زمانی که مدیر(مدیران) ناآگاه یک صنعت یا یک سازمان ، پروژه ارزیابی امنیتی که حداقل یک ماه زمان (مثلاً) می‌برد را در یک هفته توقع دارد انجام دهیم، یا پروژه امن سازی که شش ماه (مثلاً) زمان می‌برد را در یک ماه می‌خواهد تحویل دهیم، راهی باقی نمی‌ماند جز اینکه این فیلم را برایشان نمایش دهیم. مدیر عزیز، سرپرست گرامی:«تو خود بخوان حدیث مفصل ازاین مجمل!»
در این ارائه به بررسی اجمالی مستند «آفتاب نهان» از زاویه نشت اطلاعات سایبر-فیزیکی صنایع و زیرساخت‌های حیاتی کشور می‌پردازیم. این مستند به گفته تهیه‌کنندگان آن اولین مجله تصویری صنعت هسته‌ای کشور محسوب می‌شود که در قالب 23 قسمت (هر قسمت تقریباً 28 دقیقه) از شبکه مستند پخش‌شده است و در کنار همه نقاط قوت و اهدافی که داشت و قطعاً متصدیان آن برای آن زحمت بسیاری کشیده‌اند متأسفانه به اعتقاد ما اطلاعات بسیاری را از صنایع هسته‌ای و صنایع وابسته، ازجمله پتروشیمی را در معرض دسترس عموم قرار داده است! می‌دانیم که حجم عظیمی از اطلاعات و دادههای مهم صنایع کشور و شرکت‌های تابعه در فضای اینترنت و شبکه‌های مجازی به سهولت قابل‌دسترسی است: این اطلاعات شامل اطلاعات دارایی‌ها (تجهیزات، سازندگان، پروتکل‌ها، نرم‌افزارها و ...)، اطلاعات فرایندها، اطلاعات ارتباطات، اطلاعات آزمایشگاههای امنیت سایبر-فیزیکی (اطلاعات، شبکه، امواج، شیمایی و غیره)، اطلاعات پیمانکاران و تصاویر و فیلم دارایی‌ها است که از طرق مختلف ازجمله وبسایتهای رسمی صنایع و شرکت‌های تابعه، وبسایتهای خبری (تصاویر بازدیدها و پروژهها)، مقالات کنفرانسها، ژورنال‌ها و مجلات، گروهها تلگرامی و دیگر شبکه‌های اجتماعی در دسترس است و متأسفانه حالا مستندهای تلویزیونی نیز به این منابع اطلاعاتی اضافه‌شده است. ما بارها این مسئله را تذکر داده‌ایم و به‌تفصیل در این مورد در ششمین کنفرانس فناوری اطلاعات و ارتباطات در نفت، گاز، پالایش و پتروشیمی در 27 دی 1396 صحبت کردیم! فایل (اسلایدها) این ارائه از طریق لینک ذیل قابل‌دسترسی است:
سامانه‌های کنترل صنعتی که در صنعت و زیرساخت‌های حیاتی کشورها مورداستفاده قرار دارند، اغلب توسط شرکت‌های محدود و انحصاری تولید می‌گردند. این سامانه‌ها درگذشته به‌صورت جدا از سایر سامانه‌های دیگر به کار گرفته می‌شدند و این امر روشی در امن سازی این سامانه‌ها قلمداد می‌گردید. اتکا فراوان به این ممیزه، تولیدکنندگان و مصرف‌کنندگان این سامانه‌ها را از پرداختن به سایر لایه‌های امنیتی غافل کرده بود. استفاده از معماری و پروتکل‌های غیر امن و واسط‌های غیراستاندارد را می‌توان از نتایج این رویکرد دانست [1].
به دلیل نیازمندی‌های جدید و توسعه فناوری امروزه این قبیل سامانه‌های صنعتی، به‌تدریج با انواع جدیدتر جایگزین و یا به‌روزرسانی می‌گردند. در سامانه‌های جدید از پروتکل‌ها و نقاط دسترسی ارتباطی مشترک در شبکه‌ها استفاده می‌گردد [1]. در غالب صنایع و زیرساخت‌های حیاتی شاهد به‌کارگیری انواع تجهیزات ارتباطی شبکه نظیر سوییچ‌های لایه دو و لایه سه، هاب‌ها، بریج‌ها، تقویت‌کننده‌های ارتباطی کارت‌های شبکه و حتی مسیریاب‌ها هستیم. به دلیل اینکه این تجهیزات به شکل کاملاً فعال در شبکه‌ها به کار گرفته می‌شوند و در بسیاری از ارزیابی‌های که ما از صنایع کشور داشته‌ایم شاهد عدم پیاده‌سازی مکانیزم‌های HA برای این تجهیزات بوده‌ایم در صورت حمله یا گسترش آلودگی سایبری به این تجهیزات قطعاً شاهد اختلال در صنایع و زیرساخت‌های حیاتی کشور خواهیم بود. ازاین‌رو توجه به امنیت سایبر-فیزیکی این تجهیزات باید در دستور کار مدیران صنعت و حراست، مسئولان و سرپرستان، کارشناسان فناوری اطلاعات و شبکه‌های کنترل صنعتی قرار گیرد. لذا در این سند قصد داریم بعد از بیان نوشته اخیر دیل پترسون در رابطه با استاکس‌نت، نمونه‌ای از آسیب‌پذیری‌های برخی از تجهیزات شبکه‌ای فراگیر در صنایع و زیرساخت‌های حیاتی کشور (تجهیزات موکسا، زیمنس و سیسکو) را موردبررسی قرار دهیم.
در انتها در بخش پنجم این سند، به دلیل فراگیری تجهیزات سیسکو در کشور و از سویی اهمیت حمله اخیر به این تجهیزات گزارشی اجمالی از حمله به تجهیزات سیسکو دارای آسیب‌پذیری CVE-2018-0171 آن قرار داده‌ام تا ضمن مرور مختصر این حمله به نکات قابل‌توجه این حمله و نقاط ضعف خود در کشور پی ببریم و بتوانیم این نقاط ضعف را در برنامه‌های امن‌سازی صنایع کشور مدنظر قرار دهیم تا قبل از اینکه این‌گونه حملات را در صنایع کشور شاهد باشیم توانسته باشیم برای پیشگیری از آن و مقابله با آن برنامه‌ریزی کرده باشیم.
در این گزارش 51 صفحه ای به موارد ذیل پرداخته شده است:
اخیراً آسیب‌پذیری با سطح مخاطره حیاتی از نوع احراز اصالت نامناسب در نرم‌افزار[1] CoDeSys شناسایی شد که محصولات WAGO PFC200 را تحت تأثیر قرار می‌دهد. این آسیب‌پذیری این امکان را به مهاجمین می‌دهد که در صورت بهره‌جویی[2] موفق بتوانند به شکل غیرمجاز به کنترل‌کننده (PLC) وصل شده و انواع دستورات و عملیات غیرمجاز را به شکل راه دور و از طریق درگاه[3] TCP شماره 2455 انجام دهند؛ این دستورات شامل خواندن، نوشتن و پا کردن فایل یا دست‌کاری برنامه کنترل‌کننده (PLC) در حین اجرا است.
در گزارشی 19 صفحه ای که برای این آسیب پذیری آماده کرده به موارد ذیل پرداخته خواهد شد:
در اوایل ماه می میلادی اسکن‌های TCP فراوانی روی درگاه‌های شماره‌های ۲۳، ۸۰، ۲۰۰۰ و ۸۰۸۰ مسیریاب‌ها و تجهیزات ذخیره‌ساز شبکه (NAS ) تولیدشده توسط شرکت‌های Mikrotik، ASUS، D-Link،TP-Link، Linksys، QNAP،Huawei، Ubiquiti، UPVEL و ZTE در بیش از ۱۰۰ کشور مشاهده‌شده است. گزارش‌های اولیه در ماه می میلادی حاکی از آلودگی بالغ‌بر 500 هزار دستگاه در دنیا بوده است. این بدافزار دارای قابلیت‌های راه‌اندازی مجدد تجهیزات هدف (حمله ممانعت از خدمات)، رصد ترافیک عبوری و جلوگیری از ارسال داد‌ه‌ها است.
اگرچه قربانیان اولیه‌ی بدافزار VPNFilter کاربران و شرکت‌های ISP کوچک و متوسط بودند اما شواهد حاکی از این دارد که احتمالاً به دلیل قدرت بسیار بالای این بدافزار، تیم سازنده بدافزار یا تیم دیگری که به کد منبع آن دسترسی داشته است از آن برای حمله به شبکه‌های کنترل صنعتی و زیرساخت‌های شبکه‌ای که بستر عبور ترافیک‌های صنعتی (خاص پروتکل مدباس) هستند استفاده نمودند. در این راستا یک پلاگین خاص برای تحلیل و شناسایی پروتکل مدباس طراحی و پیاده‌سازی شده است. می‌دانیم مدباس قدیمی‌ترین پرکاربردترین پروتکل ارتباطی برای سامانه‌های کنترل صنعتی است. مدباس به‌طور گسترده به‌عنوان یک استاندارد به کار گرفته‌شده است و طی سال‌ها تکامل‌یافته و نسخه‌های متفاوتی از آن به وجود آمده است.
جهت مشاهده متن کامل گزارش این بدافزار(مراحل حمله، محصولات تحت تاثیر، توصیه ها و غیره) به فصل دوم سند گزارش اخیر بنده(ICS-SR-MMA-970502) مراجعه نمایید.
سخنرانی چالش های امنیتی در سامانه های سایبر-فیزیکی (با محوریت تحلیل جریان اطلاعات در خطوط لوله نفت و گاز) در ششمین کنفرانس فناوری اطلاعات و ارتباطات در نفت، گاز ،پالایش و پتروشیمی در 27 دی در مرکز همایش های بین المللی شهید بهشتی تهران با حضور مدیران، متولیان و متخصصین شبکه های کنترل صنعتی صنایع مربوطه برگزار گردید و مورد استقبال مطلوبی در این کنفرانس و فضای مجازی قرار گرفت. در پایان این سخنرانی مصاحبه ای از سوی دبیرخانه محترم کنفرانس و جناب آقای منصور گنجی (ماهنامه شبکه) انجام گرفت که ضمن تشکر از جناب گنجی بزرگوار و جناب بیدختی عزیز، شما را به مشاهده ویدئوی این مصاحبه دعوت می‌کنم.
برخی سوالات که در این مصاحبه به آن پرداخته شد :
لینک مشاهده و دانلود مصاحبه در آپارات
به راستی چقدر به فکر حملات سایبر-فیزیکی ممکن برای صنعت خود بوده ایم؟! آیا برای بعد از حملات و حوادث برنامه های ایمنی و امنیتی تدوین کرده ایم و مکانیزم های لازم را اعمال نموده ایم؟ با ما باشید تا به شما کمک کنیم...
برای مشاهده مجموعه ویدئوهای حوادث و حملات سایبر-فیزیکی به سامانه های کنترل صنعتی به این لینک مراجعه نمایید.
با ما دوره های آموزشی امن سازی سامانه های کنترل صنعتی را در سطح پیشرفته تجربه کنید. همراه با اجرای حملات و مشاهده زنده راهکارها و محصولات امنیتی
