امنیت سایبری سیستم های کنترل صنعتی و اسکادا

احمدیان : مشاور ، مجری و مدرس / کاندیدای دکترای تخصصی از دانشگاه صنعتی امیرکبیر

۳۳ مطلب با موضوع «امنیت سایبری سیستمهای کنترل صنعتی و اسکادا :: امنیت سیستم های کنترل صنعتی صنعت نفت و گاز :: امنیت سیستم های کنترل صنعتی حوزه نفت» ثبت شده است

ارزیابی امنیت شبکه های کنترل و اتوماسیون صنعتی

ارزیابی امنیت شبکه های کنترل و اتوماسیون صنعتی

ارزیابی امنیتی صنعتی

یکی از خدمات ارزشمندی که شرکت امان به صنایع، سازمان‌ها و شرکت‌های صنعتی اعم از زیرساخت‌های حساس، حیاتی و مهم ارائه می‌نماید، ارزیابی امنیتی انواع سیستم‏های کنترل و اتوماسیون صنعتی می‌باشد. این سیستم ها شامل PLC،DCS، اسکادا، تله متری و RTU، دیسپاچینگ، حفاظت، SIS/ESD  اند که عمدتاً تحت شبکه و در مواردی به شکل مستقل و منفرد کنترل یا نظارت بر فرایند‌های صنعتی را انجام می‌دهند.

 این خدمت بر اساس استانداردها و به‏روش‏های مرجع و به‌روز دنیا در حوزه امنیت سیستم های کنترل  و اتوماسیون صنعتی و با اتکا به متدولوژی ‌های ابداعی ارزشمند شرکت امان، بهترین نتیجه را برای شناسایی مخاطرات و آسیب‌پذیری‎های بالقوه و بالفعل صنایع به ارمغان خواهد آورد.

پشتوانه محکم شرکت دانش‌بنیان پیشگامان امن‌آرمان در زمینه ارزیابی امنیت سیستمهای کنترل و اتوماسیون صنعتی، تجربه بالای عملیاتی تیم فنی این شرکت در صنایع مختلف کشور است. تیم فنی امان با دارا بودن تجارب متعدد و ارزشمند در پروژه‌های کنترل صنعتی کشور توانایی مشاور و اجرای پروژه‌های ارزیابی امنیت سیستمهای صنعتی را دارد. این مقوله پارامتر مهمی است که شرکت امان را از سایر شرکت‌هایی که تمرکز آن‌ها در حوزه امنیت عمومی (غیر صنعتی) و به تعبیر دیگر امنیت IT است کاملاً متمایز می‌سازد. این وجه تمایز باعث می‌شود که کارفرمایان صنعتی با تیمی همکاری نمایند که زبان صنعت را به‌خوبی می‌داند و می‌تواند بین دغدغه‌های صنایع و راهکارهای امنیتی، یک مصالحه مناسب ایجاد نماید تا ضمن برطرف نمودن دغدغه‌های امنیتی، عملکرد، پایداری و تاب آوری فرایند‌های صنعتی دچار اختلال نشود.

  در همین راستا شرکت امان از متدلوژی‌هایی بدیع و  ابزارهایی در زمینه‌ ارزیابی امنیت و مدیریت مخاطرات سایبری صنعتی استفاده می‌نماید که آورده‌های ارزشمندی را می‌تواند برای کارفرمایان و بهره‌برداران صنعتی فراهم نماید. برخی از این موارد در ادامه به‌اختصار فهرست شده‌اند و جزئیات هر یک در جلسات با شرکت امان با ارائه گزارش‌های نمونه پروژه‌های واقعی(با رعایت اصول طبقه‌بندی) قابل تشریح و تبیین است.

 

  • فراهم آوردن روش‌هایی ساخت‌یافته، قابل تکرار و قابل‌مقایسه برای ارزیابی امنیت سایبری سامانه های کنترل و اتوماسیون صنعتی
  • پشتیبانی از ارزیابی‌های چندگانه امنیتی
  • تسهیل شناسایی امنیتی دارایی‌های صنایع و اولویت‌بندی امنیتی-عملکردی آن‌ها
  •  امکان ارزیابی امنیت سایبری در سطوح مختلف استانداردهای ISA/IEC 62443 و  27000 ISO/IEC در کنار توجه به استانداردهای ایمنی صنعتی نظیر IEC 61508 و IEC 61511 و تسهیل نظارت توسط کارفرمایان، ناظرین و مشاوران مربوطه
  • کمک به تصمیم‌گیری در خصوص روش‌ها و راهکارهای ارتقاء امنیت سایبری
  • کمک به تعیین اولویت‌ها و برنامه‌های اجرایی نقشه راه امنیت سایبری صنایع
  • قابلیت کالبدشکافی عمیق به‌منظور تعیین ضعف‌های طراحی معماری شبکه سازمان و شبکه صنعتی
  • به دلیل کپی‌برداری‌های غیرمجاز و عدم رعایت مالکیت معنوی محتوا از بیان تمامی موارد خودداری می‌کنیم. مخاطبین محترم جهت مشاهده سایر آورده‌های این خدمت از طریق بخش ارتباط با امان، با کارشناسان شرکت امان تماس حاصل نمایید و ضمن معرفی سازمان یا صنعت خود، سند پروپوزال کامل این خدمت را دریافت نمایید

امان از متدولوژی هایی بهره می گیرد که در کلاس جهانی بدیع و ابتکاری هستند. متدولوژیی که متخصصان امان از آنها در پروژه های مدیریت مخاطرات و ارزیابی امنیتی استفاده می کنند توسط خبرگان امان طراحی و پیاده سازی شده اند. این متدلوژی ها  علاوه بر بکارگیری موفق در پروژه های داخل کشور با رعایت ملاحظات امنیتی در بهترین ژورنال های علمی خارجی پذیرفته شده اند یا توسط برترین متخصصین امنیت سیستم های کنترل صنعتی دنیا در حال داوری اند.در راستای ارزیابی امنیتی، امان از روش‌های متعددی نظیر موارد ذیل استفاده می‌نماید:

۰ نظر موافقین ۰ مخالفین ۰
آموزش تخصصی امنیت سایبری در سامانه های کنترل صنعتی PLC محور و سیستم های فناوری اطلاعات شرکتهای صنعتی

آموزش تخصصی امنیت سایبری در سامانه های کنترل صنعتی PLC محور و سیستم های فناوری اطلاعات شرکتهای صنعتی

به گزارش واحد پژوهش شرکت دانش‌بنیان پیشگامان امن آرمان(امان)، عموماً شرکت‌های صنعتی از شبکه‌های مجزای فناوری اطلاعات(شبکه اداری) و سیستم‌های  کنترل صنعتی ([1]ICS) یا شبکه صنعتی استفاده می‌کنند.  غالباً هدف از شبکه فناوری اطلاعات تسهیل فرآیندهای تجاری و مدیریتی و انجام امور تحقیق و توسعه است. علی‎رغم پیشرفت‎های بسیار زیادی که در ساختار و عملکرد این سیستم‌ها و شبکه‌ها وجود داشته، از دیدگاه سایبری دارای ضعف‎های بسیاری بوده و همین امر باعث شده که مورد تهدید و حملات سایبری قرار بگیرند. آسیب‎پذیری‎های موجود در بخش‎های مختلف این سیستم‌ها این امکان را برای مهاجمین سایبری فراهم ساخته تا به فکر حمله به شرکت‌ها و  زیرساخت‌های صنعتی کشورها، آسیب ‎رساندن و یا ایجاد اختلال در فرآیند کاری آن‎ها باشند.

۰ نظر موافقین ۰ مخالفین ۰
مدیریت ریسک امنیت در شبکه های صنعتی

مدیریت ریسک امنیت در شبکه های صنعتی

گذری بر مدیریت ریسک

یکی از خدمات ارزشمندی که شرکت امان به صنایع، سازمان‌ها و شرکت‌های صنعتی اعم از زیرساخت‌های حساس، حیاتی و مهم ارائه می‌نماید، ارزیابی امنیتی انواع سیستم‏های کنترل و اتوماسیون صنعتی می‌باشد. این سیستم ها شامل PLC،DCS، اسکادا، تله متری و RTU، دیسپاچینگ، حفاظت، SIS/ESD  اند که عمدتاً تحت شبکه و در مواردی به شکل مستقل و منفرد کنترل یا نظارت بر فرایند‌های صنعتی را انجام می‌دهند.

 این خدمت بر اساس استانداردها و به‏روش‏های مرجع و به‌روز دنیا در حوزه امنیت سیستم های کنترل  و اتوماسیون صنعتی و با اتکا به متدولوژی ‌های ابداعی ارزشمند شرکت امان، بهترین نتیجه را برای شناسایی مخاطرات و آسیب‌پذیری‎های بالقوه و بالفعل صنایع به ارمغان خواهد آورد.

پشتوانه محکم شرکت دانش‌بنیان پیشگامان امن‌آرمان در زمینه ارزیابی امنیت سیستمهای کنترل و اتوماسیون صنعتی، تجربه بالای عملیاتی تیم فنی این شرکت در صنایع مختلف کشور است. تیم فنی امان با دارا بودن تجارب متعدد و ارزشمند در پروژه‌های کنترل صنعتی کشور توانایی مشاور و اجرای پروژه‌های ارزیابی امنیت سیستمهای صنعتی را دارد. این مقوله پارامتر مهمی است که شرکت امان را از سایر شرکت‌هایی که تمرکز آن‌ها در حوزه امنیت عمومی (غیر صنعتی) و به تعبیر دیگر امنیت IT است کاملاً متمایز می‌سازد. این وجه تمایز باعث می‌شود که کارفرمایان صنعتی با تیمی همکاری نمایند که زبان صنعت را به‌خوبی می‌داند و می‌تواند بین دغدغه‌های صنایع و راهکارهای امنیتی، یک مصالحه مناسب ایجاد نماید تا ضمن برطرف نمودن دغدغه‌های امنیتی، عملکرد، پایداری و تاب آوری فرایند‌های صنعتی دچار اختلال نشود.

  در همین راستا شرکت امان از متدلوژی‌هایی بدیع و  ابزارهایی در زمینه‌ ارزیابی امنیت و مدیریت مخاطرات سایبری صنعتی استفاده می‌نماید که آورده‌های ارزشمندی را می‌تواند برای کارفرمایان و بهره‌برداران صنعتی فراهم نماید. برخی از این موارد در ادامه به‌اختصار فهرست شده‌اند و جزئیات هر یک در جلسات با شرکت امان با ارائه گزارش‌های نمونه پروژه‌های واقعی(با رعایت اصول طبقه‌بندی) قابل تشریح و تبیین است.

عموماً صنایع و شرکت‌های صنعتی از شبکه‌های مجزای فناوری اطلاعات(شبکه اداری) و سیستم‌های  کنترل صنعتی ([1]ICS) یا شبکه صنعتی استفاده می‌کنند.  غالباً هدف از شبکه فناوری اطلاعات تسهیل فرآیندهای تجاری و مدیریتی و انجام امور تحقیق و توسعه است. علی‎رغم پیشرفت‎های بسیار زیادی که در ساختار و عملکرد این سیستم‌ها و شبکه‌ها وجود داشته، این موارد از دیدگاه سایبری دارای ضعف‎های بسیاری بوده و همین امر باعث شده که مورد تهدید و حملات سایبری فراوانی قرار بگیرند.

۰ نظر موافقین ۰ مخالفین ۰
آموزش تخصصی و سفارشی امنیت سایبری در سیستمهای کنترل و اتوماسیون صنعتی

آموزش تخصصی و سفارشی امنیت سایبری در سیستمهای کنترل و اتوماسیون صنعتی

در حال حاضر غالب مراکز صنعتی و زیرساخت‌های حیاتی کشور از سامانه‌‌های کنترل و اتوماسیون صنعتی، برای نظارت و کنترل فرآیندهای صنعتی در شبکه‌های اسکادا، تله‌متری، دیسپاچینگ و غیره استفاده می‌نمایند. این سامانه‌ها امروزه مورد توجه بسیاری از هکرها و مهاجمین سایبری قرار گرفته‌اند. به دلیل توسعه فناوری، امروزه این قبیل سامانه‌ها‌ بیش از پیش در بردار‌های حملات کشور‌های متخاصم قرار می‌گیرند.

براساس تحلیل‌های  تیم تخصصی تحلیل حملات سایبری شرکت پیشگامان امن آرمان(امان) و دانشگاه صنعتی امیرکبیر بر روی بالغ‌بر 320 حادثه و حمله سایبری به صنایع دنیا (از سال 1986 تا 2021) شاهد این بودیم که عدم آگاهی متولیان و کارمندان شرکت‌ها و صنایع، عامل تأثیرگذاری در بروز این‌گونه حملات سایبری بوده است.

این آموزش در مهرماه 1400 و  به دعوت یکی از صنایع حائز اهمیت کشور  و با سفارشی سازی محتوا توسط واحد آموزش تخصصی امنیت سایبری صنعتی شرکت پیشگامان امن آرمان(امان) ارائه شد. به دلیل امضای تعهدنامه عدم افشاء اطلاعات از ذکر نام این صنعت حیاتی خودداری می‌کنیم.

۰ نظر موافقین ۰ مخالفین ۰
مفاهیم پایه امنیت سایبری: تهدید(Threat) رویداد(Event)، حادثه امنیتی(Security Incident )، حادثه امنیتی غیرتهاجمی(Non-Attack Security Incident) و حمله(Attack)

مفاهیم پایه امنیت سایبری: تهدید(Threat) رویداد(Event)، حادثه امنیتی(Security Incident )، حادثه امنیتی غیرتهاجمی(Non-Attack Security Incident) و حمله(Attack)

در حوزه امنیت سایبری به کرات شاهد این هستیم که متاسفانه واژگان کلیدی، تهدید(Threat)، رویداد(Event)، حادثه امنیتی(Security Incident )، حادثه امنیتی غیرتهاجمی(Non-Attack Security Incident) و حمله(Attack) به اشتباه به جای یکدیگر به کار می روند.در  این مطلب  قصد دارم به اختصار، براساس آخرین مقاله منتشر شده از ما در ژورنال IJCIP با عنوان Industrial control system security taxonomic framework with application to a comprehensive incidents survey  این تعاریف را به زبان فارسی ارائه کنیم(مرجع تمامی مطالب ذیل این مقاله و پایان نامه دکتری بنده است). لازم به ذکر است که این مفاهیم همراه با مثال از طریق  فیلم آموزشی رایگان فارسی منتشر شده نیز قابل فراگیری است.

 

  • تهدید امنیتی: به‌طور عمومی به مجموعه عواملی در سامانه اطلاق می‌شود که پتانسیل واردکردن آسیب و ضرر به دارایی‌های سامانه را دارند؛  تهدید هر نقض بالقوه امنیت است. البته تعریف تهدید در منابع مختلف با تفاوت‌هایی همراه است به‌عنوان نمونه طبق استاندارد ISO/IEC 13335-و ISO / IEC 27000  تهدید به کلیه عواملی بالقوه اطلاق می‌شود که ممکن است به بروز آن‌ها به لطمه دیدن سامانه یا سازمان منجر شود.طبق استاندارد ANSI/ISA–99  (نسخه جدید آن با عنوان ISA/IEC-62443  ارائه‌شده است) هرگونه رویداد یا عملی که پتانسیل نقض امنیت، ایجاد رخنه و یا واردکردن صدمه را داشته باشد تهدید نامیده می‌شود.
 
  • رویداد: پارامتر رویداد، شامل مبدأ رویداد (مبدأ می‌تواند هرگونه حادثه طبیعی، مهاجمین، کارمندان، پیمانکاران و غیره باشد.)، عمل (که می‌تواند به‌انحاءمختلف مقداردهی شود مثلاً  مقادیر کاوش (Probe)، پویش(Scan)، کپی کردن، تغییر و غیره را برای آن در نظر گرفته است.)، هدف رویداد و تأثیر آن است. همان‌طور که در شکل ذیل مشاهده می‌کنید از زاویه دید امنیتی رویدادها به دو بخش حوادث امنیتی و غیرامنیتی تقسیم می‌شوند. حوادث غیرامنیتی به رویدادهایی نظیر حوادث طبیعی، خرابی تجهیزات و برخی حوادث نظیر انفجار در اثر سهل‌انگاری در انبار کارخانه و افتادن نیرو از ارتفاع گفته می‌شود که در آن‌ها به‌طور قاطع می‌توان اظهارنظر نمود که هیچ موضوع امنیتی مطرح نبوده است. 

ادامه محتوا را  را در ادامه مطلب مطالعه فرمایید (روی فلش قرمز رنگ > بالای پست کلیک نمایید. )

 

۰ نظر موافقین ۰ مخالفین ۰

امنیت اسکادا: دسترسی رایگان تا 41 روز به مقاله طبقه بندی رخدادهای امنیت سایبری سیستم های کنترل صنعتی و اسکادا

مخاطبین محترم وبنوشت می توانید تا 41 روز(تا تاریخ September 24, 2020) به شکل رایگان از طریق لینک ذیل مقاله اخیر ما با عنوان  طبقه بندی رخدادهای امنیت سایبری سیستم های کنترل صنعتی و اسکادا را دانلود کنند.

لینک رایگان دانلود مقاله

۱ نظر موافقین ۰ مخالفین ۰
برخی منابع لازم برای یادگیری امنیت سیستم های کنترل و اتوماسیون صنعتی

برخی منابع لازم برای یادگیری امنیت سیستم های کنترل و اتوماسیون صنعتی

پیرو سوالات مکرر برخی مخاطبان گرامی در زمینه منابع لازم برای یادگیری امنیت در شبکه های کنترل و اتوماسیون صنعتی پست زیر را که توسط Robert M. Lee آماده شده است را قراردادم تا به مخاطبین گرامی کمک نماید. با مطالعه منابع معرفی شده ذیل می توانید گام های اولیه این حوزه را به شکل خودآموز طی نمایید. موفق و پیروز باشید

A Collection of Resources for Getting Started in ICS/SCADA Cybersecurity

August 28, 2016

I commonly get asked by folks what approach they should take to get started in industrial control system (ICS) cybersecurity. Sometimes these individuals have backgrounds in control systems, sometimes they have backgrounds in security, and sometimes they are completely new to both. I have made this blog for the purpose of documenting my thoughts on some good resources out there to pass off to people interested. Do not attempt to do everything at once but it’s a good collection to refer back to in an effort to polish up skills or learn a new industry. There are also many skills that may not immediately be relevant to your job but I believe these topics all work together (ranging from analysis of threats to understanding the physical process of a gas turbine).  Rest assured, no matter how ill prepared you might feel in getting started realize that by having the passion to ask the question and start down the path you are

۰ نظر موافقین ۰ مخالفین ۰
امنیت شبکه کنترل صنعتی: امنیت سایبری سیستمهای کنترل صنعتی، اسکادا، DCS، تله متری و ... (پرسش و پاسخ)

امنیت شبکه کنترل صنعتی: امنیت سایبری سیستمهای کنترل صنعتی، اسکادا، DCS، تله متری و ... (پرسش و پاسخ)

با سلام و احترام

با توجه به اینکه در این چند سال، مخاطبین محترم  سوالات متعدد و  بسیاری را در حوزه امنیت سیستمهای کنترل صنعتی، اسکادا، DCS، تله متری و ... از طریق شبکه های اجتماعی و غیره پرسیده اند و می پرسند، این تاپیک را ایجاد کردم که  مخاطبین گرامی هر سوالی در این حوزه دارند در همین صفحه بپرسند که بنده هم بتوانم در حد بضاعت اندک خود به شکل عادلانه، در وقتی محدودی که برای اینکار در نظرگرفتم، پاسخگوی  عزیزان (طبق نوبت) باشم و از طرح پرسش و پاسخ های تکراری جلوگیری کنم (چون به شدت مشغله کاری دارم.)

 

۵ نظر موافقین ۰ مخالفین ۰
فیلم آموزشی طبقه بندی رخدادهای امنیت سایبری سیستم های کنترل صنعتی و اسکادا

فیلم آموزشی طبقه بندی رخدادهای امنیت سایبری سیستم های کنترل صنعتی و اسکادا

بعد از حدود چهار ماه به لطف خدا فرصت شد تا طبق قولی که به برخی دوستان و مخاطبین عزیز داده بودم، فیلم‌برداری ارائه آموزشی مختصر "چارچوب طبقه‌بندی رخدادهای امنیت سایبری سامانه‌های کنترل صنعتی و اسکادا همراه با بررسی جامع حوادث سایبری این حوزه" را تمام کنم و به شکل آنلاین و رایگان منتشر می‌کنم. امیدوارم که برای متخصصان، دانشجویان و کارشناسان این حوزه در کشورم مفید باشد.

در این فیلم آموزشی 90 دقیقه‌ای (لینک) به شکل مختصر به معرفی و به‌کارگیری  چارچوب طبقه‌بندی رخدادهای امنیت سایبری سیستم‌های کنترل صنعتی و اسکادا می‌پردازیم. علاوه بر متخصصین، پژوهشگران امنیت سامانه های کنترل صنعتی، به کلیه علاقمندان حوزه امنیت سایبری که به مباحث مدل سازی تهدیدات، حملات و رخدادهای امنیتی علاقه دارند توصیه می کنم این فیلم آموزشی را مشاهده کنند.

این چارچوب بخشی مقدمه‌ای از زیرساخت تعاریف در پایان‌نامه دکتری بنده بوده است که در آزمایشگاه ISEC دانشگاه صنعتی امیرکبیر در قالب یک مقاله به ژورنال معروف و مطرح International Journal of Critical Infrastructure Protection ارسال شد و بعد از حدود دو سال پذیرفته و منتشرشده است.

در این فیلم آموزشی کوتاه به‌اختصار به معرفی این چارچوب طبقه‌بندی رخدادها، حوادث و حملات به شبکه‌های کنترل و اتوماسیون صنعتی می‌پردازیم و نتایج تحلیلی حاصل از بررسی و موشکافی 268 رخداد امنیتی سامانه‌های صنعتی دنیا را از سال 1982 تا 2018 را مرور می‌کنیم.

لینک کلیپ در آپارات

۱ نظر موافقین ۰ مخالفین ۰
کلیپ کوتاه از دوره‌های آموزشی تئوری-عملی امنیت سایبری سیستم‌های کنترل و اتوماسیون صنعتی

کلیپ کوتاه از دوره‌های آموزشی تئوری-عملی امنیت سایبری سیستم‌های کنترل و اتوماسیون صنعتی

 

در یک سال گذشته درخواست‌های متعددی از برخی مخاطبین محترم مبنی بر معرفی کوتاه دوره‏ های آموزشی عملی امنیت سایبری سیستم‌های کنترل و اتوماسیون صنعتی (DCS، اسکادا، تله‏متری، دیسپاچینگ و ...) و نحوه برگزاری این دوره‏ ها داشتیم. ابهام مخاطبین عزیز در این بود که حال که این دوره‌ها برای اولین در ایران به این سبک برگزار می‌شوند نحوه ارائه بخش‌های عملی این دوره‌ها چگونه است. متأسفانه به دلیل مشغله زیاد و نیاز به گرفتن برخی مجوزها تهیه یک کلیپ کوتاه از این دوره‌های آموزشی تاکنون به تأخیر افتاد؛ اما خوشنودم که عرض کنم در این پست، کلیپ کوتاهی از دوره‌های آموزشی تئوری-عملی امنیت سایبری سیستم‌های کنترل و اتوماسیون صنعتی که در دو سال گذشته برگزار نمودیم را آماده کردیم و شما مخاطب گرامی می‌توانید از طریق لینک‌های ذیل این کلیپ کوتاه را مشاهده فرمایید. در صورت وجود هرگونه ابهام دیگر می‌توانید از طریق راه‌های ارتباطی درون کلیپ با ما در ارتباط باشید.

لینک کلیپ در آپارات

youtube link

 

۰ نظر موافقین ۰ مخالفین ۰