وب نوشت شخصی محمد مهدی احمدیان

از «الف» امنیت تا «ی» فلسفه زندگی - عقل معاش در کنار عقل معاد حقیقت زندگی است.

۳۹ مطلب با موضوع «امنیت :: امنیت - زیر ساخت های حیاتی» ثبت شده است

افشاء اطلاعات پروژه دیسپچینگ ملی گاز از طریق مستند تلویزیونی

افشاء اطلاعات پروژه دیسپچینگ ملی گاز از طریق مستند تلویزیونی

در این پست به بررسی اجمالی مستند «روایت سازندگی (پروژه سدید)» از زاویه نشت اطلاعات سایبر-فیزیکی پروژه دیسپچینگ ملی گاز می‌پردازیم. بعد از مستند «آفتاب نهان(شبکه مستند)» که افشای حجم عظیمی از اطلاعات صنایع هسته‏ای کشور را به همراه داشت، حالا نوبت به پخش مستند «روایت سازندگی» رسیده است که از شبکه سه پخش می‏شود و گویا قصد دارد این مسیر را ادامه دهد!


مجموعه مستند تلویزیونی «روایت سازندگی» به منظور معرفی دستاوردها و توانمندی‌های قرارگاه سازندگی خاتم‌الانبیاء(ص) در 13 قسمت از شبکه سه سیما پخش می شود و  در کنار همه نقاط قوت و اهدافی که دارد و قطعاً متصدیان آن برای آن زحمت بسیاری کشیده‌اند متأسفانه به اعتقاد ما برخی اطلاعات صنایع مربوطه را در معرض دسترس عموم قرار داده است!

می‌دانیم که حجم عظیمی از اطلاعات و داده‏های مهم صنایع کشور و شرکت‏های تابعه در فضای اینترنت و شبکه‌های مجازی به سهولت قابل‌دسترسی است: این اطلاعات شامل اطلاعات دارایی‌ها (تجهیزات، سازندگان، پروتکل‏ها، نرم‌افزارها و ...)، اطلاعات فرایند‏ها، اطلاعات ارتباطات، اطلاعات آزمایشگاه‏های امنیت سایبر-فیزیکی (اطلاعات، شبکه، امواج، شیمایی و غیره)، اطلاعات پیمانکاران و تصاویر و فیلم دارایی‌ها است که از طرق مختلف ازجمله وب‏سایت‏های رسمی صنایع و شرکت‏های تابعه، وب‏سایت‏های خبری (تصاویر بازدیدها و پروژه‏ها)، مقالات کنفرانس‏ها، ژورنال‌ها و مجلات، گروه‏ها تلگرامی و دیگر شبکه ‏های اجتماعی در دسترس است و متأسفانه حالا مستندهای تلویزیونی نیز به این منابع اطلاعاتی اضافه‌شده است.

ما بارها این مسئله را تذکر داده‌ایم و به تفصیل در این مورد در ششمین کنفرانس فناوری اطلاعات و ارتباطات در نفت، گاز ،پالایش و پتروشیمی صحبت کردیم و در اردیبهشت‌ماه سال جاری نیز ارائه‌ای در این حوزه با موضوع افشاء اطلاعات زیرساخت‌های حیاتی از طریق مستند تلویزیونی آفتاب نهان را منتشر کردیم.

۰ نظر موافقین ۰ مخالفین ۰
یکی از چالشهای پروژه های امنیت سیستم های کنترل صنعتی

یکی از چالشهای پروژه های امنیت سیستم های کنترل صنعتی

زمانی که مدیر(مدیران) ناآگاه یک صنعت یا یک سازمان  ، پروژه ارزیابی امنیتی که حداقل یک ماه زمان (مثلاً) می‌برد را در یک هفته توقع دارد انجام دهیم، یا پروژه امن سازی  که شش ماه (مثلاً) زمان می‌برد را در یک ماه می‌خواهد تحویل دهیم، راهی باقی  نمی‌ماند جز اینکه این فیلم را برایشان  نمایش دهیم.  مدیر عزیز، سرپرست گرامی:«تو خود بخوان حدیث مفصل ازاین مجمل!»

لینک مشاهده فیلم

۰ نظر موافقین ۰ مخالفین ۰
گزارش بررسی اجمالی آسیب‌پذیری سوئیچ‌های صنعتی زیمنس (‏  CVE-2018-4833)

گزارش بررسی اجمالی آسیب‌پذیری سوئیچ‌های صنعتی زیمنس (‏ CVE-2018-4833)

سامانه‌های کنترل صنعتی که در صنعت و زیرساخت‌های حیاتی کشورها مورداستفاده قرار دارند، اغلب توسط شرکت‌های محدود و انحصاری تولید می‌گردند. این سامانه‌ها درگذشته به‌صورت جدا از سایر سامانه‌های دیگر به کار گرفته می‌شدند و این امر روشی در امن سازی این سامانه‌ها قلمداد می‌گردید. اتکا فراوان به این ممیزه، تولیدکنندگان و مصرف‌کنندگان این سامانه‌ها را از پرداختن به سایر لایه‌های امنیتی غافل کرده بود. استفاده از معماری و پروتکل‌های غیر امن و واسط‌های غیراستاندارد را می‌توان از نتایج این رویکرد دانست [1].به دلیل نیازمندی‌های جدید و توسعه فناوری امروزه این قبیل سامانه‌های صنعتی، به‌تدریج با انواع جدیدتر جایگزین و یا به‌روزرسانی می‌گردند. در سامانه‌های جدید از پروتکل‌ها و نقاط دسترسی ارتباطی مشترک در شبکه‌ها استفاده می‌گردد [1]. به علت تفاوت‌های متعدد میان امنیت در فضای فناوری اطلاعات ( IT) و امنیت در فضای فناوری عملیاتی  (OT[1] ) لزوماً نمی‌توان راهکارهای عمومی حوزه‌ی سایبری را به حوزه‌ی سایبر-فیزیکی منتقل کرد[1].

 در غالب صنایع و زیرساخت‌های حیاتی شاهد به‌کارگیری انواع تجهیزات ارتباطی شبکه نظیر سوییچ‌های لایه دو و لایه سه، هاب‌ها، بریج‌ها، تقویت‌کننده‌های ارتباطی کارت‌های شبکه و حتی مسیریاب‌ها هستیم. به دلیل اینکه این تجهیزات به شکل کاملاً فعال در شبکه‌ها به کار گرفته می‌شوند در صورت حمله یا گسترش آلودگی سایبری به این تجهیزات قطعاً شاهد اختلال در صنایع و زیرساخت‌های حیاتی کشور خواهیم بود. ازاین‌رو توجه به امنیت سایبر-فیزیکی این تجهیزات باید در دستور کار مدیران صنعت و حراست، مسئولان و سرپرستان، کارشناسان فناوری اطلاعات و شبکه‌های کنترل صنعتی(واحد‌های بهره بردار و نگه‌داری) قرار گیرد.

 در این سند در  بخش دوم به بررسی اجمالی آسیب‌پذیری سوئیچ‌های صنعتی زیمنس (‏  CVE-2018-4833) می‌پردازیم،  در بخش سوم در راستای پاسخ به سوال یکی از مخاطبان گرامی به گزینش دوره‌های پیشرفته امنیت کنترل و اتوماسیون صنعتی درکشور خواهیم پرداخت .در بخش چهارم مجموعه فیلم حوادث و حملات سایبر-فیزیکی به سامانه‌های کنترل صنعتی را معرفی خواهیم کرد و نهایتا در بخش پنجم به سوء برداشتی که در بین برخی مدیران صنایع و زیرساخت‌های حیاتی وجود دارد خواهیم پرداخت.

۰ نظر موافقین ۰ مخالفین ۰
معیارهای گزینش دوره‌های پیشرفته امنیت کنترل و اتوماسیون صنعتی درکشور

معیارهای گزینش دوره‌های پیشرفته امنیت کنترل و اتوماسیون صنعتی درکشور


اخیراً جناب کاظم زاده،یکی از مخاطبین گرامی سمینارها، در این پست پرسش ذیل را مطرح نمودند:

 

بخش‌هایی از این نظر که با * مشخص شده، توسط مدیر سایت حذف شده است

سلام جناب دکتر احمدیان

از مقالات آموزشی شما بسیار ممنونم. بنده و همکاران در سمینار اخیر شما حضور داشتیم و استفاده فراوان بردیم. سوالی در مورد دوره آموزشی امنیت کنترل صنعتی sans داشتم، در پروپوزال دوره آموزشی شما سرفصل های sans پوشش داده نشده است، می خواستم بدانم چرا؟ در دوره های دیگر موجود در ایتترنت نظیر دوره های **** *** ***** **** * **** *****  این سرفصل ها پوشش داده شده است.  آیا شما نیز این دوره ها را ارائه می کنید؟ شما کدام دوره را توصیه می کنید؟

 

 در مورد این سؤال به‌تفصیل پاسخ می‌دهم چون این مسئله چند ماهی است در چندین جلسه و محفل دیگر نیز مطرح‌شده است و خالی از لطف نیست که یک‌بار به شکل مفصل به آن پاسخ دهم.نخست باید به این نکته اشاره‌کنم که دوره‌های امنیت کنترل صنعتی غالباً در دو سطح برگزار می‌شوند؛ سطح نخست عمومی (دوره‌های مقدماتی) است که این دوره غالباً به شکل کاملاً نظری برگزار می‌شود، سطح دوم دوره‌های پیشرفته است که این دوره‌های باید به شکل نظری و عملی برگزار شوند. آنچه در ادامه مطرح می‌کنم معیارها و نیازمندی‌هایی است که یک دوره پیشرفته (مانند دوره‌های مشابه SANS) باید داشته باشد و شما چنانچه نیاز به برگزاری این دوره‌های تخصصی دارید فارغ از اینکه چه مدرس یا مدرسینی آن را ارائه می نمایند شرایط ذیل را برای انتخاب دوره و مدرس بررسی نمایید و در نظر بگیرید.

۱ نظر موافقین ۰ مخالفین ۰
افشاء اطلاعات زیرساخت های حیاتی از طریق مستند تلویزیونی

افشاء اطلاعات زیرساخت های حیاتی از طریق مستند تلویزیونی

در این ارائه به بررسی اجمالی مستند «آفتاب نهان» از زاویه نشت اطلاعات سایبر-فیزیکی صنایع و زیرساخت‏های حیاتی کشور می‌پردازیم. این مستند به گفته تهیه‌کنندگان آن اولین مجله تصویری صنعت هسته‌ای کشور محسوب می‌شود که در قالب 23 قسمت (هر قسمت تقریباً 28 دقیقه) از شبکه مستند پخش‌شده است و در کنار همه نقاط قوت و اهدافی که داشت و قطعاً متصدیان آن برای آن زحمت بسیاری کشیده‌اند متأسفانه به اعتقاد ما اطلاعات بسیاری را از صنایع هسته‌ای و صنایع وابسته، ازجمله پتروشیمی را در معرض دسترس عموم قرار داده است! می‌دانیم که حجم عظیمی از اطلاعات و داده‏های مهم صنایع کشور و شرکت‏های تابعه در فضای اینترنت و شبکه‌های مجازی به سهولت قابل‌دسترسی است: این اطلاعات شامل اطلاعات دارایی‌ها (تجهیزات، سازندگان، پروتکل‏ها، نرم‌افزارها و ...)، اطلاعات فرایند‏ها، اطلاعات ارتباطات، اطلاعات آزمایشگاه‏های امنیت سایبر-فیزیکی (اطلاعات، شبکه، امواج، شیمایی و غیره)، اطلاعات پیمانکاران و تصاویر و فیلم دارایی‌ها است که از طرق مختلف ازجمله وب‏سایت‏های رسمی صنایع و شرکت‏های تابعه، وب‏سایت‏های خبری (تصاویر بازدیدها و پروژه‏ها)، مقالات کنفرانس‏ها، ژورنال‌ها و مجلات، گروه‏ها تلگرامی و دیگر شبکه‏های اجتماعی در دسترس است و متأسفانه حالا مستندهای تلویزیونی نیز به این منابع اطلاعاتی اضافه‌شده است. ما بارها این مسئله را تذکر داده‌ایم و به‌تفصیل در این مورد در ششمین کنفرانس فناوری اطلاعات و ارتباطات در نفت، گاز، پالایش و پتروشیمی در 27 دی 1396 صحبت کردیم! فایل (اسلایدها) این ارائه از طریق لینک ذیل قابل‌دسترسی است:

مشاهده فایل ارائه

۰ نظر موافقین ۰ مخالفین ۰
گزارش بررسی آسیب پذیری های تجهیزات شبکه و توجه به اهمیت آن

گزارش بررسی آسیب پذیری های تجهیزات شبکه و توجه به اهمیت آن

سامانه‌های کنترل صنعتی که در صنعت و زیرساخت‌های حیاتی کشورها مورداستفاده قرار دارند، اغلب توسط شرکت‌های محدود و انحصاری تولید می‌گردند. این سامانه‌ها درگذشته به‌صورت جدا از سایر سامانه‌های دیگر به کار گرفته می‌شدند و این امر روشی در امن سازی این سامانه‌ها قلمداد می‌گردید. اتکا فراوان به این ممیزه، تولیدکنندگان و مصرف‌کنندگان این سامانه‌ها را از پرداختن به سایر لایه‌های امنیتی غافل کرده بود. استفاده از معماری و پروتکل‌های غیر امن و واسط‌های غیراستاندارد را می‌توان از نتایج این رویکرد دانست [1].

به دلیل نیازمندی‌های جدید و توسعه فناوری امروزه این قبیل سامانه‌های صنعتی، به‌تدریج با انواع جدیدتر جایگزین و یا به‌روزرسانی می‌گردند. در سامانه‌های جدید از پروتکل‌ها و نقاط دسترسی ارتباطی مشترک در شبکه‌ها استفاده می‌گردد [1]. در غالب صنایع و زیرساخت‌های حیاتی شاهد به‌کارگیری انواع تجهیزات ارتباطی شبکه نظیر سوییچ‌های لایه دو و لایه سه، هاب‌ها، بریج‌ها، تقویت‌کننده‌های ارتباطی کارت‌های شبکه و حتی مسیریاب‌ها هستیم. به دلیل اینکه این تجهیزات به شکل کاملاً فعال در شبکه‌ها به کار گرفته می‌شوند و در بسیاری از ارزیابی‌های که ما از صنایع کشور داشته‌ایم شاهد عدم پیاده‌سازی مکانیزم‌های HA برای این تجهیزات بوده‌ایم در صورت حمله یا گسترش آلودگی سایبری به این تجهیزات قطعاً شاهد اختلال در صنایع و زیرساخت‌های حیاتی کشور خواهیم بود. ازاین‌رو توجه به امنیت سایبر-فیزیکی این تجهیزات باید در دستور کار مدیران صنعت و حراست، مسئولان و سرپرستان، کارشناسان فناوری اطلاعات و شبکه‌های کنترل صنعتی قرار گیرد. لذا در این سند قصد داریم بعد از بیان نوشته اخیر دیل پترسون  در رابطه با استاکس‌نت، نمونه‌ای از آسیب‌پذیری‌های برخی از تجهیزات شبکه‌ای فراگیر در صنایع و زیرساخت‌های حیاتی کشور (تجهیزات موکسا، زیمنس و سیسکو) را موردبررسی قرار دهیم.

 در انتها در بخش پنجم این سند، به دلیل فراگیری تجهیزات سیسکو در کشور و از سویی اهمیت حمله اخیر به این تجهیزات گزارشی اجمالی از حمله به تجهیزات سیسکو دارای آسیب‌پذیری CVE-2018-0171 آن قرار داده‌ام تا ضمن مرور مختصر این حمله به نکات قابل‌توجه این حمله و نقاط ضعف خود در کشور پی ببریم و بتوانیم این نقاط ضعف را در برنامه‌های امن‌سازی صنایع کشور مدنظر قرار دهیم تا قبل از اینکه این‌گونه‌ حملات را در صنایع کشور شاهد باشیم توانسته باشیم برای پیشگیری از آن و مقابله با آن برنامه‌ریزی کرده باشیم.


در این گزارش 51 صفحه ای به موارد ذیل پرداخته  شده است:

۰ نظر موافقین ۰ مخالفین ۰
گزارش آسیب پذیری حیاتی در PLC  WAGO  CoDeSys

گزارش آسیب پذیری حیاتی در PLC WAGO CoDeSys

اخیراً آسیب‌پذیری با سطح مخاطره حیاتی از نوع احراز اصالت نامناسب در نرم‌افزار[1] CoDeSys شناسایی شد که محصولات WAGO PFC200 را تحت تأثیر قرار می‌دهد. این آسیب‌پذیری این امکان را به مهاجمین می‌دهد که در صورت بهره‌جویی[2] موفق بتوانند به شکل غیرمجاز به کنترل‌کننده (PLC) وصل شده و انواع دستورات و عملیات غیرمجاز را به شکل راه دور و از طریق درگاه[3] TCP شماره 2455 انجام دهند؛ این دستورات شامل خواندن، نوشتن و پا کردن فایل‌ یا دست‌کاری برنامه کنترل‌کننده (PLC) در حین اجرا است.

در گزارشی 19 صفحه ای که برای این آسیب پذیری آماده کرده به موارد ذیل پرداخته  خواهد شد:

  • 1.مشخصات آسیب‌پذیری
  • 2. معرفی آسیب‌پذیری
  • 3.گزاش فنی آسیب‌پذیری
  • 4.محصولات تحت تأثیر
  • 5.کدهای بهره‌جویی منتشرشده
  • 6.تاریخچه آسیب‌پذیری‌های محصولات تحت تأثیر
  • 7.توصیه‌ها و راه‌حل‌های امنیتی
  • 8.درس‌هایی از این آسیب‌پذیری
  • ضمیمه الف: آسیب‌پذیری و انواع آن
  • ضمیمه ب: توصیه‌های در مورد به‌روزرسانی تجهیزات و وصله‌های امنیتی
  • ضمیمه ج: اصول سه گانه‌ی امنیت
گزارش کامل این آسیب پذیری از طریق این لینک قابل دانلود است.
۰ نظر موافقین ۰ مخالفین ۰
تجهیزات Lantronix کنترل صنعتی(اتوماسیون صنعتی) متصل به اینترنت

تجهیزات Lantronix کنترل صنعتی(اتوماسیون صنعتی) متصل به اینترنت

در تصویر پایین چهار نمودار با عنوان های ذیل مشاهده می کنید:

  • مقایسه انواع تجهیزات کنترل صنعتی متصل به اینترنت در سال های 2016 و 2017
  • تعداد آسیب پذیری های جدید  تجهیزات کنترل صنعتی به تفکیک سال
  • تعداد تجهیزات کنترل صنعتی متصل به اینترنت به تفکیک سازنده
  • جایگاه آسیب پذیری های جدید  تجهیزات کنترل صنعتی
آسیب پذیری های سیستم کنترل صنعتی

 تعداد8,733 تجهیز شرکت لنترونیکس،  با حق دسترسی مدیریتی به اینترنت وصل است که بسیاری از آنها بدون رمزعبور اند!بسیاری از این تجهیزات در سامانه های کنترل صنعتی استفاده می شود؛ درصدد قابل توجهی از تجهیزات صنعتی  با استفاده از درگاه سریال  تنظیم می‌شوند و محصولات مبدل لنترونیکس امکان ارتباط با این تجهیزات را از طریق شبکه بازیرساخت اترنت  فراهم می کند. در کشور ما، 21 تجهیز در حال حاضر با این شرایط در اینترنت شناسایی شده اند که یکی از آنها در زیرساختهای صنعتی بوشهر قرار دارد!اگر در صنعت یا سازمان شما از این تجهیز استفاده می شود و آن را امن سازی نکرده اید هر چه سریعتر دست به کار شوید!

۰ نظر موافقین ۰ مخالفین ۰
هوش مصنوعی در خدمت حملات سایبری جدید

هوش مصنوعی در خدمت حملات سایبری جدید

هوش مصنوعی همانقدر که می تواند در خدمت امنیت سایبر-فیزیکی باشد، به همان میزان قدرتمند است که مهاجمین و هکرها از آن برای حمله به زیرساخت های فناوری اطلاعات(IT)، فناوری عملیاتی(OT) و اینترنت چیزها(IoT)  استفاده خواهند کرد! آگاه باشیم که این دانش حملات سایبر-فیزیکی را وارد مرحله جدیدی خواهد کرد!

۰ نظر موافقین ۰ مخالفین ۰
جمع بندی  آخر سال از زندگی شخصی تا وضعیت امنیت سایبری(برنامه ریزی و نقشه راه)

جمع بندی آخر سال از زندگی شخصی تا وضعیت امنیت سایبری(برنامه ریزی و نقشه راه)

یکی از کارهایی که در آخر هر سال ،جهت رسیدن به موفقیت در زندگی شخصی و حرفه ای، بسیار توصیه می شود جمع بندی کارهای انجام شده در طول سال است. البته این جمع بندی نیاز به یک زیرساخت برنامه ریزی دقیق دارد که باید در طول سال انجام شده باشد و  بتواند شاخص هایی را برای محاسبه ارائه کند. البته جدای از فراهم نمودن این زیرساخت، متعهد نمودن خود به عمل به برنامه ریزی و ثبت آن بسیار اهمیت دارد. اهمیت برنامه ریزی و نظم در امور بر هیچ انسان عاقلی پوشیده نیست همانطور که در ادیان مختلف از جمله دین مبین اسلام نیز بارها به آن تاکید شده است(حَاسِبُوا أَنْفُسَکُمْ قَبْلَ أَنْ تُحَاسَبُوا ، اوصیکما...بتقوی اللّه و نظم امرکم).در برخی از پست ها و محافل برخی مخاطبین گرامی خواسته بودند که از برنامه ریزی شخصی و حرفه ای نیز در وب نوشت مطالبی درج نمایم که انشالله در آینده این توفیق نصیب شود که بتوانم تجارب شخصی و حرفه ای خود را در حوزه برنامه ریزی که حاصل 14 سال تجربه در حوزه برنامه ریزی است منتشر نمایم. بنده حقیر نیز همواره سعی می کنم  در حد بضاعت خود چه در پروژه های حرفه ای حوزه سایبری و چه در زندگی شخصی چنین برنامه ریزی و جمع بندی داشته باشم؛ به عنوان مثال در شکل فوق برخی از نمودارهای جمع بندی برنامه ریزی(شخصی) سال 1396 بنده را مشاهده می کنید.


و اما تلنگری به ما در حوزه امن سازی صنایع و زیرساخت های حیاتی:

  • تا چه حد در رسیدن به اهداف امنیتی صنعت خود در طول سال 96 موفق بودیم؟
  • آیا اصلا اهداف امنیتی سالیانه ما مشخص شده است؟ (این اهداف در قالب نقشه راه امنیت سایبر-فیزیکی  توسط مشاورین و تیم های امنیتی با همفکری با متولیان و مسئولین صنعت مشخص می شوند.)
  • آیا اصلا برای امن سازی صنعت خود نقشه راهی داریم یا اینکه هنوز بدون برنامه و نقشه مشخص  گام بر می داریم؟
  • اگر بخشی از برنامه های امنیتی نقشه راه 1396  محقق نشده است، آیا دلایل آن شناسایی شده است و برای حل چالش های پیشرو در سال آتی برنامه ریزی کرده ایم؟
۰ نظر موافقین ۰ مخالفین ۰