بررسی امنیت و قابلیت اطمینان در سیستم های اسکادا (SCADA)
اسلاید 1: Mhd.ir_esf@yahoo.comبررسی امنیت و قابلیت اطمینان در سیستم های اسکادا(SCADA) استادراهنما: دکتر ناصر نعمت بخشارائه دهنده : مهدی دهقانیشماره دانشجویی 910909652دانشگاه آزاد واحَد علوم و تحقیقات اصفهان
اسلاید 2: مقدمه اي بر اتوماسيون اسكادا چيست ؟ عناصر يك سيستم اسكادا نسل هاي مختلف سيستم هاي اسكادا ضرورت توجه به امنيت سيستم هاي اسكادا ايمن سازي سيستم هاي اسكادا استاكس نت و سيستم هاي اسكادا Demoسرفصل
اسلاید 3: اتوماسيون : استفاده از سيستم هاي كنترلي و فناوري هاي اطلاعات به منظور كاهش نياز انسان به كار در محيط توليد كالا و بالا بردن قابلیت اطمینان در خدمات است. اتوماسيون و مكانيزاسيون : اتوماسيون مرحله اي فراتر از مكانيزاسيون است .مكانيزاسيون : استفاده از ماشين آلات در مقابل نيروي عضلاني اتوماسيون : استفاده از سيستم هاي كنترلي و فناوري اطلاعات به منظور انجام فعاليت ها با درگيري فكري و ذهني كمتر . تاثير اتوماسيون در صنايع مختلف و زندگي انسان امروزي مقدمه اي بر اتوماسيون
اسلاید 4: مزاياي اتوماسيون جايگزين شدن با نيروي انساني در فعاليت هايي كه حاوي كارهاي سخت و يا يكنواخت وخسته كننده است . جايگزين شدن با نيروي انساني در محيط هاي خطرناك ( نظير آتش ، آتشفشان ، تاسيسات انرژي هسته اي و ... ) انجام كارهايي كه خارج از قدرت انسان است ( اندازه ، وزن ، استقامت ، سرعت ) صرفه جويي اقتصادي ، كاهش هزينه هاي سربار توليد و خدمات ، افزايش بهره وري و ... معايب اتوماسيون محدوديت فناوري : فناوري هاي موجود امكان اتوماسيون تمامي فعاليت ها را نمي دهد هزينه هاي پياده سازي غيرقابل پيش بيني . هزينه تحقيق و توسعه جهت اتوماسيون يك فرآيند مي تواند از خود اتوماسيون بيشتر باشد . سرمايه گذاري مالي بالا در شروع كار مقدمه اي بر اتوماسيون
اسلاید 5: اتوماسيون سيستم ها نيازمند سيستم هايي جهت مديريت فرآيندها است مديريت يك فرآيند ، مستلزم تامين داده مورد نياز آن و اثرگذاري نتايج حاصل از فرآيند بر روي سيستم است . براي ثبت ، جمع آوري و پردازش داده در يك سيستم كنترلي از روش هاي مختلفي تاكنون استفاده شده است . آنالوگ ثبت داده توسط دستگاه هاي آنالوگ جمع آوري داده توسط نيروي انساني پردازش آفلاين توسط نيروي انساني و يا ماشين هايي با توان اندك اثرگذاري نتايج حاصل از پردازش توسط نيروي انساني مقدمه اي بر اتوماسيون
اسلاید 6: ديجيتال ثبت داده توسط دستگاه هاي الكترونيكي جمع آوري داده بطور اتوماتيك ( با استفاده از مكانيزم هاي مختلف ارتباطي ) پردازش آنلاين محلي و يا متمركز توسط دستگاه هاي پردازش اطلاعات اثرگذاري نتايج حاصل از پردازش به صورت آني و بدون تاخير امروزه به سيستم هاي كنترل ديجيتالي ، معمولا” SCADA گفته مي شود.(Supervisory Control And Data Acquisition ) سيستم هاي كنترل ديجيتالي به منزله مغز كنترل و مانيتورينگ سيستم هاي زيرساخت حياتي نظير شبكه هاي انتقال و توزيع برق ، پالايشگاه ها ، شبكه هاي آب ، كنترل ترافيك و ... مي باشند .مقدمه اي بر اتوماسيون
اسلاید 7: يك سيستم كنترلي ساده مقدمه
اسلاید 8: با توجه به نقش برجسته سيستم هاي اسكادا در كنترل و مانيتورينگ زيرساخت هاي حياتي و صنايع مهم يك كشور ، پرداختن به ايمن سازي آنها به يك بايد و اولويت ملي مهم تبديل شده است چراكه :سيستم هاي كنترل ديجيتالي با هدف حداكثر بازدهي و كارآيي مطلوب طراحي شده اند و به امنيت آنها توجه جدي نشده است . ( نياز امروز با توجه به واقعيت هاي موجود ) در اغلب سيستم هاي كنترل ديجيتالي ، به محيط عملياتي بطور كامل اعتماد مي شود و با فرض وجود يك محيط ايمن و قابل اطمینان ، فعاليت ها انجام مي شود . ارتباط تنگاتنگ سيستم هاي اسكادا با ساير سيستم هاي موجود در يك سازمان ، ضرورت توجه به امنيت آنها را مضاعف كرده است ( مهم ترين مزيت ← بيشترين خطر)سيستم هاي كنترل نظارتي از حالت standalone به سمت معماري مبتني بر شبكه حركت كرده اندسخت افزار و نرم افزار استفاده شده در سيستم ها از طراحي و پياده سازي كاملا سفارشي به سمت استانداردهاي سخت افزاري و پلت فرم هاي نرم افزاري سوق پيدا كرده اند.مقدمه اي بر اتوماسيون
اسلاید 9: مقدمه اي بر اتوماسيون گرچه اين مزايا ، دستاوردهاي مثبتي خصوصا از بعد هزينه را به دنبال داشته است ولي باعث شده است كه سيستم هاي كنترل صنعتي ايزوله كه داراي سخت افزار و نرم افزار كاملا اختصاصي خود بودند درمقابل تهديدات خارجي ( شبكه اينترنت ) و يا داخلي ( پرسنل سازمان ) ، آسيب پذير گردند. حملات با استفاده از مزاياي نقاط آسيب پذير موجود در پلت فرم هاي استاندارد نظير ويندوز و كامپيوترهاي شخصي ( تطبيق يافته با سيستم هاي كنترل نظارتي ) ،صورت مي پذيرد.
اسلاید 10: اسكادا چيست ؟ سيستم هاي اسكادا با هدف كنترل نظارتي ، مديريت و مانيتورينگ فرآيندها طراحي شده اند . جهت نيل به اهداف فوق لازم است داده بلادرنگ ، جمع آوري و آناليز گردد.گسترش استفاده از سيستم هاي اسكادا به اندازه اي است كه هم اينك اغلب زيرساخت هاي حياتي و مهم يك كشور به آنها وابسته شده اند . امروزه سيستم هاي اسكادا به دلیل قابلیتهای اطمینان بالا در پیاده سازی داراي جايگاهي بسيار مهم در بسياري از صنايع هستند. صنايع آلومينيوم سازي ، خودروسازي ، پتروشيمي ، فولاد ، غذايي تاسيسات هسته اي ، شبكه هاي توزيع نفت و گاز ،شبكه هاي توزيع آب مخابراتي و ...
اسلاید 11: اسكادا چيست ؟دامنه استفاده از قابليت هاي سيستم هاي اسكادا بسيار گسترده مي باشد از تعويض يك لامپ گرفته تا كنترل پردازش هاي بسيار پيچيده : كنترل ديگ بخار جمع آوري داده مرتبط با ديگ بخار كنترل درجه حرارت ديگ بخار كنترل ديگ بخار و توربين سيستم حمل و نقل و بارگيري نفت مانيتوريتگ درجه حرارت ياتاقان ها كنترل كورهكنترل مخازن و ...
اسلاید 12: عناصر سيستم اسكادا اجزاء يك سيستم اسكادا :دستگاه اندازه گيري : قادر به تشخيص شرايطي نظير PH ، درجه حرارت ، سطح فشار ، نرخ انتقال آب و ...مي باشند .تجهيزات عملياتي نظير پمپ ،شير ، تسمه نقاله كه مي توان آنها را توسط محرك ها كنترل كرد . پردازنده هاي محلي كه مي توانند با ابزارآلات دستگاه هاي اندازه گيري ارتباط برقرار نمايند .پردازنده هاي محلي قادربه انجام تمام ويا بخشي از وظايف زير مي باشند :جمع آوري داده دستگاه اندازه گيري فعال و يا غيرفعال كردن تجهيزات عملياتي بر اساس منطق برنامه نويسي شده داخلي و يا به كمك دستورات از راه دور كه توسط انسان و يا كامپيوتر صادر شده است ترجمه پروتكل ها بگونه اي كه كنترل كننده هاي مختلف ، وسايل اندازه گيري و تجهيزات بتوانند با يكديگر ارتباط برقرار نمايند شناسايي شرايط هشدار
اسلاید 13: عناصر سيستم اسكادا اجزاء يك سيستم اسكادا :به پردازشگرهاي محلي اسامي مختلفي اطلاق مي شود نظير : PLC ( Programmable Logic Controller ) RTU ( Remote Terminal Controller ) IED ( Intelligent Electronic Device ) PAC ( Process Automation Controller ) يك پردازنده محلي ممكن است مسئوليت ده ها داده ورودي از دستگاه هاي اندازه گيري را داشته باشد و خروجي تجهيزات عملياتي را نيز تامين نمايد. ارتباطات با برد كم : بين پردازنده هاي محلي و دستگاه هاي اندازه گيري و تجهيزات عملياتي . به كمك ارتباطات فوق، سيگنال هاي آنالوگ و يا گسسته با استفاده از خصايص الكتريكي نظير ولتاژ .و جريان حمل مي شوند. كامپيوترهاي ميزبان كه به عنوان نقطه مركزي مانيتورينگ و كنترل رفتار سيستم عمل مي نمايند
اسلاید 14: عناصر سيستم اسكادا اجزاء يك سيستم اسكادا :كامپيوترهاي ميزبان ... از طريق كامپيوتر ميزبان يك اپراتور انساني مي تواند فرآيندها را مديريت كرده ، هشدارهاي ارسالي را دريافت ، داده ارسالي را بازبيني و در صورت لزوم كنترل هاي لازم را فعال نمايد . در برخي حالات كامپيوتر ميزبان داراي منطق برنامه ريزي شده درون خود است تا بتواند كنترل پردازنده هاي محلي را انجام دهد. در برخي حالات ديگر كامپيوتر ميزبان صرفا يك واسط بين اپراتور انساني و پردازنده هاي محلي است . ذخيره داده در بانك اطلاعات و توليد گزارشات از جمله وظايف ديگر كامپيوتر ميزبان است كامپيوتر ميزبان ممكن است به عنوان يك (MTU ) برگرفته شده از Master Terminal Unit ( ، سرويس دهنده SCADA و يا يك كامپيوتر شخصي ( PC ) به همراه نرم افزار (HMI ) برگرفته شده از Human Machine Interface باشد .
اسلاید 15: عناصر سيستم اسكادا اجزاء يك سيستم اسكادا :ارتباطات با برد بالا بين پردازنده هاي محلي و كامپيوترهاي ميزبان . اين ارتباطات معمولا مي تواند شامل كيلومترها مسافت با استفاده از روش هايي نظير خطوط اختصاصي تلفن ، ماهواره و يا ماكرويو باشد .اسكادا ،صرفا يك نمونه از پياده سازي سيستم هاي كنترل فرآيند يا PCS است سيستم هاي كنترل شده توزيع شده ( DCS ) ، يك نمونه ديگر در اين زمينه است. سيستم هاي اسكادا معمولا در يك محدوده جغرافيايي به شعاع چندين كيلومتر توزيع و مستقر مي شوند و در برخي موارد داراي توابع كنترلي برنامه ريزي شده در كامپيوتر ميزبان مركزي مي باشند . در حالي كه سيستم هاي DCS معمولا در يك تاسيسات بزرگ توزيع و مستقر مي گردند و پردازنده هاي محلي منطق كنترل را ارايه مي نمايند . سيستم هاي اسكادا اغلب با سيستم هاي بزرگ ديگر نظير سيستم هاي مديريت انرژي ( EMS ) ، سيستم هاي مديريت توزيع شده (DMS ) و نظاير آن ، مرتبط مي گردند.
اسلاید 16: عناصر سيستم اسكادا يك شبكه نمونه اسكادا :
اسلاید 17: عناصر سيستم اسكادا برخي تجهيزات نمونه
اسلاید 18: نسل هاي سيستم اسكادا سه نسل مختلف :نسل اول : يكپارچه.نسل دوم : توزيع شده نسل سوم : شبكه اي ويژگي هاي نسل اول : اولين مرتبه اي كه سيستم هاي اسكادا ارائه گرديدند ، عمليات و پردازش به صورت متمركز بر روي سيستم هاي mainframe انجام مي شد . شبكه اي وجود نداشت و هر سيستم متمركز به صورت انفرادي كار مي كرد . شبكه هاي WAN پياده سازي شده مفهوم امروزي را نداشت و هدف آن برقراري ارتباط با ترمينال هاي راه دور (RTU ) بود . علاوه بر اين پروتكل هاي WAN امروزي در آن زمان شناخته شده نبودند .
اسلاید 19: نسل هاي سيستم اسكادا ويژگي هاي نسل اول :پروتكل هاي ارتباطي استفاده شده در شبكه هاي اسكادا توسط توليد كنندگان تجهيزات RTU پياده سازي مي گرديد و اغلب اختصاصي بودند . علاوه بر اين ، پروتكل ها عموما خيلي ضعيف و با قابليت هاي محدود بودند. اتصال به ايستگاه اصلي اسكادا از طرف توليدكنندگان محدود مي گرديد . اتصال به ايستگاه اصلي معمولا در سطح bus و از طريق يك آداپتور اختصاصي صورت مي گرفت .افزونگي شامل يك سيستم اوليه و يك سيستم ثانويه بود كه در سطح bus به يكديگر متصل مي شوند .
اسلاید 20: نسل هاي سيستم اسكادا نسل اول
اسلاید 21: نسل هاي سيستم اسكادا ويژگي هاي نسل دوم :كوچك سازي در نسل دوم سيستم هاي اسكادا در دستور كار قرار گرفت و از فناوري شبكه هاي محلي ( LAN ) براي توزيع پردازش بين چندين سيستم استفاده گرديد.چندين ايستگاه كه هر يك داراي يك وظيفه خاص بودند به شبكه محلي متصل شده و اطلاعات را به صورت بلادرنگ به اشتراك مي گذاشتند. اين ايستگاه ها معمولا كامپيوترهاي كوچكي بودند كه بمراتب كوچك تر و ارزان قيمت تر نسبت به پردازنده هاي نسل اول مي باشند . برخي از ايستگاه هاي توزيع شده به عنوان پردازنده هاي ارتباطي عمل مي نمايند در وهله اول با دستگاه هايي نظير RTU ارتباط برقرار مي نمايند . برخي رابط HMI را براي اپراتور سيستم ارايه مي نمايند و برخي ديگر به عنوان پردازنده هاي محاسباتي و يا سرويس دهندگان بانك اطلاعاتي عمل مي نمايند . شبكه اي كه ايستگاه ها را به يكديگر متصل مي نمايد بر اساس پروتكل هاي LAN بود و نمي توانست به محدوده و يا قدرتي خارج از محدوديت هاي محيط هاي محلي برسد
اسلاید 22: نسل هاي سيستم اسكادا ويژگي هاي نسل دوم :توزيع وظايف سيستم اسكادا بين چندين سيستم ، توان پردازشي بيشتري را براي سيستم نسبت به زماني كه تمامي توان پردازش در يك سيستم پردازنده متمركز بود ،فراهم مي نمايد . برخي از پروتكل هاي LAN داراي يك ماهيت اختصاصي بودند كه توليد كنندگان آنها را به عنوان پروتكل هاي اختصاصي جهت شبكه خود طراحي كرده بودند . اين باعث مي شد كه يك توليد كننده بتواند پروتكل LANمربوط به خود جهت ترافيك بلادرنگ بهينه سازي نمايد ولي داراي اين محدوديت است كه نمي تواند با شبكه محلي اسكادا ساير توليد كنندگان ارتباط برقرار نمايد . بهبود وضعيت افزونگي و قابليت اطمينان به سيستم همانند نسل اول ، سيستم هاي نسل دوم محدود به سخت افزار ، نرم افزار و دستگاه هاي جانبي ارايه شده و يا حداقل انتخاب شده توسط توليد كننده بودند.
اسلاید 23: نسل هاي سيستم اسكادا نسل دوم
اسلاید 24: نسل هاي سيستم اسكادا ويژگي هاي نسل سوم :نسل فعلي سيستم هاي اسكادا شباهت زيادي با نسل دوم دارد با اين تفاوت عمده كه از يك معماري باز در مقابل يك محيط اختصاصي و كنترل شده توسط توليد كننده ، استفاده مي گردد. همچنان چندين سيستم هاي شبكه اي وجود دارد و وظايف ايستگاه اصلي به اشتراك گذاشته مي شود همچنان از RTU استفاده مي گردد كه از پروتكل هاي اختصاصي توليد كننده استفاده مي نمايند . اصلاح عمده در نسل سوم : استفاده از معماري سيستم باز و استانداردهاي باز ( امكان ارتباط و بكارگيري محصولات توليد شده توسط ساير توليد كنندگان فراهم گرديد ) يكي از مهمترين تغييرات در نسل سوم، استفاده از پروتكل هاي WAN نظير IP جهت ارتباط بين ايستگاه اصلي و تجهيزات ارتباطي بود . هم اينك توليد كنندگان، محصولات RTU خود را بگونه اي مي سازند كه مي تواند با ايستگاه اصلي و با استفاده از اتصالات اترنت ارتباط برقرار نمايند .
اسلاید 25: نسل هاي سيستم اسكادا نسل سوم
اسلاید 26: پروتكل هاي اسكادا در ابتداي ارايه سيستم هاي اسكادا ، استانداردهاي ارتباطي اندكي وجود داشت و همين موضوع باعث شده بود كه هر يك از توليد كنند گان تجهيزات خود را با پروتكل اختصاصي خود توليد نمايند . پس از مدتي تعداد پروتكل تقريبا” به 150 تا 200 رسيد.تعداد زياد پروتكل ها به همراه ماهيت اختصاصي آنها ، باعث ايجاد يك سطح خاصي از امنيت شده بود ( امنيت با ايجاد ابهام ) به موازات اين كه صنعت اسكادا رشد كرد و توليد كنندگان خود را با استانداردهاي باز تطبيق دادند ، مجموع پروتكل هاي متداول اسكادا به تعداد كمتري كاهش يافت كه برخي از آنها عبارتند از : MODBUS Ethernet/IP PROFIBUS ControlNet InfiNET HART UCA Fieldbus Distributed Network Protocol (DNP) Utility Communications Architecture (UCA) Inter-Control Center Communications Protocol (ICCP) Telecontrol Application Service Element (TASE)
اسلاید 27: ضرورت توجه به امنيت سيستم هاي اسكادا از سال 2000 ميلادي به بعد حجم حملاتي كه متوجه سيستم هاي اسكادا شده است روند رو به فزاينده اي را گرفته است . بين 2000 تا 3000 سيستم هاي ديجيتال اسكادا اوليه با هدف حداكثر كارآيي طراحي شده بودند در آغاز اسكادا در يك شبكه بسته فعاليت مي كرد و خطاهاي طبيعي مرتبط با پروتكل هاي شبكه اي موجود نبود. اكثر نمونه هاي نصب شده از سيستم هاي اسكادا هم اينك از پروتكل هايي استفاده مي نمايند كه ذاتا غيرايمن هستتند و يا توسط توليد كنندگان محصولات اسكادا به خوبي پياده سازي نشده اند . اين وضعيت سيستم هاي اسكادا را غيرايمن مي سازد نبايد تعجب كنيم كه اگر با بكارگيري يك برنامه ساده پويش پورت در يك شبكه اسكادا ، تمامي شبكه دچارمشكل شود چراكه نحوه برخورد با خطاء به خوبي پياده سازي نشده است . به منظور نيل به تمامي مزاياي بكارگيري يك سيستم اسكادا ،لازم است ارتباطات بين شبكه اي به شبكه بزرگ سازماني ايجاد گردد تا داده پردازش شده بلادرنگ به سيستم هاي back end ارسال گردند . در اين ارتباطات بين شبكه اي ، يك لينك ارتباطي ضعيف در امنيت سيستم هاي اسكادا ظهور مي كند .
اسلاید 28: ضرورت توجه به امنيت سيستم هاي اسكادا اولين مرحله ، در شناخت خطرات مرتبط با اسكادا در دنياي ديجيتال امروز ، پذيرش اين واقعيت است كه سيستم هاي اسكادا به منظور كار در يك محيط بسته طراحي شده اند . با اين كه اغلب سازمان ها ادعا مي نمايند كه سيستم اسكادا آنها به شبكه آنها متصل نمي باشد . تخمين زده مي شود كه بين 80 تا 90 درصد سيستم هاي اسكادا به شبكه هاي بزرگ سازمان مربوط به خود متصل هستند . همين وضعيت باعث شده است كه مهاجمان بتوانند حملات خود را متوجه سيستم هاي اسكادا نمايند . ضعف هاي سطح بالا كه امروزه در سيستم هاي اسكادا يافت مي شود شامل موارد ذيل است : نياز به هيچگونه تاييديه ندارند نياز به هيچگونه مجوزي براي انجام كار ندارند . از رمزنگاري استفاده نمي نمايند بطرز مناسبي با خطا و اتفاقات غيرقابل پيش بيني برخورد نمي نمايند
اسلاید 29: ضرورت توجه به امنيت سيستم هاي اسكادا ضعف هاي سطح بالا باعث ايجاد پتناسيل هاي مختلفي جهت حملات مي شود : بازرسي و كنكاش در داده انجام عمليات دلخواه بر روي داده از كار انداختن سرويس ها جعل آدرس ها پاسخ هاي ناخواسته سرقت session تغيير لاگ ها ي داده كنترل غيرمجاز
اسلاید 30: ضرورت توجه به امنيت سيستم هاي اسكادا در صورت بروز حملات شاهد نتايج فاجعه آميزي خواهيم بود : تغيير اطلاعات موجود بر روي صفحه نمايش HMI كه مي تواند اپراتور سيستم اسكادا را به اشتباه انداخته و عمليات اصلاحي نادرستي را انجام دهد كسب مجوز به يك فرد تا كنترل سيستم اسكادا را به دست گيرد . ايجاد اختلال در فرآيندي كه تحت كنترل سيستم اسكادا است . جعل آدرس ها پاسخ هاي ناخواسته سرقت session تغيير لاگ ها ي داده كنترل غيرمجاز افشاء غيرمجاز داده هاي حساس و مهم تغييرات غيرمجاز و انجام عمليات داخواه بر روي داده هاي حساس و مهم دستيابي غيرمجاز به لاگ هاي مميزي و انجام تغييرات در لاگ هاي مميزي
اسلاید 31: ضرورت توجه به امنيت سيستم هاي اسكادا برخي اهداف مهاجمين : دستابي به سيستم اسكادا دستيابي به ايستگاه اصلي سيستم اسكادا به خطر افتادن RTU و يا PLCs محلي به خطر افتادن ايستگاه اصلي كنترل اسكادا به دست آوردن رمز عبور سيستم اسكادا از طريق ايستگاه كنترل اصلي دستيابي به RTU و يا PLCs محلي جعل RTU و ارسال داده غلط به ايستگاه اصلي كنترل جعل ايستگاه اصلي و ارسال داده غلط براي RTU از كار انداختن ايستگاه اصلي كنترل ازكارانداختن RTU كنترلي محلي تغيير برنامه كنترلي RTU
اسلاید 32: ضرورت توجه به امنيت سيستم هاي اسكادا اكثر عناصر سيستم هاي اسكادا خصوصا PLC محلي و يا كنترل كننده ها مجبور هستند در يك محيط كاملا بلادرنگ و يا نزديك به بلادرنگ فعاليت نمايند . بنابراين ، نمي توانند تاخير را تحمل نمايند كه توسط برخي نرم افزارهاي امنيتي ايجاد مي گردد همچنين عناصر سيستم هاي اسكادا معمولا داراي حافظه اضافه اي نمي باشند كه بتوان با استناد به آنها برنامه هاي بزرگ (نظير برنامه هاي مانيتورينگ امنيتي ) را اجرا كرد. علاوه بر اين ، سيستم هاي اسكادا با سيستم هاي مرتبط با فناوري اطلاعات سازمان گره خورده اند كه داراي خصايص امنيتي و اعتماد پذيري مختص به خود مي باشند مجموعه اي از كنترل هاي امنيتي مرتبط با فناوري اطلاعات را مي توان در رابطه با سيستم هاي اسكادا نيز اعمال كرد مهمترين عناصر خطرناك براي سيستم هاي اسكادا اتصالات به شبكه هاي اضافه و احتمالا آسيب پذير استفاده از پلت فرم هاي استاندارد سخت افزاري با نقاط آسيب پذير شناخته شده استفاده از نرم افزارهاي استاندارد با نقاط آسيب پذير شناخته شده ساير نقاط آسيب پذير انصالات راه دور نياز به دريافت داده به صورت بلادرنگ در مقابل كنترل هاي امنيت اطلاعات كه با ماهيت ايجاد تاخير
اسلاید 33: شبكه ها و كامپيوترهاي فناوري اطلاعاتسيستم هاي اسكادادرصورت از دست دادن داده و يا بروز وقفه هاي ناخواسته ، مي توان سيستم را با راه اندازي مجدد و يا برگرداندن فايل هاي پشتيبان به حالت اوليه برگرداند.از دست دادن داده و يا بروز وقفه قابل تحمل نيست و ممكن است نتايج مهلكي را به دنبال داشته باشدبا تاخير ناخواسته مي توان كنار آمد تاخير زياد قابل تحمل نيستدرصورت بروز مشكلات حاد براي سيستم با راه اندازي مجدد آن مي توان مشكل ناخواسته را به نوعي حل كرد! كاركرد سيستم مي بايست همواره عاري از خطاء باشد . از UPS پشتيبان استفاده گردد. از كار افتادن سيستم حتي براي لحظاتي اندك مي تواند فاجعه آميز باشد از نرم افزارهاي آنتي ويروس استفاده زياد مي شودبكارگيري نرم افزارهاي آنتي ويروس در اكثر موارد مشكل است ، چراكه تاخير قابل تحمل نمي باشد . ارايه دوره هاي آموزشي به منظور افزايش سطح آگاهي كاربران در خصوص مسائل امنيتي بسيار متداول است ! ارايه دوره هاي آموزشي به منظور افزايش سطح آگاهي كاربران در خصوص مسائل امنيتي كم استاز رمزنگاري استفاده مي شودتعداد بسيار زيادي از سيستم هاي اسكادا داده و پيام هاي كنترلي را به صورت غير رمز شده ارسال مي نمايند.تست نفوذ به صورت ادواري انجام مي شودتست نفوذ به صورت ادواري در شبكه كنترلي انجام نمي شود و زماني هم كه اين كار انجام مي شود مي بايست اين كار با دقت صورت پذيرد تا باعث بروز اختلال نگردد . پياده سازي patch نرم افزارها به صورت ادواري انجام مي شود پياده سازي patch نرم افزاري مي بايست با دقت صورت پذيرد و معمولا مستلزم هماهنگي با شركت فروشنده تجهيزات اسكادا مي باشدمميزي امنيت اطلاعات لازم است و معمولا به صورت ادواري انجام مي شود مميزي امنيت اطلاعات بطور ادواري انجام نمي شودتجهيزات معمولا هر سه تا پنج سال جايگرين و يا ارتقاء مي يابندتجهيزات استفاده شده براي مدتي طولاني و بدون جايگزيني استفاده مي گردند .
اسلاید 34: ايمن سازي سيستم هاي اسكاداتوصيه اول : شناسايي تمامي اتصالات به شبكه اسكادا ارزيابي ضرورت وجود هر اتصال به شبكه اسكادا ، آناليز تهديدات مرتبط با آنان و نحوه حفاظت هر يك از شبكه ها انواع اتصالات شبكه اي : شبكه هاي محلي و WAN شامل شبكه سازماني اينترنت دستگاه هاي شبكه بي سيم شامل لينك هاي ماهواره اي اتصالات مودم و يا Dial up اتصالات به شركاء تجاري ، فروشندگان و يا نهادهاي نظارتي
اسلاید 35: ايمن سازي سيستم هاي اسكاداتوصيه دوم : قطع اتصالات غيرضروري به شبكه اسكادا حتي المقدور سعي نماييد شبكه اسكادا از ساير شبكه ها مجزاء گردد . هر اتصال به شبكه ديگر مي تواند تهديدات امنيتي مختص به خود را به دنبال داشته باشد خصوصا اگر اتصال ايجاد شده دريچه اي رو به اينترنت نيز گشوده باشد . ايزوله كردن شبكه اسكادا يكي از اهداف اوليه در جهت تامين يك سطح حفاظتي قابل قبول است .توصيه سوم : ارزيابي و تقويت امنيت هر اتصال باقيمانده به شبكه اسكادا اجراي تست نفوذ و آناليز نقاط آسيب پذير هر يك از اتصالات باقيمانده به شبكه اسكادا . تحليل نتايج حاصل از تست نفوذ به همراه فرآيند هاي مديريت تهديدات به منظور پياده سازي يك استراتژي حفاظتي مستحكم پياده سازي فايروال ، سيستم هاي تسخيص مزاحمين و ساير ابزارهاي موجود در هر نقطه تماس شبكه اسكادا با ساير شبكه ها پيكربندي قوانين فايروال بگونه اي كه امكان دستيابي به شبكه اسكادا مديريت يافته باشد .
اسلاید 36: ايمن سازي سيستم هاي اسكاداتوصيه چهارم : حذف و يا غيرفعال سرويس هاي غيرضروري بر روي شبكه اسكادا سيستم عامل موجود بر روي سرويس دهندگان كنترلي اسكادا ( تجاري و يا كد باز) مي تواند جذابيت هاي خاصي را براي مهاجمان از طريق سرويس هاي شبكه اي پيش فرض ايجاد نمايد حتي المقدور سعي گردد سرويس هاي استفاده نشده حذف و يا غيرفعال گردند ( خصوصا در مواردي كه شبكه اسكادا با ساير شبكه ها مرتبط مي گردد ) . مطالعه و بكارگيري توصيه هاي امنيتي در خصوص ايمن سازي سيستم عامل مشاوره با ارايه دهندگان اسكادا در زمان حذف و يا غيرفعال كردن يك سرويس و شناسايي ايمن ترين پيكربندي
اسلاید 37: ايمن سازي سيستم هاي اسكاداتوصيه پنجم : عدم استناد به پروتكل هاي اختصاصي جهت حفاظت سيستم برخي سيستم هاي اسكادا از پروتكل هاي اختصاصي و منحصربفرد براي ارتباط با دستگاه هاي اندازه گيري ، پردازنده هاي محلي و سرويس دهندگان استفاده مي نمايند . اغلب استناد به ايمن سازي سيستم هاي اسكادا ، محدود به ايمن سازي اين پروتكل ها مي گردد . واقعيت اين است كه مبهم بودن اين پروتكل ها صرفا” مي تواند امنيت اندكي را به ارمغان آورد . هرگز به پروتكل هاي اختصاصي و يا پيكربندي پيش فرض استناد نكنيد . از ارايه دهندگان سيستم هاي اسكادا تقاضاء نماييد سيستم را فاقد هرگونه back door و يا اينترفيس هاي مازاد ( نظير اينترفيس ارايه هنده به سيستم شما ) تحويل دهد . ارايه دهند ، مسئوليت ايمن بودن سيستم را مي بايست بپذيرد .
اسلاید 38: ايمن سازي سيستم هاي اسكاداتوصيه ششم : پياده سازي ويژگي هاي امنيتي ارايه شده توسط توليد كنندگان دستگاه ها و يا سيستم ها اكثر سيستم هاي قديمي اسكادا ( اكثر سيستم هايي كه هم اينك از آنها استفاده مي شود ) ،داراي هيچگونه ويژگي امنيتي نمي باشند . مالكين سيستم هاي اسكادا مي بايست به فروشندگان اصرار ورزند كه ويژگي هاي امنيتي را به شكل Patch و يا بسته هاي ارتقاء ارايه نمايند .تعدادي از سيستم هاي جديد اسكادا با برخي ويژگي هاي پايه امنيتي ارايه مي گردند ولي اغلب اين ويژگي ها به منظور نصب آسان ، غيرفعال مي گردند . هر دستگاه اسكادا را بررسي نماييد تا مشخص گردد كه آيا دستگاه داراي ويژگي هاي امنيتي مي باشد . تنظيمات پيش فرض هر دستگاه بگونه اي انجام شده است كه بيشترين قابليت استفاده و كم ترين امنيت را داشته باشند . تمامي ويژگي هاي امنيتي موجود در هر دستگاه مي بايست با حداكثر سطح امنيتي تنظيم گردد .
اسلاید 39: ايمن سازي سيستم هاي اسكاداتوصيه هفتم : ايجاد يك كنترل قدرتمند بر روي هر رسانه اي كه به عنوان يك Backdoor درون شبكه اسكادا رفتار مي نمايد جايي كه backdoor و يا اتصالات ارايه دهندگان سيستم هاي اسكادا وجود دارد ، مي بايست از يك سيستم تاييد هويت مستحكم براي حصول اطمينان از يك ارتباط ايمن استفاده گردد . معمولا از مودم ، ارتباطات بي سيم و يا خطوط اختصاصي براي برقراري ارتباط و انجام خدمات پشتيباني استفاده مي گردد . اين وضعيت مي تواند يك نقطه آسيب پذير با پتانسيل بسيار بالا را درون يك شبكه اسكادا ايجاد نمايد . به منظور كاهش اين گونه تهديدات ، دستيابي ورودي را غيرفعال نماييد و آن را با يك نوع خاص از سيستم callback جايگزين نماييد .
اسلاید 40: ايمن سازي سيستم هاي اسكاداتوصيه هشتم : پياده سازي سيستم هاي تشخيص مزاحمين داخلي و خارجي و مانيتورينگ شبانه روزي وقايع به منظور پاسخ گويي موثر به حملات ، لازم است يك استراتژي تشخيص مزاحمين كه شامل هشدار به مديران شبكه در خصوص فعاليت هاي مخرب از منابع داخلي و يا خارجي است ، پياده سازي گردد سيستم تشخيص مزاحمين لازم است به صورت شبانه روزي باشد و به سيستم هاي اطلاع رساني نظير پيام كوتاه و يا pager نيز مرتبط گردد رويه هاي پاسخ به وقايع مي بايست پيش بيني گردد تا در صورت بروز حملات بتوان پاسخ لازم را در كوتاهترين زمان داد.فعال كردن لاگ بر روي تمامي سيستم ها و مميزي لاگ ها بطور روزانه
اسلاید 41: ايمن سازي سيستم هاي اسكاداتوصيه نهم : مميزي فني دستگاه ها و شبكه اسكادا و هر شبكه متصل شده به منظور شناسايي اثرات امنيتي مميزي فني از دستگاه ها و شبكه اسكادا به منظور مميزي فني مي توان از مجموعه اي از ابزارهاي كدباز و يا تجاري به منظور شناسايي نقاط آسيب پذير ، سطح patching ، سرويس هاي فعال دستگاه ها و شبكه اسكادا استفاده كرد . استفاده از اين ابزارها مشكل مسائل سيستماتيك را حل نخواهد كرد ولي مي تواند باعث حذف مسيرهايي با حداقل مقاومت گردد كه يك مهاجم مي تواند از آنها در جهت منافع خود بهره برداري نمايد. آناليز نقاط آسيب پذير شناسايي شده و انجام اقدامات ضروري در جهت برطرف كردن آنها تست مجدد سيستم ها پس از انجام اصلاحات جهت حصول اطمينان از رفع مشكل نقاط آسيب پذير
اسلاید 42: ايمن سازي سيستم هاي اسكاداتوصيه دهم : مميزي امنيت فيزيكي و ارزيابي تمامي سايت هاي راه دور متصل شده به شبكه اسكادا به منظور بررسي وضعيت امنيتي آنها هر نقطه اي كه داراي يك اتصال به شبكه اسكادا مي باشد ، مي تواند يك هدف باشد خصوصا سايت هاي راه دورمميزي امنيت فيزيكي در هر نقطه تماس با شبكه اسكادا شناسايي و ارزيابي هر گونه منبع اطلاعاتي شامل تلفن ، شبكه كامپيوتري راه دور ، كابل هاي فيبرنوري ، لينك هاي راديويي ، ترمينال هاي كامپيوتري ، دستگاه هاي نقطه تماس شبكه هاي بي سيم
اسلاید 43: ايمن سازي سيستم هاي اسكاداتوصيه يازدهم : ايجاد گروه موسوم به قرمز جهت شناسايي و بررسي سناريوهاي حملات احتمالي ايجاد يك گروه به منظور شناسايي سناريوهاي مختلف حملات احتمالي و بررسي نقاط آسيب پذير سيستم استفاده از مجموعه اي از نيروهاي كارشناس كه در خصوص امنيت اطلاعات ، سيستم هاي اسكادا ، سيستم هاي فيزيكي و كنترل هاي امنيتي داراي بينش لازم مي باشندبررسي ريسك نفوذ و اثربخشي كدهاي مخرب در اختيار قرار دادن نتايج مطالعات انجام يافته توسط گروه فوق به گروه مديريت تهديدات به منظور اتخاذ استراتژي لازم جهت مقابله با تهديدات
اسلاید 44: ايمن سازي سيستم هاي اسكاداتوصيه دوازدهم : تعريف شفاف وظايف ، مسئوليت ها ، مميزي ها ، مديريت ها و كاربران كاركنان سازمان لازم است شناخت مناسبي نسبت به نقش خود در خصوص ايمن سازي اطلاعات داشته باشند . اين كار از طريق تعريف دقيق و شفاف وظايف و مسئوليت ها صورت مي پذيرد به كاركنان كليدي سازمان مي بايست مجوز لازم جهت انجام وظايف خود خصوصا در موارد مميزي داده شود .يك ساختار سازماني در خصوص ايمن سازي زيرساخت فناوري اطلاعات در سازمان ايجاد گردد . چگونه وقوع يك حادثه امنيتي تشخيص داده مي شود و وظايف هر فرد چيست ؟
اسلاید 45: ايمن سازي سيستم هاي اسكاداتوصيه سيزدهم : مستندسازي معماري شبكه و شناسايي سيستم هائي كه داراي وظايف حياتي هستند و يا شامل اطلاعات حساسي مي باشند كه نيازمند يك سطح اضافه از حفاظت مي باشند توصيه چهاردهم : ايجاد فرآيند مديريت خطرات ( مستمر و سخت ) توصيه پانزدهم : ايجاد يك استراتژي حفاظت شبكه بر اساس اصول دفاع در عمق توصيه شانزدهم : تدوين يك برنامه جامع امنيتي در سازمان شامل رويه ها ، سياست هاي امنيتي ، مسئوليت ها و ...
اسلاید 46: ايمن سازي سيستم هاي اسكاداتوصيه هفدهم : مديريت پيكربندي تجهيزات سخت افزاري و نرم افزاري توصيه هجدهم : انجام ارزيابي امنيتي بطور ادواري توصيه نوزدهم : ايجاد يك برنامه جامع جهت برخورد مناسب با شرايط بحراني ( برگرداندن سريع سيستم ها به سرويس ها ، عدم حذف و يا از دست دادن داده و ... )توصيه بيستم : ايجاد سياست ها ، آموزش ، افزايش دانش و آگاهي كاركنان در خصوص امنيت
اسلاید 47: استاكس نت و سيستم اسكادا استاكس نت ، سيستم هاي كنترل صنعتي را هدف قرار داده است . استاكس نت به دنبال يك PLC خاص مي گردد . S7 – 300 S7 – 400 هر PLC مي بايست قبل از استفاده ، برنامه ريزي گردد . پيكربندي در محلي با نام SDB (System Data Blocks ) ذخيره مي گردند . استاكس نت SDB را بررسي كرده و به دنبال يك بايت خاص و در يك مكان بخصوص است ادامه ... !
اسلاید 48: ايمن سازي سيستم هاي اسكادا يك اولويت و ضرورت ملي است
اسلاید 49: The End
نقد و بررسی ها
هیچ نظری برای این پاورپوینت نوشته نشده است.