Download
1 / 50
550 likes | 708 Views
دانشگاه آزاد واحَد علوم و تحقیقات اصفهان. بررسی امنیت و قابلیت اطمینان در سیستم های اسکادا (SCADA). استاد راهنما : دکتر ناصر نعمت بخش ارائه دهنده : مهدی دهقانی شماره دانشجویی 910909652. Mhd.ir_esf@yahoo.com. سرفصل. مقدمه اي بر اتوماسيون اسكادا چيست ؟ عناصر يك سيستم اسكادا
E N D
دانشگاه آزاد واحَد علوم و تحقیقات اصفهان بررسی امنیت و قابلیت اطمینان در سیستم های اسکادا(SCADA) استادراهنما: دکتر ناصر نعمت بخش ارائه دهنده : مهدی دهقانی شماره دانشجویی 910909652 Mhd.ir_esf@yahoo.com
سرفصل • مقدمه اي بر اتوماسيون • اسكادا چيست ؟ • عناصر يك سيستم اسكادا • نسل هاي مختلف سيستم هاي اسكادا • ضرورت توجه به امنيت سيستم هاي اسكادا • ايمن سازي سيستم هاي اسكادا • استاكس نت و سيستم هاي اسكادا • Demo
مقدمه اي بر اتوماسيون • اتوماسيون : استفاده از سيستم هاي كنترلي و فناوري هاي اطلاعات به منظور كاهش نياز انسان به كار در محيط توليد كالا و بالا بردن قابلیت اطمینان در خدمات است. • اتوماسيون و مكانيزاسيون : اتوماسيون مرحله اي فراتر از مكانيزاسيون است . • مكانيزاسيون : استفاده از ماشين آلات در مقابل نيروي عضلاني • اتوماسيون : استفاده از سيستم هاي كنترلي و فناوري اطلاعات به منظور انجام فعاليت ها با درگيري فكري و ذهني كمتر . • تاثير اتوماسيون در صنايع مختلف و زندگي انسان امروزي
مقدمه اي بر اتوماسيون • مزاياي اتوماسيون • جايگزين شدن با نيروي انساني در فعاليت هايي كه حاوي كارهاي سخت و يا يكنواخت وخسته كننده است . • جايگزين شدن با نيروي انساني در محيط هاي خطرناك ( نظير آتش ، آتشفشان ، تاسيسات انرژي هسته اي و ... ) • انجام كارهايي كه خارج از قدرت انسان است ( اندازه ، وزن ، استقامت ، سرعت ) • صرفه جويي اقتصادي ، كاهش هزينه هاي سربار توليد و خدمات ، افزايش بهره وري و ... • معايب اتوماسيون • محدوديت فناوري : فناوري هاي موجود امكان اتوماسيون تمامي فعاليت ها را نمي دهد • هزينه هاي پياده سازي غيرقابل پيش بيني . هزينه تحقيق و توسعه جهت اتوماسيون يك فرآيند مي تواند از خود اتوماسيون بيشتر باشد . • سرمايه گذاري مالي بالا در شروع كار
مقدمه اي بر اتوماسيون • اتوماسيون سيستم ها نيازمند سيستم هايي جهت مديريت فرآيندهااست • مديريت يك فرآيند ،مستلزم تامين داده مورد نياز آن و اثرگذاري نتايج حاصل از فرآيند بر روي سيستم است . • براي ثبت ، جمع آوري و پردازش داده در يك سيستم كنترلي از روش هاي مختلفي تاكنون استفاده شده است . • آنالوگ • ثبت داده توسط دستگاه هاي آنالوگ • جمع آوري داده توسط نيروي انساني • پردازش آفلاين توسط نيروي انساني و يا ماشين هايي با توان اندك • اثرگذاري نتايج حاصل از پردازش توسط نيروي انساني
مقدمه اي بر اتوماسيون • ديجيتال • ثبت داده توسط دستگاه هاي الكترونيكي • جمع آوري داده بطور اتوماتيك ( با استفاده از مكانيزم هاي مختلف ارتباطي ) • پردازش آنلاين محلي و يا متمركز توسط دستگاه هاي پردازش اطلاعات • اثرگذاري نتايج حاصل از پردازش به صورت آني و بدون تاخير • امروزه به سيستم هاي كنترل ديجيتالي ، معمولا” SCADA گفته مي شود.(Supervisory Control And Data Acquisition ) • سيستم هاي كنترل ديجيتالي به منزله مغز كنترل و مانيتورينگ سيستم هاي زيرساخت حياتي نظير شبكه هاي انتقال و توزيع برق ، پالايشگاه ها ، شبكه هاي آب ، كنترل ترافيك و ... مي باشند.
مقدمه • يك سيستم كنترلي ساده
مقدمه اي بر اتوماسيون • با توجه به نقش برجسته سيستم هاي اسكادا در كنترل و مانيتورينگ زيرساخت هاي حياتي و صنايع مهم يك كشور ، پرداختن به ايمن سازي آنها به يك بايد و اولويت ملي مهم تبديل شده است چراكه : • سيستم هاي كنترل ديجيتالي با هدف حداكثر بازدهيو كارآيي مطلوب طراحي شده اند و به امنيت آنها توجه جدي نشده است . ( نياز امروز با توجه به واقعيت هاي موجود ) • در اغلب سيستم هاي كنترل ديجيتالي ، به محيط عملياتي بطور كامل اعتماد مي شود و با فرض وجود يك محيط ايمن و قابل اطمینان ، فعاليت ها انجام مي شود . • ارتباط تنگاتنگ سيستم هاي اسكادا با ساير سيستم هاي موجود در يك سازمان ، ضرورت توجه به امنيت آنها را مضاعف كرده است ( مهم ترين مزيت ← بيشترين خطر) • سيستم هاي كنترل نظارتي از حالت standalone به سمت معماري مبتني بر شبكه حركت كرده اند • سخت افزار و نرم افزار استفاده شده در سيستم هااز طراحي و پياده سازي كاملا" سفارشي به سمت استانداردهاي سخت افزاري و پلت فرم هاي نرم افزاري سوق پيدا كرده اند.
مقدمه اي بر اتوماسيون • گرچه اين مزايا ،دستاوردهاي مثبتي خصوصا" از بعد هزينه را به دنبال داشته است ولي باعث شده است كه سيستم هاي كنترل صنعتي ايزوله كه داراي سخت افزار و نرم افزار كاملا" اختصاصي خود بودند درمقابل تهديدات خارجي ( شبكه اينترنت ) و يا داخلي ( پرسنل سازمان ) ، آسيب پذير گردند. • حملات با استفاده از مزاياي نقاط آسيب پذير موجود در پلت فرم هاي استاندارد نظير ويندوز و كامپيوترهاي شخصي ( تطبيق يافته با سيستم هاي كنترل نظارتي ) ،صورت مي پذيرد.
اسكادا چيست ؟ • سيستم هاي اسكادا با هدف كنترل نظارتي ، مديريت و مانيتورينگ فرآيندها طراحي شده اند . جهت نيل به اهداف فوق لازم است داده بلادرنگ ، جمع آوري و آناليز گردد. • گسترش استفاده از سيستم هاي اسكادا به اندازه اي است كه هم اينك اغلب زيرساخت هاي حياتي و مهم يك كشور به آنها وابسته شده اند . • امروزه سيستم هاي اسكادا به دلیل قابلیتهای اطمینان بالا در پیاده سازی داراي جايگاهي بسيار مهم در بسياري از صنايع هستند. • صنايع آلومينيوم سازي ، خودروسازي ، پتروشيمي ، فولاد ، غذايي • تاسيسات هسته اي ، شبكه هاي توزيع نفتو گاز ،شبكه هاي توزيع آب • مخابراتي و ...
اسكادا چيست ؟ • دامنه استفاده از قابليت هاي سيستم هاي اسكادا بسيار گسترده مي باشد از تعويض يك لامپ گرفته تا كنترل پردازش هاي بسيار پيچيده : • كنترل ديگ بخار • جمع آوري داده مرتبط با ديگ بخار • كنترل درجه حرارت ديگ بخار • كنترل ديگ بخار و توربين • سيستم حمل و نقل و بارگيري نفت • مانيتوريتگ درجه حرارت ياتاقان ها • كنترل كوره • كنترل مخازن • و ...
عناصر سيستم اسكادا • اجزاء يك سيستم اسكادا : • دستگاهاندازه گيري: قادر به تشخيص شرايطي نظير PH ، درجه حرارت ، سطح فشار ، نرخ انتقال آب و ...مي باشند . • تجهيزات عملياتينظير پمپ ،شير ، تسمه نقاله كه مي توان آنها را توسط محرك ها كنترل كرد . • پردازنده هاي محليكه مي توانندبا ابزارآلات دستگاه هاي اندازه گيري ارتباطبرقرار نمايند .پردازنده هاي محلي قادربه انجام تمام ويا بخشي از وظايف زير مي باشند : • جمع آوري دادهدستگاه اندازه گيري • فعال و يا غيرفعال كردن تجهيزات عملياتي بر اساس منطق برنامه نويسي شده داخليو يا به كمك دستورات از راه دور كه توسط انسان و يا كامپيوتر صادر شده است • ترجمه پروتكل ها بگونه اي كه كنترل كننده هاي مختلف ، وسايل اندازه گيري و تجهيزات بتوانند با يكديگر ارتباط برقرار نمايند • شناسايي شرايط هشدار
عناصر سيستم اسكادا • اجزاء يك سيستم اسكادا : • به پردازشگرهاي محلي اسامي مختلفي اطلاق مي شود نظير : • PLC ( Programmable Logic Controller ) • RTU ( Remote Terminal Controller ) • IED( Intelligent Electronic Device ) • PAC ( Process Automation Controller ) • يك پردازنده محلي ممكن است مسئوليت ده ها داده ورودي از دستگاه هاي اندازه گيري را داشته باشد و خروجي تجهيزات عملياتي را نيز تامين نمايد. • ارتباطات با برد كم : بين پردازنده هاي محلي و دستگاه هاي اندازه گيري و تجهيزات عملياتي . به كمك ارتباطات فوق، سيگنال هاي آنالوگ و يا گسسته با استفاده از خصايص الكتريكي نظير ولتاژ .و جريان حمل مي شوند. • كامپيوترهاي ميزبان كه به عنوان نقطه مركزي مانيتورينگ و كنترل رفتار سيستم عمل مي نمايند
عناصر سيستم اسكادا • اجزاء يك سيستم اسكادا : • كامپيوترهاي ميزبان... • از طريق كامپيوتر ميزبان يك اپراتور انساني مي تواند فرآيندها را مديريت كرده ، هشدارهاي ارسالي را دريافت ، داده ارسالي را بازبيني و در صورت لزوم كنترل هاي لازم را فعال نمايد . • در برخي حالات كامپيوتر ميزبان داراي منطق برنامه ريزي شده درون خود است تا بتواند كنترل پردازنده هاي محلي را انجام دهد. • در برخي حالات ديگر كامپيوتر ميزبان صرفا" يك واسط بين اپراتور انساني و پردازنده هاي محلي است . • ذخيره داده در بانك اطلاعات و توليد گزارشات از جمله وظايف ديگر كامپيوتر ميزبان است • كامپيوتر ميزبان ممكن است به عنوان يك (MTU) برگرفته شده از Master Terminal Unit( ، سرويس دهنده SCADA و يا يك كامپيوتر شخصي ( PC ) به همراه نرم افزار (HMI ) برگرفته شده از Human Machine Interface باشد .
عناصر سيستم اسكادا • اجزاء يك سيستم اسكادا : • ارتباطات با برد بالابين پردازنده هاي محلي و كامپيوترهاي ميزبان . اين ارتباطات معمولا" مي تواند شامل كيلومترها مسافت با استفاده از روش هايي نظير خطوط اختصاصي تلفن ، ماهوارهو يا ماكرويو باشد . • اسكادا ،صرفا" يك نمونه از پياده سازي سيستم هاي كنترل فرآيند يا PCS است سيستم هاي كنترل شده توزيع شده ( DCS ) ، يك نمونه ديگر در اين زمينه است. • سيستم هاي اسكادا معمولا" در يك محدوده جغرافيايي به شعاع چندين كيلومتر توزيع و مستقر مي شوند و در برخي موارد داراي توابع كنترلي برنامه ريزي شده در كامپيوتر ميزبان مركزي مي باشند . در حالي كه سيستم هاي DCS معمولا" در يك تاسيسات بزرگ توزيع و مستقر مي گردند و پردازنده هاي محلي منطق كنترل را ارايه مي نمايند . • سيستم هاي اسكادا اغلب با سيستم هاي بزرگ ديگر نظير سيستم هاي مديريت انرژي ( EMS ) ، سيستم هاي مديريت توزيع شده (DMS ) و نظاير آن ، مرتبط مي گردند.
عناصر سيستم اسكادا • يك شبكه نمونه اسكادا :
عناصر سيستم اسكادا • برخي تجهيزات نمونه
نسل هاي سيستم اسكادا • سه نسل مختلف : • نسل اول : يكپارچه. • نسل دوم : توزيع شده • نسل سوم : شبكه اي • ويژگي هاي نسل اول : • اولين مرتبه اي كه سيستم هاي اسكادا ارائه گرديدند ، عمليات و پردازش به صورت متمركز بر روي سيستم هاي mainframeانجام مي شد . شبكه اي وجود نداشت و هر سيستم متمركز به صورت انفرادي كار مي كرد . • شبكه هاي WANپياده سازي شده مفهوم امروزي را نداشت و هدف آن برقراري ارتباط با ترمينال هاي راه دور (RTU ) بود . علاوه بر اين پروتكل هاي WAN امروزي در آن زمان شناخته شده نبودند .
نسل هاي سيستم اسكادا • ويژگي هاي نسل اول : • پروتكل هايارتباطي استفاده شده در شبكه هاي اسكادا توسط توليد كنندگان تجهيزات RTU پياده سازي مي گرديد و اغلب اختصاصي بودند . علاوه براين ، پروتكل ها عموما" خيلي ضعيف و با قابليت هاي محدود بودند. • اتصال به ايستگاه اصلي اسكادا از طرف توليدكنندگان محدود مي گرديد . اتصال به ايستگاه اصلي معمولا" در سطح bus و ازطريق يك آداپتور اختصاصي صورت مي گرفت . • افزونگي شامل يك سيستم اوليه و يك سيستم ثانويه بود كه در سطح busبه يكديگر متصل مي شوند .
نسل هاي سيستم اسكادا نسل اول
نسل هاي سيستم اسكادا • ويژگي هاي نسل دوم : • كوچك سازي در نسل دوم سيستم هاي اسكادا در دستور كار قرار گرفت و از فناوري شبكه هاي محلي ( LAN ) براي توزيع پردازش بين چندين سيستم استفاده گرديد. • چندين ايستگاه كه هر يك داراي يك وظيفه خاص بودند به شبكه محلي متصل شده و اطلاعات را به صورت بلادرنگ به اشتراك مي گذاشتند. اين ايستگاه ها معمولا" كامپيوترهاي كوچكي بودند كه بمراتب كوچك تر و ارزان قيمت تر نسبت به پردازنده هاي نسل اول مي باشند . • برخي از ايستگاه هاي توزيع شده به عنوان پردازنده هاي ارتباطي عمل مي نمايند در وهله اول با دستگاه هايي نظير RTU ارتباط برقرار مي نمايند . برخي رابط HMIرا براي اپراتور سيستم ارايه مي نمايند و برخي ديگر به عنوان پردازنده هاي محاسباتي و يا سرويس دهندگان بانك اطلاعاتي عمل مي نمايند . • شبكه اي كه ايستگاه ها را به يكديگر متصل مي نمايد بر اساس پروتكل هاي LANبود و نمي توانست به محدوده و يا قدرتي خارج از محدوديت هاي محيط هاي محلي برسد
نسل هاي سيستم اسكادا • ويژگي هاي نسل دوم : • توزيع وظايف سيستم اسكادا بين چندين سيستم ، توان پردازشي بيشتري را براي سيستم نسبت به زماني كه تمامي توان پردازش در يك سيستم پردازنده متمركز بود ،فراهم مي نمايد . • برخي از پروتكل هاي LAN داراي يك ماهيت اختصاصي بودند كه توليد كنندگان آنها را به عنوان پروتكل هاي اختصاصي جهت شبكه خود طراحي كرده بودند . اين باعث مي شد كه يك توليد كننده بتواند پروتكل LANمربوط به خود جهت ترافيك بلادرنگ بهينه سازي نمايد ولي داراي اين محدوديت است كه نمي تواند با شبكه محلياسكادا ساير توليد كنندگان ارتباط برقرار نمايد . • بهبود وضعيت افزونگي و قابليت اطمينان به سيستم • همانند نسل اول ، سيستم هاي نسل دوممحدود به سخت افزار ، نرم افزار و دستگاه هاي جانبي ارايه شده و يا حداقل انتخاب شده توسط توليد كننده بودند.
نسل هاي سيستم اسكادا نسل دوم
نسل هاي سيستم اسكادا • ويژگي هاي نسل سوم : • نسل فعلي سيستم هاي اسكادا شباهت زيادي با نسل دوم دارد با اين تفاوت عمده كه از يك معماري باز در مقابل يك محيط اختصاصيو كنترل شده توسط توليد كننده ، استفادهمي گردد. • همچنان چندين سيستم هاي شبكه اي وجود دارد و وظايف ايستگاه اصلي به اشتراك گذاشته مي شود • همچنان از RTU استفاده مي گردد كه از پروتكل هاي اختصاصي توليد كننده استفاده مي نمايند . • اصلاح عمده در نسل سوم : استفاده از معماري سيستم باز و استانداردهاي باز ( امكان ارتباط و بكارگيري محصولات توليد شده توسط ساير توليد كنندگان فراهم گرديد ) • يكي از مهمترين تغييرات در نسل سوم، استفاده از پروتكل هاي WAN نظير IP جهت ارتباط بين ايستگاه اصلي و تجهيزات ارتباطي بود . • هم اينك توليد كنندگان، محصولات RTU خود را بگونه اي مي سازند كه مي تواند با ايستگاه اصلي و با استفاده از اتصالات اترنت ارتباط برقرار نمايند .
نسل هاي سيستم اسكادا نسل سوم
پروتكل هاي اسكادا • در ابتداي ارايه سيستم هاي اسكادا ، استانداردهاي ارتباطي اندكي وجود داشت و همين موضوع باعث شده بود كه هر يك از توليد كنند گان تجهيزات خود را با پروتكل اختصاصي خود توليد نمايند . • پس از مدتي تعداد پروتكل تقريبا” به 150 تا 200 رسيد. • تعداد زياد پروتكل ها به همراه ماهيت اختصاصي آنها ، باعث ايجاد يك سطح خاصي از امنيت شده بود ( امنيت با ايجاد ابهام ) • به موازات اين كه صنعت اسكادا رشد كرد و توليد كنندگان خود را با استانداردهاي باز تطبيق دادند ، مجموع پروتكل هاي متداول اسكادا به تعداد كمتري كاهش يافت كه برخي از آنها عبارتند از : UCAFieldbusDistributed Network Protocol (DNP)Utility Communications Architecture (UCA)Inter-Control Center Communications Protocol (ICCP)Telecontrol Application Service Element (TASE) MODBUSEthernet/IPPROFIBUSControlNetInfiNETHART
ضرورت توجه به امنيت سيستم هاي اسكادا • از سال 2000 ميلادي به بعد حجم حملاتي كه متوجه سيستم هاي اسكادا شده است روند رو به فزاينده اي را گرفته است . بين 2000 تا 3000 • سيستم هاي ديجيتال اسكادا اوليه با هدف حداكثر كارآيي طراحي شده بودند • در آغاز اسكادا در يك شبكه بسته فعاليت مي كرد و خطاهاي طبيعي مرتبط با پروتكل هاي شبكه اي موجود نبود. • اكثر نمونه هاي نصب شده از سيستم هاي اسكادا هم اينك از پروتكل هايي استفاده مي نمايند كه ذاتا" غيرايمن هستتند و يا توسط توليد كنندگان محصولات اسكادا به خوبي پياده سازي نشده اند . اين وضعيت سيستم هاي اسكادا را غيرايمن مي سازد • نبايد تعجب كنيم كه اگر با بكارگيري يك برنامه ساده پويش پورت در يك شبكه اسكادا ، تمامي شبكه دچارمشكل شود چراكه نحوه برخورد با خطاء به خوبي پياده سازي نشده است . • به منظور نيل به تمامي مزاياي بكارگيري يك سيستم اسكادا ،لازم است ارتباطات بين شبكه اي به شبكه بزرگ سازماني ايجاد گردد تا داده پردازش شده بلادرنگ به سيستم هاي back end ارسال گردند . در اين ارتباطات بين شبكه اي ، يك لينك ارتباطي ضعيف در امنيت سيستم هاي اسكادا ظهور مي كند .
ضرورت توجه به امنيت سيستم هاي اسكادا • اولين مرحله ، در شناخت خطرات مرتبط با اسكادا در دنياي ديجيتال امروز ، پذيرش اين واقعيت است كه سيستم هاي اسكادا به منظور كار در يك محيط بسته طراحي شده اند . • با اين كه اغلب سازمان ها ادعا مي نمايند كه سيستم اسكادا آنها به شبكه آنها متصل نمي باشد . تخمين زده مي شود كه بين 80 تا 90 درصد سيستم هاي اسكادا به شبكه هاي بزرگ سازمان مربوط به خود متصل هستند . همين وضعيت باعث شده است كه مهاجمان بتوانند حملات خود را متوجه سيستم هاي اسكادا نمايند . • ضعف هاي سطح بالا كه امروزه در سيستم هاي اسكادا يافت مي شود شامل موارد ذيل است : • نياز به هيچگونه تاييديهندارند • نياز به هيچگونه مجوزي براي انجام كار ندارند . • از رمزنگاري استفاده نمي نمايند • بطرز مناسبي با خطا و اتفاقات غيرقابل پيش بيني برخورد نمي نمايند
ضرورت توجه به امنيت سيستم هاي اسكادا • ضعف هاي سطح بالا باعث ايجاد پتناسيل هاي مختلفي جهت حملات مي شود : • بازرسي و كنكاش در داده • انجام عمليات دلخواه بر روي داده • از كار انداختن سرويس ها • جعل آدرس ها • پاسخ هاي ناخواسته • سرقت session • تغيير لاگ ها ي داده • كنترل غيرمجاز
ضرورت توجه به امنيت سيستم هاي اسكادا • در صورت بروز حملات شاهد نتايج فاجعه آميزي خواهيم بود : • تغيير اطلاعات موجود بر روي صفحه نمايش HMI كه مي تواند اپراتور سيستم اسكادا را به اشتباه انداخته و عمليات اصلاحي نادرستي را انجام دهد • كسب مجوز به يك فرد تا كنترل سيستم اسكادا را به دست گيرد . • ايجاد اختلال در فرآيندي كه تحت كنترل سيستم اسكادا است . • جعل آدرس ها • پاسخ هاي ناخواسته • سرقت session • تغيير لاگ ها ي داده • كنترل غيرمجاز • افشاء غيرمجاز داده هاي حساس و مهم • تغييرات غيرمجاز و انجام عمليات داخواه بر روي داده هاي حساس و مهم • دستيابي غيرمجاز به لاگ هاي مميزي و انجام تغييرات در لاگ هاي مميزي
ضرورت توجه به امنيت سيستم هاي اسكادا • برخي اهداف مهاجمين : • دستابي به سيستم اسكادا • دستيابي به ايستگاه اصلي سيستم اسكادا • به خطر افتادن RTU و يا PLCs محلي • به خطر افتادن ايستگاه اصلي كنترل اسكادا • به دست آوردن رمز عبور سيستم اسكادا از طريق ايستگاه كنترل اصلي • دستيابي به RTU و يا PLCs محلي • جعل RTU و ارسال داده غلط به ايستگاه اصلي كنترل • جعل ايستگاه اصلي و ارسال داده غلط براي RTU • از كار انداختن ايستگاه اصلي كنترل • ازكارانداختن RTU كنترلي محلي • تغيير برنامه كنترلي RTU
ضرورت توجه به امنيت سيستم هاي اسكادا • اكثر عناصر سيستم هاي اسكادا خصوصا" PLC محلي و يا كنترل كننده ها مجبور هستند در يك محيط كاملا" بلادرنگ و يا نزديك به بلادرنگ فعاليت نمايند . بنابراين ، نمي توانند تاخير را تحمل نمايند كه توسط برخي نرم افزارهاي امنيتي ايجاد مي گردد • همچنين عناصر سيستم هاي اسكادا معمولا" داراي حافظه اضافه اي نمي باشند كه بتوان با استناد به آنها برنامه هاي بزرگ (نظير برنامه هاي مانيتورينگ امنيتي ) را اجرا كرد. • علاوه بر اين ، سيستم هاي اسكادا با سيستم هاي مرتبط با فناوري اطلاعات سازمان گره خورده اند كه داراي خصايص امنيتي و اعتماد پذيري مختص به خود مي باشند • مجموعه اي از كنترل هاي امنيتي مرتبط با فناوري اطلاعات را مي توان در رابطه با سيستم هاي اسكادا نيز اعمال كرد • مهمترين عناصر خطرناك براي سيستم هاي اسكادا • اتصالات به شبكه هاي اضافه و احتمالا" آسيب پذير • استفاده از پلت فرم هاي استاندارد سخت افزاري با نقاط آسيب پذير شناخته شده • استفاده از نرم افزارهاي استاندارد با نقاط آسيب پذير شناخته شده • ساير نقاط آسيب پذير انصالات راه دور • نياز به دريافت داده به صورت بلادرنگ در مقابل كنترل هاي امنيت اطلاعات كه با ماهيت ايجاد تاخير
ايمن سازي سيستم هاي اسكادا توصيه اول : شناسايي تمامي اتصالات به شبكه اسكادا • ارزيابي ضرورت وجود هر اتصال به شبكه اسكادا ، آناليز تهديدات مرتبط با آنان و نحوه حفاظت هر يك از شبكه ها • انواع اتصالات شبكه اي : • شبكه هاي محلي و WAN شامل شبكه سازماني • اينترنت • دستگاه هاي شبكه بي سيم شامل لينك هاي ماهواره اي • اتصالات مودم و يا Dial up • اتصالات به شركاء تجاري ، فروشندگان و يا نهادهاي نظارتي
ايمن سازي سيستم هاي اسكادا توصيه دوم : قطع اتصالات غيرضروري به شبكه اسكادا • حتي المقدور سعي نماييد شبكه اسكادا از ساير شبكه ها مجزاء گردد . • هر اتصال به شبكه ديگر مي تواند تهديدات امنيتي مختص به خود را به دنبال داشته باشد خصوصا" اگر اتصال ايجاد شده دريچه اي رو به اينترنت نيز گشوده باشد . • ايزوله كردن شبكه اسكادا يكي از اهداف اوليه در جهت تامين يك سطح حفاظتي قابل قبول است . توصيه سوم : ارزيابي و تقويت امنيت هر اتصال باقيمانده به شبكه اسكادا • اجراي تست نفوذ و آناليز نقاط آسيب پذير هر يك از اتصالات باقيمانده به شبكه اسكادا . • تحليل نتايج حاصل از تست نفوذ به همراه فرآيند هاي مديريت تهديدات به منظور پياده سازي يك استراتژي حفاظتي مستحكم • پياده سازي فايروال ، سيستم هاي تسخيص مزاحمين و ساير ابزارهاي موجود در هر نقطه تماس شبكه اسكادا با ساير شبكه ها • پيكربندي قوانين فايروال بگونه اي كه امكان دستيابي به شبكه اسكادا مديريت يافته باشد .
ايمن سازي سيستم هاي اسكادا توصيه چهارم : حذف و يا غيرفعال سرويس هاي غيرضروري بر روي شبكه اسكادا • سيستم عامل موجود بر روي سرويس دهندگان كنترلي اسكادا ( تجاري و يا كد باز) مي تواند جذابيت هاي خاصي را براي مهاجمان از طريق سرويس هاي شبكه اي پيش فرض ايجاد نمايد • حتي المقدور سعي گردد سرويس هاي استفاده نشده حذف و يا غيرفعال گردند ( خصوصا" در مواردي كه شبكه اسكادا با ساير شبكه ها مرتبط مي گردد ) . • مطالعه و بكارگيري توصيه هاي امنيتي در خصوص ايمن سازي سيستم عامل • مشاوره با ارايه دهندگان اسكادا در زمان حذف و يا غيرفعال كردن يك سرويس و شناسايي ايمن ترين پيكربندي
ايمن سازي سيستم هاي اسكادا توصيه پنجم : عدم استناد به پروتكل هاي اختصاصي جهت حفاظت سيستم • برخي سيستم هاي اسكادا از پروتكل هاي اختصاصي و منحصربفرد براي ارتباط با دستگاه هاي اندازه گيري ، پردازنده هاي محلي و سرويس دهندگان استفاده مي نمايند . • اغلب استناد به ايمن سازي سيستم هاي اسكادا ، محدود به ايمن سازي اين پروتكل ها مي گردد . واقعيت اين است كه مبهم بودن اين پروتكل ها صرفا” مي تواند امنيت اندكي را به ارمغان آورد . • هرگز به پروتكل هاي اختصاصي و يا پيكربندي پيش فرض استناد نكنيد . • از ارايه دهندگان سيستم هاي اسكادا تقاضاء نماييد سيستم را فاقد هرگونه back door و يا اينترفيس هاي مازاد ( نظير اينترفيس ارايه هنده به سيستم شما ) تحويل دهد . ارايه دهند ، مسئوليت ايمن بودن سيستم را مي بايست بپذيرد .
ايمن سازي سيستم هاي اسكادا توصيه ششم : پياده سازي ويژگي هاي امنيتي ارايه شده توسط توليد كنندگان دستگاه ها و يا سيستم ها • اكثر سيستم هاي قديمي اسكادا ( اكثر سيستم هايي كه هم اينك از آنها استفاده مي شود ) ،داراي هيچگونه ويژگي امنيتي نمي باشند . • مالكين سيستم هاي اسكادا مي بايست به فروشندگان اصرار ورزند كه ويژگي هاي امنيتي را به شكل Patch و يا بسته هاي ارتقاء ارايه نمايند . • تعدادي از سيستم هاي جديداسكادا با برخي ويژگي هاي پايه امنيتي ارايه مي گردند ولي اغلب اين ويژگي ها به منظور نصب آسان ، غيرفعال مي گردند . • هر دستگاه اسكادا را بررسي نماييد تا مشخص گردد كه آيا دستگاه داراي ويژگي هاي امنيتي مي باشد . • تنظيمات پيش فرض هر دستگاه بگونه اي انجام شده است كه بيشترين قابليت استفاده و كم ترين امنيت را داشته باشند . تمامي ويژگي هاي امنيتي موجود در هر دستگاه مي بايست با حداكثر سطح امنيتي تنظيم گردد .
ايمن سازي سيستم هاي اسكادا توصيه هفتم : ايجاد يك كنترل قدرتمند بر روي هر رسانه اي كه به عنوان يك Backdoor درون شبكه اسكادا رفتار مي نمايد جايي كه backdoor و يا اتصالات ارايه دهندگان سيستم هاي اسكادا وجود دارد ، مي بايست از يك سيستم تاييد هويت مستحكم براي حصول اطمينان از يك ارتباط ايمن استفاده گردد . • معمولا" از مودم ، ارتباطات بي سيم و يا خطوط اختصاصي براي برقراري ارتباط و انجام خدمات پشتيباني استفاده مي گردد . اين وضعيت مي تواند يك نقطه آسيب پذير با پتانسيل بسيار بالا را درون يك شبكه اسكادا ايجاد نمايد . • به منظور كاهش اين گونه تهديدات ، دستيابي ورودي را غيرفعال نماييد و آن را با يك نوع خاص از سيستم callback جايگزين نماييد .
ايمن سازي سيستم هاي اسكادا توصيه هشتم : پياده سازي سيستم هاي تشخيص مزاحمين داخلي و خارجي و مانيتورينگ شبانه روزي وقايع • به منظور پاسخ گويي موثر به حملات، لازم است يك استراتژي تشخيص مزاحمين كه شامل هشدار به مديران شبكه در خصوص فعاليت هاي مخرب از منابع داخلي و يا خارجي است ، پياده سازي گردد • سيستم تشخيص مزاحمين لازم است به صورت شبانه روزي باشد و به سيستم هاي اطلاع رساني نظير پيام كوتاه و يا pager نيز مرتبط گردد • رويه هاي پاسخ به وقايع مي بايست پيش بيني گردد تا در صورت بروز حملات بتوان پاسخ لازم را در كوتاهترين زمان داد. • فعال كردن لاگ بر روي تمامي سيستم ها و مميزي لاگ ها بطور روزانه
ايمن سازي سيستم هاي اسكادا توصيه نهم : مميزي فني دستگاه ها و شبكه اسكادا و هر شبكه متصل شده به منظور شناسايي اثرات امنيتي • مميزي فني از دستگاه ها و شبكه اسكادا • به منظور مميزي فني مي توان از مجموعه اي از ابزارهاي كدباز و يا تجاري به منظور شناسايي نقاط آسيب پذير ، سطح patching ، سرويس هاي فعال دستگاه ها و شبكه اسكادا استفاده كرد . • استفاده از اين ابزارها مشكل مسائل سيستماتيك را حل نخواهد كرد ولي مي تواند باعث حذف " مسيرهايي با حداقل مقاومت " گردد كه يك مهاجم مي تواند از آنها در جهت منافع خود بهره برداري نمايد. • آناليز نقاط آسيب پذير شناسايي شده و انجام اقدامات ضروري در جهت برطرف كردن آنها • تست مجدد سيستم ها پس از انجام اصلاحات جهت حصول اطمينان از رفع مشكل نقاط آسيب پذير
ايمن سازي سيستم هاي اسكادا توصيه دهم : مميزي امنيت فيزيكي و ارزيابي تمامي سايت هاي راه دور متصل شده به شبكه اسكادا به منظور بررسي وضعيت امنيتي آنها • هر نقطه اي كه داراي يك اتصال به شبكه اسكادا مي باشد ، مي تواند يك هدف باشد خصوصا" سايت هاي راه دور • مميزي امنيت فيزيكي در هر نقطه تماس با شبكه اسكادا • شناسايي و ارزيابي هر گونه منبع اطلاعاتي شامل تلفن ، شبكه كامپيوتري راه دور ، كابل هاي فيبرنوري ، لينك هاي راديويي ، ترمينال هاي كامپيوتري ، دستگاه هاي نقطه تماس شبكه هاي بي سيم
ايمن سازي سيستم هاي اسكادا توصيه يازدهم : ايجاد "گروه موسوم به قرمز" جهت شناسايي و بررسي سناريوهاي حملات احتمالي • ايجاد يك گروه به منظور شناسايي سناريوهاي مختلف حملات احتمالي و بررسي نقاط آسيب پذير سيستم • استفاده از مجموعه اي از نيروهاي كارشناس كه در خصوص امنيت اطلاعات ، سيستم هاي اسكادا ، سيستم هاي فيزيكي و كنترل هاي امنيتي داراي بينش لازم مي باشند • بررسي ريسك نفوذ و اثربخشي كدهاي مخرب • در اختيار قرار دادن نتايج مطالعات انجام يافته توسط گروه فوق به گروه مديريت تهديدات به منظور اتخاذ استراتژي لازم جهت مقابله با تهديدات
ايمن سازي سيستم هاي اسكادا توصيه دوازدهم : تعريف شفاف وظايف ، مسئوليت ها ، مميزي ها ، مديريت ها و كاربران • كاركنان سازمان لازم است شناخت مناسبي نسبت به نقش خود در خصوص ايمن سازي اطلاعات داشته باشند . اين كار از طريق تعريف دقيق و شفاف وظايف و مسئوليت ها صورت مي پذيرد • به كاركنان كليدي سازمان مي بايست مجوز لازم جهت انجام وظايف خود خصوصا" در موارد مميزي داده شود . • يك ساختار سازماني در خصوص ايمن سازي زيرساخت فناوري اطلاعاتدر سازمان ايجاد گردد . چگونه وقوع يك حادثه امنيتي تشخيص داده مي شود و وظايف هر فرد چيست ؟
ايمن سازي سيستم هاي اسكادا توصيه سيزدهم : مستندسازي معماري شبكه و شناسايي سيستم هائي كه داراي وظايف حياتي هستند و يا شامل اطلاعات حساسي مي باشند كه نيازمند يك سطح اضافه از حفاظت مي باشند توصيه چهاردهم : ايجاد فرآيند مديريت خطرات ( مستمر و سخت ) توصيه پانزدهم : ايجاد يك استراتژي حفاظت شبكه بر اساس اصول دفاع در عمق توصيه شانزدهم : تدوين يك برنامه جامع امنيتي در سازمان شامل رويه ها ، سياست هاي امنيتي ، مسئوليت ها و ...
ايمن سازي سيستم هاي اسكادا توصيه هفدهم : مديريت پيكربندي تجهيزات سخت افزاري و نرم افزاري توصيه هجدهم : انجام ارزيابي امنيتي بطور ادواري توصيه نوزدهم : ايجاد يك برنامه جامع جهت برخورد مناسب با شرايط بحراني ( برگرداندن سريع سيستم ها به سرويس ها ، عدم حذف و يا از دست دادن داده و ... ) توصيه بيستم : ايجاد سياست ها ، آموزش ، افزايش دانش و آگاهي كاركنان در خصوص امنيت
استاكس نت و سيستم اسكادا • استاكس نت ، سيستم هاي كنترل صنعتي را هدف قرار داده است . • استاكس نت به دنبال يك PLC خاص مي گردد . S7 – 300 S7 – 400 • هر PLC مي بايست قبل از استفاده ، برنامه ريزي گردد . • پيكربندي در محلي با نام SDB (System Data Blocks ) ذخيره مي گردند . • استاكس نت SDB را بررسي كرده و به دنبال يك بايت خاص و در يك مكان بخصوص است • ادامه ... !
ايمن سازي سيستم هاي اسكادا يك اولويت و ضرورت ملي است
