وب نوشت شخصی محمد مهدی احمدیان

از «الف» امنیت تا «ی» فلسفه زندگی - عقل معاش در کنار عقل معاد حقیقت زندگی است.

۸۴ مطلب با موضوع «امنیت» ثبت شده است

همکاری موفقی دیگر در حوزه فنی و پژوهشی:پذیرش مقاله در پانزدهمین کنفرانس بین‌ المللی انجمن رمز ایران (در حوزه شناسایی و پیشگیری از تهدیدات بدافزاری)

همکاری موفقی دیگر در حوزه فنی و پژوهشی:پذیرش مقاله در پانزدهمین کنفرانس بین‌ المللی انجمن رمز ایران (در حوزه شناسایی و پیشگیری از تهدیدات بدافزاری)

پذیرش مقاله "A Novel Approach for Detecting DGA-based Ransomwares " در پانزدهمین کنفرانس بین‌ المللی انجمن رمز ایران را خدمت تیم محترم آزمایشگاه طراحی و تحلیل سیستم‌های امن دانشگاه صنعتی امیرکبیر(جناب دکتر حمیدرضا شهریاری ،جناب مهندس سعید صالحی، سرکار خانم مهندس تازیک )تبریک عرض می کنم و  و موفقیت روز افزون شما عزیزان را از خداوند متعال خواستارم.   پانزدهمین  دوره کنفرانس بین ‌المللی انجمن رمز ایران از ۶ تا ۷ شهریور ماه سال ۱۳۹۷ توسط دانشکده مهندسی برق دانشگاه تربیت دبیر شهید رجایی در تهران برگزار خواهد شد. شایان ذکر است که امسال تنها  28 مقاله در این کنفرانس پذیرفته شده است؛ برای مشاهده فهرست مقالات پذیرفته شده به این لینک مراجعه فرمایید.علاقه مندان به مباحث مختلف امنیت اطلاعات می توانند در این کنفرانس شرکت نمایند.


۰ نظر موافقین ۰ مخالفین ۰
دوره آموزشی عملی « الزامات امنیت در سامانه های کنترل صنعتی و اسکادا»

دوره آموزشی عملی « الزامات امنیت در سامانه های کنترل صنعتی و اسکادا»

با ما دوره آموزشی عملی « الزامات امنیت در سامانه های کنترل صنعتی و اسکادا» را تجربه کنید. این دوره منطبق بر سرفصل های رسمی دوره  SANS ICS410: ICS/SCADA Security Essentials ارائه می شود.

 

سرفصل های کلان این دوره (سرفصل های جزئی این دوره در پروپوزال تقدیم می گردد) :

  • مقدمه‌ای از سامانه‌های کنترل صنعتی و اسکادا
  • انواع حملات به سامانه های کنترل صنعتی(HMI,PLC,PLC,Enerprise)
  • امن سازی تجهیزات و شبکه های کنترل صنعتی
  • تحلیل ریسک و  ممیزی در سامانه های کنترل صنعتی
  • خط مشی هاو مکانیزم ها امنیتی و مدیریت مخاطرات در سامانه های کنترل صنعتی

مدت زمان این دوره:
  • 40 ساعت (5 روزکاری)
  • امکان برگزاری این دوره به شکل فشرده در پنج روز کاری متوالی وجود دارد.
۰ نظر موافقین ۰ مخالفین ۰
پادکست با عنوان دنیای صنعتی در معرض بحران امنیتی! (امنیت سیستم های کنترل و اتوماسیون صنعتی)

پادکست با عنوان دنیای صنعتی در معرض بحران امنیتی! (امنیت سیستم های کنترل و اتوماسیون صنعتی)

در این پست یک پادکست با عنوان «دنیای صنعتی در معرض بحران امنیتی است»  را معرفی خواهیم کرد. در این پادکست با Eddie Habibi، مدیرعامل شرکت امنیتی PAS یک مصاحبه صورت گرفته است و وی به اختصار به بحث امنیت سیستم های کنترل صنعتی می پردازد و به برخی سوالات پاسخ می دهد. زبان این پادکست انگلیسی است .در این پادکست به موضوعات ذیل پرداخته می شود:

  • اهمیت شبکه شدن تجهیزات کنترل صنعتی و مخاطرات جدید
  • عدم توجه به امنیت در سامانه‌های سنتی صنعتی
    • به‌عنوان‌مثال در صنایع، سیستم‌های عامل ممکن است سال‌ها بدون به‌روزرسانی‌های امنیتی به کار گرفته شوند و این ازنظر امنیتی می‌تواند ایجاد چالش نماید.
  • توجه به تفاوت‌های IT و OT و  امکان انتشار تهدیدات از IT به OT
برای شنیدن این پادکست به این لینک مراجعه نمایید.


۰ نظر موافقین ۰ مخالفین ۰
افشاء اطلاعات پروژه دیسپچینگ ملی گاز از طریق مستند تلویزیونی

افشاء اطلاعات پروژه دیسپچینگ ملی گاز از طریق مستند تلویزیونی

در این پست به بررسی اجمالی مستند «روایت سازندگی (پروژه سدید)» از زاویه نشت اطلاعات سایبر-فیزیکی پروژه دیسپچینگ ملی گاز می‌پردازیم. بعد از مستند «آفتاب نهان(شبکه مستند)» که افشای حجم عظیمی از اطلاعات صنایع هسته‏ای کشور را به همراه داشت، حالا نوبت به پخش مستند «روایت سازندگی» رسیده است که از شبکه سه پخش می‏شود و گویا قصد دارد این مسیر را ادامه دهد!


مجموعه مستند تلویزیونی «روایت سازندگی» به منظور معرفی دستاوردها و توانمندی‌های قرارگاه سازندگی خاتم‌الانبیاء(ص) در 13 قسمت از شبکه سه سیما پخش می شود و  در کنار همه نقاط قوت و اهدافی که دارد و قطعاً متصدیان آن برای آن زحمت بسیاری کشیده‌اند متأسفانه به اعتقاد ما برخی اطلاعات صنایع مربوطه را در معرض دسترس عموم قرار داده است!

می‌دانیم که حجم عظیمی از اطلاعات و داده‏های مهم صنایع کشور و شرکت‏های تابعه در فضای اینترنت و شبکه‌های مجازی به سهولت قابل‌دسترسی است: این اطلاعات شامل اطلاعات دارایی‌ها (تجهیزات، سازندگان، پروتکل‏ها، نرم‌افزارها و ...)، اطلاعات فرایند‏ها، اطلاعات ارتباطات، اطلاعات آزمایشگاه‏های امنیت سایبر-فیزیکی (اطلاعات، شبکه، امواج، شیمایی و غیره)، اطلاعات پیمانکاران و تصاویر و فیلم دارایی‌ها است که از طرق مختلف ازجمله وب‏سایت‏های رسمی صنایع و شرکت‏های تابعه، وب‏سایت‏های خبری (تصاویر بازدیدها و پروژه‏ها)، مقالات کنفرانس‏ها، ژورنال‌ها و مجلات، گروه‏ها تلگرامی و دیگر شبکه ‏های اجتماعی در دسترس است و متأسفانه حالا مستندهای تلویزیونی نیز به این منابع اطلاعاتی اضافه‌شده است.

ما بارها این مسئله را تذکر داده‌ایم و به تفصیل در این مورد در ششمین کنفرانس فناوری اطلاعات و ارتباطات در نفت، گاز ،پالایش و پتروشیمی صحبت کردیم و در اردیبهشت‌ماه سال جاری نیز ارائه‌ای در این حوزه با موضوع افشاء اطلاعات زیرساخت‌های حیاتی از طریق مستند تلویزیونی آفتاب نهان را منتشر کردیم.

۰ نظر موافقین ۰ مخالفین ۰
یکی از چالشهای پروژه های امنیت سیستم های کنترل صنعتی

یکی از چالشهای پروژه های امنیت سیستم های کنترل صنعتی

زمانی که مدیر(مدیران) ناآگاه یک صنعت یا یک سازمان  ، پروژه ارزیابی امنیتی که حداقل یک ماه زمان (مثلاً) می‌برد را در یک هفته توقع دارد انجام دهیم، یا پروژه امن سازی  که شش ماه (مثلاً) زمان می‌برد را در یک ماه می‌خواهد تحویل دهیم، راهی باقی  نمی‌ماند جز اینکه این فیلم را برایشان  نمایش دهیم.  مدیر عزیز، سرپرست گرامی:«تو خود بخوان حدیث مفصل ازاین مجمل!»

لینک مشاهده فیلم

۰ نظر موافقین ۰ مخالفین ۰
گزارش بررسی اجمالی آسیب‌پذیری سوئیچ‌های صنعتی زیمنس (‏  CVE-2018-4833)

گزارش بررسی اجمالی آسیب‌پذیری سوئیچ‌های صنعتی زیمنس (‏ CVE-2018-4833)

سامانه‌های کنترل صنعتی که در صنعت و زیرساخت‌های حیاتی کشورها مورداستفاده قرار دارند، اغلب توسط شرکت‌های محدود و انحصاری تولید می‌گردند. این سامانه‌ها درگذشته به‌صورت جدا از سایر سامانه‌های دیگر به کار گرفته می‌شدند و این امر روشی در امن سازی این سامانه‌ها قلمداد می‌گردید. اتکا فراوان به این ممیزه، تولیدکنندگان و مصرف‌کنندگان این سامانه‌ها را از پرداختن به سایر لایه‌های امنیتی غافل کرده بود. استفاده از معماری و پروتکل‌های غیر امن و واسط‌های غیراستاندارد را می‌توان از نتایج این رویکرد دانست [1].به دلیل نیازمندی‌های جدید و توسعه فناوری امروزه این قبیل سامانه‌های صنعتی، به‌تدریج با انواع جدیدتر جایگزین و یا به‌روزرسانی می‌گردند. در سامانه‌های جدید از پروتکل‌ها و نقاط دسترسی ارتباطی مشترک در شبکه‌ها استفاده می‌گردد [1]. به علت تفاوت‌های متعدد میان امنیت در فضای فناوری اطلاعات ( IT) و امنیت در فضای فناوری عملیاتی  (OT[1] ) لزوماً نمی‌توان راهکارهای عمومی حوزه‌ی سایبری را به حوزه‌ی سایبر-فیزیکی منتقل کرد[1].

 در غالب صنایع و زیرساخت‌های حیاتی شاهد به‌کارگیری انواع تجهیزات ارتباطی شبکه نظیر سوییچ‌های لایه دو و لایه سه، هاب‌ها، بریج‌ها، تقویت‌کننده‌های ارتباطی کارت‌های شبکه و حتی مسیریاب‌ها هستیم. به دلیل اینکه این تجهیزات به شکل کاملاً فعال در شبکه‌ها به کار گرفته می‌شوند در صورت حمله یا گسترش آلودگی سایبری به این تجهیزات قطعاً شاهد اختلال در صنایع و زیرساخت‌های حیاتی کشور خواهیم بود. ازاین‌رو توجه به امنیت سایبر-فیزیکی این تجهیزات باید در دستور کار مدیران صنعت و حراست، مسئولان و سرپرستان، کارشناسان فناوری اطلاعات و شبکه‌های کنترل صنعتی(واحد‌های بهره بردار و نگه‌داری) قرار گیرد.

 در این سند در  بخش دوم به بررسی اجمالی آسیب‌پذیری سوئیچ‌های صنعتی زیمنس (‏  CVE-2018-4833) می‌پردازیم،  در بخش سوم در راستای پاسخ به سوال یکی از مخاطبان گرامی به گزینش دوره‌های پیشرفته امنیت کنترل و اتوماسیون صنعتی درکشور خواهیم پرداخت .در بخش چهارم مجموعه فیلم حوادث و حملات سایبر-فیزیکی به سامانه‌های کنترل صنعتی را معرفی خواهیم کرد و نهایتا در بخش پنجم به سوء برداشتی که در بین برخی مدیران صنایع و زیرساخت‌های حیاتی وجود دارد خواهیم پرداخت.

۰ نظر موافقین ۰ مخالفین ۰
معیارهای گزینش دوره‌های پیشرفته امنیت کنترل و اتوماسیون صنعتی درکشور

معیارهای گزینش دوره‌های پیشرفته امنیت کنترل و اتوماسیون صنعتی درکشور


اخیراً جناب کاظم زاده،یکی از مخاطبین گرامی سمینارها، در این پست پرسش ذیل را مطرح نمودند:

 

بخش‌هایی از این نظر که با * مشخص شده، توسط مدیر سایت حذف شده است

سلام جناب دکتر احمدیان

از مقالات آموزشی شما بسیار ممنونم. بنده و همکاران در سمینار اخیر شما حضور داشتیم و استفاده فراوان بردیم. سوالی در مورد دوره آموزشی امنیت کنترل صنعتی sans داشتم، در پروپوزال دوره آموزشی شما سرفصل های sans پوشش داده نشده است، می خواستم بدانم چرا؟ در دوره های دیگر موجود در ایتترنت نظیر دوره های **** *** ***** **** * **** *****  این سرفصل ها پوشش داده شده است.  آیا شما نیز این دوره ها را ارائه می کنید؟ شما کدام دوره را توصیه می کنید؟

 

 در مورد این سؤال به‌تفصیل پاسخ می‌دهم چون این مسئله چند ماهی است در چندین جلسه و محفل دیگر نیز مطرح‌شده است و خالی از لطف نیست که یک‌بار به شکل مفصل به آن پاسخ دهم.نخست باید به این نکته اشاره‌کنم که دوره‌های امنیت کنترل صنعتی غالباً در دو سطح برگزار می‌شوند؛ سطح نخست عمومی (دوره‌های مقدماتی) است که این دوره غالباً به شکل کاملاً نظری برگزار می‌شود، سطح دوم دوره‌های پیشرفته است که این دوره‌های باید به شکل نظری و عملی برگزار شوند. آنچه در ادامه مطرح می‌کنم معیارها و نیازمندی‌هایی است که یک دوره پیشرفته (مانند دوره‌های مشابه SANS) باید داشته باشد و شما چنانچه نیاز به برگزاری این دوره‌های تخصصی دارید فارغ از اینکه چه مدرس یا مدرسینی آن را ارائه می نمایند شرایط ذیل را برای انتخاب دوره و مدرس بررسی نمایید و در نظر بگیرید.

۱ نظر موافقین ۰ مخالفین ۰
افشاء اطلاعات زیرساخت های حیاتی از طریق مستند تلویزیونی

افشاء اطلاعات زیرساخت های حیاتی از طریق مستند تلویزیونی

در این ارائه به بررسی اجمالی مستند «آفتاب نهان» از زاویه نشت اطلاعات سایبر-فیزیکی صنایع و زیرساخت‏های حیاتی کشور می‌پردازیم. این مستند به گفته تهیه‌کنندگان آن اولین مجله تصویری صنعت هسته‌ای کشور محسوب می‌شود که در قالب 23 قسمت (هر قسمت تقریباً 28 دقیقه) از شبکه مستند پخش‌شده است و در کنار همه نقاط قوت و اهدافی که داشت و قطعاً متصدیان آن برای آن زحمت بسیاری کشیده‌اند متأسفانه به اعتقاد ما اطلاعات بسیاری را از صنایع هسته‌ای و صنایع وابسته، ازجمله پتروشیمی را در معرض دسترس عموم قرار داده است! می‌دانیم که حجم عظیمی از اطلاعات و داده‏های مهم صنایع کشور و شرکت‏های تابعه در فضای اینترنت و شبکه‌های مجازی به سهولت قابل‌دسترسی است: این اطلاعات شامل اطلاعات دارایی‌ها (تجهیزات، سازندگان، پروتکل‏ها، نرم‌افزارها و ...)، اطلاعات فرایند‏ها، اطلاعات ارتباطات، اطلاعات آزمایشگاه‏های امنیت سایبر-فیزیکی (اطلاعات، شبکه، امواج، شیمایی و غیره)، اطلاعات پیمانکاران و تصاویر و فیلم دارایی‌ها است که از طرق مختلف ازجمله وب‏سایت‏های رسمی صنایع و شرکت‏های تابعه، وب‏سایت‏های خبری (تصاویر بازدیدها و پروژه‏ها)، مقالات کنفرانس‏ها، ژورنال‌ها و مجلات، گروه‏ها تلگرامی و دیگر شبکه‏های اجتماعی در دسترس است و متأسفانه حالا مستندهای تلویزیونی نیز به این منابع اطلاعاتی اضافه‌شده است. ما بارها این مسئله را تذکر داده‌ایم و به‌تفصیل در این مورد در ششمین کنفرانس فناوری اطلاعات و ارتباطات در نفت، گاز، پالایش و پتروشیمی در 27 دی 1396 صحبت کردیم! فایل (اسلایدها) این ارائه از طریق لینک ذیل قابل‌دسترسی است:

مشاهده فایل ارائه

۰ نظر موافقین ۰ مخالفین ۰
گزارش بررسی آسیب پذیری های تجهیزات شبکه و توجه به اهمیت آن

گزارش بررسی آسیب پذیری های تجهیزات شبکه و توجه به اهمیت آن

سامانه‌های کنترل صنعتی که در صنعت و زیرساخت‌های حیاتی کشورها مورداستفاده قرار دارند، اغلب توسط شرکت‌های محدود و انحصاری تولید می‌گردند. این سامانه‌ها درگذشته به‌صورت جدا از سایر سامانه‌های دیگر به کار گرفته می‌شدند و این امر روشی در امن سازی این سامانه‌ها قلمداد می‌گردید. اتکا فراوان به این ممیزه، تولیدکنندگان و مصرف‌کنندگان این سامانه‌ها را از پرداختن به سایر لایه‌های امنیتی غافل کرده بود. استفاده از معماری و پروتکل‌های غیر امن و واسط‌های غیراستاندارد را می‌توان از نتایج این رویکرد دانست [1].

به دلیل نیازمندی‌های جدید و توسعه فناوری امروزه این قبیل سامانه‌های صنعتی، به‌تدریج با انواع جدیدتر جایگزین و یا به‌روزرسانی می‌گردند. در سامانه‌های جدید از پروتکل‌ها و نقاط دسترسی ارتباطی مشترک در شبکه‌ها استفاده می‌گردد [1]. در غالب صنایع و زیرساخت‌های حیاتی شاهد به‌کارگیری انواع تجهیزات ارتباطی شبکه نظیر سوییچ‌های لایه دو و لایه سه، هاب‌ها، بریج‌ها، تقویت‌کننده‌های ارتباطی کارت‌های شبکه و حتی مسیریاب‌ها هستیم. به دلیل اینکه این تجهیزات به شکل کاملاً فعال در شبکه‌ها به کار گرفته می‌شوند و در بسیاری از ارزیابی‌های که ما از صنایع کشور داشته‌ایم شاهد عدم پیاده‌سازی مکانیزم‌های HA برای این تجهیزات بوده‌ایم در صورت حمله یا گسترش آلودگی سایبری به این تجهیزات قطعاً شاهد اختلال در صنایع و زیرساخت‌های حیاتی کشور خواهیم بود. ازاین‌رو توجه به امنیت سایبر-فیزیکی این تجهیزات باید در دستور کار مدیران صنعت و حراست، مسئولان و سرپرستان، کارشناسان فناوری اطلاعات و شبکه‌های کنترل صنعتی قرار گیرد. لذا در این سند قصد داریم بعد از بیان نوشته اخیر دیل پترسون  در رابطه با استاکس‌نت، نمونه‌ای از آسیب‌پذیری‌های برخی از تجهیزات شبکه‌ای فراگیر در صنایع و زیرساخت‌های حیاتی کشور (تجهیزات موکسا، زیمنس و سیسکو) را موردبررسی قرار دهیم.

 در انتها در بخش پنجم این سند، به دلیل فراگیری تجهیزات سیسکو در کشور و از سویی اهمیت حمله اخیر به این تجهیزات گزارشی اجمالی از حمله به تجهیزات سیسکو دارای آسیب‌پذیری CVE-2018-0171 آن قرار داده‌ام تا ضمن مرور مختصر این حمله به نکات قابل‌توجه این حمله و نقاط ضعف خود در کشور پی ببریم و بتوانیم این نقاط ضعف را در برنامه‌های امن‌سازی صنایع کشور مدنظر قرار دهیم تا قبل از اینکه این‌گونه‌ حملات را در صنایع کشور شاهد باشیم توانسته باشیم برای پیشگیری از آن و مقابله با آن برنامه‌ریزی کرده باشیم.


در این گزارش 51 صفحه ای به موارد ذیل پرداخته  شده است:

۰ نظر موافقین ۰ مخالفین ۰
گزارش آسیب پذیری حیاتی در PLC  WAGO  CoDeSys

گزارش آسیب پذیری حیاتی در PLC WAGO CoDeSys

اخیراً آسیب‌پذیری با سطح مخاطره حیاتی از نوع احراز اصالت نامناسب در نرم‌افزار[1] CoDeSys شناسایی شد که محصولات WAGO PFC200 را تحت تأثیر قرار می‌دهد. این آسیب‌پذیری این امکان را به مهاجمین می‌دهد که در صورت بهره‌جویی[2] موفق بتوانند به شکل غیرمجاز به کنترل‌کننده (PLC) وصل شده و انواع دستورات و عملیات غیرمجاز را به شکل راه دور و از طریق درگاه[3] TCP شماره 2455 انجام دهند؛ این دستورات شامل خواندن، نوشتن و پا کردن فایل‌ یا دست‌کاری برنامه کنترل‌کننده (PLC) در حین اجرا است.

در گزارشی 19 صفحه ای که برای این آسیب پذیری آماده کرده به موارد ذیل پرداخته  خواهد شد:

  • 1.مشخصات آسیب‌پذیری
  • 2. معرفی آسیب‌پذیری
  • 3.گزاش فنی آسیب‌پذیری
  • 4.محصولات تحت تأثیر
  • 5.کدهای بهره‌جویی منتشرشده
  • 6.تاریخچه آسیب‌پذیری‌های محصولات تحت تأثیر
  • 7.توصیه‌ها و راه‌حل‌های امنیتی
  • 8.درس‌هایی از این آسیب‌پذیری
  • ضمیمه الف: آسیب‌پذیری و انواع آن
  • ضمیمه ب: توصیه‌های در مورد به‌روزرسانی تجهیزات و وصله‌های امنیتی
  • ضمیمه ج: اصول سه گانه‌ی امنیت
گزارش کامل این آسیب پذیری از طریق این لینک قابل دانلود است.
۰ نظر موافقین ۰ مخالفین ۰