکنولوژی‌های امنیت IT داخل یک سیستم کنترل، ممکن نیست که امنیتی پایدار را در این زیرساخت‌ها ایجاد نمود.

پروفایل‌های امنیت و متودولوژی‌های حمله

به طور کلی حساسیت محرمانگی و دسترس پذیری و یکپارچگی توسط توابع کسب و کار تعیین شده است و در موارد زیادی ترتیب اهمیت آن‌ها می‌تواند برای بخش‌های مختلف متفاوت باشد. شبکه‌های کنترل صنعتی در حال تحول از دامنه‌های مستقل به شبکه‌های به هم متصل شده هستند. در نتیجه تهدیدات و آسیب‌پذیری‌های امنیتی جدیدی را ایجاد می‌کنند. امنیت سایبری موضوعی بحرانی است که نیاز است در دامنه‌های سیستم‌های کنترل صنعتی که بیشتر مورد استفاده قرار می‌گیرند بررسی شوند. اما بعضی مسائل حساس‌تر عبارتند از:

• درب‌پشتی ‌ها و آسیب‌پذیری‌‌ها (چه عمدی و چه غیر عمدی) در محیط شبکه
• تجهیزات با خصوصیات امنیت کم یا زیاد (مودم‌ها و وسایل کنترل قدیمی و ...)
• آسیب‌پذیری‌ در پروتکل‌های مشترک
• حملات روی وسایل زمینه
• حملات پایگاه داده
• حملات مرد میانی و HIJACK کردن ارتباطات
• سرهم بندی نامناسب یا عدم وجود نرم افزار و سیستم عامل
• تکنیک‌های کدگذاری نا امن
• روش‌های امنیت سایبری نا‌مناسب برای پرسنل داخلی و خارجی
• کمبود تکنولوژی‌های کاهش خاص سیستم‌های کنترل

فهم آسیب‌پذیری‌ها و مسیر‌های حملات وابسته به منظور بهره‌برداری از آن‌ها برای ساخت استراتژی‌های کاهش امنیت، لازم و ضروری است. در ادامه در مورد مسیر‌های حملات سایبری که در بالا به آن‌‌ها اشاره شد توضیح می‌دهیم.

معایب امنیت محیط شبکه

همانطور که در محیط شبکه‌های سایبری، به واسطه نقاط ضعف در ابعاد مختلف، امکان ایجاد دسترسی غیر مجاز، جمع‌آوری اطلاعات و حملات سایبری بواسطه ایجاد درب‌پشتی هست، در شبکه‌های کنترل صنعتی و لبه اشتراک صنعت و سایبر نیز این مشکلات دو چندان خواهند بود. عمده دلیل آن مغایر اولویت‌های امنیت در این زیرساخت‌ها است که در لبه اشتراکی این تناقض مشکلاتی را به زیرساخت صنعتی تحمیل می‌کند. اغلب دربپشتی‌ها کاستی‌های ساده‌ای در محیط معماری هستند که علت بوجود آمدن آن‌ها یا فراموش شدن در طراحی و یا بی‌توجه‌ بودن به مسائل امنیتی است. درب‌پشتی‌ها می‌توانند به طور تصادفی در جاهای مختلف یک شبکه ایجاد شوند که این از بزرگترین نگرانی‌ها در محیط شبکه می‌باشد. با نگاه کردن به مولفه‌های محیط شبکه، معماری IT مدرن تکنولوژی‌هایی برای مقاوم‌سازی دسترسی از راه دور را ایجاد کرده است. این تکنولوژی‌ها عبارتند از دیوارآتش‌ها، سرویس‌های نمایش برای عموم و مدیریت دسترسی از راه دور. با توجه به استفاده محیط شبکه‌ها از ارتباطات وایرلس به طور خاص برای هر سایت راه دور، محیط توسعه یافته، آسیب‌پذیری‌های جدیدی را برای حمله‌ باز می‌کند زیرا دسترسی بدون‌سیم نا‌امن است و یک مولفه‌ی تکراری در بسیاری از سازمان‌ها می‌باشد. در محیط سطح پایین، تکنولوژی بدون‌سیم راحت‌تر از زیرساخت‌های سیمی سنتی به کار گرفته می‌شوند.

سازمان‌ها با دیوارآتش‌ها، سرور‌های عمومی را از شبکه‌های داخلی جدا می‌کنند و دفاع در برابر این حملات را سخت می‌کنند. با مقاوم سازی اطلاعات با ایجاد سرویس‌های خارجی، از قبیل وب یا FTP SERVER، ارتباطات باید از وب سرور به دیتابیس داخلی ایجاد شود و مجوز این اتصالات با دیوارآتش ایجاد می‌شود. اگر بدون ایجاد ساختار امنیت متقابل از این تجهیزات استفاده کنیم، اعتماد روابط بین دیوارآتش‌ها و وب سرور‌ها اجازه می‌دهد که داده از ناحیه خارجی به دامنه‌های داخلی جریان پیدا کند. اگر این داده بدون مجوز باشد و یک حمله ای را تولید کند که اعتماد وب سرور را به خطربیاندازد، در این صورت حمله کننده یک کانال برای دسترسی به سرویس‌های داخلی شبکه‌ی کسب و کار یا سیستم کنترل صنعتی را دارد.

حملات استفاده از پروتکل‌های مشترک مانند حملات OPC/DCOM

تاثیر سیستم عامل‌های مدرن روی سیستم‌های کنترل صنعتی خیلی مهم است. در طی چند سال اخیر، بیشتر سازمان‌ها به استفاده از سرویس‌های اساسی در این محیط‌ها رو آورده‌اند، بعضی از آن‌ها OBJECT LINK تعبیه شده در خود (OLE) و روال فراخوانی از راه دور را دارند. OLE برای کنترل فرایند (OPC) یک استاندارد ارتباطی داده بلادرنگ مبتنی بر این سرویس‌ها می‌باشد. البته OPC هنوز به طور مشترک برای اتصال کارامد با تجهیزات متنوع سیستم کنترل صنعتی استفاده می‌شود. یک مطالعه جدید نشان می‌دهد که سیستم‌های کنترل صنعتی و فرایند‌های آن‌ها در صورت عدم دسترسی به سرویس OPC داده‌های پایدار و همچنین زمان تولید را از دست خواهد داد. استاندارد‌های OPC و رابط‌های برنامه نویسی کاربردی که در محیط‌های سیستم کنترل صنعتی مشترک هستند به داده‌های OPC، هشدار‌ها، تغییرات داده و همچنین داده‌های XML در OPC دسترسی دارند و در ویندوز 7 مورد استفاده قرار می‌گیرند. محدوده‌ی آسییب‌پذیری‌ها از شمارش سیستم ساده و آسیب‌پذیری پسوورد و معایب سرریز بافر می‌باشد. این آسیب‌پذیری‌ها، سیستم‌های کنترل صنعتی زیادی را با ریسک‌های بحرانی از قبیل نصب بدافزار‌های شناخته نشده، حملات رد سرویس، افزایش امتیازات روی یک هاست، و خاموش شدن تصادفی سیستم کنترل صنعتی ناشی از یک خطای سرریز بافر، مواجه می‌کند. حتی اگر تعدادی از این آسیب‌پذیری‌ها راهکاری نیز داشته باشند اما به کار بردن این راهکارها در سیستم کنترل صنعتی همیشه نتایج موفقیت‌آمیزی را ندارد. برای مثال ویندوز 7 به صورت پیش فرض می‌تواند تنظیمات روی یک ماشین میزبان را تغییر دهد، ایجاد برنامه‌های DCOM که به یک سرور راه دور غیر قابل دسترس وصل می‌شود. کمبود حمایت در آینده برای استاندارد‌های OPC , DCOM به تنهایی با چرخه عمر طولانی سیستم‌های کنترل صنعتی، می تواند سازمان‌های زیادی را بییند که هنوز OPC , DCOM را بدون هیچ مسیر پشتیبانی به کار می‌گیرند.

حملات به سیستم کنترل با وسایل زمینه

معماری سیستم‌های کنترل صنعتی معمولا یک توانایی برای دسترسی از راه دور به نقاط پایانی ترمینال و وسایل اندازه‌گیری از راه دور یا همان تجهیزات سطح فیلد دارند. در بعضی موارد خود تجهیزات زمینه، یک توانایی برای دسترسی دارند که شامل استفاده تلفنی یا یک خط اختصاص یافته می‌باشد. به منظور ایجاد بستری برای نگه‌داری از داده‌های عملیاتی در بعضی تجهیزات مدرن، فایل سرور و وب سرور تعبیه شده است تا به مقاوم‌سازی ارتباطات کمک کند. مهندسان و مدیران اغلب یک معانی دومی از ارتباط با این وسایل زمینه دارند که از این توانایی دسترسی علاوه بر دیگر کانال‌های ارتباطی اختصاص‌یافته، استفاده می‌کنند. به عنوان مثال شبکه‌های کنترل صنعتی زیادی با پیوستگی به اتصالات مودم و یا خط خصوصی و یا خطوط عمومی طراحی شده‌اند که این مسئله همواره باعث ایجاد آسیب‌پذیری‌های سنتی مانند کلمات عبور ضعیف که مستعد پذیرش حملات از طریق روش‌هایی مانند Brute Force می‌باشند. بعلاوه این وسایل زمینه قسمتی از دامنه داخلی یا دامنه مورد اعتماد هستند و از این رو دسترسی به این وسایل می‌تواند یک حمله کننده را به یک مسیر داخل معماری سیستم کنترل صنعتی هدایت کند. با کسب دسترسی به داخل یک وسیله زمینه، حمله کننده می‌تواند قسمتی از سنسور یک شبکه شود و یک تونل داخل شبکه سیستم‌های کنترل ایجاد کند. با توجه به این که این وسایل زمینه یک فرمت از دامنه کنترل هستند، حمله کنندگان می‌توانند این وسایل زمینه را به لیست اهداف با دوام خود اضافه کنند تا فاز اسکن و شناسایی حمله را بررسی کنند. اگر یک وسیله در معرض خطر باشد و حمله کننده بتواند از طریق آن وسیله به کنترل، نفوذ کند و باعث فعالیت‌های بدون مجوز شود، حمله کننده می‌تواند شروع به اجرای تعدادی روال کند، شبکه کنترل صنعتی داخلی را مورد پویش قرار دهد و سرانجام با تغییر دادههایی که به کنترل کننده‌ی اصلی ارسال می‌شوند سیستم را وارد بحران نماید.

برنامه پچ کردن نادرست یا نبود برنامه Patch

تکنولوژی چرخه حیات سیستم کنترل صنعتی خیلی طولانی می‌باشد و می‌تواند بین 10 تا 20 سال طول بکشد. در این چرخه حیات، این سیستم‌ها درحال اجرای سیستم‌عامل‌ها هستند و این سیستم عامل‌ها با آسیب‌پذیری‌ها منتشر شده‌اند. این مهم توسط یک تفکر غلط که ایزوله کردن سیستم‌های کنترل صنعتی باعث امن شدن آنها می‌شود و عدم پشتیبانی روال عملیاتی مدیریت وصله‌ها تشدید می‌شود. آسیب‌پذیری‌های سطح سیستم‌عامل درب‌های یک سیستم کنترل صنعتی به روی حمله کنندگان باز می‌کنند. برخی از محیط‌های سیستم کنترل ممکن است یک روش مدیریت وصله داشه باشند، اما این روش‌ها نوعا یک فرایند دستی است و می‌تواند یک زمان خیلی طولانی به وصله کردن یک سیستم بدهد و این امر بخاطر فاصله‌ای است که ممکن است بین سایت‌ها، یا کمبود منابع با آموزش درست، باشد. اکثر متولیان و متخصصین با وصله نمودن آسیب‌پذیری‌ها در زیرساخت‌های کنترل صنعتی خیلی محتاطانه برخورد می‌کنند. زیرا بکار گرفتن یک وصله امنیتی با توجه به نوع آن ممکن است باعث توقف یک فرآیند شود.

تکنیک‌های کدینگ نا امن

به خاطر پیچیدگی، پیاده‌سازی‌های سیستم‌های کنترل صنعتی دارای کد‌های نا امن زیادی می‌باشد. بعضی از این سیستم‌ها کد‌های برنامه‌نویسی خیلی قدیمی دارند که دیگر توسط فروشندگان پشتیبانی نمی‌شوند. کد برنامه‌ها می‌تواند از نبود امنیت رنج ببرد. برای مثال محیط‌های کنترلی زیادی توسط پرسنلی ساخته شده‌اند که دانش امنیتی کمی از دیدگاه برنامه نویسی داشتند. موضوع دیگر امنیت برای برنامه‌نویسی سیستم‌های کنترل مشترک، کمبود یا عدم احراز هویت یا رمز‌نگاری با برنامه‌ها می‌باشد. کدهای رمزنگاری شده ممکن است برای برنامه‌های قدیمی قابل دسترس نباشد و ممکن است با رمز‌نگاری به شدت کند شوند.

 روال‌های امنیت سایبری نا مناسب

با یکپارچگی شبکه‌ها و رشد پیچیدگی عملیات‌‌ها در یک سیستم کنترل صنعتی بزرگ، تعدادپرسنلی که به شبکه‌های کنترل دسترسی دارند افزایش پیدا کرده است. با رشد دسترسی‌های خارجی، پیوند شرکای کسب و کار راه دور و سایت‌های نظیر افزایش یافته است. یک راه حمله دیگر استفاده گسترده از مودم‌ها در محیط سیستم کنترل صنعتی می‌باشد. اغلب مودم‌ها از دیدگاه امنیتی به طورنادرست مدیریت شده‌اند و همیشه روشن هستند و هیچ نوعی از احراز هویت روی آن‌ها تنظیم نشده است.

کمبود تکنولوژی‌های امنیتی خاص سیستم‌های کنترل

مدیران محیط‌های IT تنوع گسترده‌ای از فروشندگان را دارند تا برای پیاده‌سازی امنیت و کاهش ریسک از میان‌ آن‌ها انتخاب کنند. همچنین مدیران امنیت فناوری اطلاعات می‌تواند از فروشندگان بزرگ متعدد با یک نوع گسترده از تولیدات امنیتی انتخاب کنند، یا با یک وضعیت امنیتی ناهمگن از فروشندگان متعدد پشتیبانی بگیرد. برای یک محیط سیستم‌های کنترل، انتخاب یک تکنولوژی امنیت به نیاز‌های منحصر به فرد محیط اختصاص دارد. بعضی از پیشنهادات فروشندگان IT مشترک می تواند سیستم‌های کنترل صنعتی را تغییر دهد، اما فرایند می‌تواند خیلی پیچیده، خیلی هزینه‌بر، باشد و یک تعهد قوی از فروشندگان IT بگیرد که ممکن است برای زمان‌های خاصی که تخصص ندارد مورد استفاده قرار گیرد.

حفاظت از دارایی‌ها، استراتژی‌های دفاع در عمق

به استراتژی پیاده‌سازی لایه‌های متعدد دفاعی به منظور رویارویی با موضوعات امنیتی متعدد، به طور معمول دفاع در عمق اطلاق می‌شود. شکل زیر استفاده از لایه‌های متعدد دفاعی به منظور حفاظت در برابر آسیب‌پذیری‌ سرریز بافر را به تصویر می‌کشد. این استراتژی مبتنی بر استفاده از اقدامات امنیتی مناسب در سرتاسر عملیات شبکه و عملیات میزبان‌ها می‌باشد و مجموعه‌ای از همه‌ی اقدامات امنیتی به منظور ایجاد حفاظت کامل روی کل معماری دارد.

3. لایه‌های دفاعی برای محافظت در برابر آسیب‌پذیری‌ سرریز بافر

چهارچوب استراتژی دفاع در عمق

امنیت سایبری، از دیدگاه دفاع در عمق، فقط بکار‌گیری استراتژی‌های خاص برای تعدادی ریسک مشخص نیست. بلکه یک برنامه‌ی امنیتی موثر برای یک سازمان، وابسته به تبعیت و تمایل به قبول امنیت به عنوان یک محدودیت ثابت روی همه‌ی فعالیت‌های سایبری است. پیاده‌سازی یک استراتژی دفاع در عمق موثر، به یک رویکرد جامع و استفاده ابزاری از همه‌ی منابع یک سازمان به منظور ایجاد لایه‌های حفاظتی موثر، نیاز دارد.

اصول اساسی این چهارچوب به شرح زیر است:

• شناختن ریسک‌های امنیتی که یک سازمان با آن روبرو است
• ریسک‌های کمی و کیفی
• استفاده از منابع کلیدی برای کاهش ریسکهای امنیتی
• تعریف صلاحیت اصلی هر منبع و شناسایی مناطقی که با هم همپوشانی دارند
• رعایت استاندارد‌های امنیتی موجود یا در حال ظهور برای کنترل‌های خاص
• ایجاد و سفارش کنترل‌های خاصی که برای هر سازمان منحصر به فرد هستند

پیاده سازی استراتژی دفاع در عمق برای یک سازمان، برای شروع نیاز به فهم ریسک‌های فعلی دارد. ریسک برای سیستم‌های کنترل صنعتی توسط شناختن تهدیدات و آسیب‌پذیری‌هایی که یک سازمان با آن روبرو است، ممکن می‌شود. به منظور فهم ریسک، یک سازمان باید ریسک را طوری ارزیابی کند که همه‌ی جنبه‌های سازمان را پوشش دهد. ارزیابی ریسک، یک اصل کلیدی در تعریف، فهم، و برنامه‌ریزی اصلاح تلاش‌ها در برابر تهدیدات خاص و آسیب‌پذیری‌ها می‌باشد. ارزش ارزیابی ریسک به طور مداوم در فواصل به موقع به روز رسانی می‌شود و توسط همه‌ی ناحیه‌ها و سطح‌های سازمان‌ها شامل مدیران سطح C پشتیبانی می‌شود. به منظور ایجاد یک فرهنگ برای حفاظت سیستم‌های کنترل صنعتی، یک تیم عملیاتی باید نیاز‌ها را جمع‌آوری کند. تیم باید شامل حداقل یک مدیر سطح اجرایی برای رهبری و راهنمایی، مدیریت عملیات و امنیت در سطح سازمان، و مشارکت و حضور تمامی مهندسان و مدیران سیستم کنترل باشد. تیم نیاز به آموزش روی جنبه‌های کلیدی امنیت سایبری در سیستم کنترل صنعتی دارد و آگاهی کامل از چالش‌های امنیتی موجود و ریسک‌هایی که زیرساخت‌های صنعتی با آنها مواجه‌اند امری اجتناب‌ناپذیر است.

 مناطق معماری

با تقسیم معماری سیستم‌های کنترل مشترک به مناطق (ZONE) می توان در ایجاد مرز‌های روشن به منظور بکارگیری موثر لایه‌های دفاعی متعدد، به سازمان‌ها کمک کرد. یک امر حیاتی برای ایجاد مناطق معماری این است که بفهمیم چطور تقسیمات شبکه به دست می‌آید. متودولوژی‌ها برای تقسیم‌بندی شبکه با محیط‌های سیستم کنترل می‌تواند بهترین عملیات باشد و می‌تواند شامل موارد زیر باشد:

• دیوارآتش‌ها
• مسیریاب‌ها با لیست کنترل دسترسی
• سوییچ‌های پیکربندی شده
• آدرس‌دهی استاتیک و جداول مسیریابی
• بستر ارتباطی اختصاص یافته

با تحقیق و پژوهش‌های صورت گرفته،گسترش مدل امن برای کنترل سلسله مراتبی، پنچ منطقه‌ی اصلی تقسیم بندی معماری اطلاعات را بصورت زیر تعریف می‌کند.

منطقه‌ی خارجی : منطقه‌ای از اتصالات به اینترنت، مکان‌هایی با سهولت دسترسی از راه دور به سایت‌های خارج است. این منطقه یک DMZ نیست اما نقطه‌ای از اتصالات است که غیر اعتماد در نظر گرفته می‌شود. برای سیستم‌های کنترل صنعتی، منطقه‌ی خارجی کمترین مقدار اولویت و بالاترین ریسک‌ها را دارد.

منطقه‌ی سازمان: منطقه‌ای از اتصالات برای ارتباطات سازمانی است. سرور‌های ایمیل، DNS، و مولفه‌های زیرساخت سیستم کسب و کار IT، نوعا منابعی در این منطقه هستند. ریسک‌های گوناگون وگسترده‌ای که در این منطقه وجود دارد، به خاطر مقدار سیستم‌ها و اتصالات به شبکه‌ی خارجی است. البته بخاطر بلوغ وضعیت امنیتی و افزونگی سیستم‌ها، اولویت مناطق سازمانی می‌تواند با یک اولویت پایین‌تر از دیگر مناطق اما خیلی بیشتر از مناطق خارجی در نظر گرفته شود.

منطقه‌ی تولید داده: منطقه ای از اتصالات است که یک نظارت وسیع و مهم و کنترل‌ ها را به خود می‌گیرد. اینجا یک منطقه‌ی بحرانی برای تداوم و مدیریت یک شبکه‌ی کنترل می‌باشد. عملیات پشتیبانی و مدیریت مهندسی وسایل در کنار سرور‌های گرداوری داده در این منطقه قرار گرفته‌اند. منطقه تولید، در عملیات هر دوی وسایل نهایی و الزامات کسب و کار منطقه‌ی سازمانی به صورت مرکزی می‌باشد و اولویت این منطقه بالا در نظر گرفته شده است. مخاطرات با اتصالات مستقیم به شبکه خارجی و شبکه‌ی سازمان وابسته هستند.

منطقه‌ی کنترل/ سلول : منطقه‌ای از اتصالات به وسایل از طریق PLC ها، HMI ها و وسایل ورودی خروجی پایه از قبیل سنسور‌ها و دیسک‌ها می‌باشد. اولویت این منطقه خیلی بالاست، چون این منطقه‌ای است که عملیات وسایل روی وسایل نهایی فیزیکی تاثیر می‌گذارد. در یک شبکه کنترل مدرن، این وسایل برای TCP/IP و دیگر پروتکل‌های مشترک پشتیبانی می‌شوند.

منطقه‌ی امن (SAFETY ) : که معمولا بالاترین اولویت را دارد، چون که این وسایل توانایی این را دارند که سطح امن یک وسیله نهایی را به طور اتوماتیک کنترل کنند. ریسک در این منطقه پایین‌تر است چرا که این وسایل فقط به وسایل نهایی متصل هستند. اما اخیرا بعضی از این وسایل شروع به قابلیت پیشنهاد برای اتصالات TCP/IP برای اهداف نظارت از راه دور و پشتیبانی افزونگی، کرده اند. شکل زیر یک معماری مدرن مشترک که شامل همه‌ی این مناطق است را به تصویر می‌کشد.

4. مناطق معماری در زیرساخت کنترل صنعتی

دیوار‌آتش‌ها

دیوارآتش‌ها سطوح اضافی دفاعی را ایجاد می‌کنند که روترهای سنتی پشتیبانی می‌کنند، و توانایی اضافه کردن تعدادی قوانین پیچیده و سخت‌تر برای ارتباطات بین قطعات یا مناطق مختلف شبکه را ایجاد می‌کنند. اهمیت بحرانی سیستم‌های کنترل صنعتی این است که چطور دیوارآتش‌ها برای یک درجه‌ی مشخص پیاده سازی می‌شوند و اینکه چطور عملکرد اصلی دیوارآتش‌ها روی محیط عملکرد کل کسب و کار اثر می‌گذارد. انواع زیادی از دیوارآتش‌ها وجود دارند و بعضی از تحقیقات نیاز است که معلوم کند چه نوع دیوارآتشی برای معماری کنترل داده شده درست است. بعلاوه تفاوت دیوارآتش‌ها می‌تواند در پشتیبانی از لایه‌های مختلف مدل OSI، باشد، و باید بدانیم که برنامه‌های سیستم و اتصالاتی که از مرزها می‌گذرند، را چه چیزی کنترل می‌کند. به منظور فهمیدن اینکه چطور دیوارآتش‌ها کار می‌کنند، کمک می‌کند که بفهمیم چطور لایه‌های مختلف شبکه باهم در ارتباط هستند و تعامل دارند. معماری‌های شبکه شامل معماری سیستم کنترل، اطراف یک مدل تشکیل شده از هفت لایه طراحی شده است. دیوارآتش‌ها می‌توانند آنالیز‌ها و بازرسی‌های بیشتری از بسته‌ها را در لایه های بالاتر مانند لایه انتقال انجام دهند. این دیوارآتش‌ها می‌توانند بررسی‌های ریز‌تری را از داده ایجاد کنند و بار ترافیک را انکار کنند یا به آن مجوز دهند. دیوارآتش‌هایی که در لایه کاربرد کار می‌کنند اغلب می‌توانند یک اطلاعات مهمی را درباره‌ی فعالیت‌های کاربران و ساختار داده‌ها فراهم نمایند. مفهوم مناطق امنیتی که در بالا بحث شد، یک بینشی را ایجاد کرد که چطور یک سازمان می‌تواند ریسک را تعیین کند و نتایج وابسته به یک منطقه‌ی ویژه است. این آنالیز‌ها می‌تواند برای انتخاب انواع دیوارآتش‌ها و خصوصیات استفاده شود که مناسب‌ترین نوع برای حفاظت از دارایی‌هایمان می‌باشد. 4 نوع مهم دیوارآتش‌ها عبارتند از:

• پکت فیلتر (در لایه شبکه کار می‌کند)
• GATEWAYهای سطح مدار (لایه نشست)
• GATEWAYهای پروکسی (لایه کاربرد)
• STATEFUL INSPECTION (لایه شبکه، نشست، کاربرد)

دیوار‌آتش‌های پکت فیلتر

این دیوارآتش‌ها پکت‌های ورودی و خروجی به شبکههای مجزا را آنالیز می‌کنند و اجازه‌ی عبور یا رد آن‌ها را مبتنی بر یک مجموعه ‌قوانین از قبل ایجاد شده، تعیین می‌کنند. قوانین این دیوارآتش‌ها مبتنی بر شماره پورت‌ها، پروتکل‌ها و دیگر داده‌ها تعریف شده است که مرتبط با نوع داده‌ی درخواستی، ساخته شده است. اگر چه معمولا در تخصیص نقش‌ها انعطاف‌پذیر هستند، این نوع از دیوارآتش‌ها برای محیط‌هایی مناسب هستند که در آن‌ها اتصالات سریع مورد نیاز است و قوانین می‌توانند مبتنی بر آدرس‌های وسایل بکار روند.

دیوار‌آتش‌های Proxy Gateway

این دیوارآتش‌ها در پنهان کردن شبکه‌ها حیاتی هستند، آن‌ها در حال محافظت هستند و به عنوان Gateway های اصلی برای شروع اتصالات پروکسی توسط یک منبع محافظت شده، استفاده می‌شوند. اغلب Application Level Gateway نامیده می‌شوند، آن‌ها شبیه Gateway های سطح مدار هستند، جز اینکه آن‌ها برنامه‌ها را آدرس‌دهی می‌کنند. آن‌ها در لایه‌ی کاربرد (لایه 7)، عمل فیلتر را انجام می‌دهند و اجازه نمی‌دهند که هیچ اتصالی برای هیچ پروکسی‌ای در دسترس قرار بگیرد. این دیوارآتش‌ها برای آنالیز داده داخل برنامه‌ها خوب هستند و به خوبی درباره‌ی فعالیت‌های کاربر، داده جمع‌آوری می‌کنند. این دیوارآتش‌ها نوعی Gateway هستند و یوزر‌ها نیاز به اتصال مستقیم‌شان با دیوارآتش‌ها دارند. دیوارآتش‌ها چون که ماهیت را مورد آنالیز قرار می‌دهند روی کارایی شبکه تاثیر می‌گذارند. در محیط‌های سیستم کنترل صنعتی، این نوع دیوارآتش‌ها برای جداسازی کسب و کار و کنترل LAN ها مناسب هستند و به خوبی حفاظت را برای یک DMZ و دیگر دارایی‌ها که به برنامه‌های خاص دفاعی نیاز دارند، فراهم می‌کند.

دیوار‌آتش‌های میزبان

دیوارآتش‌های میزبان راه‌حل‌های نرم افزاری هستند که به طور خاص برای وسایلی که روی آن نصب شده‌اند سرویس می‌دهد. برخی از نرم‌ها مبتنی بر دیوارآتش‌های هاست هستند. سیستم‌عامل‌های مدرن امروزی برای سرور‌ها، و لپتاپ‌ها و دیگر وسایلی که دیوارآتش‌های میزبان دارند، با آن‌ها یکپارچه شده‌اند. دیوارآتش‌های میزبان این توانایی را دارند تا مجموعه قوانینی را برای ردیابی، یا اجازه یا رد ترافیک ورودی یا خروجی روی وسایل ایجاد کنند. سیستم‌عامل‌های مدرن امروزی به طور پیش فرض دیوارآتش‌های میزبان را نصب دارند که می‌توانند به طور سفارشی دیگر پورت‌ها یا سرویس‌های سیستم‌ها را حفاظت کنند.

دیوار‌آتش‌های Stateful Inspection

این دیوارآتش‌ها شامل خصوصیاتی از همه‌ی انواع دیوارآتش‌ها هستند. آن‌ها در لایه شبکه عملیات فیلترینگ را انجام می‌دهند، درستی نشست‌ها را تعیین می‌کنند و محتوای بسته‌ها را در لایه‌ی کاربرد ارزیابی می‌کنند. آن‌ها تمایل دارند که از الگوریتم‌هایی برای پردازش داده به جای اجرای پروکسی استفاده نمایند. این دیوارآتش‌ها یک مقدار قابل توجه از بسته‌ها که روی واسط می‌رسند، را بررسی می‌کنند. این دیوارآتش‌ها به حالت بسته‌ها نگاه می‌کنند و فعالیت‌های از قبل مشاهده شده را آنالیز می‌کنند. این دیوارآتش‌ها برای حفظ ردیابی از نشست‌های معتبر توانا هستند و انتخاب خوبی را برای حفظ دارایی‌های کلیدی در دامنه‌های کنترل ایجاد می‌کنند.

دیوار‌آتش‌های سطح PLC

دیوارآتش‌های مبتنی بر سخت افزار هستند و تلاش می‌کنند تا ویژگی‌های امنیتی را به وسایل زمینه از قبیل PLC یا RTU و سیستم‌های کنترل توزیع شده اضافه کنند. این دیوارآتش‌ها به طور نسبی جدید هستند، اما تاثیر آن‌ها می‌تواند روی حفاظت وسایلی مهم باشد که ممکن است توانایی امنیتی ذاتی نداشته باشند. آن‌ها می‌توانند تشخیص نفوذ را فراهم کنند و به عنوان یک منبع لاگ برای کمک به مدیریت تهدید متحد استفاده شوند. با یک توانایی خیلی گسترده برای اقدامات دفاعی، به کارگیری دیوارآتش‌ها روی یک محیط سیستم کنترل صنعتی برای یک برنامه ‌امنیتی قوی بسیار حساس و بحرانی می‌باشد. بعلاوه برای پشتیبانی از یک حالت امنیت دفاع در عمق، استرانژی بکارگیری دیوارآتش‌های لایه‌ای از طریق سازمان‌ها بسیار ضروری است. اضافه کردن دیوارآتش‌ها در همه‌ی نقاط اتصال خارجی شامل از شبکه‌های سیستم کنترل صنعتی به شبکه‌ی سازمان‌ها، لایه‌های امنیتی را در همهی سطوح محیط شبکه افزایش می‌دهد. بعلاوه یک دیوارآتش عالی، تکنیک‌هایی از یک مجموعه‌ی دوم از یک فروشنده‌ی مختلف را نیز به کار می‌گیرد. دیوارآتش‌های دو فروشنده در مجموعه‌ای از قوانین و پیکربندی‌ها انطباق دارند و در مناطق یکسان از این معماری به‌کار می‌روند. این کار می‌تواند کمک کند به حفاظت دربرابر سوراخ‌های امنیتی میان‌افزار‌هایی که ممکن است روی دیوارآتش‌های یک فروشنده و نه روی همه تاثیر بگذارند. این لایه‌ی دیگری از دفاع را اضافه می‌کند که می‌تواند دفاعی از محیط شبکه را در زمان Patch میان‌افزار روی دیوارآتش آسیب‌پذیر به ما بدهد. این کار می‌تواند بعضی سربار هزینه و مدیریتی اضافه کند، اما اضافه می‌کند حفاظتی را که می‌تواند بیشتر از تلاش برای گذاشتن آن در این مکان باشد. شکل زیر بکارگیری لایه‌های دیوارآتش‌ها در یک معماری چند منطقه‌ای را نشان می‌دهد. در این شکل تصاویر به خوبی با معماری شبکه ارتباط دارند و منطقه امن به صورت فاصله هوایی در نظر گرفته شده است و به معماری متصل نیست.

5. مناطق معماری محافظت شده با دیوار‌آتش‌ها

ارتباطات باید با نیاز برای عملیات سیستم محدود شود. به طور مهم‌تر، مسیر ارتباطات داخل و خارج از مناطق خاص، نیاز به ارزیابی دقیق ریسک امنیتی دارد، و اجازه برای تبادل داده در میان این خط لوله باید توسعه یابد. با توسعه مجموعه قوانین جدید برای تجهیزات شبکه، تا زمانی که مجموعه قوانین جدید ایجاد گردند، باید تمام ارتباطات به صورت پیش فرض رد شود. ترافیک سیستم‌های کنترل صنعتی باید مورد نظارت قرار بگیرد و قوانین باید توسعه یابند که فقط به دسترسی‌های لازم اجازه دهند. هر استثنا در مجموعه قوانین دیوارآتش‌ها به صورت خاص ایجاد می‌شود که ممکن است شامل هاست‌ها، پروتکل‌ها و اطلاعات پورت باشد. یک اشتباه رایج در به کارگیری سیستم کنترل شبکه‌‌ها محدود نبودن ترافیک خروجی از دامنه‌های کنترل می‌باشد. قوانین دیوارآتش‌ها باید در هر دو جهت از طریق دیوارآتش‌ها در نظر گرفته شوند.

ایجاد DMZ

تقسیم‌ کردن شبکه به طور سنتی با استفاده از روتر‌های متعدد انجام شده است. دیوارآتش‌ها باید با ایجاد DMZ و استفاده از آن، از شبکه کنترل محافظت کنند. DMZ های متعدد می‌توانند برای جداسازی عملیات و امتیازات دسترسی از قبیل اتصالات نظیر، داده‌های تاریخی، ورود کنترل سرور پروتکل ارتباطی مرکز (ICCP) در سیستم‌های اسکادا، سرور‌های امنیت، سرور‌های تکراری و سرور‌های توسعه یافته، ایجاد شوند. شکل 9 یک معماری قوی با بکارگیری DMZ های متعدد را نشان می‌دهد.

6. معماری با بکارگیری DMZ

همه‌ی اتصالات به LAN سیستم کنترل صنعتی باید از طریق دیوارآتش‌ها آدرس‌دهی شوند. مدیران شبکه به یک نمودار شبکه درست و با دقت از LANهای سیستم‌های کنترل صنعتی‌شان و اتصالات آن به دیگر زیر شبکه‌های محافظت شده، DMZها، شبکه‌های سازمان و خارج، نیاز دارند. DMZهای متعدد در حفاظت مولفه‌ی شبکه‌های معماری بزرگ با اجبار عملیات مختلف دارند، و به طور خیلی موثر اثبات می‌شوند. یک مثال کامل در شکل بالا، توامان شدن شبکه‌ها برای سیستم کنترل صنعتی و کسب و کار است. در این مثال جریان امن داده‌ها داخل و خارج محیط‌های مختلف برای عملیات، حیاتی است. داشتن DMZهای متعدد منابع اطلاعات را از حملات با استفاده از Virtual-LAN hopping و سوء استفاده از اعتماد محافظت می‌کند. و یک راه خیلی خوب برای افزایش حالت امنیت و اضافه کردن لایه‌های دیگر برای استراتژی دفاع در عمق می‌باشد. نمونه‌ای از Virtual Lan در شکل زیر توصیف شده است.

7. مثالی از یک شبکه VLAN

سیستم‌های تشخیص نفوذ

با توجه به اینکه بیشتر آدرس‌دهی‌ها به صورت منطقی هستند، یک حمله کننده می‌تواند یک شبکه کنترل را در معرض خطر دهد، این کار برای حمله کننده با تجسم یک مسیر آسان است که داخل معماری، عمیق‌تر به فزولی بپردازد. با شروع از یک محیط خارجی، یک حمله کننده وسایل محیطی گذشته را انتقال خواهد داد و سرانجام برای دسترسی به هردوی شبکه و میزبان‌ها روی شبکه تلاش می‌کند. این دسترسی با معرفی وسایل زمینه‌ای که نیازمند دسترسی از راه دور است ممکن است آسیب‌پذیری‌هایی را داخل معماری‌های سیستم کنترل صنعتی معرفی کند. در عوض، تشخیص نفوذ یک مجموعه‌ی جامع از ابزارها و فرایند‌هایی می‌باشد که نظارت شبکه‌ها را فراهم می‌کنند و می‌توانند به یک مدیر، یک تصویر کاملی از این که چطور یک شبکه کار می‌کند را بدهند. پیاده‌سازی متنوع این ابزار‌ها به ایجاد یک معماری دفاع در عمق کمک می‌کند که می‌تواند در شناسایی فعالیت‌های حمله کننده بیشتر موثر باشد و آن‌ها را در یک الگویی که می‌تواند جلوگیری کننده باشد، استفاده کند. یک IDS بنا به ماهیت به صورت غیر فعال می‌باشد. در یک شبکه توابع IDS برای دیدن و ارزیابی ترافیک روی فعالیت‌های شبکه بدون اثر گذاشتن روی ترافیک عمل می‌کنند. IDSها در نقاط ورود و خروج در معماری قرار می‌گیرند یا در نقاط اتصال شبکه‌ها قرار می‌گیرند، جایی که دارایی‌های سایبری حساس در آن‌جا هستند. مفهوم منطقه امنیت، مجموعه قوانینی مربوط به ترافیک‌های مجوز دار و انواع داده‌ای که می‌توانند ایجاد شوند را تعریف می‌کند. از این رو یک توانایی را می‌تواند برای نظارت ایجاد کند که می‌تواند یک ترافیک غیر نرمال یا غیر منتظره را جریان دهد. با اجرای یک وسیله‌ی غیر فعال که ممکن است یک نیاز اجباری در سیستم‌هایی که دسترس پذیری بالایی نیاز دارند، ایجاد کند، IDS می‌تواند ترافیک جمع آوری شده برا با هر دوی قوانین سفارشی و از قبل تعیین شده، مقایسه کند. IDSها یک مجموعه امضاهای حملات شناخته شده را با مجموعه‌ی قوانین ترافیک جمع آوری شده مقایسه می‌کنند. آسیب پذیری‌های امنیتی در دامنه‌های کسب و کار امروزه مشترک هستند، بنابراین تنظیم دقیق IDS برای شبکه‌ها و میزبان‌هایی که از تکنولوژی‌های موجود استفاده می‌کنند، آسان است. زمانی که نگاه می‌کنیم به پروتکل‌های ارتباطی منحصر به فرد که در سیستم‌های کنترل صنعتی استفاده می‌شوند، مانند Modbus, ICCP, DNP3 ، پیلود‌های خاص و شماره‌های پورت‌هایی دارند که به طور سنتی در IDSهای امروزه به عنوان یک بخش از امضا دیده نمی‌شوند. به طور کوتاه، IDSهای مدرن که روی یک شبکه‌ی سیستم کنترل صنعتی بکار رفته اند ممکن است نوعی از حملاتی که یک سیستم کنترل صنعتی تجربه می‌کند را نبینند. البته، کارهای انجام شده در هر دوی تحقیقات و جوامع فروشنده، دارند پیشرفت‌های بزرگی در این موضوع ایجاد می‌کنند. سازمان‌های متخصص در امنیت سایبری سیستم‌های کنترل، در همکاری با فروشندگان و ایجاد کنندگان، دارند یک تعداد از امضاهای قابل استفاده را ایجاد می‌کنند که واقعا برای سیستم کنترل خاص هستند و می‌توانند برای نظارت به حملات خاصی که می‌توانند هر تکنولوژی یا پروتکلی را مورد هدف قرار دهند، استفاده شوند. اگرچه بیشتر خروجی‌های اصلی از این تحقیقات مختص یک فروشنده خاص بودند و روی پروتکل‌های کمی اعمال شده بودند، نرخ امضاهای جدید توسعه یافته چشم‌گیر است. امروزه‌ امضاهای IDS جدیدی که موجود است و مخصوص سیستم‌های کنترل هستند، چشم‌گیر است. فلسفه کنترل داده می‌تواند به طور بزرگی هسته امضاها را بهبود بخشد، زیرا رفتار مخرب یک حمله کننده ممکن است نیاز به اقداماتی داشته باشد که فراتر از سطوح رفتاری پیش بینی شده باشد. وقتی که IDS روی شبکه‌های سیستم کنترل صنعتی مستقر می‌شود آن یک امر ضروری است که مجموعه قوانین مشترک و امضاهای منحصر به فرد به آن دامنه، شامل بعضی امضاهای عمومی، مورد استفاده قرار گیرند. توسعه‌ی امضاهای امنیتی و قوانین در یک رابطه‌ی دوستانه با فروشندگان سیستم کنترل صنعتی، خیلی باصرفه است. یک مشکل رایج مشاهده شده در صنعت این است که ابزار‌هایی که برای نظارت شبکه به کار گرفته شده‌اند، در حال اجرا هستند اما به طور غیر صحیح آپدیت، نظارت یا اعتبارسنجی می‌شوند.

8. کامل شدن استراتژی دفاع در عمق با استفاده از سیستم تشخیص نفوذ و SIEM

استقرار IDS در سطح میزبان شبیه استقرار آن در سطح شبکه می‌باشد، اما به جای نظارت فعالیت‌های شبکه، IDSها با توجه به مجموعه‌ی قوانین نظارت می‌کنند. این قوانین می‌تواند خیلی مقاوم و گسترده باشد و می‌تواند شامل هشدار به امضاهای از قبل تعریف شده‌ای باشد که برای پلت فرم‌ها و سیستم‌عامل‌هایی که هاست درحال اجراست، منحصر به فرد باشد. مکان قرارگیری IDS در سطح میزبان، هنوز سطح دیگری از دفاع در عمق را ایجاد می‌کند و می‌تواند برای تقویت استراتژی‌های استقرار در محیط و سطوح شبکه استفاده گردد. بخاطر ماهیت غیر فعال IDSها، کاهش امنیت و درک حمله یک تابعی از چگونگی آنالیز فایل‌های لاگ‌ای است که انجام شده است. سیاست‌های مقاوم برای هدایت به موقع آنالیز لاگ IDS خیلی مهم است. اگر یک حمله کننده قادر باشد تا دسترسی به یک سیستم را به دست بیاورد و یک حمله قبلی به فایل‌های ورودی بررسی شده را اجرا کند، IDS و توانایی رویارویی با یک حمله، مسئله مورد نظر می‌باشد. بعلاوه به منظور تعهد یک سازمان باید با توجه به مجموعه و آنالیز اطلاعات ورودی ایجاد گردد. نقص امروزی راه‌حل‌های IDS می‌تواند موضوعات توجه به مثبت غلط را ایجاد نماید.

روال‌ها و سیاست‌ها

یک سند خوب و سیاست و روال‌های منتشر شده که مخصوص محیط سیستم‌های کنترل صنعتی می‌باشد برای موفقیت استراتژی دفاع در عمق، ضروری می‌باشد. یک بررسی سالانه باید در تشخیص ماهیت تکراری ایجاد و نگه داری سیاست‌ها و روال‌ها کامل باشد.

مدیریت حادثه و ورودی

تولیدات امنیتی امروزه مقدار زیادی لاگ ایجاد می‌کند و اگر به طور مجزا مورد نظارت قرار بگیرند هزینه‌های پشتیبانی را افزایش می‌دهند. تکنولوژی‌های مدیریت رویداد حادثه امنیت (SIEM) می‌تواند برای مدیریت رویداد‌ها و لاگ‌های متمرکز به کار رود. کنسول‌های مرکزی به پرسنل امنیت یک دید کامل از ابزار‌های امنیت را می‌دهد، از قبیل لاگ‌های IDS، لاگ‌های دیوارآتش، و دیگر لاگ‌هایی که می‌تواند از هرنوع وسیله‌ای تولید شود. در بعضی موارد، فایل‌های لاگ می‌توانند از مولفه‌های واقعی سیستم کنترل صنعتی از قبیل وسایل زمینه جمع‌آوری شوند. یک محصول SEIM می‌تواند به ساده کردن مدیریت حوادث کمک کند و خطاهای مثبت را از لاگ‌های IDS فیلتر کند. حسابرسی و فایل‌های لاگی که جمع شده اند می‌توانند همچنین با رویداد‌های رایج با حوادث بزرگتر در رابطه باشند. تجسم موثر از داده می‌تواند به کاهش دفعات آنالیز، بهبود توانایی‌های پاسخ، و به طور ساده آموزش کارکنان جدید، کمک کند.

روال‌ها و برنامه‌ریزی‌های مدیریت Patch

یک روال و برنامه میدیرت Patch خوب با یک محیط سیستم کنترل صنعتی یک نیاز ضروری می‌باشد تا به ایجاد یک لایه‌ی دفاعی در برابر آسیب‌پذیری‌های منتشر شده کمک کند. اساس برنامه مدیریت Patch با فهمیدن آسیب‌پذیری‌هایی که روی هر سیستم خاص وجود دارد، شروع می‌شود. آنالیز و شناسایی آسیب‌پذیری‌ها کمک می‌کند که یک مدیر سیستم کنترل صنعتی از هر وسیله خاص در شبکه که نیاز به آپدیت دارد، آگاه بماند. به منظور بکارگیری درست یک Patch در یک سیستم، یک مدیر سیستم کنترل صنعتی باید اطمینان پیدا کند که بکاپ‌ها و برنامه‌های ریکاوری در مکان درست برای هر وسیله که در محیط موجود است، وجود دارد. مدیریت پیکر‌بندی، اسناد و مدارک، و یک آرشیو آپدیت شده از کد‌های تولیدی فعلی لازم هستند تا اطمینان دهند که سیستم می‌تواند به یک حالت درست برگردد اگر Patch‌ها به سیستم اثر کنند. Patch‌ها باید در یک محیط شبیه‌سازی تست شوند که به طور نزدیک در محیط عملیاتی فعلی تکرار می‌شوند. فروشندگان زیادی برنامه‌های مدیریت Patch دارند که مدیران سیستم کنترل صنعتی می‌توانند از آن به منظور بررسی Patch‌های فردی‌ای که روی دیگر مناطق محیط تاثیر ندارد، استفاده کنند. مدیران باید به طور نزدیک با فروشندگانشان کار کنند تا نتایج تست‌های خودشان را با سطح Patch‌های تایید فروشنده بررسی کنند. این اطمینان می‌دهد یک فرایند تاییدی را که می‌تواند کارایی و قابلیت اعتماد بکارگیری Patch ها را برای یک سیستم آسیب‌پذیر افزایش می‌دهد.

آموزش امنیت

در موارد زیادی اداره‌ی افراد در یک شبکه سیستم کنترل صنعتی ممکن است آموزش امنیتی کافی نداشته باشد. این وضعیت به طور کلی به خاطر کمبود بودجه یا فهم اهمیت این آموزش است. آموزش یک جزء اصلی از یک برنامه فراگیر آگاهی‌های امنیتی می‌باشد و از چندین صفت کلیدی مورد استفاده برای پشتیبانی حفاظت از اطلاعات کلیدی و منابع اطلاعات تشکیل شده است. آموزش امنیت و برنامه‌های آگاه سازی امنیت قوی که به طور خاص هستند و برای دامنه‌های سیستم‌های کنترل، بحرانی هستند تا امنیت سیستم‌های کنترل صنعتی را با هر فرایند اتوماتیک، امن کنند. مانند برنامه‌های آگاه‌سازی امنیت که برای دامنه‌های سازمان‌ها بکار گرفته شده‌اند، برنامه‌هایی که دامنه‌های سیستم کنترل صنعتی را پشتیبانی می‌کنند مولفه‌های کلیدی‌ای دارند که می‌تواند به راندن یک حالت امنیتی قابل اندازه‌گیری کمک کنند. با برنامه‌های آگاه‌سازی امنیتی رایج ازقبیل آن‌هایی که در NIST لیست شده اند، سازمان‌ها می‌توانند آگاه‌سازی‌های امنیتی مناسب و آموزش‌هایی را ایجاد کنند که می‌تواند شامل موارد ذیل باشد:

• اهداف و محدوده
• توسعه مواد
• استراتژی‌های پیاده‌سازی
• نظارت و بازخورد
• اندازه‌گیری‌های موفق

مدیران امنیت شبکه به آموزش‌های مداوم نیاز دارند تا آن‌ها را با سرعت تغییرات و پیشرفت‌ها در زمینه امنیت شبکه به روز نگه دارند. این کار شامل آخرین طراحی معماری شبکه، دیوارآتش، پیکربندی‌های IDS می‌باشد. آموزش جامع امنیت کامپیوتر‌ها مهم هستند، نه فقط برای مدیران سیستم‌ها. آموزش‌های رسمی اغلب می‌تواند هزینه‌های سنگینی داشته باشد، اما اطلاعات خوب می‌توانند از کتاب‌ها، مقالات، و وب سایت‌ها روی امنیت سیستم‌های کنترل صنعتی جمع‌آوری شوند. برنامه‌های آموزش امنیت، باید آموزش‌های سالیانه را ایجاد کند که همه‌ی نقش‌ها و مسئولیت‌های پرسنل را می‌پوشاند. مثال‌هایی از قبیل زیر هستند:

• آموزش و آگاه‌سازی سطح اجرایی
• آموزش و آگاه‌سازی سطح عملیاتی
• آموزش و آگاه‌سازی سطح فنی پرسنل با دسترسی به دارایی‌های سایبری حیاتی

پاسخ و درمان حوادث

به منظور پشتیبانی کامل یک سیستم دفاع در عمق، یک توانایی قوی برای پاسخ به حوادث مورد نیاز است. در روی دادن یک حادثه مربوط به امنیت، در دامنه‌های سیستم کنترل، فعالیت‌هایی به منظور تشخیص، پاسخ و کاهش اتفاق می‌افتد. روال پاسخ به یک حادثه، طی مراحی به کارکنان آموزش می‌دهد، اگر یک کامپیوتر روی شبکه در معرض خطر باشد. همه‌ی کارکنان باید روی آن آموزش دیده شوند و به آن روال دسترسی داشته باشند، قبل از اینکه آن حادثه اتفاق بیفتد. سوالاتی که ممکن است در روال پاسخ به حوادث پرسیده شوند شامل مواردزیر است:

• چطور پیش بینی کنیم که یک حادثه، اتفاق افتاده است یا در حال پیشرفت می‌باشد؟
• چه اقدامات فوری‌ای باید انجام بگیرد؟
• چه کسی و به چه ترتیبی باید اطلاع بدهد؟
• و ...

برنامه ریزی برای جمع‌آوری شواهد قانونی به منظور اثبات و درک روشن از این که چه کسی، چه چیزی، چه زمانی، چه جایی سبب یک اتفاق خاص شده است، می‌تواند مشکلی بدون برنامه‌ریزی مناسب باشد. برنامه‌های درمانی و قانونی برای ماکزیمم کردن مقدار شواهد قابل استفاده، نیاز به مکان قبلی یک حادثه دارند. یک برنامه‌ریزی قانونی قوی سیستم کنترل صنعتی با برنامه‌ریزی پاسخ حوادث به طور کلی یکپارچه شده است و همه‌ی خطوط اصلی توانایی‌های سیستم‌های کنترل را برای شواهد قانونی با یک محیط سیستم‌کنترل صنعتی می‌فهمند. برنامه قانونی، نیاز به فرایند‌های پایداری دارد که به هر قسمت از محیط سیستم‌های کنترل صنعتی، داخل انواع دسته‌بندی خاص، مبتنی بر توانایی‌های قانونی، تقسیم شود.

توصیه‌ها و اقدامات متقابل

زمانی که از هر زیرساخت اطلاعات،حفاظت می‌شود، امنیت خوبی با یک مدل امنیتی فعال شروع می‌شود. این مدل تکرارشونده از چندین استراتژی کلیدی امنیتی تشکیل شده است که در شکل زیر توصیف داده شده است.

9. مدل امنیتی فعال

به طور سنتی، توسعه‌ی یک استراتژی دفاع در عمق با نگاشت معماری سیستم‌های کنترل صنعتی شروع می‌شود. داشتن یک معماری مستند خوب و با دقت می‌تواند یک سازمان را برای هر هوشیاری امنیتی، بکارگیری اقدامات امنیتی موثر، و مجهز به درک حوادث امنیتی با سهولت بیشتری، قادر ‌سازد. داشتن یک فهم از معماری به مدیران اجازه می‌دهد که بدانند چه چیزی را می‌خواهند محافظت کنند.

پنج کلید اقدامات متقابل امنیتی برای سیستم‌های کنترل صنعتی

پنج کلید برای اقدامات متقابل وجود دارد که می‌تواند برای اجرای فعالیت‌های امنیت سایبری در محیط‌های سیستم کنترل صنعتی، استفاده شود.

سیاست‌های امنیتی: سیاست‌های امنیتی باید برای شبکه سیستم‌های کنترل و مولفه‌های فردی آن توسعه یابد. اما آن‌ها باید به صورت دوره‌ای بررسی شوند تا با محیط تهدید فعلی، عملکرد سیستم، و سطح امنیت مورد نیاز، ترکیب گردند.

بلاک کردن دسترسی به منابع و سرویس‌ها: این تکنیک به طور کلی روی شبکه‌ها از طریق استفاده از وسایل محیطی با لیست‌های کنترل دسترسی ازقبیل دیوارآتش‌ها یا سرور‌های پروکسی، به کار می‌رود. آن می‌تواند روی هاست با دیوارآتش‌های مبتنی بر هاست و برنامه‌های ضد ویروس فعال شود.

شناسایی فعالیت‌های مخرب: عمل تشخیص فعالیت‌های مخرب می‌تواند مبتنی بر هاست یا شبکه باشد و معمولا نیازمند یک نظارت منظم از فایل‌های لاگ توسط مدیران با تجربه دارد.

کاهش حملات ممکن: در موارد زیادی، آسیب‌پذیری ممکن است وجود داشته باشد، بخاطر حذف آسیب‌پذیری ممکن است نتایج در سیستم غیر فعال یا ناکارامد شوند. کاهش به مدیران این اجازه را می‌دهد تا کنترل دسترسی رابرای آسیب‌پذیری‌ها در چندین مد انجام دهند تا آسیب‌پذیری‌ها نتوانند سوء استفاده کنند. فعال کردن راه حل فنی، ایجاد فیلترها، یا سرویس‌های در حال اجرا، و برنامه‌های کاربردی با پیکربندی خاص، اغلب می‌توانند این کار را انجام دهند.

رفع مشکلات اصلی: راه حل مشکلات اصلی امنیتی تقریبا همیشه نیازمند به روز رسانی، ارتقا، یا Patch کردن نرم‌افزار‌های آسیب‌پذیری یا پاک کردن برنامه‌های آسیب‌پذیر می‌باشد. سوراخ‌های نرم افزار‌ها در هر یک از سه لایه می‌توانند وجود داشته باشند (شبکه، سیستم‌عامل، یا کاربرد). زمانی که در دسترس هستند، کاهش باید توسط فروشنده یا توسعه دهنده برای مدیران ایجاد گردد تا آن را اعمال کنند.

مقاله پیش‌رو را از اینجا دانلود کنید.